Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

zwischen dem Händler (Betreiber des Shopify-Shops, der die App installiert hat), im Folgenden „Auftraggeber“, und der 401layers UG (haftungsbeschränkt), Dorothea-Erxleben-Straße 1a, 40721 Hilden, im Folgenden „Auftragnehmer“.

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen für die Nutzung der Shopify-App „GPSR Compliance Manager“ (im Folgenden „Hauptvertrag“). Er kommt mit dem Abschluss des Hauptvertrags zustande, ohne dass es einer gesonderten Unterschrift bedarf.

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Bereitstellung der App) erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortgelten (insbesondere § 5), bleiben bestehen.
3. Soweit der Auftragnehmer Daten zu eigenen Zwecken verarbeitet (z. B. Abrechnungs- und Shopdaten, Sicherheit, Produktanalyse), ist er hierfür selbst Verantwortlicher; es gilt die Datenschutzerklärung. Diese Verarbeitungen sind nicht Gegenstand dieses Vertrags.

§ 2 Weisungen

1. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die App ist ein standardisierter Dienst. Weisungen des Auftraggebers sind abschließend der Hauptvertrag, diese Vereinbarung und die Nutzung der Funktionen der App durch den Auftraggeber. Weitere Einzelweisungen sind nur wirksam, wenn der Auftragnehmer sie in Textform bestätigt; sie gelten als Änderungswunsch und werden nach § 8 Abs. 4 vergütet. Der Auftragnehmer ist nicht verpflichtet, Weisungen auszuführen, die technisch nicht oder nur mit unverhältnismäßigem Aufwand umsetzbar sind, den vereinbarten Leistungsumfang ändern oder die Sicherheit oder Rechte anderer Kunden beeinträchtigen würden.
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. Er ist berechtigt, die Ausführung dieser Weisung auszusetzen, bis sie bestätigt oder geändert wird. Eine umfassende rechtliche Prüfung der Weisungen schuldet er nicht.

§ 3 Pflichten des Auftragnehmers

1. Vertraulichkeit. Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Sicherheit. Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf die Maßnahmen ändern und weiterentwickeln, solange das vereinbarte Schutzniveau nicht wesentlich unterschritten wird.
3. Betroffenenrechte. Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen durch die Funktionen der App (Export, Bearbeitung, Löschung). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter oder verweist die Person an ihn und antwortet nicht inhaltlich, außer nach Weisung.
4. Weitere Unterstützung. Darüber hinaus unterstützt der Auftragnehmer den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde), soweit das Gesetz dies verlangt und der Auftraggeber die Unterstützung in Textform anfordert. Unterstützung, die über einen geringfügigen Aufwand hinausgeht, wird nach § 8 Abs. 4 vergütet.
5. Meldung von Verletzungen. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten in seinem Verantwortungsbereich unverzüglich nach Kenntniserlangung an die in Shopify hinterlegte E-Mail-Adresse des Auftraggebers, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung ist kein Anerkenntnis einer Pflichtverletzung oder Haftung. Die Meldung an Aufsichtsbehörden und betroffene Personen (Art. 33 Abs. 1, Art. 34 DSGVO) obliegt dem Auftraggeber.
6. Verzeichnis. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 4 Pflichten des Auftraggebers

1. Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO. Er ist allein dafür verantwortlich, dass die Verarbeitung der Daten rechtmäßig ist, dass er die Daten Dritter (insbesondere Hersteller, Importeure, verantwortliche Personen, Besucher seines Shops) in der App verwenden darf, dass er die betroffenen Personen informiert und dass seine Weisungen rechtmäßig sind.
2. Der Auftraggeber informiert insbesondere die Besucher seines Shops in seiner Datenschutzerklärung über den Einsatz der App-Blöcke und über die Funktion „GPSR-Widget für Nicht-EU-Länder ausblenden“ (Übermittlung der IP-Adresse an geo.gpsrmanager.com, Speicherung im sessionStorage) und holt, soweit nach § 25 TDDDG oder Art. 6 DSGVO erforderlich, eine Einwilligung ein.
3. Der Auftraggeber gibt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) in die App ein.
4. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt, und hält die in Shopify hinterlegte E-Mail-Adresse für Meldungen nach § 3 Abs. 5 aktuell.
5. Dieser Vertrag regelt die Verarbeitung nach der DSGVO. Anforderungen anderer Rechtsordnungen, die für den Auftraggeber gelten (z. B. bei Sitz oder Kunden außerhalb der EU/des EWR), sind nicht Gegenstand dieses Vertrags; der Auftraggeber ist dafür allein verantwortlich.
6. Der Auftraggeber stellt den Auftragnehmer von Ansprüchen betroffener Personen, Behörden und sonstiger Dritter frei, die darauf beruhen, dass der Auftraggeber gegen diesen Vertrag, gegen Datenschutzrecht oder gegen sonstige Gesetze verstoßen hat, insbesondere durch fehlende Rechtsgrundlagen, unterlassene Informationen, unzulässige Weisungen oder die Eingabe unzulässiger Daten. Die Freistellung umfasst die angemessenen Kosten der notwendigen Rechtsverteidigung. § 10 Abs. 2 der AGB gilt entsprechend.

§ 5 Löschung und Rückgabe

1. Der Auftraggeber kann die in der App erfassten Daten selbst exportieren, bearbeiten und löschen. Die Inhalte liegen in den Metafeldern und Metaobjekten seines Shops bei Shopify und unterliegen dessen Regeln. Der Auftraggeber ist selbst dafür verantwortlich, Daten vor der Deinstallation zu sichern.
2. Nach Beendigung des Hauptvertrags (Deinstallation der App) löscht der Auftragnehmer die zum Shop gespeicherten Daten spätestens mit der von Shopify ausgelösten Löschmitteilung (in der Regel 48 Stunden nach der Deinstallation) und löscht Sitzungsdaten sofort mit der Deinstallation, es sei denn, nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht eine Pflicht zur Speicherung oder die Daten werden zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt. Backups und Protokolle werden im Rahmen der regulären Zyklen gelöscht.
3. Eine gesonderte Herausgabe oder Wiederherstellung von Daten durch den Auftragnehmer erfolgt nicht, weil der Auftraggeber die Daten in seinem Shop und über die Exportfunktion selbst vorhalten kann. Auf Verlangen in Textform bestätigt der Auftragnehmer die Löschung.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragsverarbeiter (einschließlich deren verbundener Unternehmen und Unterauftragnehmer) einzusetzen. Zum Zeitpunkt des Vertragsschlusses sind die in Anlage 3 genannten Unterauftragsverarbeiter genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung) mindestens 30 Tage im Voraus in Textform (E-Mail oder Hinweis in der App) oder durch Aktualisierung von Anlage 3 mit entsprechender Mitteilung. Ist eine Ersetzung zur Wahrung der Sicherheit, zur Behebung einer Störung oder aus rechtlichen Gründen dringend, genügt eine unverzügliche Information; die Frist verkürzt sich entsprechend.
3. Der Auftraggeber kann der Änderung nur aus einem wichtigen datenschutzrechtlichen Grund innerhalb von 14 Tagen nach der Information in Textform unter Angabe der Gründe widersprechen. Nach einem Widerspruch kann der Auftragnehmer auf die Änderung verzichten oder sie vornehmen; im zweiten Fall kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Die Kündigung ist der einzige Rechtsbehelf des Auftraggebers. Ohne fristgemäßen Widerspruch gilt die Änderung als genehmigt.
4. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind. Er haftet gegenüber dem Auftraggeber für die Erfüllung dieser Pflichten nach Maßgabe von § 9.
5. Die Dienste von Shopify (Plattform, Shopify-Konto, Abrechnung) sind keine Unterauftragsverarbeitung durch den Auftragnehmer. Shopify wird vom Auftraggeber selbst beauftragt.

