Auftragsverarbeitungsvertrag
Zuletzt aktualisiert: 09.11.2026
Dieser Auftragsverarbeitungsvertrag ist Teil der AGB von Nobil. Er gilt für jeden Kunden, der mit Nobil personenbezogene Daten seiner eigenen Kunden, Besucher oder Kontakte verarbeitet, zum Beispiel mit einem Webshop, Kundenkonten, einem Newsletter oder Formularen.
Parteien
Der Kunde von Nobil, der mit Nobil personenbezogene Daten seiner eigenen Kunden, Besucher oder Kontakte verarbeitet („der Verantwortliche“), und Damiën Sluijter, handelnd unter dem Namen Versa Web Solutions, Sint-Luciestraat 5, 3631 Uikhoven (Maasmechelen), Belgien, Unternehmens- und USt-Nummer BE 1027.741.625, Betreiber von Nobil („der Auftragsverarbeiter“).
Artikel 1 · Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Dienste von Nobil zu erbringen, wie in Anlage 1 beschrieben. Dieser Vertrag gilt, solange der Verantwortliche Nobil nutzt, und danach, bis alle Daten gelöscht oder zurückgegeben sind.
Artikel 2 · Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung von Nobil, so wie der Verantwortliche sie einrichtet, gilt als Weisung. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke. Hält er eine Weisung für einen Verstoß gegen die DSGVO, teilt er das sofort mit.
Artikel 3 · Vertraulichkeit
Nur wer die Daten für den Dienst braucht (Wartung, Support, Sicherheit), erhält Zugriff und ist zur Vertraulichkeit verpflichtet. Die Einsicht in ein Konto für den Support wird protokolliert.
Artikel 4 · Sicherheit
Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, beschrieben in Anlage 2, und hält sie nach dem Stand der Technik aktuell.
Artikel 5 · Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage 3. Der Auftragsverarbeiter kündigt einen neuen oder geänderten Unterauftragsverarbeiter mindestens 30 Tage vorher per E-Mail an; innerhalb dieser Frist kann der Verantwortliche begründet widersprechen und, wenn keine Lösung gefunden wird, den Dienst kündigen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Pflichten auf wie in diesem Vertrag.
Artikel 6 · Übermittlung außerhalb des EWR
Daten werden außerhalb des Europäischen Wirtschaftsraums nur auf einer gültigen Grundlage verarbeitet, etwa dem EU-USA-Datenschutzrahmen oder den Standardvertragsklauseln der Europäischen Kommission (siehe Anlage 3).
Artikel 7 · Rechte der betroffenen Personen
Der Auftragsverarbeiter hilft dem Verantwortlichen, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch) zu beantworten, unter anderem mit den Funktionen in Nobil, Daten einzusehen, zu ändern, zu exportieren und zu löschen. Eine Anfrage, die direkt beim Auftragsverarbeiter eingeht, leitet er an den Verantwortlichen weiter.
Artikel 8 · Datenpannen
Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden nach ihrer Entdeckung, mit den Informationen, die nötig sind, um sie zu beurteilen und, wo nötig, der Aufsichtsbehörde und den Betroffenen zu melden. Er ergreift sofort Maßnahmen, um die Folgen zu begrenzen.
Artikel 9 · Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit zumutbar, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.
Artikel 10 · Ende
Am Ende des Dienstes kann der Verantwortliche seine Daten exportieren. Danach löscht der Auftragsverarbeiter sie innerhalb von 30 Tagen, außer was er gesetzlich aufbewahren muss. Kopien in Backups verschwinden gemäß den Fristen in Anlage 2.
Artikel 11 · Kontrolle
Auf Anfrage gibt der Auftragsverarbeiter dem Verantwortlichen die Informationen, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Eine Prüfung vor Ort ist nach angemessener Ankündigung möglich, höchstens einmal pro Jahr, auf Kosten des Verantwortlichen, es sei denn, eine Aufsichtsbehörde ordnet sie an.
Artikel 12 · Haftung und Recht
Die Haftung richtet sich nach dem Abschnitt zur Haftung in den AGB von Nobil, außer wo die DSGVO das nicht zulässt. Für diesen Vertrag gilt belgisches Recht.
Anlage 1 · Verarbeitung
| Wer | Welche Daten | Wofür |
|---|---|---|
| Kunden des Webshops und der Kasse | Name, E-Mail, Telefon, Adresse, Bestellungen, Zahlungsstatus (keine Kartendaten), Retouren | Bestellungen abwickeln, Belege und Bestätigungen senden, versenden, erstatten |
| Kunden mit Kundenkonto | E-Mail, gehashtes Passwort, Adressen, Bestellverlauf | Anmeldung im Webshop, Bestellungen verfolgen |
| Newsletter-Abonnenten | E-Mail, Name, Anmeldebestätigung, Abmeldung | Newsletter versenden |
| Wer ein Formular ausfüllt | was das Formular abfragt, ggf. Fotos | die Nachricht an den Verantwortlichen zustellen |
| Besucher der Website | gekürzte IP-Adresse, besuchte Seiten, Cookie-Einwilligung | Statistik, Sicherheit |
| Personal an der Kasse | Name, PIN | wer einen Verkauf getätigt hat |
Anlage 2 · Sicherheitsmaßnahmen
- Verschlüsselte Verbindungen (TLS) für allen Verkehr.
- Server in der EU (Hetzner, Deutschland), mit Sicherheitsupdates.
- Gehashte Passwörter; Anmeldung in zwei Schritten verfügbar; Begrenzung der Anmeldeversuche.
- Schlüssel verbundener Dienste (SumUp, Sendcloud) verschlüsselt gespeichert.
- Zugriff auf Kundenkonten für den Support nur für Administratoren, und protokolliert.
- Tägliche Backups auf einen getrennten Speicher in einem anderen Rechenzentrum in der EU, mit Snapshots, die vom Server aus nicht gelöscht werden können. Aufbewahrung: tägliche Kopien 7 Tage, Snapshots 14 Tage, monatliche Kopien 12 Monate.
- Fehler und Störungen werden überwacht.
Anlage 3 · Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Wofür | Wo |
|---|---|---|
| Hetzner Online GmbH | Server, Speicher und Backups | Deutschland (EU) |
| Google Cloud EMEA Limited | das Postfach info@nobil.app | Irland (EU); Verarbeitung auch außerhalb der EU: die Standardvertragsklauseln in Googles Datenverarbeitungsbedingungen |
| Sendinblue SAS (Brevo) | E-Mail-Versand (Bestätigungen, Newsletter) | Frankreich (EU) |
| Stripe Payments Europe Ltd | Zahlungen im Webshop, über das eigene Stripe-Konto des Shops | Irland (EU) |
| SumUp Limited | Kartenzahlungen im Laden, über das eigene SumUp-Konto des Shops | Irland (EU) |
| Sendcloud B.V. | Versandetiketten, wenn der Shop es verbindet | Niederlande (EU) |
| Anthropic Ireland, Limited | KI-Funktionen, nur wenn der Nutzer sie nutzt | Irland (EU); Verarbeitung auch in den USA (Standardvertragsklauseln) |
| OpenAI Ireland Ltd | Bilder mit KI anhand einer Beschreibung erstellen, nur wenn der Nutzer es anfordert | Irland (EU); Verarbeitung auch in den USA (Standardvertragsklauseln) |
Stripe, SumUp und Sendcloud arbeiten mit dem eigenen Konto des Shops: Der Shop schließt selbst einen Vertrag mit ihnen.