Auftragsverarbeitungsvertrag

Zwischen

dem Auftraggeber — dem Großhändler, der dammi nach den Allgemeinen Geschäftsbedingungen nutzt, mit Firma und Anschrift aus seiner Anmeldung — im Folgenden „der Auftraggeber“ —

und dem Auftragnehmer — Adriano Pedone, Einzelunternehmen, handelnd unter der Geschäftsbezeichnung „dammi“, Lemsahler Landstraße 118 a, 22397 Hamburg — im Folgenden „dammi“ —.

Dieser Vertrag kommt zustande, indem der Auftraggeber ihm bei seiner Anmeldung in Textform zustimmt (Art. 28 Abs. 9 DSGVO). Er gilt in der Fassung, die zum Zeitpunkt der Zustimmung unter dammi.app/avv abrufbar war; dammi hält Datum und Fassung fest.

§ 1 Gegenstand und Dauer

(1) dammi stellt dem Auftraggeber die Bestellplattform dammi bereit. Dabei verarbeitet dammi personenbezogene Daten der Kunden, Mitarbeiter und Fahrer des Auftraggebers.

(2) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. dammi ist Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. dammi wird nicht Vertragspartner der Bestellungen. Die von diesem Vertrag umfassten Verarbeitungen erfolgen ausschließlich im Auftrag des Auftraggebers.

Davon zu unterscheiden sind die Daten, die dammi für die eigene Vertragsbeziehung mit dem Auftraggeber verarbeitet, insbesondere für Anmeldung, Buchung, Rechnung, Zahlung und Missbrauchsschutz. Für diese Verarbeitungen ist dammi selbst Verantwortlicher. Sie werden in den Datenschutzhinweisen für den Verwaltungsbereich beschrieben und sind nicht Gegenstand dieses Auftragsverarbeitungsvertrags.

(3) Dieser Vertrag läuft, solange der Hauptvertrag läuft. Er endet mit ihm, und § 10 gilt darüber hinaus.

§ 2 Art, Umfang und Zweck der Verarbeitung

Zweck: Betrieb einer Bestellplattform, auf der die Kunden des Auftraggebers Waren bestellen, den Stand ihrer Bestellungen verfolgen, Rechnungen einsehen und Lieferungen bestätigen.

Verarbeitungen: Erheben, Speichern, Ordnen, Auslesen, Abgleichen mit dem Warenwirtschaftssystem des Auftraggebers, Übermitteln per E-Mail und Push-Nachricht, Löschen und Anonymisieren.

Kategorien betroffener Personen

• Inhaber und Mitarbeiter der bestellenden Betriebe
• Ansprechpartner in den Stammdaten des Auftraggebers
• Fahrerinnen und Fahrer des Auftraggebers
• Administratoren des Auftraggebers
• Personen, die eine Lieferung entgegennehmen

Kategorien personenbezogener Daten

• Kontaktdaten: Name, Firmenname, Anschrift, E-Mail, Telefon, Fax
• Zugangsdaten: E-Mail und Passwort-Hash, ggf. zweiter Faktor
• Vertragsdaten: Kundennummer, Preise, Rabatte, Konditionen
• Bestelldaten: Artikel, Mengen, Zeitpunkte, Wunschliefertag, Anmerkungen, Lieferadresse, Beträge, Bearbeitungsstand
• Rechnungsdaten: Nummern, Datum, Beträge, Zahlungsstand
• Nutzungsdaten: Bestellverlauf, häufig bestellte Artikel, Warenkorb, erfolglose Produktsuchen (Suchbegriff, Tag, Kontokennung; dreißig Tage)
• Gerätedaten: Kennung für Push-Nachrichten, Plattform
• Zustellnachweise: Zeitpunkt, Unterschrift, gegebenenfalls Fotos und der Standort im Moment der Übergabe; Unterschrift, Fotos und den Standort bei der Übergabe löscht dammi sechs Jahre nach Ablauf des Kalenderjahres der Zustellung, spätestens aber mit der Löschung des Kundenkontos, das die Bestellung aufgegeben hat; der Zeitpunkt bleibt beim Auftrag
• Standortdaten der Fahrer während der Tour, wenn der Auftraggeber die Aufzeichnung eingeschaltet hat — auch bei gesperrtem Bildschirm, solange die Tour läuft; den Standortverlauf löscht dammi nach neunzig Tagen
• Protokolldaten: IP-Adressen zur Missbrauchsabwehr, technische Protokolle der Serverfunktionen (Zeitpunkt, aufgerufene Funktion, Kontokennung, gegebenenfalls IP-Adresse); Speicherdauer und Ort siehe Anlage 2

Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Auftraggeber verpflichtet sich, solche Daten auch nicht einzustellen — etwa in das Freitextfeld einer Bestellung oder in eine Kundennotiz.

§ 3 Weisungen

*(Art. 28 Abs. 3 Satz 2 lit. a)*

(1) dammi verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Weisungen für den Regelbetrieb ergeben sich aus dem Hauptvertrag, aus diesem Vertrag und aus den Einstellungen, die der Auftraggeber im Verwaltungsbereich vornimmt.

(2) Einzelweisungen erteilt der Auftraggeber in Textform an die in § 12 genannte Stelle. Mündliche Weisungen bestätigt er unverzüglich in Textform.

(3) dammi widerspricht, wenn eine Weisung gegen das Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3), und setzt sie bis zur Klärung aus. Bestehen bleibt die Verantwortung des Auftraggebers für die Rechtmäßigkeit seiner Weisungen.

(4) Eine Übermittlung in ein Drittland findet nur statt, soweit sie in § 6 vorgesehen ist oder der Auftraggeber sie anweist. Verpflichtet Unionsrecht oder mitgliedstaatliches Recht dammi zu einer Übermittlung, teilt dammi dies vorher mit, sofern das Recht die Mitteilung nicht verbietet.

Hinweispflichten von dammi an den Auftraggeber

Zwei Punkte, deren Einhaltung beim Auftraggeber liegt und auf die dammi ausdrücklich hinweist:

Standortdaten der Fahrer. Sie betreffen Beschäftigte. Der Auftraggeber braucht dafür eine eigene Rechtsgrundlage — § 26 BDSG oder eine Betriebsvereinbarung — und muss seine Fahrer informieren. Besteht ein Betriebsrat, ist die Einführung mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Die laufende Aufzeichnung ist ausgeschaltet, bis der Auftraggeber sie im Verwaltungsbereich einschaltet, und er kann sie dort jederzeit wieder ausschalten. Eingeschaltet überträgt die Fahrer-App den Standort während einer laufenden Tour auch im Hintergrund und bei gesperrtem Bildschirm; das Gerät zeigt das an, und mit dem Ende der Tour endet die Übertragung. Den Standort im Moment der Übergabe erfasst die Fahrer-App, solange der Auftraggeber das nicht abschaltet.

Zustellnachweise bei Kontolöschung. Löscht ein Kunde sein Konto, löscht dammi auch Unterschrift und Fotos der Zustellungen an ihn. Braucht der Auftraggeber sie länger als Beleg, sichert er sie vorher über den Datenexport im Verwaltungsbereich.

Einwilligung in Push-Nachrichten. Sie holt die App auf dem Gerät ein. Ob die Information dazu genügt, verantwortet der Auftraggeber als Verantwortlicher.

§ 4 Vertraulichkeit

*(Art. 28 Abs. 3 Satz 2 lit. b)*

(1) dammi setzt zur Verarbeitung nur Personen ein, die schriftlich zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

(2) Zur Verarbeitung eingesetzt ist der Inhaber. Jede weitere Person — angestellt oder frei — wird vor dem ersten Zugriff verpflichtet. Die Verpflichtungserklärungen legt dammi auf Verlangen vor.

(3) dammi macht die eingesetzten Personen mit den Vorgaben dieses Vertrages vertraut.

§ 5 Technische und organisatorische Maßnahmen

*(Art. 28 Abs. 3 Satz 2 lit. c, Art. 32)*

(1) Die Maßnahmen sind in Anlage 1 am Ende dieses Vertrages beschrieben. Sie sind Vertragsbestandteil.

