Auftragsverarbeitungsvertrag (AVV)
Mit dem Abschluss des Nutzungsvertrags über DataWishlist (siehe AGB) akzeptiert der Merchant zugleich den nachfolgenden Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der die Verarbeitung personenbezogener Daten der Endkunden des Merchants durch Denodus im Rahmen der App-Nutzung regelt.
1. Einleitung, Geltungsbereich
Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber (Merchant) und Auftragnehmer (Denodus – Inh. Danilo Seifert, Katharinenstr. 43, 36103 Flieden) im Rahmen der Verarbeitung personenbezogener Daten im Auftrag im Sinne des Art. 28 DSGVO. Er findet auf alle Tätigkeiten Anwendung, bei denen der Auftragnehmer im Rahmen der Bereitstellung der Shopify-App „DataWishlist" personenbezogene Daten von Kunden des Auftraggebers verarbeitet.
2. Gegenstand und Dauer der Verarbeitung
Der Auftragnehmer übernimmt die Erhebung, Speicherung und Verwendung von Wunschlisten-Einträgen (gewünschte Produkte) sowie zugehörigen Kunden- bzw. Sitzungskennungen von Kunden des Auftraggebers zum Zwecke der Bereitstellung einer Wunschlisten-Funktion im Onlineshop des Auftraggebers. Die Verarbeitung beruht auf dem zwischen den Parteien bestehenden Nutzungsvertrag über die Shopify-App DataWishlist (siehe AGB) und beginnt mit Installation der App im Shop des Auftraggebers. Sie erfolgt auf unbestimmte Zeit bis zur Deinstallation der App bzw. Kündigung des Nutzungsvertrags.
3. Art und Zweck der Datenverarbeitung
Der Auftragnehmer erbringt eine digitale Wunschlisten-Dienstleistung und erhält in diesem Rahmen Zugriff auf einen begrenzten Bestand an personenbezogenen Daten der Kunden des Auftraggebers. Die Verarbeitung erfolgt in Form der Erfassung, Speicherung und Bereitstellung von Wunschlisten-Daten. Der Auftraggeber betreibt einen Onlineshop auf Basis von Shopify.
Die Verarbeitung dient dem Zweck, dem Auftraggeber eine Wunschlisten-Funktion für dessen Kunden zur Verfügung zu stellen, und erfolgt aufgrund des Interesses des Auftraggebers an einer verbesserten Kundenbindung und Kaufabsichtserfassung in seinem Onlineshop.
Es werden folgende Kategorien personenbezogener Daten verarbeitet:
- Produktreferenzen (gewünschte Artikel/Produkt-IDs)
- Kunden- bzw. Sitzungskennung (Customer-ID oder anonyme Session-Kennung)
- Standortdaten (IP-Adresse, im Rahmen technischer Logfiles)
Von der Verarbeitung betroffen sind: Kunden des Auftraggebers, die die Wunschlisten-Funktion im Onlineshop des Auftraggebers nutzen.
4. Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder nach Weisung des Auftraggebers und nutzt die Daten für keine eigenen Zwecke. Der Auftragnehmer verpflichtet sich zur Vertraulichkeit; Personen mit Zugriff auf die Daten sind entsprechend verpflichtet. Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU bzw. bei Anbietern mit Angemessenheitsbeschluss/Data Privacy Framework gemäß Art. 45 DSGVO. Ein eigener Datenschutzbeauftragter ist beim Auftragnehmer aufgrund der Unternehmensgröße gesetzlich nicht erforderlich.
5. Technische und organisatorische Maßnahmen
Die in Anlage 1 beschriebenen Maßnahmen werden als verbindliches Minimum festgelegt.
6. Unterauftragsverhältnisse
Die Beauftragung von Subunternehmern durch den Auftragnehmer ist zulässig. Aktuelle Subunternehmer sind in Anlage 2 aufgeführt. Der Auftragnehmer wird den Auftraggeber über Änderungen informieren.
7. Mitteilungspflichten bei Datenschutzverletzungen
Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, an hallo@denodus.com mit.
8. Beendigung des Auftrags
Bei Deinstallation der App bzw. Beendigung des Nutzungsvertrags werden die im Auftrag verarbeiteten Daten des Auftraggebers gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
9. Haftung
Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen dieses Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer nach den gesetzlichen Bestimmungen.
Anlage 1 — Technische und organisatorische Maßnahmen
Der Auftragnehmer betreibt keine eigene Serverinfrastruktur; die Verarbeitung erfolgt vollständig über Cloud-Dienstleister. Es gelten folgende Maßnahmen:
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung | TLS/SSL bei der Übertragung; Verschlüsselung der Daten im Ruhezustand (AES-256) bei den eingesetzten Cloud-Anbietern |
| Zugangskontrolle | Zugriff auf Produktionssysteme nur für den Auftragnehmer persönlich, geschützt durch individuelle, komplexe Zugangsdaten und Zwei-Faktor-Authentifizierung, soweit vom jeweiligen Cloud-Anbieter unterstützt |
| Zugriffskontrolle | Datenzugriff ausschließlich über den eigenen Backend-Server des Auftragnehmers mit rollenbasiertem Datenbankzugriff (Row-Level-Security); kein direkter Datenbankzugriff durch Dritte |
| Trennungsgebot | Logische Trennung der Daten je Auftraggeber (Shop) innerhalb der Datenbankstruktur |
| Verfügbarkeit | Tägliche automatisierte Backups durch die eingesetzten Cloud-Anbieter; Hosting über redundante Infrastruktur |
| Auftragskontrolle | Regelmäßige Überprüfung der eingesetzten Subunternehmer und deren Datenschutzdokumentation, mindestens jährlich |
| Datenträgervernichtung | Elektronische Löschung nach Vertragsende gemäß den Löschprozessen der eingesetzten Cloud-Anbieter |
| Fernwartung | Es erfolgt keine Fernwartung durch Dritte auf Produktionssysteme |
Anlage 2 — Gegenwärtige Subunternehmer
| Subunternehmer | Leistung | Standort der Verarbeitung |
|---|---|---|
| Vercel Inc. | Hosting, Ausführung der App-Logik | USA (EU-US Data Privacy Framework) |
| Supabase, Inc. | Datenbank, Speicherung der Wunschlisten-Daten | EU (Frankfurt am Main, Deutschland) |
Anlage 3 — Weisungsberechtigte Personen
Auftragnehmer: Danilo Seifert (hallo@denodus.com)
Auftraggeber: die im Shopify-Adminbereich hinterlegte, für die App-Nutzung verantwortliche Person des Merchants.
Basierend auf dem kostenlosen Muster-AV-Vertrag der IT-Recht Kanzlei, angepasst für DataWishlist. Stand: 19.08.2026