Auftragsverarbeitungsvertrag (AVV)

Version 1.0 · Gültig ab: 2026-10-23

Dies ist eine Übersetzung. Für Geschäftskunden ist die englische Fassung maßgeblich. Für Verbraucher mit gewöhnlichem Aufenthalt in einem Land, in dem Deutsch eine Amtssprache ist, ist diese Fassung gleichermaßen verbindlich wie die englische Fassung; weichen die beiden Fassungen voneinander ab, gilt die für den Verbraucher günstigere Bedeutung. Für andere Verbraucher ist die englische Fassung maßgeblich, soweit nicht zwingendes Verbraucherrecht ihres Landes etwas anderes vorschreibt.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Vertrags zwischen dem Kunden und dem Anbieter über den Consentl-Dienst, den der Kunde nutzt (der „Hauptvertrag“):

• für Consentl für Shopify (die Shopify-App): die Nutzungsbedingungen und Anlage 1;
• für Consentl für Websites (das Dashboard unter app.consentl.com, die API unter api.consentl.com und die Plattform-Integrationen): die Nutzungsbedingungen für Websites und Anlage 2.

Der AVV wird elektronisch geschlossen, wenn der Kunde ihn wie in der jeweils anwendbaren Anlage beschrieben annimmt. Der Anbieter bewahrt einen Nachweis der Annahme auf (Dokument, Version, Datum und Uhrzeit, Konto oder Shop sowie die Person, die die Annahme erklärt hat). Ein Kunde, der ein gegengezeichnetes Exemplar wünscht, kann es unter [email protected] anfordern.

Parteien

• Kunde: das Unternehmen oder die Person, das bzw. die einen Consentl-Dienst für den eigenen Onlineshop oder die eigene Website nutzt und diesen AVV annimmt, identifiziert durch den Shopify-Shop (Anlage 1) oder das Consentl-Konto (Anlage 2).
• Anbieter: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Rumänien; Handelsregisternummer J2020001305120, Steuernummer (CUI) 42512332 (nicht umsatzsteuerlich registriert; Umsatzsteuer-Identifikationsnummer für innergemeinschaftliche Umsätze RO46686340). Kontakt für diesen AVV: [email protected].

1. Begriffsbestimmungen und Geltungsbereich

1.1 „Datenschutzrecht“ bezeichnet die Rechtsvorschriften, die auf die Verarbeitung nach diesem AVV anwendbar sind, insbesondere die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“), die Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation) in ihrer jeweiligen nationalen Umsetzung, die UK GDPR und den Data Protection Act 2018, das schweizerische Bundesgesetz über den Datenschutz („DSG“, FADP), den California Consumer Privacy Act in der durch den CPRA geänderten Fassung („CCPA“) und die Datenschutzgesetze der anderen US-Bundesstaaten, den kanadischen PIPEDA und das Gesetz von Quebec über den Schutz personenbezogener Informationen im Privatsektor (Act respecting the protection of personal information in the private sector, „Quebec Law 25“) sowie das brasilianische LGPD, jeweils in der geltenden Fassung und soweit sie jeweils anwendbar sind.

1.2 Begriffe wie „Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die DSGVO gibt. Für andere Gesetze umfassen sie die entsprechenden Begriffe (zum Beispiel „Unternehmen“ („business“), „Dienstleister“ („service provider“), „Verbraucher“ („consumer“) und „personenbezogene Informationen“ („personal information“) nach dem CCPA; „operador“ nach dem LGPD).

1.3 „Personenbezogene Kundendaten“ sind personenbezogene Daten, die der Anbieter bei der Erbringung des Dienstes im Auftrag des Kunden verarbeitet, wie in Anhang I beschrieben. Nicht dazu gehören Daten, für die der Anbieter Verantwortlicher ist (zum Beispiel die Konto- und Mitarbeiterdaten des Kunden, Abrechnungsdaten, Support-Korrespondenz und Sicherheitsprotokolle). Diese Daten sind in den Datenschutzerklärungen des Anbieters beschrieben.

1.4 „Mitteilungsadresse“ ist die E-Mail-Adresse, an die der Anbieter Mitteilungen nach diesem AVV sendet (Ziffer 15.4), wie in Anlage 1, S1.6 (Shopify), oder Anlage 2, S2.5 (Websites), festgelegt.

