Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien und Präambel

Verantwortlicher (nachfolgend „Auftraggeber“ oder „Händler“): der Händler, der Address Validation iO (folgend auch „AVIO“ genannt) in seinem Shop installiert (Shopify, Shopware 6, WooCommerce, Headless-Storefront) oder über die Platform API nutzt, wie im jeweiligen Konto hinterlegt.

Auftragsverarbeiter (nachfolgend „Auftragnehmer“ oder „AVIO“): Moving Primates GmbH, Gollierstraße 70, 80339 München, Deutschland, vertreten durch Klaus Rautenberg, Handelsregister Amtsgericht München, HRB 143979. Support: support@address-validation.io; Datenschutzkontakt: Klaus Rautenberg, datenschutz@movingprimates.de.

Präambel. Der Auftragnehmer stellt dem Auftraggeber Address Validation iO bereit, das Adressen, E-Mail-Adressen und Telefonnummern im Checkout und nach jeder Bestellung über externe Provider prüft. Dabei verarbeitet der Auftragnehmer personenbezogene Daten der Endkunden des Auftraggebers in dessen Auftrag. Dieser Vertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ergänzt die Nutzungsbedingungen von AVIO bzw. eine individuelle Enterprise-Vereinbarung (nachfolgend „Hauptvertrag“).

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

1. Gegenstand. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich, um AVIO gemäß Hauptvertrag zu erbringen. AVIO prüft Lieferadressen, auf Wunsch Rechnungsadressen, sowie E-Mail-Adressen und Telefonnummern. Dazu gehören:

   • Adressregeln des Auftraggebers und eine kostenlose Vorprüfung, etwa auf fehlende Hausnummer, Packstation ohne Postnummer, gesperrte Postfächer oder E-Mail-Adressen und Telefonnummern im Adressfeld,

   • die Prüfung durch einen pro Land gewählten Provider mit Backup-Provider (Länder-Routing) und die Wiederverwendung gespeicherter Antworten,

   • die Prüfung im Checkout und nach jeder Bestellung, auch bei Express-Checkouts und Wallets, sowie die erneute, manuelle und Massenprüfung,

   • Korrekturhinweise und Korrekturmöglichkeiten für Endkunden, Bestell-Tags, Holds und Workflow-Trigger,

   • Analysen und Logs.

2. Art, Zweck, Datenarten und Betroffene sind in Anlage 1 abschließend beschrieben.

3. Dauer. Der AVV beginnt mit Installation der App bzw. des Plugins oder mit Freischaltung des API-Zugangs. Er endet mit Beendigung des Hauptvertrags, frühestens aber, wenn der Auftragnehmer alle Auftraggeberdaten nach § 10 gelöscht hat.

4. Ort der Verarbeitung. Der Auftragnehmer speichert und verarbeitet Auftraggeberdaten bei Amazon Web Services in Frankfurt (Region eu-central-1) und betreibt die App und das Admin-Panel bei Vercel in Frankfurt (Region fra1). Anfragen an die Platform API laufen über das Content Delivery Network Amazon CloudFront (§ 7 Abs. 6). Adressen, E-Mail-Adressen und Telefonnummern gehen nur an den Provider, der sie prüft. Einige Provider haben ihren Sitz außerhalb der EU; dafür gilt § 7.

5. Abgrenzung: eigene Verantwortlichkeit von AVIO. Konto-, Vertrags- und Abrechnungsdaten des Händlers (bei Shopify über die Shopify-Rechnung), E-Mails von AVIO an den Händler einschließlich der Kopien automatisierter E-Mails (400 Tage), Support-Kommunikation, Kontaktanfragen und die Website address-validation.io einschließlich ihrer Live-Demo verarbeitet der Auftragnehmer als eigener Verantwortlicher.

6. Archiv und aggregierte Kennzahlen. Der Auftragnehmer führt ein Archiv aller Prüfungen und App-Ereignisse. Es besteht aus einem allgemeinen, pseudonymen Teil und gesonderten Prüfdetails mit Adresszeilen; Inhalt und Fristen beschreibt Anlage 1. Aus dem allgemeinen Teil bildet der Auftragnehmer Kennzahlen ohne Personenbezug, etwa Prüfungen, Quoten und Trefferquoten pro Land und Provider, für Analysen, KI-Zusammenfassungen (§ 4 Abs. 10) und die Verbesserung des empfohlenen Setups. Aggregierte Trefferquoten pro Land darf er an Provider weitergeben, ohne den Auftraggeber zu nennen. Soweit er Kennzahlen über alle Shops hinweg bildet, ist er dafür eigener Verantwortlicher (Art. 6 Abs. 1 lit. f DSGVO). Eine Rückführung auf einzelne Personen ist unzulässig.

§ 2 Begriffsbestimmungen

Es gelten die Begriffe des Art. 4 DSGVO. Ergänzend gilt:

§ 3 Weisungsrecht und Pflichten des Auftraggebers

1. Dokumentierte Weisungen. Der Auftragnehmer verarbeitet Auftraggeberdaten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO). Die vollständige Erstweisung bilden dieser AVV, der Hauptvertrag und die Einstellungen in der AVIO-App, im Plugin oder über die Platform API. Dazu zählen insbesondere das Länder-Routing, die Regeln, Holds und Tags sowie die Kundenkommunikation.

2. Empfohlenes Setup. Übernimmt der Auftraggeber für ein Land das empfohlene Setup, weist er den Auftragnehmer an, dort die Provider aus Anlage 3 einzusetzen, die der Auftragnehmer jeweils empfiehlt. Das schließt künftige Anpassungen der Empfehlung ein, solange nur Provider aus Anlage 3 betroffen sind. Ändert der Auftraggeber eine Zeile, gilt seine Auswahl.

3. Einzelweisungen erteilt der Auftraggeber in Textform an support@address-validation.io. Mündliche Weisungen bestätigt er unverzüglich in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Änderungswunsch und können gesondert vergütet werden.

