Vereinbarung zur Auftragsverarbeitung

(1) Diese AVV gilt für jede Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung, des Betriebs, der Wartung und des Supports der Shopify-App PPWR-Regeltreue für den Verantwortlichen durchführt.

(2) Gegenstand und Dauer, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten sowie Kategorien betroffener Personen sind in Anlage 1 festgelegt. Die technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 2. Die genehmigten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Die Anlagen sind Bestandteil dieser AVV.

(3) Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag geht diese AVV hinsichtlich datenschutzrechtlicher Fragen vor. Zwingendes Datenschutzrecht, insbesondere die DSGVO und das BDSG, bleibt unberührt.

(4) Die Vereinbarung wird in elektronischer Form geschlossen. Dies genügt dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO. Der Download, das Ausfüllen und die elektronische oder handschriftliche Unterzeichnung der PDF-Fassung dienen der Dokumentation des Vertragsschlusses.

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, für die Wahrung der Rechte betroffener Personen und für die Zulassigkeit der Beauftragung verantwortlich. Er stellt insbesondere sicher, dass für die Übermittlung von Shop-, Bestell-, Erfüllungs- und Kundendaten an den Auftragsverarbeiter eine Rechtsgrundlage besteht.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Weisungen zur Übermittlung an Drittländer oder internationale Organisationen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(3) Die erstmaligen Weisungen ergeben sich aus dem Hauptvertrag, dieser AVV, der Nutzungskonfiguration der App und den vom Verantwortlichen in der App vorgenommenen Einstellungen. Weitere Weisungen sind in Textform an info@ppwr-regeltreue.de zu richten. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzbestimmungen, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der beanstandeten Weisung bis zu deren Bestätigung oder Änderung aussetzen. Die Pflicht zur Befolgung rechtmäßiger Weisungen bleibt unberührt.

(5) Änderungen des Verarbeitungsgegenstands und Verfahrensänderungen sind abzustimmen und in dokumentierter Form festzulegen, soweit sie über den vereinbarten Leistungsumfang hinausgehen.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur für die in Anlage 1 genannten Zwecke und nur in dem Umfang, der zur Erfüllung des Hauptvertrags erforderlich ist. Eine Verarbeitung für eigene Werbe-, Profiling-, Scoring- oder Datenhandelszwecke ist ausgeschlossen.

(2) Der Auftragsverarbeiter führt ein Verzeichnis der für den Verantwortlichen durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, soweit gesetzlich erforderlich, und arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen.

(3) Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO sowie bei der Erfüllung von Informations- und Nachweispflichten.

(4) Der Auftragsverarbeiter berichtigt, löscht oder beschränkt personenbezogene Daten nur auf dokumentierte Weisung oder wenn dies zur Erfüllung einer unmittelbar an ihn gerichteten gesetzlichen Pflicht erforderlich ist. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er feststellt, dass verarbeitete personenbezogene Daten offensichtlich unrichtig oder veraltet sind, soweit ihm dies im Rahmen der Leistungserbringung erkennbar wird.

(6) Der Auftragsverarbeiter benennt als Kontaktstelle für Datenschutz- und Weisungsfragen: info@ppwr-regeltreue.de.

(1) Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(2) Personen erhalten nur in dem Umfang Zugang zu personenbezogenen Daten, wie dies für ihre jeweilige Aufgabe erforderlich ist. Zugriffsberechtigungen werden nach dem Need-to-know- und Least-Privilege-Prinzip vergeben und bei Änderung oder Ende der Tätigkeit angepasst beziehungsweise entzogen.

(3) Der Auftragsverarbeiter sensibilisiert die mit der Verarbeitung befassten Personen für Datenschutz und Informationssicherheit und weist sie in die einschlägigen Pflichten ein.

(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

(2) Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf sie im Zuge der technischen Entwicklung anpassen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird.

(3) Der Verantwortliche prüft vor Beginn der Verarbeitung, ob die in Anlage 2 beschriebenen Maßnahmen für seine konkrete Verarbeitung und sein Risikoprofil ausreichend sind. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO dürfen nicht bestimmungsgemäß in die App eingestellt werden.

(4) Der Auftragsverarbeiter überprüft die Wirksamkeit seiner Maßnahmen regelmäßig und anlassbezogen. Sicherheitsrelevante Änderungen werden dokumentiert.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es ohne dessen Weisung nicht selbst, soweit er nicht gesetzlich hierzu verpflichtet ist.

(3) Die App unterstützt die von Shopify vorgegebenen Datenschutz-Webhooks customers/data_request, customers/redact und shop/redact. Der Verantwortliche bleibt für die inhaltliche Prüfung, fristgerechte Beantwortung und Kommunikation mit der betroffenen Person verantwortlich.

(4) Zusätzlicher Aufwand, der über die in der App vorgesehenen Funktionen und die gesetzlich geschuldete Mitwirkung hinausgeht, kann nach vorheriger Abstimmung zu angemessenen Sätzen berechnet werden, sofern der Unterstützungsbedarf nicht auf einem Verstoß des Auftragsverarbeiters beruht.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten im Zusammenhang mit der Auftragsverarbeitung unverzüglich nach Bekanntwerden. Die Meldung erfolgt an die vom Verantwortlichen angegebene Datenschutzkontaktadresse.

