Vertrag zur Auftragsverarbeitung (AVV)

§ 1 Parteien und Einbeziehung

(1) Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO („AVV“) wird geschlossen zwischen dem Kunden, der die Meykt-Plattform für seine Organisation, Prozesse, Kunden-, Mitarbeiter-, Shop- und Produktionsdaten nutzt (nachfolgend „Auftraggeber“), und der

(nachfolgend „Auftragnehmer“).

(2) Dieser AVV wird mit Annahme der Nutzungsbedingungen Vertragsbestandteil des Hauptvertrags über die Nutzung der Meykt-Plattform. In datenschutzrechtlichen Fragen geht dieser AVV den Nutzungsbedingungen vor.

(3) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten, die er über die Meykt-Plattform verarbeitet oder verarbeiten lässt. Der Auftragnehmer verarbeitet diese Daten als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

§ 2 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zur Bereitstellung, Wartung, Sicherung und Weiterentwicklung von Meykt Central, Meykt Agent und damit verbundenen SaaS-, Integrations-, Support- und Automationsfunktionen. Die Verarbeitung erfolgt ausschließlich im Rahmen dieses Vertrags und der Weisungen des Auftraggebers.

(2) Eine Verarbeitung personenbezogener Daten des Auftraggebers zu eigenen Zwecken des Auftragnehmers findet nicht statt. Der Auftragnehmer darf ausschließlich aggregierte, nicht personenbezogene Nutzungsstatistiken zu eigenen Zwecken auswerten; ein Personenbezug wird dabei nicht hergestellt.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Vertragsende richtet sich der Umgang mit den Daten nach § 14.

§ 3 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere:

• Hosting und Betrieb der Plattform
• Speicherung und Verarbeitung von Account-, Organisations-, Shop-, Kunden-, Produkt-, Auftrags-, Datei-, Produktions- und Workflowdaten
• Authentifizierung und Berechtigungsprüfung
• Shop- und Drittanbieter-Integrationen
• Bereitstellung von Daten an vom Auftraggeber angebundene KI-Anwendungen sowie Anlegen und Ändern von Daten und Auslösen von Vorgängen durch diese Anwendungen im vom Auftraggeber freigegebenen Umfang („KI-Zugang“, § 6b)
• Datei-Uploads und Dateiabrufe
• Workflow- und Automationsausführung
• Maschinenbefehle, Agent-Kommunikation und Statusmeldungen
• E-Mail-Versand im Auftrag des Auftraggebers (z. B. Einladungen, Benachrichtigungen)
• Zahlungs- und Abrechnungsprozesse, soweit im Auftrag verarbeitet
• Support, Fehleranalyse, Sicherheit und Audit-Logging
• KI-gestützte Funktionen, soweit der Auftraggeber sie aktiviert und vertraglich vorgesehen

§ 4 Kategorien personenbezogener Daten

Je nach Nutzung verarbeitet der Auftragnehmer folgende Datenkategorien:

• Stammdaten: Name, Unternehmen, Rolle, Organisation, Kontaktinformationen
• Kontodaten: E-Mail, Profil, Sprache, Zeitzone, Rollen, Berechtigungen
• Mitarbeiterdaten: Name, Rolle, Station, Maschine, Arbeitskontext, Anwesenheits- oder Sitzungsdaten, soweit genutzt
• Kundendaten des Auftraggebers: Name, E-Mail, Telefon, Adresse, Ansprechpartner, Bestell- und Kommunikationsdaten
• Shopdaten: Bestellungen, Produktdaten, Versanddaten, Zahlungsstatus, externe IDs, API-Rohdaten
• Produktionsdaten: Aufträge, Arbeitsschritte, Dateien, Prozessstatus, Protokolle, Maschinenzuordnungen
• Dateidaten: hochgeladene Bilder, Produktionsdateien, Anhänge, Dateinamen, Metadaten
• Integrationsdaten: Verbindungskonfigurationen, Tokens oder OAuth-Daten über Subprozessoren, technische Statusdaten
• Kommunikationsdaten: E-Mail-Inhalte, Einladungen, Supportnachrichten, Benachrichtigungen
• Sicherheits- und Logdaten: IP-Adressen, Login-Events, Systemevents, Fehlerdaten, Audit-Logs
• KI-Funktionsdaten: Eingaben, Ausgaben, Kontextdaten und Dateien, soweit der Auftraggeber KI-Funktionen nutzt

§ 5 Kategorien betroffener Personen

Je nach Nutzung können betroffen sein:

• Nutzer und Administratoren des Auftraggebers
• Mitarbeiter des Auftraggebers
• Kunden und Endkunden des Auftraggebers
• Ansprechpartner bei Kunden, Lieferanten, Dienstleistern und Produktionspartnern
• Dienstleister, externe Freigabeempfänger oder Portalnutzer
• Shopkunden, deren Daten aus angebundenen Shops importiert werden

