BARVIO – VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG Dokumentfassung: barvio-shop-avv-dec20-limited-staff-20261103-r2 Stand: 3. November 2026 — Vertragsfassung zur versionierten Veröffentlichung 1. Parteien, Zuordnung und Wirksamkeitsgrenze Auftragnehmer ist Hüseyin Bozkurt, Leystraße 104/6/52, 1200 Wien, Österreich, Betreiber von Barvio. Datenschutzkontakt: privacy@barvio.at. Auftraggeber ist die im shopbezogenen Annahmenachweis mit rechtlichem Namen und Anschrift bezeichnete Person oder Organisation. Die Shop-ID stellt die technische Zuordnung her. Die handelnde Person erklärt ihre Vertretungsbefugnis gesondert; ihre technische Shopinhaberrolle ist keine rechtliche Vertretungsprüfung. Diese Vereinbarung regelt echte Shops und die begrenzte Organisation echter erwachsener Mitarbeiter bei ausschließlich synthetischen Kunden- und Buchungsfällen. Die Verarbeitung echter Mitarbeiter-Auftragsdaten beginnt erst nach wirksamem Abschluss und gesonderter Betriebsfreigabe des konkreten Umfangs einschließlich der betroffenen Anbieter, Übermittlungen und Sicherheitsmaßnahmen. Bis dahin bleiben Mitarbeiterabläufe synthetisch. Eine persönliche Beta-Zulassung oder Shopanlage ersetzt den Abschluss nicht. 2. Gegenstand, Dauer, Art und Zweck Gegenstand ist die weisungsgebundene Bereitstellung von Barvio für die begrenzte Organisation echter Mitarbeiter des Auftraggebers: Mitarbeiterprofile, Rollen, Mitgliedschafts- und Zugangszuordnung, dienstliche Verfügbarkeit, Arbeits- und Pausenzeiten sowie neutrale Abwesenheitszeiträume. Termin-, Check-in- und Warteschlangenabläufe verwenden ausschließlich erfundene Kundenfälle und synthetische Buchungen. Soweit diese Fälle einem echten Mitarbeiter zugeordnet werden, bleibt seine Zuordnung personenbezogen. Vorgesehene Vorgänge sind Erfassen, Ordnen, Speichern, Abrufen, Anzeigen, Ändern, Übermitteln an berechtigte Empfänger, Herausgeben, Einschränken und Löschen. Sicherung und Wiederherstellung dienen demselben begrenzten Auftrag. Ein umfassender automatischer Mitarbeiterexport wird damit nicht als vorhandene Funktion zugesagt. Die Verarbeitung echter Mitarbeiter-Auftragsdaten beginnt erst nach wirksamem Abschluss und gesonderter Betriebsfreigabe dieses Umfangs. Sie dauert nur für die freigegebene Shopteilnahme und erforderliche Rückgabe- oder Löschabwicklung. Das geplante gemeinsame Betafenster vom 1. November bis einschließlich 20. Dezember 2026 in Europe/Vienna ist keine Aktivierung. Der gemeinsame exklusive Endzeitpunkt ist 2026-12-20T23:00:00Z; eine persönliche Zulassung kann früher enden. Für eigene Kontenverwaltung, persönliche Einladungen, Plattformschutz, eigene Kommunikation und notwendige Vertragsnachweise bestimmt der Betreiber die Zwecke gesondert. Diese Verarbeitungen werden nicht durch diesen AVV zu Shop-Auftragsverarbeitung. Eine rechtliche Grundlage des Shops für seine Verarbeitung wird durch den AVV ebenfalls nicht ersetzt. 3. Betroffene Personen und Daten Betroffene Personen des Auftrags sind die für den geschlossenen Test vorgesehenen erwachsenen Mitarbeiter und befugten Teammitglieder des Shops sowie seine erforderlichen geschäftlichen Kontaktpersonen. Echte Kunden und Interessenten sind keine zugelassenen Datensubjekte dieses Auftrags. Die vorgesehenen Datenkategorien sind beruflicher Anzeigename, Mitarbeiter- und Shop-ID, erforderliche Konto-/Mitgliedschaftszuordnung, Rolle, Aktiv- und Zugangsstatus, Dienstleistungszuordnung, Buchbarkeit innerhalb synthetischer Tests, übliche