Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen oder eines anderen schriftlichen Vertrags („Vertrag“) zwischen der Shopxare, LLC („Shopxare“, „Auftragsverarbeiter“) und dem Kunden („Kunde“, „Verantwortlicher“). Er gilt automatisch, sobald Shopxare personenbezogene Kundendaten verarbeitet. Kunden, die eine unterzeichnete Fassung benötigen, können sie über das Formular für AVV-Anfragen anfordern.

1. Begriffe

„Datenschutzrecht“ sind alle für eine Partei geltenden Gesetze zur Verarbeitung personenbezogener Daten, einschließlich der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“), der UK GDPR und des Data Protection Act 2018, des Schweizer Datenschutzgesetzes, des California Consumer Privacy Act in geänderter Fassung („CCPA“), weiterer US-Datenschutzgesetze der Bundesstaaten und des türkischen Gesetzes Nr. 6698 über den Schutz personenbezogener Daten („KVKK“). „Personenbezogene Kundendaten“ sind personenbezogene Daten in Kundendaten, die Shopxare im Auftrag des Kunden verarbeitet. „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die Bedeutung nach der DSGVO. „Unterauftragsverarbeiter“ ist ein Dritter, den Shopxare mit der Verarbeitung personenbezogener Kundendaten beauftragt.

2. Rollen und Anwendungsbereich

2.1 Für personenbezogene Kundendaten ist der Kunde Verantwortlicher (oder Auftragsverarbeiter für einen eigenen Verantwortlichen) und Shopxare Auftragsverarbeiter (oder Unterauftragsverarbeiter).

2.2 Für Konto-, Abrechnungs- und Website-Daten, die in der Datenschutzerklärung beschrieben sind, ist Shopxare eigenständiger Verantwortlicher; dieser AVV gilt dafür nicht.

2.3 Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage I beschrieben.

3. Pflichten des Kunden

Der Kunde wird: (a) nur rechtmäßige Weisungen erteilen; (b) über eine Rechtsgrundlage verfügen und die erforderlichen Informationen bereitstellen, auch für Messenger-Cookies und Local Storage auf seinen Websites; (c) Shopxare nicht zur Verarbeitung besonderer Kategorien von Daten anweisen, soweit die Richtlinie zur zulässigen Nutzung dies nicht erlaubt; und (d) für die Richtigkeit der personenbezogenen Kundendaten verantwortlich sein.

4. Pflichten von Shopxare

Shopxare wird:

4.1 personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden verarbeiten – das sind der Vertrag, dieser AVV und die Konfiguration und Nutzung der Dienste durch den Kunden –, es sei denn, das Gesetz verlangt etwas anderes (dann informiert Shopxare den Kunden, sofern zulässig); Shopxare teilt dem Kunden mit, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt;

4.2 sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;

4.3 die technischen und organisatorischen Maßnahmen nach Anlage II umsetzen;

4.4 die Bedingungen für Unterauftragsverarbeiter nach Ziffer 6 einhalten;

4.5 den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen unterstützen (Ziffer 7);

4.6 den Kunden bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen unterstützen, unter Berücksichtigung der Shopxare verfügbaren Informationen;

4.7 personenbezogene Kundendaten nach Ende der Dienste löschen oder zurückgeben (Ziffer 9); und

4.8 die zum Nachweis der Einhaltung erforderlichen Informationen bereitstellen und Überprüfungen ermöglichen (Ziffer 10).

5. Sicherheit und Vertraulichkeit

Shopxare hält die Maßnahmen nach Anlage II ein und darf sie aktualisieren, sofern das Schutzniveau insgesamt nicht sinkt.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt Shopxare eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste steht auf der Seite Unterauftragsverarbeiter (Anlage III).

6.2 Shopxare informiert den Kunden mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter personenbezogene Kundendaten verarbeitet, durch Aktualisierung der Seite und per E-Mail an Kunden, die Updates abonniert oder diesen AVV unterzeichnet haben. Der Kunde kann in dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Die Parteien erörtern den Widerspruch in gutem Glauben; ist keine Lösung möglich, kann der Kunde die betroffenen Dienste kündigen und erhält vorausbezahlte Gebühren für die Restlaufzeit zurück.

6.3 Shopxare erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als dieser AVV, und haftet für dessen Leistungen.

6.4 Dienste, die der Kunde selbst verbindet (z. B. Telegram, ein KI-Anbieter mit eigenem API-Schlüssel des Kunden, WooCommerce oder Shopify), sind keine Unterauftragsverarbeiter von Shopxare; das Verhältnis des Kunden zu ihnen richtet sich nach deren Bedingungen.

