Auftragsverarbeitungsvertrag (AVV)

Artikel 28 der Verordnung (EU) 2016/679 — DSGVO

Dieser Auftragsverarbeitungsvertrag (nachfolgend die „Vereinbarung“ oder der „AVV“) ergänzt die Allgemeinen Nutzungs- und Verkaufsbedingungen von jenvoie (nachfolgend der „Hauptvertrag“), deren Artikel 11 er präzisiert, und ist deren fester Bestandteil; der Hauptvertrag wird geschlossen zwischen:

Gravity5, einer vereinfachten Aktiengesellschaft (société par actions simplifiée, SAS) französischen Rechts mit variablem Kapital von 150 €, eingetragen im RCS Créteil 931 799 860, mit Sitz in 6bis, rue Jean Mermoz, 94450 Limeil-Brévannes, France, vertreten durch Herrn Yohann MEPA, Präsident (Président), nachfolgend „der Auftragsverarbeiter“ oder „Gravity5“ genannt.

Und

dem Kunden, einem Unternehmer, der den Hauptvertrag angenommen hat, auch durch Installation der jenvoie-App für Shopify, und dessen Kontaktdaten in seinem Konto oder seinem Shop hinterlegt sind, nachfolgend „der Kunde“ oder „der Verantwortliche“ genannt.

Nachfolgend gemeinsam die „Parteien“ und einzeln die „Partei“ genannt.

Präambel

Der Kunde nutzt jenvoie, eine Online-Plattform zur Erstellung von Werbegewinnspielen und zum Versand von E-Mails (Newsletter, Sequenzen), die über jenvoie.fr und über die jenvoie-App für Shopify zugänglich ist (nachfolgend der „Dienst“).

Im Rahmen der Nutzung des Dienstes verarbeitet der Auftragsverarbeiter im Auftrag und auf Weisung des Kunden personenbezogene Daten der Teilnehmer an den Spielen des Kunden und seiner Kontakte (Interessenten, Kunden, Abonnenten von Verteilerlisten, Kunden seines Shops).

Der Kunde handelt in Bezug auf diese Daten als Verantwortlicher im Sinne der DSGVO. Gravity5 handelt als Auftragsverarbeiter im Sinne der DSGVO.

Diese Vereinbarung dient dazu, die Bedingungen dieser Verarbeitung gemäß Artikel 28 DSGVO und der geänderten Loi Informatique et Libertés (französisches Datenschutzgesetz) zu regeln.

Artikel 1 — Begriffsbestimmungen

• „DSGVO“: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016.
• „Loi Informatique et Libertés“: das geänderte Gesetz Nr. 78-17 vom 6. Januar 1978 (französisches Datenschutzgesetz).
• „Personenbezogene Daten“ oder „Daten“: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, im Sinne von Artikel 4 Nr. 1 DSGVO.
• „Betroffene Person“: die natürliche Person, auf die sich die Daten beziehen.
• „Verarbeitung“: jeder mit den Daten ausgeführte Vorgang im Sinne von Artikel 4 Nr. 2 DSGVO.
• „Verantwortlicher“: der Kunde, der über die Zwecke und Mittel der Verarbeitung entscheidet.
• „Auftragsverarbeiter“: Gravity5, die die Daten im Auftrag des Kunden verarbeitet.
• „Unterauftragsverarbeiter“: ein vom Auftragsverarbeiter beauftragter Dritter, der einen Teil der Verarbeitung durchführt (Hosting-Anbieter usw.).
• „Datenschutzverletzung“: eine Verletzung der Sicherheit im Sinne von Artikel 4 Nr. 12 DSGVO.
• „Aufsichtsbehörde“: die Commission Nationale de l’Informatique et des Libertés (CNIL, französische Datenschutzaufsichtsbehörde) oder jede andere zuständige Behörde.

Artikel 2 — Gegenstand und Beschreibung der Verarbeitung

2.1 Gegenstand

Diese Vereinbarung legt die Bedingungen fest, unter denen sich der Auftragsverarbeiter verpflichtet, im Auftrag des Verantwortlichen die nachstehend beschriebenen Vorgänge der Verarbeitung von Daten durchzuführen.

