Vertrag zur Auftragsverarbeitung

§ 1 Parteien, Gegenstand und Rollen

Auftragsverarbeiter ist David Diallo, handelnd unter „Diallo Media“, Schwachhauser Heerstraße 18, 28209 Bremen, Deutschland (USt-IdNr. DE366538188) („OnceOnly“, „wir“).

Verantwortlicher bist du als Betreiber des Shopify-Shops, in dem OnceOnly installiert ist („Händler“, „du“).

Gegenstand ist die Erkennung von Wiederholungskäufern, die einen als geschützt markierten Rabattcode erneut einlösen, sowie die Auswertung, wie viel Rabatt in der Vergangenheit an Wiederholungskäufer geflossen ist.

Die Rollenverteilung ist eindeutig: Du entscheidest über Zweck und Mittel dieser Verarbeitung. Du markierst die Codes, du wählst die Schutzstufe, du entscheidest, was bei einer Erkennung geschieht. Wir führen aus.

Eine Ausnahme, die ausdrücklich nicht unter diesen Vertrag fällt: Für unsere eigenen Händler-Stammdaten – deine Shop-Domain, das Zugangstoken, dein Abonnement – sind wir selbst Verantwortlicher. Das ist Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO und in unserer Datenschutzerklärung beschrieben.

§ 2 Dauer

Der Vertrag beginnt mit der Installation der App und endet mit ihrer Deinstallation. Nach dem Ende gilt § 9.

§ 3 Art der Daten, Kategorien betroffener Personen

Betroffene Personen sind die Besucher und Käufer deines Shops.

Die entscheidende technische Eigenschaft: Personenbezogene Merkmale werden nicht im Klartext gespeichert. E-Mail-Adresse, Telefonnummer, Straße mit Postleitzahl und Nachname, IP-Adresse, Gerätemerkmale und Besucher-Nummer werden in dem Moment, in dem sie ankommen, in nicht umkehrbare Prüfsummen umgerechnet (HMAC-SHA256 mit geheimem Schlüssel, in den zusätzlich deine Shop-Kennung eingeht). Aus unserem Bestand allein ist keine Person identifizierbar, und dieselbe Person ergibt in zwei verschiedenen Shops verschiedene Werte.

Eine einzige Ausnahme: Trägst du einen Kunden in die Ausnahmeliste ein, wird dessen Shopify-Kundennummer im Klartext gespeichert – kein Name, keine Anschrift, keine E-Mail-Adresse. Der Zweck ist das Gegenteil von Wiedererkennung: Für diese Person wird künftig nichts mehr geprüft.

• Zur Erkennung: Prüfsummen von E-Mail-Adresse, Telefonnummer, Straße + Postleitzahl + Nachname, Shopify-Kundennummer, IP-Adresse, Gerätemerkmalen und Besucher-Nummer
• Zur Prüfung an der Kasse: zusätzlich der Vorname – nur als Teil einer Prüfsumme, damit zwei Personen unter einer Anschrift nicht verwechselt werden – und aus Adresszusatz und Ort ausschließlich die Ziffern (Hausnummer, Postleitzahl), damit eine Anschrift auch bei vertauschten Feldern erkannt wird; nichts davon wird im Klartext gespeichert
• Zur Auswertung: Bestellnummer, Bestelldatum, verwendete Rabattcodes, Rabattbetrag, Währung
• Zur Ausnahmeliste: Shopify-Kundennummer im Klartext, sofern du selbst eine einträgst
• Nicht verarbeitet werden: Produkte, Warenkorbinhalte, Zahlungsdaten, Anschriften im Klartext, Land, Geburtsdatum

§ 4 Weisungen

Wir verarbeiten die Daten ausschließlich auf deine dokumentierte Weisung. Als Weisung gelten die Einstellungen, die du in der App vornimmst, sowie dieser Vertrag.

Einzelweisungen richtest du an die unten genannte Adresse; wir dokumentieren sie. Halten wir eine Weisung für rechtswidrig, teilen wir dir das mit und dürfen ihre Ausführung aussetzen.

Sind wir aufgrund einer Rechtsvorschrift der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informieren wir dich vorher, sofern die Rechtsvorschrift das nicht verbietet.

§ 5 Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. OnceOnly wird derzeit von einer einzigen Person betrieben; eine Erweiterung des Kreises ändert an dieser Pflicht nichts.

Ein Zugriff auf die Daten deines Shops findet im Regelbetrieb nicht statt. Er erfolgt nur, wenn du uns um Unterstützung bittest oder eine Störung ihn erfordert.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen die folgenden Maßnahmen. Sie dürfen fortentwickelt werden, solange das Schutzniveau nicht sinkt.

