Auftragsverarbeitungsvertrag

1. Geltungsbereich und Rollen

Sie sind Verantwortlicher für personenbezogene Daten über die Besucher, Kunden und Abonnenten Ihres Shops sowie über alle Personen, die Ihren Shop kontaktieren („Shop-Personendaten“). Suplify verarbeitet Shop-Personendaten als Ihr Auftragsverarbeiter. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679 sowie, soweit anwendbar, die UK GDPR und das Schweizer Bundesgesetz über den Datenschutz (DSG); „Datenschutzrecht“ bezeichnet die DSGVO und jedes sonstige auf die Verarbeitung anwendbare Recht, einschließlich der Datenschutzgesetze der US-Bundesstaaten.

Suplify ist eigenständiger Verantwortlicher (nicht Ihr Auftragsverarbeiter) für Daten über Sie und Ihr Team als unsere Kunden sowie für eine begrenzte Verarbeitung von Shop-Personendaten, die für die Plattformsicherheit, die shopübergreifende Verhinderung von Betrug und Missbrauch und die Erfüllung unserer eigenen rechtlichen Pflichten erforderlich ist. Stripe verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher gemäß seinen eigenen Bedingungen mit Ihnen.

2. Einzelheiten der Verarbeitung (Anhang 1)

• Gegenstand und Zweck: Hosting und Betrieb Ihres Shops; Abwicklung von Bestellungen und Zahlungen über Stripe; Herstellung, Verpackung und Versand von Bestellungen durch Fulfillment-Lieferanten und Versanddienstleister; Versand der von Ihnen eingerichteten Bestell-, Versand-, Konto- und Marketing-E-Mails; Kundensupport-Tools und Ihr Shop-Postfach; Abonnements; Einwilligungsnachweise und Besuchszählungen; von Ihnen auf Shop-Inhalte angewandte KI-Funktionen; Betrugsprävention für Ihre Bestellungen.
• Art der Verarbeitung: Erhebung, Speicherung, Organisation, Abruf, Verwendung, Übermittlung an Unterauftragsverarbeiter, Einschränkung, Löschung.
• Kategorien betroffener Personen: Shop-Besucher, Kunden und Empfänger von Bestellungen, Newsletter-Abonnenten, Personen, die Ihren Shop kontaktieren.
• Arten personenbezogener Daten: Name, E-Mail-Adresse, Telefonnummer, Rechnungs- und Lieferadresse, Bestellhistorie und -inhalte, Zahlungsstatus (keine vollständigen Kartennummern), Abonnementstatus, Nachrichten, Einwilligungsentscheidungen, Marketingpräferenzen, technische Daten (IP-Adresse, Gerät und Browser, zufällige Besuchskennung).
• Besondere Kategorien: keine vorgesehen. Produktkäufe (zum Beispiel von Nahrungsergänzungsmitteln) können in seltenen Fällen Rückschlüsse auf die Gesundheit zulassen; fragen Sie Kunden nicht nach Gesundheitsdaten und informieren Sie uns, bevor Sie dies tun.
• Dauer: für die Laufzeit der Bedingungen zuzüglich der Löschfrist gemäß Abschnitt 9.

3. Ihre Weisungen

Suplify verarbeitet Shop-Personendaten ausschließlich auf Ihre dokumentierte Weisung; diese besteht aus: den Bedingungen und diesem AVV, Ihren Einstellungen und Handlungen in Suplify sowie sonstigen schriftlich mit uns vereinbarten Weisungen. Dies umfasst Übermittlungen in Drittländer wie in Abschnitt 7 beschrieben. Ist Suplify gesetzlich zur Verarbeitung von Daten verpflichtet, teilt Suplify Ihnen dies vorab mit, sofern das Gesetz dies nicht verbietet. Suplify informiert Sie, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

Sie sind für die Rechtmäßigkeit der von Ihnen angewiesenen Verarbeitung verantwortlich: eine Rechtsgrundlage, eine Datenschutzerklärung in Ihrem Shop (wir erstellen eine, die Sie bearbeiten können), eine Einwilligung, soweit erforderlich (zum Beispiel für Marketing-E-Mails und Werbe-Tags), und die Beantwortung der Anfragen Ihrer Kunden.