(2) Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt dammi mit.

(3) Der Auftraggeber bestätigt, dass er Anlage 1 gelesen hat und die Maßnahmen für den Zweck der Verarbeitung als angemessen ansieht.

§ 6 Weitere Auftragsverarbeiter

*(Art. 28 Abs. 2 und 4)*

(1) Der Auftraggeber stimmt der Einschaltung der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Änderungen kündigt dammi mindestens dreißig Tage vorher in Textform an. Der Auftraggeber kann innerhalb von vierzehn Tagen aus wichtigem Grund widersprechen. Widerspricht er, und lässt sich keine Lösung finden, darf jede Seite den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.

(3) dammi verpflichtet jeden Unterauftragsverarbeiter auf im Wesentlichen gleiche Pflichten und haftet für ihn wie für eigenes Handeln.

Anlage 2 — Die Unterauftragsverarbeiter

Zur Dateiablage: Unterschriften und Zustellfotos liegen in einem eigenen Speicher in Frankfurt (europe-west3). Artikel- und Kategoriebilder sowie Logos liegen in Frankfurt in einem zweiten Speicher. Ein älterer Speicher in den Vereinigten Staaten enthält noch Altbestände solcher Bilder aus der Zeit vor dem 21.08.2026; dammi legt dort nichts mehr ab, und er wird nach Abschluss des Umzugs gelöscht.

Zum Supportpostfach: Mails an info@dammi.app und support@dammi.app leitet Cloudflare an ein Postfach bei Google (Gmail) weiter, aus dem dammi antwortet. Der Auftraggeber schickt dorthin nur, was für seine Anfrage nötig ist; Kundendaten tauscht er mit dammi über den Verwaltungsbereich aus.

Zu den Betriebsprotokollen: Die Protokolle der Serverfunktionen (Zeitpunkt, aufgerufene Funktion, Kontokennung, Fehlermeldungen, gegebenenfalls IP-Adresse) hält Google Cloud Logging 30 Tage vor. Davon getrennt führt Google selbst Prüfprotokolle über Änderungen an der Einrichtung des Projekts (wer hat wann was geändert); diese hält Google 400 Tage. Einen Speicherort in der Europäischen Union sagt Google für diese Protokolle nicht zu; Grundlage ist wie oben der Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen, hilfsweise die Standardvertragsklauseln.

Eigene Händlerabrechnung durch dammi: Ab Freischaltung der Bezahlfunktion wickelt Stripe die Zahlung der dammi-Gebühren ab; bis dahin zahlt kein Auftraggeber dammi-Gebühren über Stripe. Diese Verarbeitung betrifft die eigene Vertragsbeziehung zwischen dammi und dem Auftraggeber und gehört nicht zu den hier beauftragten Verarbeitungen. Stripe ist deshalb für diesen Zweck kein Unterauftragsverarbeiter in dieser Tabelle. Die Datenschutzhinweise für den Verwaltungsbereich erläutern die Zahlungsabwicklung. Warenzahlungen zwischen dem Auftraggeber und seinen Kunden erfolgen nicht über dammi.

Ausdrücklich: An Resend, Inc. geht der vollständige Inhalt jeder Bestellmail, also auch die bestellten Positionen und der Name des Bestellers. Einen Versanddienst mit Sitz in der Europäischen Union bietet dammi derzeit nicht an; ändert sich das, nennen wir ihn in dieser Anlage nach § 6 Abs. 2.

Nicht Unterauftragsverarbeiter von dammi, sondern eigene Dienstleister des Auftraggebers, mit denen er selbst einen Vertrag hat: die Anbieter seiner Warenwirtschaft (weclapp SE, deltra Business Software GmbH & Co. KG für orgaMAX, der Anbieter von Lexware Office, bexio AG, sevdesk GmbH oder der Betreiber seiner Odoo-Instanz). dammi übermittelt die Bestellungen dorthin auf Weisung des Auftraggebers.

