Ergänzung zur Auftragsverarbeitung

Stand: 12.09.2026

Diese Ergänzung konkretisiert nach ihrer Vereinbarung die Ziffern 3.5 und 3.6 sowie die Aussagen zur Aufbewahrung in Ziffer 6 und Anlage 1 der AVV V1.1. Soweit dort abweichende Aussagen stehen, gelten für neu bestätigte Projekte die folgenden Regelungen. Bereits bestätigte Vereinbarungen werden nicht rückwirkend geändert.

Rückgabe und Löschung

Nach Abschluss der Verarbeitungsleistungen werden personenbezogene Auftragsdaten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht; vorhandene Kopien werden gelöscht, soweit keine gesetzliche Verpflichtung zur Speicherung besteht. Weisungen, betroffene Bestände und die Durchführung werden dokumentiert.

Die vereinbarte 30-tägige Übergangsfrist dient der geordneten Domain- und Datenübergabe. Sie ist keine pauschale Mindestaufbewahrungsfrist und schiebt eine bereits erforderliche Löschung nicht auf. Während einer erforderlichen Übergabe werden Daten nur dafür und mit beschränktem Zugriff verarbeitet. Eine darüber hinausgehende Vorhaltung zur Reaktivierung setzt eine gesonderte dokumentierte Vereinbarung und eine tragfähige Rechtsgrundlage voraus.

Keine pauschalen Jahresfristen

Es gilt keine allgemeine 90-, 365-Tage- oder Zehnjahresfrist für sämtliche personenbezogenen Bestelldaten. Projektbezogene Fristen richten sich nach Zweck, dokumentierten Weisungen und den tatsächlich einschlägigen Pflichten. Technische Ausblendung oder das Entfernen einzelner Namensfelder ist nicht automatisch eine vollständige Anonymisierung.

Eine automatisierte Shop-Anonymisierung ist für Samilaf Solutions derzeit nicht allgemein bereitgestellt. Eine solche Funktion wird nur für Projekte zugesagt, für die sie tatsächlich umgesetzt, getestet und dokumentiert ist. Die bisherige Beschreibung in Anlage 1 ist insoweit keine Bestätigung einer bereits vorhandenen Automatik.

Eigene Nachweise und Sicherungskopien

Eigene aufbewahrungspflichtige Rechnungs- und Vertragsunterlagen von Samilaf werden von operativen Auftragsdaten getrennt behandelt. Die Pflicht eines Partners zur Aufbewahrung seiner Belege begründet nicht automatisch eine Pflicht von Samilaf, sämtliche zugehörigen personenbezogenen Shopdaten weiter vorzuhalten.

Betroffene Sicherungskopien werden in die Bereinigung einbezogen. Noch vorhandene Sicherungen werden zugriffsbeschränkt und nicht für laufende Zwecke genutzt. Der konkrete Bereinigungsweg und Termin werden dokumentiert und überprüft. Bei Wiederherstellungen sind dokumentierte Löschungen vor erneuter Nutzung nachzuvollziehen. Eine Bereinigung gilt nicht allein wegen der Löschung im aktiven System als vollständig abgeschlossen.