Version: 2026-10-14-v2

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

17.09.2026

zwischen dem in der Bestellung bezeichneten Kunden als Verantwortlichem („Auftraggeber“)

und

Ronny Moritz, Einzelunternehmer, handelnd unter PHEREXO, Bathwiesenweg 3, 63633 Birstein, Deutschland, office@pherexo.com, als Auftragsverarbeiter („Auftragnehmer“).

1. Gegenstand, Dauer und Rang

1. Diese AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung von PHEREXO Core, soweit der Auftragnehmer personenbezogene Daten im Auftrag verarbeitet. 2. Gegenstand ist Hosting, Speicherung, Strukturierung, Anzeige, technischer Datenabgleich, Dokumenten-/PDF-Verarbeitung, Integritätssicherung, Export, Sicherung, Support und Löschung der vom Auftraggeber in PHEREXO Core verwalteten Auftragsdaten. Eine rechtliche Compliance-, Audit- oder Zertifizierungsprüfung ist nicht Gegenstand der Verarbeitung. 3. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags zuzüglich technisch erforderlicher Rückgabe-, Sicherungs- und Löschfristen. Gesetzliche Aufbewahrungspflichten für eigene Daten des Auftragnehmers bleiben unberührt. 4. Bei datenschutzrechtlichen Widersprüchen geht diese AVV dem Hauptvertrag vor. Die Anhänge sind Bestandteil der AVV.

2. Weisungsbindung und Verantwortlichkeit

1. Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht entgegensteht. In diesem Fall informiert er den Auftraggeber vor der Verarbeitung, sofern das Gesetz dies erlaubt. 2. Die anfängliche Weisung ergibt sich aus Hauptvertrag, Leistungsbeschreibung, Systemkonfiguration und dieser AVV. Weitere Weisungen erfolgen in Textform an office@pherexo.com. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. 3. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen. 4. Der Auftraggeber ist für Rechtmäßigkeit, Transparenz, Datenminimierung, Betroffeneninformation, Rechtsgrundlagen und Weisungen verantwortlich. Er stellt sicher, dass keine Daten verarbeitet werden, die für den vereinbarten Zweck nicht erforderlich sind. 5. Die Weisung zur Bereitstellung umfasst erforderliche administrative Zugriffe für Betrieb, Wartung, Fehlerbehebung, Sicherheitsmaßnahmen, Wiederherstellung und Support. Ein inhaltlicher Zugriff auf Kundendokumente erfolgt nur, soweit dies für den konkreten Vorgang erforderlich ist oder der Auftraggeber ihn ausdrücklich anfordert. 6. Bei KI-gestützter Administration mit OpenAI Codex werden Daten soweit praktikabel anonymisiert, pseudonymisiert, gekürzt oder durch Testdaten ersetzt. Passwörter, private Schlüssel, API-Geheimnisse und vollständige Produktivdatenbanken dürfen nicht als Prompt- oder Dateiinhalte an OpenAI übermittelt werden. Live-Zugriffe werden nur durch autorisierte PHEREXO-Administratoren ausgelöst und kontrolliert.

3. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind. Zugriffe werden nach dem Erforderlichkeitsprinzip vergeben und regelmäßig überprüft.

4. Sicherheit der Verarbeitung

1. Der Auftragnehmer trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen, Zwecken und Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. 2. Sie dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. 3. Der Auftraggeber ist für sichere Endgeräte, Browser, lokale Exporte, eigene Zugangsdaten, Rollenzuweisungen und innerbetriebliche Berechtigungen verantwortlich.

5. Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. 2. Der Auftragnehmer informiert mindestens 30 Tage vor einem neuen oder ersetzten Unterauftragsverarbeiter in Textform oder über eine dauerhaft erreichbare Unterauftragsverarbeiter-Liste. Der Auftraggeber kann aus berechtigten datenschutzrechtlichen Gründen innerhalb von 14 Tagen widersprechen. 3. Kann keine zumutbare Lösung gefunden werden, darf der Auftraggeber die betroffene Leistung zum Einsatzzeitpunkt außerordentlich kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter inhaltlich entsprechend Art. 28 Abs. 4 DSGVO. 4. Stripe verarbeitet Zahlungs- und Abrechnungsdaten je nach konkreter Tätigkeit teilweise als eigener Verantwortlicher und teilweise als Auftragsverarbeiter von PHEREXO. Stripe erhält grundsätzlich keine in den Prüftools gespeicherten Dokumentinhalte.

6. Drittlandübermittlungen

1. Die Auftragsverarbeitung für den Kernbetrieb wird grundsätzlich in EU-/EWR-Infrastruktur erbracht. Eine Drittlandübermittlung erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO und dokumentierter Weisung, soweit sie nicht für einen vereinbarten Dienst bereits transparent festgelegt ist. 2. Soweit ein genehmigter Anbieter Unterauftragnehmer außerhalb des EWR einsetzt, stützt der Auftragnehmer die Übermittlung auf einen Angemessenheitsbeschluss, Standardvertragsklauseln oder ein anderes zulässiges Instrument und führt erforderlichenfalls eine Transfer-Folgenabschätzung durch.

7. Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. 2. Anfragen Betroffener zu Auftragsdaten leitet der Auftragnehmer unverzüglich weiter und beantwortet sie nur auf Weisung, sofern keine eigene gesetzliche Pflicht besteht. 3. Der Auftragnehmer unterstützt angemessen bei Datenschutz-Folgenabschätzungen, vorheriger Konsultation sowie Pflichten nach Art. 32 bis 36 DSGVO. Nicht im Leistungsumfang enthaltene, außergewöhnliche Unterstützung darf nach vorheriger Abstimmung angemessen vergütet werden, sofern der Anlass nicht vom Auftragnehmer zu vertreten ist.

8. Datenschutzverletzungen

1. Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten, grundsätzlich ohne schuldhaftes Zögern und soweit möglich innerhalb von 24 Stunden. 2. Die Meldung enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, getroffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Fehlende Informationen werden nachgereicht. 3. Der Auftragnehmer dokumentiert den Vorfall, unterstützt die Risikobewertung und trifft angemessene Eindämmungs- und Abhilfemaßnahmen. Die Entscheidung über Meldungen nach Art. 33 und 34 DSGVO obliegt dem Auftraggeber, soweit dieser Verantwortlicher ist.

9. Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung. Geeignete Zertifikate, Prüfberichte und standardisierte Sicherheitsauskünfte haben Vorrang vor Vor-Ort-Prüfungen. 2. Der Auftraggeber kann bei berechtigtem Anlass, sonst höchstens einmal jährlich, mit mindestens 14 Tagen Vorlauf eine Prüfung während üblicher Geschäftszeiten durchführen oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. 3. Prüfungen dürfen Sicherheit, Vertraulichkeit anderer Kunden und Betrieb nicht beeinträchtigen. Aufwand außerhalb üblicher Nachweise darf angemessen berechnet werden, sofern ein Verstoß des Auftragnehmers nicht bestätigt wird.

10. Berichtigung, Rückgabe und Löschung

1. Während der Vertragslaufzeit ermöglicht der Auftragnehmer im Funktionsumfang Berichtigung, Export und Löschung oder führt diese auf Weisung durch. 2. Nach Vertragsende gibt der Auftragnehmer Auftragsdaten auf Wunsch in einem verfügbaren gängigen Format zurück und löscht verbleibende operative Kopien nach Ablauf der vereinbarten Nachhaltefrist, derzeit grundsätzlich 30 Tage. Sicherungskopien werden im regulären Sicherungszyklus überschrieben und bis dahin gesperrt. 3. Eine weitere Speicherung erfolgt nur, soweit Unions- oder Mitgliedstaatenrecht dies verlangt. Solche Daten werden gesperrt und ausschließlich für den gesetzlichen Zweck verarbeitet. 4. Löschung in einem Tenant darf Daten anderer, technisch und vertraglich getrennter Tenants nicht erfassen.