1.5 Rangfolge: Widerspricht dieser AVV dem Hauptvertrag, hat dieser AVV Vorrang. Widerspricht er Standardvertragsklauseln oder anderen nach Abschnitt 9 einbezogenen Übermittlungsklauseln, haben diese Klauseln Vorrang. Eine Anlage hat für den von ihr erfassten Dienst Vorrang vor dem allgemeinen Teil dieses AVV.

2. Rollen

2.1 Der Kunde ist Verantwortlicher für die personenbezogenen Kundendaten oder ein Auftragsverarbeiter, der für einen anderen Verantwortlichen handelt. Der Anbieter ist Auftragsverarbeiter oder Unterauftragsverarbeiter.

2.2 Der Kunde entscheidet, ob er die einzelnen Funktionen nutzt (Einwilligungsbanner und Einwilligungsprotokoll, Formular für Datenschutzanfragen, Widerrufsfunktion, optionale Aktionen für Kundendaten, Cookie-Scans) und wie er sie konfiguriert. Die vom Kunden gewählte Konfiguration ist eine Weisung (Abschnitt 3).

2.3 Kunde als Auftragsverarbeiter. Verarbeitet der Kunde die Daten für einen anderen Verantwortlichen (zum Beispiel eine Agentur, die Websites oder Shops für ihre Kunden verwaltet), ist der Anbieter sein Unterauftragsverarbeiter. Der Kunde sichert zu, dass sein Verantwortlicher den Einsatz des Anbieters und der Unterauftragsverarbeiter in Anhang III genehmigt hat, gibt die Weisungen des Verantwortlichen weiter und leitet die Mitteilungen, die er vom Anbieter erhält, an seinen Verantwortlichen weiter. Der Anbieter darf sich auf Weisungen des Kunden verlassen, als kämen sie vom Verantwortlichen.

2.4 Die Plattform, auf der der Kunde seinen Shop oder seine Website betreibt (zum Beispiel Shopify, WordPress, Shopware, PrestaShop, Magento oder ein Website-Baukasten), ist kein Unterauftragsverarbeiter des Anbieters. Die Plattform verarbeitet Daten auf Grundlage ihrer eigenen Vereinbarungen mit dem Kunden.

3. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

3.1 Der Anbieter verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in Drittländer, sofern nicht das Recht der Union oder der Mitgliedstaaten, dem der Anbieter unterliegt, etwas anderes vorschreibt. In einem solchen Fall teilt der Anbieter dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die dokumentierten Weisungen des Kunden sind: dieser AVV und der Hauptvertrag; die Einstellungen und Aktionen, die der Kunde im Dienst vornimmt (zum Beispiel der Tarif und die sich daraus ergebende Speicherdauer, Exporte, Löschungen und Ein-Klick-Datenschutzaktionen); sowie sonstige von den Parteien vereinbarte schriftliche Weisungen.

3.3 Der Anbieter informiert den Kunden unverzüglich, wenn eine Weisung seiner Auffassung nach gegen Datenschutzrecht verstößt. Der Anbieter ist nicht verpflichtet, Weisungen rechtlich zu prüfen.

3.4 Der Kunde ist verantwortlich für die Rechtmäßigkeit seiner Weisungen, für das Vorliegen einer Rechtsgrundlage für die Verarbeitung, für die Information der betroffenen Personen (insbesondere in seiner eigenen Datenschutzerklärung und Cookie-Richtlinie) und für die Konfiguration des Dienstes für seinen Shop oder seine Website, seine Tracker und die für ihn geltenden Gesetze.

3.5 Ersuchen von Behörden. Verlangt eine Behörde personenbezogene Kundendaten, verweist der Anbieter sie an den Kunden, informiert den Kunden unverzüglich, sofern das Gesetz dies nicht verbietet, ficht ein Ersuchen, das er für rechtswidrig hält, an, wenn er hierfür begründeten Anlass hat, und legt nur offen, wozu er rechtlich verpflichtet ist.

4. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

4.1 Der Anbieter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff ist auf die namentlich benannten Personen beschränkt, die ihn für Betrieb, Support oder Absicherung des Dienstes benötigen (Anhang II).

