Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer

(1) Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und regelt die Verarbeitung personenbezogener Daten durch die qune UG (haftungsbeschränkt) (nachfolgend „Auftragsverarbeiter") im Auftrag des Nutzers der Shopify-App Watchdog (nachfolgend „Verantwortlicher").

qune UG (haftungsbeschränkt)
Herrenweg 96, 26135 Oldenburg
E-Mail: kontakt@qune.de

(2) Der AVV gilt ab dem Zeitpunkt der Installation der App und endet mit der vollständigen Löschung aller personenbezogenen Daten nach Deinstallation der App.

(3) Mit der Installation der App akzeptiert der Verantwortliche diesen AVV.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der in den AGB beschriebenen Leistungen der App Watchdog:

• Überwachung der Verkaufsleistung von Produktvarianten
• Aggregation von Bestelldaten auf Variantenebene
• Berechnung und Aktualisierung von Shopify-Metafields
• Darstellung der Analyseergebnisse im eingebetteten Dashboard

(2) Die Verarbeitung erfolgt ausschließlich auf Grundlage der durch die App-Installation erteilten Weisungen des Verantwortlichen. Die Installation und Konfiguration der App stellen die dokumentierten Weisungen dar.

§ 3 Art der personenbezogenen Daten

Folgende Datenkategorien werden verarbeitet:

• Shop-Domain und Shop-ID (identifiziert den Verantwortlichen)
• Bestell-IDs und Abschlussdaten (pseudonymisierte Identifikatoren, die der Verantwortliche seinen Kunden zuordnen kann)
• Shopify-Session-Tokens zur API-Authentifizierung

Die App empfängt ausschließlich: Bestell-ID, Abschlussdatum (closed_at), Einzelpositionen (Produkt-ID, Varianten-ID, Menge, Produkttitel, Variantentitel). Es werden keine personenbezogenen Kundeninformationen (PII) übermittelt.

Ausdrücklich nicht verarbeitet werden:

• Namen, E-Mail-Adressen oder Kontaktdaten von Endkunden
• Liefer- oder Rechnungsadressen
• Zahlungsinformationen
• IP-Adressen von Endkunden

§ 4 Kategorien betroffener Personen

• Händler (Verantwortliche) — identifiziert durch die Shop-Domain
• Endkunden der Händler — mittelbar betroffen durch pseudonymisierte Bestell-IDs, ohne dass der Auftragsverarbeiter diese Personen identifizieren kann

§ 5 Pflichten des Auftragsverarbeiters

5.1 Weisungsgebundenheit

• Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO).
• Die App-Funktionalität — wie in den AGB und der technischen Dokumentation beschrieben — stellt die dokumentierte Weisung dar.
• Sollte der Auftragsverarbeiter der Auffassung sein, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Bestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

5.2 Vertraulichkeit

Alle mit der Datenverarbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Auftragsverhältnisses fort.

5.3 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 28 Abs. 3 lit. c i. V. m. Art. 32 DSGVO. Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist berechtigt, alternative adäquate Maßnahmen umzusetzen, sofern das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird.

5.4 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit eine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Bei Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen. Der Verantwortliche hat die Möglichkeit, innerhalb von 14 Tagen nach Zugang der Information Widerspruch gegen die Änderung einzulegen. Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeitern die gleichen Datenschutzpflichten auferlegt werden, die in diesem AVV festgelegt sind.

5.5 Unterstützung des Verantwortlichen

• Bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) unterstützt der Auftragsverarbeiter den Verantwortlichen im Rahmen seiner technischen Möglichkeiten.
• Bei Datenschutz-Folgenabschätzungen (Art. 35–36 DSGVO) unterstützt der Auftragsverarbeiter den Verantwortlichen auf Anfrage.
• Bei Datenschutzverletzungen gilt § 7 dieses AVV.

5.6 Löschung und Rückgabe

Nach Beendigung des Auftrags (Deinstallation der App) erfolgt die vollständige Löschung aller personenbezogenen Daten. Die Löschung erfolgt automatisch über den Shopify shop/redact-Webhook innerhalb von 48 Stunden nach Deinstallation. App-spezifische Metafields werden von Shopify automatisch entfernt.

5.7 Nachweispflichten

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten Prüfer sind nach angemessener Vorankündigung und unter Wahrung der Vertraulichkeit sowie der Geschäftsgeheimnisse des Auftragsverarbeiters möglich.

§ 6 Pflichten des Verantwortlichen

• Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich (Art. 24 DSGVO).
• Er hat sicherzustellen, dass die betroffenen Personen über die Datenverarbeitung durch die App informiert werden (z. B. in seiner eigenen Datenschutzerklärung).
• Weisungen sind schriftlich oder in Textform (z. B. per E-Mail) zu erteilen.

§ 7 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens:

• Die Art der Verletzung des Schutzes personenbezogener Daten
• Die betroffenen Datenkategorien und die ungefähre Anzahl der betroffenen Personen
• Die wahrscheinlichen Folgen der Verletzung
• Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen

(3) Die Meldung erfolgt per E-Mail an die bei der App-Installation hinterlegte E-Mail-Adresse des Verantwortlichen.

§ 8 Übermittlung in Drittländer

(1) Die Datenverarbeitung erfolgt grundsätzlich in Deutschland bei der Hetzner Online GmbH.

(2) Shopify Inc. als Plattformanbieter hat seinen Sitz in Kanada und betreibt Server in den USA. Die Datenübermittlung an Shopify erfolgt auf Grundlage von EU-Standardvertragsklauseln (SCCs) sowie gegebenenfalls eines Angemessenheitsbeschlusses der EU-Kommission für Kanada.

(3) Darüber hinaus findet keine Übermittlung personenbezogener Daten in Drittländer statt.

§ 9 Haftung

Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie nach den Regelungen in den AGB.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.