Auftragsverarbeitungsvertrag

1. Vertragsschluss, Geltung und Rangfolge

(1) Der AVV kommt mit der Installation einer App von AppHighway über den Shopify App Store zustande. Mit der Installation bestätigt der Verantwortliche, dass er diesen AVV gelesen hat und seinen Inhalt als verbindlich anerkennt. Shopify zeigt vor der Installation die Zugriffsrechte der App an; die Nutzungsbedingungen der Apps verweisen auf diesen AVV.

(2) Der AVV gilt für alle Apps von AppHighway, die der Verantwortliche installiert hat; die app-spezifischen Angaben stehen in Anlage 1. Er gilt ab der Installation, solange mindestens eine App installiert ist, und darüber hinaus für die Übergabe nach der Deinstallation sowie — bei E-Rechnung & GoBD — für die Archivverwahrung nach Abschnitt 10 bis zu deren Ende; er endet mit dem Abschluss der Löschung oder Rückgabe nach Abschnitt 10.

(3) In Fragen des Datenschutzes geht dieser AVV den Nutzungsbedingungen der Apps vor. Der Verantwortliche bleibt für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Der Vertrag zwischen dem Verantwortlichen und Shopify International Ltd. über die Nutzung der Shopify-Plattform bleibt unberührt; Shopify ist nicht Unterauftragsverarbeiter von AppHighway (Anlage 3).

(4) Der Verantwortliche sichert zu, dass er die Apps als Unternehmer nutzt. Der AVV richtet sich nach Art. 28 Abs. 3 DSGVO; soweit er eine Regelung nicht enthält, gilt die DSGVO unmittelbar.

2. Gegenstand und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist der Betrieb der jeweils installierten App für den Shop des Verantwortlichen: die Prüfung von Lieferadressen im Checkout (Address Guard), die Erstellung, Validierung, Zustellung und Archivierung von Rechnungsdokumenten (E-Rechnung & GoBD) sowie der Abgleich von Auszahlungen mit Bestellungen und die Erstellung von Buchungsstapeln für die Kanzlei (DATEV Abgleich). Die Einzelheiten je App stehen in Anlage 1.

(2) Die Verarbeitung dauert, solange die App im Shop installiert ist, zuzüglich der in Abschnitt 10 beschriebenen Übergabe- und Löschfrist nach der Deinstallation und — bei E-Rechnung & GoBD — der dort geregelten Archivverwahrung bis zur Löschung der letzten Archivkopie.

3. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Art der Verarbeitung: Erheben über die Shopify-API und Shopify-Webhooks, Speichern, Auslesen, Verändern, Ordnen, Übermitteln an die vom Verantwortlichen bestimmten Empfänger (Käufer, Kanzlei), Löschen.

(2) Zweck: ausschließlich die Bereitstellung der jeweiligen App-Funktion für den Verantwortlichen. Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung, Produktforschung oder den Aufbau eigener Datenbestände, und gibt sie nicht an Dritte weiter, die nicht in Anlage 3 genannt sind.

(3) Datenarten und betroffene Personen: Kundinnen und Kunden des Shops (Käufer) sowie Mitarbeiterinnen und Mitarbeiter des Verantwortlichen, die die App bedienen. Welche Datenarten je App verarbeitet werden, bestimmt Anlage 1. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verantwortliche übermittelt solche Daten nicht über die Apps.

4. Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Als Weisungen gelten dieser AVV, die Installation und Konfiguration der App durch den Verantwortlichen (zum Beispiel die Einstellungen zum Rechnungsversand, zur Aufbewahrung, zu Steuersätzen oder zum Buchungsmodus) und die Nutzung der im Dashboard angebotenen Funktionen.

(2) Weitere Weisungen erteilt der Verantwortliche in Textform an support@apphighway.com unter Angabe seiner Shop-Domain. Der Auftragsverarbeiter bestätigt den Eingang und setzt die Weisung um, soweit sie im Rahmen der Funktion der Apps liegt; andernfalls teilt er mit, warum sie nicht umgesetzt werden kann.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

(4) Eine Verarbeitung aufgrund von Rechtsvorschriften der Union oder Österreichs, denen der Auftragsverarbeiter unterliegt, bleibt zulässig; der Auftragsverarbeiter teilt dem Verantwortlichen solche Pflichten vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

5. Vertraulichkeit

(1) Der Auftragsverarbeiter betreibt die Apps derzeit allein und ohne Mitarbeiter. Er verpflichtet sich zur Vertraulichkeit hinsichtlich aller personenbezogenen Daten, die er im Auftrag verarbeitet (Art. 28 Abs. 3 lit. b DSGVO). Werden künftig Personen mit der Verarbeitung betraut, verpflichtet er sie vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit und macht sie mit den Weisungen dieses AVV vertraut; die Verpflichtung besteht nach dem Ende der Tätigkeit fort.

(2) Der Zugriff auf Produktivdaten ist auf das für Betrieb, Fehlersuche und Support Erforderliche beschränkt. Für Entwicklung und Tests verwendet der Auftragsverarbeiter Testshops und erfundene Daten, keine Produktivdaten des Verantwortlichen. Die in Anlage 2 (Wiederherstellbarkeit) vorgesehene Gegenzeichnung des Laufs gegen produktive Sicherungen erfolgt durch eine zweite, zur Vertraulichkeit verpflichtete Person (etwa der Steuerberater oder ein benannter Datenschutzbeauftragter des Auftragsverarbeiters), die keinen Zugriff auf die Daten erhält und nur Durchführung, Protokoll und Löschung bestätigt (Fassung 1.11).

6. Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind, und hält sie während der Laufzeit aufrecht. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er in Anlage 2 mit Datum.

(2) Der Verantwortliche hat die Maßnahmen vor der Installation geprüft und erachtet sie für den Schutzbedarf der verarbeiteten Daten als angemessen. Er informiert den Auftragsverarbeiter, wenn sich der Schutzbedarf wesentlich erhöht, etwa weil er Daten über die Apps verarbeiten möchte, die in Anlage 1 nicht vorgesehen sind.

7. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO), die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser AVV dem Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO).

(2) Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vor dem Einsatz per E-Mail an die bei Shopify hinterlegte Shop-E-Mail-Adresse (ersatzweise an die dort hinterlegte Kontaktadresse) und aktualisiert Anlage 3. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche den Vertrag durch Deinstallation der App beenden; Abschnitt 10 gilt entsprechend.

(3) Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese personenbezogene Daten des Verantwortlichen verarbeiten (zum Beispiel Domainregistrierung, Quellcodeverwaltung ohne Produktivdaten), sind keine Unterauftragsverarbeitung.

8. Unterstützung bei den Rechten der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Dafür setzt er die verpflichtenden Datenschutz-Webhooks von Shopify um: customers/data_request (Auskunft), customers/redact (Löschung von Kundendaten) und shop/redact (Löschung aller Shop-Daten nach der Deinstallation).

(2) E-Rechnung & GoBD speichert ein Auskunftsverlangen und zeigt dem Verantwortlichen im Dashboard, welche Rechnungen den Kunden betreffen, damit er die Auskunft innerhalb der Monatsfrist (Art. 12 Abs. 3 DSGVO) erteilen kann. Ein Löschverlangen führt zur Löschung der Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; ausgestellte Rechnungen bleiben bis zum Ablauf der Aufbewahrungsfrist erhalten (Art. 17 Abs. 3 lit. b DSGVO, § 147 AO, § 14b UStG beziehungsweise § 132 BAO), ein noch nicht ausgestellter Entwurf wird nach der im Dashboard gewählten Regel behandelt. DATEV Abgleich hält Auskunfts- und Löschverlangen (Anfrage-, Kunden- und Bestellkennungen aus den Webhooks) fest und zeigt dem Verantwortlichen im Dashboard „Datenschutzanfragen“ die betroffenen Bestellnummern und die Treffer in den gespeicherten Daten (Buchungsmerkliste, Klärungsposten, Merkliste offener Anzahlungen, Belegfeld-Zuordnungen, Ausschlusslisten); der Auftragsverarbeiter unterstützt innerhalb von 14 Tagen nach Eingang, die vom Verantwortlichen eingetragene Monatsfrist (Art. 12 Abs. 3 DSGVO) wird überwacht und eine Überschreitung dem Auftragsverarbeiter gemeldet. Eine Einschränkung der Verarbeitung (Art. 18 DSGVO) kann der Verantwortliche je Anfrage setzen; der Verantwortliche wählt dabei die Wirkung auf den Erlösexport: Im Modus „Buchung fortführen“ (Voreinstellung) wird die Bestellung weiter exportiert, weil der Export nur Bestellnummer und Beträge enthält und die Aufzeichnungspflicht des Verantwortlichen fortbesteht (§ 146 AO, § 22 UStG; zulässig nach Art. 18 Abs. 2 DSGVO aus Gründen eines wichtigen öffentlichen Interesses der Besteuerung i. V. m. Art. 23 Abs. 1 lit. e DSGVO) — jeder Exportlauf weist die Bestellung als Hinweis aus; im Modus „Export zurückstellen“ unterbleiben Erlös- und Erstattungsbuchungen dieser Bestellung bis zur Aufhebung und werden als Klärungsposten mit Betrag geführt. Alle übrigen Verarbeitungen der eingeschränkten Daten (Anzeige von Kundendaten, Mitteilungen) unterbleiben in beiden Modi; Erstattungen und Auflösungen zu bereits gebuchten Erlösen werden im Modus „Buchung fortführen“ weiter verarbeitet. Die Aufhebung der Einschränkung setzt voraus, dass der Verantwortliche die betroffene Person vorher unterrichtet hat (Art. 18 Abs. 3 DSGVO); der Auftragsverarbeiter hält die Bestätigung fest (Fassung 1.13). Buchungsnachweise werden wegen § 147 AO nicht gelöscht (Art. 17 Abs. 3 lit. b DSGVO); das Ergebnis der Prüfung wird mit Person und Vermerk festgehalten. Erledigte Anfragen werden drei Jahre nach Ablauf des Kalenderjahres der Erledigung gelöscht — diese Dauer weist der Verantwortliche mit diesem AVV als Nachweis seiner Erledigung an (Art. 5 Abs. 2, Art. 28 Abs. 3 lit. a DSGVO; sie folgt keiner Verjährungsfrist, vgl. Abschnitt 10 Abs. 1); Anfragen mit bestehender Einschränkung der Verarbeitung werden nicht gelöscht, solange die Einschränkung besteht. Offene Anfragen bleiben über den Webhook shop/redact hinaus erhalten (mit der zuletzt bekannten Kontaktadresse des Verantwortlichen) und werden mit dem Verantwortlichen über den Support abgeschlossen; bleibt eine offene Anfrage drei Jahre nach Ablauf des Kalenderjahres von shop/redact unerledigt, wird sie als unbeantwortbar geschlossen und gelöscht (Fassung 1.13).

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen und beantwortet die Anfrage nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an.

9. Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

(2) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, meldet er sie dem Verantwortlichen unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, per E-Mail an die bei Shopify hinterlegte Shop-E-Mail-Adresse (ersatzweise an die dort hinterlegte Kontaktadresse). Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen; nachgereichte Informationen folgen ohne unangemessene Verzögerung. Damit kann der Verantwortliche seine Frist von 72 Stunden gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) einhalten.

(3) Für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation stellt der Auftragsverarbeiter auf Anfrage die Beschreibung der Verarbeitung, die Verfahrensdokumentation und das Löschkonzept der betreffenden App zur Verfügung.

