Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag gilt zwischen dem Händler (nachfolgend Verantwortlicher) und Ayoub El Hobbi (nachfolgend Auftragsverarbeiter), sobald der Händler den AVV in den App-Einstellungen akzeptiert. Er beschreibt, wie EU Gewährleistung Plus Daten im Auftrag des Händlers verarbeitet.

1. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die technische Bereitstellung und Konfiguration der App EU Gewährleistung Plus im Shopify-Shop des Verantwortlichen. Dies umfasst die Konfiguration und Ausspielung des gesetzlichen Gewährleistungshinweises nach Verordnung (EU) 2025/1960 sowie optionaler Kennzeichnungen für gewerbliche Hersteller- oder Verkäufergarantien (GARAN-Label) auf Produktseiten und Kollektionskarten.

Die Verarbeitung beginnt mit der Installation der App und der Bestätigung in den Einstellungen. Sie dauert so lange an, wie die App im Shop des Verantwortlichen installiert ist, zuzüglich etwaiger gesetzlicher Aufbewahrungsfristen.

2. Art und Umfang der Daten

Keine Endkundendaten: Die App erhebt, verarbeitet und speichert keine personenbezogenen Daten von Endkunden oder Käufern des Onlineshops (keine Namen, Anschriften, E-Mail-Adressen, Bestell- oder Zahlungsinformationen).

Verarbeitet werden ausschließlich Daten, die für die Bereitstellung der App erforderlich sind:

• Shop-Domain, Spracheinstellungen und technische Sitzungs- bzw. Zugriffstoken für den Shopify-Admin-Zugang
• Produkt-IDs, Produkttitel, Tags und Variantenmerkmale zur regelbasierten Zuordnung der Kennzeichnungen
• Metafelder im Namensraum egp (z. B. egp.config und egp.settings) zur Theme-Darstellung
• Aggregierte Zähler und technische Fehlerprotokolle ohne Personenbezug

3. Zweck und Weisungsgebundenheit

Die Datenverarbeitung erfolgt ausschließlich zu dem Zweck, die gesetzlichen Hinweise und GARAN-Label ordnungsgemäß im Onlineshop des Verantwortlichen darzustellen und im Admin-Bereich zu verwalten.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet.

4. Unterauftragsverarbeiter

Für den Betrieb der App werden folgende Unterauftragsverarbeiter eingesetzt:

• Shopify Inc. (151 O'Connor Street, Ground floor, Ottawa, ON K2P 2L8, Kanada) — Bereitstellung der E-Commerce-Plattform, App-Bridge-Infrastruktur, APIs und App-Proxy.
• Cloud-Hosting & Datenbank-Infrastruktur mit Serverstandort in der Europäischen Union (Coolify / PostgreSQL) — Speicherung von Konfigurationseinstellungen, Sitzungen und Audit-Logs.

Soweit Daten in Drittländer übermittelt werden, erfolgt dies auf Grundlage von Angemessenheitsbeschlüssen der EU-Kommission bzw. Standardvertragsklauseln (SCC).

5. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Sicherheitsmaßnahmen gemäß Art. 32 DSGVO:

• Verschlüsselte Datenübertragung nach aktuellem Stand der Technik (TLS 1.3 / HTTPS)
• Zugriffsbeschränkung auf den Shopify-Admin über OAuth 2.0 und kurzlebige Session-Tokens
• Kryptografische Signaturprüfung (HMAC) bei Aufrufen über den Shopify App-Proxy
• Vollständige Datentrennung je Shopify-Shop (`shopId` / Mandantentrennung)
• Strikte Protokollhygiene: keine sensiblen Parameter oder Tokens in Anwendungslogs

6. Betroffenenrechte und Datenlöschung

Sollten Anfragen von betroffenen Personen bezüglich der App eingehen, unterstützt der Auftragsverarbeiter den Verantwortlichen im Rahmen der technischen Möglichkeiten.

Shopify-Pflicht-Webhooks (shop/redact, customers/redact, customers/data_request) werden automatisch durch die App verarbeitet. Nach Deinstallation der App und Eingang des shop/redact-Webhooks werden sämtliche Shop- und Einstellungsdaten aus der App-Datenbank dauerhaft gelöscht. Der Händler kann zudem alle gespeicherten Daten jederzeit selbst über den Tab Datenlöschung unwiderruflich entfernen.

7. Haftung und Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Änderungen dieses Vertragstextes werden in der App transparent ausgewiesen. Der Zeitpunkt der Zustimmung durch den Verantwortlichen wird im System manipulationssicher mit Zeitstempel protokolliert.