Sprachen: English · Čeština · Deutsch · Español · Français · Italiano · Nederlands · Polski · Português · Română
Dieses Dokument gibt es in zehn Sprachen. Die englische Fassung ist die Referenzfassung.

Auftragsverarbeitungsvertrag von cosmetiFULL

Letzte Aktualisierung: 3. Oktober 2026

Die englische Fassung ist die Referenzfassung und hat im Fall von Abweichungen zwischen den Fassungen Vorrang, wie in Klausel 18.2 vorgesehen.

1. Parteien, Begriffsbestimmungen und Rollen

1.1 Der Anbieter. „Anbieter“ bezeichnet die in dem nachstehenden Kasten bezeichnete Gesellschaft, die die Plattform cosmetiFULL nach Artikel 1 der Nutzungsbedingungen von cosmetiFULL betreibt.

Kasten 1. Angaben zum Anbieter

Nicodemo & Signa Company Srl, eine Gesellschaft rumänischen Rechts

Sitz: Strada Lucian Blaga nr. 21, ap. 16, 310023 Arad, Rumänien

Handelsregisternummer: J02/809/2003

Einheitlicher Registrierungscode / Umsatzsteuer-Identifikationsnummer: RO15617609

E-Mail für jede Mitteilung im Zusammenhang mit diesem Auftragsverarbeitungsvertrag: info@cosmetifull.com

1.2 Der Kunde. „Kunde“ bezeichnet den Geschäftskunden (Hersteller, Berater oder unabhängiger Sicherheitsbewerter), der mit dem Anbieter den durch die Nutzungsbedingungen von cosmetiFULL geregelten Vertrag geschlossen hat.

1.3 Die Plattform. „Plattform“ bezeichnet die in Artikel 2 der Nutzungsbedingungen beschriebene Plattform cosmetiFULL: heute LabelCheck (Prüfung von Kosmetiketiketten anhand der EU-Vorschriften) und ExpertDesk (fachliche Hinweise, die von einem System der künstlichen Intelligenz erzeugt werden), sowie die Dienste, die verfügbar gemacht werden, darunter PIFBuilder und FormulaArchive. Dieser Auftragsverarbeitungsvertrag gilt für jeden Dienst der Plattform ab dem Tag, an dem er käuflich erworben werden kann.

1.4 Rollen nach der DSGVO. Für die personenbezogenen Daten, die in den Materialien enthalten sind, die der Kunde auf die Plattform hochlädt oder in ihr speichert, ist der Kunde der Verantwortliche und der Anbieter der Auftragsverarbeiter im Sinne von Art. 4 Nr. 7, Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 („DSGVO“). Dieser Auftragsverarbeitungsvertrag regelt ausschließlich dieses Verhältnis.

1.5 Verarbeitungen, für die der Anbieter eigenständiger Verantwortlicher ist. Der Anbieter ist eigenständiger Verantwortlicher, und dieser Auftragsverarbeitungsvertrag gilt nicht, für: Konto-, Authentifizierungs- und Zugangsdaten; Daten zu Prepaid-Guthaben, Käufen und Rechnungsstellung; technische Protokolle und Sicherheitsprotokolle; die Kommunikation mit dem Kunden, einschließlich der Rückmeldungen und des kurzen Auszugs der Analyse, auf den sich eine Rückmeldung bezieht; den Inhalt der Unterhaltungen in ExpertDesk, für den die eigene Datenschutzerklärung dieses Dienstes gilt. Diese Verarbeitungen sind in der Datenschutzerklärung von cosmetiFULL beschrieben.

1.6 Begriffsbestimmungen. Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und ähnliche Begriffe haben die Bedeutung, die ihnen die DSGVO gibt.

2. Gegenstand und Annahme

2.1 Gegenstand. Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten, die der Anbieter bei der Bereitstellung der Plattform im Auftrag des Kunden durchführt, im Einklang mit Art. 28 Abs. 3 DSGVO.