4. Änderungen durch den Support. Ändert der AVIO-Support Einstellungen auf Wunsch des Auftraggebers, gilt das als Weisung. Die Änderung erscheint in den Logs des Auftraggebers als „AVIO support“ mit altem und neuem Wert und im Audit-Log des Auftragnehmers mit der handelnden Person.

5. Rechtswidrige Weisungen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

6. Gesetzliche Verarbeitungspflichten. Ist der Auftragnehmer nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz die Mitteilung nicht verbietet.

7. Verantwortung des Auftraggebers. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Insbesondere

   • prüft er die Rechtsgrundlage, in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, korrekte Lieferung) bzw. lit. f DSGVO (Vermeidung von Fehlzustellungen),

   • informiert er Endkunden in seiner Datenschutzerklärung über AVIO, die Prüfung durch Provider (einschließlich der Angaben im Adresszusatz) und die Korrektur-E-Mails (Art. 13 DSGVO),

   • verantwortet er bei der Platform API die Auswahl der Datensätze, die er etwa aus ERP oder CRM zur Prüfung übermittelt,

   • verantwortet er bei Shopware die E-Mails, die er über Flow Builder an Endkunden sendet,

   • übermittelt er keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), auch nicht über Freitextfelder,

   • informiert er den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 4 Pflichten des Auftragnehmers

1. Zweckbindung. Der Auftragnehmer verwendet Auftraggeberdaten nicht für eigene Zwecke. Insbesondere gilt:

   • kein Verkauf und keine Weitergabe an Dritte außer an die Provider nach § 6,

   • kein Aufbau eigener Adress-, E-Mail- oder Telefondatenbanken aus Auftraggeberdaten, vorbehaltlich des shopübergreifenden Caches unten,

   • keine Nutzung für Werbung, Profilbildung oder zum Training von KI-Modellen.

   Gespeicherte Antworten. Der Auftragnehmer speichert Antworten der Provider pro Shop unter der Adresse allein (Straße, Adresszusatz, Ort, Postleitzahl, Bundesland, Land), ohne Namen, Firma oder Telefonnummer. Er nutzt sie, um dieselbe Adresse in diesem Shop erneut zu beantworten. Er hält sie höchstens 180 Tage, kürzer, wenn die Bedingungen des Providers das verlangen (Anlage 3). Auf eine Löschanfrage hin löscht er Antworten zu allen Adressen, die sich dem Endkunden zuordnen lassen, auch im shopübergreifenden Cache (§ 8 Abs. 2).

   Shopübergreifender Cache. Antworten der Provider, bei denen Anlage 3 das vorsieht, speichert der Auftragnehmer zusätzlich in einem Speicher, den alle Shops nutzen, ohne Shop- oder Kundenbezug und nur soweit die Bedingungen des Providers das erlauben. Für diese Verarbeitung ist der Auftragnehmer eigener Verantwortlicher; Rechtsgrundlage ist sein berechtigtes Interesse an schnellen und kostengünstigen Prüfungen (Art. 6 Abs. 1 lit. f DSGVO). Er speichert nur Adresse und Antwort, löscht Einträge 180 Tage nach dem Speichern und versucht keine Zuordnung zu Personen oder Shops. Zulässig bleiben außerdem das Archiv und die aggregierten Kennzahlen nach § 1 Abs. 6.

2. Vertraulichkeit. Zugriff auf Auftraggeberdaten erhalten nur Beschäftigte, die ihn für ihre Aufgabe benötigen (Need-to-know). Sie sind schriftlich zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO), auch über das Ende ihrer Tätigkeit hinaus, und werden mindestens jährlich im Datenschutz geschult.

3. Sicherheit. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach § 5 und Anlage 2.

4. Datenschutzbeauftragter. Der Auftragnehmer benennt einen Datenschutzbeauftragten, soweit gesetzlich vorgeschrieben (Art. 37 DSGVO, § 38 BDSG). Derzeit ist das nicht der Fall; Ansprechpartner für den Datenschutz ist Klaus Rautenberg, datenschutz@movingprimates.de. Eine Benennung oder einen Wechsel teilt er in Textform mit.

5. Verzeichnis. Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Tätigkeiten der Auftragsverarbeitung (Art. 30 Abs. 2 DSGVO).

6. Zusammenarbeit mit Aufsichtsbehörden. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

7. Behördliche Herausgabeverlangen. Verlangt eine Behörde Zugriff auf Auftraggeberdaten, informiert der Auftragnehmer den Auftraggeber vorab, soweit rechtlich zulässig. Er prüft die Rechtmäßigkeit, wehrt unberechtigte Ersuchen ab und gibt nur das gesetzlich zwingende Minimum heraus. Ersuchen und Antworten dokumentiert er.

8. Berichtigung, Löschung, Einschränkung. Der Auftragnehmer berichtigt, löscht oder schränkt Auftraggeberdaten nur auf Weisung des Auftraggebers ein. Für automatisierte Datenschutzanfragen gilt § 8 Abs. 2.

9. Gefährdung durch Dritte. Werden Auftraggeberdaten durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich. Er weist alle Beteiligten darauf hin, dass die Daten allein dem Auftraggeber als Verantwortlichem zustehen.

10. KI-Zusammenfassungen. Für „Ask AVIO“ (KI-Insights, nur Shopify) nutzt der Auftragnehmer das Modell Claude von Anthropic über das Vercel AI Gateway. Übermittelt werden nur Summen und Quoten pro Land und Provider sowie das Provider-Setup des Shops, niemals Adressen, Namen, E-Mail-Adressen, Bestellnummern oder die Shop-Domain. Jede Anfrage schließt die Nutzung zum Training aus. Ein Einsatz von KI-Modellen auf Ebene einzelner Adressen oder Bestellungen ist nicht Gegenstand dieses AVV und setzt eine Ankündigung nach § 6 Abs. 4 voraus.