§ 6 Weisungsbindung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen ergeben sich insbesondere aus dem Hauptvertrag, der Produktkonfiguration sowie den vom Auftraggeber eingerichteten Workflows, Integrationen, Nutzerrechten, Agent-Freigaben und Supportanfragen.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung des Auftraggebers gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Die Freigabe des aktuellen Datenzugriffs von Meyki durch einen hierzu berechtigten Vertreter des Auftraggebers ist eine dokumentierte Weisung, Betriebs- und personenbezogene Kundendaten im Umfang der wirksamen Nutzerrechte zur Bearbeitung der jeweiligen Anfrage an den in Anlage 2 genannten Subprozessor Google über die Gemini-Schnittstelle zu übermitteln. Dazu können Namen, Kontaktangaben, Rechnungs- und Lieferanschriften, Bestellungen, Personalisierungsangaben sowie freigegebene Shop- und Workflow-Laufdaten gehören. Frühere Freigaben des Umfangs ohne Kundendaten gelten dafür nicht; jede nutzende Person nimmt nach der aktuellen Organisationsfreigabe den erweiterten Hinweis selbst zur Kenntnis. Meyki nutzt dieselben gemeinsamen Werkzeuge und Feldprüfungen wie die angebundenen KI-Anwendungen nach § 6b; Änderungen benötigen die ausdrückliche Bestätigung der konkreten Vorschau durch eine hierzu berechtigte Person. Nutzerrechte, Organisationsgrenzen, gesonderte Freigaben für bestimmte Vorgänge und der Ausschluss von Zugangsdaten bleiben wirksam. Für die Rechtsgrundlage der Verarbeitung der Kundendaten bleibt der Auftraggeber verantwortlich. Der Auftraggeber kann die Freigabe jederzeit mit Wirkung für die Zukunft widerrufen; danach steht Meyki nicht mehr zur Verfügung.

§ 6a Datenübermittlung im Fulfillment-Netzwerk

(1) Die Freigabe von Auftragspositionen an einen anderen Meykt-Kunden zur Ausführung („Fulfiller“) ist eine Weisung des Auftraggebers. Für die Rechtsgrundlage der Übermittlung personenbezogener Daten (insbesondere Endkunden- und Versanddaten) an den Fulfiller bleibt der Auftraggeber allein verantwortlich. Dies gilt auch für mehrstufige Weitergaben innerhalb des Netzwerks.

(2) Der Auftragnehmer tritt gegenüber dem Fulfiller ebenfalls als Auftragsverarbeiter auf. Eine gemeinsame Verantwortlichkeit im Sinne von Art. 26 DSGVO wird nicht begründet.

(3) Der Auftraggeber informiert die betroffenen Personen nach Art. 13 Abs. 1 lit. e DSGVO über die Empfängerkategorie „Fulfillment-Dienstleister“.

(4) Hat der Fulfiller selbst eine KI-Anwendung über den KI-Zugang (§ 6b) angebunden, kann diese die ihm übergebenen Daten im Umfang seiner Freigaben abrufen; darüber entscheidet allein der Fulfiller.

§ 6b Übermittlung an und Änderungen durch vom Auftraggeber angebundene KI-Anwendungen

(1) Verbindet der Auftraggeber über den Bereich „KI-Zugang“ eine KI-Anwendung eines Drittanbieters seiner Wahl mit der Plattform (derzeit Claude, Claude Code, ChatGPT oder Codex), ist die Bereitstellung der von dieser Anwendung abgerufenen Daten an sie eine Weisung des Auftraggebers. Der Auftragnehmer stellt nur die Datenkategorien bereit, die der Auftraggeber dort freigegeben hat; Felder, in denen die Plattform Zugangsdaten und andere Geheimnisse speichert, stellt er nicht bereit. Die Felder, in denen die Plattform Namen und Kontaktdaten von Endkunden und Ansprechpartnern, Personalisierungsangaben, Shop-Rohdaten, Laufdaten von Workflows, Kundennotizen, E-Mail-Adressen und Telefonnummern von Mitarbeitern sowie Preise und Beträge führt, stellt er nur bereit, wenn der Auftraggeber dies gesondert freigeschaltet hat; Preise und Beträge, die in Bestell-Rohdaten der Shops oder in Laufdaten von Workflows enthalten sind, stellt er bereits mit der Freischaltung der Kundendaten bereit. Aufpreise, die in den Optionsdefinitionen des Kiosks hinterlegt sind, gehören zu den standardmäßig bereitgestellten Betriebsdaten. Zu den standardmäßig bereitgestellten Betriebsdaten gehören auch Namen, Rollen, Fähigkeiten sowie Arbeits- und Einsatzzeiten von Mitarbeitern (etwa wer wann an welchem Auftrag, an welcher Station oder Maschine gearbeitet hat) und allgemeine Freitextfelder und Dateinamen, etwa Produktions- oder Auftragsnotizen; den Inhalt dieser Freitexte erhält die KI-Anwendung auch ohne gesonderte Freischaltung. Die Inhalte von Dateien an Bestellungen stellt er nur bereit, wenn der Auftraggeber zusätzlich zu den Kundendaten das Herunterladen von Dateien freigeschaltet hat. Zugangsdaten und andere Geheimnisse nimmt er von der KI-Anwendung auch nicht entgegen.

