DE

Rechtliches und Datenschutz

Auftragsverarbeitung für gehostete Kundenprojekte

Informationen zur Vereinbarung zur Auftragsverarbeitung, zu technischen und organisatorischen Maßnahmen, Unterauftragsverarbeitern und zum Abschlussprozess.

Diese Seite ist eine öffentliche Vorabinformation. Rechtsverbindlich ist nur die AVV-Fassung, die für den konkreten Vertrag eindeutig bezeichnet und von beiden Parteien vereinbart wurde.

Öffentliche Informationen zur Auftragsverarbeitung

Wenn schukai für einen Kunden personenbezogene Daten im Auftrag verarbeitet, wird dafür eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO benötigt. Das betrifft gehostete Kundenprojekte, Portale, Shops, Workspaces, Schnittstellen und Apps, soweit schukai diese Systeme für den Kunden betreibt.

Die zugrunde liegenden Vertragsbedingungen basieren auf juristisch geprüften Vertragsunterlagen. Technische und organisatorische Maßnahmen, Unterauftragsverarbeiter und projektspezifische Angaben werden passend zum jeweiligen Betriebsmodell gepflegt.

Stand dieser öffentlichen Informationsfassung: 05.09.2026.

Geltungsbereich

Die AVV gilt für gehostete Kundenprojekte und SaaS-nahe Leistungen, soweit schukai personenbezogene Daten im Auftrag des Kunden verarbeitet. Öffentliche Betriebsdomain für diese Projekte ist getshop.cloud.

Erfasst sein können insbesondere Shopcloud, schukai cloud, Kundenportale, B2B-Portale, Workspaces, Schnittstellen, gehostete Business Apps, die Workspace App in Verbindung mit einer gehosteten Workspace-Instanz sowie Support- und Betriebsleistungen für diese Systeme.

Für On-Premise-Installationen oder vollständig selbstgehostete Systeme ohne Betrieb durch schukai gilt diese AVV nicht automatisch. In solchen Fällen hängt eine Auftragsverarbeitung davon ab, ob schukai im konkreten Projekt personenbezogene Daten im Auftrag verarbeitet.

Abschlussprozess

Die öffentliche Seite dient der Vorabprüfung und ersetzt keinen Vertrag. Vor Beginn einer Verarbeitung im Auftrag vereinbaren die Parteien eine eindeutig bezeichnete AVV-Fassung. Der Abschluss kann zusammen mit dem Auftrag, elektronisch oder in einer gesondert unterzeichneten Fassung erfolgen.

  • Leistungsbedingungen und AVV werden als getrennte Dokumente bezeichnet.
  • Die vereinbarte Fassung wird dem Auftrag oder Vertragsnachweis eindeutig zugeordnet.
  • AVV, TOMs und gegebenenfalls die Unterauftragnehmerliste erhalten nachvollziehbare Versionsstände.
  • Bei Bedarf kann eine gesondert unterzeichnete Fassung vereinbart werden.

Datenkategorien und betroffene Personen

Je nach Projekt und genutztem Modul können insbesondere folgende Datenarten verarbeitet werden:

  • Stammdaten wie Name, Firma, Kundennummer, Ansprechpartner und Rolle
  • Kontaktdaten wie E-Mail-Adresse, Telefonnummer und Anschrift
  • Zugangsdaten wie Benutzerkonto, Rollen, Rechte, Login-Status und technische Authentifizierungsdaten
  • Kommunikationsdaten aus Kontaktformularen, Supportanfragen, Nachrichten und Kommentaren
  • Vertrags-, Bestell-, Auftrags-, Dokumenten- und Statusdaten
  • Portal-, Shop- und Workspace-Daten wie Warenkorb, Bestellhistorie, Sortimente, Preise, Dokumente und Downloads
  • Prozessdaten wie Aufgaben, Freigaben, Termine, Workflows, Nachweise und Auswertungen
  • App-Daten wie mobile Erfassungen, Service- oder Montageberichte, Rückmeldungen, Fotos und Anhänge, soweit im Projekt genutzt
  • Technische Daten wie IP-Adressen, Logfiles, Geräte- und Browserdaten sowie Zeitstempel
  • Zahlungs- und Transaktionsdaten nur, soweit sie im konkreten Projekt durch schukai verarbeitet werden

Betroffen sein können insbesondere Kunden des Auftraggebers, Interessenten, Ansprechpartner bei Geschäftspartnern, Mitarbeitende des Auftraggebers, Nutzer von Portalen, Shops, Workspaces und Apps, Webseitenbesucher sowie Supportkontakte.