11. Zugriff durch Beschäftigte und deren KI-Werkzeuge. Beschäftigte des Auftragnehmers greifen über ein Admin-Panel zu, das nur freigegebene Personen erreichen. Jede Einstellungsänderung, das Öffnen einer Kunden-E-Mail und jede Abfrage des Archivs über KI-Werkzeuge steht im Audit-Log. KI-Werkzeuge, die Beschäftigte mit dem Panel verbinden, erhalten keine Namen, Adressen, E-Mail-Adressen oder Telefonnummern von Endkunden und können keine Einstellungen von Auftraggebern ändern.

§ 5 Technische und organisatorische Maßnahmen

1. Schutzniveau. Der Auftragnehmer gewährleistet ein dem Risiko angemessenes Schutzniveau nach Art. 32 DSGVO. Die konkreten Maßnahmen sind in Anlage 2 beschrieben und Bestandteil dieses AVV.

2. Anpassung. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, wenn das Schutzniveau dadurch nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

3. Überprüfung. Der Auftragnehmer überprüft, bewertet und evaluiert die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal jährlich (Art. 32 Abs. 1 lit. d DSGVO).

4. Bereich des Auftraggebers. Der Auftraggeber ist für die Sicherheit in seinem eigenen Bereich verantwortlich. Dazu gehören der Schutz seines Shop- und Admin-Zugangs (Zwei-Faktor-Authentifizierung, Mitarbeiterrechte), die Geheimhaltung der API-Keys der Platform API, die Pflege der erlaubten Origins im Headless-Widget und die Inhalte, die er in Kundentexte einfügt.

§ 6 Unterauftragsverarbeiter

1. Allgemeine Genehmigung. Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die in Anlage 3 genannten Unterauftragsverarbeiter gelten als genehmigt. Weitere Provider und sonstige Unterauftragsverarbeiter kommen nach Abs. 4 hinzu.

2. Auswahl durch den Auftraggeber. Welche Provider Daten erhalten, bestimmt der Auftraggeber über das Länder-Routing, A/B-Tests und Backtests. Ein Provider erhält Daten nur, wenn er für ein Land als Haupt- oder Backup-Provider eingetragen oder in einem Test ausgewählt ist. Der Backup-Provider wird einmal gefragt, wenn der Haupt-Provider ausfällt oder unsicher ist. In einem A/B-Test erhalten zusätzlich die Test-Provider die Adressen des gewählten Anteils neuer Bestellungen, bei einem Backtest der gewählte Provider Bestellungen mit nachträglich erkannten Problemen. Nutzt der Auftraggeber die Adressvorschläge beim Tippen (Shopify Plus), gehen die Eingaben des Endkunden an den Provider, den das Länder-Routing dafür vorsieht. Welche Daten jeder Provider erhält, steht in Anlage 3. Adress-Provider erhalten nur die Adressfelder (Straße, Adresszusatz, Ort, Postleitzahl, Bundesland, Land), nie Name, Firma oder Telefonnummer; E-Mail- und Telefon-Provider erhalten nur die E-Mail-Adresse bzw. die Telefonnummer. Trägt der Endkunde einen Namen oder eine Firma in den Adresszusatz ein (etwa „c/o“), geht diese Angabe als Teil der Adresse an den Provider und in die gespeicherten Antworten und Prüfdetails.

3. Vertragliche Weitergabe. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses AVV gleichwertig sind (Art. 28 Abs. 4 DSGVO). Für Verstöße des Unterauftragsverarbeiters haftet er gegenüber dem Auftraggeber wie für eigenes Verschulden.

4. Änderungen und Widerspruch. Der Auftragnehmer kündigt den Einsatz eines neuen oder den Austausch eines Unterauftragsverarbeiters mindestens 14 Tage im Voraus in Textform an, per E-Mail an die Kontaktadresse des Auftraggebers und im AVIO-Admin. Die Ankündigung nennt Name, Sitz, Verarbeitungsort und Tätigkeit. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Widerspricht er nicht fristgerecht, gilt der neue Unterauftragsverarbeiter als genehmigt.

5. Folge eines Widerspruchs. Betrifft der Widerspruch einen Provider, kann der Auftraggeber ihn im Länder-Routing abwählen; der Auftragnehmer setzt ihn dann im empfohlenen Setup dieses Auftraggebers nicht ein. Im Übrigen suchen die Parteien eine Lösung. Gelingt das nicht innerhalb von 30 Tagen, kann der Auftraggeber den Hauptvertrag fristlos kündigen; bereits gezahlte Entgelte für nicht mehr genutzte Zeiträume erstattet der Auftragnehmer anteilig.

6. Notfälle. Muss ein Unterauftragsverarbeiter wegen Sicherheitsvorfall oder Insolvenz kurzfristig ersetzt werden, darf der Auftragnehmer die Frist verkürzen. Er informiert den Auftraggeber dann unverzüglich; das Widerspruchsrecht bleibt bestehen.

7. Keine Unterauftragsverhältnisse sind Nebenleistungen ohne Zugriff auf Auftraggeberdaten, z. B. Telekommunikation, Post- und Transportdienste oder Reinigung. Ebenso wenig sind es Netzbetreiber und Mailserver, die ein Provider im Rahmen seiner eigenen Prüfung kontaktiert, und die Offline-Prüfung von Telefonnummern auf den Servern des Auftragnehmers.

8. Shop-Plattformen. Shopify, Shopware oder das Hosting eines WooCommerce-Shops sind keine Unterauftragsverarbeiter des Auftragnehmers. Sie verarbeiten Daten auf Grundlage eigener Verträge mit dem Auftraggeber.

§ 7 Internationale Datenübermittlungen

1. Grundsatz. Eine Übermittlung von Auftraggeberdaten in ein Land außerhalb des EWR (Drittland) erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Das gilt auch für den Fernzugriff, etwa zu Supportzwecken.