(2) Stellt der Auftraggeber im Bereich „KI-Zugang“ einen Schalter für das Anlegen und Ändern von Daten auf „Nachfragen“ oder „Erlaubt“, ist auch das Anlegen und Ändern von Daten und das Auslösen von Vorgängen durch die KI-Anwendung im so freigegebenen Umfang eine Weisung des Auftraggebers. Derzeit umfasst dies den Katalog (Produkte samt Preisen und Produktionseinrichtung, einschließlich Archivieren und Zurückholen aus dem Archiv, Variablen, Compiler-Zuordnungen und Compiler-Module samt ihrer Zuweisung, das Neuberechnen der aus Bestellungen berechneten Werte, eigene Felder und ihre Werte, Set-Regeln von Shop-Verbindungen einschließlich des Entfernens einzelner oder aller Regeln, Verknüpfungen von Shop-Artikeln mit Produkten, Materialien, Lieferanten, Rezepte und die Freigabe von Produkten an Fertigungspartner), Workflows und ihre Vorlagen, Bestellungen, Kunden und Produktion einschließlich der Vorgänge im Fulfillment-Netzwerk (§ 6a), Lager, Packen, Versand (Bestätigen der tatsächlichen Übergabe aller Pakete eines vollständig gepackten Auftrags samt Ausbuchen der gebundenen Mengen, ohne Versandetiketten zu kaufen oder externe Dienste zu benachrichtigen) und Material, Versandeinstellungen (Dienstleisterkonten ohne Zugangsdaten, Vertragszuordnungen, Paketversandprofile, Kartonagen und Zuordnungen von Shop-Versandarten), die Einrichtung des Betriebs (Standorte, Maschinen, Stationen, Mitarbeiter, Teams, Werkzeuge, Dienstleister, Meykt Agents, Kioske, Einstellungen von Shop-Verbindungen und Importquellen sowie das Anstoßen von Abgleichen und Abrufen), Prozesse samt E-Mails an deren Teilnehmer, Dateien der Bild- und Vektorwerkzeuge und Schriften, Einstellungen der Organisation und Mail-Versandprofile, die Leistungsabrechnung des Auftraggebers gegenüber seinen Geschäftskunden (Leistungen, Leistungsregeln und Kiosk-Zuordnungen), Vorhaben an Maschinen über den Meykt Agent sowie das endgültige Löschen nicht mehr verwendeter Einträge und von Parameter-Rezepten, das Zurücksetzen und Löschen von Produktionsläufen und das Stornieren. Mitglieder und Rollen, das Meykt-Abonnement einschließlich Tarif und Zahlungsmittelverwaltung, Sicherheitseinstellungen und Zugangsdaten zu ändern sowie das Konto oder die Organisation zu löschen, ermöglicht der Auftragnehmer der KI-Anwendung nicht. Die KI-Anwendung handelt im Namen und höchstens mit den Rechten des Nutzers, dessen Verbindung sie verwendet. Set-Regeln speichert sie stets als vollständige Liste, sodass Regeln, die darin fehlen, entfallen; das Speichern von Set-Regeln ermöglicht der Auftragnehmer ihr nur, wenn der Auftraggeber auch die Kundendaten und die Preise freigeschaltet hat, ausnahmslos, also auch für das bloße Entfernen von Regeln. Bei „Nachfragen“ führt der Auftragnehmer eine Aktion erst aus, nachdem der Auftraggeber sie in der Plattform freigegeben hat. Auch bei „Erlaubt“ verlangt er diese Freigabe in den in der Datenschutzerklärung (Ziffer 10, „KI-Zugang“) beschriebenen Fällen, insbesondere für E-Mails aus Prozessen und Prozess-Schritte, die Kunden oder Dienstleistern etwas öffnen oder zeigen, für Vorgänge, die einen Fertigungspartner bzw. Auftraggeber erreichen, für Tickets an den Auftragnehmer, für erneut gesendete Statusmeldungen und angestoßene Abgleiche und Abrufe, für jedes Laden einer Datei und jeden Start an einer Maschine, für das Veröffentlichen, Aktivieren und Live-Ausführen von Workflows und Automationen, die über die Plattform hinaus wirken oder Maschinen und PCs steuern, für das Abschließen von Produktionsjobs und -läufen, für das Kommissionieren, Zurückbuchen und Packen von Aufträgen und für die Versandbestätigung einschließlich der Klärung eines früheren Versandbelegs, für bestimmte Änderungen an Variablen, Compiler-Zuordnungen und Compiler-Modulen, eigenen Feldern und Set-Regeln sowie für das Neuberechnen von Bestellungen, wenn deren Werte in solche Schritte, in Datei-Downloads, in Übergaben an Fertigungspartner oder in den Produktaufbau laufender Produktion einfließen, für das Verknüpfen von Shop-Artikeln mit Produkten, für mehr als 20 Status-, Zahlungs- oder Kundenänderungen, Testbestellungen oder Produktionsvorgänge je Stunde sowie stets für das endgültige Löschen, das Zurücksetzen von Produktionsläufen und das Stornieren. Betrifft eine Anfrage zum endgültigen Löschen oder Stornieren zusammen mit solchen Aktionen der KI-Anwendung im selben Bereich während der vorangegangenen 24 Stunden mehr als 20 Einträge, führt der Auftragnehmer sie nur aus, wenn der freigebende Nutzer zusätzlich einen soeben eingegebenen Code seiner Authenticator-App bestätigt; ab dieser Zahl löscht oder storniert er auf Veranlassung der KI-Anwendung nie mehr als ein Viertel der Einträge eines Bereichs. Archivierte Produkte löscht er – auch wenn die KI-Anwendung sie archiviert hat – 30 Tage nach dem Archivieren, sofern sie nicht in Bestellungen vorkommen oder noch verwendet werden.