2.2 Annahme. Dieser Auftragsverarbeitungsvertrag ist Anlage 2 der Nutzungsbedingungen von cosmetiFULL und für Geschäftskunden Bestandteil dieser Bedingungen (Artikel 26). Der Kunde nimmt ihn zusammen mit den Nutzungsbedingungen an, wenn er die Zugangsanfrage zur Plattform absendet: Das Anfrageformular weist darauf hin, dass das Absenden die Annahme der Nutzungsbedingungen bedeutet. Wird eine neue Fassung dieses Auftragsverarbeitungsvertrags veröffentlicht, auch diese Fassung für einen Kunden, der die Dienste bereits vor ihrer Veröffentlichung genutzt hat, nimmt der Kunde sie an, indem er die Dienste nach der Veröffentlichung weiter nutzt, nach Maßgabe von Artikel 17 der Nutzungsbedingungen und mit den Rechten, die ihm dieser Artikel gibt. Der Abschluss in einem elektronischen Format ist nach Art. 28 Abs. 9 DSGVO zulässig.

2.3 Vorrang. Im Fall eines Widerspruchs zwischen diesem Auftragsverarbeitungsvertrag und den Nutzungsbedingungen geht in Fragen des Datenschutzes dieser Auftragsverarbeitungsvertrag vor.

3. Laufzeit

Dieser Auftragsverarbeitungsvertrag gilt für die gesamte Dauer der Vertragsbeziehung über die Plattform und endet mit dieser Beziehung, unbeschadet der Pflichten, die ihrer Natur nach fortbestehen, insbesondere der Löschung oder Rückgabe der Daten nach Klausel 13, der Vertraulichkeit und der Klausel 17.

4. Art und Zweck der Verarbeitung

4.1 Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Funktionen der Plattform bereitzustellen: Speicherung der Analysen, Dokumente und Anhänge, die der Kunde in seinem Konto speichert; durch künstliche Intelligenz unterstützte Analyse der hochgeladenen Inhalte (die für eine Analyse hochgeladenen Bilder werden verarbeitet, um das Ergebnis zu erzeugen, und nicht gespeichert); Erstellung von Entwürfen und Berichten; Verwaltung des Zugangs der Mitglieder der Organisation des Kunden nach den Rollen, die der Kunde zuweist; Versand transaktionaler Service-E-Mails und, in den Grenzen der Klausel 17, das abgeleitete Wissen.

4.2 Die ausführliche Beschreibung der Verarbeitung (Gegenstand, Art, Zweck, Kategorien von Daten und von betroffenen Personen) steht in Anlage A, die integraler Bestandteil dieses Auftragsverarbeitungsvertrags ist.

4.3 Das System unterstützt, es entscheidet nicht. Die Dienste der Plattform sind Hilfswerkzeuge. Fachliche Schlussfolgerungen, insbesondere die Sicherheitsbewertung eines kosmetischen Mittels, bleiben in der Zuständigkeit und Verantwortung der qualifizierten Fachkraft des Kunden, zum Beispiel des Sicherheitsbewerters. Die Software ist so gestaltet, dass sie keine Schlussfolgerungen anstelle des Sicherheitsbewerters zieht.

5. Weisungen des Kunden

5.1 Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 Buchst. a DSGVO). Dokumentierte Weisungen sind: (a) dieser Auftragsverarbeitungsvertrag; (b) die Nutzungsbedingungen; (c) die Nutzung der Funktionen der Plattform durch den Kunden und seine autorisierten Nutzer, zum Beispiel das Hochladen eines Dokuments, das Starten einer Analyse oder die Einladung eines Mitglieds der eigenen Organisation.

5.2 Das gilt auch für Übermittlungen von Daten in Drittländer, die wie in Klausel 9 und in Anlage C beschrieben erfolgen und die der Kunde mit der Annahme dieses Auftragsverarbeitungsvertrags genehmigt.