11. Haftung

Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die wirksame Haftungsregelung des Hauptvertrags. Interne Ausgleichsansprüche richten sich nach dem jeweiligen Verantwortungsanteil.

Anlage 1 – Beschreibung der Verarbeitung

Zwecke

• Bereitstellung mandantengetrennter technischer Prüf- und Dokumentationsarbeitsräume;
• Nutzer-, Rollen-, Aufgaben- und Freigabeverwaltung;
• Verarbeitung von Daten für EUDR und Demos;
• revisionsorientierte Ablage, Integritätsprüfung, Nachweis- und Berichtserstellung;
• Import, Upload, strukturierte Extraktion, technische Plausibilisierung, PDF-/Export-Erstellung;
• Support, Fehleranalyse, Datensicherung, Wiederherstellung und Löschung.

Verarbeitungsvorgänge

Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen an autorisierte Empfänger, Abgleichen, Verknüpfen, Einschränken, Exportieren, Sichern, Löschen und Vernichten.

Datenkategorien

• Stammdaten und geschäftliche Kontaktdaten;
• Nutzer-, Rollen-, Tenant-, Authentifizierungs- und Berechtigungsdaten;
• Lieferanten-, Kunden-, Hersteller-, Erzeuger- und Ansprechpartnerdaten;
• Rechnungs-, Bestell-, Liefer-, Produkt-, Mengen-, Zolltarif-/CN-HS- und Transaktionsdaten;
• Geolokations-, Grundstücks-, Polygon-, Produktions- und Herkunftsdaten;
• technische Hinweis-, Abgleich-, Maßnahmen-, Freigabe-, DDS-/Referenz- und Vorgangsdaten;
• Dokumente und Dateiinhalte, darunter PDF, Bild, XML und Text;
• technische Protokoll-, Geräte-, IP-, Sitzungs-, Integritäts- und Ereignisdaten;
• weitere vom Auftraggeber bestimmungsgemäß eingebrachte Daten.

Besondere Kategorien nach Art. 9 DSGVO sind nicht für die reguläre Nutzung vorgesehen. Der Auftraggeber darf sie nur nach vorheriger Vereinbarung und mit tragfähiger Rechtsgrundlage einbringen.

Kategorien betroffener Personen

Beschäftigte und Nutzer des Auftraggebers; Ansprechpartner bei Kunden, Lieferanten, Herstellern, Erzeugern, Kooperationspartnern und Dienstleistern; Einzelunternehmer; Eigentümer oder Nutzungsberechtigte von Produktionsflächen; Empfänger und Absender von Geschäftsunterlagen sowie sonstige in Nachweisen genannte Personen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

STRATO GmbH

Als Unterauftragsverarbeiter wird die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland, eingesetzt. STRATO erbringt für PHEREXO Leistungen in den Bereichen Webhosting, MySQL-/MariaDB-Datenbank, privater Dateispeicher, technische Infrastruktur, Datensicherung sowie SMTP- und E-Mail-Versand. Je nach Nutzung von PHEREXO Core können die vom Auftraggeber eingestellten Auftragsdaten von diesen Leistungen vollständig betroffen sein. Die Verarbeitung erfolgt grundsätzlich im vertraglich vereinbarten EU-/EWR-Rahmen. Ergänzend gelten die mit STRATO vereinbarte Auftragsverarbeitungsvereinbarung und deren technische und organisatorische Maßnahmen.