10. Löschung und Rückgabe nach Abschluss der Verarbeitung

(1) Mit der Deinstallation einer App endet die laufende Verarbeitung für diese App; die Übergabe und die Archivverwahrung (E-Rechnung & GoBD) sowie die Bereithaltung des Protokollpakets (DATEV Abgleich) nach diesem Abschnitt bleiben Teil des Auftrags und richten sich nach der bei der Deinstallation geltenden Fassung dieses AVV, die die App — zusammen mit dem Vertragsende, dem Ergebnis der Übergabe und dem Umfang des übergebenen Archivexports (Anzahl der Belege, spätester Ausstellungszeitpunkt und ein Prüfwert über das Belegverzeichnis) — festhält, ohne gespeicherte Kontaktdaten (die Shop-Domain bleibt als Zuordnung; ein verbleibender Personenbezug ist gesondert zu beurteilen); jede Deinstallation wird als eigener Zyklus unveränderlich protokolliert, maßgeblich für den noch vorhandenen Bestand ist die Fassung der letzten. Dieser Nachweis wird gelöscht, sobald kein Beleg mit Dateien, kein Entwurf und kein Übergabepaket des Shops mehr gespeichert ist (Rechnungsnummer, Beträge und Kettenglied bleiben als Nummernnachweis) und seit dem Ende des Kalenderjahres des letzten protokollierten Ereignisses zehn Jahre vergangen sind — die Dauer, die der Verantwortliche mit diesem AVV für den Nachweis dieser Verarbeitung anweist (Art. 28 Abs. 3 lit. a DSGVO), bemessen nach seiner eigenen Aufbewahrungspflicht für die Verfahrensdokumentation seiner Buchführung (§ 147 Abs. 1 Nr. 1, Abs. 3 AO), die den Auftragsverarbeiter nicht selbst trifft (Fassung 1.9). Längere Verjährungs- oder Beweisfristen (etwa § 1489 ABGB nach dem vereinbarten österreichischen Recht oder § 199 BGB) begründen keine weitere Aufbewahrung durch den Auftragsverarbeiter; eine darüber hinausgehende Nachweisführung obliegt dem Verantwortlichen mit den ihm übergebenen Unterlagen (Fassung 1.8). Der Auftragsverarbeiter gibt die Daten zurück beziehungsweise löscht sie nach den folgenden Regeln (Art. 28 Abs. 3 lit. g DSGVO); eine Aufbewahrung über diese Fristen hinaus ist nicht zugesagt.

(2) Address Guard: Es gibt keine zurückzugebenden Daten. Die Shop-Sitzung wird beim Eingang des Webhooks app/uninstalled gelöscht, verbliebene Shop-Daten beim Webhook shop/redact, den Shopify 48 Stunden nach der Deinstallation sendet.