5.3 Weisungen, die über die Standardfunktionen hinausgehen, können schriftlich vereinbart werden, sofern sie angemessen und technisch durchführbar sind; etwaige Zusatzkosten werden vorab beziffert.

5.4 Ist der Anbieter der Auffassung, dass eine Weisung des Kunden gegen die DSGVO oder gegen andere Datenschutzbestimmungen verstößt, informiert er den Kunden unverzüglich, wie im zweiten Unterabsatz von Art. 28 Abs. 3 DSGVO vorgesehen, und kann die Ausführung der Weisung aussetzen, bis sie geklärt ist.

6. Vertraulichkeit der befugten Personen

Der Anbieter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass ihr Zugriff auf die Daten auf das beschränkt ist, was für die Erbringung des Dienstes erforderlich ist (Art. 28 Abs. 3 Buchst. b DSGVO).

7. Sicherheit der Verarbeitung

7.1 Der Anbieter trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 Buchst. c und Art. 32 DSGVO), unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten der betroffenen Personen.

7.2 Die Maßnahmen in Anlage B können sich im Laufe der Zeit weiterentwickeln, sofern das Gesamtniveau der Sicherheit nicht gesenkt wird.

7.3 Der Anbieter berücksichtigt die besondere geschäftliche Sensibilität der verarbeiteten Inhalte, etwa der Rezepturen und der Produktunterlagen: Die Maßnahmen in Anlage B gelten für die gesamten vom Kunden hochgeladenen Inhalte, nicht nur für personenbezogene Daten im engeren Sinne.

8. Weitere Auftragsverarbeiter

8.1 Allgemeine schriftliche Genehmigung. Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter in Anspruch zu nehmen, nach Art. 28 Abs. 2 DSGVO. Die Liste der aktuellen weiteren Auftragsverarbeiter, mit ihrer Rolle, ihrem Land, dem Ort der Verarbeitung und der angewandten Garantie, steht in Anlage C.

8.2 Mitteilung von Änderungen. Der Anbieter informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters, bevor der neue weitere Auftragsverarbeiter mit der Verarbeitung von Daten des Kunden beginnt. Die Mitteilung wird per E-Mail an die E-Mail-Adresse des Kontos des Kunden und an die weiteren Adressen gesendet, deren Aufnahme der Kunde durch eine Nachricht an info@cosmetifull.com verlangt hat, und sie wird von der Veröffentlichung der aktualisierten Fassung der Anlage C begleitet. Entscheidet der Anbieter über die Änderung, wird die Mitteilung mindestens 30 Tage im Voraus gesendet. Entscheidet ein weiterer Auftragsverarbeiter über die Änderung, sendet der Anbieter die Mitteilung innerhalb von 5 Arbeitstagen, nachdem er davon informiert wurde, und der Kunde erhält die gesamte verbleibende Vorankündigungsfrist; die Mitteilung nennt, wie viele Tage das sind und warum. Eine kürzere Vorankündigungsfrist ist nur möglich, wenn die Ersetzung aus Gründen der Sicherheit oder der Kontinuität des Dienstes notwendig ist und nicht aufgeschoben werden kann: In diesem Fall wird die Mitteilung unverzüglich gesendet und nennt den Grund.

8.3 Widerspruchsrecht. Innerhalb der in der Mitteilung genannten Vorankündigungsfrist kann der Kunde durch eine Nachricht an info@cosmetifull.com aus angemessenen und belegten Gründen des Datenschutzes widersprechen. Die Frist für den Widerspruch läuft in jedem Fall ab der Mitteilung. Die Parteien suchen in gutem Glauben nach einer Lösung, zum Beispiel einer Konfiguration, die den neuen weiteren Auftragsverarbeiter vermeidet. Gibt es keine praktikable Lösung, kann der Kunde den betroffenen Dienst ohne Vertragsstrafe beenden, und der Anbieter erstattet die im Voraus bezahlten, nicht verbrauchten Credits nach Artikel 11.3 der Nutzungsbedingungen.

