Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

für die Shopify-App FloziSurvey

Vertragsparteien

Verantwortlicher (nachfolgend „Händler“):
[Firma des Händlers]
[Anschrift]
Shopify-Shop: [shop-domain].myshopify.com
Vertreten durch: [Name]

Auftragsverarbeiter (nachfolgend „Flozify“):
Flozify GmbH
Brühlstr. 3/1
75236 Kämpfelbach, Deutschland
Amtsgericht Mannheim, HRB 759143
Vertreten durch die Geschäftsführung: Colin Aydt
E-Mail: service@flozify.com

Präambel

Der Händler nutzt die Shopify-App „FloziSurvey“ (nachfolgend „App“), um Kundinnen und Kunden nach dem Kauf Umfragen anzuzeigen und die Antworten auszuwerten. Dabei verarbeitet Flozify personenbezogene Daten aus dem Shopify-Shop des Händlers in dessen Auftrag. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO). Sie ergänzt die Nutzungsbedingungen der App; bei Widersprüchen hat diese Vereinbarung in Datenschutzfragen Vorrang.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung und der Betrieb der App einschließlich Anzeige von Umfragen im Shopify-Checkout, Speicherung und Auswertung der Antworten, Zuordnung zu Bestellungen und Kunden sowie die vom Händler konfigurierten Exporte und Integrationen.
2. Die Vereinbarung beginnt mit der Installation der App im Shop des Händlers und endet mit deren Deinstallation, spätestens jedoch mit der vollständigen Löschung der Daten nach § 10.
3. Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union statt. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen von § 6 und Anlage 2.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck: Anzeige von Post-Purchase-Umfragen, Erhebung und Speicherung der Antworten, Zuordnung zur Bestellung, Auswertung (Verteilung, Umsatz-Attribution, Kundenwert), Export durch den Händler, Weitergabe an vom Händler aktivierte Integrationen, Durchsetzung des Bestell-Limits des gewählten Tarifs.
2. Art der Verarbeitung: Erheben, Speichern, Verknüpfen, Auswerten, Anonymisieren, Übermitteln (nur an vom Händler konfigurierte Ziele), Löschen.
3. Kategorien personenbezogener Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.
4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Händler ist verpflichtet, Umfragefragen so zu gestalten, dass solche Daten nicht abgefragt werden.

§ 3 Pflichten von Flozify

1. Flozify verarbeitet personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung und der dokumentierten Weisungen des Händlers (§ 5). Eine Verarbeitung zu eigenen Zwecken, ein Verkauf oder eine Nutzung zu Werbezwecken finden nicht statt.
2. Flozify stellt sicher, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind und nur im erforderlichen Umfang Zugriff erhalten.
3. Flozify trifft die technischen und organisatorischen Maßnahmen nach Anlage 3 und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht unterschritten werden.
4. Flozify unterstützt den Händler bei der Erfüllung der Betroffenenrechte (§ 7), bei der Meldung von Datenschutzverletzungen (§ 9) und bei Datenschutz-Folgenabschätzungen, soweit die Verarbeitung durch die App betroffen ist.
5. Flozify informiert den Händler unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
6. Flozify benennt einen Ansprechpartner für Datenschutzfragen: service@flozify.com.
7. Flozify unterhält ein Zugriffsprotokoll über Zugriffe auf personenbezogene Daten und stellt es dem Händler auf Anfrage zur Verfügung.

§ 4 Pflichten des Händlers

1. Der Händler ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, insbesondere für Rechtsgrundlage, Informationspflichten gegenüber den Kundinnen und Kunden sowie für die inhaltliche Gestaltung der Umfragen verantwortlich.
2. Der Händler entscheidet über die Aktivierung von Integrationen (Anlage 2, Abschnitt B). Er stellt sicher, dass für die Weitergabe an Marketing-Systeme die erforderliche Einwilligung vorliegt. Die App übermittelt an Klaviyo nur Antworten von Personen, deren Marketing-Einwilligung im Shopify-Kundendatensatz als erteilt hinterlegt ist.
3. Der Händler informiert Flozify unverzüglich über Fehler oder Unregelmäßigkeiten bei der Verarbeitung.

§ 5 Weisungen

1. Weisungen ergeben sich aus dieser Vereinbarung, den Nutzungsbedingungen und der Konfiguration der App durch den Händler (Umfragen, Targeting, Integrationen, Aufbewahrungsfrist).
2. Weitere Weisungen erteilt der Händler in Textform an service@flozify.com. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Weisungsberechtigt sind die im Shopify-Admin des Händlers berechtigten Nutzer.