7. Anträge betroffener Personen

Der Kunde kann die meisten personenbezogenen Kundendaten in den Diensten selbst einsehen, berichtigen, exportieren und löschen. Erhält Shopxare einen Antrag einer betroffenen Person zu personenbezogenen Kundendaten, leitet es ihn unverzüglich an den Kunden weiter und antwortet nicht selbst, außer um auf den Kunden zu verweisen oder soweit gesetzlich vorgeschrieben.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Shopxare meldet dem Kunden eine Verletzung, die personenbezogene Kundendaten betrifft, unverzüglich und spätestens innerhalb von 72 Stunden, nachdem sie ihm bekannt wurde.

8.2 Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Shopxare liefert weitere Informationen, sobald verfügbar, und ergreift angemessene Schritte zur Eindämmung und Behebung.

8.3 Die Meldung ist kein Schuldeingeständnis.

9. Löschung und Rückgabe

Während der Dienste kann der Kunde personenbezogene Kundendaten exportieren. Innerhalb von 30 Tagen nach Ende der Dienste löscht Shopxare die personenbezogenen Kundendaten aus den aktiven Systemen; Kopien in Sicherungen werden innerhalb des Sicherungszyklus (35 Tage) gelöscht und bis dahin geschützt. Shopxare darf Daten aufbewahren, soweit das Gesetz es verlangt, vorbehaltlich dieses AVV.

10. Überprüfungen

10.1 Auf Anfrage und höchstens einmal jährlich (außer auf Verlangen einer Aufsichtsbehörde oder nach einer Verletzung) beantwortet Shopxare einen angemessenen Sicherheitsfragebogen und stellt seine aktuelle Sicherheitsdokumentation zur Verfügung.

10.2 Reicht dies zum Nachweis nicht aus, kann der Kunde mit einer Frist von mindestens 30 Tagen schriftlich eine Prüfung durchführen, während der Geschäftszeiten, ohne unangemessene Störung des Betriebs von Shopxare, unter einer Vertraulichkeitsvereinbarung und auf eigene Kosten. Unterauftragsverarbeiter werden anhand ihrer Berichte und Zertifizierungen geprüft.

11. Internationale Übermittlungen

11.1 Personenbezogene Kundendaten werden auf Servern in der Türkei gespeichert und können in den Vereinigten Staaten und anderen Ländern verarbeitet werden, in denen Shopxare oder seine Unterauftragsverarbeiter tätig sind.

11.2 EWR. Soweit personenbezogene Kundendaten, die der DSGVO unterliegen, in ein Land ohne Angemessenheitsbeschluss übermittelt werden, vereinbaren die Parteien die mit Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln („SCC“): Modul Zwei (Verantwortlicher an Auftragsverarbeiter), wenn der Kunde Verantwortlicher ist, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), wenn er Auftragsverarbeiter ist. Für die SCC gilt: Klausel 7 (Kopplungsklausel) findet Anwendung; nach Klausel 9 gilt Option 2 (allgemeine Genehmigung) mit der Frist aus Ziffer 6.2; die optionale Formulierung in Klausel 11 gilt nicht; nach Klauseln 17 und 18 gelten das Recht und die Gerichte Irlands; die Anhänge I bis III der SCC werden durch die Anlagen I bis III dieses AVV ausgefüllt.

11.3 Vereinigtes Königreich. Für Übermittlungen nach der UK GDPR gilt das vom Information Commissioner herausgegebene International Data Transfer Addendum zu den SCC; Tabelle 1 wird durch Anlage I, Tabelle 2 durch Ziffer 11.2, Tabelle 3 durch die Anlagen I bis III ausgefüllt, und Tabelle 4 erlaubt beiden Parteien die Beendigung.

11.4 Schweiz. Für Übermittlungen nach Schweizer Recht gelten die SCC mit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten als zuständiger Behörde; Verweise auf die DSGVO gelten als Verweise auf Schweizer Recht.

11.5 Türkei. Für Übermittlungen nach dem KVKK verwenden die Parteien, soweit erforderlich, den von der türkischen Datenschutzbehörde veröffentlichten Standardvertrag, und der Kunde nimmt die erforderliche Mitteilung an die Behörde vor.

