Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung des Dienstes „ShopSignal". Er gilt zwischen
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen nur insoweit, als dies zur Erbringung der Leistungen erforderlich ist. Bei den über den Dienst verarbeiteten Daten handelt es sich überwiegend um technische und aggregierte Kennzahlen der vom Verantwortlichen angebundenen Systeme; ein Personenbezug kann sich jedoch im Einzelfall ergeben (z. B. aus Fehler- bzw. Protokolldaten der angebundenen Shops).
(1) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
(2) Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag über den Dienst).
(3) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung des Dienstes gemäß Hauptvertrag und dessen Konfiguration durch den Verantwortlichen gelten als Weisung. Ergänzende oder abweichende Weisungen erteilt der Verantwortliche in Textform.
(4) Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
Der Auftragnehmer
(1) verarbeitet die Daten ausschließlich im Rahmen der Weisungen und dieses Vertrags;
(2) gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
(3) ergreift die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2 und hält diese während der Vertragsdauer auf dem Stand der Technik;
(4) unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
(5) stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (Audits) gemäß § 5;
(6) benennt eine Kontaktstelle für Datenschutzanfragen: kontakt@shopsignal.de.
Der Auftragnehmer meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen. Die Meldung an die Aufsichtsbehörde und ggf. an die betroffenen Personen obliegt dem Verantwortlichen.
(1) Der Verantwortliche erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
(2) Der Auftragnehmer informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs ist jede Partei zur Kündigung des betroffenen Leistungsteils bzw. des Hauptvertrags berechtigt.
(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO).
(1) Der Auftragnehmer weist die Einhaltung der vereinbarten Pflichten in geeigneter Weise nach, insbesondere durch Bereitstellung vorhandener Nachweise, Zertifizierungen oder Prüfberichte.
(2) Reichen diese nicht aus, ermöglicht der Auftragnehmer dem Verantwortlichen oder einem von diesem beauftragten Prüfer nach angemessener Vorankündigung und während der üblichen Geschäftszeiten Überprüfungen, soweit erforderlich. Der Auftragnehmer kann hierfür eine angemessene Vergütung verlangen, soweit gesetzlich zulässig.
Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragnehmer nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht zur Speicherung verpflichtet (Art. 28 Abs. 3 lit. g DSGVO). Mit Löschung des Kontos werden die zugehörigen Daten entfernt; der Verantwortliche kann seine Daten zuvor über die im Dienst verfügbaren Funktionen exportieren.
Eine Verarbeitung personenbezogener Daten findet grundsätzlich innerhalb der EU/des EWR statt. Soweit ein Unterauftragsverarbeiter ausnahmsweise eine Verarbeitung in einem Drittland vornimmt, stellt der Auftragnehmer geeignete Garantien nach Art. 44 ff. DSGVO sicher (insbesondere Standardvertragsklauseln der EU-Kommission).
Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.
(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor.
(2) Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.
(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung | Irland (EU) |
| Resend, Inc. | E-Mail-Versand | EU-Datenregion |
Nur bei aktiver SEO-Verbindung durch den Verantwortlichen: Google Ireland Ltd. bzw. Microsoft Ireland Operations Ltd. (Abruf der vom Verantwortlichen freigegebenen SEO-Daten).
Der Betrieb erfolgt auf eigener Hardware in einem Rechenzentrum (Colocation) in der EU/im EWR. Der Rechenzentrumsbetreiber stellt ausschließlich die physische Infrastruktur bereit und hat keinen Zugriff auf die verarbeiteten Daten; er ist daher kein Unterauftragsverarbeiter.
Stand: Juni 2026