4. Vertraulichkeit

Suplify stellt sicher, dass alle zur Verarbeitung von Shop-Personendaten befugten Personen zur Vertraulichkeit verpflichtet sind und nur insoweit darauf zugreifen, wie es für ihre Arbeit erforderlich ist (zum Beispiel, um ein Problem zu beheben oder eine von Ihnen gesendete Supportanfrage zu beantworten).

5. Sicherheit (Anhang 2)

Suplify trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Kosten und der Risiken für die betroffenen Personen. Aktuelle Maßnahmen:

• Verschlüsselung: TLS für alle Verbindungen; Verschlüsselung ruhender Daten für Datenbank, Dateispeicher und Backups; Backups werden mit einem Schlüssel verschlüsselt, den die Produktionsserver nicht lesen können; Schlüssel von Zahlungsanbietern werden verschlüsselt gespeichert.
• Zugriffskontrolle: Mandantentrennung in der Datenbank durch Row-Level-Security, sodass die Daten jedes Shops nur dessen Mitgliedern zugänglich sind; rollenbasierter Mitarbeiterzugriff nach dem Prinzip der minimalen Rechte; Anmeldung per Einmal-Code per E-Mail; Serverzugriff ausschließlich über SSH-Schlüssel; Geheimnisse werden aus Code und Logs herausgehalten.
• Hosting: Datenbank in der Schweiz und Server in Deutschland bei Anbietern mit anerkannten Sicherheitszertifizierungen (wie ISO 27001 oder SOC 2); Firewall und DDoS-Schutz über Cloudflare.
• Verfügbarkeit und Belastbarkeit: nächtliche verschlüsselte Backups mit einer Aufbewahrung von 30 Tagen, regelmäßige Wiederherstellungsübungen, Deployments ohne Ausfallzeit mit Rollback, Verfügbarkeits- und Zustandsüberwachung mit Alarmierung.
• Integrität: automatisierte Tests und Continuous Integration vor jedem Release; Datenbankänderungen über geprüfte Migrationen; Audit-Logs für Rechtsdokumente, Domains und sensible Administratoraktionen.
• Überwachung und Reaktion: Fehler- und Sicherheitsüberwachung mit Alarmen; ein dokumentiertes Verfahren zur Bewertung und Meldung von Vorfällen.
• Sichere Entwicklung: Sicherheits-Header und Ratenbegrenzungen an sensiblen Endpunkten; Secret-Scanning, Abhängigkeitsprüfungen und statische Codeanalyse in der Continuous Integration, die vor jedem Deployment bestanden werden müssen; eine tägliche Prüfung, dass jede Datenbanktabelle Row-Level-Security beibehält.
• Datenminimierung: Vollständige Kartennummern gelangen niemals zu Suplify (Stripe hostet das Zahlungsformular); Lieferanten erhalten nur, was sie für den Versand einer Bestellung benötigen; Besuchszählungen verwenden eine zufällige Kennung ohne Name, E-Mail-Adresse oder IP-Adresse.
• Dienstleister: Unterauftragsverarbeiter sind durch Datenverarbeitungsbedingungen mit gleichwertigem Schutz gebunden und werden vor ihrem Einsatz geprüft.

Suplify darf diese Maßnahmen aktualisieren, solange das Gesamtschutzniveau nicht verringert wird.

6. Unterauftragsverarbeiter

Sie erteilen Suplify eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste (Anhang 3):

• Supabase, Inc.

  Zweck: Datenbank, Anmeldung und Dateispeicher (alle Konto-, Shop-, Bestell- und Kundendaten)

  Standort: Daten gehostet in Zürich, Schweiz

  Garantie für die Übermittlung: Für die Schweiz besteht ein Angemessenheitsbeschluss der EU; Standardvertragsklauseln (SCC) für etwaige Supportzugriffe aus den USA

• Hetzner Online GmbH

  Zweck: Anwendungsserver, Logs und verschlüsselte Backups

  Standort: Deutschland

  Garantie für die Übermittlung: Innerhalb der EU

• Cloudflare, Inc.

  Zweck: Content Delivery, DNS, Sicherheits- und Bot-Schutz, Domainregistrierung, Weiterleitung eingehender E-Mails

  Standort: Globales Netzwerk; Unternehmen in den Vereinigten Staaten

  Garantie für die Übermittlung: EU-U.S. Data Privacy Framework und SCC

• Stripe (Stripe Payments Europe, Ltd. und Stripe, Inc.)