2. Betroffene Provider. Laut Anlage 3 betrifft das derzeit die Provider, bei denen dort ein Drittland angegeben ist, soweit der Auftraggeber sie nutzt. Der Auftraggeber kann sie pro Land durch Provider in der EU ersetzen, soweit diese das Land abdecken.

3. Grundlagen. Zulässig sind in dieser Reihenfolge:

   1. ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), insbesondere für das Vereinigte Königreich und für die USA das EU-U.S. Data Privacy Framework, sofern der Empfänger aktiv zertifiziert ist,

   2. die Standardvertragsklauseln der EU-Kommission nach Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO), für Unterauftragsverarbeiter in Modul 3.

4. Ersatzgrundlage. Fällt ein Angemessenheitsbeschluss weg, etwa das Data Privacy Framework, gelten die Standardvertragsklauseln automatisch als Ersatzgrundlage.

5. Transfer Impact Assessment. Bei Übermittlungen auf Grundlage von Standardvertragsklauseln führt der Auftragnehmer eine Bewertung der Rechtslage im Empfängerland durch (Transfer Impact Assessment). Bei Bedarf ergreift er zusätzliche Maßnahmen, z. B. Verschlüsselung oder Pseudonymisierung, und stellt die Bewertung dem Auftraggeber auf Anfrage zur Verfügung.

6. Hosting. AWS und Vercel (§ 1 Abs. 4) gehören zu Unternehmensgruppen mit Sitz in den USA, die unter dem Data Privacy Framework zertifiziert sind; ergänzend gelten die Standardvertragsklauseln aus deren Auftragsverarbeitungsbedingungen. Die Platform API ist über Amazon CloudFront erreichbar: Anfragen werden am nächstgelegenen Edge-Standort in Europa oder Nordamerika entschlüsselt und verschlüsselt nach Frankfurt weitergeleitet. CloudFront speichert dabei keine Auftraggeberdaten.

7. Schweiz und Vereinigtes Königreich. Für Übermittlungen aus der Schweiz gelten die Standardvertragsklauseln mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannten Anpassungen. Für Übermittlungen aus dem Vereinigten Königreich gilt das UK International Data Transfer Addendum.

§ 8 Unterstützung des Auftraggebers

1. Betroffenenrechte. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei Anfragen nach Art. 15 bis 22 DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich ein Endkunde direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich, spätestens innerhalb von 3 Werktagen, an den Auftraggeber weiter. Er beantwortet sie nicht selbst, außer der Auftraggeber weist ihn dazu an.

2. Automatisierte und plattformbezogene Datenschutzanfragen.

   • Shopify: Der Auftragnehmer verarbeitet die Shopify-Compliance-Webhooks als Weisung. Bei customers/data_request zeigt er die Anfrage dem Auftraggeber 90 Tage lang im AVIO-Admin und benachrichtigt ihn per E-Mail; dort lädt der Auftraggeber eine Übersicht der gespeicherten Daten herunter und gibt sie an den Endkunden weiter. Kopien der Kunden-E-Mails und Adresszeilen aus dem Archiv stellt der Auftragnehmer auf Anfrage innerhalb von 10 Tagen bereit. Bei customers/redact löscht er innerhalb von 10 Tagen alle Daten des Endkunden und der genannten Bestellungen, einschließlich Logs, Kopien von Kunden-E-Mails, Prüfdetails im Archiv und gespeicherter Antworten im Shop und im shopübergreifenden Cache, soweit sie sich dem Endkunden zuordnen lassen. shop/redact sendet Shopify 48 Stunden nach Deinstallation; dann gilt § 10 Abs. 2.

   • Shopware 6, WooCommerce, Headless-Widget und Platform API: Das WooCommerce-Plugin bindet sich in die Datenschutz-Werkzeuge von WordPress ein und löscht beim Löschen der Daten eines Endkunden dessen Bestellungen bei AVIO automatisch. Über die Platform API kann der Auftraggeber einzelne Bestellungen löschen; der Auftragnehmer löscht dann Bestelldatensatz, Logs und Prüfdetails im Archiv. Löscht der Auftraggeber in Shopware eine Bestellung, löscht der Auftragnehmer sie ebenfalls. Sonstige Auskunfts- und Löschanfragen richtet der Auftraggeber in Textform an support@address-validation.io; der Auftragnehmer setzt sie innerhalb von 10 Tagen um, auch im Archiv.

3. Datenschutz-Folgenabschätzung. Der Auftragnehmer stellt dem Auftraggeber die Informationen bereit, die dieser für eine Datenschutz-Folgenabschätzung und eine vorherige Konsultation der Aufsichtsbehörde benötigt (Art. 35, 36 DSGVO).

4. Meldung von Datenschutzverletzungen. Der Auftragnehmer meldet dem Auftraggeber eine Datenschutzverletzung, die Auftraggeberdaten betrifft, unverzüglich nach Kenntnis, mit einer ersten Meldung spätestens innerhalb von 24 Stunden (Art. 33 Abs. 2 DSGVO). Die Meldung geht per E-Mail an die Kontaktadresse des Auftraggebers. Sie enthält, soweit bekannt:

   • Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen und Datensätze,

   • wahrscheinliche Folgen,

   • ergriffene und vorgeschlagene Maßnahmen zur Eindämmung,

   • eine Kontaktperson.

   Was zunächst nicht bekannt ist, ergänzt der Auftragnehmer schrittweise ohne weitere Verzögerung. Das gilt auch für Verletzungen bei einem Provider.

5. Eindämmung. Der Auftragnehmer ergreift unverzüglich Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen. Er unterstützt den Auftraggeber bei dessen Meldepflichten gegenüber Aufsichtsbehörde und Betroffenen (Art. 33, 34 DSGVO). Eine Meldung an Behörden oder Endkunden im Namen des Auftraggebers erfolgt nur nach dessen Weisung.