(2a) Gesondert freigeschaltete Versandverbindungstests sind ebenfalls eine Weisung des Auftraggebers. Diese Fähigkeit ist zunächst ausgeschaltet. Bei „Nachfragen“ erfordert jeder Test eine Freigabe in der Plattform; bei „Erlaubt“ darf die KI-Anwendung ihn ohne Einzelfreigabe auslösen, sofern die erforderlichen Datenfreigaben und Nutzerrechte vorliegen. Beim Test eines gespeicherten DHL-Kontos übermittelt der Auftragnehmer dessen Benutzernamen und Passwort zusammen mit seinem zentralen technischen API-Zugang über eine verschlüsselte Verbindung an DHL zur Prüfung der Anmeldung in der gewählten Test- oder Produktivumgebung. Zusätzlich prüft er die öffentliche Erreichbarkeit der Versand-Schnittstelle; dies weist keine Versandberechtigung nach. Die KI-Anwendung erhält nur das begrenzte, zeitbezogene Ergebnis, keine Zugangsdaten, Zugriffstoken oder ungefilterten Anbieterantworten. Der Test übermittelt keine Absender- oder Empfängeradressen, prüft keine Abrechnungsnummern und legt keine Sendungen oder Versandetiketten an. Die in Absatz 2 genannten zwingenden Einzelfreigaben für andere Aktionen gelten unverändert.

(2b) Gesondert freigegebene Versandprofilprüfungen sind ebenfalls eine Weisung des Auftraggebers. Der Auftragnehmer prüft ein gespeichertes Versandprofil anhand ausdrücklich angegebener Empfänger- und Paketdaten bei DHL. Neben den zur Anmeldung erforderlichen Zugangsdaten übermittelt er das gespeicherte Versandprodukt, Vertrags-/Abrechnungsnummer und Absenderangaben, den eingegebenen Empfänger, Gesamtgewicht, Außenmaße und Versanddatum sowie gegebenenfalls unterstützte Referenzen, Kostenstellen und Zusatzleistungen an DHL; Empfänger-E-Mail-Adressen nur bei entsprechender Profilfreigabe. Die Weitergabe einer Empfänger-Telefonnummer ist in diesem Prüfweg nicht unterstützt. Die Übermittlung erfolgt verschlüsselt in der gewählten Test- oder Produktivumgebung. Die Prüfung ist auf gewöhnliche Straßenadressen innerhalb Deutschlands mit DHL Paket oder DHL Kleinpaket begrenzt; nicht unterstützte Vorgaben werden abgewiesen. Sie erstellt keine Sendungen oder Etiketten, verändert keine Bestellungen und startet keinen Workflow.

In der Oberfläche bestätigt der Auftraggeber die Übermittlung der konkreten Angaben. Für verbundene KI-Anwendungen ist eine eigene, zunächst ausgeschaltete Fähigkeit erforderlich; die Freigabe zum Bearbeiten von Versandeinstellungen oder für Verbindungstests reicht nicht. Zusätzlich gelten Daten- und Kundendatenfreigaben und Lagerverwaltungsrechte. Bei „Nachfragen“ wird die konkrete Anfrage in der Plattform freigegeben; bei „Erlaubt“ darf die KI-Anwendung die konkrete Prüfung einschließlich der beschriebenen Datenübermittlung direkt auslösen. Die Freigabe ist an die geprüften Angaben und Einstellungs- und Zugangsdatenstände gebunden. Meyki verlangt eine ausdrückliche Bestätigung der vollständigen Vorschau. Eine Vorschau allein kontaktiert DHL nicht. Geänderte Angaben erfordern eine neue Prüfung und Freigabe. Es erfolgt keine automatische Wiederholung bei Fehlern oder fehlender Antwort.