• Pseudonymisierung als Grundprinzip: ausschließlich Prüfsummen mit geheimem Schlüssel, keine Rohdaten in der Datenbank (Ausnahme: die von dir gepflegte Ausnahmeliste)
• Verschlüsselung: TLS auf allen Verbindungen, Verschlüsselung der Datenbank im Ruhezustand
• Zugangskontrolle: ein einziges Administratorkonto, Zwei-Faktor-Authentisierung, Passwortmanager
• Zugriffskontrolle: Berechtigungsprüfung auf Zeilenebene in der Datenbank, keine öffentlich erreichbare Datenschnittstelle
• Integrität: Prüf-Tickets sind signiert und an die Besucher-Nummer gebunden; eingehende Meldungen von Shopify werden über deren Signatur verifiziert und idempotent verarbeitet
• Verfügbarkeit: ein Ausfall unserer Systeme blockiert nie einen Checkout; deine Kunden können jederzeit weiter bestellen. Die Bestellhistorie der letzten zwölf Monate lässt sich jederzeit aus Shopify wiederherstellen
• Trennung: Entwicklung und Test laufen ausschließlich mit Testdaten aus Shopify-Development-Stores, niemals mit Daten aus produktiven Shops; Prüfsummen sind zusätzlich je Shop verschieden, ein Abgleich über Shop-Grenzen hinweg ist damit ausgeschlossen
• Datenminimierung: von der Anschrift nur Straße, Postleitzahl und Nachname; Gerätemerkmale auf fünf Werte begrenzt und nur mit Einwilligung des Besuchers
• Löschkonzept: feste Fristen, täglicher automatischer Löschlauf mit Protokoll (§ 9)
• Protokollierung: Anwendungsprotokolle ohne personenbezogene Werte

§ 7 Unterauftragsverarbeiter

Du stimmst dem Einsatz der folgenden Unterauftragsverarbeiter zu. Mit allen bestehen Verträge nach Art. 28 DSGVO.

Wir informieren dich vorher, wenn ein weiterer hinzukommt oder einer wechselt – per E-Mail an die in Shopify hinterlegte Adresse. Du kannst innerhalb von 30 Tagen widersprechen. Widersprichst du, dürfen beide Seiten den Vertrag beenden; ein Recht auf Fortsetzung ohne den Dienstleister besteht nicht, wenn der Betrieb dadurch unmöglich würde.

Alle Verarbeitungen finden in der Europäischen Union statt. Die Muttergesellschaften der genannten Anbieter haben ihren Sitz teilweise in den Vereinigten Staaten; für einen daraus folgenden Verwaltungs- oder Supportzugriff gelten die Standardvertragsklauseln der EU-Kommission bzw. eine Zertifizierung nach dem EU-US Data Privacy Framework.

§ 8 Unterstützung bei Betroffenenrechten

Wir unterstützen dich bei Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit.

Der Weg ist eingebaut: Shopify leitet Anfragen über die Meldungen `customers/data_request` und `customers/redact` an uns weiter, und wir bearbeiten sie automatisch. Eine Löschung führen wir binnen 30 Tagen aus.

Eine Grenze, die aus der Bauweise folgt und die du kennen musst: Weil wir nur Prüfsummen speichern, können wir zu einer Person nur dann Auskunft geben, wenn du uns die Rohdaten mitlieferst. Aus unserem Bestand allein ist niemand identifizierbar. Diese Grenze gehört in deine Antwort an die betroffene Person.

§ 9 Löschung und Rückgabe

Ein täglicher automatischer Lauf löscht nach festen Fristen. Er wird protokolliert; das Protokoll enthält keine personenbezogenen Daten.

Nach der Deinstallation löschen wir alle Daten deines Shops vollständig, sobald Shopify uns die Deinstallation meldet (`shop/redact`, in der Regel 48 Stunden danach). Eine Rückgabe findet nicht statt, weil die Daten in dieser Form für dich wertlos wären: Prüfsummen lassen sich nicht zurückrechnen. Deine Bestelldaten liegen ohnehin unverändert in Shopify.

§ 10 Nachweise und Kontrollen

Wir weisen die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch die Beschreibung der Maßnahmen aus § 6 und durch die Nachweise unserer Unterauftragsverarbeiter.

Du darfst dich von der Einhaltung überzeugen. Vor-Ort-Prüfungen sind mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebs möglich; sie dürfen die Vertraulichkeit gegenüber anderen Händlern nicht beeinträchtigen.

§ 11 Meldung von Verletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die deine Daten betrifft, melden wir sie dir unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme – mit den Angaben, die du für deine eigene Meldung nach Art. 33 DSGVO brauchst.

Wir unterstützen dich außerdem bei Datenschutz-Folgenabschätzungen und bei einer vorherigen Konsultation der Aufsichtsbehörde, soweit unsere Verarbeitung betroffen ist.

§ 12 Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Bedingungen des Shopify App Store, über den du OnceOnly bezogen hast.

Änderungen dieses Vertrags teilen wir dir mit einer Frist von 30 Tagen mit. Widersprichst du nicht und nutzt die App weiter, gilt die neue Fassung als angenommen; widersprichst du, kannst du die App deinstallieren, und der Vertrag endet.

Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist unser Sitz, soweit du Kaufmann bist.

Kontakt für Datenschutzfragen

Weisungen, Auskunftsersuchen und Fragen zu diesem Vertrag richtest du an: hey@diallomedia.de