Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 2026-10-11. Zwischen dem Kunden (Verantwortlicher) und SJ Works, Sean Justus, Kaiser-Friedrich-Ring 17, 65185 Wiesbaden (Auftragsverarbeiter). Der AVV wird bei der Registrierung bzw. im Konto elektronisch abgeschlossen. Die Anlage „Technische und organisatorische Maßnahmen“ ist Bestandteil dieses Vertrags.

1. Gegenstand und Dauer

• SJW BI: lesender Zugriff auf die JTL-Wawi-Datenbank des Kunden, Spiegelung der für Auswertungen nötigen Daten in eine getrennte Datenbank, Berechnung und Anzeige von Auswertungen, Export auf Anforderung. Keine Änderung der JTL-Daten.
• SJW PIM: Lesen von Artikel- und Lieferantendaten aus der JTL-Wawi, Erhebung von Produktdaten bei Lieferanten und B2B-Kunden des Kunden, Prüfung und Freigabe durch den Kunden. Ein Zurückschreiben in die JTL-Wawi erfolgt nur, wenn ein Superadmin des Kunden es im PIM ausdrücklich freigeschaltet hat (Voreinstellung: gesperrt).
• SJW Taxes: Lesen der Rechnungs-, Gutschrift- und Zahlungsdaten aus der JTL-Wawi (über die Spiegelung von SJW BI), Kontenzuordnung nach den Regeln des Kunden und Erzeugung von DATEV-Buchungsstapeln. Auf Wunsch Abruf der Transaktionen aus dem PayPal-Konto bzw. Shopify-Payments-Konto des Kunden mit dessen Zugangsdaten und Übertragung der Buchungen an den DATEV-Mandanten des Kunden auf dessen Anweisung (Anmeldung mit dem DATEV-Zugang des Kunden). Keine Änderung der JTL-Daten.
• SJW Connect: Lesen von Artikel-, Preis-, Bestands-, Kategorie- und Lieferscheindaten aus der JTL-Wawi und Übertragung in den Shopify-Shop des Kunden (Artikel, Preise, Bestände, Kollektionen, Versandmeldungen mit Sendungsnummer). Die Übertragung erfolgt ausschließlich auf Weisung des Kunden in seinen eigenen Shop über eine vom Kunden angelegte Shopify-App. Keine Änderung der JTL-Daten.
• SJW ERP: Warenwirtschaft des Kunden in einer eigenen Datenbank: Stammdaten (Artikel, Kunden, Lieferanten), Aufträge, Rechnungen, Einkauf, Lager und Versand. Auf Weisung des Kunden: Übernahme neuer Bestellungen aus seinem Shopify-Shop über die App „SJW Connector“, Erstellung von Versandetiketten bei DHL, DPD und UPS, Übermittlung freigegebener Aufträge an vom Kunden bestimmte Dropshipping-Lieferanten per E-Mail-CSV, Abruf von Dateien von vom Kunden hinterlegten Adressen (Importprofile), Verarbeitung der Kontoauszüge des Kunden und Abgleich der Zahlungen mit seinen Belegen.
• SJW Shipping: Lesen offener Lieferscheine mit Positionen, Gewichten, Versandart und Lieferanschrift aus der JTL-Wawi des Kunden; Erstellung von Versandetiketten beim vom Kunden gewählten Versanddienstleister (DHL, DPD, UPS) mit den Zugangsdaten bzw. Kundennummern des Kunden; Abruf des Sendungsstatus. Ein Schreiben in die JTL-Wawi erfolgt nur, wenn der Kunde es in SJW Shipping einschaltet, und beschränkt sich auf Sendungsnummer, Versanddatum und Versandstatus am Lieferschein; im Übrigen keine Änderung der JTL-Daten.
• Dienstleister des Kunden: DATEV (DATEV eG), PayPal, Shopify, DHL, DPD, UPS (auch für SJW Shipping) und die Dropshipping-Lieferanten des Kunden sind vom Kunden gewählte Dienstleister bzw. Empfänger im Auftrag des Kunden (bei DATEV ggf. seiner Steuerkanzlei), nicht Unterauftragsverarbeiter von SJ Works. Für die Verarbeitung dort gelten die Verträge des Kunden mit diesen Anbietern.
• Nutzungsmessung: Die Nutzung der Apps (z. B. aufgerufene Seiten und Funktionen) messen wir cookielos zur Verbesserung des Angebots, in eigener Verantwortung: keine gespeicherten IP-Adressen, keine Nutzer- oder Kundenkennungen, keine Inhalte aus Wawi, PIM oder Buchhaltung; Adressbestandteile wie Tokens und IDs werden vor dem Speichern entfernt. Diese Messung ist keine Auftragsverarbeitung. Google Analytics wird in den Apps nicht eingesetzt (siehe Datenschutzhinweise).
• Art der Verarbeitung: Erheben (lesend abfragen), Speichern, Ordnen, Auswerten, Anzeigen, Exportieren und Übermitteln auf Weisung des Kunden, Verändern einzelner Felder in der JTL-Wawi auf Weisung des Kunden (Zurückschreiben freigegebener Produktdaten aus SJW PIM; Sendungsnummer, Versanddatum und Versandstatus aus SJW Shipping), Löschen.
• Dauer: Laufzeit der jeweiligen Buchung.

