Vereinbarung zur Auftragsverarbeitung (AVV)

Fassung 2026-10-20 · gemäß Art. 28 Abs. 3 DSGVO · Auftragsverarbeiter: Struxify — Inh. Dávid-Dennis Warning, Bürgermeister-Steenbock-Straße 21 a, 24558 Henstedt-Ulzburg, Deutschland · Kontakt: hello@struxify.io

Diese Vereinbarung gilt zwischen dem Händler, der die Shopify-App „Struxify Clearance & Bundles“ nutzt (Verantwortlicher), und Struxify — Inh. Dávid-Dennis Warning, Bürgermeister-Steenbock-Straße 21 a, 24558 Henstedt-Ulzburg, Deutschland (Auftragsverarbeiter). Sie wird in elektronischer Form (Art. 28 Abs. 9 DSGVO) geschlossen, indem der Händler in der App den Nutzungsbedingungen einschließlich dieser Vereinbarung zustimmt. Sie gilt für die gesamte Dauer der Nutzung der App.

1. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter erkennt für den Verantwortlichen Ladenhüter, führt dessen Markdown-Regeln aus und verwaltet virtuelle Bundles: Er liest über die Shopify-Schnittstelle die Produktvarianten (Bestand, Preise), Kollektionen, Standorte und die Positionen der Bestellungen (Artikel, Menge, Datum; neue Bestellungen per Webhook), speichert daraus Kennzahlen je Artikel und ändert auf Veranlassung des Verantwortlichen oder nach dessen Regeln Preise, Kollektionszuordnungen, Bundle-Produkte und Bestände im Shop. Die Verarbeitung dient ausschließlich diesem Zweck.

2. Art der Daten und Kategorien betroffener Personen

Kunden des Verantwortlichen: Aus den Bestellungen werden nur Positionen (Artikel, Menge, Bestelldatum) und die Bestellnummer ausgewertet; Name, Anschrift, E-Mail und Zahlungsdaten werden nicht gespeichert. Gespeichert werden Kennzahlen je Artikel ohne Zuordnung zu einer Person sowie die Nummern bereits verbuchter Bestellungen (90 Tage).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Weisungen sind diese Vereinbarung, die Nutzungsbedingungen sowie die Einstellungen, Markdown-Regeln und Bundles, die der Verantwortliche in der App anlegt. Weitere Weisungen erteilt er in Textform an hello@struxify.io. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). Eine Verarbeitung außerhalb dieser Weisungen erfolgt nur, wenn das Recht der EU oder eines Mitgliedstaats dazu verpflichtet; der Auftragsverarbeiter teilt dies vorher mit, sofern das Recht es nicht verbietet.

4. Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselte Übertragung aller Verbindungen (HTTPS/TLS).
Hosting von App und Datenbank in einem Rechenzentrum in der EU (Niederlande).
Zugriff auf Shop-Daten nur über die von Shopify erteilten Berechtigungen (OAuth, Session-Tokens; Lesezugriff auf Bestellungen und Standorte, Schreibzugriff nur auf Produkte und Inventar); Prüfung der Signaturen aller Shopify-Webhooks.
Strikte Trennung der Daten je Shop (Mandantentrennung über die Shop-Zuordnung in jeder Abfrage).
Datenminimierung: Über die Schnittstelle werden aus Bestellungen ausschließlich Positionen abgefragt; per Webhook eingehende Bestellungen werden sofort auf Positionen und Bestellnummer reduziert – Kundendaten werden nicht gespeichert.
Zugang zu Server und Datenbank nur für den Auftragsverarbeiter über persönliche Zugangskonten; keine Weitergabe von Zugangsdaten.
Regelmäßige Überprüfung und Aktualisierung von Abhängigkeiten und Sicherheitseinstellungen.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) für folgenden Unterauftragsverarbeiter:

Railway Corporation (USA) – Hosting von App und Datenbank, Rechenzentrum in der EU (Niederlande).

Mit dem Unterauftragsverarbeiter besteht ein Vertrag, der ihm dieselben Datenschutzpflichten auferlegt (Art. 28 Abs. 4 DSGVO). Mit Railway Corporation hat der Auftragsverarbeiter die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) geschlossen; die Verarbeitung findet in der EU statt. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher auf dieser Seite und per E-Mail oder Hinweis in der App; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und die Nutzung beenden. Shopify ist kein Unterauftragsverarbeiter, sondern die vom Verantwortlichen selbst gewählte Plattform.

7. Unterstützung des Verantwortlichen

Betroffenenrechte (Art. 12–22 DSGVO): Anfragen von Betroffenen leitet der Auftragsverarbeiter an den Verantwortlichen weiter. Da der Auftragsverarbeiter außer den Nummern verbuchter Bundle-Bestellungen (90 Tage) keine einer Person zugeordneten Daten speichert, beschränkt sich die Unterstützung in der Regel auf diese Auskunft und auf die sofortige Löschung dieser Bestellnummern auf eine Löschanfrage (Shopify-Webhook „customers/redact“).
Datenpannen (Art. 33, 34 DSGVO): Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen.
Datenschutz-Folgenabschätzung und Konsultation (Art. 35, 36 DSGVO): Der Auftragsverarbeiter stellt die dafür nötigen Informationen zur Verfügung.

8. Löschung und Rückgabe nach Ende der Nutzung

Mit der Deinstallation der App löscht der Auftragsverarbeiter alle Daten des Shops (Einstellungen, Regeln, Artikeldaten, Protokoll, Bundles); spätestens mit der Löschaufforderung von Shopify ist die Löschung abgeschlossen. Auf Anforderung vor der Deinstallation stellt der Auftragsverarbeiter den gespeicherten Stand als Export bereit (Art. 28 Abs. 3 lit. g DSGVO); nach der Deinstallation ist kein Export mehr möglich.

9. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen, in der Regel durch schriftliche Auskunft; Vor-Ort-Prüfungen nach angemessener Vorankündigung (Art. 28 Abs. 3 lit. h DSGVO).

10. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Bei Widersprüchen geht diese Vereinbarung den Nutzungsbedingungen in Datenschutzfragen vor. Es gilt deutsches Recht. Änderungen dieser Vereinbarung werden wie die Nutzungsbedingungen in der App erneut bestätigt.