8.4 Weitergabe der Pflichten. Mit jedem weiteren Auftragsverarbeiter hat der Anbieter einen Auftragsverarbeitungsvertrag geschlossen, der Datenschutzpflichten im Einklang mit Art. 28 Abs. 4 DSGVO auferlegt. Der Anbieter haftet gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten seiner weiteren Auftragsverarbeiter.

9. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

9.1 Einige weitere Auftragsverarbeiter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums (EWR) oder gehören zu Konzernen, die außerhalb des EWR niedergelassen sind. Jede Übermittlung in ein Drittland erfolgt auf der Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO) oder der von der Europäischen Kommission erlassenen Standarddatenschutzklauseln (Art. 46 Abs. 2 Buchst. c DSGVO), die in den Auftragsverarbeitungsvertrag des weiteren Auftragsverarbeiters einbezogen sind, wie in Anlage C für jeden weiteren Auftragsverarbeiter angegeben, zusammen mit den dort genannten zusätzlichen Garantien.

9.2 Anlage C nennt für jeden weiteren Auftragsverarbeiter die erbrachte Leistung, das Land des Anbieters dieser Leistung, den Ort, an dem die Daten verarbeitet werden, und die angewandte Garantie, mit demselben Inhalt wie Artikel 16 der Datenschutzerklärung.

10. Unterstützung bei den Rechten der betroffenen Personen

10.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch) zu beantworten, wie in Art. 28 Abs. 3 Buchst. e DSGVO vorgesehen.

10.2 In der Praxis: Aus seinem Konto heraus sieht der Kunde seine eigenen Analysen und Erklärungen ein, speichert sie als PDF und löscht sie; der vollständige Export der Daten in einem strukturierten, maschinenlesbaren Format wird auf schriftliches Verlangen an info@cosmetifull.com kostenfrei übergeben, wie in Artikel 21a.7 der Nutzungsbedingungen vorgesehen. Für alles, was der Kunde nicht selbst ausführt, handelt der Anbieter auf sein schriftliches Verlangen unverzüglich.

10.3 Wendet sich eine betroffene Person wegen einer Verarbeitung, für die der Kunde der Verantwortliche ist, unmittelbar an den Anbieter, leitet der Anbieter den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht in der Sache, es sei denn, der Kunde weist ihn dazu an oder das Gesetz verlangt es.

11. Verletzungen des Schutzes personenbezogener Daten

11.1 Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Kunden verarbeitete Daten betrifft, unverzüglich und in jedem Fall binnen 24 Stunden, nachdem sie ihm bekannt wurde, an die E-Mail-Adresse des Kontos des Kunden (Art. 28 Abs. 3 Buchst. f und Art. 33 Abs. 2 DSGVO).

11.2 Die Meldung enthält, soweit die Informationen verfügbar sind: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Die Informationen können schrittweise zur Verfügung gestellt werden.

11.3 Die Beurteilung der Pflicht, die Verletzung der Aufsichtsbehörde zu melden (Art. 33 DSGVO) und die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO), obliegt dem Kunden als Verantwortlichem; der Anbieter leistet die vernünftigerweise erforderliche Mitwirkung.

12. Unterstützung bei Sicherheit, Datenschutz-Folgenabschätzung und vorheriger Konsultation

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Anbieter den Kunden bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit, Meldung von Verletzungen und Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation), insbesondere indem er die Informationen in Anlage B und in Anlage C zur Verfügung stellt.

13. Löschung oder Rückgabe der Daten

13.1 Nach dem Ende des Dienstes löscht der Anbieter nach Wahl des Kunden alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Unionsrecht oder nach rumänischem Recht eine Verpflichtung zu ihrer Speicherung besteht (Art. 28 Abs. 3 Buchst. g DSGVO).

