Auftragsverarbeitungsvertrag

1. Anwendungsbereich & Rollen

Dieser Auftragsverarbeitungsvertrag („AVV") gilt, soweit Kundendaten, die die Huup Ltd („Huup") im Auftrag eines Kunden („Kunde") verarbeitet, personenbezogene Daten im Sinne der DSGVO (Verordnung (EU) 2016/679) und/oder des UK GDPR enthalten. Für diese Verarbeitung ist der Kunde der Verantwortliche und Huup der Auftragsverarbeiter im Sinne des Art. 28 DSGVO bzw. Art. 28 UK GDPR. Dieser AVV ist Bestandteil der Huup-Nutzungsbedingungen; mit Annahme der Nutzungsbedingungen wird auch dieser AVV angenommen, womit die Pflicht des Kunden zum Abschluss einer schriftlichen Auftragsverarbeitungsvereinbarung erfüllt ist. Für personenbezogene Daten, die Huup zu eigenen Zwecken erhebt (Konto, Abrechnung, Marketing-Website), ist Huup Verantwortlicher; insoweit gilt die Datenschutzerklärung.

2. Einzelheiten der Verarbeitung

Gegenstand & Dauer: die in den Nutzungsbedingungen beschriebenen Multi-Channel-Commerce-Dienste, für die Laufzeit des Abonnements des Kunden zuzüglich der Löschfrist nach Ziffer 9.

Art & Zweck: Synchronisation der Marktplatzbestellungen und Angebote des Kunden; Erstellung von Versandetiketten; Abwicklung von Retouren; Weiterleitung und Beantwortung von Endkundennachrichten (einschließlich KI-gestützter Antwortentwürfe); Reporting.

Kategorien betroffener Personen: Endkunden (Käufer) des Kunden auf angebundenen Vertriebskanälen; Mitarbeitende des Kunden als Nutzer.

Kategorien personenbezogener Daten: Name des Käufers, Lieferadresse, E-Mail-Adresse (Marktplatz-Alias, soweit vom Kanal bereitgestellt), Telefonnummer; Bestellinhalte und Kennungen; Nachrichteninhalte. Besondere Kategorien personenbezogener Daten werden weder benötigt noch beabsichtigt verarbeitet. Zahlungskartendaten werden nicht verarbeitet — Zahlungen verbleiben beim Marktplatz oder Zahlungsdienstleister.

3. Dokumentierte Weisungen

Huup verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auch hinsichtlich internationaler Datenübermittlungen, es sei denn, eine gesetzliche Verpflichtung sieht etwas anderes vor (in diesem Fall informiert Huup den Kunden vor der Verarbeitung, sofern das Gesetz dies nicht verbietet). Die vollständigen dokumentierten Weisungen des Kunden bestehen aus: (a) den Nutzungsbedingungen und diesem AVV; (b) den Konfigurationsentscheidungen des Kunden im Huup-Dashboard (angebundene Kanäle, Versanddienstleister, aktivierte Funktionen); und (c) der Nutzung der Plattformfunktionen durch den Kunden (die Anforderung eines Versandetiketts weist Huup beispielsweise an, die Empfängerdaten für diese Bestellung an den gewählten Versanddienstleister zu übermitteln). Huup informiert den Kunden, wenn eine Weisung nach Auffassung von Huup gegen anwendbares Datenschutzrecht verstößt.

4. Vertraulichkeit

Die von Huup zur Verarbeitung personenbezogener Daten befugten Personen sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet.

5. Sicherheit

Huup trifft geeignete technische und organisatorische Maßnahmen nach Art. 32, insbesondere: Verschlüsselung während der Übertragung (TLS 1.2+); Verschlüsselung im Ruhezustand (AES-256, AWS-verwaltete Schlüssel); je Kunde getrennte Datenbanken (Database-per-Tenant); personalisierte Administratorkonten mit verpflichtender Mehr-Faktor-Authentifizierung; rollenbasierte Zugriffskontrolle; Protokollierung; Trennung von Test- und Produktionsdaten; regelmäßige Backups; sowie eine gepflegte Informationssicherheitsrichtlinie und einen Notfallplan für Sicherheitsvorfälle. Eine aktuelle Übersicht wird auf der Seite Sicherheit veröffentlicht.

6. Unterauftragsverarbeiter

Der Kunde erteilt Huup eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Aktuelle Unterauftragsverarbeiter: Amazon Web Services (Cloud-Hosting — Regionen UK/EU) und Anthropic (KI-Inferenz für optionale KI-Funktionen; von Käufern verfasste Texte werden vor der Übermittlung um Kontaktdatenmuster bereinigt, und Anthropic darf mit diesen Daten keine Modelle trainieren). Versanddienstleister (z. B. FedEx, DPD, Evri, Royal Mail) erhalten Empfängerdaten auf bestellbezogene Weisung des Kunden und handeln als eigenständig Verantwortliche, nicht als Unterauftragsverarbeiter. Huup kündigt die Hinzunahme eines Unterauftragsverarbeiters, der personenbezogene Daten des Kunden verarbeitet, mindestens 30 Tage im Voraus an; der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Huup verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die diesem AVV entsprechen, und haftet für dessen Leistungserbringung.