§ 7 Übermittlung in Drittländer

Der Auftragnehmer übermittelt personenbezogene Daten nur in Länder außerhalb der EU/des EWR, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln der EU-Kommission. Der Auftraggeber stimmt den in Anlage 3 genannten Übermittlungen zu und weist den Auftragnehmer an, sie vorzunehmen. Übermittlungen, die der Auftraggeber selbst veranlasst (z. B. Datenabruf aus seinem Shop oder Weitergabe durch Shopify), sind nicht Gegenstand dieses Vertrags.

§ 8 Nachweise und Kontrollen

1. Nachweise. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage in Textform die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, insbesondere die Beschreibung der Maßnahmen (Anlage 2), die Liste der Unterauftragsverarbeiter (Anlage 3) und aktuelle Zertifikate oder Berichte der Unterauftragsverarbeiter. Eine solche Anfrage ist einmal in zwölf Monaten kostenfrei. Weitere Anfragen und Fragebögen, die über diese Unterlagen hinausgehen, werden nach Absatz 4 vergütet.
2. Kontrollen. Weitergehende Kontrollen (Prüfungen vor Ort, Prüfungen aus der Ferne oder online einschließlich Einsicht in Systeme, Konfigurationen oder Protokolle, Interviews) sind nur zulässig, wenn
   • die Nachweise nach Absatz 1 im Einzelfall nicht ausreichen oder ein konkreter Anlass besteht (z. B. ein Sicherheitsvorfall oder die Anordnung einer Aufsichtsbehörde),
   • der Auftraggeber sie mindestens 30 Tage vorher in Textform mit Prüfplan und Umfang ankündigt,
   • sie höchstens einmal in zwölf Monaten stattfinden, es sei denn, ein Sicherheitsvorfall oder eine behördliche Anordnung erfordert eine weitere Kontrolle, und
   • sie durch unabhängige, zur Verschwiegenheit verpflichtete Prüfer erfolgen, die weder Wettbewerber des Auftragnehmers sind noch von einem solchen beauftragt wurden.
3. Umfang. Die Kontrolle erstreckt sich nur auf die eigenen Systeme und Prozesse des Auftragnehmers, soweit sie für die Verarbeitung der Daten des Auftraggebers erforderlich sind. Ausgenommen sind Daten, Systeme und Informationen anderer Kunden, Geschäftsgeheimnisse und der Quellcode. Die Rechenzentren und Systeme der Unterauftragsverarbeiter sind nicht Gegenstand der Kontrolle; insoweit genügen deren Zertifikate und Berichte. Die Kontrolle erfolgt während der üblichen Geschäftszeiten und ohne Störung des Betriebs.
4. Kosten. Der Auftraggeber trägt sämtliche Kosten jeder Kontrolle nach Absatz 2 sowie jeder weiteren Anfrage nach Absatz 1 Satz 3, auch bei Prüfungen aus der Ferne oder online. Dazu zählen die Kosten seiner Prüfer und der Aufwand des Auftragnehmers (Vergütung nach Zeitaufwand zu einem angemessenen Stundensatz, den der Auftragnehmer vorab mitteilt, zuzüglich Umsatzsteuer, sowie Auslagen). Der Auftragnehmer kann einen Vorschuss auf den geschätzten Aufwand verlangen. Ergibt die Kontrolle einen wesentlichen, vom Auftragnehmer zu vertretenden Verstoß gegen diesen Vertrag, trägt der Auftragnehmer seinen eigenen Aufwand selbst.
5. Pflichten des Auftragnehmers gegenüber Aufsichtsbehörden bleiben unberührt.