13.2 Ab der Schließung des Kontos bleiben die Inhalte 30 Tage lang zum Herunterladen verfügbar und werden danach innerhalb der folgenden 60 Tage gelöscht, oder früher auf Verlangen des Kunden (Artikel 21 der Nutzungsbedingungen und Artikel 17 der Datenschutzerklärung). Während dieses Zeitraums und zu jedem früheren Zeitpunkt kann der Kunde die Rückgabe der Daten in dem in Artikel 21a.7 der Nutzungsbedingungen beschriebenen Format verlangen. Verlangt der Kunde den Wechsel zu einem anderen Anbieter oder nur die Löschung, gilt der Zeitplan des Artikels 21a.

13.3 Sicherungskopien, die gelöschte Daten noch enthalten, werden innerhalb von 30 Tagen nach der Löschung überschrieben. Beim Anbieter künstlicher Intelligenz werden die übermittelten Inhalte und die Ergebnisse höchstens 30 Tage ab Eingang oder Erzeugung aufbewahrt, abgesehen von dem längeren Zeitraum, den dieser Anbieter bei Verstößen gegen seine Nutzungsrichtlinie anwendet (Artikel 8 der Datenschutzerklärung).

14. Überprüfungen und Informationen

14.1 Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, in erster Linie durch diesen Auftragsverarbeitungsvertrag und seine Anlagen sowie durch die schriftliche Beantwortung angemessener Auskunftsersuchen.

14.2 Der Anbieter ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei (Art. 28 Abs. 3 Buchst. h DSGVO), unter den folgenden Bedingungen: schriftliche Ankündigung mit einer Frist von mindestens 30 Tagen, außer bei einer andauernden Verletzung; höchstens einmal pro Kalenderjahr, außer wenn das Gesetz es verlangt oder nach einer festgestellten Verletzung; während der Geschäftszeiten; eine Vertraulichkeitspflicht des Prüfers; kein Zugang zu Daten anderer Kunden des Anbieters; die Kosten trägt der Kunde. Bei weiteren Auftragsverarbeitern erfolgen Überprüfungen in der Regel anhand der Unterlagen und Zertifizierungen, die diese zur Verfügung stellen.

14.3 Der Anbieter informiert den Kunden unverzüglich, falls er der Auffassung ist, dass ein Verlangen nach Überprüfung gegen die DSGVO oder gegen andere anwendbare Bestimmungen verstößt.

15. Zugang von Personen außerhalb der Organisation des Kunden

Heute gewähren die Dienste der Plattform Zugang zu den Inhalten des Kunden nur den Nutzern seiner eigenen Organisation. Wird ein Zugang für Markeninhaber oder für Fachleute außerhalb der Organisation des Kunden eingeführt, wird dieser Auftragsverarbeitungsvertrag aktualisiert, bevor dieser Zugang angeboten wird.

16. Haftung

Die Haftung der Parteien für die durch diesen Auftragsverarbeitungsvertrag geregelte Verarbeitung richtet sich nach Artikel 24 der Nutzungsbedingungen. Die Haftung jeder Partei gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

17. Abgeleitetes Wissen

17.1 Der Kunde weist den Anbieter an, aus den im Auftrag des Kunden verarbeiteten Daten aggregierte, de-identifizierte Informationen darüber abzuleiten, wie die Prüfungen arbeiten (das „abgeleitete Wissen“, beschrieben in Artikel 20 der Nutzungsbedingungen und in Artikel 19 der Datenschutzerklärung), und diese aufzubewahren, um die Dienste und die Wissensbasis des Anbieters zu verbessern, auch nach dem Ende dieses Auftragsverarbeitungsvertrags.

