Auftragsverarbeitung für gehostete Kundenprojekte

Öffentliche Informationen zur Auftragsverarbeitung

Wenn schukai für einen Kunden personenbezogene Daten im Auftrag verarbeitet, wird dafür eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO benötigt. Das betrifft gehostete Kundenprojekte, Portale, Shops, Workspaces, Schnittstellen und Apps, soweit schukai diese Systeme für den Kunden betreibt.

Die zugrunde liegenden Vertragsbedingungen basieren auf juristisch geprüften Vertragsunterlagen. Technische und organisatorische Maßnahmen, Unterauftragsverarbeiter und projektspezifische Angaben werden passend zum jeweiligen Betriebsmodell gepflegt.

Stand dieser öffentlichen Informationsfassung: 29.06.2026.

Geltungsbereich

Die AVV gilt für gehostete Kundenprojekte und SaaS-nahe Leistungen, soweit schukai personenbezogene Daten im Auftrag des Kunden verarbeitet. Öffentliche Betriebsdomain für diese Projekte ist getshop.cloud.

Erfasst sein können insbesondere Shopcloud, schukai cloud, Kundenportale, B2B-Portale, Workspaces, Schnittstellen, gehostete Business Apps, die Workspace App in Verbindung mit einer gehosteten Workspace-Instanz sowie Support- und Betriebsleistungen für diese Systeme.

Für On-Premise-Installationen oder vollständig selbstgehostete Systeme ohne Betrieb durch schukai gilt diese AVV nicht automatisch. In solchen Fällen hängt eine Auftragsverarbeitung davon ab, ob schukai im konkreten Projekt personenbezogene Daten im Auftrag verarbeitet.

Abschlussprozess

Die öffentliche Seite dient der Vorabprüfung. Der rechtsverbindliche Abschluss erfolgt im Kundenportal oder Checkout mit einer eindeutig bezeichneten Dokumentenversion.

• AGB und AVV werden getrennt benannt und akzeptiert.
• Die akzeptierte Version wird mit Zeitstempel, Organisation und berechtigtem Nutzer protokolliert.
• Das Dokumentenpaket enthält AVV, TOMs, Unterauftragsverarbeiter und die zugehörigen Versionsstände.
• Für Enterprise-Kunden, öffentliche Auftraggeber oder regulierte Umfelder kann zusätzlich eine signierte PDF-Fassung vereinbart werden.

Datenkategorien und betroffene Personen

Je nach Projekt und genutztem Modul können insbesondere folgende Datenarten verarbeitet werden:

• Stammdaten wie Name, Firma, Kundennummer, Ansprechpartner und Rolle
• Kontaktdaten wie E-Mail-Adresse, Telefonnummer und Anschrift
• Zugangsdaten wie Benutzerkonto, Rollen, Rechte, Login-Status und technische Authentifizierungsdaten
• Kommunikationsdaten aus Kontaktformularen, Supportanfragen, Nachrichten und Kommentaren
• Vertrags-, Bestell-, Auftrags-, Dokumenten- und Statusdaten
• Portal-, Shop- und Workspace-Daten wie Warenkorb, Bestellhistorie, Sortimente, Preise, Dokumente und Downloads
• Prozessdaten wie Aufgaben, Freigaben, Termine, Workflows, Nachweise und Auswertungen
• App-Daten wie mobile Erfassungen, Service- oder Montageberichte, Rückmeldungen, Fotos und Anhänge, soweit im Projekt genutzt
• Technische Daten wie IP-Adressen, Logfiles, Geräte- und Browserdaten sowie Zeitstempel
• Zahlungs- und Transaktionsdaten nur, soweit sie im konkreten Projekt durch schukai verarbeitet werden

Betroffen sein können insbesondere Kunden des Auftraggebers, Interessenten, Ansprechpartner bei Geschäftspartnern, Mitarbeitende des Auftraggebers, Nutzer von Portalen, Shops, Workspaces und Apps, Webseitenbesucher sowie Supportkontakte.