Besondere Kategorien personenbezogener Daten

Der vereinbarte Datenumfang einschließlich zulässiger besonderer Kategorien wird in der AVV-Anlage konkret beschrieben. Funktionen und Hinweise werden auf diesen Umfang abgestimmt. Allgemeine Freitextfelder erweitern den vereinbarten Umfang nicht automatisch.

schukai prüft Inhalte nicht proaktiv. Erkennt eine Partei eine nicht abgedeckte Verarbeitung, klären die Parteien sie unverzüglich und begrenzen sie bis zu einer rechtmäßigen Lösung.

Technische und organisatorische Maßnahmen

Die TOMs werden als Anlage zur AVV geführt. Die öffentliche Darstellung ist bewusst konkret, enthält aber keine internen Toolnamen, Hostnamen oder sicherheitskritischen Detailangaben.

Physische Sicherheit

  • Abschließbare Räume, Türschlösser und Schlüsselregelung für eigene Betriebsbereiche
  • Alarmanlage, Bewegungsmelder und Videoüberwachung der relevanten Zugänge
  • Besucherregelung und begleiteter Zutritt
  • Keine öffentlich zugänglichen Serverräume
  • Brandschutz, Rauchmelder, USV, Temperaturüberwachung und sorgfältig ausgewählte Dienstleister

Zugang und Berechtigungen

  • Individuelle Benutzerkonten statt geteilter Admin-Accounts im Regelbetrieb
  • Sichere Passwörter und Zwei-Faktor-Authentifizierung für Admin- oder kritische Zugänge
  • Rollen- und Rechtekonzept mit Zugriff nach Need-to-know
  • Anlassbezogene Berechtigungsprüfung, insbesondere bei Rollenwechsel oder Austritt
  • SSH-Zugriff mit Schlüsseln und ohne Passwort-SSH
  • Zero-Trust-Ansatz: Systeme und Arbeitsgeräte sind eigenständig abgesichert; Zugriffe werden nicht allein durch Netzzugehörigkeit vertraut.

Verschlüsselung und Secrets

  • HTTPS/TLS für Webzugriffe und API-Kommunikation
  • Verschlüsselter E-Mail-Transport, soweit die Gegenstelle dies unterstützt
  • Verschlüsselte Backups, Datenträger und Arbeitsgeräte
  • Geschützte Verwaltung von Secrets, Zugangsdaten und Schlüsseln
  • Keine Klartextspeicherung von Benutzerpasswörtern
  • Serverseitige Verschlüsselung bei S3/Object Storage, soweit Anbieter und Projekt dies unterstützen

Protokollierung und Monitoring

  • Server- und Anwendungslogs
  • Protokollierung administrativer Aktionen sowie Login- und Zugriffsereignisse
  • Überwachung von Fehler- und Sicherheitsereignissen über eigene Betriebswerkzeuge
  • Zugriffsbeschränkte Speicherung von Logdaten
  • Aufbewahrung nur für Betrieb, Sicherheit, Nachweis oder gesetzliche Pflichten
  • Keine dauerhafte Vollprotokollierung aller Nutzerinhalte und keine proaktive Inhaltsüberwachung von Kundendaten

Backup und Wiederherstellung

  • Regelmäßige und getrennt gespeicherte Backups
  • Verschlüsselte Backups und Monitoring der Backup-Läufe
  • Tests der Wiederherstellung und Wiederanlaufkonzept
  • Schutz gegen versehentliche Löschung oder Datenverlust
  • Wartungsfenster oder geplante Wartungen werden Kunden angekündigt
  • Keine pauschale Zusage redundanter Infrastruktur, außer sie ist im konkreten Vertrag oder SLA vereinbart

Mandantentrennung und Betriebsmodelle

Bei eigenständigen Kundenprojekten, größeren Projekten oder stärker individualisierten Setups können eigene Server, eigene Datenbanken und eigene Speicherbereiche eingesetzt werden.