§ 6 Unterauftragsverarbeiter

1. Der Händler genehmigt die in Anlage 2, Abschnitt A genannten Unterauftragsverarbeiter.
2. Flozify informiert den Händler über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mindestens 14 Tage vorab per E-Mail an die im Shopify-Shop hinterlegte Adresse oder durch Hinweis in der App. Der Händler kann innerhalb dieser Frist aus wichtigem Grund widersprechen. Bei Widerspruch kann jede Partei die Vereinbarung durch Deinstallation der App beenden.
3. Flozify verpflichtet Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das dieser Vereinbarung entspricht.
4. Vom Händler selbst konfigurierte Datenziele (Anlage 2, Abschnitt B) sind keine Unterauftragsverarbeiter von Flozify, sondern eigene Empfänger des Händlers.
5. Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) einschließlich erforderlicher zusätzlicher Maßnahmen.

§ 7 Rechte der betroffenen Personen

1. Anfragen betroffener Personen richten sich an den Händler. Erreicht eine Anfrage Flozify direkt, leitet Flozify sie unverzüglich an den Händler weiter.
2. Flozify unterstützt den Händler durch folgende Funktionen der App:
   • Auskunft und Datenübertragbarkeit: Export der Antworten als CSV; Shopify-Webhook customers/data_request wird protokolliert.
   • Löschung: Shopify-Webhook customers/redact löscht bzw. anonymisiert die Daten der betroffenen Person automatisch.
   • Berichtigung: Kundendaten werden aus Shopify übernommen; Berichtigungen im Shop werden über customers/update automatisch nachgezogen.
3. Weitergehende Unterstützung erfolgt auf Anfrage innerhalb von 10 Werktagen.

§ 8 Kontrollrechte

1. Der Händler kann die Einhaltung dieser Vereinbarung überprüfen. Flozify stellt dazu auf Anfrage die Dokumentation der technischen und organisatorischen Maßnahmen, Zertifikate bzw. Berichte der Unterauftragsverarbeiter (z. B. SOC 2 von Supabase und Vercel) und das Zugriffsprotokoll zur Verfügung.
2. Prüfungen vor Ort erfolgen nur bei begründetem Anlass, nach Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Händler trägt seine Kosten; über den Aufwand von Flozify bei mehr als einer Prüfung pro Jahr ohne konkreten Anlass kann Flozify eine angemessene Vergütung verlangen.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Flozify meldet dem Händler Verletzungen des Schutzes personenbezogener Daten, die Daten des Händlers betreffen, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die im Shopify-Shop hinterlegte E-Mail-Adresse.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen.
3. Flozify unterstützt den Händler bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der betroffenen Personen.

§ 10 Löschung und Rückgabe

1. Laufender Betrieb: Personenbezogene Daten werden 730 Tage nach Erhebung automatisch gelöscht bzw. anonymisiert (Entfernung von Name, E-Mail, IP-Adresse und User-Agent). Die aggregierte Auswertung bleibt ohne Personenbezug erhalten. Der Händler kann eine kürzere Frist verlangen.
2. Deinstallation: Nach Eingang des Shopify-Webhooks shop/redact (Shopify sendet ihn 48 Stunden nach Deinstallation) löscht Flozify sämtliche personenbezogenen Daten des Shops. Vor der Deinstallation kann der Händler seine Daten per CSV-Export sichern.
3. Zugriffstoken des Shops werden bei Deinstallation sofort ungültig gemacht.
4. Gesetzliche Aufbewahrungspflichten bleiben unberührt; darunter fallende Daten werden gesperrt und nach Fristablauf gelöscht.
5. Flozify bestätigt die Löschung auf Anfrage in Textform.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen der App. Die Parteien stellen sich gegenseitig von Ansprüchen frei, soweit der jeweils andere Teil die Verletzung zu verantworten hat.

§ 12 Schlussbestimmungen

1. Änderungen dieser Vereinbarung bedürfen der Textform. Flozify kann die Anlagen anpassen, soweit dies die Sicherheit nicht mindert; § 6 Abs. 2 gilt für Unterauftragsverarbeiter entsprechend.
2. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz von Flozify.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam.
4. Abschluss: Diese Vereinbarung wird durch Installation der App und Bestätigung im Einrichtungsdialog bzw. durch Unterzeichnung geschlossen. Die jeweils gültige Fassung ist unter https://flozisurvey.flozify.com/avv.html abrufbar; der Händler erhält auf Anfrage eine unterschriebene Fassung.

