Vertrag zur Auftragsverarbeitung

Gültig ab 5. Dezember 2026. Version 1.0.

Nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO), Version 1.0. Der Vertrag ist Bestandteil der AGB von Portican, und der Kunde nimmt ihn mit der Registrierung des Shops an. Auf Anfrage senden wir dem Kunden eine unterzeichnete Ausfertigung.

Wirksamkeit und Änderungen. Diese Version wird 30 Tage nach Versand der Mitteilung an die Kunden per E-Mail wirksam. Für einen Kunden, der sich später registriert, wird sie mit dem Tag der Registrierung wirksam. Jede weitere Änderung teilen wir den Kunden per E-Mail mit; sie wird 30 Tage nach Versand der Mitteilung wirksam. Ein Kunde, der einer Änderung nicht zustimmt, kann den Vertrag zum Tag ihres Wirksamwerdens beenden.

1. Parteien

Verantwortlicher: der Portican-Kunde, der den Shop betreibt (nachfolgend „Kunde“), mit den bei der Registrierung angegebenen Daten.

Auftragsverarbeiter: Nydrok LLC, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, USA, EIN 36-5152970. Vertreter in der EU nach Art. 27 DSGVO: Matúš Mikčo, Duplín 119, 091 01 Stropkov, Slowakische Republik, matus@portican.com.

2. Gegenstand, Art und Zweck

Der Auftragsverarbeiter verarbeitet personenbezogene Daten der Shopkunden des Kunden ausschließlich, um für den Kunden den Portican-Shop zu betreiben: Darstellung des Shops, Annahme und Abwicklung von Bestellungen, Kundenkonten, Kommunikation mit den Shopkunden, Versand, Belege, Datensicherung, Support und den Assistenten in der Verwaltung. Er verarbeitet nur im Umfang der Funktionen, die der Kunde eingeschaltet hat.

3. Umfang

Betroffene Personen	Kunden und Interessenten des Shops des Kunden, Empfänger von Sendungen, Shop-Personal und Partner mit Zugang zur Verwaltung
Kategorien von Daten	Name, Kontaktdaten, Rechnungs- und Lieferadressen, Bestellungen, Zahlungsstatus (ohne Kartendaten), Kommunikation, Zugangs- und technische Daten
Besondere Kategorien (Art. 9)	der Kunde stellt sie nicht in den Shop ein; muss er sie verarbeiten (etwa bei einem Sortiment aus dem Gesundheitsbereich), teilt er das vorher mit, und die Parteien vereinbaren zusätzliche Maßnahmen
Dauer	für die Vertragsdauer und die Fristen nach Ziffer 11 der AGB

4. Rechte und Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Weisungen, die er erteilt, verantwortlich. Er hat das Recht, Weisungen zu erteilen, die Erfüllung dieses Vertrags zu kontrollieren und der Hinzuziehung weiterer Auftragsverarbeiter nach Ziffer 6 zu widersprechen.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

• verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungen sind diese Bedingungen, die Einstellungen des Shops und schriftliche Weisungen des Kunden. Verstößt eine Weisung seiner Auffassung nach gegen geltendes Recht, weist er den Kunden unverzüglich darauf hin;
• verpflichtet jede Person, die Zugang zu den Daten hat, zur Vertraulichkeit;
• trifft technische und organisatorische Maßnahmen nach Anlage 1;
• zieht weitere Auftragsverarbeiter nur nach Ziffer 6 hinzu;
• unterstützt den Kunden bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch), und zwar mit Funktionen der Verwaltung und dem Export;
• unterstützt den Kunden bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation;
• meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Bekanntwerden, mit den Informationen, die ihm vorliegen;
• löscht nach Vertragsende nach Wahl des Kunden die Daten oder gibt sie ihm per Export zurück und löscht sie danach, einschließlich vorhandener Kopien. Die Fristen stehen in Ziffer 11 der AGB: der Kunde hat nach Vertragsende 90 Tage Zugang zur Verwaltung mit der Möglichkeit des Exports, danach werden die Daten weitere 90 Tage ohne seinen Zugang aufbewahrt und dann gelöscht. Kopien in Backups erlöschen spätestens 90 Tage nach der Löschung. Die Löschung betrifft keine Daten, die der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats aufbewahren muss, insbesondere Belege und Buchführungsunterlagen;
• stellt dem Kunden die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen. Die Überprüfung kann der Kunde selbst oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer durchführen. Sie erfolgt zunächst über einen schriftlichen Fragebogen; eine Inspektion vor Ort kündigt der Kunde mindestens 30 Tage vorher an und trägt ihre Kosten selbst, sofern sie keinen Verstoß aufdeckt.

6. Weitere Auftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 genannten weiteren Auftragsverarbeiter. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Auftragsverarbeiters informiert der Auftragsverarbeiter den Kunden mindestens 30 Tage vorher per E-Mail. Das gilt auch für einen neuen Anbieter des Sprachmodells für den Assistenten und die übrigen Werkzeuge in der Verwaltung. Der Kunde kann innerhalb von 14 Tagen widersprechen; einigen sich die Parteien nicht, kann der Kunde den Vertrag ohne Sanktion zum Tag der Änderung beenden.

