Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: 29. Juli 2026

Vertragsparteien

Verantwortlicher (nachfolgend „Kunde“): der bei BI-bee registrierte Kunde, identifiziert durch die im Konto hinterlegten Angaben.

Auftragsverarbeiter (nachfolgend „Anbieter“): Gregor Junker, Turbanstr. 29, 75015 Bretten, Deutschland, gregor@bi-bee.de

1. Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Rahmen der Bereitstellung des Dienstes BI-bee nach den AGB.

(2) Die Verarbeitung beginnt mit der ersten Verbindung des Billbee-Kontos und endet mit Beendigung des Hauptvertrages.

(3) Der Anbieter verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen durch den Kunden. Weitere Weisungen sind in Textform an die oben genannte Adresse zu richten.

2. Art, Zweck und Umfang der Verarbeitung

Zweck

Abruf von Bestelldaten aus der Billbee-Schnittstelle des Kunden, Durchleitung an den Browser des Kunden und Bereitstellung der Anwendung, in der die Auswertung stattfindet.

Art der Verarbeitung

Erheben, Auslesen, Übermitteln (Durchleiten) sowie — auf dem Endgerät des Kunden — Speichern und Auswerten. Eine Speicherung der Bestelldaten auf den Systemen des Anbieters findet nicht statt.

Kategorien betroffener Personen

• Kunden des Kunden (Endkunden aus Bestellungen)
• gegebenenfalls Mitarbeitende des Kunden, soweit in Bestelldaten enthalten

Kategorien personenbezogener Daten

• Namen (Vor- und Nachname aus Rechnungs- oder Lieferadresse)
• Länderkennung
• Bestellbezogene Daten: Bestellnummer, Datum, Status, Beträge, Versandkosten, Vertriebskanal
• Positionsdaten: Artikelnummer, Bezeichnung, Menge, Preise, Steuersatz
• Versanddaten: Versandzeitpunkt, Versanddienstleister und Produkt, Versandgewicht
• Sendungsdaten: Sendungsnummer, Verfolgungs-Adresse, Zeitpunkt der Labelerstellung, Kennzeichnung als Versand oder Retoure

Optional: DHL-Sendungsverfolgung

Hinterlegt der Kunde einen eigenen DHL-API-Key, ruft der Anbieter einmal täglich den Zustellstatus der DHL-Sendungen ab. Nur für diese Funktion werden Daten auf den Systemen des Anbieters gespeichert, und zwar ausschließlich:

• Sendungsnummer
• Bezeichnung des Versanddienstleisters
• Zustellstatus, Statustext und Statuszeitpunkt
• Zeitpunkt der letzten Abfrage

Nicht gespeichert werden dabei Namen, Adressen, Bestellbeträge oder Artikel. Zur Ermittlung der offenen Sendungen ruft der Anbieter die Bestellungen der letzten 21 Tage aus der Billbee-Schnittstelle ab; von dieser Antwort wird nichts außer den oben genannten Feldern gespeichert. Die Datensätze werden nach 90 Tagen gelöscht, bei Entfernen des API-Keys unverzüglich.

Die Sendungsnummer wird zur Abfrage an die DHL Group übermittelt. DHL ist als Versanddienstleister des Kunden bereits im Besitz dieser Daten und handelt insoweit als eigener Verantwortlicher. Ohne hinterlegten API-Key findet keine Übermittlung und keine serverseitige Speicherung statt.

Ort der Verarbeitung

Deutschland (Serverstandort). Zusätzlich auf dem Endgerät des Kunden. Eine Verarbeitung in Drittländern findet im Rahmen dieses Vertrages nicht statt.

3. Pflichten des Anbieters

Der Anbieter

1. verarbeitet die Daten nur zu den vereinbarten Zwecken und nach Weisung des Kunden; er unterrichtet den Kunden, wenn er eine Weisung für rechtswidrig hält, und darf sie bis zur Klärung aussetzen;
2. setzt die in der Anlage beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um und hält sie auf dem Stand der Technik;
3. verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit; derzeit hat ausschließlich der Anbieter selbst Zugriff;
4. unterstützt den Kunden bei Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO. Der Anbieter weist darauf hin, dass er selbst keinen Zugriff auf die Bestelldaten hat; Auskunft, Berichtigung und Löschung erfolgen im Billbee-Konto des Kunden beziehungsweise durch Löschen der lokalen Daten in der Anwendung;
5. unterstützt den Kunden bei der Einhaltung von Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen;
6. meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar;
7. löscht nach Beendigung des Vertrages die auf seinen Systemen gespeicherten Kontodaten des Kunden, soweit keine gesetzliche Aufbewahrungspflicht besteht; die im Browser gespeicherten Bestelldaten löscht der Kunde selbst;
8. führt ein Verzeichnis der Verarbeitungskategorien nach Art. 30 Abs. 2 DSGVO;
9. hat keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen nach Art. 37 DSGVO und § 38 BDSG nicht vorliegen. Ansprechpartner in Datenschutzfragen ist der Anbieter selbst.

4. Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

(2) Nicht Unterauftragsverarbeiter sind:

• PayPal — verarbeitet Zahlungsdaten als eigener Verantwortlicher; Bestelldaten des Kunden werden nicht übermittelt.
• Billbee — Vertragspartner des Kunden und Quelle der Daten; der Anbieter greift mit den Zugangsdaten des Kunden zu.
• DHL Group — Versanddienstleister des Kunden und eigener Verantwortlicher. Empfangt bei aktivierter Sendungsverfolgung die Sendungsnummer zur Statusabfrage.

(3) Der Anbieter darf weitere Unterauftragsverarbeiter einsetzen. Er teilt dies mindestens vier Wochen vorher in Textform mit. Der Kunde kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann der Anbieter den Vertrag zum Zeitpunkt der geplanten Umstellung kündigen.

(4) Der Anbieter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

5. Kontrollrechte des Kunden

(1) Der Kunde hat das Recht, die Einhaltung dieses Vertrages zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Anbieter erteilt hierzu auf Anfrage in Textform Auskunft und legt geeignete Nachweise vor, etwa Nachweise seiner Unterauftragsverarbeiter oder eine aktuelle Beschreibung der Maßnahmen.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich. Sie haben sich auf das Erforderliche zu beschränken. Der Anbieter kann für einen über das Erforderliche hinausgehenden Aufwand eine angemessene Vergütung verlangen.

6. Pflichten des Kunden

Der Kunde

1. ist Verantwortlicher im Sinne der DSGVO und prüft die Rechtmäßigkeit der Verarbeitung, insbesondere die Rechtsgrundlage für die Verarbeitung der Daten seiner Endkunden;
2. erfüllt die Informationspflichten gegenüber den betroffenen Personen;
3. benennt die Verarbeitung durch BI-bee in seinem Verzeichnis von Verarbeitungstätigkeiten;
4. ist für die Sicherung der in seinem Browser gespeicherten Daten selbst verantwortlich und berücksichtigt, dass der Anbieter diese Daten nicht wiederherstellen kann;
5. informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt;
6. löscht die lokalen Daten, wenn er ein Endgerät weitergibt oder nicht mehr nutzt; die Anwendung bietet dafür eine Funktion und eine automatische Option beim Abmelden.

7. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

(3) Es gilt deutsches Recht. Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen nicht.

Anlage: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Stand 29. Juli 2026:

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur regelmäßigen Überprüfung