(2c) Die auftragsbezogene Paketvorbereitung ist eine Verarbeitung auf Weisung des Auftraggebers innerhalb der Plattform. Gespeichert werden die vorgesehene Empfängeradresse, das Versandprofil sowie Kartonage, Außenmaße und Gesamtgewicht je Paket, während des Packens auch als unvollständiger Entwurf. Ein abweichender Empfänger ändert weder die Adresse der ausführenden Bestellung noch die eines Fulfillment-Quellauftrags. Das Speichern übermittelt keine Daten an Versanddienstleister, erstellt keine Versandetiketten, bucht keinen Bestand und bestätigt weder Packen noch Versand. Für das Schreiben über eine verbundene KI-Anwendung ist die eigene kritische Fähigkeit „Versandpakete vorbereiten“ erforderlich, die zunächst ausgeschaltet ist. Andere Versand- oder Packfreigaben ersetzen sie nicht. Lesen und Schreiben benötigen die Freigabe zum Datenlesen, die vollständige Kundendatenfreigabe und Lager- und Auftragsleserechte der verbundenen Person; beim Schreiben kommen Lagerbuchungs- und die für den Packauftrag geltenden Bearbeitungsrechte hinzu. Jede Speicherung und jede Klärung eines früheren Speicherbelegs benötigt die menschliche Freigabe der konkreten Anfrage durch den Owner in der Plattform, auch bei „Erlaubt“. Die Belegklärung bleibt an die ursprüngliche Person und den unveränderten Vorgang gebunden; sie erzeugt keine erste Speicherung und überschreibt keine spätere Korrektur. Eine Vorschau speichert nichts. Meyki verlangt vor der Ausführung eine ausdrückliche Bestätigung der konkreten Angaben.

(3) Zu jeder Aktion, mit der die KI-Anwendung Daten anlegt, ändert oder einen Vorgang auslöst, führt der Auftragnehmer im Auftrag des Auftraggebers ein Änderungsprotokoll mit den bisherigen und neuen Werten der geänderten Felder, damit der Auftraggeber die Aktion rückgängig machen kann – bei Aktionen, die sich nicht rückgängig machen lassen (etwa Buchungen, Änderungen der Versandeinstellungen, endgültige Löschungen, Stornierungen und Vorgänge mit Wirkung außerhalb der Plattform), mit den Angaben, die sie nachvollziehbar machen, etwa den gebuchten Angaben, Name und Kennungen eines gelöschten Eintrags oder Weg und Abrechnungsentscheidung einer Stornierung; er bewahrt es 180 Tage auf und löscht es danach. Ebenso verarbeitet er die Anfragen der KI-Anwendung samt Vorschau und löscht sie 180 Tage nach der Entscheidung bzw. nach ihrem Ablauf, ihre Workflow-Entwürfe bis zum Veröffentlichen oder Verwerfen, höchstens bis zur Löschung des Workflows bzw. der Organisation, sowie den jeweils vorherigen Live-Stand eines Workflows, bevor die KI-Anwendung ihn veröffentlicht, aktiviert oder deaktiviert oder der Auftraggeber eine solche Veröffentlichung rückgängig macht, und löscht ihn 180 Tage nach seiner Entstehung, mit dem Workflow bzw. der Organisation auch früher; Test-Sitzungen und Laufprotokolle von Simulations-Testläufen der KI-Anwendung verarbeitet er wie die übrigen Testläufe bis zur Löschung des Workflows bzw. der Organisation; Anfragen und Live-Stände, zu denen noch eine Aktion im Änderungsprotokoll steht, bleiben bis zu deren Löschung erhalten. Einzelheiten beschreibt die Datenschutzerklärung (Ziffer 10, „KI-Zugang“).

(3a) Bei den Verbindungstests nach Absatz 2a enthalten Anfragen und Aktionsprotokolle nur die geprüften Konto- und Kundenzuordnungen, Umgebung und Versionen sowie Angaben zu Freigabe, Ausführung und begrenztem Testergebnis. Zugangsdaten, Zugriffstoken und ungefilterte Anbieterantworten werden darin nicht gespeichert. Es gelten die Fristen für Anfragen und Änderungsprotokolle nach Absatz 3. Der Test lässt sich nicht rückgängig machen; sein Nachweis ist kein dauerhaft aktueller Verbindungsstatus des Kontos.

(3b) Bei Versandprofilprüfungen nach Absatz 2b werden kein dauerhafter Prüfstatus am Profil oder Auftrag und kein Versandbeleg angelegt. Bei Nutzung des KI-Zugangs können die Anfragen, Vorschauen und Aktionsnachweise die konkret bestätigten Empfänger- und Paketdaten, Profil-, Konto- und Kundenbezüge, Umgebung und Versionsstände sowie Freigabe-, Ausführungs- und begrenzte Ergebnisangaben enthalten. Zugangsdaten, Zugriffstoken und ungefilterte Anbieterantworten werden darin nicht gespeichert. Es gelten die Fristen für Anfragen und Änderungsprotokolle nach Absatz 3. Die Datenübermittlung lässt sich nicht rückgängig machen; ein historischer Testnachweis bestätigt keine aktuelle Versandbereitschaft.

