Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung des Dienstes „ShopSignal". Er gilt zwischen

  • dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher") und
  • der Web Labels Webdesign GmbH, Am Markt 15, 22941 Bargteheide als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragnehmer").

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen nur insoweit, als dies zur Erbringung der Leistungen erforderlich ist. Bei den über den Dienst verarbeiteten Daten handelt es sich überwiegend um technische und aggregierte Kennzahlen der vom Verantwortlichen angebundenen Systeme; ein Personenbezug kann sich jedoch im Einzelfall ergeben (z. B. aus Fehler- bzw. Protokolldaten der angebundenen Shops).

§ 1 Gegenstand, Dauer und Weisungsbindung

(1) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag über den Dienst).

(3) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung des Dienstes gemäß Hauptvertrag und dessen Konfiguration durch den Verantwortlichen gelten als Weisung. Ergänzende oder abweichende Weisungen erteilt der Verantwortliche in Textform.

(4) Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 2 Pflichten des Auftragnehmers

Der Auftragnehmer

(1) verarbeitet die Daten ausschließlich im Rahmen der Weisungen und dieses Vertrags;

(2) gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);

(3) ergreift die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2 und hält diese während der Vertragsdauer auf dem Stand der Technik;

(4) unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);

(5) stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (Audits) gemäß § 5;

(6) benennt eine Kontaktstelle für Datenschutzanfragen: kontakt@shopsignal.de.

§ 3 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen. Die Meldung an die Aufsichtsbehörde und ggf. an die betroffenen Personen obliegt dem Verantwortlichen.

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(2) Der Auftragnehmer informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs ist jede Partei zur Kündigung des betroffenen Leistungsteils bzw. des Hauptvertrags berechtigt.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO).

§ 5 Kontroll- und Auditrechte

(1) Der Auftragnehmer weist die Einhaltung der vereinbarten Pflichten in geeigneter Weise nach, insbesondere durch Bereitstellung vorhandener Nachweise, Zertifizierungen oder Prüfberichte.

(2) Reichen diese nicht aus, ermöglicht der Auftragnehmer dem Verantwortlichen oder einem von diesem beauftragten Prüfer nach angemessener Vorankündigung und während der üblichen Geschäftszeiten Überprüfungen, soweit erforderlich. Der Auftragnehmer kann hierfür eine angemessene Vergütung verlangen, soweit gesetzlich zulässig.

§ 6 Löschung und Rückgabe nach Beendigung

Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragnehmer nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht zur Speicherung verpflichtet (Art. 28 Abs. 3 lit. g DSGVO). Mit Löschung des Kontos werden die zugehörigen Daten entfernt; der Verantwortliche kann seine Daten zuvor über die im Dienst verfügbaren Funktionen exportieren.

§ 7 Drittlandtransfer

Eine Verarbeitung personenbezogener Daten findet grundsätzlich innerhalb der EU/des EWR statt. Soweit ein Unterauftragsverarbeiter ausnahmsweise eine Verarbeitung in einem Drittland vornimmt, stellt der Auftragnehmer geeignete Garantien nach Art. 44 ff. DSGVO sicher (insbesondere Standardvertragsklauseln der EU-Kommission).

§ 8 Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

§ 9 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor.

(2) Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.


Anlage 1 – Gegenstand und Einzelheiten der Verarbeitung

  • Gegenstand: Bereitstellung des Monitoring-, Analyse- und Benachrichtigungsdienstes ShopSignal für die vom Verantwortlichen angebundenen Shopware-Shops.
  • Art und Zweck: Erhebung, Speicherung, Auswertung und Anzeige von Status-, Leistungs-, Server- und SEO-Kennzahlen sowie Versand von Benachrichtigungen; Fehlerprotokollierung zu Betriebs- und Sicherheitszwecken.
  • Art der Daten: überwiegend technische und aggregierte Kennzahlen; im Einzelfall in Fehler-/ Protokolldaten enthaltene personenbezogene Daten (z. B. IP-Adressen, in Logmeldungen enthaltene Kennungen), Konto- und Kontaktdaten der Nutzer des Verantwortlichen.
  • Kategorien betroffener Personen: Mitarbeiter/Nutzer des Verantwortlichen; ggf. mittelbar Endkunden der angebundenen Shops, soweit deren Daten in Protokoll-/Fehlerdaten erscheinen.
  • Dauer: für die Laufzeit des Hauptvertrags; Speicherfristen gemäß Datenschutzerklärung.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

