Vertrag zur Auftragsverarbeitung

Fassung vom 07.10.2026

zwischen dem registrierten Kunden („Verantwortlicher“) und Kastrati Tech GmbH(„Auftragsverarbeiter“), geschlossen mit der Registrierung.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Plattform nach den AGB bereitzustellen. Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, solange Daten aufbewahrt werden.

2. Art und Zweck der Verarbeitung

Erfassen, Lesen (auch durch ein Sprachmodell), Prüfen, Speichern, Übermitteln an die Zollverwaltung über die Teilnehmersoftware eines Partners, Anzeigen und Archivieren von Versandanmeldungen und der zugehörigen Belege und Nachrichten des Zolls.

3. Daten und Betroffene

Namen, Anschriften und EORI von Versendern, Empfängern und Inhabern
Name, Telefon und E-Mail von Ansprechpartnern, etwa am Warenort
Kennzeichen von Fahrzeugen
Inhalte hochgeladener Belege (Rechnungen, Lieferscheine, Frachtbriefe)

Betroffen sind Beschäftigte des Verantwortlichen, seine Geschäftspartner und deren Beschäftigte sowie Fahrer.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung; als solche gelten die Funktionen der Plattform und ihre Nutzung durch den Verantwortlichen. Die Daten werden nicht zum Training von Sprachmodellen verwendet.

5. Technische und organisatorische Maßnahmen

Hosting in der EU (AWS Frankfurt), Übertragung ausschließlich verschlüsselt
Mandantentrennung in der Datenbank (Row-Level Security): Kein Kunde sieht Daten eines anderen [Verfahren für Support-Zugriffe mit Protokollierung festlegen]
Zugriffscode der Sicherheit verschlüsselt mit eigenem Schlüssel, nie im Klartext protokolliert
Unveränderliches Audit-Log (nur Einfügen) je Kunde
Virenprüfung hochgeladener Belege
Anmeldung über OIDC mit PKCE; zweiter Faktor optional
[Backups, Wiederherstellung, Zugangskontrolle der Beschäftigten ergänzen]

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Amazon Web Services EMEA SARL – Hosting, Speicherung, E-Mail-Versand (Frankfurt)
Anthropic – Sprachmodell zum Lesen von Belegen [Ort und Garantien angeben]
[Partner für die ATLAS-Übermittlung] – zertifizierte Teilnehmersoftware

Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab; der Verantwortliche kann aus wichtigem Grund widersprechen [Frist festlegen].

7. Unterstützung und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich [Frist festlegen].

8. Ende des Auftrags

Nach Vertragsende erhält der Verantwortliche einen vollständigen Export. Danach werden die Daten gelöscht, soweit keine Aufbewahrungspflicht besteht; das Audit-Log wird zehn Jahre aufbewahrt und bleibt für den Verantwortlichen lesbar.

9. Nachweise

Der Auftragsverarbeiter weist die Einhaltung dieser Pflichten auf Anfrage nach und ermöglicht Überprüfungen nach Absprache [Umfang und Kosten festlegen].