6. Kosten. Die Unterstützung nach diesem § 8 ist im Entgelt enthalten, soweit sie automatisiert erfolgt oder durch einen Verstoß des Auftragnehmers ausgelöst wurde. Sonstigen erheblichen Aufwand kann der Auftragnehmer nach vorheriger Ankündigung angemessen in Rechnung stellen.

§ 9 Kontroll- und Auditrechte

1. Informationspflicht. Der Auftragnehmer stellt dem Auftraggeber alle Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).

2. Nachweise. Angeforderte Informationen stellt der Auftragnehmer binnen 14 Tagen bereit. Der Nachweis erfolgt vorrangig durch:

   • eine aktuelle TOM-Dokumentation,

   • die Beantwortung eines angemessenen Sicherheitsfragebogens, höchstens einmal jährlich,

   • Zertifikate oder Prüfberichte der Unterauftragsverarbeiter, z. B. ISO 27001 oder SOC 2,

   • eigene Zertifikate oder Testate des Auftragnehmers, sofern vorhanden.

3. Vor-Ort-Prüfung. Reichen die Nachweise nicht aus, kann der Auftraggeber eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragnehmers ist. Die Prüfung ist mit 30 Tagen Vorlauf anzukündigen und findet höchstens einmal pro Kalenderjahr während der Geschäftszeiten statt. Ausgenommen sind Prüfungen nach einer Datenschutzverletzung oder auf Anordnung einer Aufsichtsbehörde.

4. Kosten. Jede Partei trägt ihre eigenen Kosten. Zeigt die Prüfung einen wesentlichen Verstoß des Auftragnehmers, trägt dieser die angemessenen Prüfkosten des Auftraggebers.

5. Grenzen. Prüfungen dürfen keine Daten anderer Kunden offenlegen und den Betrieb nicht unverhältnismäßig stören. Rechenzentren von Unterauftragsverarbeitern werden nur anhand deren veröffentlichter Prüfberichte geprüft.

§ 10 Löschung und Rückgabe

1. Laufende Löschung. Der Auftragnehmer löscht automatisch:

   • Bestelldatensätze 180 Tage nach der letzten Prüfung,

   • Logs der Shops, Datensätze und Kopien von Kunden-E-Mails nach 90 Tagen, Prüfereignisse im Detail nach 28 Tagen, Server-Protokolle nach 30 Tagen, A/B-Test-Ergebnisse 180 Tage nach Testende,

   • gespeicherte Antworten nach den Fristen in § 4 Abs. 1 und, soweit zuordenbar, bei Löschanfragen,

   • Prüfdetails im Archiv 180 Tage nach der Prüfung, bei Löschanfragen und mit dem Shop früher; den allgemeinen Teil des Archivs nach 400 Tagen.

   Eine kürzere Speicherdauer für einen einzelnen Shop können die Parteien als Änderungswunsch nach § 3 Abs. 3 vereinbaren. Einzelne Bestellungen löscht der Auftragnehmer auf Weisung jederzeit früher (§ 8 Abs. 2).

2. Deinstallation und Vertragsende. Bei Shopify löscht der Auftragnehmer mit Eingang des Webhooks shop/redact, etwa 48 Stunden nach Deinstallation, alle Shopdaten: Einstellungen, Bestellungen, Logs, gespeicherte Antworten des Shops, E-Mail-Kopien, die Absender-Domain bei Amazon SES und die Prüfdetails im Archiv (Art. 28 Abs. 3 lit. g DSGVO). Bei Shopware meldet die Deinstallation der App, bei WooCommerce die Deinstallation des Plugins über WordPress und bei der Platform API der Aufruf der Abmelde-Schnittstelle das Vertragsende an den Auftragnehmer. Er löscht dann sofort Bestellungen, Logs und Prüfdetails im Archiv, sofern der Auftraggeber nicht ausdrücklich die Aufbewahrung wählt (bei Shopware die Option „Daten behalten“), und die übrigen Shopdaten (Einstellungen, gespeicherte Antworten, E-Mail-Kopien, Nutzungsdaten) innerhalb von 30 Tagen. Nutzt ein Shop AVIO 30 Tage lang nicht, etwa weil das Plugin ohne Deinstallation entfernt wurde, fragt der Auftragnehmer beim Auftraggeber in Textform nach. Bestätigt dieser das Vertragsende oder antwortet er nicht innerhalb von 14 Tagen, löscht der Auftragnehmer die Shopdaten. Im Übrigen löscht er sie innerhalb von 30 Tagen nach Vertragsende oder auf Weisung. Den Loqate-Schlüssel des Shops behält der Auftragnehmer; er enthält keine personenbezogenen Daten von Endkunden. Die Löschpflicht gilt auch für Daten bei Unterauftragsverarbeitern.

3. Backups. Die Datenbanken der App sichert der Auftragnehmer mit der Point-in-Time-Recovery von AWS; Sicherungen werden nach 35 Tagen überschrieben. Bis dahin sind sie von jeder Verarbeitung ausgeschlossen und werden nur zur Wiederherstellung genutzt; nach einer Wiederherstellung wiederholt der Auftragnehmer zwischenzeitliche Löschungen. Dateien werden nicht versioniert.

4. Aufbewahrungspflichten. Muss der Auftragnehmer Daten aufgrund gesetzlicher Pflichten länger aufbewahren, sperrt er sie und löscht sie nach Fristablauf.

5. Bestätigung. Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform.

6. Dokumentation. Dokumentationen zum Nachweis ordnungsgemäßer Verarbeitung darf der Auftragnehmer über das Vertragsende hinaus aufbewahren. Personenbezogene Daten von Endkunden enthalten sie nicht.

§ 11 Haftung, Laufzeit und Schlussbestimmungen

1. Haftung. Für Schäden Betroffener gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für die Schäden, die sie zu vertreten hat. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags. Ausgenommen sind Schäden aus der Verletzung von Leben, Körper oder Gesundheit, aus Vorsatz oder grober Fahrlässigkeit sowie Haftung, die gesetzlich nicht beschränkt werden kann.