§ 7 Unterstützung bei Betroffenenrechten

*(Art. 28 Abs. 3 Satz 2 lit. e)*

(1) Wendet sich eine betroffene Person an dammi, leitet dammi sie unverzüglich an den Auftraggeber weiter und antwortet nicht in der Sache. Der Auftraggeber ist der Verantwortliche; die Auskunft schuldet er.

(2) dammi unterstützt den Auftraggeber bei Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit — mit den Werkzeugen des Verwaltungsbereichs und, wo diese nicht reichen, von Hand.

(3) Antwortfrist gegenüber dem Auftraggeber: fünf Werktage, in dringenden Fällen unverzüglich. Diese Frist ist so bemessen, dass der Auftraggeber seine eigene Monatsfrist aus Art. 12 Abs. 3 halten kann.

(4) Ein Kunde kann die Löschung seines Kundenkontos in der App veranlassen. Bei erfolgreichem Abschluss sind Kundenprofil und Anmeldung gelöscht. Der Vorgang entfernt weitere dafür vorgesehene persönliche Angaben, nicht sämtliche Bestellungen und Nachweise. Verbleibende Kontokennungen, Geschäftsbezüge und weitere Angaben können weiterhin personenbezogen sein; eine vollständige Anonymisierung wird nicht zugesagt. Der Auftraggeber legt die weitere Aufbewahrung nach Zweck, Unterlagenart und einschlägiger Pflicht fest; § 257 HGB und § 147 AO begründen keine pauschale Zehnjahresfrist für alle Bestelldaten. Bei Fehlern oder ausbleibender Bestätigung ist der vollständige Löschabschluss unbestätigt und muss geklärt werden. Eine Datenauskunft als Datei kann jeder Kunde in der App selbst erzeugen; für den Auftraggeber stellt dammi sie auf Anfrage zusammen.

§ 8 Unterstützung bei Sicherheit und Meldepflichten

*(Art. 28 Abs. 3 Satz 2 lit. f, Art. 32–36)*

(1) dammi meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis (Art. 33 Abs. 2).

Diese Frist ist absichtlich kürzer als die 72 Stunden, die der Auftraggeber gegenüber der Aufsichtsbehörde hat — er braucht Zeit für seine eigene Meldung.

(2) Die Meldung enthält, soweit bekannt: was geschehen ist und wann, welche Kategorien und wie viele Betroffene und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und eine Kontaktstelle. Angaben, die zum Zeitpunkt der Meldung nicht vorliegen, reicht dammi nach.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Auftraggeber. dammi meldet nicht an seiner Stelle und stellt ihm alles zur Verfügung, was er dafür braucht.

(4) dammi unterstützt bei der Datenschutz-Folgenabschätzung (Art. 35) und bei einer vorherigen Konsultation (Art. 36), soweit die Informationen bei dammi liegen.

§ 9 Nachweise und Kontrollen

*(Art. 28 Abs. 3 Satz 2 lit. h)*

(1) dammi weist die Einhaltung nach — durch Anlage 1, durch die Nachweise der Unterauftragsverarbeiter (Google: ISO 27001, SOC 2, ISO 27018) und durch Auskunft auf Anfrage.

(2) Der Auftraggeber darf einmal jährlich und bei begründetem Anlass kontrollieren, mit vierzehn Tagen Vorlauf, während der Geschäftszeiten und ohne den Betrieb unangemessen zu stören. Er darf eine unabhängige Prüferin oder einen Prüfer beauftragen, sofern diese nicht mit dammi im Wettbewerb stehen und zur Verschwiegenheit verpflichtet sind.

(3) Eine Kontrolle darf nicht dazu führen, dass der Auftraggeber Daten anderer Auftraggeber sieht. dammi bereitet Nachweise so auf, dass die Trennung gewahrt bleibt.

§ 10 Löschung und Rückgabe

*(Art. 28 Abs. 3 Satz 2 lit. g)*

(1) Nach Ende des Hauptvertrags löscht dammi alle Daten des Auftraggebers oder gibt sie zurück — der Auftraggeber wählt, in Textform, innerhalb von dreißig Tagen nach Vertragsende. Trifft er keine Wahl, wird gelöscht.