(3c) Die Paketvorbereitung nach Absatz 2c und ihre fachlichen Änderungsbelege enthalten die jeweils gespeicherten Empfänger- und Paketdaten sowie die handelnde Person, den Zeitpunkt und gegebenenfalls einen Änderungsgrund. Auch Entwürfe und historische Belege können daher Namen, Anschriften und weitere eingegebene Kontaktdaten enthalten. Die Belege machen Änderungen nachvollziehbar und ermöglichen die Klärung wiederholter oder unbeantworteter Speicheranfragen. Bei Nutzung des KI-Zugangs können auch Anfragen, Vorschauen und Aktionsnachweise diese Angaben sowie Freigabe- und Ausführungsangaben enthalten; für diese KI-Anfragen und Aktionsnachweise gelten die bestehenden Fristen nach Absatz 3. Die KI erhält keine Versandzugangsdaten. Ein historischer Speicherbeleg bestätigt weder den aktuellen Vorbereitungsstand noch Versandbereitschaft.

(4) Der Anbieter der KI-Anwendung ist kein Subprozessor des Auftragnehmers und nicht Bestandteil der Anlage 2; das gilt auch, soweit die KI-Anwendung Daten anlegt, ändert oder Vorgänge auslöst. Für die Einstellungen im Bereich „KI-Zugang“ einschließlich der freigegebenen Datenkategorien, der Stufen der Schalter und der Freigabe von Anfragen, für die Rechtsgrundlage der Übermittlung, das Vertragsverhältnis mit dem Anbieter einschließlich einer gegebenenfalls erforderlichen Vereinbarung nach Art. 28 DSGVO, die Voraussetzungen einer Übermittlung in Drittländer (Kapitel V DSGVO) und die Information der betroffenen Personen ist allein der Auftraggeber verantwortlich.

(5) Suchanfragen der KI-Anwendung an die Meykt-Hilfe verarbeitet der Auftragnehmer über den in Anlage 2 genannten Subprozessor Google (Gemini-Schnittstelle); E-Mail-Adressen und Telefonnummern entfernt er zuvor aus dem Suchtext, soweit sie als solche erkennbar sind.

(6) Der Auftraggeber kann Verbindungen jederzeit trennen und den KI-Zugang abschalten; offene Anfragen der betroffenen Verbindungen verwirft der Auftragnehmer dabei. Auf Daten, die die KI-Anwendung bis dahin abgerufen hat, hat der Auftragnehmer keinen Einfluss. Aktionen, mit denen sie Daten angelegt oder geändert hat, kann der Auftraggeber auch danach rückgängig machen, soweit sie sich rückgängig machen lassen und solange sie im Änderungsprotokoll stehen. Was die KI-Anwendung außerhalb der Plattform bewirkt hat, etwa versandte E-Mails oder Übergaben und Nachrichten an andere Organisationen, lässt sich nicht zurücknehmen.

(7) Veranlasst die KI-Anwendung im freigegebenen Umfang einen Vorgang, bei dem der Auftragnehmer Daten weitergibt – etwa E-Mails über ein Mail-Versandprofil des Auftraggebers oder über den Subprozessor Resend, Übergaben und Nachrichten an Fertigungspartner bzw. Auftraggeber (§ 6a), Inhalte von Prozessen an deren Teilnehmer, Statusmeldungen an vom Auftraggeber hinterlegte Zieladressen oder Befehle an den Meykt Agent –, gilt dafür dasselbe wie für denselben Vorgang in der Plattform; einen weiteren Subprozessor setzt der Auftragnehmer dafür nicht ein. Bilder vektorisiert er auf Veranlassung der KI-Anwendung nur nach § 11 Abs. 3, nur mit der dort beschriebenen Zustimmung, die der verbundene Nutzer selbst in der Plattform erteilt und für die aktuelle Fassung gespeichert hat – die KI-Anwendung kann sie nicht erteilen –, und erst nach Freigabe durch den Auftraggeber. Fehlermeldungen und Wünsche, die die KI-Anwendung an den Auftragnehmer sendet, behandelt er wie Supportanfragen aus der Plattform.

§ 7 Pflichten des Auftraggebers

Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO. Er ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Verarbeitung, einschließlich der Rechtsgrundlagen für die von ihm veranlassten Übermittlungen
• die Erfüllung von Informationspflichten gegenüber betroffenen Personen
• die Wahrung von Betroffenenrechten
• die Vergabe und Prüfung von Rollen und Berechtigungen
• die zulässige Konfiguration von Integrationen, Workflows und Maschinensteuerungen
• die Einhaltung arbeitsrechtlicher, produktsicherheitsrechtlicher und datenschutzrechtlicher Anforderungen in der eigenen Produktionsumgebung
• die Prüfung, ob besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden dürfen, bevor solche Daten in die Plattform eingebracht werden

§ 8 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

§ 9 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Laufzeit dieses Vertrags aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie fortentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen; das in Anlage 1 vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

§ 10 Subprozessoren

(1) Der Auftraggeber erteilt mit Abschluss dieses Vertrags die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO zur Hinzuziehung der in Anlage 2 genannten Subprozessoren.

