Dieser Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (nachfolgend "AVV") ist Bestandteil der Allgemeinen Geschäftsbedingungen für die Nutzung der Shopify-App "Smart Delivery Customizer" und wird mit der Installation der App wirksam.
1. Parteien
Verantwortlicher (Auftraggeber): der Shopify-Händler, der die App installiert.
Auftragsverarbeiter (Auftragnehmer): Roman Rohozhnikov (Veltisio), Maximilianstr 16, 63739 Aschaffenburg, Deutschland. E-Mail: hello@veltisio.com
2. Gegenstand und Dauer der Verarbeitung
Gegenstand der Verarbeitung ist die Bereitstellung der App zur Steuerung von Versandarten im Shopify-Checkout. Die Dauer entspricht dem Zeitraum, in dem die App im Shop des Verantwortlichen installiert ist.
3. Art und Zweck der Verarbeitung, Datenarten, Betroffene
Zweck: Auswertung von Bestelldaten zur Regel-Analytik und Fehlerbehebung.
Datenarten: Shopify-Bestellkennungen (Order GIDs), angewendete Versandregeln, Shop-Konfiguration, optional eine vom Händler eingegebene Test-E-Mail-Adresse. Es werden keine Namen, Anschriften oder E-Mail-Adressen von Endkunden gespeichert.
Kategorien betroffener Personen: Kunden des Verantwortlichen (nur pseudonyme Bestellkennungen), Mitarbeiter des Verantwortlichen (Test-E-Mail).
4. Pflichten des Auftragsverarbeiters
- Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der App-Funktionen gilt als Weisung.
- Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
- Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO: verschlüsselte Übertragung (TLS), verschlüsselte Speicherung von Access Tokens, Zugriffskontrolle, Hosting in der EU (Frankfurt am Main).
- Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23 DSGVO) und bei Pflichten nach Art. 32–36 DSGVO.
- Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung.
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:
- Fly.io, Inc. — Hosting; Serverstandort Frankfurt am Main, Deutschland (EU).
- Shopify Inc. — Plattform, Authentifizierung, Abrechnung.
- Functional Software, Inc. (Sentry) — Error Monitoring; USA, auf Grundlage des EU-US Data Privacy Framework.
Über beabsichtigte Änderungen wird der Verantwortliche informiert (Aktualisierung dieser Seite sowie der Datenschutzerklärung); ihm steht ein Widerspruchsrecht zu. Im Falle eines Widerspruchs kann die App deinstalliert werden.
6. Löschung nach Vertragsende
Nach Deinstallation der App werden sämtliche Shop-Daten mit dem Shopify-Webhook "shop/redact" (48 Stunden nach Deinstallation) vollständig gelöscht. Regel-Logs werden unabhängig davon nach 90 Tagen automatisch gelöscht. Compliance-Nachweise über GDPR-Anfragen werden ohne Kundendaten-Inhalte aufbewahrt.
7. Nachweis und Kontrolle
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Anfragen richten Sie bitte an die oben genannte E-Mail-Adresse.