  Zweck: Kundenzahlungen, Auszahlungen an Händler, Abonnementabrechnung, Betrugsprävention, optionale Steuerberechnung

  Standort: Irland und Vereinigte Staaten

  Garantie für die Übermittlung: EU-U.S. Data Privacy Framework und SCC. Stripe ist zudem eigenständiger Verantwortlicher für seine eigenen rechtlichen Pflichten und Pflichten zur Betrugsprävention

• Resend (Plus Five Five, Inc.)

  Zweck: Anmeldecodes, Bestell- und Versand-E-Mails, Shop-Postfächer, für Händler versandte Marketing-E-Mails

  Standort: Versand in der EU-Region; Unternehmen in den Vereinigten Staaten

  Garantie für die Übermittlung: SCC

• Anthropic, PBC

  Zweck: KI-Textgenerierung (Marken-, Produkt- und Richtlinientexte, Prüfung von Werbeaussagen)

  Standort: Vereinigte Staaten

  Garantie für die Übermittlung: SCC; Eingaben werden nicht zum Training von Modellen verwendet

• OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.)

  Zweck: KI-Funktionen für Text, Bilder, Übersetzung und Transkription von Sprachnachrichten

  Standort: Vereinigte Staaten

  Garantie für die Übermittlung: SCC; Eingaben werden nicht zum Training von Modellen verwendet

• Google (Google Ireland Ltd. / Google LLC)

  Zweck: Adress-Autovervollständigung im Checkout (Google Maps Platform), optionale Anmeldung über „Mit Google fortfahren“ sowie Google-Ads-/Analytics-Tags nur, wenn ein Händler diese aktiviert

  Standort: Globales Netzwerk; Unternehmen in den Vereinigten Staaten

  Garantie für die Übermittlung: EU-U.S. Data Privacy Framework und SCC

• Openprovider (Hosting Concepts B.V.)

  Zweck: Registrierung von Domainnamen, die ein Händler über die Plattform erwirbt (Name, Anschrift, E-Mail-Adresse und Telefonnummer des Domaininhabers)

  Standort: Niederlande

  Garantie für die Übermittlung: Innerhalb der EU; Registry-Betreiber außerhalb des EWR erhalten die von der Registry benötigten Daten (Art. 49 Abs. 1 lit. b DSGVO)

• Telegram (Telegram Messenger Inc.) und Slack (Slack Technologies, LLC, ein Unternehmen von Salesforce)

  Zweck: Optionale Chat-App-Kanäle: Nachrichten des Inhabers und Antworten des Super Agent, wenn ein Inhaber Telegram oder Slack verbindet, Bestellbenachrichtigungen und tägliche Zusammenfassungen sowie betriebliche Warnmeldungen an das Plattform-Team. Keine Nutzung, sofern der Inhaber die App nicht verbindet

  Standort: Globale Netzwerke; Unternehmen außerhalb der EU/des EWR (Slack: Vereinigte Staaten)

  Garantie für die Übermittlung: Eigene Entscheidung des Inhabers zur Nutzung des Dienstes (Art. 49 Abs. 1 lit. b DSGVO); Slack: EU-U.S. Data Privacy Framework und SCC

• Klaviyo, Inc.

  Zweck: Integration für E-Mail-Listen und Messung, nur wenn ein Händler Klaviyo mit seinem Shop verbindet

  Standort: Vereinigte Staaten

  Garantie für die Übermittlung: EU-U.S. Data Privacy Framework und SCC; der Händler ist Verantwortlicher für die übermittelten Daten

• Meta Platforms Ireland Ltd. (Meta Pixel und Conversions API)

  Zweck: Werbemessung: das eigene Registrierungs-Pixel der Plattform sowie das Meta Pixel / die Conversions API von Shops, deren Händler diese verbindet (Seiten- und Kaufereignisse, gehashte E-Mail-Adresse oder Telefonnummer, soweit übermittelt; Einwilligung in der EU, im EWR, im Vereinigten Königreich und in der Schweiz erforderlich)

