📄 Auftragsverarbeitungsvertrag

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag
gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten, die der Auftragnehmer im Rahmen der Bereitstellung der Shopify-App PriceCalc Pro für den Auftraggeber vornimmt. Einzelheiten zu Art, Zweck, Datenarten und Kreis der Betroffenen regelt Anlage 1.

(2) Der Vertrag beginnt mit seiner Unterzeichnung und läuft für die Dauer der Installation der App im Shop des Auftraggebers. Er endet mit der Deinstallation, ohne dass es einer gesonderten Kündigung bedarf. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(3) Dieser Vertrag ergänzt den Nutzungsvertrag über die App. Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser Vertrag vor.

§ 2 Umfang und Weisungsbindung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der App durch den Auftraggeber gilt als Weisung im Sinne des Absatzes 1. Weitergehende Weisungen erfolgen in Textform an support@jrmedia.software.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

(4) Eine Verarbeitung der Daten zu eigenen Zwecken des Auftragnehmers findet nicht statt. Davon unberührt bleiben die in der Datenschutzerklärung beschriebenen Verarbeitungen, die der Auftragnehmer als eigener Verantwortlicher vornimmt (insbesondere Vertragsabwicklung, Abrechnung und Missbrauchsabwehr); diese sind nicht Gegenstand dieses Vertrages.

§ 3 Pflichten des Auftraggebers

(1) Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Auftraggeber teilt dem Auftragnehmer unverzüglich mit, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

(3) Der Auftraggeber trägt dafür Sorge, dass in den von ihm gepflegten Produkt-, Preis- und Lieferantenfeldern keine personenbezogenen Daten enthalten sind, die für die Nutzung der App nicht erforderlich sind. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen über die App nicht verarbeitet werden.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer verarbeitet die Daten vertraulich und stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Verpflichtung besteht auch nach Beendigung dieses Vertrages fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 3 aufgeführt und werden hiermit genehmigt.

(2) Der Auftragnehmer teilt jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern in Textform mit. Der Auftraggeber kann einer Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, und lässt sich die Verarbeitung ohne den betreffenden Unterauftragnehmer nicht mit vertretbarem Aufwand fortführen, ist jede Partei berechtigt, diesen Vertrag und den Nutzungsvertrag mit Wirkung zum Ende des laufenden Abrechnungszeitraums zu kündigen.

(3) Der Auftragnehmer verpflichtet die Unterauftragnehmer auf ein Schutzniveau, das dem dieses Vertrages entspricht, und haftet für deren Verhalten wie für eigenes.

§ 7 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und weist die betroffene Person darauf hin. Eine eigene inhaltliche Beantwortung erfolgt nicht.

(3) Der Auftragnehmer unterstützt den Auftraggeber ferner bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde nach Art. 35 und 36 DSGVO, soweit die erforderlichen Informationen ihm vorliegen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, in Textform.

(2) Die Meldung enthält, soweit verfügbar: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 9 Löschung und Rückgabe

(1) Die vom Auftraggeber erzeugten Kalkulations- und Preisdaten verbleiben als Metafelder im Shopify-Store des Auftraggebers und stehen dort auch nach Vertragsende unverändert zur Verfügung. Eine Rückgabe durch den Auftragnehmer ist insoweit nicht erforderlich.

(2) Nach Beendigung des Vertrages löscht der Auftragnehmer die zum Shop gespeicherten Daten. Die Löschung erfolgt automatisch mit Eingang des Shopify-Webhooks shop/redact, den Shopify 48 Stunden nach Deinstallation der App auslöst. Es verbleibt ausschließlich ein technischer Datensatz ohne personenbezogenen Inhalt (Shop-Kennung und myshopify-Domain), damit eine spätere Neuinstallation korrekt zugeordnet werden kann.

(3) Bei den in Anlage 3 genannten Unterauftragnehmern erfolgt die Löschung nach den dort geltenden Fristen, spätestens 90 Tage nach Beendigung.

(4) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage in Textform alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus diesem Vertrag erforderlich sind.

(2) Der Auftraggeber ist berechtigt, sich von der Einhaltung der getroffenen Maßnahmen zu überzeugen. Kontrollen erfolgen nach angemessener Vorankündigung während der üblichen Geschäftszeiten und höchstens einmal jährlich; darüber hinaus anlassbezogen nach einer Verletzung des Schutzes personenbezogener Daten. Der Auftragnehmer kann den Nachweis vorrangig durch aktuelle Zertifikate, Prüfberichte oder Selbstauskünfte führen.

(3) Die Kosten einer vom Auftraggeber veranlassten Vor-Ort-Kontrolle trägt der Auftraggeber.

§ 11 Übermittlung in Drittländer

(1) Die Verarbeitung findet im Rahmen des Hostings durch den in Anlage 3 genannten Unterauftragnehmer in Kanada und in den USA statt.

(2) Für Kanada besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Für Übermittlungen in die USA werden die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Module 2 und 3) als geeignete Garantien nach Art. 46 Abs. 2 lit. c DSGVO herangezogen. Der Auftragnehmer hat entsprechende Vereinbarungen mit dem Unterauftragnehmer geschlossen.

(3) Wird ein Übermittlungsmechanismus nachträglich geändert, widerrufen oder für unwirksam erklärt, verpflichten sich die Parteien, die Übermittlung auszusetzen oder einen geeigneten Ersatzmechanismus zu vereinbaren.

§ 12 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen richtet sich die Haftung nach den Regelungen des Nutzungsvertrages und des Haftungsausschlusses.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gerichtsstand für Streitigkeiten mit Unternehmern ist der Sitz des Auftragnehmers.