4.2 Das Personal des Anbieters kann Softwarewerkzeuge, einschließlich KI-Programmierassistenten, zur Entwicklung und Wartung des Dienstes verwenden. Diese Werkzeuge arbeiten mit Quellcode und Testdaten. Sie erhalten keinen Zugriff auf personenbezogene Kundendaten, auf Produktionsdatenbanken oder auf Produktionsprotokolle (Anhang II). Entscheidet der Anbieter jemals anders, wird das Unternehmen, das ein solches Werkzeug bereitstellt, Unterauftragsverarbeiter, und Abschnitt 6 gilt, bevor das Werkzeug eingesetzt wird.

5. Sicherheit (Art. 28 Abs. 3 lit. c und Art. 32 DSGVO)

5.1 Der Anbieter trifft die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen. Sie können entsprechend der technischen Entwicklung angepasst werden, sofern das Gesamtschutzniveau nicht verringert wird.

5.2 Der Kunde ist verantwortlich für die Sicherheit seiner eigenen Konten (Shopify-Konto, Consentl-Konto und Teammitglieder, Administratorzugang zur Plattform), der Zugänge seiner Mitarbeiter, des Codes seiner Website und der von ihm gewählten Einstellungen.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 sowie Art. 28 Abs. 3 lit. d DSGVO)

6.1 Allgemeine Genehmigung. Der Kunde erteilt dem Anbieter die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter in Anspruch zu nehmen. Die Unterauftragsverarbeiter zum Datum dieses AVV sind in Anhang III und in der Liste der Unterauftragsverarbeiter aufgeführt, die für jeden von ihnen angibt, für welchen Dienst er eingesetzt wird.

6.2 Mitteilung von Änderungen. Der Anbieter informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters sowie über einen neuen Zweck oder Standort eines bestehenden Unterauftragsverarbeiters mindestens 30 Tage vor der Änderung per E-Mail an die Mitteilungsadresse und durch einen Eintrag im Änderungsprotokoll der Liste der Unterauftragsverarbeiter.

6.3 Einspruch. Der Kunde kann innerhalb dieser Frist aus angemessenen datenschutzbezogenen Gründen per E-Mail an [email protected] unter Angabe der Gründe Einspruch erheben. Der Anbieter antwortet innerhalb von 14 Tagen und bietet entweder eine angemessene Alternative an (zum Beispiel den Verzicht auf den Einsatz des Unterauftragsverarbeiters für den Kunden) oder erläutert, warum ihm dies nicht möglich ist. Wird der Einspruch nicht innerhalb von 30 Tagen nach seiner Erhebung ausgeräumt, kann der Kunde den Hauptvertrag für den betroffenen Dienst mit Wirkung vor dem Zeitpunkt kündigen, ab dem die Änderung für ihn gilt. Der Kunde sollte seine Daten zuvor exportieren (Abschnitt 11).

6.4 Erstattung. Bei einer Kündigung nach Ziffer 6.3 erstattet der Anbieter die für den nicht genutzten Teil des laufenden Abrechnungszeitraums gezahlten Entgelte, wie in der jeweils anwendbaren Anlage festgelegt.

6.5 Ersetzung in Notfällen. Muss ein Unterauftragsverarbeiter dringend ersetzt werden (Sicherheitsvorfall, Insolvenz, Kündigung oder Vertragsverletzung durch den Unterauftragsverarbeiter), kann der Anbieter die Änderung mit kürzerer Frist vornehmen. Er informiert den Kunden so bald wie möglich. Der Kunde kann dennoch nach Ziffer 6.3 Einspruch erheben; kündigt er, wird die Erstattung nach Ziffer 6.4 ab dem Datum der Änderung berechnet.

6.6 Weitergabe der Pflichten und Haftung. Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die inhaltlich denen dieses AVV entsprechen, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Der Anbieter haftet gegenüber dem Kunden vorbehaltlich Abschnitt 14 in vollem Umfang für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter.

7. Unterstützung

7.1 Anfragen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Angesichts der Art der Verarbeitung unterstützt der Anbieter den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person sowie gleichwertiger Rechte nach anderen Gesetzen zu beantworten. Der Dienst bietet:

• das Formular für Datenschutzanfragen mit E-Mail-Verifizierung und ein Anfragenprotokoll mit Fristen;
• CSV-Export des Einwilligungsprotokolls; (Anlage 1) CSV-Exporte der Datenschutzanfragen und Widerrufe; (Anlage 2) einen JSON-Export aller Daten des Kontos des Kunden, einschließlich der Datenschutzanfragen und Widerrufe jeder Website;
• das Widerrufsprotokoll;
• (Anlage 1, optional) Export und Löschung der Shopify-Daten des Endkunden.