2.2 Beschreibung der Verarbeitung

Art der Verarbeitung

Hosting der Spiele des Kunden, Erfassung der Teilnahmen, Bestimmung und Zertifizierung der Ergebnisse, Erstellung von Rabattcodes im Shopify-Shop des Kunden, Erhebung, Erfassung, Organisation, Speicherung, Abfrage, Verwendung, Offenlegung durch Übermittlung (E-Mail-Versand), Löschung oder Vernichtung der Daten, Erstellung von Statistiken.

Zweck(e)

Dem Kunden zu ermöglichen, Werbegewinnspiele zu veranstalten, seine Kontakte zu verwalten, E-Mails (Newsletter, Sequenzen, E-Mails im Zusammenhang mit Teilnahmen) zu gestalten und an die Kontakte zu senden, die darin eingewilligt haben, und die Statistiken dieser Versendungen zu verfolgen.

Kategorien von Daten

E-Mail-Adresse und weitere vom Kunden in seinen Formularen gewählte Felder (Vorname, Telefon, Antworten, Tipps, benutzerdefinierte Attribute); Einwilligungsentscheidungen (Marketing, Öffnungsmessung) und deren Datum; Spielrunden (Datum, Sprache, Ergebnis, Preis, Rabattcode, Browser, Referenz des Zertifikats); E-Mail-Aktivität (Versendungen, Zustellung, Bounces, Abmeldungen, Beschwerden, Klicks und, sofern der Empfänger zugestimmt hat, Öffnungen); eindeutige technische Kennung.

Kategorien betroffener Personen

Teilnehmer an den Spielen des Kunden; Interessenten, Kunden und Abonnenten der Verteilerlisten des Kunden; Kunden des Shopify-Shops des Kunden; geschäftliche Kontakte.

Dauer der Verarbeitung

Während der gesamten Laufzeit des Hauptvertrags, zuzüglich des in Artikel 11 vorgesehenen Zeitraums für Rückgabe/Löschung.

2.3 Sensible Daten

Der Kunde verpflichtet sich, dem Dienst ohne vorherige ausdrückliche schriftliche Zustimmung des Auftragsverarbeiters weder sensible Daten im Sinne von Artikel 9 DSGVO (rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Daten, Gesundheitsdaten, sexuelle Orientierung) noch Daten über strafrechtliche Verurteilungen (Artikel 10 DSGVO) zu übermitteln.

Artikel 3 — Pflichten des Auftragsverarbeiters

3.1 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Länder außerhalb der Europäischen Union. Als dokumentierte Weisungen gelten:

• Der Hauptvertrag und diese Vereinbarung;
• Die vom Kunden in seinem Konto oder in der jenvoie-App für Shopify vorgenommenen Einstellungen und Konfigurationen;
• Die vom Kunden über die Oberfläche, die API oder einen per MCP verbundenen KI-Assistenten mit seinen Zugängen vorgenommenen Handlungen (Erstellung von Spielen, Versand von Kampagnen, Import von Kontaktlisten);
• Die schriftlich formulierten besonderen Anfragen (E-Mail, Support-Ticket).

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

3.2 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.3 Sicherheit

Der Auftragsverarbeiter trifft die in Anlage 2 dieser Vereinbarung vorgesehenen geeigneten technischen und organisatorischen Maßnahmen gemäß Artikel 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

3.4 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit und unter Berücksichtigung der Art der Verarbeitung dabei,

• Anträge auf Wahrnehmung der Rechte der betroffenen Personen (Artikel 12 bis 23 DSGVO) zu beantworten;
• die Einhaltung der in den Artikeln 32 bis 36 DSGVO vorgesehenen Pflichten (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) sicherzustellen.

Diese Unterstützung erfolgt über die Funktionen des Dienstes (Export, Löschung, Änderung von Kontakten) oder, sofern dies nicht möglich ist, auf schriftliche Anfrage über die Support-Kanäle.