Stripe

Für Checkout, Zahlungsabwicklung und Abonnements werden insbesondere Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, weitere nach dem jeweiligen Stripe-Dienst beteiligte Stripe-Gesellschaften sowie deren Unterauftragnehmer eingesetzt. Die Leistungen umfassen Stripe Checkout, wiederkehrende Abonnements, Zahlungsabwicklung, Rechnungs- und Zahlungsstatus, Webhook-Ereignisse, Betrugsprävention und gegebenenfalls Stripe Connect für Auszahlungen an Kooperationspartner.

Dabei können insbesondere Unternehmensname, geschäftliche E-Mail-Adresse, Stripe-Customer-, Checkout-, Payment-, Invoice- und Subscription-Kennungen, Tarif, Betrag, Währung, Zahlungsstatus, Rechnungs- und Transaktionsdaten, IP- und Geräteinformationen sowie gegebenenfalls Partner-, Identitäts- und Auszahlungsdaten verarbeitet werden. Stripe erhält regulär keine Dokumente oder fachbezogenen Inhalte aus den PHEREXO-Prüftools. Eine Verarbeitung außerhalb des EWR kann nach Maßgabe der Stripe Data Processing Agreement, des Stripe Data Transfers Addendum und eines jeweils zulässigen Transfermechanismus erfolgen.

OpenAI Ireland Ltd.

Für KI-gestützte Entwicklung, Administration, Fehleranalyse, Support und erforderlichenfalls kontrollierte Wartung der Live-Umgebung kann OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, gemeinsam mit den in der aktuellen OpenAI-Unterauftragsverarbeiterliste genannten Unternehmen eingesetzt werden. Dabei können Quellcode, technische Konfigurationen, Fehlerausgaben, gekürzte Protokollauszüge und der für die jeweilige Aufgabe bereitgestellte Arbeitskontext verarbeitet werden. Bei konkreter Erforderlichkeit können ausnahmsweise minimale personenbezogene Auftragsdaten betroffen sein.

Eine planmäßige Übermittlung vollständiger Kundendokumente oder Datenbanken sowie die Übermittlung von Passwörtern, API-Schlüsseln, privaten Schlüsseln oder sonstigen Zugangsdaten ist nicht vorgesehen. Eine Verarbeitung in weiteren Ländern einschließlich der USA kann nach Maßgabe der OpenAI Data Processing Addendum und eines zulässigen Transfermechanismus erfolgen.

Besondere Rollenverteilung bei Stripe

Stripe ist nicht für jeden Verarbeitungsvorgang ausschließlich Unterauftragsverarbeiter. Nach der Stripe-DPA handelt Stripe abhängig von der jeweiligen Tätigkeit teilweise als Auftragsverarbeiter von PHEREXO und teilweise als eigener Verantwortlicher, insbesondere bei Betrugsprävention, Erfüllung finanzaufsichts-, geldwäsche- oder zahlungsrechtlicher Pflichten und bei der Festlegung beteiligter Banken und Zahlungsartenanbieter. Die Aufnahme in diese Anlage dokumentiert deshalb sämtliche für PHEREXO relevanten Stripe-Datenflüsse, ohne die gesetzliche Rollenverteilung abweichend festzulegen.

Soweit Stripe für PHEREXO als Auftragsverarbeiter tätig wird, gelten die jeweils aktuelle Stripe Data Processing Agreement, das Data Transfers Addendum, die dort einbezogenen Standardvertragsklauseln bzw. ein anwendbarer Angemessenheitsbeschluss sowie die aktuelle Stripe-Unterauftragsverarbeiterliste. Soweit Stripe eigener Verantwortlicher ist, erfolgt die Übermittlung zur Durchführung des Zahlungs- oder Abonnementvertrags, zur Betrugsprävention oder zur Erfüllung gesetzlicher Pflichten.

Der Auftraggeber weist PHEREXO nicht an, Inhalte aus den technischen Prüftools an Stripe zu übertragen. An Stripe werden nur die für Bestellung, Abonnement, Abrechnung, Zahlungsstatus, Webhook-Verarbeitung und gegebenenfalls Partnerauszahlung erforderlichen Daten übermittelt.