2. Freistellung. Wird eine Partei von Betroffenen oder Behörden wegen eines Verstoßes in Anspruch genommen, den die andere Partei zu vertreten hat, stellt diese die in Anspruch genommene Partei frei.

3. Kündigung. Verstößt der Auftragnehmer schwerwiegend gegen diesen AVV und hilft er dem Verstoß nicht innerhalb von 14 Tagen nach Abmahnung ab, kann der Auftraggeber den Hauptvertrag fristlos kündigen. Ein Verstoß gilt insbesondere als schwerwiegend, wenn Daten für eigene Zwecke genutzt werden oder Kontrollen verweigert werden.

4. Änderungen. Der Auftragnehmer darf diesen AVV ändern, wenn dies wegen Gesetzesänderungen, behördlicher Vorgaben oder Änderungen bei Shopify erforderlich ist und das Schutzniveau nicht sinkt. Er kündigt Änderungen 30 Tage vorher in Textform an. Der Auftraggeber kann bis zum Wirksamwerden widersprechen und den Hauptvertrag kündigen. Widerspricht er nicht, gilt die Änderung als angenommen; darauf weist der Auftragnehmer in der Ankündigung hin. Wesentliche Verschlechterungen bedürfen seiner ausdrücklichen Zustimmung.

5. Vorrang. Bei Widersprüchen geht dieser AVV dem Hauptvertrag vor; Standardvertragsklauseln nach § 7 Abs. 3 bleiben unberührt.

6. Form. Der AVV kann elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO). Änderungen und Weisungen bedürfen mindestens der Textform.

7. Recht und Gerichtsstand. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand für Kaufleute ist München. Zwingende Rechte von Betroffenen und Aufsichtsbehörden bleiben unberührt.

8. Salvatorische Klausel. Ist eine Bestimmung unwirksam, bleibt der übrige AVV wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.

Anlagen: Anlage 1 Verarbeitungsbeschreibung · Anlage 2 Technische und organisatorische Maßnahmen · Anlage 3 Unterauftragsverarbeiter

Anlage 1 – Verarbeitungsbeschreibung

Zweck: Vermeidung von Fehlzustellungen, Retouren und Supportaufwand durch Prüfung und Korrektur von Adressen, E-Mail-Adressen und Telefonnummern vor dem Versand.

Art der Verarbeitung:

1. Übernahme der Daten aus Checkout, Bestellung, Kundenkonto, Korrekturseite, Headless-Widget oder Platform API, auch bei Express-Checkouts und Wallets, je nach gewählten Vertriebskanälen. Das WooCommerce-Plugin übermittelt die zu prüfenden Adressen und die Bestellnummer, E-Mail-Adresse und Telefonnummer nur, wenn eine Prüfung oder Regel sie braucht.

2. Adressvorschläge beim Tippen im Shopify-Plus-Checkout über den Provider, den das Länder-Routing dafür vorsieht; welche Daten er erhält, steht in Anlage 3. Der Auftragnehmer speichert die Eingaben nicht.

3. Checkout-Regeln (Hausnummer, PLZ-Format, Zeichenlimit, Postfächer und Packstationen, eigene Sperrregeln, fehlerhafte und Wegwerf-E-Mail-Adressen) in jedem Shopify-Tarif als Shopify Function: Sie läuft bei Shopify mit den Regeln des Auftraggebers, ohne dass Daten an den Auftragnehmer gehen. Adressregeln und kostenlose Vorprüfung nach der Bestellung auf den Servern des Auftragnehmers.

4. Antwort aus einer gespeicherten Antwort, wenn dieselbe Adresse mit demselben Provider, Backup-Provider und Modus schon geprüft wurde.

5. Übermittlung an den Haupt-Provider des Landes, bei Ausfall, Zeitüberschreitung oder Unsicherheit einmalig an den Backup-Provider.

6. Bewertung als Gültig, Prüfen, Ungültig oder Nicht geprüft nach dem gewählten Modus.

7. E-Mail- und Telefonprüfung einmal je neuer Bestellung; geprüft wird die erste gefundene Telefonnummer (Lieferadresse, Bestellung, Rechnungsadresse).

8. Folgeaktionen: Bestell-Tags, Holds, Hinweise und Korrekturformular, Workflow-Trigger. Bei Shopify außerdem Korrektur-E-Mails mit Erinnerungen, vom Absender von AVIO oder einer verifizierten Domain des Auftraggebers; auf Wunsch eine Kopie an den Auftraggeber.

9. Erneute Prüfung bei Adressänderung, manuelle Prüfung und Massenprüfung.

10. A/B-Tests an einem gewählten Anteil neuer Bestellungen und Backtests an Bestellungen mit nachträglich erkannten Problemen.

11. Logs mit CSV-Export, Analysen, Archiv und KI-Zusammenfassungen aus aggregierten Kennzahlen.

12. Speicherung und automatische Löschung.

Kategorien betroffener Personen: Endkunden des Auftraggebers (Besteller), abweichende Liefer- und Rechnungsempfänger, Endkunden, die im Checkout eine Adresse eintippen oder vor Abschluss der Bestellung geprüft werden, sowie Kontakte, die der Auftraggeber über die Platform API zur Prüfung übermittelt (eigene Shops, ERP, CRM).