Besondere Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der vereinbarten Verarbeitung, sofern sie nicht ausdrücklich projektbezogen vereinbart wurden.

Der Auftraggeber ist dafür verantwortlich, solche Daten nicht über Eingabefelder, Uploads, Imports, Dateianhänge, Notizen, Namenfelder, Dokumente, Schnittstellen oder sonstige Funktionen in die Systeme einzubringen, wenn dies nicht vereinbart ist.

schukai prüft Inhalte nicht proaktiv. Wenn schukai im Rahmen des Betriebs offensichtlich erkennt, dass nicht vereinbarte besondere Kategorien personenbezogener Daten verarbeitet werden, informiert schukai den Auftraggeber und stimmt das weitere Vorgehen ab.

Technische und organisatorische Maßnahmen

Die TOMs werden als Anlage zur AVV geführt. Die öffentliche Darstellung ist bewusst konkret, enthält aber keine internen Toolnamen, Hostnamen oder sicherheitskritischen Detailangaben.

Physische Sicherheit

• Abschließbare Räume, Türschlösser und Schlüsselregelung für eigene Betriebsbereiche
• Alarmanlage, Bewegungsmelder und Videoüberwachung der relevanten Zugänge
• Besucherregelung und begleiteter Zutritt
• Keine öffentlich zugänglichen Serverräume
• Brandschutz, Rauchmelder, USV, Temperaturüberwachung und sorgfältig ausgewählte Dienstleister

Zugang und Berechtigungen

• Individuelle Benutzerkonten statt geteilter Admin-Accounts im Regelbetrieb
• Sichere Passwörter und Zwei-Faktor-Authentifizierung für Admin- oder kritische Zugänge
• Rollen- und Rechtekonzept mit Zugriff nach Need-to-know
• Anlassbezogene Berechtigungsprüfung, insbesondere bei Rollenwechsel oder Austritt
• SSH-Zugriff mit Schlüsseln und ohne Passwort-SSH
• Zero-Trust-Ansatz: Systeme und Arbeitsgeräte sind eigenständig abgesichert; Zugriffe werden nicht allein durch Netzzugehörigkeit vertraut.

Verschlüsselung und Secrets

• HTTPS/TLS für Webzugriffe und API-Kommunikation
• Verschlüsselter E-Mail-Transport, soweit die Gegenstelle dies unterstützt
• Verschlüsselte Backups, Datenträger und Arbeitsgeräte
• Geschützte Verwaltung von Secrets, Zugangsdaten und Schlüsseln
• Keine Klartextspeicherung von Benutzerpasswörtern
• Serverseitige Verschlüsselung bei S3/Object Storage, soweit Anbieter und Projekt dies unterstützen

Protokollierung und Monitoring

• Server- und Anwendungslogs
• Protokollierung administrativer Aktionen sowie Login- und Zugriffsereignisse
• Überwachung von Fehler- und Sicherheitsereignissen über eigene Betriebswerkzeuge
• Zugriffsbeschränkte Speicherung von Logdaten
• Aufbewahrung nur für Betrieb, Sicherheit, Nachweis oder gesetzliche Pflichten
• Keine dauerhafte Vollprotokollierung aller Nutzerinhalte und keine proaktive Inhaltsüberwachung von Kundendaten

Backup und Wiederherstellung

• Regelmäßige und getrennt gespeicherte Backups
• Verschlüsselte Backups und Monitoring der Backup-Läufe
• Tests der Wiederherstellung und Wiederanlaufkonzept
• Schutz gegen versehentliche Löschung oder Datenverlust
• Wartungsfenster oder geplante Wartungen werden Kunden angekündigt
• Keine pauschale Zusage redundanter Infrastruktur, außer sie ist im konkreten Vertrag oder SLA vereinbart

Mandantentrennung und Betriebsmodelle

Bei eigenständigen Kundenprojekten, größeren Projekten oder stärker individualisierten Setups können eigene Server, eigene Datenbanken und eigene Speicherbereiche eingesetzt werden.