Einwilligungsnachweise sind pseudonym: Ein Nachweis kann anhand der Einwilligungs-ID, die die betroffene Person aus dem Cookie consentl in ihrem Browser auslesen kann, mithilfe der Filter des Einwilligungsprotokolls und des CSV-Exports gefunden werden. Auf schriftliche Weisung des Kunden löscht der Anbieter einzelne Einwilligungsnachweise oder andere einzelne Datensätze innerhalb von 30 Tagen, bis der Dienst dies als Funktion anbietet. Erhält der Anbieter eine Anfrage direkt von einer betroffenen Person, leitet er sie unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist ihn dazu an.

7.2 Sonstige Pflichten (Art. 28 Abs. 3 lit. f DSGVO). Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Anbieter den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen und Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzungen, vorherige Konsultation) und gleichwertiger Pflichten nach anderem Datenschutzrecht (zum Beispiel Bewertungen der Auswirkungen auf die Privatsphäre („privacy impact assessments“) nach Quebec Law 25, bevor Daten außerhalb Quebecs weitergegeben werden), insbesondere durch die Bereitstellung der Informationen in den Anhängen I–III.

7.3 Eine Unterstützung, die über die Funktionen des Dienstes und einen angemessenen E-Mail-Support hinausgeht, kann zu angemessenen Kosten berechnet werden, wenn sie erheblich ist und nicht durch eine Pflichtverletzung des Anbieters verursacht wurde.

8. Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO)

8.1 Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft, unverzüglich und nach Möglichkeit binnen 48 Stunden, nachdem sie ihm bekannt wurde, einschließlich einer Verletzung bei einem Unterauftragsverarbeiter, die dieser dem Anbieter gemeldet hat. Der Anbieter leitet die Informationen, die er von einem Unterauftragsverarbeiter erhält, innerhalb derselben Frist weiter. Die Meldung erfolgt per E-Mail an die Mitteilungsadresse.

8.2 Die Meldung enthält, soweit verfügbar (und erforderlichenfalls schrittweise): die Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze; die Anlaufstelle für weitere Informationen; die wahrscheinlichen Folgen; und die ergriffenen oder vorgeschlagenen Maßnahmen, einschließlich Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen (Art. 33 Abs. 3 DSGVO).

8.3 Der Anbieter ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und zu beheben, dokumentiert Verletzungen und wirkt an der Meldung des Kunden an Aufsichtsbehörden und, soweit erforderlich, an dessen Benachrichtigung der betroffenen Personen mit (Art. 34 DSGVO).

8.4 Bei personenbezogenen Informationen, die dem Recht von Quebec unterliegen, informiert der Anbieter den Kunden außerdem unverzüglich über jeden ihm bekannt gewordenen Versuch, die Vertraulichkeit dieser Informationen zu verletzen.

8.5 Eine Meldung ist kein Schuldanerkenntnis. Mitteilungen, die der Anbieter einer Plattform nach deren eigenen Bedingungen machen muss (Anlage 1), verzögern die Meldung an den Kunden nicht.

9. Internationale Übermittlungen

9.1 Der Anbieter speichert personenbezogene Kundendaten in der Europäischen Union (DigitalOcean, Frankfurt, Deutschland). Einige Unterauftragsverarbeiter sind außerhalb des EWR niedergelassen oder können von dort auf Daten zugreifen (Anhang III).

9.2 Übermittlungen an Unterauftragsverarbeiter. Übermittlungen an Unterauftragsverarbeiter außerhalb des EWR, der Schweiz und des Vereinigten Königreichs, die nicht von einem Angemessenheitsbeschluss erfasst sind (einschließlich des EU-US Data Privacy Framework (EU-US-Datenschutzrahmen) für zertifizierte Empfänger), erfolgen auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), Modul drei (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter), die der Anbieter mit seinen direkten Unterauftragsverarbeitern und jeder Unterauftragsverarbeiter mit seinen eigenen Unterauftragsverarbeitern abschließt.