• Adressdaten

  Beispiele

  Name, Firma, Straße, Hausnummer, Adresszusatz, PLZ, Ort, Land, Packstation oder Postfach

  Empfänger außer AVIO

  Adress-Provider des Landes, Backup-, Test- und Backtest-Provider; übermittelt werden nur Straße, Adresszusatz, Ort, PLZ, Bundesland und Land, nie Name, Firma oder Telefonnummer, außer der Endkunde trägt sie in den Adresszusatz ein

  Speicherdauer

  180 Tage nach der letzten Prüfung (Bestelldatensatz)

• Teileingaben

  Beispiele

  beim Tippen eingegebener Teil der Adresse, gewähltes Land

  Empfänger außer AVIO

  Adress-Provider für Vorschläge (Anlage 3)

  Speicherdauer

  nicht gespeichert; nur ein Zähler je Sitzung für Limits

• IP-Adresse (Checkout)

  Beispiele

  IP-Adresse des Endkunden für Missbrauchsgrenzen bei Prüfungen und Adressvorschlägen im Checkout

  Empfänger außer AVIO

  Adress-Provider für Vorschläge, soweit in Anlage 3 genannt

  Speicherdauer

  2 Stunden als Zähler

• E-Mail-Adresse

  Beispiele

  geprüft auf Postfach, Format, Domain, Catch-all, Wegwerfadresse

  Empfänger außer AVIO

  gewählter E-Mail-Provider und Backup

  Speicherdauer

  180 Tage

• Telefonnummer

  Beispiele

  geprüft auf Format, Anschlussart, Netzbetreiber

  Empfänger außer AVIO

  gewählter Telefon-Provider und Backup; bei der Offline-Prüfung keiner

  Speicherdauer

  180 Tage

• Bestellbezug

  Beispiele

  Bestell-ID, Bestellnummer, Vertriebskanal, Sprache, Bestellstatus

  Empfänger außer AVIO

  keine

  Speicherdauer

  180 Tage

• Prüfergebnisse

  Beispiele

  Status, Korrekturvorschlag, bestätigte oder korrigierte Adresse, Tags, Holds

  Empfänger außer AVIO

  keine

  Speicherdauer

  180 Tage

• Kunden-E-Mails

  Beispiele

  Korrektur-E-Mails mit Adresse, Fehlerhinweis, Vorschlag und Link; Zustellstatus

  Empfänger außer AVIO

  E-Mail-Versanddienst (Anlage 3)

  Speicherdauer

  Versanddaten und Kopie mit Name und Adresse 90 Tage

• Zustellung der Shop-E-Mails (Shopify)

  Beispiele

  Zustellergebnis und Fehlertyp der Bestell-E-Mails von Shopify an die geprüfte E-Mail-Adresse; im Archiv nur deren gängige Domain

  Empfänger außer AVIO

  keine

  Speicherdauer

  180 Tage

• Gespeicherte Antworten

  Beispiele

  Adresse ohne Namen mit Antwort des Providers; Antworten zu E-Mail-Adressen und Telefonnummern

  Empfänger außer AVIO

  keine

  Speicherdauer

  höchstens 180 Tage, je nach Provider kürzer (Anlage 3); zuordenbare Einträge bei Löschanfrage

• Datenanfragen (Shopify)

  Beispiele

  Verweis auf eine Auskunftsanfrage: Kunden-ID, Bestell-IDs, Zeitpunkt; die Übersicht für den Endkunden wird bei Abruf erzeugt und nicht gespeichert

  Empfänger außer AVIO

  keine; der Auftraggeber gibt die Übersicht weiter

  Speicherdauer

  90 Tage; bei Löschanfrage sofort

• Logs

  Beispiele

  Prüfungen, E-Mails, Korrekturen, Holds, Einstellungsänderungen; alte und neue Adresse bei Änderungen, auch wenn eine Adressregel die Adresse einer neuen Bestellung umschreibt; E-Mail-Adressen und Telefonnummern nur maskiert, keine Namen

  Empfänger außer AVIO

  keine

  Speicherdauer

  90 Tage

• Archiv

  Beispiele

  allgemeiner Teil (pseudonym): jede Prüfung mit Land, Ort, gekürzter PLZ, E-Mail-Domain, Region und Anschlussart der Telefonnummer und einer zufälligen Kennung statt der Shop-Domain, ohne Namen, Kontaktdaten, Adresszeilen oder Hashwerte davon; Prüfdetails: Adresszeilen und Vorschläge je Bestellung (soweit die Bedingungen des Providers es erlauben, Anlage 3), ohne Name, Firma und Telefonnummer, über einen Hashwert aus Shop und Bestellung verknüpft, sowie das Zustellergebnis der Shopify-E-Mails

  Empfänger außer AVIO

  keine

  Speicherdauer

  allgemeiner Teil (pseudonym) 400 Tage; Prüfdetails 180 Tage, bei Löschanfrage oder Shop-Löschung früher

• Kunden-Tokens (Headless)

  Beispiele

  HMAC-signierte Tokens für Konto- und Bestellseiten

  Empfänger außer AVIO

  keine

  Speicherdauer

  10 Minuten, höchstens 15

• Server-Protokolle

  Beispiele

  technische Protokolle der Server-Funktionen mit Shop-Domain und Bestell-ID; keine Adresszeilen, Namen oder vollständigen E-Mail-Adressen

  Empfänger außer AVIO

  keine

  Speicherdauer

  30 Tage

• A/B-Test-Ergebnisse

  Beispiele

  Antwort jedes Test-Providers zu einer Bestellung

  Empfänger außer AVIO

  die gewählten Test-Provider

  Speicherdauer

  180 Tage nach Testende; mit der Bestellung gelöscht

• Aggregierte Kennzahlen

  Beispiele

  Summen und Quoten pro Land und Provider

  Empfänger außer AVIO

  KI-Dienst (Anlage 3)

  Speicherdauer

  nicht personenbezogen

Nicht verarbeitet: besondere Kategorien nach Art. 9 DSGVO; Zahlungs- und Kartendaten (AVIO liest aus Bestellungen keine Zahlungsinformationen).