  Standort: Irland und Vereinigte Staaten

  Garantie für die Übermittlung: EU-U.S. Data Privacy Framework und SCC; Meta handelt bei der Pixel-Erhebung als gemeinsam Verantwortlicher

• Sonstige von einem Händler gewählte Werbe- und Messtools (TikTok, Snapchat, Pinterest, AppLovin)

  Zweck: Pixel, die der Händler unter Tracking aktiviert; sie werden, soweit gesetzlich erforderlich, erst nach Einwilligung geladen und liegen in der eigenen Entscheidung und Verantwortung des Händlers

  Standort: Irland, Vereinigtes Königreich, Vereinigte Staaten, Singapur (je nach Tool)

  Garantie für die Übermittlung: EU-U.S. Data Privacy Framework und SCC, je nach Tool

• Geprüfte Fulfilment-Lieferanten

  Zweck: Herstellung, Verpackung und Versand von Bestellungen (Name, Lieferanschrift, Telefonnummer oder E-Mail-Adresse, soweit der Zusteller diese benötigt, Bestellinhalt)

  Standort: Deutschland für Bestellungen mit Versand aus der EU; Vereinigte Staaten für Bestellungen mit Versand aus den USA

  Garantie für die Übermittlung: Innerhalb der EU oder SCC, soweit Daten in die USA übermittelt werden

• Vom Lieferanten gewählte Versanddienstleister

  Zweck: Zustellung und Sendungsverfolgung (Name, Anschrift, Telefonnummer oder E-Mail-Adresse für Zustellbenachrichtigungen)

  Standort: Die Versand- und Bestimmungsländer

  Garantie für die Übermittlung: Soweit zur Zustellung der Bestellung erforderlich (Art. 49 Abs. 1 lit. b DSGVO für Zustellungen außerhalb des EWR)

Suplify wird Sie über jede beabsichtigte Hinzuziehung oder Ersetzung mindestens 30 Tage im Voraus per E-Mail oder in Ihrem Dashboard informieren (dringende, aus Sicherheits- oder Kontinuitätsgründen erforderliche Ersetzungen: so bald wie möglich). Sie können innerhalb dieser Frist aus begründeten datenschutzrechtlichen Gründen widersprechen; können wir Ihrem Widerspruch nicht abhelfen, können Sie die betroffenen Dienste ohne Vertragsstrafe kündigen und erhalten eine Erstattung vorausbezahlter Entgelte für den nicht genutzten Zeitraum.

Suplify erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens das gleiche Schutzniveau wie dieser AVV bieten, und bleibt Ihnen gegenüber für deren Leistung verantwortlich.

7. Internationale Übermittlungen

Healis LLC hat ihren Sitz in den Vereinigten Staaten; Personenbezogene Shopdaten werden in der Schweiz und in Deutschland gehostet, und einige Unterauftragsverarbeiter befinden sich in den Vereinigten Staaten. Soweit die Verarbeitung Personenbezogener Shopdaten aus der EU/dem EWR durch Suplify eine Übermittlung in ein Land ohne Angemessenheitsbeschluss umfasst, werden die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission angenommenen Standardvertragsklauseln, Modul Zwei (Verantwortlicher an Auftragsverarbeiter), durch Bezugnahme einbezogen, mit Ihnen als Datenexporteur und Suplify als Datenimporteur, wie folgt: Klausel 7 (Kopplungsklausel) findet Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung, Frist von 30 Tagen); die optionale Formulierung in Klausel 11 findet keine Anwendung; Klauseln 17 und 18: das Recht und die Gerichte Irlands; die Anhänge I bis III werden durch die Abschnitte 2, 5 und 6 dieses AVV ausgefüllt, und die zuständige Aufsichtsbehörde ist diejenige, die gemäß Klausel 13 bestimmt wird.

Für das Vereinigte Königreich gilt das UK International Data Transfer Addendum zu den SCC; für die Schweiz gelten die SCC mit der Maßgabe, dass Verweise auf die DSGVO als Verweise auf das DSG und der EDÖB als zuständige Behörde zu verstehen sind. Suplify stützt sich für Weiterübermittlungen auf die Zertifizierung der Unterauftragsverarbeiter nach dem EU-U.S. Data Privacy Framework oder auf SCC (Modul Drei). Soweit SCC Anwendung finden und im Widerspruch zu diesem AVV stehen, haben die SCC Vorrang.