(1a) Längere Aufbewahrung nur auf Weisung. Auf ausdrückliche Weisung des Auftraggebers, festgehalten in Textform, hebt dammi die Daten stattdessen bis zu zwölf Monate unverändert auf, damit der Auftraggeber den Betrieb ohne neuen Aufbau wiederaufnehmen kann. Der Auftraggeber kann diese Weisung jederzeit widerrufen; dann gilt Absatz 1 mit einer Frist von dreißig Tagen ab Widerruf.

(2) Die Herausgabe erfolgt in einem gängigen, maschinenlesbaren Format.

(3) Ausgenommen sind Daten, die dammi aufgrund gesetzlicher Pflicht aufbewahren muss. Sie werden gesperrt und nur zu diesem Zweck verarbeitet.

(4) Sicherungskopien der Datenbank laufen nach spätestens 98 Tagen aus, die verschlüsselten Sicherungen der Anmeldekonten nach vierzehn Tagen. Überschriebene oder gelöschte Dateien hält die Dateiablage als ältere Fassung vor — Artikelbilder, Logos und übrige Dateien bis zu 30 Tage, Unterschriften und Zustellfotos bis zu 400 Tage; danach liegt Gelöschtes noch bis zu sieben Tage in einem geschützten Papierkorb des Speicherdienstes. Ein gezieltes Entfernen einzelner Datensätze aus einer Sicherung ist technisch nicht möglich; Sicherungen werden nicht wiederhergestellt außer im Störungsfall.

(5) Die Löschung bestätigt dammi in Textform.

§ 11 Haftung und Sonstiges

(1) Es gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregeln des Hauptvertrags.

(2) Änderungen bedürfen der Textform.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist der Sitz von dammi, soweit zulässig.

(5) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(6) Rechtsnachfolge. dammi darf diesen Vertrag zusammen mit dem Hauptvertrag auf ein Unternehmen übertragen, das der Inhaber zur Fortführung desselben Geschäftsbetriebes gründet oder erwirbt — insbesondere im Zuge eines Wechsels der Rechtsform. dammi kündigt das mindestens sechs Wochen vorher in Textform an und weist dabei auf das Kündigungsrecht nach Satz 3 hin. Der Auftraggeber kann diesen Vertrag und den Hauptvertrag in diesem Fall zum Zeitpunkt des Übergangs kündigen. Die Pflichten aus diesem Vertrag gehen unverändert auf das übernehmende Unternehmen über; die technischen und organisatorischen Maßnahmen sinken dabei nicht.

§ 12 Ansprechpartner

Für Meldungen nach § 8 gilt ausschließlich die hier genannte E-Mail-Adresse. Sie wird werktags mindestens einmal täglich gelesen.

§ 13 Auftraggeber mit Sitz in Österreich oder der Schweiz

*(Dieser Paragraph gilt nur, soweit der Auftraggeber seinen Sitz außerhalb Deutschlands hat. Für deutsche Auftraggeber ist er ohne Bedeutung.)*

(1) Österreich. Die Datenschutz-Grundverordnung gilt unverändert. Zuständige Aufsichtsbehörde des Auftraggebers ist die Österreichische Datenschutzbehörde. Meldungen nach § 8 dieses Vertrages gehen unverändert an den Auftraggeber; die Meldung an seine Behörde obliegt ihm.

(2) Schweiz. Neben der Datenschutz-Grundverordnung ist auf die Verarbeitung das schweizerische Bundesgesetz über den Datenschutz (DSG) anwendbar. Die Parteien sind sich einig, dass

• die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ in diesem

Vertrag den Begriffen „Verantwortlicher“ und „Auftragsbearbeiter“ des DSG entsprechen und „Verarbeiten“ dem „Bearbeiten“;

• zuständige Behörde des Auftraggebers der Eidgenössische Datenschutz-

und Öffentlichkeitsbeauftragte ist;

• die Meldefrist aus § 8 Abs. 1 dieses Vertrages — 24 Stunden nach

Kenntnis — auch für Meldungen nach dem DSG gilt und dessen Anforderung „möglichst rasch“ erfüllt;

• **der Auftraggeber der Einschaltung der in Anlage 2 genannten weiteren

Auftragsverarbeiter mit seiner Zustimmung bei der Anmeldung ausdrücklich zustimmt.** Für jede Änderung gilt § 6 Abs. 2.