Die Nydrok LLC ist verpflichtet, mit jedem weiteren Auftragsverarbeiter, dem sie personenbezogene Daten der Shopkunden des Kunden zugänglich macht, einen Vertrag zu schließen, der ihm dieselben Datenschutzpflichten im Umfang von Art. 28 Abs. 4 DSGVO auferlegt, und haftet dem Kunden für deren Erfüllung. Die in Anlage 2 genannten Werkzeuge von fal.ai sind nicht für die Verarbeitung personenbezogener Daten von Shopkunden bestimmt.

7. Übermittlung außerhalb der Europäischen Union

Server und Datenbank der Shops stehen in der Europäischen Union (netcup, Wien, Österreich). Bilder, private Dateien, Exporte und Kopien der Backups speichert Cloudflare im Speicher R2 (Anlage 2). Der Auftragsverarbeiter hat seinen Sitz in den USA, und der Plattformadministrator greift auf die Leistung aus der Ferne auch aus Ländern außerhalb des EWR zu (Anlage 2). Es handelt sich daher um eine Übermittlung von Daten in ein Drittland.

• Für die Übermittlung vom Kunden an den Auftragsverarbeiter gelten die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 der Kommission, Modul 2 (Übermittlung von Verantwortlichen an Auftragsverarbeiter), als geeignete Garantie nach Art. 46 Abs. 2 Buchst. c DSGVO. Der Kunde ist Datenexporteur, die Nydrok LLC Datenimporteur und Auftragsverarbeiter. Die Klauseln sind durch Verweis mit folgenden Optionen in diesen Vertrag einbezogen: Klausel 7 (Kopplungsklausel) findet Anwendung; Klausel 9 Buchst. a Option 2 (allgemeine Genehmigung, Mitteilung 30 Tage im Voraus); Klausel 11 ohne unabhängige Streitbeilegungsstelle; Klausel 13: zuständig ist die Aufsichtsbehörde des Mitgliedstaats, in dem der Kunde niedergelassen ist (Anhang I.C); Klausel 17 Option 1, Recht der Slowakischen Republik; Klausel 18 Gerichte der Slowakischen Republik. Die Anhänge der Klauseln bilden die Ziffern 1 bis 3 und die Anlagen 1 und 2 dieses Vertrags.
• Die Übermittlung an weitere Auftragsverarbeiter außerhalb des EWR sichert die Nydrok LLC durch die Zertifizierung des Dienstleisters nach dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der Kommission), durch Standardvertragsklauseln im Vertrag mit dem Dienstleister oder durch einen Angemessenheitsbeschluss der Kommission für das Land des Dienstleisters ab.
• Verlieren die Klauseln, der Rahmen oder der Angemessenheitsbeschluss ihre Gültigkeit, stellt der Auftragsverarbeiter unverzüglich auf ein anderes Instrument nach Kapitel V DSGVO um und informiert den Kunden darüber.

8. Anwendbares Recht

Dieser Vertrag unterliegt dem Recht der Slowakischen Republik. Für Streitigkeiten sind die Gerichte der Slowakischen Republik zuständig.

Anlage 1: Technische und organisatorische Maßnahmen

Bereich	Maßnahme
Standort	Server und Datenbank der Shops bei der netcup GmbH in Wien (Österreich); Bilder, private Dateien, Exporte und Kopien der Backups im Speicher Cloudflare R2
Übertragung	verschlüsselte HTTPS-Verbindung, Schutz vor Angriffen über Cloudflare
Backups	Backup jede Nacht, geprüft durch Wiederherstellung in eine temporäre Datenbank; auf dem Server 7 tägliche und 4 wöchentliche Kopien; Kopie außerhalb des Servers in Cloudflare R2, dort 90 Tage aufbewahrt
Geheimnisse der Integrationen	Verschlüsselung mit AES-256-GCM, in der Verwaltung maskiert
Trennung der Shops	jeder Shop hat einen eigenen Kanal und eigene Berechtigungen, Export und Löschung nur für den jeweiligen Shop
Zugang	Name und Passwort; Zwei-Faktor-Authentifizierung (TOTP mit Backup-Codes) verpflichtend für Plattformadministratoren, für das Shop-Personal optional oder vom Shop vorgeschrieben
Assistent in der Verwaltung	personenbezogene Daten eines Shopkunden erhält das Sprachmodell nur nach ausdrücklicher Zustimmung des Shop-Personals; die Zustimmung wird protokolliert und gilt nur für die Person, die zugestimmt hat, und für den mitgeteilten Verarbeitungsort (in der EU oder außerhalb der EU); in einem Gespräch höchstens 20 Offenlegungen
Löschung	die Löschung eines Shops löst der Plattformadministrator nach Ablauf der Fristen manuell aus, mit Bestätigung durch Eintippen der Shop-Bezeichnung; Belege und Buchführungsunterlagen werden so lange aufbewahrt, wie es die Vorschriften verlangen
Serverprotokolle	Zugriffsprotokolle der Shops höchstens 7 Tage
Zahlungskarten	Kartendaten verarbeitet nur Stripe, Portican hat sie nicht