17.2 Garantien: (a) ein Datenpunkt wird nur innerhalb eines Aggregats verwendet, das mindestens 20 Ereignisse von mindestens 5 verschiedenen Konten umfasst; (b) die Konten werden mit Einwegcodes gezählt, nie nach Name oder E-Mail-Adresse; (c) für diesen Zweck werden nur Metadaten der Prüfungen und geschlossene Codes aufbewahrt, nicht der Text von Dokumenten; (d) Originaldokumente, Rezepturen, Zusammensetzungen, an denen ein Produkt erkannt werden könnte, sowie die Namen von Produkten, Unternehmen und Personen bleiben außen vor; (e) der Anbieter versucht nicht, den Kunden, seine Produkte oder eine Person erneut zu identifizieren, und untersagt dies den Empfängern von Aggregaten; (f) Aggregate werden Dritten nur in einer Form offengelegt, die weder den Kunden noch seine Produkte noch eine Person identifiziert.

17.3 Der Kunde kann diese Weisung jederzeit mit Wirkung für die Zukunft widerrufen, indem er den Schalter „Zum Wissen von cosmetiFULL beitragen“ in den Kontoeinstellungen ausschaltet oder an info@cosmetifull.com schreibt. Der Widerruf ist kostenfrei und hat keine Auswirkung auf den Dienst.

17.4 Vollständige Fälle. Ein Auszug aus einer Produktinformationsdatei wird nur mit der ausdrücklichen Freigabe, Auszug für Auszug, des Sicherheitsbewerters, der für den Kunden handelt, in die Fallbibliothek des Anbieters aufgenommen, nachdem Namen, Kontaktdaten und alles, woran das Produkt erkannt werden kann, entfernt wurden, und nach Prüfung durch einen unabhängigen Sachverständigen. Jede Freigabe ist eine gesonderte dokumentierte Weisung.

17.5 Diese Klausel gilt für Daten, die ab dem 3. Oktober 2026 erzeugt werden. Frühere Verarbeitungen zur Verbesserung der Wissensbasis stützen sich auf die während der Beta-Phase eingeholten schriftlichen Einwilligungen.

18. Schlussbestimmungen

18.1 Änderungen. Der Anbieter kann diesen Auftragsverarbeitungsvertrag aktualisieren, um Änderungen des Rechts oder des Dienstes Rechnung zu tragen. Wesentliche Änderungen werden dem Kunden auf einem dauerhaften Datenträger mit einer Frist von mindestens 30 Tagen mitgeteilt, mit denselben Rechten, die Artikel 17 der Nutzungsbedingungen vorsieht. Für weitere Auftragsverarbeiter gilt Klausel 8.

18.2 Sprachen. Dieser Auftragsverarbeitungsvertrag wird in denselben Sprachen wie die Nutzungsbedingungen veröffentlicht: Italienisch, Englisch, Rumänisch, Polnisch, Spanisch, Französisch, Deutsch, Niederländisch, Portugiesisch und Tschechisch. Die englische Fassung ist die Referenzfassung und hat im Fall von Abweichungen zwischen den Fassungen Vorrang (Artikel 30 der Nutzungsbedingungen).

18.3 Anwendbares Recht und Gerichtsstand. Für diesen Auftragsverarbeitungsvertrag gilt rumänisches Recht. Für jede Streitigkeit aus ihm sind die Gerichte in Arad, Rumänien, ausschließlich zuständig (Artikel 28 und 29 der Nutzungsbedingungen).

18.4 Salvatorische Klausel. Ist eine Klausel unwirksam, bleiben die übrigen Klauseln unberührt; die unwirksame Klausel wird durch eine wirksame ersetzt, deren Wirkung ihr so nahe wie möglich kommt.

Anlage A. Beschreibung der Verarbeitung

A.1 Gegenstand der Verarbeitung. Erbringung der Dienste der Plattform im Auftrag des Kunden: Speicherung, Organisation und durch künstliche Intelligenz unterstützte Analyse der Inhalte zu kosmetischen Mitteln, die der Kunde hochlädt oder speichert.

A.2 Dauer. Für die gesamte Dauer der Vertragsbeziehung, zuzüglich des Zeitraums für die Löschung oder Rückgabe nach Klausel 13.

