Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Stand: Mai 2026 · Vertrag zwischen dem Händler („Verantwortlicher") und der Printoro GmbH (i. G.) („Auftragsverarbeiter").

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der Plattform-Leistungen (Bestellabwicklung, Versand, Reklamationen, Marketing) für den Verantwortlichen. Der Vertrag läuft so lange, wie der Hauptvertrag (Plattform-Nutzung) besteht und endet automatisch mit dessen Kündigung.

2. Art und Zweck der Verarbeitung

Auftragsabwicklung (Bestelldaten, Versanddaten, Empfängeradressen)
Konfigurator (hochgeladene Bilder, Texte, Designs)
Reklamationen (Foto-Uploads, KI-Analyse mit Anthropic Claude Vision)
Versand & Tracking (DHL Business, später DPD)
Marketing-Newsletter (optional, mit Opt-In)

3. Art der personenbezogenen Daten

Stammdaten Endkund:in (Name, Anschrift, E-Mail, Telefon)
Bestelldaten (Artikel, Menge, Preis, Personalisierung)
Designdaten (Bilder, Texte, ggf. Logos)
Zahlungsdaten (durchgereicht an Stripe, nicht bei uns gespeichert)

4. Kategorien betroffener Personen

Endkund:innen des Verantwortlichen, deren Bestellungen über die Plattform abgewickelt werden.

5. Technische und organisatorische Maßnahmen (TOMs)

Hosting in Deutschland (Hetzner Cloud, Falkenstein/Nürnberg)
TLS 1.3 mit HSTS, HTTP/2, perfekte Forward Secrecy
Daten verschlüsselt at-rest (Postgres pgcrypto, S3 SSE)
2FA-Pflicht für Plattform-Admins und Produktionspartner-Admins
Webhook-Signaturprüfung (HMAC-SHA256) auf allen externen Schnittstellen
Rate-Limits via Redis pro Endpoint
Spatie ActivityLog für alle Datenänderungen
Auto-Löschung Druckdateien nach 90 Tagen
Daily-Backups mit 7d/30d/12m-Rotation
Gitleaks Pre-Commit + nightly OWASP-ZAP-Scan

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt folgenden Unterauftragsverarbeitern zu (Stand Mai 2026):

Hetzner Online GmbH – Hosting + Object Storage (Falkenstein/Nürnberg)
Cloudflare Inc. – CDN + DNS + DDoS-Schutz (USA + EU, Standard Contractual Clauses)
Stripe Payments Europe Ltd. – Zahlungsabwicklung (Irland)
Anthropic PBC – KI-Modelle (USA, Standard Contractual Clauses, Daten werden nicht zum Training verwendet)
OpenAI Ireland Ltd. – Fallback-KI-Modelle (Irland)
Postmark / Mailgun – Transaktions-E-Mails (EU-Region)
Sentry GmbH – Error-Tracking (Berlin, DE)
Deutsche Post DHL Group – Versand (Bonn, DE)
Produktionspartner – jeweilige Druckereien laut Routing-Decision (Anschriften auf Anfrage)

Änderungen werden mind. 14 Tage vor Wirksamwerden per E-Mail an die im Konto hinterlegte Adresse mitgeteilt. Widerspruch ist innerhalb dieser Frist möglich (Sonderkündigungsrecht).

7. Weisungsbefugnisse des Verantwortlichen

Sämtliche Weisungen erfolgen über das Verantwortlichen-Portal (`/app/settings/privacy`) oder schriftlich an [email protected].

8. Rechte der betroffenen Personen

Auskunfts-, Berichtigungs-, Löschungs- und Datenübertragbarkeitsanfragen leitet der Verantwortliche an den Auftragsverarbeiter weiter, der binnen 7 Tagen die technische Umsetzung sicherstellt. Tools dafür: GDPR-Export-Service + Anonymization-Service.

9. Meldung von Datenschutzvorfällen

Der Auftragsverarbeiter meldet Datenschutzvorfälle innerhalb von 24 Stunden nach Kenntniserlangung an den Verantwortlichen via E-Mail an die im Konto hinterlegte Kontaktadresse.

10. Rückgabe und Löschung

Nach Vertragsende werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z.B. § 147 AO – Rechnungsdaten 10 Jahre). Druckdateien werden bereits nach 90 Tagen automatisch gelöscht.

11. Haftung

Die Haftung beider Parteien richtet sich nach Art. 82 DSGVO und den im Hauptvertrag (AGB) getroffenen Regelungen.

12. Sonstiges

Bei Widersprüchen zwischen diesem AVV und den AGB hat dieser AVV in Datenschutzfragen Vorrang. Gerichtsstand: Hannover. Anwendbares Recht: deutsches Recht unter Ausschluss CISG.

Diese Vereinbarung ist als digitaler Abschluss im Onboarding-Wizard zu bestätigen (Checkbox „Ich habe den AVV gelesen und akzeptiere ihn") und wird mit Tier-Upgrade automatisch als PDF im Postfach hinterlegt.