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Hinzuziehung oder Ersetzung eines Subprozessors mindestens vier Wochen vor deren Wirksamwerden in Textform (z. B. per E-Mail an die im Konto hinterlegte Administrator-Adresse).

(3) Der Auftraggeber kann der beabsichtigten Änderung binnen 14 Tagen nach Zugang der Information aus berechtigten datenschutzrechtlichen Gründen in Textform widersprechen. Im Fall eines berechtigten Widerspruchs bemühen sich die Parteien um eine zumutbare Lösung; kommt eine solche nicht zustande, kann jede Partei den betroffenen Leistungsteil und der Auftraggeber den Hauptvertrag außerordentlich kündigen (Sonderkündigungsrecht).

(4) Der Auftragnehmer erlegt jedem Subprozessor im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 Satz 1 DSGVO).

(5) Kommt ein Subprozessor seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Erfüllung von dessen Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO).

§ 11 Drittlandübermittlungen

(1) Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind (Angemessenheitsbeschluss der Europäischen Kommission, geeignete Garantien nach Art. 46 DSGVO oder eine Ausnahme nach Art. 49 DSGVO) und nur im Rahmen der dokumentierten Weisungen des Auftraggebers.

(2) Die für die einzelnen Subprozessoren maßgeblichen Standorte und Übermittlungsmechanismen ergeben sich aus Anlage 2.

(3) Für die Funktion Bild-Vektorisierung gilt eine gesonderte Regelung: Die Übermittlung des jeweils ausgewählten Bildes an einen externen Dienstleister in den USA erfolgt nicht auf Grundlage dieses Vertrags, sondern ausschließlich nach Maßgabe der gesonderten Regelung in den Nutzungsbedingungen (§ 6a) und der Datenschutzerklärung; dort ist auch die vor jeder Übermittlung erforderliche ausdrückliche Zustimmung beschrieben. Dieser Dienstleister ist nicht Bestandteil der Anlage 2.

(4) Für die Übermittlung an eine vom Auftraggeber angebundene KI-Anwendung gilt § 6b; die Voraussetzungen des Kapitels V DSGVO stellt insoweit der Auftraggeber sicher.

§ 12 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen mit geeigneten technischen und organisatorischen Maßnahmen bei:

• der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO
• der Löschung, Berichtigung, Einschränkung oder dem Export von Daten
• der Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DSGVO
• der Meldung und Untersuchung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO)
• Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO), soweit erforderlich
• dem Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO

§ 13 Datenschutzverletzungen

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Auftraggebers betrifft.

(2) Die Mitteilung enthält, soweit verfügbar, Angaben zur Art des Vorfalls, zu den betroffenen Datenkategorien, den ungefähren Kategorien und der ungefähren Zahl der betroffenen Personen, den wahrscheinlichen Folgen sowie den ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Informationen können schrittweise nachgereicht werden, soweit sie nicht sofort vorliegen.

§ 14 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie nach Wahl des Auftraggebers zurück. Der Auftraggeber teilt seine Wahl bis zum Ende der 30-tägigen Nachhaltefrist mit; trifft er keine Wahl, werden die Daten nach Ablauf der Frist gelöscht.

(2) Absatz 1 gilt nicht, soweit nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

(3) Rückgabeformat: Der Auftraggeber kann die Daten während der Laufzeit und innerhalb der Nachhaltefrist jederzeit selbst über die Exportfunktion im Konto abrufen (Nutzungsbedingungen § 13a): als JSON (JSON Lines, gzip-komprimiert) mit einer Formatbeschreibung (schema.json) und einer Liste der gespeicherten Dateien mit Download-Links (dateien.json). Auf Anforderung erfolgt die Rückgabe nach Absatz 1 stattdessen in diesem Format durch den Auftragnehmer.

(4) In Sicherungskopien (Backups) enthaltene Daten werden nach dem jeweiligen Backup-Zyklus gelöscht oder überschrieben; bis dahin werden sie nicht weiterverarbeitet und bleiben gegen Zugriff geschützt.

(5) Eine Löschbestätigung erfolgt auf Anforderung in Textform.

§ 15 Nachweise und Kontrollrechte

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragnehmer ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Auftraggeber oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei.

(3) Der Nachweis kann vorrangig durch aktuelle Zertifikate, Testate oder Prüfberichte anerkannter Stellen geführt werden. Genügen diese im Einzelfall nicht, bleibt das Recht auf eine Vor-Ort-Prüfung unberührt.

(4) Für Überprüfungen gilt, soweit kein konkreter Anlass (etwa eine Datenschutzverletzung oder eine Anordnung einer Aufsichtsbehörde) besteht: höchstens eine Überprüfung pro Kalenderjahr, Ankündigung mindestens 30 Tage im Voraus, Durchführung während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs, Abschluss einer angemessenen Vertraulichkeitsvereinbarung; als Prüfer darf kein direkter Wettbewerber des Auftragnehmers beauftragt werden. Die Kosten einer vom Auftraggeber veranlassten Überprüfung trägt der Auftraggeber.