Arbeitszeiten und Pausen sowie Anfang und Ende neutraler Abwesenheiten. Zur zweckgebundenen Einladung und Kontozuordnung wird die vorgesehene Konto-E-Mail verwendet; ein privates Personal-Kontaktverzeichnis ist nicht Gegenstand. Technisch erforderliche Zugriffs-, Zustell- und Sicherheitsmetadaten sind ihrem jeweiligen Zweck zuzuordnen. Ausgeschlossen sind echte Kundenkontakte und Kundentermine, Abwesenheitsgründe, Gesundheitsdaten und sonstige Daten nach Art. 9 DSGVO, strafrechtliche Daten, Lohn-/Gehaltsdaten, Leistungsbewertungen, Personalakten, private Anschriften und Telefonnummern sowie zusätzliche private Kontaktsammlungen. Diese Daten dürfen auch nicht in sonstige Freitextfelder eingetragen werden. Für echte Mitarbeiter bleibt das Feld „Grund (optional)“ leer. Das vorhandene optionale Abwesenheits-Freitextfeld kann bis zu 160 Zeichen annehmen, speichern und anzeigen. Die Längenprüfung ist keine inhaltliche Sperre für Gesundheitsdaten. Arbeitszeiten, Abwesenheitsintervalle und ihre Verbindung mit einer Person bleiben selbst ohne Grund personenbezogen. Die vertragliche Begrenzung ersetzt keine Prüfung der tatsächlichen Zugriffe, Erfassung und Empfänger. 4. Rechte, Pflichten und Weisungen des Auftraggebers Der Auftraggeber bestimmt rechtmäßige Zwecke, die konkrete Rechtsgrundlage seiner Mitarbeiterorganisation, zulässige Daten, Empfänger und berechtigte Personen. Er informiert seine Mitarbeiter und prüft die Erforderlichkeit von Erfassung und Sichtbarkeit. Er darf die Funktionen nicht für verdeckte Leistungs- oder Verhaltenskontrolle verwenden. Dieser AVV und eine technische App-Zulassung sind keine pauschale Beschäftigteneinwilligung. Der Auftraggeber erteilt dokumentierte Weisungen. Die Nutzung ausdrücklich freigegebener Funktionen und schriftlich oder elektronisch nachvollziehbare Einzelaufträge können Weisungen sein. Weisungen und Änderungen müssen der befugten handelnden Person und dem Shop zugeordnet werden können. Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf solche Weisung, auch bei Übermittlungen in Drittländer. Eine abweichende gesetzliche Verpflichtung nach Unions- oder mitgliedstaatlichem Recht wird dem Auftraggeber vorab mitgeteilt, soweit das Recht dies nicht untersagt. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er unverzüglich und setzt den betroffenen Vorgang bis zur rechtmäßigen Klärung aus. 5. Vertraulichkeit und Sicherheit Zugriff erhalten nur für den konkreten Zweck befugte, zur Vertraulichkeit verpflichtete oder gesetzlich entsprechend gebundene Personen. Berechtigungen sind auf das Erforderliche zu begrenzen, regelmäßig zu überprüfen und bei Wegfall zu entziehen. Personen mit privilegiertem Zugang dürfen ihn nicht für eigene Zwecke verwenden. Der Auftragnehmer verpflichtet sich zu einem nach Art. 32 DSGVO risikogerechten Schutzniveau. Die für die wirksame Fassung vereinbarten technischen und organisatorischen Maßnahmen müssen konkret beschrieben und auf die tatsächlich freigegebene Umgebung bezogen sein. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Anlage 1 beschreibt die Maßnahmen und deren Reichweite; sie behauptet keine umfassende Zertifizierung oder allgemeine Verfügbarkeitsgarantie. 