(2) Die Meldung enthält, soweit zum Meldezeitpunkt bekannt: Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen sowie eine Kontaktstelle für Rückfragen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Meldepflicht an die Aufsichtsbehörde nach Art. 33 DSGVO und der Benachrichtigung betroffener Personen nach Art. 34 DSGVO. Die Entscheidung über Meldung und Benachrichtigung trifft der Verantwortliche, soweit nicht zwingendes Recht den Auftragsverarbeiter unmittelbar verpflichtet.

(4) Sicherheitsvorfälle werden dokumentiert, untersucht und mit geeigneten Abhilfemaßnahmen beantwortet. Die Meldung stellt kein Anerkenntnis einer Pflichtverletzung oder Haftung dar.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei einer gegebenenfalls erforderlichen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO.

(2) Die Entscheidung, ob eine Datenschutz-Folgenabschätzung oder Konsultation erforderlich ist, obliegt dem Verantwortlichen. Zusätzliche, nicht im regulären Leistungsumfang enthaltene Mitwirkung kann nach vorheriger Vereinbarung angemessen vergütet werden, sofern der Bedarf nicht durch einen Verstoß des Auftragsverarbeiters verursacht wurde.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in geeigneter Form. Der Verantwortliche kann innerhalb von 14 Kalendertagen aus wichtigem, nachvollziehbar dargelegtem datenschutzrechtlichem Grund widersprechen.

(3) Im Falle eines begründeten Widerspruchs bemühen sich die Parteien um eine zumutbare Alternative. Ist eine Alternative wirtschaftlich oder technisch nicht zumutbar, kann jede Partei den betroffenen Dienst zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters außerordentlich kündigen. Bis zur Klärung werden dem neuen Unterauftragsverarbeiter keine Daten des widersprechenden Verantwortlichen offengelegt, soweit dies technisch und wirtschaftlich zumutbar ist.

(4) Der Auftragsverarbeiter legt dem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in dieser AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen gemäß Art. 28 Abs. 4 DSGVO für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(5) Reine Nebenleistungen ohne Zugriff auf personenbezogene Daten sowie GitHub als Entwicklungs- und Quellcodeplattform ohne Verarbeitung produktiver Kunden- oder Endkundendaten gelten nicht als Unterauftragsverarbeitung für diesen Auftrag. Erlangt ein solcher Anbieter künftig Zugriff auf Auftragsdaten, ist er vorab nach diesem Paragraphen aufzunehmen.

(1) Der Verantwortliche genehmigt die in Anlage 3 ausgewiesenen Verarbeitungen in den USA. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(2) Als Übermittlungsgrundlage dient vorrangig ein geltender Angemessenheitsbeschluss der EU-Kommission, insbesondere das EU-U.S. Data Privacy Framework, sofern der jeweilige Empfänger aktuell wirksam zertifiziert ist. Soweit kein wirksamer Angemessenheitsbeschluss greift, werden die Standardvertragsklauseln der EU-Kommission gemäß Durchführungsbeschluss (EU) 2021/914 und erforderliche zusätzliche Schutzmaßnahmen eingesetzt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen, soweit rechtlich zulässig, über verbindliche Anfragen einer Drittlandbehörde nach Auftragsdaten und prüft zumutbare Rechtsbehelfe. Er beschränkt Offenlegungen auf den rechtlich zwingenden Umfang.

(4) Der Verantwortliche nimmt zur Kenntnis, dass trotz vertraglicher und technischer Garantien bei einer Verarbeitung in den USA ein Restrisiko staatlicher Zugriffe bestehen kann. Er berücksichtigt dieses Risiko bei seiner eigenen datenschutzrechtlichen Bewertung.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten unabhängigen Prüfer.

(2) Der Nachweis soll vorrangig durch geeignete Unterlagen, Selbstauskünfte, Zertifizierungen, Prüfberichte oder Berichte der eingesetzten Hostinganbieter erbracht werden. Vor-Ort-Prüfungen sind mit einer angemessenen Frist von in der Regel 14 Kalendertagen anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf einmal pro Kalenderjahr zu beschränken, soweit kein konkreter Datenschutzvorfall oder begründeter Verdacht eine weitere Prüfung erfordert.

(3) Kontrollen dürfen den Geschäftsbetrieb, die Sicherheit der Systeme sowie Rechte und Daten anderer Kunden nicht unverhältnismäßig beeinträchtigen. Zugriff auf Quellcode, Geschäftsgeheimnisse oder Daten anderer Kunden ist ausgeschlossen, soweit nicht zwingendes Recht dies erfordert.

(4) Angemessene Kosten eines vom Verantwortlichen veranlassten Audits trägt der Verantwortliche, soweit das Audit keinen wesentlichen Verstoß des Auftragsverarbeiters ergibt. Kosten für die Behebung festgestellter eigener Verstöße trägt der Auftragsverarbeiter.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Kontrollweisung gegen Datenschutzrecht verstößt.

