Auftragsverarbeitungsvertrag

Stand: 10. November 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

zwischen dem Händler, der Localora für sein Geschäft nutzt („Verantwortlicher“),
und
Patrick Schreier (PAMS DevConsulting), Metzinger Str. 36, 72622 Nürtingen, Deutschland („Localora“ oder „Auftragsverarbeiter“).

1. Gegenstand und Dauer

(1) Localora stellt dem Verantwortlichen nach den Nutzungsbedingungen für Händler („Hauptvertrag“) das Händler-Portal, die Händler-App und die zugehörigen Schnittstellen bereit. Dabei verarbeitet Localora personenbezogene Daten von Kundinnen und Kunden des Verantwortlichen in dessen Auftrag. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien bei dieser Verarbeitung.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit dem Hauptvertrag, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus diesem Vertrag bestehen fort, solange Localora Daten aus dem Auftrag verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

(1) Zweck der Verarbeitung ist es, dem Verantwortlichen die Bestellungen aus seinem Geschäft bereitzustellen, damit er sie annehmen, bearbeiten, übergeben oder liefern, stornieren und erstatten kann, sowie die Bereitstellung der zugehörigen Auswertungen für sein Geschäft.

(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Bereitstellen zum Abruf über Portal, Händler-App und Schnittstelle, Ändern nach Weisung, Löschen.

(3) Betroffene Personen sind Kundinnen und Kunden, die im Geschäft des Verantwortlichen über Localora bestellen.

(4) Arten der Daten:

Bestelldaten: bestellte Produkte, Mengen, Preise, Steuern, Bestellnummer, Zeitpunkt, Bestellstatus und Verlauf,
Übergabedaten: Art der Übergabe (Abholung oder Lieferung), Liefertermin, Liefer- und Rechnungsadresse mit Koordinaten und, soweit von der Kundin oder dem Kunden angegeben, Name und Telefonnummer,
Zahlungsdaten: Zahlungsart, Zahlungsstatus, Kennung der Zahlung, Angaben zu Stornierungen, Erstattungen und Rückbuchungen,
eine interne Kennung des Kundenkontos.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags.

(5) Die Verarbeitung findet in Deutschland statt. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur durch die in Anlage 2 genannten Unterauftragsverarbeiter und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

3. Abgrenzung: eigene Verantwortung von Localora

(1) Localora betreibt die Plattform, die Kundenkonten, die App für Kundinnen und Kunden und die Zahlungsabwicklung in eigener Verantwortung. Dazu gehören insbesondere Registrierung und Anmeldung der Kundinnen und Kunden, die Annahme und Weiterleitung von Zahlungen, die Abrechnung der Gebühren, die Missbrauchs- und Betrugsabwehr, die Erfüllung eigener gesetzlicher Pflichten sowie Auswertungen zum Betrieb der Plattform ohne Namen, E-Mail-Adressen oder Anschriften. Diese Verarbeitungen sind nicht Gegenstand dieses Vertrags.

(2) Der Zahlungsdienstleister Stripe erbringt seine Leistungen gegenüber dem Verantwortlichen auf Grundlage der eigenen Vereinbarung zwischen Stripe und dem Verantwortlichen und ist kein Unterauftragsverarbeiter von Localora im Sinne dieses Vertrags.

(3) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der Daten in seinem Geschäft verantwortlich, insbesondere für die Information seiner Kundinnen und Kunden und für die Nutzung der Daten ausschließlich zur Abwicklung der Bestellung oder auf einer anderen Rechtsgrundlage.

4. Weisungen

(1) Localora verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag, dieser Vertrag und die Einstellungen und Eingaben des Verantwortlichen in Portal, Händler-App und Schnittstelle sind die Weisungen. Weitere Einzelweisungen erteilt der Verantwortliche in Textform an info@localora.com.

(2) Ist Localora durch das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt Localora dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(3) Localora informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von Localora gegen Datenschutzrecht verstößt. Localora darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

5. Vertraulichkeit

Localora setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff nur, soweit er für die jeweilige Aufgabe erforderlich ist. Die Verpflichtung besteht nach Ende der Tätigkeit fort.

6. Sicherheit der Verarbeitung

(1) Localora trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der bei Vertragsschluss geltende Stand ist in Anlage 1 beschrieben.

(2) Localora darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 1 dokumentiert.

7. Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein, dass Localora weitere Auftragsverarbeiter einsetzt. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2.

(2) Localora informiert den Verantwortlichen mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt der geplanten Änderung kündigen.

(3) Localora verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet dem Verantwortlichen für deren Einhaltung.

(4) Keine Unterauftragsverhältnisse sind Nebenleistungen ohne Zugriff auf die Daten aus dem Auftrag, etwa Telekommunikation, Strom- und Internetanschluss.

8. Rechte der betroffenen Personen

(1) Localora unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 22 DSGVO zu erfüllen, insbesondere durch die Anzeige der Bestelldaten im Portal.

