Vereinbarung zur Auftragsverarbeitung

1. Parteien und Gegenstand

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten im Auftrag zwischen dem Händler, der die App „Zuarbito“ in seinem Shopify-Shop einsetzt (nachfolgend „Verantwortlicher“), und Engin Ucar, Overbruckstr. 73, 47166 Duisburg (nachfolgend „Auftragsverarbeiter“). Sie ist Bestandteil des Nutzungsvertrags über die App und gilt, sobald der Verantwortliche ihr in der App zustimmt.

Gegenstand ist die Verarbeitung der in Anlage 1 beschriebenen Daten zur Klärung personalisierter Bestellungen: fehlende Angaben und Dateien anfordern, Kundeneingaben entgegennehmen, Entwürfe und Freigaben verwalten sowie Produktionsunterlagen bereitstellen.

2. Dauer

Die Vereinbarung gilt für die Dauer des Nutzungsvertrags. Sie endet mit der Deinstallation der App; die Pflichten zur Löschung nach Ziffer 9 bestehen darüber hinaus.

3. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Besondere Kategorien personenbezogener Daten sind nicht Gegenstand dieser Vereinbarung.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche durch die Installation der App, durch die Einstellungen in der App (Regeln, Automatik, Vorlagen, Aufbewahrungsfristen, Versandsperren) sowie in Textform an support@zuarbito.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit.

Die Verarbeitung findet in der Europäischen Union statt; zur Übermittlung in Drittländer gilt Ziffer 7.

5. Pflichten des Auftragsverarbeiters

• Er verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und überprüft sie regelmäßig.
• Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen, soweit es die Art der Verarbeitung und die ihm verfügbaren Informationen erlauben. Auskunfts- und Löschanfragen, die über Shopify eingehen, bearbeitet die App innerhalb von 30 Tagen.
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an die im Shop hinterlegte E-Mail-Adresse.
• Er stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach Ziffer 8.
• Er führt ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich entsprechend dieser Vereinbarung.

Beabsichtigt der Auftragsverarbeiter, Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorher in der App oder per E-Mail an die im Shop hinterlegte Adresse. Der Verantwortliche kann der Änderung aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag durch Deinstallation beenden.

Shopify ist kein Unterauftragsverarbeiter des Auftragsverarbeiters, sondern die vom Verantwortlichen selbst beauftragte Plattform.

7. Verarbeitung in Drittländern

Server und Datenbank stehen in Lauterbourg, Frankreich (EU), die Dateien in Nürnberg, Deutschland. Für den E-Mail-Versand nutzt der Auftragsverarbeiter Resend (Plus Five Five, Inc.) (USA, Versand über Irland); dabei werden E-Mail-Adresse, Name, Bestellnummer und Nachrichtentext an den Provider übermittelt. Beim E-Mail-Versand über Resend werden Konto- und Nachrichtendaten in den USA gespeichert. Grundlage sind laut Anbieter die Standardvertragsklauseln der EU und die Zertifizierung nach dem EU-US Data Privacy Framework. Server und Datenbank stehen bei Contabo in Lauterbourg (Frankreich, EU), die hochgeladenen Dateien bei Hetzner in Deutschland.

8. Kontrollrechte

Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen, indem er Auskünfte und Nachweise anfordert, etwa die Beschreibung der Maßnahmen nach Anlage 2 und die Nachweise der Unterauftragsverarbeiter. Prüfungen vor Ort sind nach Ankündigung mit angemessener Frist und ohne Störung des Betriebs möglich; liegen gleichwertige Nachweise vor, kann der Auftragsverarbeiter darauf verweisen.

9. Löschung und Rückgabe

Während der Laufzeit löscht die App Daten nach den in der App eingestellten Fristen: Dateien abgeschlossener oder stornierter Aufträge nach der Aufbewahrungsfrist (Standard 90 Tage), Produktionsexporte nach 24 Stunden, nicht genutzte Vorab-Uploads nach 24 Stunden, Kundenlinks nach ihrem Ablauf (höchstens 7 Tage). Der Verantwortliche kann Produktionsunterlagen und Dateien jederzeit über die App exportieren.

Nach der Deinstallation enden Kundenlinks und geplante Nachrichten sofort. Mit der von Shopify ausgelösten Löschanforderung (in der Regel 48 Stunden nach der Deinstallation) löscht der Auftragsverarbeiter alle Daten des Shops einschließlich der Dateien; bis dahin bleiben sie für eine Neuinstallation erhalten. Sicherungskopien werden nach 30 Tage überschrieben. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

10. Schlussbestimmungen

Für Haftung, anwendbares Recht und Gerichtsstand gelten die Nutzungsbedingungen. Bei Widersprüchen zwischen dieser Vereinbarung und den Nutzungsbedingungen geht in Fragen des Datenschutzes diese Vereinbarung vor. Die deutsche Fassung ist maßgeblich; die englische Fassung dient der Information.

Version 1.0 (04.11.2026). Auftragsverarbeiter: Engin Ucar, Deutschland.

Anlage 1: Verarbeitung im Überblick

Anlage 2: Technische und organisatorische Maßnahmen

• Zugangskontrolle: Server nur über Schlüssel-Login, Firewall mit den Ports 22, 80 und 443, automatische Sicherheitsupdates, Sperre nach wiederholten Anmeldeversuchen.
• Verschlüsselung: TLS für alle Verbindungen; sensible Felder (Kontaktdaten, Eingaben, Entwurfsnotizen, Zugriffstoken) zusätzlich mit AES-256-GCM in der Datenbank verschlüsselt; Schlüssel getrennt von den Sicherungen aufbewahrt.
• Mandantentrennung: Jeder Datensatz trägt die Shop-Kennung; Datenbankregeln verhindern Verknüpfungen zwischen Shops; Zugriff nur über die verifizierte Shopify-Session.
• Kundenlinks: zufällige Token mit mindestens 128 Bit, nur als Hash gespeichert, Ablauf nach höchstens 7 Tagen, widerrufbar, keine Indexierung durch Suchmaschinen, keine zustandsändernden Aufrufe über Links.
• Dateien: Quarantäne bis zur Prüfung auf Schadsoftware, Typ- und Größenprüfung unabhängig vom Dateinamen, Auslieferung nur über kurzlebige signierte Adressen.
• Protokollierung: technische Ereignisse mit Kennungen, ohne Tokens, Portal-Adressen oder personenbezogene Rohdaten; Verlaufsprotokoll je Auftrag in der App.
• Verfügbarkeit: tägliche Sicherung der Datenbank und Spiegel der Dateien beim Objektspeicher-Anbieter, Aufbewahrung 30 Tage, Wiederherstellung geprüft.
• Löschung: Aufbewahrungsfristen in der App, Datenschutzanfragen über Shopify innerhalb von 30 Tagen, Löschung des Shops nach der Deinstallation.
• Organisation: Zugriff auf die Produktionsumgebung nur durch den Auftragsverarbeiter; Zugangsdaten im Passwortmanager; Änderungen über versionierten Code mit automatisierten Tests.

Anlage 3: Unterauftragsverarbeiter

Version 1.0 (04.11.2026). Händler stimmen dieser Fassung beim ersten Öffnen der App zu.