§ 9 Haftung

1. Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags (§ 7 AGB). Die dortigen Haftungsbeschränkungen und Höchstbeträge gelten einheitlich für den Hauptvertrag und diesen Vertrag zusammen und werden nicht addiert.
2. Ansprüche betroffener Personen nach Art. 82 DSGVO werden dadurch nicht beschränkt. Im Innenverhältnis haftet jede Partei nach Art. 82 Abs. 5 DSGVO nur für den Teil des Schadens, der ihrer Verantwortung entspricht. Der Auftragnehmer haftet nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder rechtmäßige Weisungen des Auftraggebers nicht beachtet oder gegen sie gehandelt hat.
3. Der Auftragnehmer haftet nicht für Schäden, die darauf beruhen, dass er einer Weisung des Auftraggebers gefolgt ist, dass der Auftraggeber seine Pflichten nach § 4 verletzt hat oder dass Daten aufgrund von Handlungen des Auftraggebers oder seiner Mitarbeiter (z. B. Weitergabe von Zugangsdaten) in unbefugte Hände gelangt sind. § 4 Abs. 6 bleibt unberührt.
4. Gegen eine Partei verhängte Bußgelder trägt diese selbst; ein Rückgriff auf die andere Partei ist, soweit gesetzlich zulässig, ausgeschlossen.

§ 10 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags für die Verarbeitung personenbezogener Daten vor. Im Übrigen, insbesondere für Vergütung, Haftung und Laufzeit, gilt der Hauptvertrag. Dieser Vertrag erweitert den Leistungsumfang der App nicht.
2. Die Laufzeit dieses Vertrags ist an den Hauptvertrag gekoppelt; er kann nicht gesondert gekündigt werden. Änderungen dieses Vertrags richten sich nach § 9 der AGB. Der Auftragnehmer kann den Vertrag außerdem anpassen, soweit dies zur Einhaltung zwingenden Rechts, behördlicher Anforderungen, der Rechtsprechung oder neuer Standardvertragsklauseln erforderlich ist, und teilt dies mindestens 30 Tage vorher in Textform mit.
3. Mitteilungen nach diesem Vertrag erfolgen in Textform, an den Auftraggeber an die in Shopify hinterlegte E-Mail-Adresse oder in der App, an den Auftragnehmer an gpsrcompliancemanager@gmail.com.
4. Es gilt deutsches Recht. Gerichtsstand ist § 12 Abs. 2 der AGB.
5. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