A.3 Art und Zweck. Speicherung der im Konto gespeicherten Analysen, Dokumente und Anhänge; Verarbeitung von Inhalten durch Modelle künstlicher Intelligenz, um Analysen, Feststellungen und Entwürfe zu erzeugen (die für eine Analyse hochgeladenen Bilder werden nicht gespeichert); Verwaltung des Zugangs der Mitglieder nach den vom Kunden zugewiesenen Rollen; Versand transaktionaler E-Mails; Protokollierung der Aktivitäten zu Sicherheitszwecken. Das System unterstützt die Fachkraft und trifft keine Entscheidungen an ihrer Stelle (Klausel 4.3).

A.4 Arten personenbezogener Daten.

• Identifikations- und berufliche Kontaktdaten natürlicher Personen: Namen, geschäftliche E-Mail-Adressen, Rollen oder Funktionen.
• Personenbezogene Daten, die in den vom Kunden hochgeladenen Materialien enthalten sein können, zum Beispiel die auf einem Etikett angegebene verantwortliche Person, ein technischer Ansprechpartner oder Namen und Unterschriften in beigefügten Dokumenten.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden von der Plattform weder abgefragt, noch sind sie für sie bestimmt; der Kunde verpflichtet sich, solche Daten nicht hochzuladen.

A.5 Verarbeitete Inhalte. Etiketten-Artworks, Texte, Rezepturen und Produktunterlagen, die im Konto gespeicherten Analysen und Dokumente sowie die Nachrichten im Klärungschat. Es handelt sich überwiegend um vertrauliche Geschäftsinformationen des Kunden und weniger um personenbezogene Daten; sie sind in jedem Fall durch dieselben Maßnahmen wie in Anlage B geschützt.

A.6 Kategorien betroffener Personen.

• Personal und freie Mitarbeiter des Kunden, die die Plattform nutzen.
• Namentlich genannte Ansprechpartner der eigenen Kunden des Kunden (Markeninhaber), die der Kunde erfasst oder die in Dokumenten erscheinen.
• Sicherheitsbewerter, die intern beim Kunden tätig sind oder in den hochgeladenen Dokumenten genannt werden.
• Natürliche Personen, die in den hochgeladenen Dokumenten erwähnt werden, zum Beispiel die Unterzeichner von Prüfberichten.

A.7 Organisation der Daten. Jeder Inhalt ist mit dem Konto und der Organisation des Kunden verknüpft, der ihn erstellt hat, und unter den Nutzern der Plattform können nur die Mitglieder dieser Organisation darauf zugreifen, nach der vom Kunden zugewiesenen Rolle.

Anlage B. Technische und organisatorische Maßnahmen

Die aufgeführten Maßnahmen beschreiben die Plattform so, wie sie heute funktioniert. Sie können sich ohne Absenkung des Schutzniveaus weiterentwickeln (Klausel 7.2).

B.1 Trennung zwischen Kunden. Jeder Lese- und Schreibzugriff auf Inhalte wird nach dem Konto und der Organisation gefiltert, zu denen der Inhalt gehört, und ein Kunde kann die Inhalte eines anderen nicht erreichen. Die Trennung wird durch automatisierte Tests überprüft.

B.2 Minimale Speicherung. Die für eine Analyse hochgeladenen Bilder werden verarbeitet, um das Ergebnis zu erzeugen, und nicht gespeichert. Auch die Anhänge zu einer Erklärung werden verarbeitet, um das Ergebnis zu erzeugen, und derzeit nicht gespeichert; aufbewahrt werden sie erst ab dem Moment, in dem die Funktion zum Beifügen im Dienst aktiv ist. Die Dateien, die der Kunde beifügt und aufbewahrt, werden in einem von der Datenbank getrennten Dateispeicher gespeichert; die Datenbank enthält nur ihren Verweis und ihre Metadaten.