3.5 Information und Zusammenarbeit

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten aus dieser Vereinbarung zur Verfügung.

Artikel 4 — Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

• Jede Weisung betreffend die Verarbeitung der Daten durch den Auftragsverarbeiter schriftlich zu dokumentieren;
• Sicherzustellen, dass er für jede über den Dienst vorgenommene Versendung über eine wirksame Rechtsgrundlage verfügt (insbesondere die vorherige, freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Einwilligung für B2C-Direktmarketing, die bei den Teilnehmern über das niemals vorab angekreuzte Einwilligungskontrollkästchen des Spiels eingeholt wird);
• Den Nachweis der Einwilligung jedes Empfängers (Datum, Quelle, Opt-in-Mechanismus) aufzubewahren;
• Die ihm als Verantwortlichem obliegenden Pflichten aus der DSGVO zu erfüllen, insbesondere die Information der betroffenen Personen (Artikel 13 und 14), auch über die Öffnungsmessung der E-Mails, die nur mit Einwilligung des Empfängers personenbezogen erfolgt;
• Die Teilnahmebedingungen seiner Spiele zu veröffentlichen und für seine Preise verantwortlich zu bleiben;
• Keine Listen in den Dienst zu importieren, die gekauft, gemietet, auf Websites gesammelt oder ohne wirksame Einwilligung erlangt wurden;
• Sein ihn betreffendes Verzeichnis von Verarbeitungstätigkeiten auf dem neuesten Stand zu halten;
• Die Richtlinie zur akzeptablen Nutzung des Dienstes einzuhalten;
• Für die Qualität und Richtigkeit der Daten zu sorgen, die er in den Dienst hochlädt;
• Die Anträge der betroffenen Personen zu beantworten und den Auftragsverarbeiter zu informieren, wenn dessen Unterstützung erforderlich ist.

Artikel 5 — Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen, insbesondere:

• Auskunftsrecht (Artikel 15 DSGVO) — über die Einsicht und den Export der Kontakte;
• Recht auf Berichtigung (Artikel 16 DSGVO) — über die Funktion zur Änderung eines Kontakts;
• Recht auf Löschung (Artikel 17 DSGVO) — über die Funktion zur endgültigen Löschung;
• Recht auf Einschränkung der Verarbeitung (Artikel 18 DSGVO);
• Recht auf Datenübertragbarkeit (Artikel 20 DSGVO) — über den Export im CSV-Format;
• Widerspruchsrecht (Artikel 21 DSGVO) — über den in jeder E-Mail enthaltenen Abmeldelink und, für die Öffnungsmessung, über den Link zum Widerruf der Einwilligung, der in jeder E-Mail mit personenbezogenem Pixel enthalten ist.

Für die jenvoie-App für Shopify bearbeitet der Auftragsverarbeiter zudem die von Shopify übermittelten Datenschutzanfragen:

• customers/data_request: Der Auftragsverarbeiter ermittelt die Daten, die er über diesen Kunden für den Shop besitzt, und übersendet sie dem Kunden per E-Mail an die Adresse des Shops in Form einer Datei;
• customers/redact: Der Auftragsverarbeiter löscht den Kontaktdatensatz, die Antworten und den E-Mail-Verlauf dieses Kunden und anonymisiert seine Spielrunden;
• shop/redact (achtundvierzig (48) Stunden nach der Deinstallation eingehend): Der Auftragsverarbeiter löscht die Daten sämtlicher Teilnehmer und Kontakte des Shops sowie die Zugänge zum Shop. Für abgemeldete Personen oder Personen, die den Versendungen widersprochen haben, sowie für Adressen mit endgültigem Zustellfehler bewahrt er nur einen nicht umkehrbaren Fingerabdruck der E-Mail-Adresse auf, allein zu dem Zweck, ihren erneuten Import zu verhindern; dasselbe gilt im Anschluss an einen Löschungsantrag (customers/redact).