Anlage 1: Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen die folgenden technischen und organisatorischen Maßnahmen (Art. 32 DSGVO):

1. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Verschlüsselung bei Übertragung: sämtliche Verbindungen zur Plattform erfolgen verschlüsselt über HTTPS/TLS
• Verschlüsselung bei Speicherung: ruhende Daten werden bei den eingesetzten Infrastruktur-Anbietern verschlüsselt gespeichert
• Schutz von Zugangsdaten, Tokens und Secrets durch getrennte, zugriffsbeschränkte Verwaltung

2. Vertraulichkeit und Zugriffskontrolle (Art. 32 Abs. 1 lit. b DSGVO)

• rollen- und berechtigungsbasierte Zugriffskontrollen innerhalb der Plattform
• mandantengetrennte Datenverarbeitung: organisationsbezogene Datentrennung, technisch durchgesetzt auf Datenbankebene (Row-Level-Security)
• Authentifizierung über sichere Sitzungsmechanismen
• private Datei-Speicher; Dateizugriffe nur über zeitlich begrenzte, signierte Abruf-URLs
• Zugriff von Beschäftigten des Auftragnehmers auf Produktionsdaten nur, soweit für Betrieb, Support oder Fehleranalyse erforderlich (Need-to-know-Prinzip)
• physische Zutrittskontrolle durch die zertifizierten Rechenzentren der eingesetzten Infrastruktur-Anbieter; Datenbank und Datei-Storage in der Region Frankfurt am Main

3. Integrität und Nachvollziehbarkeit

• Protokollierung sicherheitsrelevanter Ereignisse und Änderungen (Audit-Logs)
• technische Validierung von Datei-Uploads (Inhaltsprüfung, Typ-Beschränkungen)
• Content-Security-Policy und weitere Sicherheits-Header der Web-Anwendung

4. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• regelmäßige Backups mit Wiederherstellungstests
• Betrieb auf redundanter, gemanagter Infrastruktur mit Monitoring
• dokumentiertes Verfahren zur raschen Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• regelmäßige Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen und Anpassung an den Stand der Technik
• sichere Entwicklungs- und Deploymentprozesse einschließlich Code-Reviews
• Trennung von Entwicklungs-, Test- und Produktivumgebungen

6. Organisatorische Maßnahmen

• Vertraulichkeitsverpflichtung aller zur Verarbeitung befugten Personen (§ 8)
• Auftragskontrolle: vertragliche Bindung der Subprozessoren nach § 10; Weisungsbindung nach § 6
• Pseudonymisierung, soweit sie nach Art und Zweck der jeweiligen Verarbeitung möglich und angemessen ist

7. Eigene Verarbeitungsstelle für Bildverarbeitung

• bestimmte Bildverarbeitungs-Funktionen (z. B. Hintergrund-Entfernung) laufen, wie in der Datenschutzerklärung beschrieben, auf eigener Hardware des Auftragnehmers innerhalb der EU mit zugriffsgeschütztem Betrieb; Zwischen-Dateien werden automatisiert nach spätestens 14 Tagen gelöscht

Änderungsvorbehalt: Der Auftragnehmer darf die Maßnahmen dieser Anlage an den technischen Fortschritt anpassen und durch gleichwertige oder bessere Maßnahmen ersetzen. Das hier beschriebene Schutzniveau darf dabei nicht unterschritten werden.

Anlage 2: Unterauftragsverarbeiter

Der Auftragnehmer setzt zur Erbringung der Leistungen die folgenden Subprozessoren ein. Änderungen erfolgen nach dem Verfahren in § 10.

Der externe Dienstleister für die Funktion Bild-Vektorisierung ist nicht Bestandteil dieser Anlage; für ihn gilt ausschließlich die gesonderte, zustimmungsbasierte Regelung in den Nutzungsbedingungen (§ 6a) und der Datenschutzerklärung (siehe § 11 Abs. 3).

Die Anbieter der vom Auftraggeber über den KI-Zugang angebundenen KI-Anwendungen (etwa Anthropic oder OpenAI) sind ebenfalls nicht Bestandteil dieser Anlage; für sie gilt § 6b.

Nur zur Information: Paddle ist kein Unterauftragsverarbeiter und deshalb nicht Bestandteil dieser Anlage. Sobald kostenpflichtige Tarife aktiviert sind, verkauft Paddle das Abonnement als Merchant of Record und verarbeitet die dafür nötigen Rechnungs-, Zahlungs- und Steuerdaten als eigener Verantwortlicher (siehe Datenschutzerklärung, Ziffer 12).

Stand dieser Anlage: 12. Oktober 2026.

Fragen zu diesem Vertrag beantwortet die Dumanu GmbH unter info@meykt.com.