Anlage 1 — Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO, die dammi für die Verarbeitung im Auftrag trifft. Sie werden fortlaufend weiterentwickelt; das Schutzniveau sinkt dabei nicht (§ 5 Abs. 2).

1 · Verschlüsselung und Pseudonymisierung

Auf dem Weg. Sämtliche Verbindungen laufen über TLS — Kunden-App, Verwaltungsbereich, Serverfunktionen, Datenbank. Unverschlüsselte Verbindungen nimmt keine Komponente an.

Im Ruhezustand. Datenbank, Dateiablage und Anmeldedienst verschlüsseln alles, was gespeichert wird, mit AES-256.

Zugangsdaten zu fremden Systemen. Die Zugänge zur Warenwirtschaft des Auftraggebers liegen mit AES-256-GCM verschlüsselt in der Datenbank. Das Verfahren erkennt zusätzlich jede Veränderung der verschlüsselten Daten. Der Schlüssel hat 256 Bit und liegt ausschließlich in einem getrennten Geheimnisspeicher (Google Secret Manager), nicht im Quelltext und nicht in der Datenbank.

Der Zugangsschlüssel zum Mailversand kommt ausschließlich aus dem Geheimnisspeicher. Ein Rückgriff auf einen in der Datenbank hinterlegten Wert ist ausgeschlossen.

Passwörter speichert der Anmeldedienst als nicht rückrechenbaren Wert (scrypt-Familie). Ein Klartextpasswort ist für dammi zu keinem Zeitpunkt sichtbar.

Pseudonymisierung. Das Löschungsprotokoll führt die ersten acht Zeichen einer Kontokennung. Bestellungen gelöschter Kunden behalten Kontokennungen und Geschäftsbezüge (§ 7 Abs. 4). Auch gekürzte Kennungen und Hashwerte sind nicht automatisch anonym; eine Zuordnung kann weiterhin möglich sein. Missbrauchszähler der Selbstanmeldung tragen keine Klartextadressen, sondern einen Prüfwert, der mit einem geheimen Schlüssel gebildet wird (HMAC-SHA256); ohne den Schlüssel lässt er sich nicht durch Durchprobieren von Adressen zurückführen.

2 · Vertraulichkeit

2.1 Zutritt zu Räumen

dammi betreibt keine eigenen Server. Datenbank, Dateiablage und Serverfunktionen laufen in Rechenzentren von Google innerhalb der Europäischen Union — Frankfurt, Berlin und Belgien; für den physischen Schutz gelten deren Nachweise (ISO 27001, SOC 2, ISO 27018). Keine Serverfunktion läuft außerhalb der Europäischen Union. Der Anmeldedienst (Firebase Authentication) wird in Rechenzentren in den Vereinigten Staaten betrieben (Anlage 2).

Die Dateiablage für Unterschriften und Zustellfotos liegt in Frankfurt, ebenso die für Artikel- und Kategoriebilder sowie Logos. Altbestände solcher Bilder liegen noch in einem älteren Speicher in den Vereinigten Staaten (Anlage 2). Betriebsprotokolle speichert Google ohne Zusage eines Speicherorts in der Europäischen Union (Anlage 2).

2.2 Zugang zu Systemen

Erstzugang zum Verwaltungsbereich über einen Zugangscode: zehn Zeichen aus einem Alphabet von 32 Zeichen ohne die verwechselbaren I, O, 0 und 1, erzeugt aus kryptografisch sicherem Zufall. Der Code gilt 14 Tage und wird nach Gebrauch ungültig.