---

Anlage 1 – Gegenstand der Verarbeitung

Punkt	Beschreibung
Art und Zweck	Bereitstellung der App: Erfassen, Speichern in den Metafeldern/Metaobjekten des Shops und Anzeigen von GPSR-bezogenen Produktinformationen; automatische Regeln, Massenbearbeitung, Import/Export, Garantie-/Haltbarkeitshinweise; Auslieferung von Label-Grafiken; Funktion „GPSR-Widget für Nicht-EU-Länder ausblenden“; Support.
Kategorien betroffener Personen	(1) Mitarbeiter und Inhaber des Auftraggebers, die die App nutzen; (2) natürliche Personen, deren Daten der Auftraggeber in Hersteller-, Importeur- oder Verantwortliche-Person-Datensätzen oder in Textfeldern erfasst (z. B. Einzelunternehmer, Ansprechpartner); (3) Besucher des Shops des Auftraggebers.
Arten von Daten	Namen, Geschäftsanschriften, E-Mail-Adressen und Websites; Shopify-Benutzerkennung, Name und E-Mail-Adresse von Shop-Benutzern; IP-Adresse, User-Agent, Referrer und Zeitpunkt der Anfrage von Besuchern; technische Kennungen (Sitzung, Request); vom Auftraggeber frei eingegebene Texte.
Besondere Datenkategorien	Keine. Der Auftraggeber gibt solche Daten nicht ein (§ 4 Abs. 3).
Kunden- und Bestelldaten	Nicht verarbeitet. Die App fordert keinen Zugriff auf Kunden- und Bestelldaten an.
Dauer / Löschung	Siehe § 5. Webhook-Ereignisse 7 Tage, Hintergrundaufträge 30 Tage, Änderungsprotokoll 180 Tage.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit
   • Zugriff auf Produktionssysteme und Datenbank nur für befugte Personen, zweckgebunden und nach dem Prinzip der geringsten Berechtigung.
   • Authentifizierung der App-Aufrufe über Shopify-Sitzungstoken; Prüfung der HMAC-Signatur eingehender Shopify-Webhooks und der Signatur von App-Proxy-Anfragen; geschützte Endpunkte für geplante Aufgaben.
   • Mandantentrennung: Datenzugriffe erfolgen stets bezogen auf die Shop-Domain.
   • Zugriffstoken und Geheimnisse werden aus Protokollen entfernt (Redaction); Geheimnisse liegen in der Umgebungskonfiguration, nicht im Quellcode.
2. Integrität
   • Verschlüsselte Übertragung (TLS) zwischen Browser, App, Shopify und Datenbank.
   • Änderungsprotokoll über Schreibzugriffe auf Shop-Daten (ohne Inhalte, mit Prüfsummen).
   • Idempotente Verarbeitung von Webhooks (Ereignis-Kennung), Validierung von Eingaben.
3. Verfügbarkeit und Belastbarkeit
   • Betrieb auf professionell gehosteter Infrastruktur (Vercel, AWS, Hetzner) mit eigenen Sicherheits- und Zertifizierungsstandards (z. B. ISO 27001, SOC 2).
   • Datenbank mit vorgeschaltetem Verbindungs-Pooler (PgBouncer); Wiederherstellbarkeit der Datenbank nach Möglichkeiten des Hosting-Anbieters.
   • Wiederaufnehmbare Hintergrundaufträge und Wiederholungsstrategien bei Schnittstellenfehlern.
4. Datenminimierung und Löschung
   • Keine Speicherung von Kunden- und Bestelldaten; Inhalte der Compliance-Daten liegen im Shop des Auftraggebers.
   • Automatische Löschung nach festen Fristen sowie vollständige Löschung nach Deinstallation (shop/redact).
5. Organisation
   • Verpflichtung zur Vertraulichkeit; regelmäßige Aktualisierung von Abhängigkeiten und Prüfung auf bekannte Schwachstellen; Prozess für Sicherheitsvorfälle und Meldungen nach Art. 33 DSGVO.
   • Sorgfältige Auswahl und vertragliche Bindung von Unterauftragsverarbeitern.

Anlage 3 – Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Verarbeitungsort / Garantien
Vercel Inc.	Hosting der App, Edge-Auslieferung, Server-Protokolle	USA und weltweite Edge-Standorte; Standardvertragsklauseln und/oder EU-US Data Privacy Framework
Amazon Web Services (AWS), Vertragspartner Amazon Web Services EMEA SARL	Hosting der PostgreSQL-Datenbank mit vorgeschaltetem PgBouncer-Pooler	Region Frankfurt am Main (eu-central-1), EU; Standardvertragsklauseln bei Drittlandbezug
Hetzner Online GmbH	Server-Hosting des Dienstes geo.gpsrmanager.com (Zuordnung der IP-Adresse zu EU/Nicht-EU)	Gunzenhausen, Deutschland (EU)
Google Ireland Limited	E-Mail-Postfach für Support-Korrespondenz (Gmail)	Irland / USA; Standardvertragsklauseln und/oder EU-US Data Privacy Framework

Der Dienst geo.gpsrmanager.com (Zuordnung der IP-Adresse zu EU/Nicht-EU; ältere Installationen: ipinfo.gpsrmanager.com) wird vom Auftragnehmer auf einem Server der Hetzner Online GmbH betrieben. Die Server-Protokolle (u. a. IP-Adresse, Zeitpunkt) werden nach spätestens 30 Tagen gelöscht.

PostHog (Produktanalyse) und Crisp (Support-Chat) werden vom Auftragnehmer zu eigenen Zwecken eingesetzt (siehe Datenschutzerklärung) und verarbeiten keine Inhalte der Compliance-Daten im Auftrag des Auftraggebers.

Stand: 30.10.2026