Bei kleineren gehosteten Auftritten oder Workspace-/Portal-Instanzen kann der Betrieb mandantengetrennt innerhalb gemeinsamer Systeme erfolgen. In gemeinsamen Systemen erfolgt die Trennung logisch über strikte Mandanten-, Rollen- und Rechtekonzepte.

Storage und Backups folgen dem jeweiligen Betriebsmodell. Bei gemeinsamen Datenbanken können Backups technisch gesamtsystembezogen erfolgen; Zugriff, Wiederherstellung und Export bleiben mandanten- beziehungsweise zweckbezogen beschränkt.

Produktiv-, Test- und Entwicklungsumgebungen sind getrennt. Produktivdaten werden nicht ohne Anlass in Test- oder Entwicklungsumgebungen kopiert. Wenn Produktivdaten für Support, Fehleranalyse oder Migration benötigt werden, erfolgt dies zweckgebunden und zugriffsbeschränkt.

Unterauftragsverarbeiter und Betriebsdienstleister

Im Standardbetrieb gehosteter Kundenprojekte können je nach Projekt folgende Dienstleister oder eigene Betriebsbereiche beteiligt sein:

• Eigenes Rechenzentrum in Landsberied für Hosting, E-Mail und Betrieb
• DigitalOcean für Hosting, einzelne Systeme, selbst betriebenes Jitsi und gegebenenfalls Object Storage
• AWS in Frankfurt beziehungsweise EU-Regionen für Hosting oder S3/Object Storage je nach Projekt
• Cloudflare für DNS, CDN und Security, soweit Projekttraffic oder Kundendomains darüber laufen
• Eigene schukai Betriebs-, Support-, Monitoring- und Verwaltungswerkzeuge

Neue oder geänderte Unterauftragsverarbeiter werden grundsätzlich mindestens 14 Tage vor Einsatz mitgeteilt. Ein Widerspruch ist aus wichtigem datenschutzrechtlichem Grund möglich. In dringenden Fällen, insbesondere bei Sicherheits-, Verfügbarkeits- oder Betriebsgründen, kann die Frist angemessen verkürzt oder die Information nachträglich erfolgen.

Zahlungsdienste

Zahlungsdienste wie PayPal, Mollie, Stripe, Amazon Pay, Google Wallet oder vergleichbare Anbieter werden meist nur technisch eingebunden. Die Verträge mit diesen Zahlungsdiensten schließen in der Regel die Kunden selbst.

Diese Anbieter sind daher nicht automatisch Unterauftragsverarbeiter von schukai. Wenn schukai im Einzelfall selbst Zahlungsdienste für ein Kundenprojekt beauftragt oder Zahlungsdaten im Auftrag verarbeitet, wird dies projektspezifisch geregelt. Die datenschutzrechtliche Rolle richtet sich nach Anbieter, Vertragsmodell und Zahlungsfluss.

Drittlandtransfers

Die Verarbeitung erfolgt grundsätzlich in Deutschland, innerhalb der Europäischen Union oder innerhalb des Europäischen Wirtschaftsraums. Standardstandorte sind insbesondere das eigene Rechenzentrum in Landsberied sowie EU-Regionen von AWS und DigitalOcean je nach Projekt.

Cloudflare kann je nach Konfiguration und Dienst technisch weltweiten Traffic-Schutz, CDN- oder DNS-Verarbeitung einbeziehen. Dafür werden die jeweils einschlägigen Rechtsgrundlagen und Garantien, etwa EU-US Data Privacy Framework und Standardvertragsklauseln, in der Unterauftragsverarbeiter- und Drittlandtransferliste dokumentiert.

Löschung und Rückgabe

Der Kunde ist dafür verantwortlich, seine Daten vor Vertragsende über bereitgestellte APIs, Exporte oder Oberflächen zu sichern. Nach Vertragsende werden produktive Kundendaten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten, offenen Abrechnungs- oder Nachweiszwecke oder anderslautenden Weisungen entgegenstehen.