2. Art der Daten und betroffene Personen

• Endkunden des Kunden: Kundennummer, Name, Firma, Rechnungs- und Lieferadresse, Belege, Positionen, Beträge, Zahlungs- und Versandart.
• SJW ERP, zusätzlich: E-Mail-Adresse und Telefonnummer der Endkunden, Adresszusatz und Bestellnotiz (Bestellimport aus Shopify); an Dropshipping-Lieferanten übermittelte Lieferdaten (Firma, Name, Lieferadresse, auf Einstellung des Kunden Telefon und E-Mail, nie Preise), die übermittelten Dateien 90 Tage; an Versanddienstleister übermittelte Sendungsdaten (Name bzw. Firma, Anschrift, falls hinterlegt E-Mail-Adresse des Empfängers).
• SJW ERP mit Kontoauszügen: Umsätze der Geschäftskonten des Kunden (Buchungsdatum, Betrag, Name und IBAN des Zahlers bzw. Empfängers, Verwendungszweck, Mandats- und Bankreferenz) sowie die Originaldateien der Kontoauszüge.
• Lieferanten und B2B-Kunden des Kunden: Firmen- und Ansprechpartnerdaten, Zugangsdaten zum PIM, eingereichte Produktdaten.
• Mitarbeiter des Kunden: Name, E-Mail, Rolle, Anmeldezeitpunkte, Audit-Log.
• Verbindungsdaten zur JTL-Datenbank und Zugangsdaten der Shopify-App des Kunden (SJW Connect), verschlüsselt gespeichert.
• SJW Connect: Bestell- und Versanddaten (Bestellnummer, Sendungsnummer, Versanddienstleister) zur Versandmeldung an den Shop des Kunden.
• SJW Taxes: USt-IdNr. und Debitorennummer der Endkunden aus den Rechnungen, die Kontenzuordnung sowie die erzeugten DATEV-Exportdateien (Buchungsstapel mit Belegnummer, Kundennummer, Betrag, Konto). Für die Übertragung an DATEV wird ein verschlüsseltes DATEV-Refresh-Token gespeichert.
• SJW Shipping: Lieferanschriften der Endkunden (Name bzw. Firma, Anschrift; falls vom Versanddienstleister benötigt und vom Kunden eingestellt Telefonnummer und E-Mail-Adresse für die Zustellbenachrichtigung), Paketdaten (Gewicht, Inhalt, bei Sendungen außerhalb der EU Zollangaben: Warenbeschreibung, Zolltarifnummer, Ursprungsland, Wert). Anschriften werden nur für die Erstellung des Etiketts verarbeitet und nicht gespeichert; gespeichert werden Lieferscheinnummer, Sendungsnummer, Versanddienstleister, Land und Postleitzahl, Gewicht und die Etiketten (30 Tage).
• SJW Taxes mit Belegbildern: Belegbilder von Ausgangsrechnungen, Stornos und Rechnungskorrekturen, die der Kunde hochlädt oder aus seinem SJW ERP abrufen lässt (Name, Anschrift, ggf. USt-IdNr. der Endkunden, Positionen), verschlüsselt gespeichert; Aufbewahrung bis zum Ende von SJW Taxes, längstens 10 Jahre.
• SJW Taxes mit verbundenem PayPal- bzw. Shopify-Konto: Transaktionsdaten (Transaktions-ID, Datum, Betrag, Gebühr, Bestell- bzw. Rechnungsreferenz), abgerufen mit den Zugangsdaten des Kunden nur zur Anzeige und zum Export und nicht dauerhaft gespeichert (außer in erzeugten Exportdateien); keine Zahlerdaten wie Name oder E-Mail-Adresse. Die Zugangsdaten werden verschlüsselt gespeichert.

