Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Version 2026-10

ShopSync

Dieser Vertrag regelt, wie ich als Anbieter von ShopSync personenbezogene Daten im Auftrag des Händlers verarbeite. Er wird in ShopSync zusammen mit den Nutzungsbedingungen elektronisch angenommen oder schriftlich vereinbart.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Webanwendung ShopSync nach den Nutzungsbedingungen (Hauptvertrag). Dieser Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, bis alle Daten des Verantwortlichen gelöscht sind.

2. Art, Zweck und Umfang der Verarbeitung

3. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzungsbedingungen, dieser Vertrag und die Einstellungen, die der Verantwortliche in ShopSync vornimmt, gelten als Weisung.
2. Weitere Weisungen erteilt der Verantwortliche in Textform (z. B. per E-Mail). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

4. Pflichten des Auftragsverarbeiters

1. Er verarbeitet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer an die in Anlage 2 genannten Unterauftragsverarbeiter oder soweit eine gesetzliche Pflicht besteht.
2. Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
3. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
4. Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm das möglich ist. Datenschutz-Anfragen, die Shopify an ShopSync weiterleitet, beantwortet er dem Verantwortlichen binnen 30 Tagen.
5. Eine Verletzung des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Feststellung, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.
6. Er stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung in angemessenem Umfang.

5. Unterauftragsverarbeiter

1. Der Verantwortliche stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu.
2. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, kann er den Hauptvertrag beenden.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
4. Shopify und Etsy sind keine Unterauftragsverarbeiter: Der Verantwortliche nutzt diese Plattformen selbst und erteilt ShopSync den Zugriff.

6. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

7. Löschung und Rückgabe

Nach dem Ende des Hauptvertrags ist der Zugang sofort gesperrt. Die Daten des Verantwortlichen werden nach 30 Tagen gelöscht; bis dahin kann er eine Ausfuhr der in ShopSync angebotenen Auswertungen (CSV) anfordern. Sicherungskopien laufen spätestens 14 Tage nach der Löschung aus. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Entfernt der Verantwortliche ShopSync in Shopify, löscht der Auftragsverarbeiter die Zugänge zum Shop sofort und die übrigen Daten des Verantwortlichen spätestens 30 Tage danach, einschließlich seiner Kopien in den Sicherungen; die Sicherung der Kontenübersicht läuft 14 Tage später aus. Installiert der Verantwortliche ShopSync vorher neu, bleiben die Daten erhalten.

8. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor. Änderungen bedürfen der Textform; eine neue Version wird in ShopSync erneut zur Annahme angezeigt.

Anlage 1 – Technische und organisatorische Maßnahmen

• Trennung: eigene Datenbank je Händler; Zugriff nur nach Anmeldung und nur auf den eigenen Bereich, auch gegen manipulierte Anfragen geprüft.
• Zugang und Anmeldung: Passwörter nur als Hash, Bremse gegen Passwort-Raten, Rollen Inhaber/Lesen, Betreiberzugang mit zweitem Faktor, Sitzungen laufen nach höchstens 8 Stunden ab.
• Verschlüsselung: Zugänge zu Shopify und Etsy verschlüsselt gespeichert, Schlüssel außerhalb des öffentlichen Bereichs; Übertragung nur über HTTPS mit sicheren Cookie-Einstellungen.
• Datensparsamkeit: keine Käuferkontaktdaten, keine Zahlungsmittel; Protokolle ohne Zugangsdaten und ohne Kundendaten.
• Verfügbarkeit: tägliche Sicherung mit begrenzter Aufbewahrung (14 Tage), Wächter mit Alarm bei Ausfall des Abgleichs.
• Löschfristen: Bestellungen 65 Tage, Bestandsverlauf und Berichte 400 Tage, fehlgeschlagene Anmeldungen 24 Stunden, Protokoll höchstens 5.000 Einträge, Einmal-Links zur Konto-Einrichtung 30 Minuten, Betriebshinweise 90 Tage und Datenschutz-Anfragen 2 Jahre nach Erledigung (Nachweis); nach einer Deinstallation in Shopify alle Daten des Verantwortlichen spätestens nach 30 Tagen.
• Überprüfung: Änderungen an ShopSync werden vor der Inbetriebnahme mit automatischen Tests geprüft, Datenbankänderungen zuvor an einer Kopie.

Anlage 2 – Unterauftragsverarbeiter