(2) Wendet sich eine betroffene Person mit einem Antrag zu Daten aus dem Auftrag an Localora, leitet Localora den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht ohne dessen Weisung. Anträge zu Daten, die Localora in eigener Verantwortung verarbeitet, bearbeitet Localora selbst.

9. Unterstützung und Meldung von Verletzungen

(1) Localora unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der Localora vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(2) Localora meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten aus dem Auftrag unverzüglich, nachdem sie Localora bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Die Meldung geht an die im Händlerkonto hinterlegte E-Mail-Adresse.

10. Nachweise und Kontrollen

(1) Localora stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Verantwortliche darf die Einhaltung dieses Vertrags selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren. Kontrollen vor Ort finden nach Ankündigung mit angemessener Frist, zu den üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs statt. Daten anderer Händler und Geschäftsgeheimnisse von Localora sind dabei zu schützen.

(3) Localora kann den Nachweis auch durch aktuelle Berichte, Zertifikate oder schriftliche Auskünfte führen, soweit diese dem Verantwortlichen eine angemessene Prüfung ermöglichen. Das Recht auf Kontrollen vor Ort bleibt bei begründetem Anlass bestehen.

11. Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht Localora die Daten aus dem Auftrag oder gibt sie nach Wahl des Verantwortlichen zurück, soweit nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht.

(2) Daten, die Localora zugleich in eigener Verantwortung verarbeitet (Ziffer 3), insbesondere Zahlungs- und Abrechnungsdaten, bewahrt Localora nach den gesetzlichen Aufbewahrungsfristen auf.

(3) Der Verantwortliche ist dafür verantwortlich, die Daten, die er für eigene Aufbewahrungspflichten benötigt, vor Vertragsende zu sichern.

12. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags.

13. Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. Localora kann diesen Vertrag nach dem im Hauptvertrag geregelten Verfahren für Änderungen der Bedingungen anpassen.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen

Vertraulichkeit

Betrieb auf eigenen Servern von Localora in Deutschland; kein externer Hoster und kein Content-Delivery-Netzwerk.
Zugriff auf Verwaltungsoberflächen, Datenbanken und Betriebswerkzeuge nur über ein verschlüsseltes VPN; die Datenbank ist aus dem Internet nicht erreichbar.
Zentrale Anmeldung mit persönlichen Konten und Rollen (Inhaber, Verwaltung, Mitarbeit, Plattform-Administration); Passwörter werden nur als Prüfwert (Hash) gespeichert.
Zugriff eines Händlerkontos nur auf die Daten der Geschäfte, denen es zugeordnet ist; bei Bestellungen mit mehreren Händlern sieht jeder Händler nur seinen Teil.
Getrennte Umgebungen für Entwicklung, Test und Produktion mit jeweils eigener Datenbank und eigenem Anmeldebereich.
Zugangsdaten und Schlüssel der Systeme liegen in einer zentralen Geheimnisverwaltung; Zugangsdaten angebundener Shopsysteme werden zusätzlich verschlüsselt gespeichert (AES-256).

Integrität

Verschlüsselte Übertragung aller Daten über TLS, auch zwischen den eigenen Systemen; Browser werden über HSTS auf verschlüsselte Verbindungen festgelegt.
Sitzungs-Cookies sind für Skripte nicht lesbar und werden nur verschlüsselt übertragen.
Änderungen an Geschäften, Produkten und Bestellungen werden mit Konto und Zeitpunkt festgehalten; der Statusverlauf jeder Bestellung wird gespeichert.
Begrenzung der Anfragen je Absender, Konto und API-Schlüssel zum Schutz vor Missbrauch.

Verfügbarkeit und Belastbarkeit

Laufende Überwachung der Systeme mit zentraler Erfassung von Protokollen, Messwerten und Fehlern.
Änderungen an der Software werden automatisiert gebaut und geprüft und zuerst in den Umgebungen für Entwicklung und Test ausgerollt.

Verfahren zur regelmäßigen Überprüfung

Server-Protokolle werden nach spätestens 14 Tagen automatisch gelöscht.
Sicherheitsbefunde werden dokumentiert, bewertet und nach Dringlichkeit behoben.
Auswertungen zum Betrieb der Plattform verwenden verschlüsselte Kennungen und enthalten keine Namen, E-Mail-Adressen oder Anschriften.

Anlage 2 – Unterauftragsverarbeiter

Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland: Ermittlung von Koordinaten und Prüfung von Adressen (Google Maps Platform, „Geocoding API“ und „Address Validation API“). Verarbeitet werden Liefer- und Rechnungsadressen als Adresstext, ohne Namen und ohne Bezug zum Kundenkonto. Eine Verarbeitung in den USA ist möglich; sie ist durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert.

Weitere Unterauftragsverarbeiter setzt Localora für die Daten aus dem Auftrag nicht ein. Server, Datenbank, Bildspeicher und Anmeldedienst betreibt Localora selbst.