Auftragsverarbeitungsvertrag

Diese Fassung gilt ab 21 augustus 2026.

Dies ist eine Übersetzung, damit Sie lesen können, wozu Sie Ja sagen. Weichen der deutsche und der niederländische Text voneinander ab, gilt die niederländische Fassung. Ordly ist ein niederländisches Unternehmen; es gilt niederländisches Recht.

1. Wer ist wer

Sie sind der Verantwortliche für die personenbezogenen Daten Ihrer Käufer. Ordly ist der Auftragsverarbeiter: wir verarbeiten diese Daten nur in Ihrem Auftrag und nur, um den von Ihnen bezogenen Dienst zu erbringen.

2. Wofür wir sie verarbeiten

• Ihre Bestellungen bei bol abholen und in Ihrem Portal anzeigen.
• Rechnungen und Gutschriften erstellen und an bol schicken.
• Bewertungsmails über Ihren Maildienst versenden, nach den Regeln von bol.
• Retouren verfolgen und die zugehörige Bewertungsmail zurückhalten.

Sonst nichts. Wir nutzen diese Daten nicht für eigene Zwecke, nicht für Forschung und nicht, um etwas daraus zu lernen.

3. Um welche Daten es geht

• Name und Ort. Lesbar in der Datenbank, denn danach muss gesucht werden können und es steht auf der Rechnung.
• Anschrift, Postleitzahl und E-Mail-Adresse. Verschlüsselt mit AES-256-GCM, mit einem Schlüssel, der je Kunde ein anderer ist.
• Was bestellt wurde. Artikel, Menge, Betrag. Nötig für die Rechnung und die Bewertungsmail.

4. Wie wir sie sichern

• Eine Datenbank je Kunde. Ihre Daten stehen nicht in derselben Tabelle wie die eines anderen Verkäufers; es gibt keine Abfrage, die versehentlich daran vorbeigreifen kann.
• Verschlüsselung je Kunde. Anschrift, Postleitzahl und E-Mail-Adresse von Käufern gehen mit AES-256-GCM in die Datenbank, mit einem Schlüssel, der je Kunde ein anderer ist. Der Hauptschlüssel liegt außerhalb des Datenverzeichnisses und geht nicht in die Sicherung mit.
• Nur über https, mit gültigem Zertifikat. Das Portal weist unverschlüsselten Verkehr ab.
• Wir sehen nicht in Ihre Daten. Es gibt kein Verwaltungsfenster, in dem wir durch Ihre Bestellungen blättern können. Müssen wir für eine Störung doch irgendwo hineinsehen, fragen wir Sie vorher und sagen Ihnen hinterher, was wir gesehen haben.
• Sicherungen sind verschlüsselt und liegen an einem anderen Ort als der Server.

5. Wo sie liegen

Auf einem Server in Deutschland, bei Hetzner. Innerhalb des Europäischen Wirtschaftsraums, es gibt also keine Übermittlung in ein Land außerhalb des EWR.

6. Wen wir hinzuziehen

Nur Parteien, die zur Erbringung des Dienstes nötig sind, und nur unter denselben Absprachen wie hier. Zurzeit: Hetzner (der Server) und der Maildienst, den Sie selbst wählen und einrichten. Kommt eine Partei hinzu, sagen wir es mindestens einen Monat vorher und Sie können widersprechen; das ist dann ein Grund, fristlos zu kündigen.

7. Wenn ein Käufer etwas verlangt

Verlangt ein Käufer Auskunft oder Löschung, ist das Ihre Anfrage zur Bearbeitung. Wir helfen Ihnen, daran zu kommen, kostenlos, innerhalb einer Woche.

8. Wenn etwas nach außen gerät

Wir melden es Ihnen innerhalb von 24 Stunden, nachdem wir davon wissen, mit allem, was Sie brauchen, um selbst zu beurteilen, ob Sie es der Datenschutzbehörde melden müssen. Die Meldung an die Behörde und an Ihre Käufer ist Ihre Aufgabe, denn Sie sind der Verantwortliche; wir liefern die Fakten.

9. Wenn Sie aufhören

Sie können bis dreißig Tage nach Ihrem letzten Tag alles exportieren. Danach löschen wir Ihre Umgebung samt den Daten Ihrer Käufer, außer dem, was wir gesetzlich aufbewahren müssen. Wollen Sie, dass es früher weg ist, sagen Sie es und es geschieht innerhalb einer Woche.

10. Kontrolle

Einmal im Jahr dürfen Sie fragen, wie wir das machen, und wir antworten mit Belegen. Wollen Sie ein externes Audit, ist das auf Ihre Kosten und nach Absprache über den Zeitpunkt möglich.