Bei kleineren gehosteten Auftritten oder Workspace-/Portal-Instanzen kann der Betrieb mandantengetrennt innerhalb gemeinsamer Systeme erfolgen. In gemeinsamen Systemen erfolgt die Trennung logisch über strikte Mandanten-, Rollen- und Rechtekonzepte.

Storage und Backups folgen dem jeweiligen Betriebsmodell. Bei gemeinsamen Datenbanken können Backups technisch gesamtsystembezogen erfolgen; Zugriff, Wiederherstellung und Export bleiben mandanten- beziehungsweise zweckbezogen beschränkt.

Produktiv-, Test- und Entwicklungsumgebungen sind getrennt. Produktivdaten werden nicht ohne Anlass in Test- oder Entwicklungsumgebungen kopiert. Wenn Produktivdaten für Support, Fehleranalyse oder Migration benötigt werden, erfolgt dies zweckgebunden und zugriffsbeschränkt.

Unterauftragsverarbeiter und Betriebsdienstleister

Im Standardbetrieb gehosteter Kundenprojekte können je nach Projekt folgende Dienstleister oder eigene Betriebsbereiche beteiligt sein:

  • Eigenes Rechenzentrum in Landsberied für Hosting, E-Mail und Betrieb
  • DigitalOcean für Hosting, einzelne Systeme, selbst betriebenes Jitsi und gegebenenfalls Object Storage
  • AWS in Frankfurt beziehungsweise EU-Regionen für Hosting oder S3/Object Storage je nach Projekt
  • Cloudflare für DNS, CDN und Security, soweit Projekttraffic oder Kundendomains darüber laufen
  • Eigene schukai Betriebs-, Support-, Monitoring- und Verwaltungswerkzeuge

Neue Unterauftragsverarbeiter werden nur auf Grundlage einer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung eingesetzt. Bei einer allgemeinen Genehmigung informiert schukai vor der beabsichtigten Änderung rechtzeitig über Anbieter, Leistung und datenschutzrelevante Auswirkungen, damit der Kunde Einwände erheben kann.

Dringende Ersatzmaßnahmen werden durch vorab genehmigte Ausweichanbieter oder eine rechtzeitig eingeholte gesonderte Genehmigung ermöglicht. Eine ausschließlich nachträgliche Information ersetzt die erforderliche vorherige Genehmigung nicht.

Zahlungsdienste

Zahlungsdienste wie PayPal, Mollie, Stripe, Amazon Pay, Google Wallet oder vergleichbare Anbieter werden meist nur technisch eingebunden. Die Verträge mit diesen Zahlungsdiensten schließen in der Regel die Kunden selbst.

Diese Anbieter sind daher nicht automatisch Unterauftragsverarbeiter von schukai. Wenn schukai im Einzelfall selbst Zahlungsdienste für ein Kundenprojekt beauftragt oder Zahlungsdaten im Auftrag verarbeitet, wird dies projektspezifisch geregelt. Die datenschutzrechtliche Rolle richtet sich nach Anbieter, Vertragsmodell und Zahlungsfluss.

Drittlandtransfers

Die Verarbeitung erfolgt grundsätzlich in Deutschland, innerhalb der Europäischen Union oder innerhalb des Europäischen Wirtschaftsraums. Standardstandorte sind insbesondere das eigene Rechenzentrum in Landsberied sowie EU-Regionen von AWS und DigitalOcean je nach Projekt.

Cloudflare kann je nach Konfiguration und Dienst technisch weltweiten Traffic-Schutz, CDN- oder DNS-Verarbeitung einbeziehen. Dafür werden die jeweils einschlägigen Rechtsgrundlagen und Garantien, etwa EU-US Data Privacy Framework und Standardvertragsklauseln, in der Unterauftragsverarbeiter- und Drittlandtransferliste dokumentiert.

Löschung und Rückgabe

Nach Abschluss der Auftragsverarbeitung gibt schukai personenbezogene Kundendaten nach Wahl des Kunden zurück oder löscht sie einschließlich vorhandener Kopien, soweit keine gesetzliche Speicherungspflicht entgegensteht. Vereinbarte Export- und Abruffristen werden berücksichtigt.