Kämpfelbach, den [Datum]

Für Flozify: ______________________ (Colin Aydt, Geschäftsführung)

Für den Händler: ______________________ ([Name, Funktion])

Anlage 1 – Gegenstand der Verarbeitung

A. Kategorien betroffener Personen

• Kundinnen und Kunden des Händlers, die im Shopify-Shop eine Bestellung aufgeben
• Nutzerinnen und Nutzer des Shopify-Admins des Händlers (Mitarbeitende), soweit sie die App und den Support-Chat verwenden

B. Kategorien personenbezogener Daten

Nicht verarbeitet werden Telefonnummern, vollständige Adressen, Zahlungsdaten und Passwörter.

C. Speicherdauer

730 Tage ab Erhebung, danach automatische Anonymisierung. Vollständige Löschung bei Deinstallation nach § 10.

Anlage 2 – Unterauftragsverarbeiter und Empfänger

A. Von Flozify eingesetzte Unterauftragsverarbeiter

Shopify (Shopify International Ltd., Dublin, für Händler in der EU) ist als Plattformanbieter Auftragsverarbeiter des Händlers und Quelle der Daten, nicht Unterauftragsverarbeiter von Flozify.

B. Vom Händler konfigurierte Empfänger (eigene Verantwortung des Händlers)

Werden nur aktiv, wenn der Händler die Integration in der App einrichtet. Übermittelt werden Antworten, Bestellnummer und Kennzahlen; Namen und E-Mail-Adressen werden nicht übertragen, mit Ausnahme der E-Mail-Adresse als Zuordnungsschlüssel bei Klaviyo.

Anlage 3 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Kein eigener Serverbetrieb; Rechenzentren der Unterauftragsverarbeiter mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal (AWS Frankfurt, Vercel).
• Zugangskontrolle: Zugriff auf Produktionssysteme nur für die Geschäftsführung und ausdrücklich berechtigte Personen, ausschließlich mit Zwei-Faktor-Authentifizierung. Keine geteilten Konten.
• Zugriffskontrolle: Händler authentifizieren sich ausschließlich über Shopify (Session-Token, App Bridge). Jede Anfrage wird dem installierenden Shop zugeordnet; Datenbankabfragen sind mandantengetrennt über die Installations-ID. API-Zugänge sind nur lesend, mit einzeln widerrufbaren Tokens, die nur einmal angezeigt werden.
• Trennungskontrolle: Logische Trennung der Shops in der Datenbank; getrennte Umgebungen für Test und Produktion; Testbestellungen laufen ausschließlich über das Shopify-Testgateway.
• Pseudonymisierung: Nach Ablauf der Aufbewahrungsfrist werden Name, E-Mail, IP-Adresse und User-Agent entfernt; die Auswertung bleibt ohne Personenbezug erhalten.

2. Integrität

• Weitergabekontrolle: Verschlüsselung aller Verbindungen mit TLS 1.2 oder höher (HSTS aktiv); Verschlüsselung im Ruhezustand in der Datenbank und in Backups; Shopify-Webhooks werden per HMAC-Signatur verifiziert; Übermittlungen an Integrationen nur an vom Händler eingetragene Ziele.
• Eingabekontrolle: Zugriffe auf personenbezogene Daten (Exporte, Datenschutz-Webhooks) werden in einem Zugriffsprotokoll mit Zeitpunkt, Aktion und Auslöser festgehalten.

3. Verfügbarkeit und Belastbarkeit

• Tägliche automatische Datenbank-Backups beim Datenbankanbieter mit sieben Tagen Aufbewahrung.
• Serverless-Betrieb mit automatischer Skalierung; Überwachung der Fehlerprotokolle.
• Ratenbegrenzung an öffentlichen Endpunkten gegen Missbrauch.

4. Verfahren zur regelmäßigen Überprüfung

• Datenschutzfreundliche Voreinstellungen: minimale Shopify-Berechtigungen (nur Lesen von Bestellungen und Kunden), keine Erhebung nicht benötigter Daten (z. B. Telefonnummer).
• Auftragskontrolle: schriftliche Verträge mit allen Unterauftragsverarbeitern; Prüfung ihrer Zertifizierungen (SOC 2 Typ II, ISO 27001).
• Löschkonzept: tägliche automatische Anonymisierung nach Frist; automatische Verarbeitung der Shopify-Datenschutz-Webhooks; vollständige Löschung bei Deinstallation.
• Incident-Management: Meldeprozess nach § 9 dieser Vereinbarung; Software-Abhängigkeiten werden regelmäßig aktualisiert.