(1) Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht bestehende Kopien, sofern nicht Unionsrecht oder nationales Recht eine Speicherung verlangt.

(2) Der Verantwortliche kann die von der App angebotenen PDF- und CSV-Exportfunktionen während der Vertragslaufzeit zur Rückgabe beziehungsweise Sicherung seiner Daten nutzen. Ein Wunsch nach gesonderter Rückgabe ist spätestens bis zur Vertragsbeendigung in Textform mitzuteilen und nach technischer Möglichkeit umzusetzen.

(3) Erfolgt keine gesonderte Rückgabeweisung, werden die gespeicherten Shop- und Auftragsdaten innerhalb von 7 Tagen nach Deinstallation beziehungsweise Beendigung der App-Nutzung gelöscht. Gesetzlich aufzubewahrende Daten werden für andere Zwecke gesperrt und nach Ablauf der Frist gelöscht.

(4) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform. Bis zur vollständigen Löschung gelten die Pflichten dieser AVV fort.

(1) Der Verantwortliche gewährleistet die Rechtmäßigkeit der Verarbeitung, die Richtigkeit seiner Weisungen und die Erfüllung seiner Informationspflichten gegenüber betroffenen Personen.

(2) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler, Unregelmäßigkeiten oder Datenschutzverstöße in den Arbeitsergebnissen oder Systemen des Auftragsverarbeiters feststellt.

(3) Der Verantwortliche benennt eine empfangsberechtigte Kontaktstelle für Datenschutzmeldungen und hält deren Angaben aktuell. Ohne andere Mitteilung gilt die beim Shopify-Shop hinterlegte geschäftliche E-Mail-Adresse als Kontaktstelle.

(4) Der Verantwortliche stellt keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, keine Daten nach Art. 10 DSGVO und keine für den Vertragszweck nicht erforderlichen personenbezogenen Daten in die App ein.

(5) Der Verantwortliche schützt seine Shopify-Zugänge, vergibt Benutzerrechte nach dem Need-to-know-Prinzip und entzieht ausgeschiedenen oder nicht mehr berechtigten Personen den Zugriff unverzüglich.

Mit der regulären App-Vergütung sind die in dieser AVV und im Leistungsumfang vorgesehenen Standardunterstützungen abgegolten. Außergewöhnlicher Aufwand für individuelle Audits, umfangreiche Auskunftszusammenstellungen, besondere Datenformate oder spezifische Weisungen kann nach vorheriger Information und Abstimmung zu angemessenen Sätzen abgerechnet werden, sofern er nicht auf einem Verstoß des Auftragsverarbeiters beruht. Gesetzlich zwingend unentgeltlich zu erbringende Leistungen bleiben unberührt.

(1) Die Haftung der Parteien gegenüber betroffenen Personen und Aufsichtsbehörden richtet sich nach Art. 82 und 83 DSGVO sowie sonstigem zwingendem Recht. Rechte betroffener Personen werden durch diese AVV nicht beschränkt.

(2) Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags und der AGB, soweit sie nicht im Widerspruch zu zwingendem Datenschutzrecht stehen. Jede Partei stellt die andere von Ansprüchen frei, die auf einer von ihr zu vertretenden Verletzung ihrer datenschutzrechtlichen Pflichten beruhen.

(3) Die Parteien unterstützen einander bei der Aufklärung von Haftungsfällen und stellen die jeweils erforderlichen Informationen zur Verfügung.

(1) Diese AVV tritt mit Abschluss beziehungsweise Inkrafttreten des Hauptvertrags in Kraft und gilt für dessen Dauer sowie darüber hinaus, solange der Auftragsverarbeiter noch personenbezogene Daten im Auftrag verarbeitet.

(2) Eine ordentliche isolierte Kündigung dieser AVV ist ausgeschlossen. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt, insbesondere bei schwerwiegenden oder wiederholten Datenschutzverstößen, die trotz Abmahnung nicht behoben werden.

(3) Die Beendigung dieser AVV berührt fortgeltende Verschwiegenheits-, Löschungs-, Nachweis- und Haftungspflichten nicht.

(1) Änderungen und Ergänzungen dieser AVV bedürfen der Textform. Dies gilt auch für die Änderung des Textformerfordernisses. Zwingende Weisungsrechte des Verantwortlichen bleiben unberührt.

(2) Sollte eine Bestimmung unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An ihre Stelle tritt die gesetzliche Regelung; soweit eine solche fehlt, vereinbaren die Parteien eine wirksame Regelung, die dem datenschutzrechtlichen und wirtschaftlichen Zweck am nächsten kommt.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Walldorf. Zuständigkeiten von Datenschutzaufsichtsbehörden und Rechtsbehelfe betroffener Personen bleiben unberührt.

(4) Der Verantwortliche bestätigt durch Unterzeichnung beziehungsweise elektronischen Abschluss, diese AVV einschließlich aller Anlagen erhalten, gelesen und akzeptiert zu haben.