6. Unterauftragsverarbeiter und Änderungen Weitere Auftragsverarbeiter dürfen für den Shopauftrag erst nach vorheriger besonderer schriftlicher oder elektronisch dokumentierter Genehmigung des Auftraggebers eingesetzt werden. Eine allgemeine Anbieteraufzählung oder bloße technische Nutzung ersetzt diese Genehmigung nicht. Die bloße Veröffentlichung dieser Fassung erteilt keine Genehmigung. Die besondere Shopgenehmigung erfolgt bei Annahme der versionierten Anbieteranlage; die dokumentierten Auslegungsgrenzen der Expo-DPA bleiben davon unberührt. Vor einer vorgesehenen Hinzunahme oder Ersetzung erhält der Auftraggeber Informationen zu Identität, konkretem Zweck, betroffenen Daten, Verarbeitungsorten, Schutzmaßnahmen und gegebenenfalls Drittlandübermittlung. Er erhält eine tatsächliche Gelegenheit zum datenschutzbezogenen Widerspruch und zur Entscheidung über die Genehmigung. Ohne die erforderliche Genehmigung beginnt die betroffene Weiterverarbeitung nicht; gegebenenfalls ist nur der betroffene Vorgang auszusetzen oder rechtmäßig zu beenden. Schweigen wird in dieser Vereinbarung nicht als Genehmigung behandelt. Der Auftragnehmer legt dem weiteren Auftragsverarbeiter vertraglich dieselben maßgeblichen Datenschutzpflichten auf und bleibt gegenüber dem Auftraggeber für deren Erfüllung verantwortlich. Anlage 2 enthält eine Bestandsabgrenzung, keine bereits erteilte Shop-Genehmigung. 7. Orte und Übermittlungen Die operative Barvio-Infrastruktur einschließlich PostgreSQL liegt bei Hetzner in Nürnberg/Deutschland; ein kontoabhängiger AVV v1.2 ist belegt. Supabase Auth nutzt eu-west-1/Irland. Backblaze B2 ist für tägliche clientseitig verschlüsselte vollständige Datenbanksicherungen auf eu-central-003 konfiguriert; dieses Ziel wurde am 29.10.2026 beobachtet. Der Zielort belegt keine ausschließlich europäische Verarbeitung sämtlicher Metadaten oder Anbieterzugriffe. Resend verarbeitet Auth-Mailinhalte und Zustell-/Kontometadaten mit USA-Bezug unabhängig von der Versandregion. Expo-Push hat USA-Bezug mit Weiterleitung an Apple/Google. Migadu nennt OVHcloud-Rechenzentren in Frankreich und den Niederlanden einschließlich Sicherungen; Mailboxinhalte, Nachrichten, Aliase und Mailserverlogs würden laut Anbieterantwort im EWR/der Schweiz verarbeitet und von Unteranbietern außerhalb dieses Gebiets nicht eingesehen. Das sind Anbieterangaben, keine technische Prüfung. Für Backblaze gilt bei Verarbeitung im Shopauftrag die am 3. November 2026 öffentlich abgerufene Data Processing Agreement Addendum – Module 3 – Processor to Processor: Barvio handelt als Auftragsverarbeiter des Shops, Backblaze als Unterauftragsverarbeiter. Die Anlage umfasst ausdrücklich Beschäftigte und enthält Standardvertragsklauseln nach Beschluss (EU) 2021/914, Modul 3, für entsprechende Drittlandübermittlungen. Die Zuordnung stützt sich nicht allein auf die DPF-Zertifizierung. Die erforderliche Prüfung der konkreten Übermittlung und ergänzender Schutzmaßnahmen bleibt bestehen. Quelle: https://f001.backblazeb2.com/file/backblaze-policies/Backblaze-DPA-Module-3-P2P-with-Transfer-Terms.docx.pdf . Die Annahme durch den Shop und seine Genehmigung werden gesondert dokumentiert. Die Expo-DPA benennt den Kunden in §3.1 als Verantwortlichen und Expo als Auftragsverarbeiter. Eine ausdrückliche Regelung für den Kunden als Auftragsverarbeiter eines Shops enthält sie nicht. Expo hat eine Ergänzung und eine Auslegung des Ausschlusses von Beschäftigungsinformationen in §§1.1(j), 3.3 abgelehnt. Die Entscheidung des Betreibers, den bestehenden Push-Dienst fortzuführen, ist keine Bestätigung, dass diese Auslegungsfragen rechtlich geklärt sind; zwingende Datenschutzpflichten und die Verantwortung des Auftragnehmers bleiben unberührt. Eine konkrete Übermittlung setzt eine dokumentierte Zuordnung der tatsächlichen Rolle, Datenkategorien, Empfänger, Orte und jeweils einschlägigen Grundlage samt erforderlichen Garantien voraus. Projektregion, EU-Speicherziel, Verschlüsselung oder eine allgemeine Anbieterlistung allein belegen dies nicht. Eine Shop-Auftragsverarbeitung über offen markierte Vorgänge wird durch diese Vertragsfassung weder genehmigt noch als bestehend behauptet. 