Keine Kartendaten und keine Zugangsdaten zum Online-Banking. Besondere Kategorien nach Art. 9 DSGVO werden nicht gezielt verarbeitet; Verwendungszwecke von Zahlungen können im Einzelfall solche Angaben enthalten.

3. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, sofern nicht eine gesetzliche Pflicht etwas anderes verlangt; in diesem Fall teilt der Auftragsverarbeiter dem Kunden die Pflicht vorher mit, soweit das Gesetz dies nicht verbietet. Weisungen sind die Nutzung der Apps durch den Kunden, dieser Vertrag und Anweisungen in Textform.
• Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.
• Vertraulichkeitsverpflichtung aller zur Verarbeitung befugten Personen.
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage; Anpassungen an den Stand der Technik sind zulässig, wenn das Schutzniveau nicht sinkt.
• Unterstützung bei Betroffenenanfragen sowie bei Pflichten nach Art. 32 bis 36 DSGVO.
• Meldung von Datenschutzverletzungen unverzüglich, spätestens 24 Stunden nach Kenntnis.
• Zugriff des Anbieters auf Kundendaten nur zur Unterstützung auf Anfrage des Kunden oder zur Störungsbehebung, jeweils protokolliert. In SJW BI über die Funktion „Als Kunde ansehen“: zeitlich begrenzt (60 Minuten) und nur lesend; Änderungen nur, wenn der Anbieter für den Kunden den protokollierten Supportmodus einschaltet, um eine Anfrage des Kunden zu bearbeiten. In SJW PIM mit einem eigenen, als „SJ Works“ gekennzeichneten Betreiberkonto mit Administratorrechten; bestehende Konten des Kunden werden dabei nicht verändert. Mit diesem AVV erteilt der Kunde dafür seine Zustimmung.

4. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz dieser Unterauftragsverarbeiter zu. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO); er haftet gegenüber dem Kunden für deren Einhaltung. Neue Unterauftragsverarbeiter werden dem Kunden mindestens 30 Tage vorher mitgeteilt; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Eine Verarbeitung außerhalb der EU/des EWR findet nicht statt. Übermittlungen an vom Kunden gewählte Dienstleister (Ziffer 1) erfolgen auf seine Weisung.

5. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Überprüfungen einschließlich Inspektionen vor Ort durchführen. Vor-Ort-Prüfungen sind mit angemessener Frist (in der Regel 14 Tage) anzukündigen, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb und die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigen. Die Rechenzentren der Hetzner Online GmbH werden durch Vorlage von deren Nachweisen geprüft.

6. Löschung und Rückgabe

Nach Ende einer Buchung entscheidet der Kunde, ob seine Daten zurückgegeben oder gelöscht werden. Zur Rückgabe stellt der Auftragsverarbeiter nach Vertragsende automatisch einen Gesamtexport der Daten der jeweiligen App bereit (Tabellen als CSV, gespeicherte Dateien und DATEV-Buchungsstapel, ohne Zugangsdaten), den die Administratoren des Kunden im Konto herunterladen können; der Export wird verschlüsselt gespeichert, jeder Abruf wird protokolliert. Daneben kann der Kunde seine Daten vor Vertragsende jederzeit in den Apps exportieren; bei SJW BI, PIM, Taxes und Connect liegen die Originaldaten ohnehin in seiner JTL-Wawi. Die Daten der App und der Export werden spätestens 30 Tage nach Vertragsende gelöscht, auf Weisung des Kunden in Textform auch früher. Kann der Export aus technischen Gründen nicht rechtzeitig bereitgestellt werden, verschiebt sich die Löschung, bis er bereitsteht; der Kunde hat dann mindestens 14 Tage Zeit für den Abruf. Datensicherungen laufen spätestens 30 Tage nach der Löschung aus. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