9.3 Kunden in Drittländern (Modul vier). Soweit die Offenlegung personenbezogener Kundendaten durch den Anbieter gegenüber einem Kunden, der in einem Drittland ohne Angemessenheitsbeschluss niedergelassen ist (zum Beispiel durch einen Export, eine E-Mail-Benachrichtigung oder die Anzeige von Daten im Dashboard), eine Übermittlung im Sinne von Kapitel V DSGVO darstellt, beziehen die Parteien Modul vier (Übermittlung von Auftragsverarbeitern an Verantwortliche) der Standardvertragsklauseln durch Verweis mit folgenden Optionen ein: Klausel 7 (Kopplungsklausel) ist enthalten; die fakultative Formulierung in Klausel 11 wird nicht verwendet; Klausel 17: das Recht Rumäniens; Klausel 18: die Gerichte in Cluj-Napoca, Rumänien. Die Anhänge I–III dieses AVV vervollständigen die Anhänge der Standardvertragsklauseln. Ist der Kunde Auftragsverarbeiter (Ziffer 2.3), gilt stattdessen Modul drei mit denselben Optionen. Erlässt die Europäische Kommission Standardvertragsklauseln für Datenimporteure, deren Verarbeitung nach Art. 3 Abs. 2 DSGVO der DSGVO unterliegt, gelten für solche Kunden stattdessen diese Klauseln.

9.4 Vereinigtes Königreich. Soweit eine Übermittlung personenbezogener Daten, die der UK GDPR unterliegen, durch den Anbieter eine eingeschränkte Übermittlung („restricted transfer“) ist, die nicht von britischen Angemessenheitsvorschriften („UK adequacy regulations“) erfasst ist, gilt für die nach Ziffer 9.3 einbezogenen Klauseln das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (Version B1.0, „UK-Addendum“), wobei Tabelle 1 mit den oben genannten Angaben der Parteien, Tabelle 2 mit dem in Ziffer 9.3 gewählten Modul und den dort gewählten Optionen und Tabelle 3 mit den Anhängen I–III ausgefüllt wird und Tabelle 4 jeder Partei erlaubt, das UK-Addendum nach dessen Bestimmungen zu beenden.

9.5 Schweiz. Für Übermittlungen, die dem DSG unterliegen, gelten die Standardvertragsklauseln mit folgenden Anpassungen: Verweise auf die DSGVO gelten als Verweise auf das DSG; der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist eine zuständige Aufsichtsbehörde; und der Begriff „Mitgliedstaat“ umfasst die Schweiz, sodass betroffene Personen an ihrem gewöhnlichen Aufenthaltsort klagen können.

9.6 Brasilien. Gilt das LGPD für eine Übermittlung personenbezogener Daten vom Kunden an den Anbieter und ist diese nicht von einem Angemessenheitsbeschluss der brasilianischen Datenschutzbehörde (ANPD) erfasst, werden die durch die Resolution CD/ANPD Nr. 19/2024 genehmigten Standardvertragsklauseln einbezogen, mit dem Kunden als Exporteur (Verantwortlicher) und dem Anbieter als Importeur („operador“).

9.7 Der Kunde kann unter [email protected] eine Kopie der zugrunde gelegten Garantien anfordern.

10. Datenschutzgesetze der US-Bundesstaaten (Dienstleisterbedingungen nach CCPA/CPRA)

10.1 Für personenbezogene Informationen, die dem CCPA unterliegen, ist der Kunde ein „Unternehmen“ („business“) und der Anbieter ein „Dienstleister“ („service provider“; Cal. Civ. Code §1798.140(ag)). Der Kunde legt dem Anbieter personenbezogene Informationen nur für folgende begrenzte und bestimmte Geschäftszwecke („business purposes“) offen: Aufzeichnung und Nachweis der Einwilligungen und Opt-out-Entscheidungen von Verbrauchern (einschließlich Opt-out-Präferenzsignalen wie dem Global-Privacy-Control-Signal (GPC)); Entgegennahme, Verifizierung, Nachverfolgung und Dokumentation von Datenschutzanfragen und Widerrufen von Verbrauchern; Versand der zugehörigen Transaktions-E-Mails; Scannen des Shops oder der Website des Kunden auf Cookies und Tracker; sowie Sicherheit, Integrität und Fehlerbehebung des Dienstes (§1798.140(e)(2), (e)(3) und (e)(5)).