(3) E-Rechnung & GoBD: Der Verantwortliche ist für die Aufbewahrung der ausgestellten Rechnungen selbst verantwortlich. Bei der Deinstallation erstellt die App den Archivexport (alle ausgestellten Rechnungen als PDF und XML samt Prüfprotokollen) sowie ein Übergabepaket offener Entwürfe und sendet eine E-Mail an die Rechnungs-E-Mail-Adresse des Shops mit einem signierten Download-Link. Die Fristen dieses Absatzes laufen ab dem Eingang des Webhooks shop/redact, den Shopify 48 Stunden nach der Deinstallation sendet; die Shop-Sitzung wird bereits beim Webhook app/uninstalled gelöscht, die Einstellungen beim Eingang von shop/redact. Beide Pakete bleiben bis zum 28. Tag abrufbar (nach Ablauf des Links auch über das Dashboard nach einer Neuinstallation); die Übergabe gilt als abgeschlossen, sobald der Abruf des Archivexports protokolliert, eine Bereitstellung durch den Support dokumentiert oder ein Verzicht erklärt ist — mit dem Versand der E-Mail allein nicht —, und der Auftragsverarbeiter wiederholt einen fehlgeschlagenen Aufbau täglich und sorgt vor dem Ablauf für eine Ersatzbereitstellung. Entwürfe und Übergabepakete werden ab dem 29. Tag gelöscht, spätestens am 30. Tag nach dem zu dieser Deinstallation gehörenden shop/redact und nie vor Ablauf von 31 Tagen seit dem Aufbau des Pakets (ein Webhook einer früheren Deinstallation verkürzt die Frist nicht); liegt der 30. Tag vor dem Ablauf dieser 31 Tage, geht die Untergrenze vor — die Plattformfrist von Shopify ist keine gesetzliche Obergrenze. Ausgestellte Rechnungen samt Prüfkette löscht die App während der laufenden Nutzung nicht von sich aus; nach Vertragsende gilt die Archivverwahrung mit der nachfolgend geregelten Löschung. Der Verantwortliche weist den Auftragsverarbeiter mit diesem AVV an (Art. 28 Abs. 3 lit. a DSGVO; Wahl nach lit. g: Rückgabe als Archivexport und Verwahrung der Kopie), die ausgestellten Rechnungen samt Dateien und Prüfkette nach dem Vertragsende als Archivkopie zu verwahren: für die Dauer der gesetzlichen Aufbewahrungsfrist des Verantwortlichen, längstens solange der Auftragsverarbeiter den Dienst betreibt, mit Zugriff des Verantwortlichen über eine Neuinstallation der App oder den Support, und — sobald die Übergabe abgeschlossen ist und nur für Belege, die der übergebene Archivexport erfasst hat (die App prüft vor jeder Löschung, dass der Bestand bis zum festgehaltenen Ausstellungszeitpunkt genau die festgehaltene Anzahl und — über den Prüfwert des Belegverzeichnisses — genau dieselben Belege umfasst, sonst unterbleibt die Löschung) — mit automatischer Löschung der Dateien und Käuferdaten eines Belegs frühestens 90 Tage nach Ablauf seiner gesetzlichen Regel-Aufbewahrungsfrist (deutsches Profil: 31. Dezember des Ausstellungsjahres zuzüglich acht Jahre, bei Instituten nach § 1 Abs. 1b KWG, Unternehmen unter Aufsicht nach § 1 Abs. 1 VAG und Wertpapierinstituten nach § 2 Abs. 1 WpIG, die dies in den Einstellungen gewählt haben, zehn Jahre für alle ausgestellten und noch gespeicherten Belege, sobald die Einstellung gewählt ist — eine spätere Rücknahme der Einstellung verkürzt die Frist nicht (Art. 97 § 19a Abs. 3 EGAO; Fassung 1.9); österreichisches Profil: 31. Dezember des auf das Ausstellungsjahr folgenden Kalenderjahres zuzüglich sieben Jahre, weil § 132 Abs. 1 BAO die Frist bei abweichendem Wirtschaftsjahr erst mit dessen Ende beginnen lässt und die App das Wirtschaftsjahr nicht kennt; bei zusammengehörenden Belegen — Rechnung, Storno, Korrektur, Berichtigung, Ersatzrechnung — nach dem spätesten Fristende der Belegkette), wobei Rechnungsnummer, Beträge und das Glied der Prüfkette erhalten bleiben, damit Nummernkreis und Prüfkette lückenlos nachprüfbar bleiben. Ohne abgeschlossene Übergabe löscht die App nichts; die Belege bleiben dann bis zu einer Weisung des Verantwortlichen in Textform gespeichert. Eine Hemmung oder Verlängerung der Aufbewahrungsfrist (§ 147 Abs. 3 Satz 5 AO, etwa bei Außenprüfung oder Einspruch; § 132 Abs. 1 BAO bei anhängigen Verfahren) zeigt der Verantwortliche vor der Deinstallation durch eine Löschsperre am Beleg oder danach in Textform an; die App erkennt sie nicht selbst. Eine frühere Löschung kann der Verantwortliche jederzeit in Textform anweisen. Auskunfts-, Berichtigungs- und Löschverlangen betroffener Personen zu Belegen der Archivkopie richtet der Verantwortliche nach dem Vertragsende an den Support des Auftragsverarbeiters, der die Sperrung oder Löschung nach Abschnitt 8 umsetzt. Eine Verfügbarkeit über die Betriebsdauer des Dienstes hinaus ist nicht zugesagt — die maßgebliche Kopie ist der Archivexport des Verantwortlichen. Einzelheiten stehen im Löschkonzept der App, das der Auftragsverarbeiter auf Anfrage bereitstellt. Rückgabe und Bereithaltung (Wahl des Verantwortlichen nach Art. 28 Abs. 3 lit. g DSGVO): Der Verantwortliche wählt mit diesem AVV die Rückgabe seiner Belege in Form des Archivexports. Ist der Archivexport sieben Tage vor dem Ablaufdatum noch nicht abgerufen, meldet die App dies dem Auftragsverarbeiter (Eskalation). Der Auftragsverarbeiter hält den Archivexport dann über den 28. Tag hinaus zum Abruf bereit, erinnert den Verantwortlichen 14 Tage nach der Eskalation an die bei der Deinstallation gesicherte Rechnungs-E-Mail-Adresse mit einem neuen Download-Link und dem Löschdatum und löscht den Archivexport am früheren der Tage „30 Tage nach dieser Erinnerung“ und „60 Tage nach der Eskalation“, jedoch nie vor Ablauf von 14 Tagen nach der Erinnerung; die Erinnerung nennt das so bestimmte Datum als Löschdatum, dieses Datum gilt und wird durch spätere Ereignisse — auch durch eine dokumentierte Nichterreichbarkeit — nicht vorverlegt. Ohne übergebene Erinnerung endet die Bereithaltung spätestens 60 Tage nach der Eskalation. Eine Erinnerung wird nur übergeben, solange bis zur absoluten Obergrenze von 120 Tagen nach der ersten Eskalation noch mindestens 14 Tage verbleiben; danach endet die Bereithaltung an dieser Obergrenze oder durch eine dokumentierte Entscheidung des Auftragsverarbeiters mit gesicherter Aufbewahrung. Stellt die App beim Abruf fest, dass die Datei des Archivexports beschädigt ist, prüft sie die Prüfkette des Belegbestands und baut den Archivexport einmal neu auf; der Neuaufbau gilt für die 60-Tage-Grenze als neue Eskalation, und der Verantwortliche wird erneut mit einem neuen Löschdatum erinnert. Ist die Prüfkette beanstandet oder tritt der Fehler erneut auf, unterbleibt der automatische Neuaufbau, und der Auftragsverarbeiter klärt die Bereitstellung mit dem Verantwortlichen. Spätestens 120 Tage nach der ersten Eskalation endet jede automatische Bereithaltung. Scheitert der Versand der Erinnerung, wird er täglich wiederholt, bis er gelingt, die Obergrenze erreicht ist oder der Verantwortliche eine Erklärung abgegeben hat. Der Verantwortliche kann jederzeit in Textform die sofortige Löschung anweisen oder auf den Abruf verzichten; eine dokumentierte anderweitige Bereitstellung, ein Verzicht oder die Nichterreichbarkeit nach dokumentierten Versuchen beenden die Bereithaltung. Entwürfe, Sitzungen und Einstellungen sind von dieser Bereithaltung nicht erfasst und werden zu den oben genannten Zeitpunkten gelöscht; das Übergabepaket wird ab dem 29. Tag gelöscht, seine Datenzeile erst mit dem Ende der Bereithaltung des Archivexports. Die gesicherte E-Mail-Adresse wird nur für die Übergabe und die Erinnerungen dieses Abschnitts verwendet und mit dieser Datenzeile gelöscht, sobald der Übergabezweck erreicht ist.