  • Zutrittskontrolle: Betrieb auf eigener Hardware in einem Rechenzentrum (Colocation) in der EU/im EWR. Der physische Zutritt ist beschränkt und wird kontrolliert; die physische Zutrittssicherung (u. a. Zutrittskontrolle, Überwachung) wird durch den Rechenzentrumsbetreiber gewährleistet, der keinen Zugriff auf die verarbeiteten Daten hat.
  • Zugangskontrolle: Benutzerpasswörter werden ausschließlich als kryptografischer Hash gespeichert; es gilt eine Passwortrichtlinie. Eine Zwei-Faktor-Authentifizierung (2FA) steht zur Verfügung und ist für administrative Zugänge aktiviert. Der Zugriff auf Server-/ Infrastruktur erfolgt ausschließlich über SSH-Schlüssel bzw. VPN durch einen eng begrenzten, autorisierten Personenkreis.
  • Zugriffskontrolle: In der Anwendung gelten rollenbasierte Berechtigungen (z. B. Inhaber/Bearbeiter). Der Zugriff auf personenbezogene Daten erfolgt nach dem Prinzip der geringstmöglichen Berechtigung und nur durch autorisierte Personen nach Anmeldung mit 2FA.
  • Trennungskontrolle: Logische Mandantentrennung der Daten (Zuordnung über Team- und Shop-Kennungen); getrennte Produktiv- und Entwicklungsumgebungen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

  • Weitergabekontrolle: Verschlüsselung der Datenübertragung (TLS); die Übermittlung an Auftragsverarbeiter erfolgt ausschließlich über verschlüsselte Verbindungen/APIs. Sensible Daten (insbesondere Shop-API-Zugangsdaten und OAuth-Token) werden verschlüsselt gespeichert.
  • Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse (u. a. Anmeldungen und Änderungen).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

  • Hosting in der EU/im EWR mit Redundanz/Failover, Firewall und DDoS-Schutz.
  • Datensicherung: tägliche, verschlüsselte Backups mit einer Aufbewahrung von 7 Tagen; Wiederherstellungsverfahren sind vorhanden und werden geprüft.
  • Laufende Überwachung der Verfügbarkeit und des Betriebs der Systeme.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

  • Datenpannen-Management: Sicherheits- und Fehlervorfälle werden u. a. durch ein Fehler-Monitoring (Bugsink) erkannt und durch die verantwortliche Person bearbeitet; die Meldung an den Verantwortlichen erfolgt gemäß § 3 dieses Vertrags.
  • Auftragskontrolle: Mit allen eingesetzten Unterauftragsverarbeitern (Hosting, Stripe, Resend) bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
  • Die technischen und organisatorischen Maßnahmen werden regelmäßig durch die verantwortliche Person überprüft und bei Bedarf angepasst.

5. Pseudonymisierung und Datenminimierung (Art. 32 Abs. 1 lit. a, Art. 25 DSGVO)

  • Reichweitenmessung ohne Personenbezug; Monitoring-Daten werden, soweit möglich, aggregiert gespeichert. Daten werden mit Löschung des Kontos entfernt; es gelten die Speicherfristen der Datenschutzerklärung.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter Zweck Standort
Stripe Payments Europe, Ltd. Zahlungsabwicklung Irland (EU)
Resend, Inc. E-Mail-Versand EU-Datenregion

Nur bei aktiver SEO-Verbindung durch den Verantwortlichen: Google Ireland Ltd. bzw. Microsoft Ireland Operations Ltd. (Abruf der vom Verantwortlichen freigegebenen SEO-Daten).

Der Betrieb erfolgt auf eigener Hardware in einem Rechenzentrum (Colocation) in der EU/im EWR. Der Rechenzentrumsbetreiber stellt ausschließlich die physische Infrastruktur bereit und hat keinen Zugriff auf die verarbeiteten Daten; er ist daher kein Unterauftragsverarbeiter.


Stand: Juni 2026