Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO – Shopbeleg

ENTWURF – vor Veröffentlichung anwaltlich prüfen lassen. Platzhalter in [eckigen Klammern].

zwischen dem Händler (Verantwortlicher) und [Name, Geschäftsadresse] (Auftragsverarbeiter).

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um mit der App Shopbeleg Rechnungen, Rechnungskorrekturen, Stornorechnungen, E-Rechnungen und Exporte zu erstellen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art der Daten, betroffene Personen, Zweck

• Betroffene: Kunden des Händlers (Endkunden und Geschäftskunden), Ansprechpartner von Geschäftskunden, Nutzer des Händlerkontos.
• Daten: Name, Firma, Rechnungs- und Lieferadresse, E-Mail, Telefon (falls angegeben), USt-IdNr., Bestell- und Zahlungsdaten (Positionen, Beträge, Währung, Erstattungen), Bestell- und Rechnungsnummern.
• Zweck: ausschließlich Erstellung, Bereitstellung (auch zum Selbstabruf durch Kunden über einen nicht erratbaren, befristeten Link), Versand (falls aktiviert, auch monatlich an die vom Händler hinterlegte und bestätigte Adresse seines Steuerberaters), Vollständigkeitsprüfung und Export von Rechnungsdokumenten sowie Prüfung von USt-IdNrn. über das VIES-System der EU.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Konfiguration und Nutzung der App gilt als Weisung. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

4. Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Mindestens: Verschlüsselung bei Übertragung (TLS) und, soweit möglich, im Ruhezustand; Zugriff nur über Shopify-Authentifizierung und mandantengetrennte Datenhaltung; Zugriffsbeschränkung und Protokollierung administrativer Zugriffe; regelmäßige Backups; Löschkonzept; regelmäßige Updates. Details: Anlage 1 [TOM-Liste ergänzen].

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens [30] Tage vorher; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag kündigen. Unterauftragsverarbeiter werden vertraglich zu gleichwertigem Datenschutz verpflichtet.

7. Drittlandübermittlung

Eine Verarbeitung außerhalb von EU/EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss, EU-US Data Privacy Framework, Standardvertragsklauseln).

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt bei Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Einschränkung), technisch insbesondere über die Shopify-Datenschutz-Webhooks, sowie bei Datenschutz-Folgenabschätzungen und Meldungen nach Art. 33/34 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst binnen 24 Stunden nach Kenntnis.

9. Löschung und Rückgabe

Nach Vertragsende stellt der Auftragsverarbeiter die Daten [30] Tage zum Export bereit und löscht sie danach. Erhält er eine Löschanforderung zu Daten, die Teil aufbewahrungspflichtiger Rechnungen sind, informiert er den Verantwortlichen, der über die Aufbewahrung entscheidet; bis dahin werden die Daten gesperrt statt gelöscht.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung, vorrangig durch Selbstauskunft oder Zertifikate.

11. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregelung der Nutzungsbedingungen, soweit Art. 82 DSGVO nicht entgegensteht.

Anlage 1 – TOM

[ausführliche Liste: Hosting-Standort, Verschlüsselung, Zugriffskonzept, Backups, Löschfristen]

Anlage 2 – Unterauftragsverarbeiter

Hinweis: Die Europäische Kommission (VIES) und Shopify sind keine Unterauftragsverarbeiter des Anbieters; VIES-Abfragen werden in der Datenschutzerklärung genannt, Shopify ist eigenständiger Dienst des Händlers.