(4) DATEV Abgleich: Erstellte Buchungsstapel, die Belegfeld-Zuordnungslisten und den Protokoll-Export (Änderungsprotokoll der Einstellungen, alle Klärungsposten mit Erledigungsvermerken, die Liste der Exportläufe, die Merkliste offener Anzahlungen mit ihren Auflösungen und die Belegfeld-Zuordnungen als CSV) lädt der Verantwortliche während der Laufzeit herunter. Beim Webhook app/uninstalled wird die Shop-Sitzung gelöscht, und die App erzeugt aus dem gesamten Bestand ein Protokollpaket (seit Fassung 1.11 ein ZIP mit dem Protokoll-Export, den gespeicherten Buchungsstapeln und Zuordnungslisten und einer Prüfsummenliste), das sie getrennt von den übrigen Daten ablegt; Einstellungen, Exportläufe, Klärungsposten, Änderungsprotokoll, die Merkliste offener Anzahlungen und die abgelegten Exportdateien werden beim Webhook shop/redact gelöscht, den Shopify 48 Stunden nach der Deinstallation sendet. Das Protokollpaket bleibt 30 Tage nach dem Eingang von shop/redact, mindestens aber 32 Tage nach seinem Aufbau, über eine Neuinstallation der App im Dashboard oder über den Support abrufbar und wird danach durch den Löschlauf der App (alle sechs Stunden) gelöscht; beim Aufbau des Protokollpakets informiert die App den Verantwortlichen einmalig per E-Mail an die bei der Nutzung gesicherte Kontaktadresse des Shops über Abrufweg und Löschdatum — ohne zustellbare Adresse bleibt es beim Abruf über Neuinstallation oder Support (Fassung 1.11). Scheitert der Aufbau des Protokollpakets, wiederholt die App ihn im Löschlauf, alarmiert den Auftragsverarbeiter und stellt die Löschung der Quelldaten beim Webhook shop/redact bis zum erfolgreichen Aufbau zurück; scheitert nur die Ablage, bleibt der fertige Protokoll-Export als Rückfallkopie in der Datenbank des Auftragsverarbeiters und ist wie das Paket abrufbar — 30 Tage nach Eingang von shop/redact werden die Quelldaten dann gelöscht, und der Auftragsverarbeiter informiert den Verantwortlichen einmalig per E-Mail an die bei der Nutzung gesicherte Kontaktadresse des Shops über die Rückfallkopie und den Abrufweg; die Rückfallkopie bleibt 30 Tage ab dieser Mitteilung abrufbar (kann nicht zugestellt werden, läuft die Frist ab der vom Auftragsverarbeiter festgehaltenen Information des Verantwortlichen). Scheitert auch die Erzeugung des Exports, werden die Quelldaten nicht durch Zeitablauf gelöscht: Der Auftragsverarbeiter informiert den Verantwortlichen, erzeugt das Protokoll manuell und übergibt es oder holt dessen Zustimmung zur Löschung ein; erst eine festgehaltene Entscheidung löst die Löschung aus — mit Ergebnis (Übergabe mit Datei und Prüfsumme, Zustimmung zur Löschung oder Nichterreichbarkeit nach mindestens zwei dokumentierten Kontaktversuchen über verschiedene Kanäle im Abstand von mindestens 14 Tagen, der erste vor mindestens 30 Tagen; Fassung 1.11), Datum und Kanal der Information, dem festgehaltenen Ergebnis der Prüfung von Aufbewahrungshindernissen des Verantwortlichen (§ 147 AO; eine Zustimmung hebt sie nicht auf), Person und Begründung. Über ein Aufbewahrungshindernis entscheidet der Verantwortliche: Weist er die Verwahrung an (Weisung in Textform mit Datum und Kanal, Art. 28 Abs. 3 lit. a und g DSGVO), werden die Quelldaten nicht gelöscht, sondern für ihn verwahrt — längstens bis zum Ende seiner gesetzlichen Aufbewahrungsfrist und höchstens zehn Jahre ab der Weisung; der Auftragsverarbeiter legt die Verwahrung jährlich zur Wiedervorlage vor und löscht nach einer neuen Weisung des Verantwortlichen oder nach Übergabe eines manuell erzeugten Protokolls. Weist der Verantwortliche trotz eines von ihm bejahten Hindernisses die Löschung an, wird sie als seine Entscheidung festgehalten und ausgeführt. Ein Hindernis darf nur auf der Grundlage einer dokumentierten Angabe des Verantwortlichen bejaht werden; der Auftragsverarbeiter entscheidet nicht selbst über ein Hindernis des Verantwortlichen. Ist der Verantwortliche nicht erreichbar und ein Hindernis auf dieser Grundlage bejaht, weist der Verantwortliche mit diesem AVV für diesen Fall die Verwahrung der Quelldaten bis zum Ende des zehnten Kalenderjahres nach dem Jahr der Deinstallation an, danach ihre Löschung (stehende Weisung, Art. 28 Abs. 3 lit. a DSGVO). Die Höchstdauer jeder Verwahrung sind zehn Kalenderjahre ab der Weisung; nach ihrem Ende erinnert der Auftragsverarbeiter den Verantwortlichen 90 Tage lang monatlich und löscht die Quelldaten danach mit Entscheidungsnachweis, sofern keine neue Weisung vorliegt (Fassung 1.13; Fassung 1.12 ließ die Löschung bei Nichterreichbarkeit ohne Endpunkt angehalten, Fassung 1.11 ließ die Verwahrung als Entscheidung des Auftragsverarbeiters zu). Dieser Entscheidungsnachweis wird getrennt von der Fehlerzeile geführt und wie der Nachweis nach Abs. 1 zehn Jahre nach dem Ende des Kalenderjahres der Entscheidung gelöscht. Eine angehaltene Löschung wird dem Auftragsverarbeiter alle 30 Tage erneut gemeldet; spätestens 120 Tage nach dem Anhalten ist eine Entscheidung zu treffen (Fassung 1.10). Der Alarm an den Auftragsverarbeiter und die Information des Verantwortlichen laufen über den Unterauftragsverarbeiter Brevo (Anlage 3).