B.3 Administrativer Zugang. Der Zugang zur Administrationskonsole des Anbieters erfordert zusätzlich zu den Zugangsdaten einen zweiten Faktor (einen zeitbasierten Code), dessen Geheimnis verschlüsselt gespeichert ist. Der administrative Zugang ist auf die Personen beschränkt, die ihn benötigen.

B.4 Authentifizierung der Nutzer. Die Nutzer melden sich mit einer E-Mail-Adresse und einem Passwort an. Passwörter werden nie im Klartext gespeichert: Sie werden als PBKDF2-SHA256-Ableitung mit einem nutzerbezogenen Salt und 100.000 Iterationen gespeichert.

B.5 Entzug des Zugangs. Die Sperrung einer Person und die Änderung ihres Passworts machen die bereits ausgestellten Sitzungen ungültig, auch in den Diensten der Plattform, ohne deren natürlichen Ablauf abzuwarten.

B.6 Protokoll der Aktionen. Die Aktionen der Administratoren des Anbieters an Konten, Organisationen, Credits und Zugängen werden mit Urheber, Datum, vorherigem Wert und neuem Wert in einem Protokoll erfasst, das die Datenbank nur wachsen lässt und dessen Änderung oder Löschung sie nie zulässt. Sicherheitsprotokolle werden 12 Monate lang aufbewahrt.

B.7 Verschlüsselung. Die Kommunikation zwischen dem Nutzer und der Plattform läuft über HTTPS (TLS). Die Datenbanken und der Dateispeicher werden vom Infrastrukturanbieter automatisch im Ruhezustand mit AES-256 verschlüsselt.

B.8 Organisatorische Maßnahmen. Der Zugriff des Personals auf Daten ist auf das Erforderliche beschränkt und Vertraulichkeitspflichten unterworfen (Klausel 6). Technische Geheimnisse, etwa Schlüssel und Zugangsdaten von Diensten, werden außerhalb des Quellcodes über die verschlüsselten Werkzeuge der Hosting-Plattform verwaltet.

Anlage C. Genehmigte weitere Auftragsverarbeiter

Liste aktualisiert am 3. Oktober 2026. Änderungen folgen Klausel 8.

Alle Konten bei den weiteren Auftragsverarbeitern laufen auf den Namen des Anbieters. Der Kunde kann eine Kopie der Garantien anfordern, indem er an info@cosmetifull.com schreibt.

Sonstige Auftragsverarbeiter des Anbieters. Artikel 11.1 der Datenschutzerklärung nennt außerdem Proton AG (geschäftliches E-Mail-Postfach), SmartBill der Intelligent IT SRL (Ausstellung der Rechnungen) und Airtable (interne Aufzeichnungen zur Kundenbeziehung). Sie verarbeiten Daten, für die der Anbieter der Verantwortliche ist (Klausel 1.5), und erhalten nicht die Inhalte, die der Kunde auf die Plattform hochlädt; sie sind daher keine weiteren Auftragsverarbeiter im Sinne dieses Auftragsverarbeitungsvertrags. Die auf ihre Übermittlungen angewandten Garantien stehen in Artikel 16 der Datenschutzerklärung.

Eigenständige Verantwortliche. Stripe, das eine gemischte Rolle hat, und die Empfänger, die als eigenständige Verantwortliche handeln, erhalten die Inhalte des Kunden nicht und sind keine weiteren Auftragsverarbeiter (Artikel 11.3 und 12 der Datenschutzerklärung).

Interne Benachrichtigungen. Der interne Benachrichtigungskanal auf Telegram erhält seit dem 16. September 2026 nur feste Texte ohne personenbezogene Daten und ohne Inhalte des Kunden und ist aus diesem Grund kein weiterer Auftragsverarbeiter (Artikel 11.2 der Datenschutzerklärung).

Ende des veröffentlichten Textes.

Datenschutzerklärung

Nutzungsbedingungen