7. Betroffenenrechte

Unter Berücksichtigung der Art der Verarbeitung unterstützt Huup den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anfragen, die Huup unmittelbar erreichen und Daten des Kunden betreffen, werden unverzüglich an den Kunden weitergeleitet.

8. Verletzung des Schutzes personenbezogener Daten

Huup benachrichtigt den Kunden unverzüglich, nachdem Huup von einer Verletzung des Schutzes personenbezogener Daten des Kunden Kenntnis erlangt hat, und stellt die Informationen bereit, die der Kunde für seine eigenen Meldepflichten nach Art. 33 und 34 DSGVO benötigt. Huup unterhält einen Notfallplan für Sicherheitsvorfälle und wirkt an der Untersuchung des Kunden mit.

9. Aufbewahrung, Löschung & Rückgabe

Personenbezogene Käuferdaten aus einem angebundenen Marktplatz werden nicht länger aufbewahrt, als es die Datenschutzvorgaben des jeweiligen Marktplatzes zulassen — bei Daten der Amazon Selling Partner API werden personenbezogene Käuferdaten 28 Tage nach dem Bestelldatum gelöscht; kürzere kanalspezifische Fristen werden angewendet, soweit ein Kanal solche vorgibt. Nach Beendigung der Dienste löscht Huup die personenbezogenen Daten des Kunden (oder gibt sie nach Wahl des Kunden zurück) und löscht vorhandene Kopien, sofern nicht anwendbares Recht eine weitere Speicherung verlangt; nicht personenbezogene Bestell- und Finanzunterlagen können für gesetzliche Aufbewahrungsfristen aufbewahrt werden.

10. Internationale Datenübermittlungen

Kundendaten werden standardmäßig in AWS-Regionen im Vereinigten Königreich und in der EU gehostet. Übermittlungen personenbezogener Daten aus dem EWR in das Vereinigte Königreich sind durch die Angemessenheitsbeschlüsse der Europäischen Kommission für das Vereinigte Königreich gedeckt, die am 19. Dezember 2025 erneuert wurden und bis zum 27. Dezember 2031 gelten. Soweit eine Verarbeitung zwingend eine Übermittlung außerhalb des Vereinigten Königreichs und des EWR erfordert (etwa an einen Marktplatz-API-Endpunkt oder einen Unterauftragsverarbeiter in den USA), stützt sich Huup auf geeignete Garantien: EU-Standardvertragsklauseln (2021), das UK International Data Transfer Agreement bzw. Addendum sowie ergänzende Maßnahmen einschließlich Verschlüsselung während der Übertragung und im Ruhezustand.

11. Audit & Nachweise

Huup stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 erforderlich sind — einschließlich des Verzeichnisses von Verarbeitungstätigkeiten, der Sicherheitsrichtlinien und vorhandener Prüfberichte Dritter — und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt zu diesen bei, vorbehaltlich angemessener Vorankündigung, Vertraulichkeit und höchstens einmal in 12 Monaten, sofern nicht eine Aufsichtsbehörde dies verlangt oder ein Sicherheitsvorfall vorliegt.

12. Marktplatzspezifische Regelungen

Angebundene Kanäle geben eigene Datenschutzbedingungen vor, die auf die Nutzung von Huup durch den Kunden durchschlagen. Insbesondere weist der Kunde Huup für Daten der Amazon Selling Partner API ausdrücklich an, Bestell- und Käuferinformationen ausschließlich zur Erbringung der Dienste (Auftragsverwaltung, Erstellung von Versandetiketten, Retouren) gemäß der Amazon Data Protection Policy abzurufen und zu verarbeiten — einschließlich deren Vorgaben zu Aufbewahrung, Löschung und Nichtweitergabe. Entsprechende Kanalvorgaben gelten für weitere angebundene Marktplätze. Huup verwendet personenbezogene Käuferdaten aus Marktplätzen nicht für Werbung, für nicht dienstbezogenes Profiling oder für das Training von Modellen und verkauft sie nicht.

13. Vorrang, Haftung & Recht

Bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten geht dieser AVV den Nutzungsbedingungen vor. Die Haftung nach diesem AVV unterliegt den Haftungsbeschränkungen der Nutzungsbedingungen. Dieser AVV unterliegt dem Recht von England & Wales. Ist der Kunde im EWR niedergelassen, bleiben die zwingenden Vorschriften der DSGVO unberührt; sie gehen entgegenstehenden Regelungen vor.

14. Kontakt

Datenschutzanfragen zu diesem AVV: