Auftragsverarbeitungsvereinbarung

Vereinbarung nach Art. 28 DSGVO für die Shopify-Apps Hand-E Discounts und Hand-E Payment Rules.
Fassung 1.1 — Stand: 8. September 2026

1. Parteien und Zustandekommen

Verantwortlicher ist der Händler, der die App in seinem Shopify-Shop installiert.

Auftragsverarbeiter ist:

Max Handrik
Hand-E Solutions
c/o flexdienst – #22000
Kurt-Schumacher-Straße 74
67663 Kaiserslautern
Deutschland
info@hand-e.de

Diese Vereinbarung kommt zustande, indem der Händler ihr beim ersten Start der App ausdrücklich zustimmt. Shop, Zeitpunkt und Fassung werden dabei protokolliert. Sie gilt in Textform nach Art. 28 Abs. 9 DSGVO; eine Unterschrift ist dafür nicht erforderlich.

Ändert sich diese Vereinbarung, wird die neue Fassung dem Händler beim nächsten Start der App erneut zur Zustimmung vorgelegt.

Sie endet, sobald der Händler die App deinstalliert. Die Löschpflichten aus Abschnitt 10 bestehen darüber hinaus fort.

2. Gegenstand und Zweck

Hand-E Discounts legt Rabatte im Shop des Händlers an und wertet aus, wie oft sie eingelöst wurden. Zu diesem Zweck verarbeitet die App im Auftrag des Händlers einen eng begrenzten Ausschnitt aus dessen Bestelldaten.

Hand-E Payment Rules entscheidet nach Regeln des Händlers, welche Zahlungsarten im Checkout erscheinen, wie sie heißen und in welcher Reihenfolge sie stehen. Diese Auswertung läuft bei Shopify und dauert nur so lange wie der jeweilige Aufruf des Checkouts; sie verarbeitet dabei die in Abschnitt 3 genannten Angaben. Ein Speichern findet dabei nicht statt.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Die Daten werden nicht verkauft und nicht für Werbung verwendet.

3. Art der Daten

Verarbeitet werden ausschließlich:

Nicht verarbeitet werden Namen, Anschriften, E-Mail-Adressen, Telefonnummern oder Zahlungsdaten von Endkundinnen und Endkunden. Die App fordert die zugehörigen Berechtigungen bei Shopify nicht an. Auch die bestellten Artikel werden nicht übernommen.

Die vollständige Aufstellung aller sieben Datenbestände steht in der Datenschutzerklärung, Abschnitt 4.

Zusätzlich bei Hand-E Payment Rules

Diese App verarbeitet die folgenden Angaben ausschließlich während der Auswertung im Checkout und ohne sie zu speichern:

Auch hier werden Name, Anschrift, Postleitzahl, E-Mail-Adresse und Telefonnummer nicht abgefragt. Die genannten Angaben verlassen Shopify nicht; das Ergebnis der Auswertung ist allein die Angabe, welche Zahlungsarten angezeigt, umbenannt oder umsortiert werden.

4. Kategorien betroffener Personen

• Kundinnen und Kunden des Händlers, deren Bestellung einen Rabatt der App enthielt
• Besucherinnen und Besucher des Shops, die den Checkout aufrufen, während eine Regel von Hand-E Payment Rules aktiv ist
• Der Händler und seine Mitarbeitenden, soweit sie die App bedienen

5. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Diese Vereinbarung samt Datenschutzerklärung ist die Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO; die Installation und Nutzung der App erteilt sie.

Weitere oder abweichende Weisungen richtet der Händler an info@hand-e.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

6. Pflichten und Rechte des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt insbesondere sicher, dass

• für die Verarbeitung eine Rechtsgrundlage besteht und seine eigenen Informationspflichten nach Art. 13, 14 DSGVO gegenüber seinen Kundinnen und Kunden erfüllt sind,
• er in die Eingabefelder der KI-Funktionen keine personenbezogenen Daten eingibt,
• er Weisungen in Textform erteilt und den Auftragsverarbeiter unverzüglich unterrichtet, wenn er einen Verstoß gegen Datenschutzvorschriften feststellt.

Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung nach Abschnitt 12 zu kontrollieren.

7. Vertraulichkeit

Zugriff auf die Daten hat allein der Inhaber. Weitere Personen sind nicht eingesetzt. Werden künftig Personen hinzugezogen, verpflichtet der Auftragsverarbeiter sie zuvor schriftlich auf Vertraulichkeit und unterweist sie zum Datenschutz.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung bei der Übertragung. Alle Verbindungen zur App und zur Shopify-Schnittstelle laufen ausschließlich über TLS (HTTPS).
• Verschlüsselung im Ruhezustand. Die Datenbank liegt bei Railway; die zugrundeliegenden Speichermedien sind verschlüsselt.
• Zugangskontrolle. Die App ist ausschließlich aus dem Shopify-Admin heraus erreichbar und authentifiziert jede Anfrage über ein von Shopify ausgestelltes Sitzungstoken. Es gibt keine eigenen Benutzerkonten und keine Passwörter.
• Mandantentrennung. Jeder Datensatz trägt die Shop-Domain; jede Abfrage ist darauf eingegrenzt.
• Datenminimierung. Eine Bestellung ohne Rabatt der App wird gar nicht erst gespeichert. Die Berechtigungen sind auf drei beschränkt (Rabatte schreiben, Produkte lesen, Bestellungen lesen).
• Speicherbegrenzung. Einträge der Rabatt-Auswertung werden nach 90 Tagen automatisch gelöscht (siehe Abschnitt 10).
• Wiederherstellbarkeit. Die Datenbank wird vom Betreiber Railway gesichert.

9. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO):

Shopify ist hier nicht aufgeführt. Die Plattform, in der die App läuft, beruht auf dem eigenen Vertrag des Verantwortlichen mit Shopify; sie ist kein vom Auftragsverarbeiter beauftragter Unterauftragsverarbeiter.

An Anthropic werden keine Bestell- oder Kundendaten übermittelt. Übermittelt werden der vom Händler eingegebene Text, der Verlauf des jeweiligen Gesprächs sowie Namen und Kennungen der durchsuchten Produkte und Kollektionen.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verhalten.

Wechsel und Ergänzungen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail an die im Shopify-Konto hinterlegte Adresse sowie durch einen Hinweis in der App. Die jeweils gültige Liste steht in der Datenschutzerklärung, Abschnitt 7.

Widerspruch. Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund per E-Mail an info@hand-e.de widersprechen. Lässt sich der Grund nicht ausräumen, kann der Verantwortliche diese Vereinbarung durch Deinstallation der App mit sofortiger Wirkung beenden; die Löschpflichten dieser Vereinbarung greifen dann unverändert.

10. Löschung und Rückgabe

• Nach 90 Tagen werden Einträge der Rabatt-Auswertung automatisch gelöscht. Das Dashboard zeigt höchstens die letzten 60 Tage; ältere Daten werden nicht mehr benötigt (Art. 5 Abs. 1 lit. e DSGVO).
• Bei Deinstallation werden sämtliche Daten des Shops aus allen Datenbeständen gelöscht. Umgesetzt über den Shopify-Webhook shop/redact.
• Auf Löschverlangen einer betroffenen Person werden die Einträge zu den genannten Bestellungen gelöscht. Umgesetzt über den Webhook customers/redact.

Der Verantwortliche hat die Wahl zwischen Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO). In der Regel genügt die Löschung: Alle verarbeiteten Daten stammen aus dem Shop des Verantwortlichen und liegen dort weiterhin vollständig vor. Verlangt der Verantwortliche eine Rückgabe, stellt der Auftragsverarbeiter die zu seinem Shop gespeicherten Daten vor der Löschung in einem gängigen, maschinenlesbaren Format bereit. Ein solches Verlangen ist vor der Deinstallation an info@hand-e.de zu richten, da die Löschung mit der Deinstallation automatisch erfolgt.

11. Unterstützung des Verantwortlichen

• Betroffenenrechte (Art. 12–23 DSGVO). Die App setzt die von Shopify vorgeschriebenen Datenschutz-Schnittstellen um (customers/data_request, customers/redact, shop/redact). Auf eine Auskunftsanfrage teilt der Auftragsverarbeiter mit, dass keine identifizierenden Kundendaten gespeichert sind, und übermittelt die zu den genannten Bestellungen vorhandenen Auswertungseinträge (Bestell-Kennung, Zeitpunkt, Beträge), damit der Verantwortliche seiner Auskunftspflicht nachkommen kann.
• Meldung von Verletzungen (Art. 33, 34 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung.
• Datenschutz-Folgenabschätzung (Art. 35, 36 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen der ihm vorliegenden Informationen.

12. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Anfragen an info@hand-e.de.

Kontrollen vor Ort sind mit angemessener Vorankündigung und während der üblichen Geschäftszeiten möglich.

13. Übermittlung in Drittländer

Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Für die Sprachmodelle von Anthropic, PBC (USA) erfolgt eine Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Railway Corp. hat seinen Sitz in den USA, betreibt die Datenbank dieser App aber in der Region EU-West; für Verarbeitungen durch Railway Corp. in den USA gelten ebenfalls die EU-Standardvertragsklauseln.

14. Schlussbestimmungen

Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen Abreden zwischen den Parteien geht diese Vereinbarung in Fragen des Datenschutzes vor.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Es gilt deutsches Recht.

Weitere Angaben

AGB · Datenschutzerklärung · Impressum