Gemeinsamer Vertrag und Produktanlagen
Dieser Vertrag soll gemeinsame Bestimmungen zur Auftragsverarbeitung für Bidson-Apps festlegen. Die nachfolgenden Angaben bilden derzeit die Produktanlage für Bidson CRM Sync. Jede künftige App muss vor dem Start bewertet und in einer eigenen Anlage ergänzt werden.
1. Parteien und Rollen
Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Vereinbarung zwischen dem Händler als Verantwortlichem und dem Betreiber als Auftragsverarbeiter. Die vollständige rechtliche Identität und die Kontaktdaten des Betreibers müssen ergänzt werden, bevor der Vertrag geschlossen oder herangezogen werden kann. Die Installation allein behebt dieses Fehlen nicht.
2. Gegenstand, Zweck und Dauer
Der Auftragsverarbeiter verarbeitet Shopify-Kundendaten ausschließlich zur Authentifizierung, zum Import, zur Zuordnung, Synchronisierung, Fehlerbehebung, Absicherung und Löschung für Bidson CRM Sync. Die Verarbeitung dauert während der Installation und gegebenenfalls während begrenzter Lösch-, Sicherungs- oder gesetzlicher Aufbewahrungsfristen an.
3. Dokumentierte Weisungen
Der Auftragsverarbeiter handelt nur nach dokumentierten Weisungen in Vereinbarung, App-Konfiguration, autorisierten Handlungen und schriftlichen Supportanfragen, einschließlich Weisungen zu Übermittlungen. Er informiert den Verantwortlichen, wenn eine Weisung offenbar gegen Datenschutzrecht verstößt, sofern dies nicht gesetzlich untersagt ist, und kann die betroffene Verarbeitung pausieren.
4. Einzelheiten der Verarbeitung
- Betroffene Personen: Kunden, Interessenten und relevante Shopnutzer des Händlers.
- Daten: Namen, E-Mail-Adressen, Telefonnummern, Tags, Marketingeinwilligung, Shopify- und Verknüpfungskennungen sowie zusammengefasste Bestellanzahl, Umsatz, Währung und Angaben zur letzten Bestellung.
- Vorgänge: Abruf, Übermittlung, Zuordnung, Umwandlung, vorübergehende Verarbeitung, begrenzte Speicherung, Support, Löschung und Schwärzung.
- Häufigkeit: Erstimporte sowie ereignisgesteuerte oder vom Händler angeforderte Aktualisierungen.
- Ausgeschlossene Daten: besondere Kategorien personenbezogener Daten, strafrechtliche Daten, Zahlungskartendaten, amtliche Ausweise, medizinische Daten und Daten von Kindern dürfen nicht übermittelt werden.
5. Vertraulichkeit und Personal
Der Auftragsverarbeiter beschränkt den Zugriff auf Personal, das ihn für Betrieb oder Support benötigt und zur Vertraulichkeit verpflichtet ist. Nicht mehr erforderliche Zugriffe werden entfernt.
6. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter erhält risikogerechte Maßnahmen nach Artikel 32 DSGVO aufrecht und darf sie verbessern, ohne das Gesamtschutzniveau wesentlich zu verringern.
- Verschlüsselung bei der Übertragung und Verschlüsselung von Attio-Zugriffs- und Aktualisierungstoken im Ruhezustand.
- Datenminimierung: Vollständige rohe Shopify-Kunden-, Bestell- und Webhook-Payloads werden nicht bewusst dauerhaft gespeichert.
- Eingeschränkte Protokollierung ohne Zugriffstoken und Kunden-Payloads.
- Logische Trennung nach Shop-Kennungen, kontrollierte Wiederholungen, idempotente Synchronisierung, Sicherungen und Infrastrukturkontrollen der Anbieter.
- Löschabläufe für Deinstallation und Shopify-Datenschutzanfragen.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die Unterauftragsverarbeiter der aktuellen Liste. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zu im Wesentlichen gleichwertigem Datenschutz und bleibt im gesetzlich vorgeschriebenen Umfang verantwortlich.
Ein neuer oder ersetzter Unterauftragsverarbeiter wird angemessen im Voraus angekündigt. Der Verantwortliche kann aus dokumentierten Datenschutzgründen widersprechen. Die Parteien suchen eine angemessene Lösung; andernfalls darf jede Partei den betroffenen Dienst beenden. Vor externer Produktionsnutzung muss der Benachrichtigungsmechanismus betriebsbereit sein.
8. Internationale Datenübermittlungen
Für beschränkte Übermittlungen nutzt der Auftragsverarbeiter einen rechtmäßigen Mechanismus nach Kapitel V DSGVO, etwa einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln, sowie erforderlichenfalls zusätzliche Maßnahmen. Der Verantwortliche genehmigt die mit gelisteten Unterauftragsverarbeitern verbundenen Übermittlungen unter diesen Schutzmaßnahmen.
9. Unterstützung des Verantwortlichen
Unter Berücksichtigung der Verarbeitungsart und verfügbaren Informationen unterstützt der Auftragsverarbeiter angemessen bei Betroffenenanfragen, Sicherheitspflichten, Bewertung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und Konsultationen von Aufsichtsbehörden. Der Verantwortliche bleibt für Antworten an Betroffene und die Rechtmäßigkeit seiner Weisungen verantwortlich.
10. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung bekannt wird, die Daten des Verantwortlichen betrifft, und stellt angemessen erforderliche verfügbare Informationen für Bewertung und Meldepflichten bereit. Die Mitteilung ist kein Schuldeingeständnis.
11. Rückgabe und Löschung
Nach Wahl des Verantwortlichen und im Rahmen der Produktfunktionen löscht der Auftragsverarbeiter personenbezogene Daten nach Ende der Dienste oder gibt sie zurück und löscht verbleibende Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Daten in Sicherungen können bis zur normalen Rotation verbleiben und sind vor gewöhnlicher Nutzung geschützt. Benötigte Daten sollten vor Beendigung exportiert werden.
12. Informationen und Prüfungen
Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung von Artikel 28 DSGVO angemessen erforderlichen Informationen bereit. Reicht die Dokumentation nicht aus, darf der Verantwortliche mit angemessener Vorankündigung eine verhältnismäßige Prüfung durchführen oder einen unabhängigen Prüfer beauftragen, höchstens einmal jährlich, sofern nicht ein Vorfall oder eine Behörde mehr verlangt. Daten anderer Kunden und Sicherheit dürfen nicht beeinträchtigt werden. Der Verantwortliche trägt die Kosten, sofern keine wesentliche Nichtkonformität festgestellt wird.
13. Pflichten des Verantwortlichen
Der Verantwortliche bestimmt rechtmäßige Zwecke und Mittel, verfügt über eine gültige Rechtsgrundlage, erteilt erforderliche Hinweise, konfiguriert Shopify und das CRM angemessen, übermittelt nur zulässige Daten, bearbeitet Betroffenenanfragen und stellt die Rechtmäßigkeit seiner Weisungen sicher.
14. Vorrang und geltende Bestimmungen
Dieser Auftragsverarbeitungsvertrag hat bei Widersprüchen zur Verarbeitung personenbezogener Daten Vorrang vor den Nutzungsbedingungen. Haftung und anwendbares Recht folgen der Hauptvereinbarung, soweit zwingendes Datenschutzrecht nichts anderes verlangt. Bei Widersprüchen ist die englische Fassung maßgeblich.