10.2 Der Anbieter darf nicht (§1798.100(d); 11 CCR §7051(a)):

• die personenbezogenen Informationen verkaufen („sell“) oder weitergeben („share“);
• sie für andere Zwecke (einschließlich jeglicher kommerzieller Zwecke) als die in Ziffer 10.1 bestimmten Geschäftszwecke aufbewahren, verwenden oder offenlegen, soweit dies nicht anderweitig nach dem CCPA und seinen Durchführungsvorschriften („regulations“) zulässig ist;
• sie außerhalb der unmittelbaren Geschäftsbeziehung mit dem Kunden aufbewahren, verwenden oder offenlegen;
• sie mit personenbezogenen Informationen zusammenführen, die er von einer anderen Person oder in deren Auftrag erhalten oder aus seiner eigenen Interaktion mit dem Verbraucher erhoben hat, soweit dies nicht nach den Durchführungsvorschriften zum CCPA zulässig ist (11 CCR §7050).

10.3 Der Anbieter erfüllt die Pflichten, die ihm nach dem CCPA und seinen Durchführungsvorschriften obliegen, bietet dasselbe Datenschutzniveau, das der CCPA von Unternehmen verlangt, und wendet angemessene Sicherheitsverfahren und -praktiken an (Cal. Civ. Code §1798.81.5). Er benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von fünf Werktagen, wenn er feststellt, dass er diese Pflichten nicht mehr erfüllen kann.

10.4 Der Kunde kann angemessene und geeignete Maßnahmen ergreifen, um sicherzustellen, dass der Anbieter die personenbezogenen Informationen im Einklang mit den Pflichten des Kunden nach dem CCPA verwendet, einschließlich der Informations- und Prüfungsrechte nach Abschnitt 12 (eine Überprüfung in jedem Zeitraum von 12 Monaten und weitere Überprüfungen in den in Ziffer 12.2 genannten Fällen), und nach Mitteilung eine unbefugte Verwendung der personenbezogenen Informationen zu unterbinden und zu beheben, unter anderem indem er den Anbieter auffordert, die Löschung zu bestätigen.

10.5 Der Kunde informiert den Anbieter über jede Verbraucheranfrage nach dem CCPA, der der Anbieter nachkommen muss, und stellt ihm die dafür erforderlichen Informationen zur Verfügung. Der Anbieter unterstützt den Kunden bei der Beantwortung überprüfbarer Verbraucheranfragen („verifiable consumer requests“) (Ziffer 7.1).

10.6 Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die dieser für seine Risikobewertungen und Cybersicherheitsprüfungen nach den Durchführungsvorschriften zum CCPA vernünftigerweise benötigt, und wirkt an ihnen mit.

10.7 Der Anbieter beauftragt jeden Subunternehmer („subcontractor“), der die personenbezogenen Informationen verarbeitet, auf Grundlage eines schriftlichen Vertrags, der dieselben Beschränkungen enthält (Abschnitt 6), und bestätigt, dass er die Beschränkungen dieses Abschnitts 10 versteht und einhalten wird.

10.8 Für die anderen Datenschutzgesetze der US-Bundesstaaten (zum Beispiel Virginia, Colorado, Connecticut, Utah, Texas, Oregon und die anderen Bundesstaaten, die von den Regionsvorlagen des Dienstes abgedeckt werden) ist der Anbieter „Auftragsverarbeiter“ („processor“). Die Abschnitte 3 bis 8, 11 und 12 enthalten die von diesen Gesetzen verlangten Bestimmungen für Auftragsverarbeiter: Weisungen, Vertraulichkeit, Löschung oder Rückgabe, Information, Mitwirkung an Bewertungen, Prüfungen (oder, soweit das Gesetz dies zulässt, ein unabhängiger Prüfbericht) sowie Weitergabe der Pflichten an Subunternehmer mit der Möglichkeit, Einspruch zu erheben (Abschnitt 6).

10.9 Der Anbieter verkauft keine personenbezogenen Informationen, gibt keine personenbezogenen Informationen weiter („sell“/„share“) und verwendet sensible personenbezogene Informationen für keinerlei Zweck.

