1. Rollen und Umfang
Der Verantwortliche bestimmt Zwecke und Mittel der Verarbeitung personenbezogener Daten seiner Kunden. Der Auftragsverarbeiter verarbeitet diese personenbezogenen Daten nur nach den dokumentierten Weisungen des Verantwortlichen, nämlich: um Produktempfehlungen zu erstellen, um Attributions- und Nutzungsanalysen für den Verantwortlichen zu erzeugen und um Routine- und Nachfüll-E-Mails gemäß Konfiguration des Verantwortlichen zu versenden.
2. Datenkategorien und betroffene Personen
Betroffene Personen: die Kunden und Storefront-Besucher des Verantwortlichen. Personenbezogene Daten: E-Mail-Adresse des Kunden, Sprache des Kunden, Bestell-IDs, Bestellpositionen und -summen sowie Quiz-Antworten des Routineplaners. Angaben, die einen Gesundheitsbezug haben können (Schwangerschaft oder Stillzeit, Hautanliegen), werden nur genutzt, um die Routine in diesem Moment zu berechnen, und nicht zusammen mit der E-Mail-Adresse des Kunden gespeichert. Es werden keine besonderen Kategorien personenbezogener Daten gespeichert.
3. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter wird: personenbezogene Daten nur gemäß Abschnitt 1 verarbeiten; sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind; die technischen und organisatorischen Maßnahmen aus Abschnitt 5 umsetzen; den Verantwortlichen bei Betroffenenanfragen sowie bei Sicherheits-, Meldepflicht- und Datenschutz-Folgenabschätzungs-Pflichten unterstützen; und die zur Nachweisführung erforderlichen Informationen bereitstellen.
4. Unterauftragsverarbeiter
Der Verantwortliche ermächtigt den Auftragsverarbeiter, die in der Datenschutzerklärung genannten Unterauftragsverarbeiter einzusetzen (Shopify; netcup GmbH für Cloud-Hosting und die Datenbank; Hetzner Online GmbH für ausgelagerte, verschlüsselte Backups; Mailjet; Sentry; PostHog). Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die diesem AV-Vertrag mindestens gleichwertig sind, und haftet weiterhin für deren Leistung. Der Auftragsverarbeiter kündigt jede beabsichtigte Änderung an, damit der Verantwortliche widersprechen kann.
5. Sicherheitsmaßnahmen
Verschlüsselung personenbezogener Daten bei der Übertragung (TLS) und im Ruhezustand; Zugriff auf Produktionsdaten beschränkt auf namentlich benannte Personen nach dem Least-Privilege-Prinzip; Shopify-OAuth-Berechtigungen beschränkt auf das funktional Erforderliche; Zugriffstoken ausschließlich serverseitig gespeichert; regelmäßiges Patchen von Abhängigkeiten und Plattform; Protokollierung administrativer Zugriffe.
6. Internationale Übermittlungen
Soweit personenbezogene Daten außerhalb des EWR oder des Vereinigten Königreichs übermittelt werden, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder die einschlägigen Standardvertragsklauseln, die durch Verweis Bestandteil dieses AV-Vertrags werden.
7. Betroffenenanfragen
Der Auftragsverarbeiter bearbeitet Shopifys customers/data_request- und customers/redact-Webhooks automatisch. Für jede Anfrage, die der Auftragsverarbeiter unmittelbar erhält, verweist er die betroffene Person an den Verantwortlichen und benachrichtigt den Verantwortlichen, soweit rechtlich zulässig, unverzüglich.
8. Rückgabe und Löschung
Bei Beendigung (Deinstallation der App) löscht der Auftragsverarbeiter alle personenbezogenen Daten dieses Shops innerhalb von 48 Stunden, außer wo eine Aufbewahrung gesetzlich vorgeschrieben ist. Attributionsdatensätze werden in jedem Fall 24 Monate nach ihrer Erstellung gelöscht. Nächtliche Notfall-Backups unterliegen einer eigenen, rollierenden 30-Tage-Aufbewahrung unabhängig davon, wann eine Lösch- oder Berichtigungsanfrage in der Live-Datenbank umgesetzt wird, und werden niemals genutzt, um durch eine solche Anfrage entfernte Daten wiederherzustellen.
9. Meldung von Verletzungen
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die die Daten des Verantwortlichen betrifft, mit den Informationen, die der Verantwortliche zur Erfüllung seiner eigenen Meldepflichten benötigt.
Händler mit eigenen AV-Anforderungen können sich an qinci@qavlar.tech wenden. Diese Vorlage sollte vor einer Verwendung von der Rechtsberatung des Verantwortlichen geprüft werden.