Bei shared oder gepoolten Betriebsmodellen können Daten technisch noch bis zum Ablauf der Backup-Rotation in Sicherungen enthalten sein. Die Standard-Backup-Rotation beträgt bis zu 60 Tage. Backupdaten werden nicht aktiv weiterverarbeitet und im Rahmen der regulären Rotation überschrieben oder gelöscht.

Weisungen, Support und eigene Betriebssysteme

Weisungen erfolgen in Textform, zum Beispiel per E-Mail, Kundenportal, Supportticket oder dokumentierter Projektkommunikation. Mündliche Weisungen sind nur in dringenden Ausnahmefällen vorgesehen und werden anschließend in Textform bestätigt.

schukai darf für Fehleranalyse, Wartung, Migration, Support und Betrieb auf Kundensysteme zugreifen, soweit dies für den jeweiligen Zweck erforderlich ist. Zugriffe erfolgen durch berechtigte Personen nach Need-to-know und werden angemessen protokolliert.

Zur Leistungserbringung nutzt schukai eigene Betriebs-, Support-, Monitoring- und Verwaltungswerkzeuge. Darin können projektbezogene Metadaten, technische Logdaten, Supportkommunikation, Fehlerbeschreibungen, Ansprechpartnerdaten und Statusinformationen verarbeitet werden.

Kontrollrechte und Audits

Kunden erhalten auf Anfrage geeignete Nachweise zur Einhaltung der TOMs, soweit diese verfügbar und zumutbar bereitgestellt werden können. Vor-Ort-Audits bei schukai sind nicht Standardbestandteil.

Bei Cloud-, Hosting- oder Rechenzentrumsleistungen von Drittanbietern wie DigitalOcean oder AWS werden keine Vor-Ort-Audits durch einzelne Kunden bei diesen Anbietern ermöglicht. Maßgeblich sind die dort verfügbaren Nachweise, Zertifizierungen oder Vertragsunterlagen.

Bei shared oder gepoolten Angeboten umfassen kundenindividuelle Prüfungen keine Einsicht in gemeinsame Systeme, Daten anderer Kunden oder sicherheitskritische Infrastrukturdetails. Prüfungen müssen verhältnismäßig sein und dürfen Sicherheit, Betrieb, Vertraulichkeit oder Rechte anderer Kunden nicht gefährden.

Datenschutzvorfälle

schukai informiert den Auftraggeber unverzüglich im Sinne von ohne schuldhaftes Zögern, nachdem schukai eine Verletzung des Schutzes personenbezogener Daten festgestellt hat, soweit personenbezogene Daten des Auftraggebers betroffen sind.

Eine feste allgemeine Stundenfrist wird nicht zugesagt. Umfang und Inhalt der Mitteilung richten sich nach den verfügbaren Informationen, der Art des Vorfalls und den gesetzlichen Anforderungen. Weitergehende Fristen gelten nur, wenn sie einzelvertraglich vereinbart wurden.

Versionierung und Nachweis

Für den Nachweis des Vertragsschlusses werden die relevanten Dokumente versioniert. Erfasst werden insbesondere Organisation, akzeptierender Nutzer, Zeitpunkt, Dokumententyp, Dokumentenversion und Dokumenten-Hash.

• AVV-Version
• TOM-Version
• Unterauftragsverarbeiter-Version
• Zeitstempel der Akzeptanz
• Dokumenten-Hash des akzeptierten Stands

So bleibt nachvollziehbar, welcher konkrete Dokumentenstand für welchen Kunden akzeptiert wurde.

Kontakt für Datenschutzfragen

Fragen zur Auftragsverarbeitung, zu Datenschutzunterlagen oder zum Abschlussprozess richten Sie bitte an hey@schukai.com.

Diese Seite stellt die aktuelle öffentliche Informationsfassung bereit. Der konkrete Vertragsschluss erfolgt über die im Kundenportal oder Checkout angezeigte und akzeptierte Dokumentenversion.