8. Unterstützung, Vorfälle und Zusammenarbeit Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitungsart und verfügbarer Informationen bei Betroffenenrechten sowie den Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Sicherheitsbewertung, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Anfragen zu Auftragsdaten leitet er ohne unangemessene Verzögerung an den Auftraggeber weiter und unterstützt die sichere Suche, Auskunft, Berichtigung, Einschränkung, Herausgabe oder Löschung. Ohne Weisung entscheidet er nicht anstelle des Auftraggebers über solche Anfragen, soweit keine eigene gesetzliche Pflicht besteht. Eine Verletzung des Schutzes von Auftragsdaten meldet er dem Auftraggeber unverzüglich nach Bekanntwerden. Er übermittelt die verfügbaren Angaben zu Art des Vorfalls, betroffenen Daten und Personengruppen, wahrscheinlichen Folgen, ergriffenen oder vorgesehenen Maßnahmen und einer Kontaktmöglichkeit. Fehlende Angaben werden nachgereicht. Er sichert erforderliche Belege, begrenzt den Schaden und unterstützt die Entscheidung über Behörden- und Betroffenenbenachrichtigungen. Daraus folgt keine erfundene feste Reaktions- oder Wiederherstellungszusage. 9. Nachweis und Kontrolle Der Auftragnehmer stellt die zum Nachweis dieser Pflichten erforderlichen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Er wirkt daran mit. Umfang, Zugang und Ablauf werden nach Risiko und Anlass abgestimmt; Schutz anderer Personen und Geschäftsgeheimnisse ist angemessen zu berücksichtigen. Eine Abstimmung darf erforderliche Kontrollen, dringende Vorfallprüfungen oder Befugnisse der Aufsicht nicht verhindern. Diese Vereinbarung enthält weder ein starres jährliches Kontrolllimit noch eine zusätzliche Auditgebühr. 10. Rückgabe, Löschung, Sicherungen und Sperren ### Weisung, Umfang und Frist Der Auftraggeber kann jederzeit durch eine dokumentierte, befugte und dem Shop zuordenbare Weisung Rückgabe, Berichtigung, Einschränkung oder Löschung verlangen. Barvio prüft Befugnis und Shopzuordnung verhältnismäßig; Passwörter, Zugangsschlüssel und unnötige Ausweiskopien werden nicht verlangt. Die Weisung benennt Shop, betroffene Personen oder Datenkategorien und gewünschte Maßnahme. Barvio bestätigt Umfang, Ausführungsziel und erforderliche Rückfragen. Bei Ende der Shopteilnahme wählt der Auftraggeber Löschung oder zunächst Rückgabe mit anschließender Löschung der vorhandenen Kopien. Primärdaten und von Barvio kontrollierte Übergabe-/Arbeitskopien werden spätestens innerhalb von 30 Tagen nach Ende der Shopteilnahme oder Eingang einer hinreichend bestimmten, verifizierten Weisung zurückgegeben/gelöscht, soweit keine konkret einschlägige gesetzliche Pflicht entgegensteht. Fehlen Angaben oder die Wahl des Auftraggebers, fordert Barvio sie unverzüglich an, beschränkt die Verarbeitung auf die notwendige Abwicklung und nennt einen Klärungstermin. Fehlende Antwort erlaubt weder unbegrenzte Aufbewahrung noch die Fiktion einer Weisung. Gesetzliche Fristen für Betroffenenrechte bleiben unberührt. Endet nur die Mitgliedschaft eines Mitarbeiters und nimmt der Shop weiter