11. Löschung oder Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

11.1 Rückgabe. Die Exportfunktionen des Dienstes (die in den Anlagen aufgeführten CSV-Exporte) sind das Mittel, mit dem der Kunde seine Daten erhält. Der Kunde wählt die Rückgabe, indem er die Daten exportiert, bevor sie gelöscht werden.

11.2 Speicherung während der Laufzeit des Hauptvertrags. Personenbezogene Kundendaten werden gemäß Anhang I gespeichert und gelöscht. Der Nachweis der Einwilligung wird mindestens so lange aufbewahrt, wie die Einwilligung, die er belegt, verwendet wird (Gültigkeitsdauer der Einwilligung + 30 Tage); bei einem Tarifwechsel, der die Speicherdauer verkürzt, gilt die bisherige Frist noch 30 Tage lang fort. Abgeschlossene Datenschutzanfragen und Widerrufe werden standardmäßig 2 Jahre lang aufbewahrt, damit der Kunde Aufbewahrungspflichten erfüllen kann (zum Beispiel 11 CCR §7101), und 3 Jahre nach ihrem Abschluss automatisch gelöscht. Der Kunde kann eine frühere Löschung anweisen: im Dienst, soweit eine Löschfunktion vorhanden ist, andernfalls durch schriftliche Weisung, die der Anbieter innerhalb von 30 Tagen ausführt.

11.3 Nach Beendigung des Hauptvertrags löscht der Anbieter alle personenbezogenen Kundendaten gemäß der jeweils anwendbaren Anlage. Kopien in verschlüsselten Datenbank-Sicherungskopien (Backups) werden innerhalb der Aufbewahrungsfrist der Sicherungskopien der verwalteten Datenbank (tägliche Sicherungskopien und Wiederherstellung zu einem beliebigen Zeitpunkt (Point-in-Time-Recovery), 7 Tage lang aufbewahrt) überschrieben und nur zur Notfallwiederherstellung (Disaster Recovery) wiederhergestellt; wird eine Sicherungskopie wiederhergestellt, werden die seit ihrer Erstellung vorgenommenen Löschungen erneut angewendet. Der Anbieter speichert und exportiert keine Request-Protokolle: Die Anwendungsprotokolle existieren nur als Laufzeitausgabe der laufenden Anwendung bei DigitalOcean, die bei der Bereitstellung einer neuen Version gelöscht wird (sie enthalten keine IP-Adressen von Besuchern und keine Request-Inhalte, Anhang II). Request-Daten im Edge-Netzwerk des Hosting-Anbieters und die Transaktions-E-Mail-Protokolle von Brevo werden innerhalb der Speicherfristen dieser Unterauftragsverarbeiter gelöscht und für keinen anderen Zweck verwendet. Noch zu bestätigen: DigitalOcean bestätigt derzeit die Speicherdauer seines Edge-Netzwerks.

11.4 Die Löschung gilt nicht, soweit das Recht der Union oder der Mitgliedstaaten den Anbieter zur Speicherung der Daten verpflichtet; der Anbieter schützt sie dann und verarbeitet sie nur zu diesem Zweck.

11.5 Wechsel (Verordnung (EU) 2023/2854, Datenverordnung). Soweit die Datenverordnung anwendbar ist, kann der Kunde wie im Hauptvertrag festgelegt zu einem anderen Anbieter oder zu seinen eigenen Systemen wechseln: Exportierbare Daten sind das Einwilligungsprotokoll, die Datenschutzanfragen, die Widerrufe, die Cookie-Erklärung und die Banner-Einstellungen; der Kunde hat einen Zeitraum für die Datenabfrage von mindestens 30 Tagen; der Anbieter erhebt keine Wechselentgelte und löscht die Daten nach Ablauf des Zeitraums für die Datenabfrage.

11.6 Auf Anfrage bestätigt der Anbieter die Löschung schriftlich.

12. Informationen und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)

12.1 Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung, insbesondere diesen AVV und seine Anhänge, sowie auf Anfrage die Sicherheitszertifizierungen oder -berichte seiner wichtigsten Unterauftragsverarbeiter (zum Beispiel den SOC-2-Type-II-Bericht und das ISO/IEC-27001-Zertifikat von DigitalOcean), soweit deren Bedingungen eine Weitergabe erlauben.

