Vertrag zur Auftragsverarbeitung

Fassung 1.0 vom 12. Oktober 2026

Dieser Vertrag regelt, wie wir personenbezogene Daten in deinem Auftrag verarbeiten, wenn du die Shopify-App „DV Surcharge, Fees & Discounts“ (die App) nutzt. Er erfüllt die Anforderungen von Art. 28 DSGVO, ist Anlage unserer Nutzungsbedingungen und kommt mit ihnen zustande, wenn du die App installierst. Du kannst diese Seite speichern oder drucken.

1. Vertragsparteien

Der oben genannte Anbieter ist Auftragsverarbeiter („wir“). Verantwortlicher („du“) ist der Händler, der die App in seinem Shopify-Shop installiert.

2. Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten für dich nur, um die App bereitzustellen, wie in unserer Datenschutzerklärung beschrieben. Dieser Vertrag beginnt mit der Installation der App und endet, wenn die App deinstalliert ist und die Daten nach Abschnitt 11 gelöscht sind.

3. Art und Zweck der Verarbeitung

Wir erheben Daten über die Schnittstellen von Shopify, speichern, lesen, nutzen und löschen sie, um:

• Zuschläge und Rabatte nach deinen Regeln zu berechnen und Warenkörben, Bestellentwürfen und Bestellungen hinzuzufügen;
• die Zuschläge im Warenkorb deines Onlineshops anzuzeigen, über das Skript der App in deinem Theme;
• das Zuschlagsprotokoll zu führen, seine Zahlen zu zeigen und es als CSV-Datei bereitzustellen;
• Zuschlagszeilen zusammen mit der Ware als erfüllt zu melden;
• deine Supportanfragen zu beantworten.

4. Art der Daten und betroffene Personen

• Betroffene Personen: die Kunden deines Shops; deine Mitarbeiter, soweit ihre Daten in Supportanfragen stehen oder in den Sitzungstoken des Shopify-Admins, die die App prüft.
• Bestelldaten, von Shopify gelesen: Kennungen und Nummern von Bestellungen und Bestellentwürfen, ihre Positionen, Mengen, Beträge und der Versandstatus der Positionen.
• Zuschlagsprotokoll: Bestellnummer und Bestellkennung, Datum, Währung, Regel, Bezeichnung, Art, Betrag, Menge, Weg in die Bestellung und ein Abbild der Regel.
• Einträge im Browser deiner Kunden: Warenkorbkennung, Prüfwerte und Zeitpunkte, wie in Abschnitt 4 der Datenschutzerklärung beschrieben. Sie bleiben im Browser; wir erhalten sie nicht.
• Von Shopify weitergeleitete Anfragen von Kunden: Kennung, E-Mail-Adresse und Telefonnummer des Kunden und die betroffenen Bestellkennungen. Die App nimmt nur die Bestellkennungen und speichert und protokolliert den Rest nicht.
• Supportanfragen: die Daten deiner Kunden oder Mitarbeiter, die du uns schickst.

Die App verarbeitet keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

5. Deine Weisungen

Wir verarbeiten die Daten nur auf deine dokumentierte Weisung, auch was eine Übermittlung in ein Drittland betrifft, es sei denn, das Recht der EU oder Deutschlands verpflichtet uns zur Verarbeitung; dann teilen wir dir das vorher mit, sofern das Recht es nicht verbietet. Deine Weisungen sind dieser Vertrag, die Regeln und Einstellungen, die du in der App vornimmst, und Weisungen per E-Mail an die Kontaktadresse unten. Halten wir eine Weisung für einen Verstoß gegen Datenschutzrecht, sagen wir es dir unverzüglich.