(5) Sicherungskopien, die zur Wiederherstellung des Dienstes geführt werden, werden nach dem in Anlage 2 genannten Zeitraum überschrieben; eine Verarbeitung aus Sicherungen findet nur zur Wiederherstellung statt. Im Objektspeicher der Dokumente und Exportdateien bleibt ein von der App gelöschtes oder überschriebenes Objekt 30 Tage als frühere Version erhalten und wird danach zur endgültigen Entfernung freigegeben (Anlage 2, Verfügbarkeit); die Löschfristen dieses Abschnitts bezeichnen die Löschung durch die App; die endgültige Entfernung der früheren Version führt der Anbieter nach Ablauf der 30 Tage asynchron aus, in der Regel innerhalb weniger Tage — ein fester Höchsttermin wird dafür nicht zugesagt —, und bis dahin wird auch die frühere Version nur zur Wiederherstellung verarbeitet (Fassung 1.14; Klarstellung zum Löschvollzug in Fassung 1.15). Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters, etwa für seine eigenen Abrechnungsunterlagen, bleiben unberührt; sie betreffen keine Kundendaten des Verantwortlichen.

(6) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform. Die Bestätigung nennt die Löschung durch die App mit Datum und weist darauf hin, welche Kopien danach noch bestehen und wann sie entfallen: Datenbanksicherungen (Anlage 2, längstens 30 Tage) und frühere Objektversionen im Objektspeicher (Absatz 5, 30 Tage zuzüglich der Ausführung durch den Anbieter); dies gilt auch für Löschungen auf Grund von customers/redact (Fassung 1.15).

11. Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Dazu gehören auf Anfrage die Verfahrensdokumentation und das Löschkonzept der jeweiligen App, die Beschreibung der technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und die Bestätigung der Löschung.

(2) Der Verantwortliche kann die Einhaltung dieses AVV einmal jährlich, bei konkretem Anlass auch häufiger, überprüfen. Die Überprüfung erfolgt vorrangig durch die Beantwortung schriftlicher Fragen und die Vorlage von Unterlagen; eine Prüfung vor Ort ist nach Ankündigung von mindestens 14 Tagen zu den üblichen Geschäftszeiten möglich. Der Auftragsverarbeiter kann für Prüfungen, die über die Beantwortung schriftlicher Fragen hinausgehen, einen angemessenen Aufwandsersatz verlangen, es sei denn, die Prüfung deckt einen erheblichen Verstoß auf.

(3) Der Auftragsverarbeiter wirkt bei Prüfungen durch die zuständige Aufsichtsbehörde mit und informiert den Verantwortlichen über Prüfungen, die dessen Daten betreffen, soweit rechtlich zulässig.

12. Ort der Verarbeitung und Drittlandübermittlung

(1) Die Verarbeitung findet in Rechenzentren in der Europäischen Union statt (Anlage 3): Hosting-Server und Datenbanken bei Hetzner in Deutschland, Objektspeicher für Dokumente und Exportdateien bei AWS in Frankfurt (Region eu-central-1), Objektspeicher für die Datenbanksicherungen bei AWS in Stockholm, Schweden (Region eu-north-1). Beide Standorte des Objektspeichers sind seit Fassung 1.14 nachgewiesen und werden zugesagt (Anlage 2); Fassung 1.13 hatte den Standort der Sicherungen offen gelassen. Eine Übermittlung in Drittländer ist nicht vorgesehen. Sollte ein Unterauftragsverarbeiter Daten in einem Drittland verarbeiten, stellt der Auftragsverarbeiter vorher geeignete Garantien nach Kapitel V DSGVO sicher (zum Beispiel EU-Standardvertragsklauseln) und informiert den Verantwortlichen nach Abschnitt 7.

13. Haftung

(1) Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für den Schaden, den sie durch eine ihr zurechenbare Verletzung der DSGVO oder dieses AVV verursacht hat. Die Haftungsregelungen der Nutzungsbedingungen der Apps gelten für die Haftung zwischen den Parteien ergänzend, soweit sie Art. 82 DSGVO nicht widersprechen.

14. Laufzeit, Änderungen, Schlussbestimmungen

(1) Der AVV läuft, solange eine App von AppHighway im Shop installiert ist, und endet mit dem Abschluss der Löschung oder Rückgabe nach Abschnitt 10 — bei E-Rechnung & GoBD einschließlich der Archivverwahrung bis zur Löschung der letzten Archivkopie. Für die Dauer der Archivverwahrung gelten die Abschnitte 5 (Vertraulichkeit), 6 (Sicherheit), 7 (Unterauftragsverarbeiter), 9 (Unterstützung) und 11 (Nachweise) fort; die Pflichten zur Vertraulichkeit bestehen auch danach fort.

(2) Änderungen dieses AVV teilt der Auftragsverarbeiter mindestens 30 Tage vor dem Wirksamwerden per E-Mail an die bei Shopify hinterlegte Shop-E-Mail-Adresse (ersatzweise an die dort hinterlegte Kontaktadresse) mit und veröffentlicht die neue Fassung mit Fassungsnummer und Datum auf dieser Seite. Widerspricht der Verantwortliche nicht innerhalb der Frist oder nutzt er die App danach weiter, gilt die neue Fassung. Bei Widerspruch gilt die bisherige Fassung bis zur Deinstallation fort; Änderungen, die zwingend aus dem Gesetz oder aus Vorgaben einer Aufsichtsbehörde folgen, werden auch ohne Zustimmung wirksam.

(3) Es gilt österreichisches Recht. Zwingende Vorschriften der DSGVO gehen vor. Sollte eine Bestimmung dieses AVV unwirksam sein, bleiben die übrigen Bestimmungen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung. Dieser AVV ist in deutscher und englischer Sprache veröffentlicht; bei Abweichungen ist die deutsche Fassung maßgeblich.