teil, entfernt Barvio nicht mehr erforderliche persönliche Mitgliedschafts- und inaktive Mitarbeiterprofildaten innerhalb von 30 Tagen nach diesem Ende. Historische Arbeitszeiten und Abwesenheitsintervalle unterliegen einer getrennten, vor Beginn dokumentierten Weisung des Shops zu Erforderlichkeit, Dauer und Löschung; sie dürfen nicht allein wegen fortbestehender Shopteilnahme unbefristet gespeichert werden. Bei Ende des gesamten Shopauftrags gilt auch für diese Daten die Rückgabe-/Löschabwicklung oben. ### Vollständige und sichere Rückgabe Die Rückgabe umfasst alle zum Shopauftrag gehörenden Mitarbeiterprofile, Shop-/Mitarbeiterzuordnungen, Rollen- und Mitgliedschaftsdaten, Arbeits- und Pausenzeiten, Abwesenheitsintervalle sowie die zum Verständnis erforderlichen Beziehungen. Der Shop erhält eine Kategorienübersicht, Datensatzanzahlen, Stichtag und Formaterläuterung. Daten anderer Shops, Geheimnisse und Zugangstokens sind ausgeschlossen. Ein persönlicher Kontoexport ist kein vollständiger Mitarbeiterexport. Regelformat ist ein lesbares, strukturiertes CSV- oder JSON-Paket mit Feldbeschreibungen und den zum Verständnis nötigen Relationen. Notwendige Abweichungen werden vor Übergabe vereinbart. Übermittelt wird über einen authentifizierten, zeitlich begrenzten Zugang oder als verschlüsseltes Paket an einen verifizierten Empfänger; der Schlüssel wird getrennt übermittelt. Unverschlüsselte Personalexporte als gewöhnlicher E-Mail-Anhang sind ausgeschlossen. Eine vollständige manuelle Abwicklung muss verfügbar und für den konkreten Betriebsstand geprüft sein. Im Nachweis werden Bereitstellung, Integrität, Empfänger, Übernahme oder fehlgeschlagene Zustellversuche festgehalten, ohne den Exportinhalt zu kopieren. Eine noch nicht bestehende automatische Exportfunktion wird nicht vorausgesetzt. ### Durchführung und getrennte Verantwortlichkeiten Barvio erstellt pro Fall einen Umfangs- und Ausführungsnachweis. Deaktivierung, Pseudonymisierung, Rückgabe und Löschung werden getrennt ausgewiesen. Die Löschung eines Mitarbeiterprofils löscht nicht automatisch dessen persönliches Konto, andere Shopzugehörigkeiten oder rechtmäßig getrennte Nachweise von Barvio; umgekehrt erledigt eine Kontolöschung nicht automatisch den Shopauftrag. Für tatsächlich beteiligte Unterauftragsverarbeiter veranlasst Barvio die erforderlichen Schritte und prüft verfügbare Bestätigungen oder wirksame Löschbedingungen. Ein lokaler Erfolg ist kein Nachweis einer Anbieter-Löschung. Offene oder fehlgeschlagene Schritte werden mit verantwortlicher Stelle und nächstem Termin dokumentiert und dem Shop mitgeteilt und nachverfolgt. Eine allgemeine Kontolöschungsregel eines Anbieters ersetzt keinen Nachweis für die betroffene Datenkategorie. ### Sicherungen und Wiederherstellung Tägliche Sicherungen unterliegen der logischen 35-Tage-Regel ohne monatliche Beta-Archive. Die letzte brauchbare Wiederherstellungskopie kann länger bestehen bleiben. Eine länger verbleibende Kopie ist eine eng begrenzte Ausnahme: Barvio dokumentiert betroffene Kopien/Datenkategorien, Grund, Zugriffsbeschränkung und nächsten Prüftermin; die Ausnahme wird mindestens alle 30 Tage überprüft und ist kein laufendes Shoparchiv. Daraus folgt keine Garantie physischer Löschung sämtlicher B2-Objekte oder verborgener Versionen nach 35 Tagen. Nach einer Wiederherstellung bleiben Daten isoliert vom aktiven Betrieb. Vor Wiederfreigabe gleicht Barvio aktuelle Löschungen, Einschränkungen und Zugangsbeendigungen anhand der