Wird ein Antrag unmittelbar an den Auftragsverarbeiter gerichtet, informiert dieser den Verantwortlichen innerhalb einer angemessenen Frist und verweist die betroffene Person an den Verantwortlichen, sofern keine anderslautende Weisung vorliegt.

Artikel 6 — Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Datenschutzverletzung unverzüglich und spätestens achtundvierzig (48) Stunden nachdem sie ihm bekannt geworden ist.

Die Meldung enthält, soweit diese Informationen verfügbar sind:

• Die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze;
• Die Kontaktdaten der Anlaufstelle (privacy@jenvoie.fr);
• Die wahrscheinlichen Folgen der Verletzung;
• Die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung und zur Abmilderung ihrer Auswirkungen.

Sind nicht alle Informationen sofort verfügbar, werden sie schrittweise und ohne unangemessene weitere Verzögerung mitgeteilt.

Es obliegt dem Verantwortlichen, die Verletzung gegebenenfalls der CNIL und den betroffenen Personen nach Maßgabe der Artikel 33 und 34 DSGVO zu melden.

Artikel 7 — Unterauftragsverarbeitung

7.1 Allgemeine Genehmigung

Der Verantwortliche genehmigt dem Auftragsverarbeiter, für die Erbringung des Dienstes Unterauftragsverarbeiter einzusetzen. Die Liste der Unterauftragsverarbeiter ist in Anlage 1 dieser Vereinbarung enthalten.

7.2 Mitteilung von Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters mit einer Frist von mindestens dreißig (30) Tagen, wodurch der Verantwortliche die Möglichkeit erhält, gegen diese Änderungen begründeten Einspruch zu erheben.

7.3 Einspruch

Bei einem begründeten Einspruch des Verantwortlichen aus Gründen des Datenschutzes werden die Parteien nach Treu und Glauben eine Lösung erörtern. Kommt keine Einigung zustande, kann der Auftragsverarbeiter nach seinem Ermessen entweder den betreffenden Unterauftragsverarbeiter nicht beauftragen oder dem Verantwortlichen ermöglichen, den Hauptvertrag ohne Vertragsstrafe zu kündigen (für die jenvoie-App für Shopify durch deren Deinstallation).

7.4 Haftung

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

Artikel 8 — Übermittlungen außerhalb der Europäischen Union

Die Daten werden innerhalb der Europäischen Union gehostet (Rechenzentren von Hetzner in Deutschland).

Der E-Mail-Versand erfolgt über die eigene Versandinfrastruktur des Auftragsverarbeiters (mail.jenvoie.fr), die in Deutschland (EU) gehostet wird: Der Inhalt der Nachrichten wird nicht außerhalb der EU übermittelt. Ist an einer Verarbeitung dennoch ein Unterauftragsverarbeiter mit Sitz außerhalb der Europäischen Union beteiligt (Anlage 1), wird die Übermittlung abgesichert durch:

• Entweder einen Angemessenheitsbeschluss der Europäischen Kommission (insbesondere das Data Privacy Framework für die Vereinigten Staaten, sofern der Unterauftragsverarbeiter dort zertifiziert ist);
• Oder den Abschluss der von der Europäischen Kommission erlassenen Standardvertragsklauseln (SCC) (Beschluss 2021/914), gegebenenfalls einschließlich der gemäß dem Schrems-II-Urteil erforderlichen zusätzlichen Maßnahmen.

Die Liste der Unterauftragsverarbeiter gibt für jeden von ihnen den Standort und den anwendbaren Übermittlungsmechanismus an (Anlage 1).

Artikel 9 — Audit

Der Auftragsverarbeiter stellt dem Verantwortlichen auf schriftliche und angemessene Anfrage die Informationen und Unterlagen zur Verfügung, die zum Nachweis der Einhaltung der in dieser Vereinbarung und in Artikel 28 DSGVO vorgesehenen Pflichten erforderlich sind.