Anlage 1 — Gegenstand der Verarbeitung je App

Die Angaben beschreiben, welche Daten jede App tatsächlich speichert und wo. Daten, die eine App nur über die Shopify-API liest und nicht speichert, sind als „nur gelesen“ gekennzeichnet.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand Oktober 2026. Die Maßnahmen gelten für alle Apps, soweit nicht anders angegeben.

• Zutritts- und Zugangskontrolle: Betrieb in Rechenzentren von Hetzner (ISO 27001) in Deutschland; Zugriff auf Server und Anbieterkonten nur durch den Betreiber, mit Zwei-Faktor-Authentifizierung und persönlichen Zugangsdaten; keine Weitergabe von Zugangsdaten.
• Zugriffskontrolle: Jede App läuft mit eigener Datenbank und eigenem Schlüsselsatz für den Anwendungsbetrieb (Zugangsdaten der Datenbank, API-Schlüssel); die Datenbanksicherungen aller Apps liegen dagegen in einem gemeinsamen Sicherungsbereich unter einem Sicherungsschlüssel des Auftragsverarbeiters (Verfügbarkeit, unten). Eine Trennung des Sicherungszugriffs je App wird nicht eingerichtet (Fassung 1.14; bis Fassung 1.13 als vorgesehene Maßnahme genannt): Den Sicherungsschlüssel hält allein die Betriebsplattform des Auftragsverarbeiters, die Apps selbst haben keinen Zugriff auf den Sicherungsbereich, und getrennte Schlüssel je App würden diese Vertrauensgrenze nicht verschieben. Bewusst in Kauf genommen wird damit, dass bei Verlust dieses einen Sicherungsschlüssels die Sicherungen aller Apps betroffen wären; die Ablage je Datenbank in eigenen Ordnern ist eine organisatorische Ordnung, keine Zugriffstrennung, und die serverseitige Verschlüsselung (Verschlüsselung, unten) ersetzt keine Zugriffsbeschränkung (Klarstellung in Fassung 1.15). Datenbanken sind nicht öffentlich erreichbar. Zugriffstoken der Shops werden serverseitig gespeichert und nie an den Browser ausgegeben. Dashboards sind nur über die von Shopify authentifizierte Händler-Sitzung (App Bridge, Sitzungstoken) erreichbar; Webhooks werden anhand der HMAC-Signatur von Shopify geprüft.
• Trennungskontrolle: Alle Daten sind mit der Shop-Domain gekennzeichnet; jede Abfrage ist auf den eigenen Shop begrenzt. Dateien liegen je Shop in einem eigenen Pfad des privaten Speicherbereichs. Test- und Entwicklungsumgebungen sind von der Produktion getrennt und verwenden keine Produktivdaten; einzige Ausnahme ist der dokumentierte Wiederherstellungstest (Wiederherstellbarkeit, unten).
• Verschlüsselung: Übertragung ausschließlich über TLS (HTTPS); Objektspeicher mit serverseitiger Verschlüsselung (Standardverschlüsselung des Anbieters; bei AWS S3 seit Januar 2023 für jedes neue Objekt angewendet und nicht abschaltbar); Datenbanksicherungen werden täglich lokal auf dem Hosting-Server bei Hetzner und zusätzlich in einem gemeinsam genutzten, nicht öffentlichen Speicherbereich (Bucket) des Objektspeichers von AWS in der Region eu-north-1 (Stockholm, Schweden) unter dessen serverseitiger Standardverschlüsselung (SSE-S3) abgelegt; Standort und Verschlüsselung des Sicherungsbereichs sind seit Fassung 1.14 nachgewiesen und werden zugesagt (Fassung 1.13 hatte den Standort offen gelassen; Fassung 1.12 war am 7. Oktober 2026 ohne diesen Nachweis veröffentlicht worden); der Speicherbereich wird für alle Apps mit einem einzigen Zugriffsschlüssel des Auftragsverarbeiters genutzt und liegt in seinem alleinigen Zugriff; eine darüber hinausgehende Verschlüsselung der Sicherungsdateien, etwa vor dem Hochladen mit einem eigenen Schlüssel, ist nicht zugesagt (Fassung 1.11). Der Objektspeicher der Dokumente und Exportdateien in Frankfurt ist ebenso serverseitig verschlüsselt (SSE-S3, Fassung 1.14). Download-Links zu Dokumenten sind signiert und zeitlich begrenzt.
• Integrität: Ausgestellte Rechnungen werden als unveränderlicher Datensatz mit Prüfsummenkette archiviert (E-Rechnung & GoBD); Exporte sind nachträglich nicht veränderbar, Korrekturen erfolgen durch neue Läufe mit Protokoll (DATEV Abgleich). Alle Verarbeitungsschritte werden im Dashboard des Verantwortlichen nachvollziehbar protokolliert.
• Verfügbarkeit und Belastbarkeit: Tägliche Sicherung der Datenbanken jeder App (lokal auf dem Hosting-Server und im Objektspeicher, Aufbewahrung jeweils 30 Tage, danach überschrieben; Alarm an den Auftragsverarbeiter, wenn eine Sicherung länger als einen Tag ausbleibt; Fassung 1.11); Objektspeicher mit redundanter Speicherung; der Objektspeicher der Dokumente und Exportdateien führt seit dem 9. Oktober 2026 Objektversionen: Ein gelöschtes oder überschriebenes Objekt bleibt 30 Tage als frühere Version wiederherstellbar und wird danach durch eine Lebenszyklusregel zur endgültigen Entfernung freigegeben, die der Anbieter asynchron ausführt (Fassung 1.14; Klarstellung in Fassung 1.15); eine Sicherung des Objektspeichers gegen den Verlust des Speicherbereichs selbst (Replikation) besteht nicht; Alarmmeldungen der Betriebsplattform — ausbleibende oder fehlgeschlagene Sicherung, fehlgeschlagene Bereitstellung, Ressourcenstatus — werden dem Auftragsverarbeiter über einen Messenger-Kanal zugestellt, die Zustellung ist nachgewiesen (Fassung 1.14); Überwachung des Betriebs und automatischer Neustart der Dienste; getrennte Dienste je App, so dass ein Ausfall einer App die anderen nicht betrifft.
• Wiederherstellbarkeit: Infrastruktur und Konfiguration sind dokumentiert und reproduzierbar; ein Wiederherstellungstest aus den Sicherungen (Art. 32 Abs. 1 lit. d DSGVO) ist als Probelauf mit produktionsgleichem Verfahren dokumentiert, der Lauf gegen die produktiven Sicherungen steht vor der allgemeinen Freigabe der Apps aus; danach wird er jährlich wiederholt. Der Test findet in einer isolierten, nur dem Auftragsverarbeiter zugänglichen Umgebung statt; Produktivdaten werden dort ausschließlich zu diesem Zweck verarbeitet und unmittelbar nach dem Test gelöscht; jeder Lauf wird protokolliert. Der Lauf gegen produktive Sicherungen erfolgt durch eine benannte Person des Auftragsverarbeiters auf einem verschlüsselten Datenträger ohne Zugriff Dritter — auch nicht durch KI-Dienste oder andere Werkzeuge mit Datenabfluss —, mit Gegenzeichnung einer zweiten Person; Sicherungskopie, Testinstanzen und Objektkopien werden unmittelbar nach dem Lauf gelöscht, es bleiben Prüfsummen, Protokolle und Prüfberichte (Zähler, Kettenwerte, Belegverzeichnis des Testbestands ohne Käuferdaten), und die Löschung wird festgehalten (Fassung 1.9; Umfang der Nachweise klargestellt in Fassung 1.12). Löschungen werden zusätzlich in einem Löschjournal außerhalb der Datenbank festgehalten, damit sie nach einer Wiederherstellung erneut ausgeführt werden (Fassung 1.12). In der wiederhergestellten Kopie werden die Shop-Zugriffstoken (Sitzungen) sofort nach dem Einspielen gelöscht, und die Testinstanz erhält keinen ausgehenden Netzzugang; vor einer Schreibfreigabe nach einer echten Wiederherstellung werden Belege, Nummernkreise und Exportläufe, die nach dem Sicherungszeitpunkt entstanden sind, aus dem Objektspeicher, dem Versandprotokoll des Mailanbieters und Shopify abgeglichen (Wiederanlauf), damit keine Rechnungsnummer doppelt vergeben wird (Fassung 1.11).
• Eingabekontrolle: Änderungen der Einstellungen werden mit Zeitpunkt und Shop-Konto protokolliert (DATEV Abgleich: Änderungsprotokoll; bei der Freigabe von Forderungskonten zusätzlich mit dem Namen der bestätigenden Person); Löschungen auf Weisung werden mit Zeitpunkt dokumentiert.
• Auftragskontrolle: Mit jedem Unterauftragsverarbeiter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; die Liste in Anlage 3 wird aktuell gehalten.
• Löschkontrolle: Löschung nach den Fristen in Abschnitt 10 durch automatisierte Läufe der Apps (E-Rechnung & GoBD täglich, DATEV Abgleich alle sechs Stunden) und Shopify-Webhooks; Löschkonzept je App dokumentiert.
• Sichere Entwicklung: Versionsverwaltung mit Prüfung vor jeder Auslieferung (Typprüfung, automatisierte Tests, Prüfung der Abhängigkeiten); Geheimnisse ausschließlich in der Umgebungskonfiguration des Hostings, nie im Quellcode.
• Organisation: Datenschutz- und Löschkonzept je App, Verfahrensdokumentation (E-Rechnung & GoBD), Prozess für Datenpannen mit Meldung nach Abschnitt 9, jährliche Überprüfung dieser Maßnahmen.