Anlage 2: Weitere Auftragsverarbeiter und Zugriffsländer

Auftragsverarbeiter	Tätigkeit	Ort der Verarbeitung	Übermittlungsinstrument
netcup GmbH, Karlsruhe, Deutschland	Server, Datenbank, Backups auf dem Server	EU, Wien (Österreich)	nicht erforderlich
Cloudflare, Inc., USA	Auslieferung der Website, Schutz vor Angriffen, Speicher R2 (Bilder, private Dateien, Exporte der Shops, Kopien der Backups)	weltweites Netz; Speicher R2 nach der bei den Buckets eingestellten Jurisdiktion	Ziffer 7 Nr. 2
Mailgun Technologies, Inc., europäische Region	E-Mail-Versand der Shops (Standardanbieter)	EU	Ziffer 7 Nr. 2
Amazon Web Services, Inc. (Amazon SES)	Ersatz-E-Mail-Versand bei einem Ausfall von Mailgun oder Hauptversand, wenn der Plattformadministrator umschaltet	Region je nach Einstellung, standardmäßig EU (Frankfurt)	Ziffer 7 Nr. 2
OpenAI OpCo, LLC, USA	Assistent in der Verwaltung: Gespräch mit dem Shop-Personal, Bilder und Dateien, die das Personal anhängt, und nach ausdrücklicher Zustimmung des Personals auch Name, E-Mail, Telefon und Adresse des Shopkunden einer bestimmten Bestellung; Schreiben und Übersetzen von Inhalten (Blog, Produktseiten, Katalogübersetzungen); Auslesen von Produktbildern; Podcast-Stimme aus Text	USA	Ziffer 7 Nr. 2
Features & Labels Inc. (fal.ai), USA	Erstellung und Bearbeitung von Produkt- und Werbebildern, Podcast-Stimme aus Text	USA und weitere Länder	Werkzeuge nicht für personenbezogene Daten bestimmt (siehe unten)
OpenStreetMap Foundation (Dienst Nominatim), Vereinigtes Königreich	Umwandlung der Adresse, die der Shopkunde im Shop eingibt, in einen Standort zur Berechnung des Versandpreises nach Entfernung; nur wenn der Shop diese Funktion einrichtet	Vereinigtes Königreich	Angemessenheitsbeschluss der Kommission

Stripe steht hier nicht: Zahlungen der Shopkunden nimmt der Händler über sein eigenes Stripe-Konto entgegen (die Zahlung entsteht mit dem Schlüssel des Shops auf seinem Konto), Stripe ist also sein Vertragspartner und kein weiterer Auftragsverarbeiter der Nydrok LLC. Die Nydrok LLC nutzt Stripe nur für Abonnementzahlungen und für Provisionsauszahlungen an Partner (Stripe Connect), was die Daten der Shopkunden nicht betrifft.

OpenAI und fal.ai. Sie verarbeiten Daten nur, wenn das Shop-Personal das jeweilige Werkzeug nutzt. Personenbezogene Daten von Shopkunden kann nur das Sprachmodell des Assistenten erhalten, und nur nach ausdrücklicher Zustimmung des Personals. Der Assistent teilt dem Personal zuerst mit, dass die Daten an den Server des Sprachmodells gehen und ob dieser in der EU oder außerhalb der EU liegt. Erst nach der Zustimmung darf er dem Modell Name, E-Mail, Telefon und Adresse des Shopkunden einer bestimmten Bestellung schicken. Die Zustimmung wird protokolliert (wer wann zugestimmt hat, Verarbeitungsort, welche Daten und welche Bestellung) und gilt nur für die Person, die zugestimmt hat, und nur für den mitgeteilten Verarbeitungsort; ändert sich der Ort, fragt der Assistent erneut. In einem Gespräch legt der Assistent Daten von Shopkunden höchstens 20-mal offen. Die Werkzeuge von fal.ai sind für Produktfotos und Werbebilder bestimmt; das Personal soll darin keine Daten von Shopkunden und keine Fotos von Personen einstellen.

Länder des Fernzugriffs des Administrators: USA (Sitz der Nydrok LLC) und weitere Länder außerhalb des EWR, aus denen der Plattformadministrator vorübergehend aus der Ferne zugreift. Ihre aktuelle Liste führt die Nydrok LLC im Verzeichnis von Verarbeitungstätigkeiten und stellt sie dem Kunden vor Beginn des Zugriffs und bei jeder Änderung zur Verfügung. Für diese Länder erstellt die Nydrok LLC eine schriftliche Beurteilung der Auswirkungen der Übermittlung nach Klausel 14.