Diese Pflicht wird vorrangig erfüllt durch die Bereitstellung:

• Dieser Vertragsdokumentation;
• Etwaiger Zertifizierungs- oder Auditberichte seiner Unterauftragsverarbeiter (insbesondere ISO 27001 des Hosting-Anbieters);
• Von Antworten auf einen standardisierten Sicherheitsfragebogen.

Der Verantwortliche kann auf eigene Kosten und mit einer angemessenen Vorankündigungsfrist von mindestens dreißig (30) Werktagen die Durchführung eines ergänzenden Audits beschränkt auf die von dieser Vereinbarung erfassten Aspekte verlangen, höchstens einmal pro Jahr, außer im Fall einer nachgewiesenen Datenschutzverletzung. Das Audit wird während der Geschäftszeiten durchgeführt, darf den Geschäftsbetrieb des Auftragsverarbeiters nicht stören und muss die Vertraulichkeit gegenüber den anderen Kunden des Auftragsverarbeiters wahren.

Artikel 10 — Laufzeit und Beendigung

Diese Vereinbarung wird mit dem Tag der Annahme des Hauptvertrags durch den Kunden wirksam und bleibt während der gesamten Laufzeit des Hauptvertrags sowie während des für die Erfüllung der nachvertraglichen Pflichten (insbesondere der in Artikel 11 vorgesehenen Rückgabe und Löschung der Daten) erforderlichen Zeitraums in Kraft.

Artikel 11 — Verbleib der Daten bei Vertragsende

Der Kunde kann seine Kontakte jederzeit aus dem Dienst exportieren. Für die jenvoie-App für Shopify beendet die Deinstallation sofort die Anzeige der Spiele, und nach Eingang des von Shopify achtundvierzig (48) Stunden später gesendeten Webhooks shop/redact löscht der Auftragsverarbeiter die Daten der Teilnehmer und Kontakte des Shops endgültig; die Spielrunden werden nur in anonymisierter Form für Statistiken aufbewahrt.

Für die übrigen Kunden nimmt der Auftragsverarbeiter bei Ablauf oder Kündigung des Hauptvertrags nach Wahl des Verantwortlichen, die dieser innerhalb von dreißig (30) Tagen nach Vertragsende schriftlich mitteilt, Folgendes vor:

• Entweder die Rückgabe der Daten an den Verantwortlichen in einem strukturierten, gängigen und maschinenlesbaren Format (CSV oder JSON) auf einem sicheren Datenträger;
• Oder die endgültige Löschung sämtlicher Daten.

Erteilt der Verantwortliche innerhalb der gesetzten Frist keine Weisung, löscht der Auftragsverarbeiter die Daten vorbehaltlich der technischen Bearbeitungsfristen endgültig.

Von der Löschung ausgenommen sind:

• Die technischen Sicherungen, die nach dem üblichen Rotationszyklus gelöscht werden;
• Die Daten, deren Aufbewahrung durch eine gesetzliche Pflicht vorgeschrieben ist (Rechnungsstellung, Buchhaltung, Betrugsbekämpfung).

Der Auftragsverarbeiter stellt auf schriftliche Anfrage eine Löschbestätigung aus.

Artikel 12 — Haftung und Freistellung

Jede Partei haftet für die Schäden, die durch eine Verletzung ihrer Pflichten aus dieser Vereinbarung und aus der DSGVO verursacht werden, nach Maßgabe von Artikel 82 DSGVO.

Unbeschadet des Vorstehenden unterliegt die Haftung des Auftragsverarbeiters aus dieser Vereinbarung den im Hauptvertrag vorgesehenen Beschränkungen und Ausschlüssen.

Keine Bestimmung dieser Vereinbarung beschränkt oder schließt die Haftung einer Partei gegenüber den betroffenen Personen aus, soweit eine solche Beschränkung oder ein solcher Ausschluss gegen die DSGVO oder eine sonstige zwingende gesetzliche Bestimmung verstoßen würde.

Artikel 13 — Allgemeine Bestimmungen

13.1 Rangfolge der Dokumente

Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag in Fragen des Datenschutzes hat diese Vereinbarung Vorrang.