Für eigene gesetzlich erforderliche Geschäfts- und Abrechnungsunterlagen gelten gesonderte Zwecke, Rechtsgrundlagen und Aufbewahrungsfristen. Sie berechtigen nicht pauschal zur weiteren Speicherung der im Auftrag verarbeiteten Kundeninhalte.

Bei gemeinsamen oder gepoolten Betriebsmodellen können Daten technisch noch bis zum Ablauf der vereinbarten Backup-Rotation in gesperrten Sicherungen enthalten sein. Backupdaten werden nicht aktiv weiterverarbeitet und im Rahmen der Rotation überschrieben oder gelöscht. Nach einer Wiederherstellung werden bereits veranlasste Löschungen erneut umgesetzt.

Weisungen, Support und eigene Betriebssysteme

Weisungen erfolgen in Textform, zum Beispiel per E-Mail, Kundenportal, Supportticket oder dokumentierter Projektkommunikation. Mündliche Weisungen sind nur in dringenden Ausnahmefällen vorgesehen und werden anschließend in Textform bestätigt.

schukai darf für Fehleranalyse, Wartung, Migration, Support und Betrieb auf Kundensysteme zugreifen, soweit dies für den jeweiligen Zweck erforderlich ist. Zugriffe erfolgen durch berechtigte Personen nach Need-to-know und werden angemessen protokolliert.

Zur Leistungserbringung nutzt schukai eigene Betriebs-, Support-, Monitoring- und Verwaltungswerkzeuge. Darin können projektbezogene Metadaten, technische Logdaten, Supportkommunikation, Fehlerbeschreibungen, Ansprechpartnerdaten und Statusinformationen verarbeitet werden.

Kontrollrechte und Audits

schukai stellt die zum Nachweis der AVV-Pflichten erforderlichen Informationen bereit und ermöglicht die gesetzlich vorgesehenen Überprüfungen einschließlich erforderlicher Inspektionen. Geeignete aktuelle unabhängige Nachweise können zunächst genutzt werden.

Weitergehende Prüfungen werden risikoorientiert und unter Wahrung berechtigter Geheimhaltungsinteressen sowie des Schutzes anderer Kunden organisiert. Ein pauschaler Ausschluss gesetzlich erforderlicher Prüfungen ist damit nicht verbunden.

Bei gemeinsamen oder gepoolten Angeboten umfassen kundenindividuelle Prüfungen keine unberechtigte Einsicht in Daten anderer Kunden oder sicherheitskritische Infrastrukturdetails. Prüfungen müssen verhältnismäßig sein und dürfen Sicherheit, Betrieb, Vertraulichkeit und Rechte anderer Kunden nicht gefährden.

Datenschutzvorfälle

schukai informiert den Verantwortlichen unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit personenbezogene Daten des Verantwortlichen betroffen sind.

Eine erste Meldung erfolgt mit den zu diesem Zeitpunkt verfügbaren Informationen; notwendige Ergänzungen werden nachgereicht. Die Meldung wird nicht bis zum Abschluss sämtlicher Untersuchungen aufgeschoben. Weitergehende Fristen gelten, wenn sie gesetzlich vorgeschrieben oder einzelvertraglich vereinbart sind.

Versionierung und Nachweis

Für den Nachweis der Vereinbarung werden die maßgeblichen Dokumente versioniert und dem jeweiligen Vertrag zugeordnet. Je nach Abschlussweg können insbesondere Organisation, vertretungsberechtigte oder bevollmächtigte Person, Zeitpunkt, Dokumententyp, Dokumentenversion und Dokumenten-Hash festgehalten werden.

  • AVV-Version
  • TOM-Version
  • Unterauftragsverarbeiter-Version
  • Zeitpunkt und Nachweis der Vereinbarung
  • Dokumenten-Hash des vereinbarten Stands

So bleibt nachvollziehbar, welcher konkrete Dokumentenstand für welchen Vertrag vereinbart wurde.

Kontakt für Datenschutzfragen

Fragen zur Auftragsverarbeitung, zu Datenschutzunterlagen oder zum Abschlussprozess richten Sie bitte an hey@schukai.com.

Diese Seite stellt die aktuelle öffentliche Informationsfassung bereit. Die konkrete AVV wird mit eindeutiger Version für den jeweiligen Vertrag vereinbart.