Begrenzung der Versuche. Kunden- und Admin-Registrierung: höchstens fünf Versuche je Kombination aus E-Mail- und IP-Adresse sowie zwanzig je IP-Adresse in fünfzehn Minuten. Passwortzurücksetzung: fünf Versuche je IP-Adresse in fünfzehn Minuten und drei je E-Mail-Adresse pro Stunde. Selbstanmeldung von Interessenten: drei je IP-Adresse und Stunde, zwei je E-Mail-Adresse und Tag, fünf je Domain und Tag. Die Zähler werden anhand der Absenderadresse geführt, die der Netzrand von Google setzt und die der Aufrufer nicht beeinflussen kann. Zähler der Registrierung werden nach 24 Stunden, die der Selbstanmeldung nach 30 Tagen automatisch entfernt.

Kostendeckel je Auftraggeber. Vorgänge, die Last auf der Warenwirtschaft des Auftraggebers oder Kosten bei dammi verursachen — Abgleiche, Importe, Preisabfragen — sind je Mandant und je Konto auf eine Zahl je Stunde begrenzt, die im normalen Betrieb nicht erreicht wird.

2.3 Zugriff auf Daten

Wer was sehen darf, entscheiden die Sicherheitsregeln der Datenbank und der Dateiablage — also der Server, nicht die App.

Der Betreiber kann zur Störungsbehebung technisch auf Inhaltsdaten zugreifen. Dieser Zugriff ist auf die in § 3 beschriebenen Weisungen beschränkt und in der Datenschutzerklärung für den Verwaltungsbereich offengelegt.

2.4 Trennung der Mandanten

Jeder Auftraggeber liegt in der Datenbank unter einem eigenen Mandantenpfad. Die Sicherheitsregeln prüfen bei jedem Zugriff die Mandantenzugehörigkeit des Kontos; ein Zugriff auf Daten eines fremden Mandanten wird abgewiesen. Die Regeln werden mit mehr als tausend automatischen Prüffällen in einer Nachbildung von Datenbank und Dateiablage geprüft.

Innerhalb eines Mandanten sind die Rollen aus 2.3 getrennt. Das Wurzeldokument eines Mandanten, aus dem die Kunden-App liest, ob Bestellungen angenommen werden, enthält ausschließlich Felder aus einer festgelegten Erlaubnisliste; Zugangsdaten und personenbezogene Daten der Kunden stehen dort nicht.

3 · Integrität

3.1 Serverseitige Prüfung

Preise werden auf dem Server neu berechnet; Beträge, welche die App mitschickt, werden verworfen. Mindestbestellwert, Verfügbarkeit und Mengenregeln werden serverseitig geprüft.

3.2 Eingabekontrolle

Vorgänge im Verwaltungsbereich werden protokolliert — Handlung, handelnde Person, Zeitpunkt und betroffener Datensatz; bei serverseitigen Änderungen außerdem Kontokennung und IP-Adresse. Der regelmäßige Aufräumlauf berücksichtigt diese Einträge nach 365 Tagen. Im Betreiberbereich berücksichtigt er Einträge zu Bestellungen und Abrechnung nach 3.650 Tagen ab Eintrag, andere Einträge nach 365 Tagen. Die Verarbeitung erfolgt in begrenzten Durchläufen; der tatsächliche Löschzeitpunkt kann später liegen. Diese technischen Zeiträume sind keine pauschalen gesetzlichen Fristen für sämtliche protokollierten Angaben. Bestellungen tragen ihren vollständigen Zustandsverlauf.

3.3 Zustellkontrolle

Jede Bestellmail gilt erst als versendet, wenn der Versanddienst eine Nachrichtenkennung zurückgibt. Fehlt sie oder meldet der Dienst einen Fehler, wird der Versand als Fehlschlag behandelt und die Bestellung entsprechend gekennzeichnet. Alle Sendestellen laufen über ein gemeinsames Modul; eine automatische Prüfung stellt sicher, dass keine Stelle daran vorbei sendet.

3.4 Überwachung

Die beiden Sonden fragen nur den Betriebszustand ab und erhalten keine personenbezogenen Daten. Die Wächter werden regelmäßig mit einer echten Prüfbestellung gegengeprüft (Abschnitt 5).