13.2 Änderung

Der Auftragsverarbeiter kann diese Vereinbarung ändern, um regulatorischen Entwicklungen oder Änderungen des Dienstes Rechnung zu tragen. Jede wesentliche Änderung wird dem Verantwortlichen mit einer Frist von dreißig (30) Tagen mitgeteilt.

13.3 Anwendbares Recht und Gerichtsstand

Diese Vereinbarung unterliegt französischem Recht. Jede Streitigkeit über ihre Auslegung oder Durchführung wird nach Maßgabe von Artikel 14 des Hauptvertrags beigelegt.

13.4 Annahme

Diese Vereinbarung wird zusammen mit dem Hauptvertrag unter den in dessen Präambel vorgesehenen Bedingungen angenommen (Kontrollkästchen bei der Anlage des Kontos auf jenvoie.fr, Kontrollkästchen und Bestätigungsschaltfläche beim ersten Öffnen der jenvoie-App für Shopify oder Annahme eines Angebots). Der Nachweis dieser Annahme (Kontokennung oder Domain des Shopify-Shops, Datum und Uhrzeit, angenommene Fassung) wird vom Auftragsverarbeiter aufbewahrt.

Anlage 1 — Liste der Unterauftragsverarbeiter

Stand der Liste: 13. November 2026.

Hetzner Online GmbH

Hosting der Infrastruktur (Server, Datenbank, Sicherungen) und der E-Mail-Versandserver des Auftragsverarbeiters — Deutschland (EU) — sämtliche Daten des Dienstes — keine Übermittlung (innerhalb der EU).

Shopify

Für Shops, die die jenvoie-App für Shopify nutzen: Plattform, auf der die App läuft; übermittelt die Datenschutzanfragen und hostet die von der App im Shop des Kunden erstellten Rabattcodes; Daten der Teilnehmer oder Kontakte werden ihm nicht übermittelt — Irland (EU), Kanada (Angemessenheitsbeschluss) und Vereinigte Staaten (Data Privacy Framework) — nach den Bedingungen von Shopify.

OpenAI

Optionale maschinelle Übersetzung der vom Kunden verfassten Spieltexte — Vereinigte Staaten — keine Daten von Teilnehmern oder Kontakten — DPF / SCC.

Stripe

Zahlung der unmittelbar auf jenvoie.fr (außerhalb von Shopify) abonnierten Kunden — EU und Vereinigte Staaten — ausschließlich Rechnungsdaten des Kunden, niemals Teilnehmer oder Kontakte — DPF / SCC.

Hinweis: Die Zustellung der E-Mails erfolgt über die eigene Versandinfrastruktur des Auftragsverarbeiters (mail.jenvoie.fr), die in der Europäischen Union gehostet wird; kein externer E-Mail-Dienstleister ist beteiligt, es sei denn, der Kunde entscheidet sich, seine E-Mails über seinen eigenen Server oder Versanddienstleister zu versenden, den er dann in eigener Verantwortung beauftragt.

Anlage 2 — Technische und organisatorische Sicherheitsmaßnahmen

Gemäß Artikel 32 DSGVO trifft der Auftragsverarbeiter die folgenden Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

1. Sicherheit der Infrastruktur

• Hosting in nach ISO 27001 zertifizierten Rechenzentren (Hetzner, Deutschland);
• Netzwerkisolierung, Firewall und Beschränkung der offenen Ports;
• Regelmäßige Aktualisierung des Betriebssystems und der Abhängigkeiten;
• Leistungsüberwachung und Warnmeldungen bei Anomalien;
• Tägliche automatische Sicherungen, verschlüsselt und an einem gesonderten Ort aufbewahrt.