Anlage 3 — Unterauftragsverarbeiter

Stand Oktober 2026. Alle Unterauftragsverarbeiter verarbeiten die Daten in der Europäischen Union; die Standorte des Objektspeichers sind seit Fassung 1.14 nachgewiesen (Anlage 2).

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting der Anwendungen, Datenbanken und des Validierungsdienstes (Rechenzentren in Deutschland). Betroffen: alle Apps.
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg — Objektspeicher (S3) in der Region eu-central-1 (Frankfurt) für Rechnungsdokumente, Archiv- und Übergabepakete sowie Exportdateien; Objektspeicher (S3) in der Region eu-north-1 (Stockholm, Schweden) für die täglichen Datenbanksicherungen aller Apps (Standort nachgewiesen, Fassung 1.14; Anlage 2). Betroffen: E-Rechnung & GoBD, DATEV Abgleich (Dokumente, Exportdateien, Sicherungen) und Address Guard (Sicherung der Sitzungsdatenbank; Fassung 1.11).
• Brevo (Sendinblue SAS), 7 rue de Madrid, 75008 Paris, Frankreich — Versand von Transaktions-E-Mails: Rechnungsversand an Käufer (nur wenn vom Verantwortlichen aktiviert) und Mitteilungen an den Verantwortlichen, zum Beispiel bei Vertragsende. Betroffen: E-Rechnung & GoBD (Rechnungsversand, Mitteilungen an den Verantwortlichen) und DATEV Abgleich (Betreiber-Alarme zum Protokollpaket an den Auftragsverarbeiter selbst und die einmalige Information des Verantwortlichen beim Aufbau des Protokollpakets und im Ersatzweg — Fassung 1.11; Ersatzweg seit Fassung 1.10 — keine E-Mails an Käufer; Fassung 1.9).
• Kein Unterauftragsverarbeiter: Shopify International Ltd. (Dublin, Irland) ist die Plattform, die der Verantwortliche selbst vertraglich nutzt; die Apps lesen und schreiben Daten im Auftrag des Verantwortlichen über dessen Shopify-Konto. Für die Verarbeitung durch Shopify gilt der Vertrag zwischen dem Verantwortlichen und Shopify.