4 · Verfügbarkeit und Belastbarkeit

Sicherung. Sicherungen der Datenbank werden täglich automatisch erstellt und vierzehn Tage vorgehalten, zusätzlich wöchentlich und vierzehn Wochen (98 Tage) vorgehalten. Außerdem lässt sich der Stand eines beliebigen Zeitpunkts der letzten sieben Tage wiederherstellen. Die Datenbank trägt einen Löschschutz und lässt sich nicht versehentlich entfernen. Die Anmeldekonten werden täglich verschlüsselt in Frankfurt gesichert und vierzehn Tage aufbewahrt. Die Dateiablage ist versioniert: Überschriebene oder gelöschte Dateien lassen sich zurückholen — Artikelbilder, Logos und übrige Dateien 30 Tage, Unterschriften und Zustellfotos 400 Tage.

Rücksicherung getestet. Am 10. Oktober 2026 haben wir eine Sicherung der Datenbank vollständig in eine getrennte Ersatzdatenbank zurückgespielt (Dauer rund zwölf Minuten) und die Bestände stichprobenweise verglichen. Die Rücksicherung der Anmeldekonten und der Dateiablage ist bisher nur in einer Testumgebung beziehungsweise an einer einzelnen Datei getestet, nicht als vollständige Rücksicherung in der Cloud. Die Probe der Datenbank wiederholen wir vierteljährlich; Anmeldekonten und Dateiablage nehmen wir dabei hinzu.

Ausfallsicherheit. Die Datenbank in Frankfurt liegt über mehrere Zonen. Serverfunktionen starten selbsttätig neu und skalieren mit der Last.

Lastentkopplung. Die Fahrer-Funktionen laufen in einer eigenen Region (Berlin) mit eigenem Kontingent, damit ihre Last die Bestellannahme nicht beeinträchtigt.

Ausrollen. Serverfunktionen werden einzeln benannt ausgerollt, nie gesammelt, und nicht während der üblichen Bestellzeiten. Änderungen am Bestellweg werden nach dem Ausrollen mit einer echten Prüfbestellung belegt.

5 · Regelmäßige Überprüfung

Automatische Prüfungen. Vor jedem Ausrollen läuft nach unserer festen Arbeitsregel ein Prüflauf mit mehreren tausend Einzelprüfungen über Serverfunktionen, Verwaltungsbereich, Betreiberbereich und Kunden-App. Jede Prüfung hält fest, warum die geprüfte Regel gilt.

Prüfbestellung. Nach jeder Änderung am Bestellweg wird eine echte Bestellung auf einem dafür vorgesehenen Mandanten durch das ganze System geschickt und ihr Weg nachgemessen.

Missbrauchsabwehr. Firebase App Check verwendet in der Web-Fassung und im Verwaltungsbereich Google reCAPTCHA Enterprise, in der Android-Fassung Google Play Integrity und in der iOS-Fassung den Apple-Dienst DeviceCheck. Dabei werden technische Angaben über App und Gerät an Google übermittelt, um die Echtheit der Anfragen zu prüfen. Einzelne Serverfunktionen verlangen eine gültige Prüfmarke bereits; für die übrigen wird diese Pflicht stufenweise eingeschaltet.

Nachweise der Unterauftragsverarbeiter. Für die Rechenzentren gelten die Nachweise aus § 9 Abs. 1.

6 · Was der Auftraggeber bekommt

Auskunft, Berichtigung, Löschung. Der Auftraggeber kann jeden Kundendatensatz im Verwaltungsbereich einsehen und ändern. Die Löschung eines Kundenkontos leistet die Kunden-App selbst; auf Verlangen führt der Betreiber sie aus.

Herausgabe. Der Auftraggeber kann seine Daten jederzeit selbst im Verwaltungsbereich herunterladen, in einem gängigen, maschinenlesbaren Format; auf Verlangen stellt dammi sie zusammen (§ 10 Abs. 2).

Löschung nach Vertragsende. Nach Wahl des Auftraggebers Löschung oder Rückgabe innerhalb von dreißig Tagen (§ 10). Für Sicherungskopien und ältere Dateifassungen gelten die Fristen aus § 10 Abs. 4; ein gezieltes Löschen einzelner Datensätze aus einer Sicherung ist technisch nicht möglich.