8. Unterstützung, Verletzungen und Audits

Anfragen betroffener Personen: Suplify stellt in Ihrem Dashboard Werkzeuge zur Einsicht und Verwaltung von Kundendaten bereit und unterstützt Sie bei der Beantwortung von Anfragen auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch, unter anderem durch Export oder Löschung von Daten auf Ihre Weisung. Wendet sich eine betroffene Person bezüglich Ihres Shops direkt an Suplify, leiten wir die Anfrage unverzüglich an Sie weiter und beantworten sie nicht selbst, es sei denn, Sie weisen uns dazu an.

Verletzungen des Schutzes personenbezogener Daten: Suplify wird Sie unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die Personenbezogene Shopdaten betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen benachrichtigen (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle) und Sie informieren, sobald wir mehr erfahren. Suplify wird angemessene Maßnahmen ergreifen, um die Verletzung einzudämmen, und Sie bei der Erfüllung Ihrer Pflichten zur Meldung an Behörden (innerhalb von 72 Stunden gemäß Art. 33 DSGVO) und zur Benachrichtigung betroffener Personen unterstützen. Die Benachrichtigung stellt kein Schuldeingeständnis dar.

Sonstige Unterstützung: Suplify stellt Ihnen angemessene Informationen und Unterstützung für Datenschutz-Folgenabschätzungen, vorherige Konsultationen und Sicherheitspflichten (Art. 32 bis 36 DSGVO) zur Verfügung, unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen.

Audits: Suplify stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, einschließlich dieses AVV, einer Beschreibung ihrer Sicherheitsmaßnahmen und der Zertifizierungen der Unterauftragsverarbeiter, und beantwortet einmal jährlich angemessene schriftliche Fragebögen. Reicht dies nicht aus oder verlangt eine Behörde dies, können Sie Suplify (selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer) mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, auf Ihre Kosten, ohne Zugriff auf Daten anderer Kunden und nicht häufiger als einmal jährlich prüfen, sofern keine Verletzung vorlag.

9. Rückgabe und Löschung

Nach Beendigung der Bedingungen können Sie die Kunden- und Bestelldaten Ihres Shops 30 Tage lang exportieren. Danach löscht Suplify die Personenbezogenen Shop-Daten (Sicherungskopien werden innerhalb weiterer 30 Tage überschrieben), es sei denn, wir sind gesetzlich zu ihrer Aufbewahrung verpflichtet (zum Beispiel aus steuerlichen Gründen aufbewahrte Bestellunterlagen); in diesem Fall bewahren wir sie geschützt und ausschließlich für diesen Zweck auf.

10. Datenschutzgesetze der US-Bundesstaaten

Soweit Datenschutzgesetze von US-Bundesstaaten (zum Beispiel der California Consumer Privacy Act) anwendbar sind, handelt Suplify als Ihr Dienstleister (Service Provider) bzw. Auftragsverarbeiter: Suplify verarbeitet Personenbezogene Shop-Daten ausschließlich für die in diesem AVV beschriebenen Geschäftszwecke; wird sie weder verkaufen noch weitergeben (share) oder für kontextübergreifende verhaltensbasierte Werbung verwenden; wird sie nicht außerhalb der unmittelbaren Geschäftsbeziehung mit Ihnen aufbewahren, verwenden oder offenlegen oder mit anderen Daten zusammenführen, außer soweit diese Gesetze dies erlauben; wird diese Gesetze einhalten und Sie informieren, wenn es dazu nicht mehr in der Lage ist; und Sie können angemessene Maßnahmen ergreifen, um eine unbefugte Nutzung zu unterbinden.

11. Haftung und Laufzeit

Die Haftung jeder Partei nach diesem AVV unterliegt den Beschränkungen in den Bedingungen, außer soweit das Datenschutzrecht oder die Standardvertragsklauseln eine solche Beschränkung nicht zulassen. Dieser AVV gilt so lange, wie Suplify Personenbezogene Shop-Daten für Sie verarbeitet.

12. Kontakt

Kontakt für Datenschutzangelegenheiten: Healis LLC, 5830 E 2nd St, Ste 7000 #36257, Casper, WY 82609, Vereinigte Staaten. E-Mail: support@scale1.app (Betreff „DPA“).