6. Vertraulichkeit

Zugang zu den Daten haben nur Personen, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Sicherheit der Verarbeitung

Wir treffen diese technischen und organisatorischen Maßnahmen (Art. 32 DSGVO):

• Standort: der Server läuft in einem Rechenzentrum der Hetzner Online GmbH in Deutschland.
• Verschlüsselung: Zugangsschlüssel und der Inhalt des Zuschlagsprotokolls werden verschlüsselt gespeichert (AES-256-GCM); alle Verbindungen laufen über TLS.
• Zugriff: die Seiten der App im Shopify-Admin öffnen sich nur mit einem gültigen Sitzungstoken von Shopify, und jede Abfrage ist auf den Shop beschränkt, von dem sie kommt. Den Zugang zur Verwaltung des Servers haben nur wir.
• Datensparsamkeit: Shopify schickt der App von Bestellungen und Bestellentwürfen nur die Kennung; das Zuschlagsprotokoll enthält keine Namen, Anschriften, E-Mail-Adressen oder Zahlungsdaten; die Serverprotokolle enthalten keine IP-Adressen und werden nach etwa zwei Wochen überschrieben.
• Löschung: die App löscht Daten automatisch bei der Deinstallation und auf die Löschanfragen von Shopify (shop/redact, customers/redact).
• Prüfung: jede Änderung an der App durchläuft vor der Veröffentlichung automatische Tests.

Wir dürfen diese Maßnahmen dem technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

8. Unterauftragnehmer

Du bist einverstanden, dass wir diese Unterauftragnehmer einsetzen:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Betrieb des Servers in einem Rechenzentrum in Deutschland.
• ALL-INKL.COM - Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland: Postfach für Supportanfragen.

Wir verpflichten jeden Unterauftragnehmer vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Über eine geplante Ergänzung oder einen Wechsel informieren wir dich mindestens 14 Tage vorher per E-Mail an die E-Mail-Adresse deines Shops bei Shopify. Du kannst in dieser Frist widersprechen; können wir deinem Widerspruch nicht in zumutbarer Weise Rechnung tragen, kannst du den Vertrag durch Deinstallation der App beenden.

Shopify ist nicht unser Unterauftragnehmer: Shopify hast du selbst als Plattform für deinen Shop gewählt, und für die dort gespeicherten Daten gilt dein Vertrag mit Shopify.

9. Rechte der betroffenen Personen

Wir unterstützen dich bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO): du siehst das Zuschlagsprotokoll jeder Bestellung in der App und kannst es als CSV-Datei herunterladen, und die App löscht die Protokolleinträge einer Bestellung automatisch, wenn Shopify die Löschanfrage eines Kunden weiterleitet (customers/redact). Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an dich weiter.

10. Unterstützung bei deinen weiteren Pflichten

Wir unterstützen dich bei deinen Pflichten aus Art. 32 bis 36 DSGVO, soweit uns die Informationen vorliegen. Eine Verletzung des Schutzes personenbezogener Daten, die deine Daten betrifft, melden wir dir unverzüglich, spätestens 24 Stunden nachdem wir sie bemerkt haben, per E-Mail an die E-Mail-Adresse deines Shops bei Shopify, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit wir sie haben.

11. Löschung und Rückgabe

Bei der Deinstallation löscht die App die Zugangsschlüssel und das gesamte Zuschlagsprotokoll deines Shops; die Anfrage von Shopify, die Daten eines Shops zu löschen (shop/redact), löscht dasselbe. Vor der Deinstallation kannst du das Protokoll als CSV-Datei herunterladen. Sicherungskopien gibt es nicht. Support-E-Mails löschen wir, sobald wir sie nicht mehr brauchen, sofern uns das Gesetz nicht zur Aufbewahrung verpflichtet (§ 257 HGB).

12. Nachweise und Kontrollen

Wir stellen dir alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglichen Überprüfungen, einschließlich Inspektionen, durch dich oder einen von dir beauftragten Prüfer und tragen dazu bei. Bitte kündige Überprüfungen mindestens 14 Tage vorher an; sie finden zu den Geschäftszeiten statt, ohne den Betrieb zu stören. Externe Prüfer können wir um eine Vertraulichkeitsvereinbarung bitten.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Regeln zur Haftung in unseren Nutzungsbedingungen.

14. Schlussbestimmungen

In Fragen des Datenschutzes geht dieser Vertrag den Nutzungsbedingungen vor. Wir dürfen diesen Vertrag ändern, wenn das Gesetz oder ein Wechsel der Unterauftragnehmer es erfordert; wir informieren dich vorher wie in Abschnitt 8. Es gilt deutsches Recht. Diesen Vertrag gibt es auf Deutsch und Englisch; bei Abweichungen gilt die deutsche Fassung.

15. Kontakt

apps@dgtvsn.de