geschützten aktuellen Historie ab und dokumentiert die Freigabe. Ein erfolgreicher Datenbank-Restore allein genügt nicht. Das Löschen eines lokalen Push-Tokens beweist keine vollständige Löschung bei sämtlichen Zustell- oder Plattformanbietern. Migadu DPA v1.2 sieht nach Ende des Migadu-Dienstvertrags aktive Daten bis zu 30 Tage und verschlüsselte Sicherungen insgesamt bis zu 60 Tage vor. Dies ist keine Frist für die Löschung einer einzelnen Nachricht bei fortbestehendem Vertrag und ändert die Shop-Rückgabe-/Löschpflicht nicht. ### Gesetzliche Ausnahmen und Abschluss Eine gesetzliche Aufbewahrungsausnahme wird nach Datenumfang, konkreter Rechtsgrundlage, Zweck, Dauer und Zugriffsbeschränkung dokumentiert. Eine offene Weisung oder Untersuchung erlaubt keine pauschale unbegrenzte Aufbewahrung. Gesonderte eigene Nachweiszwecke von Barvio werden individuell auf Erforderlichkeit und Rechtsgrundlage beschränkt; sie berechtigen nicht zur Aufbewahrung vollständiger Shop-Auftragskopien. Die bestehende Drei-Jahres-Regel betrifft nur erforderliche minimale, zugriffsbeschränkte Annahme- oder Fallnachweise, nicht Exportinhalte oder Personalakten, und ist keine gesetzliche Mindestfrist. Barvio erstellt eine Abschluss- oder Teilabschlussbestätigung mit Stichtag, erledigten Kategorien, Rückgabeweg, Löschstatus und begründeten Restbeständen. Anbieterbestände und Sicherungen werden getrennt angegeben. Solange ein erforderlicher Schritt offen ist, wird keine vollständige Löschung bestätigt. Spätere Erledigungen werden als Ergänzung dokumentiert, ohne ursprüngliche Weisung oder Bestätigung umzuschreiben. 11. Dokumentation und Vorrang Die wirksame Vereinbarung einschließlich Anlagen muss schriftlich oder elektronisch nachweisbar vorliegen. Vor Annahme werden die vollständigen Texte bereitgestellt; eine speicherbare Kopie bindet Parteien, Shop, handelnde Person, Vertretungserklärung, Versionen, Hashes und Zeitpunkt. Bei datenschutzbezogenen Widersprüchen hat der AVV im Rahmen zwingenden Rechts Vorrang vor allgemeinen Shopbedingungen. Historische TEST_ONLY-Belege werden nicht geändert oder rückwirkend wirksam. Ein Wechsel des Dokumentumfangs setzt neue unveränderliche Dokumentversionen und die jeweils erforderlichen frischen persönlichen und shopbezogenen Annahmen voraus. Der AVV ersetzt keine persönliche Teilnahmevereinbarung und bewirkt keine automatische Einladung, Verlängerung oder neue Produktzulassung. ANLAGE 1 – KONKRETE GRUNDLAGEN, LEISTUNGSGRENZEN UND SPEICHERFRISTEN Persönliche Anmeldung, serverseitige Shop- und Rollenprüfung sowie getrennte Betriebsumgebungen bilden die Zugriffsgrenzen. Der Annahmeablauf trennt die technische Shopinhaberrolle von der ausdrücklich erklärten Vertretungsbefugnis. Dokumenttexte und Annahmen werden versions- und hashbezogen behandelt. Die Betriebsarchitektur trennt die operative PostgreSQL-Datenbank von Supabase Auth. In der operativen Datenbank gespeicherte Mitarbeiterprofile, Arbeitszeiten und Abwesenheiten gehen in die vollständige Datenbanksicherung ein. Ein kategorieweiser Ausschluss von Mitarbeiterdaten oder Freitextgründen ist nicht belegt. Die externe Verschlüsselung macht diesen Bestand nicht anonym. Verschlüsselte externe Sicherungen und isolierte Wiederherstellungen sind für den jeweiligen Betriebsstand zu prüfen. Ein erfolgreicher Datenbank-Restore belegt nur die geprüfte Wiederherstellung, nicht jede Anbieter-Löschung oder einen vollständigen Offline-Wiederanlauf. Tägliche Sicherungen folgen der