11.6 Wird ein Übermittlungsmechanismus unwirksam, arbeiten die Parteien an einer Alternative zusammen.

12. US-Datenschutzgesetze

Soweit der CCPA oder ähnliche Gesetze von US-Bundesstaaten gelten, handelt Shopxare als „Service Provider“ bzw. „Processor“. Shopxare wird personenbezogene Kundendaten (a) nicht verkaufen oder weitergeben; (b) nicht für andere Zwecke als die Bereitstellung der Dienste oder außerhalb der direkten Geschäftsbeziehung mit dem Kunden speichern, nutzen oder offenlegen; (c) nicht mit personenbezogenen Daten aus anderen Quellen verknüpfen, soweit gesetzlich nicht erlaubt; Shopxare erfüllt die einschlägigen Pflichten dieser Gesetze, bietet das von ihnen verlangte Schutzniveau und informiert den Kunden, wenn es diese nicht mehr erfüllen kann. Der Kunde kann angemessene Schritte zur Unterbindung unbefugter Nutzung ergreifen. Shopxare bestätigt, diese Einschränkungen zu verstehen.

13. Haftung und Vorrang

Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen des Vertrags, soweit Datenschutzrecht oder die SCC nichts anderes vorschreiben. Bei Widersprüchen zum Vertrag geht dieser AVV für die Verarbeitung personenbezogener Kundendaten vor; bei Widersprüchen zu den SCC gehen die SCC vor.

---

Anlage I – Beschreibung der Verarbeitung

Datenexporteur: der Kunde gemäß Vertrag oder Workspace; Kontakt: der Workspace-Inhaber. Rolle: Verantwortlicher oder Auftragsverarbeiter. Tätigkeit: Nutzung der Dienste.

Datenimporteur: Shopxare, LLC, 2318 Garden Rd, Shopxare Park, Monterey, CA 93940, Vereinigte Staaten; [email protected]. Rolle: Auftragsverarbeiter. Tätigkeit: Bereitstellung der Dienste.

Kategorien betroffener Personen: Endnutzer des Kunden (Website-Besucher, Kunden, Interessenten und andere Personen, die den Kunden kontaktieren) und Nutzer des Kunden (Teammitglieder).

Kategorien personenbezogener Daten: Namen, E-Mail-Adressen, Telefonnummern, vom Kunden übermittelte Nutzerkennungen und Attribute; Nachrichteninhalte und Dateien; Telegram- und E-Mail-Kennungen; Seitenaufrufe, Ereignisse, Gerät, Browser, Sprache und ungefährer Standort (aus der IP-Adresse abgeleitet); Anruf-Signalisierungsdaten (Anrufe werden nicht aufgezeichnet); Gesprächsbewertungen; Namen, Fotos und Positionen von Teammitgliedern.

Besondere Kategorien: nicht vorgesehen; sie fallen nur an, wenn Endnutzer sie in Nachrichten angeben, wobei die Maßnahmen nach Anlage II gelten.

Häufigkeit: fortlaufend.

Art und Zweck: Hosting, Speicherung, Übermittlung, Anzeige, Suche, Analyse (einschließlich vom Kunden aktivierter KI-Funktionen), Übersetzung und Löschung zur Bereitstellung der Dienste für den Kunden.

Speicherdauer: für die Dauer des Vertrags, danach wie in Ziffer 9 beschrieben.

Übermittlungen an Unterauftragsverarbeiter: wie in Anlage III aufgeführt, zu den dort genannten Zwecken.

Zuständige Aufsichtsbehörde: die nach Klausel 13 der SCC bestimmte Behörde.

Anlage II – Technische und organisatorische Maßnahmen

Die Maßnahmen sind in unserer Sicherheitsübersicht beschrieben und umfassen: Verschlüsselung bei der Übertragung (TLS 1.2+); verschlüsselte Speicherung von Zugangsdaten wie Integrations-Tokens und API-Schlüsseln; gesalzenes Passwort-Hashing; Zwei-Faktor-Authentifizierung und Anmeldefreigabe für Teammitglieder; rollenbasierte Zugriffskontrolle und Mandantentrennung in der Anwendung; Audit-Protokolle; Beschränkung des Zugriffs auf Produktivsysteme auf befugtes Shopxare-Personal; Netzwerkschutz und DDoS-Abwehr über Cloudflare; Anfragebegrenzung; signierte Webhooks; Identitätsprüfung (HMAC) für Messenger-Nutzer; tägliche Sicherungen mit 35 Tagen Aufbewahrung; Überwachung und öffentliche Statusseite; Verfahren zur Reaktion auf Vorfälle; sichere Entwicklungspraktiken mit automatisierten Tests vor jedem Release; und Vertraulichkeitspflichten des Personals.

Anlage III – Unterauftragsverarbeiter

Siehe die Seite Unterauftragsverarbeiter, die Teil dieses AVV ist.