7. Rechtsnachfolge

Überträgt der Auftragsverarbeiter den Hauptvertrag nach Ziffer 8 der AGB, tritt der Übernehmer zum selben Zeitpunkt als Auftragsverarbeiter in diesen Vertrag ein. Der Auftragsverarbeiter informiert den Kunden darüber mit der dort genannten Frist in Textform und nennt Firma, Anschrift und Kontakt des Übernehmers. Gegenstand, Art und Zweck der Verarbeitung, die Weisungen des Kunden, die technischen und organisatorischen Maßnahmen (Anlage), die Unterauftragsverarbeiter (Ziffer 4) und der Ort der Verarbeitung ändern sich dadurch nicht; die Daten bleiben auf denselben Systemen. Der Übernehmer übernimmt alle Pflichten aus diesem Vertrag; der bisherige Auftragsverarbeiter bleibt für die Verarbeitung bis zum Zeitpunkt des Übergangs verantwortlich. Das Kündigungsrecht des Kunden nach Ziffer 8 der AGB gilt auch für diesen Vertrag; endet der Hauptvertrag, gilt Ziffer 6.

8. Kontakt

SJ Works, hello@sjworks.de

Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Server ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (nach ISO/IEC 27001 zertifiziert); kein eigener physischer Zugang von SJ Works.
• Zugang: persönliche Konten; Passwörter mindestens 10 Zeichen, gespeichert nur als bcrypt-Hash; Sperre nach wiederholten Fehlversuchen; zweiter Faktor (Authenticator-App) oder Passkey für alle Konten des Kunden verpflichtend; ausgenommen sind nur befristete Testzugänge von SJ Works ohne Kundendaten (höchstens 30 Tage, protokolliert). Server-Zugang nur per SSH-Schlüssel, Firewall mit freigegebenen Ports nur für SSH, HTTP und HTTPS, fail2ban.
• Zugriff: Rollen je Kunde (Administrator, Nutzer, Freigabe einzelner Apps); jeder Datenzugriff wird serverseitig auf den Kunden des angemeldeten Nutzers beschränkt. Betreiberzugriff nur wie in Abschnitt 3 beschrieben, zeitlich begrenzt und protokolliert.
• Trennung: eigenes Datenbankschema je Kunde (SJW BI, SJW Taxes) bzw. eigene Datenbank je Kunde (SJW PIM, SJW ERP).
• Verschlüsselung der Datenträger: Alle Datenbanken, gespeicherten Dateien und Datensicherungen liegen auf einem mit LUKS2 (AES-256) verschlüsselten Datenträger; auf der Systemplatte liegen keine Kundendaten.
• Verschlüsselung der Übertragung und der Zugangsdaten: Übertragung nur per TLS (HTTPS mit HSTS, Content Security Policy); JTL-Anbindung per TLS mit geprüftem Server-Zertifikat oder über einen vom Kunden ausgehend aufgebauten SSH-Tunnel. Gespeicherte Zugangsdaten (JTL, Shopify, PayPal, DATEV, Versanddienstleister) und Zwei-Faktor-Geheimnisse mit AES-256-GCM verschlüsselt; der Schlüssel liegt nur auf dem Server. Einladungs-, Bestätigungs- und Passwort-Links sowie Wiederherstellungscodes werden nur als Hash gespeichert.
• Eigene Domains des Kunden erhalten automatisch ein Zertifikat von Let’s Encrypt; dabei wird nur der Domainname übermittelt.

Integrität

• Nur lesender Datenbank-Login beim Kunden für Auswertungen; eigene SQL-Abfragen sind auf lesende Befehle beschränkt und laufen in einer Transaktion, die immer zurückgesetzt wird.
• Protokollierung: Audit-Log für Anmeldungen, Verbindungs- und Einstellungsänderungen, Nutzerverwaltung, SQL-Ausführungen und Betreiberzugriffe; Aufbewahrung 12 Monate.

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung der Datenbanken auf dem verschlüsselten Datenträger, Aufbewahrung höchstens 30 Tage; zusätzlich eine Kopie außerhalb des Servers auf einer Hetzner Storage Box (Rechenzentrum in Deutschland), vor der Übertragung mit GPG verschlüsselt; der private Schlüssel wird offline aufbewahrt.
• Regelmäßige Wiederherstellungstests der Sicherungen, mindestens einmal jährlich.
• Gehärteter Server mit automatischen Sicherheitsupdates; Speicher- und Ressourcengrenzen je Dienst.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen der Apps oder der Infrastruktur; Ergebnisse und Anpassungen werden dokumentiert.
• Laufende Aktualisierung der eingesetzten Software und Abhängigkeiten; Änderungen werden vor der Auslieferung getestet.
• Löschfristen werden durch einen täglichen automatischen Löschlauf umgesetzt.