logischen 35-Tage-Regel ohne monatliche Beta-Archive. Die letzte brauchbare Wiederherstellungskopie kann länger bestehen bleiben; jede solche Ausnahme wird mit Kopie/Datenkategorie, Grund, Zugriffsbeschränkung und nächstem Prüftermin dokumentiert und mindestens alle 30 Tage überprüft. Eine physische Löschung sämtlicher B2-Objekte oder verborgener Versionen nach 35 Tagen wird nicht zugesagt. Vollständige Backups können Mitarbeiterdaten einschließlich versehentlich eingetragener Abwesenheitsgründe enthalten; ein Kategorienfilter ist nicht belegt. Wiederhergestellte Daten bleiben isoliert, bis die aktuelle Lösch-/Sperrhistorie abgeglichen und ihre Wiederfreigabe dokumentiert ist. Migadu DPA v1.2 legt nach Ende des Migadu-Dienstvertrags bis zu 30 Tage für aktive Daten und bis zu 60 Tage für verschlüsselte Sicherungen fest. Das bestimmt nicht die Frist einzelner Nachrichten bei fortbestehendem Dienst. Die vom Betreiber unterschriebene DPA ist dokumentiert; ihre ausdrückliche Abdeckung von Shopdaten bei Barvio als Auftragsverarbeiter bleibt offen. Manuelle Lösch- und Wiederherstellungsabläufe erfordern eine sichere fallbezogene Identitäts- und Weisungsprüfung, beschränkte Sperren und nachvollziehbare Ausführungsnachweise. Eine technische Prüfung allein belegt weder die abgeschlossene Löschung eines echten Einzelfalls noch eine durchgängig installierte automatische Unterdrückung gelöschter Daten nach jedem Restore. Vor Freigabe echter Mitarbeiterdaten müssen die erforderlichen Auskunfts-, Rückgabe-, Sperr-, Lösch- und Wiederherstellungsabläufe für den konkreten Betriebsstand nachgewiesen sein. Wiederhergestellte Bestände bleiben bis zum Abgleich und zur dokumentierten Wiederfreigabe getrennt. ANLAGE 2 – ANBIETER-, ORTS- UND ROLLENZUORDNUNG (SHOPGENEHMIGUNG BEI ANNAHME) Diese Anlage informiert über bekannte Dienste und offene Rollen. Sie ist keine besondere Shopgenehmigung. Die Anbieterbezeichnungen unten bestätigen nicht, dass Barvio für alle Shopdaten eine wirksame Unterauftragsverarbeiterdeckung hat. | Dienst/Vorgang | Standort und Vertragsnachweis | Abgrenzung im Shopauftrag | | --- | --- | --- | | Hetzner Online GmbH – Hosting/operative Datenbank | Nürnberg/Deutschland; kontoabhängiger AVV v1.2 vom 16.02.2026 belegt. | Infrastruktur für Shopdaten zugeordnet; kein neues Signaturerfordernis aus dieser Vertragsfassung. | | Backblaze, Inc. – B2, vollständige clientseitig verschlüsselte Datenbanksicherung | EU Central (eu-central-003), Amsterdam; Kontoverwaltung und Abrechnung mit USA-Bezug. Veröffentlichtes DPA Modul 3 einschließlich SCC Modul 3 und Anhängen, abgerufen am 03.11.2026; Einbeziehung über die Nutzungsbedingungen. | Unterauftragsverarbeiter für Shopdaten; Beschäftigte in Anhang I.B ausdrücklich erfasst. Schlüssel verbleibt unter Kontrolle von Barvio. Vollständige Sicherungen können Mitarbeiterdaten enthalten; kein Kategorienfilter behauptet. Genehmigung durch den Shop und konkrete Transferbewertung bleiben erforderlich. | | Supabase Auth – persönliche Konten | Region eu-west-1/Irland; DPA-Evidenz im Organisationsbereich am 13.10.2026. | Eigene Kontenverarbeitung von Barvio. Kein zusätzlicher Shop-Auftragsfluss allein aufgrund der Mitarbeitereigenschaft belegt. | | Resend – Auth-/Zulassungs-E-Mails | USA-Bezug für Inhalte und Metadaten unabhängig von Versandregion; DPA-Einbeziehung über Registrierung belegt. | Eigene Kontokommunikation. Kein Versand im untersuchten Shop-Mitarbeitereinladungsweg belegt. | | Migadu-Mail GmbH – Kontaktpostfächer/Warnmeldungen | Unterschriebene DPA v1.2, Fassungsstand 01.09.2026; Anbieter nennt OVHcloud-Rechenzentren Frankreich/Niederlande inkl. Backups sowie Mailboxinhalte/Nachrichten/Aliase/Mailserverlogs im EWR/der Schweiz. Anbieterangabe: Unteranbieter außerhalb dieser Gebiete greifen nicht auf Mailboxinhalte zu. DPA §1.1 nennt den Kunden als Verantwortlichen. | Die DPA belegt nicht ausdrücklich die zusätzliche Shop-Auftragsverarbeiterrolle von Barvio. Bis zur Klärung keine Shop-Personalexporte oder Abwesenheitsgründe per normaler E-Mail; keine pauschale Shopfreigabe aus der unterschriebenen DPA. Bei Ende des Migadu-Dienstvertrags aktive Systeme bis 30 Tage, verschlüsselte Backups bis 60 Tage. Das sind keine Einzelmail-Löschfristen bei fortbestehendem Vertrag. | | Expo Push / Apple-/Google-Zustellung | 650 Industries, Inc. (Expo), USA; beidseitig unterzeichnete DPA vom 2./3. November 2026, Rücksendung laut Betreiber am 3. November 2026. | Transaktionale Push-Mitteilungen mit Token, generischem Text und erforderlichen Shop-/Buchungsroutingdaten; keine Namen, Abwesenheitsgründe, Gesundheitsangaben oder Personalakten in den vorgesehenen Nachrichten. Vertragsgrenzen siehe Abschnitt 7; keine eigenständige Shopgenehmigung durch diese Zeile. | | APNs / FCM innerhalb der Expo-Kette | Weiterleitung über Apple beziehungsweise Google; USA-Bezug bleibt offengelegt. Kein Wechsel zu direktem FCM-/APNs-Versand. | Bestandteil der beschriebenen Push-Zustellung; keine zusätzliche unabhängige Anbieterbeauftragung durch diese Tabelle. | | Google Maps / Apple Maps | Eigene Kartendienste; in der Datenschutzinformation beschrieben. | Nicht pauschal als Barvio-Unterauftragsverarbeiter genehmigt. | Die besondere Genehmigung ist an die vollständige, versionierte und mit Hash gebundene Anbieteranlage zu binden. Die dokumentierten Grenzen der Expo-DPA werden durch eine Shopgenehmigung nicht beseitigt. Die folgende Erklärung wird ausschließlich durch die gesonderte, dokumentierte Annahme für den vertretenen Shop wirksam; Veröffentlichung allein genügt nicht: „Ich genehmige für den vertretenen Shop die im beigefügten Anbieterblatt dieser Vertragsfassung einzeln bezeichneten Unterauftragsverarbeiter ausschließlich für die dort beschriebenen Vorgänge, Daten und Orte.“ ANLAGE 3 – SHOPBEZOGENE ZUORDNUNG BEIM SPÄTEREN WIRKSAMEN ABSCHLUSS Zur wirksamen Vertragsfassung gehört ein mit der Kopie gespeicherter Zuordnungsdatensatz: stabile Shop-ID, rechtlicher Name und Anschrift der vertretenen Partei, Konto-ID, Anzeigename und verifizierte E-Mail der handelnden Person, ihre ausdrückliche Vertretungserklärung sowie die getrennt beobachtete technische Shopinhaberrolle. Die Daten stammen aus der ausgewählten Shopzuordnung, den Angaben zur vertretenen Partei und der authentifizierten Person. Shop-Anzeigename und Standort können bei der Auswahl angezeigt werden; ihre Speicherung als zusätzlicher historischer Schnappschuss ist keine Voraussetzung dieser Vereinbarung und wird für die bestehende Kopie nicht behauptet. Sie ersetzen nicht die rechtliche Bezeichnung und Anschrift der Partei. Dokumentversionen, Hashes und Annahmezeitpunkt verbinden diese Zuordnung mit genau dem angezeigten Vertragsstand. Spätere Shopänderungen dürfen den historischen Annahmestand nicht umschreiben. Zusätzliche gesetzlich erforderliche Unternehmensangaben müssen vor einem wirksamen Abschluss geklärt sein; sie werden nicht aus einem Test-Shopnamen oder einer technischen Rolle abgeleitet.