2. Sicherheit der Kommunikation

• Verschlüsselung mindestens mit TLS 1.2 (TLS 1.3 empfohlen) für die gesamte ein- und ausgehende Kommunikation;
• Umsetzung der E-Mail-Authentifizierungsstandards: SPF, DKIM, DMARC;
• HTTPS verpflichtend für die gesamte Domain jenvoie.fr;
• Prüfung der Signatur (HMAC) jedes von Shopify empfangenen Webhooks;
• Sicherheits-Header (HSTS, CSP, X-Frame-Options usw.).

3. Sicherheit der gespeicherten Daten

• Verschlüsselung ruhender Daten nach der Richtlinie des Hosting-Anbieters (Hetzner);
• Kryptografisches Hashing der Passwörter und der Anmeldecodes;
• Logische Trennung der Daten zwischen den Kundenkonten;
• API-Token in der Datenbank gehasht;
• Für jede Spielrunde eigener geheimer Wert, der bei der Löschung entfernt wird und es unmöglich macht, die Zertifikate mit dem Teilnehmer in Verbindung zu bringen.

4. Zugriffskontrolle

• Individuelle Authentifizierung jedes Administrators des Auftragsverarbeiters;
• Prinzip der minimalen Rechtevergabe für interne Zugriffe;
• Protokollierung der Administratorzugriffe auf die Datenbanken;
• Sofortiger Entzug der Zugriffsrechte bei Ende eines Auftrags oder Ausscheiden.

5. Anwendungssicherheit

• Validierung von Eingaben und Schutz vor Injektionen (SQL, XSS, CSRF);
• Ratenbegrenzung (Rate Limiting) an sensiblen Endpunkten;
• Code-Review für kritische Funktionen;
• Regelmäßige Aktualisierung der Abhängigkeiten und Überwachung von Schwachstellen (CVE).

6. Organisatorische Maßnahmen

• Von jeder Person mit Zugriff auf die Daten unterzeichnete Vertraulichkeitsverpflichtung;
• Sensibilisierung für Datenschutz und Sicherheit;
• Dokumentierte Richtlinie für das Vorfallmanagement;
• Führung eines Verzeichnisses der Verarbeitungstätigkeiten als Auftragsverarbeiter (Artikel 30 Abs. 2 DSGVO).

7. Besondere Maßnahmen für den E-Mail-Dienst

• Vorhandener und funktionierender Abmeldelink in jeder Kampagnen-E-Mail;
• Personenbezogenes Pixel zur Öffnungsmessung nur mit Einwilligung des Empfängers (Kontrollkästchen niemals vorab angekreuzt), Widerrufslink in jeder E-Mail, die es enthält, kein Pixel mehr nach dem Widerruf; für die übrigen Empfänger anonymes Pixel ohne personenbezogene Daten;
• Aufbewahrung des Einwilligungsnachweises obliegt dem Kunden, der ihn auf Anfrage vorlegen können muss;
• Anti-Spam-Mechanismen (Bounce-Verwaltung, FBL-Beschwerden, Sperrliste);
• Automatischer und endgültiger Ausschluss abgemeldeter Kontakte und von Adressen mit endgültigem Zustellfehler von allen künftigen Versendungen;
• Erkennung und Ausschluss automatischer Öffnungen und Klicks (Bots, Vorabladen);
• Automatisches Pausieren von Kampagnen bei ungewöhnlich hoher Bounce- oder Beschwerderate;
• Teilweise Pseudonymisierung in den Protokollen, soweit technisch möglich.

8. Geschäftskontinuität

• Regelmäßig getesteter Sicherungsplan;
• RTO (Recovery Time Objective): 24 Stunden für kritische Dienste;
• Aktuelle Dokumentation der Wiederherstellungsverfahren.

9. Umgang mit Datenschutzverletzungen

• Verfahren zur Meldung an den Verantwortlichen innerhalb von 48 Stunden;
• Führung eines internen Verzeichnisses der Datenschutzverletzungen;
• Analyse nach Vorfällen und Umsetzung von Abhilfemaßnahmen.

Diese Maßnahmen können im Zuge technischer und regulatorischer Entwicklungen angepasst und ergänzt werden, ohne dass das Gesamtschutzniveau verringert wird.