Häufigkeit: fortlaufend bei jeder Bestellung, jedem Checkout-Vorgang und jedem API-Aufruf während der Vertragslaufzeit.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 3 – Unterauftragsverarbeiter

Welche Provider tatsächlich Daten erhalten, bestimmt der Auftraggeber über das Länder-Routing, Tests und die Adressvorschläge (§ 6 Abs. 2). Welche dieser Provider das empfohlene Setup für ein Land vorsieht, legt der Auftragnehmer fest und kann es ohne Änderung dieses Vertrags anpassen, etwa nach Trefferquoten oder Preisen (§ 3 Abs. 2).

• Amazon Web Services

  Leistung

  Speicherung von Bestelldaten, Logs, E-Mail-Kopien und Archiv; Server-Funktionen, Warteschlangen und Zeitsteuerung; Platform API über CloudFront

  Verarbeitete Daten

  alle Auftraggeberdaten

  Sitz / Verarbeitung

  Frankfurt (eu-central-1); CloudFront: Edge-Standorte in Europa und Nordamerika

  Drittland

  US-Konzern; DPF, SCC in den AWS-Bedingungen

• Vercel

  Leistung

  Betrieb der App, des Headless-Widgets und des Admin-Panels

  Verarbeitete Daten

  alle Auftraggeberdaten während der Verarbeitung

  Sitz / Verarbeitung

  Frankfurt (fra1)

  Drittland

  US-Konzern; DPF, SCC in den Vercel-Bedingungen

• Loqate (GBG)

  Leistung

  Prüfung von Adressen in allen Ländern, von E-Mail-Adressen und Telefonnummern; Adressvorschläge außerhalb der Postcode.eu-Routen. Aufruf mit eigenem, signiertem Schlüssel je Shop im Konto des Auftragnehmers. Antworten auch im shopübergreifenden Cache (§ 4 Abs. 1)

  Verarbeitete Daten

  Adresse ohne Name, Teileingaben mit IP-Adresse des Endkunden (nur Adressvorschläge, zur Begrenzung von Missbrauch), E-Mail-Adresse, Telefonnummer

  Sitz / Verarbeitung

  GBG, Vereinigtes Königreich; Hosting bei Google Cloud und AWS in UK, Belgien, Deutschland und USA, Anfragen an das nächstgelegene Rechenzentrum; E-Mail-Prüfung auch über Validity (USA) und Mailjet (BE), Telefonprüfung über Twilio (USA), InfoBip (BE) und Horizon Landings (UK)

  Drittland

  Vereinigtes Königreich: Angemessenheitsbeschluss; USA: SCC nach den GBG-Bedingungen

• Google Address Validation (Google Maps Platform)

  Leistung

  Adressprüfung in 40 Ländern. Antworten hält AVIO höchstens 30 Tage, Vorschläge werden nicht archiviert

  Verarbeitete Daten

  Adresse

  Sitz / Verarbeitung

  USA; globaler Endpunkt in Google Cloud

  Drittland

  USA

• Smarty

  Leistung

  Adressprüfung für die USA und international; Adressvorschläge beim Tippen. Antworten hält AVIO nur im Shop, nie im shopübergreifenden Cache; Vorschläge werden nicht archiviert

  Verarbeitete Daten

  Adresse ohne Name, Teileingaben mit IP-Adresse des Endkunden (nur Adressvorschläge in den USA, zur Ortsgewichtung)

  Sitz / Verarbeitung

  Smarty, LLC, Orem (Utah), USA; Hosting bei AWS, UpCloud, Hetzner und Tier.net in den USA sowie bei UpCloud und DigitalOcean im Vereinigten Königreich; Anfrageprotokolle mit IP-Adresse bis 120 Tage

  Drittland

  USA: DPF, sofern zertifiziert, sonst SCC (Modul 3) nach dem AVV von Smarty

• Postcode.eu (Postcode.nl)

  Leistung

  Adressprüfung und Adressvorschläge in 13 Ländern aus amtlichen und postalischen Quellen. Antworten auch im shopübergreifenden Cache (§ 4 Abs. 1)

  Verarbeitete Daten

  Adresse, Teileingaben

  Sitz / Verarbeitung

  Niederlande; EU

  Drittland

  entfällt

• Bouncer

  Leistung

  E-Mail-Prüfung einschließlich Postfach. Bouncer speichert Daten laut eigenem AVV höchstens 60 Tage

  Verarbeitete Daten

  E-Mail-Adresse

  Sitz / Verarbeitung

  Breslau, Polen; EU

  Drittland

  entfällt

• Amazon SES (AWS)

  Leistung

  Versand der Korrektur-E-Mails und Erinnerungen (Shopify), auch von verifizierten Domains der Auftraggeber; außerdem E-Mail-Prüfung mit der vollständigen E-Mail-Adresse, als Provider oder Backup

  Verarbeitete Daten

  E-Mail-Adresse, Inhalt der Korrektur-E-Mail

  Sitz / Verarbeitung

  AWS Frankfurt (eu-central-1)

  Drittland

  wie AWS

• AWS Carrier Lookup (AWS)

  Leistung

  Anschlussart und Netzbetreiber

  Verarbeitete Daten

  Telefonnummer

  Sitz / Verarbeitung

  AWS Frankfurt

  Drittland

  wie AWS

• Vercel AI Gateway und Anthropic (Claude)

  Leistung

  KI-Zusammenfassungen „Ask AVIO“; Training ausgeschlossen

  Verarbeitete Daten

  nur Summen und Quoten ohne Shop-Domain, keine personenbezogenen Daten; daher zur Information gelistet

  Sitz / Verarbeitung

  USA

  Drittland

  entfällt mangels personenbezogener Daten

Änderungsverzeichnis

Neue oder ausgetauschte Unterauftragsverarbeiter (§ 6 Abs. 4) und redaktionelle Änderungen ohne neue Pflichten erhöhen die Nebennummer (1.1, 1.2). Inhaltliche Änderungen nach § 11 Abs. 4 erhöhen die Hauptnummer (2.0). Frühere Fassungen stellt der Auftragnehmer auf Anfrage bereit.