12.2 Der Anbieter ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei, unter folgenden Bedingungen:

• schriftliche Ankündigung mindestens 30 Tage im Voraus;
• höchstens eine Überprüfung in einem Zeitraum von 12 Monaten, es sei denn, eine Aufsichtsbehörde verlangt dies, nach einer Verletzung des Schutzes personenbezogener Daten oder wenn der Kunde begründete Anhaltspunkte für einen Verstoß gegen diesen AVV hat;
• zunächst eine Überprüfung anhand eines schriftlichen Fragebogens und von Unterlagen; eine Inspektion vor Ort oder aus der Ferne nur, wenn die Antworten nicht ausreichen;
• während der Geschäftszeiten, ohne Zugang zu Daten anderer Kunden oder zu Geschäftsgeheimnissen des Anbieters über das erforderliche Maß hinaus;
• der Prüfer ist zur Vertraulichkeit verpflichtet und kein Wettbewerber des Anbieters;
• jede Partei trägt ihre eigenen Kosten, es sei denn, die Überprüfung deckt einen wesentlichen Verstoß des Anbieters auf.

13. Pflichten des Kunden

Der Kunde:

• nutzt den Dienst im Einklang mit dem Datenschutzrecht und erteilt nur rechtmäßige Weisungen;
• informiert die betroffenen Personen in seiner eigenen Datenschutzerklärung und Cookie-Richtlinie über die Verarbeitung, einschließlich der Nutzung von Consentl, und verwendet dabei die Informationen in Anhang I;
• konfiguriert den Dienst korrekt (Regionen, Kategorien, Blockierung von Trackern, Texte) und prüft das Ergebnis; der Anbieter garantiert nicht, dass eine bestimmte Konfiguration bewirkt, dass der Shop oder die Website die gesetzlichen Vorschriften einhält (siehe Hauptvertrag);
• fordert betroffene Personen nicht auf, über die Formulare besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) zu übermitteln;
• beantwortet Datenschutzanfragen und Widerrufe innerhalb der gesetzlichen Fristen;
• stellt dem Anbieter Zugangsdaten (Anlage 2: HTTP-Basic-Auth-Zugangsdaten für Scans) nur für Websites zur Verfügung, die er scannen lassen darf;
• hält seine Mitteilungsadresse aktuell.

14. Haftung

14.1 Die Gesamthaftung jeder Partei aus oder im Zusammenhang mit diesem AVV ist auf den höheren der folgenden Beträge begrenzt: (a) das Dreifache der Entgelte, die der Kunde für den betroffenen Dienst in den 12 Monaten vor dem ersten haftungsbegründenden Ereignis gezahlt hat, und (b) EUR 5.000.

14.2 Die Begrenzung in Ziffer 14.1 gilt nicht für: die Haftung für Vorsatz oder grobe Fahrlässigkeit; die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO und nach Klausel 12 der Standardvertragsklauseln (die nicht beschränkt werden kann); und die Haftung, die gesetzlich nicht beschränkt werden kann. Ist der Kunde Verbraucher, gilt Ziffer 14.1 nur, soweit das für ihn geltende zwingende Verbraucherrecht dies zulässt.

14.3 Für Ansprüche aus diesem AVV ersetzt die Begrenzung in Ziffer 14.1 die Haftungsbeschränkung des Hauptvertrags. Haften beide Parteien einer betroffenen Person für denselben Schaden, kann jede Partei von der anderen den Teil des Schadenersatzes zurückfordern, der dem Anteil der anderen Partei an der Verantwortung entspricht (Art. 82 Abs. 5 DSGVO), innerhalb der Begrenzung in Ziffer 14.1.

14.4 Von einer Aufsichtsbehörde gegen eine Partei verhängte Geldbußen trägt diese Partei, außer soweit sie auf einem Verstoß der anderen Partei gegen diesen AVV beruhen; insoweit können sie innerhalb der Begrenzung in Ziffer 14.1 geltend gemacht werden.

15. Laufzeit, Änderungen, Mitteilungen und anwendbares Recht

15.1 Dieser AVV gilt, solange der Anbieter personenbezogene Kundendaten verarbeitet, und endet danach automatisch. Die Abschnitte 8, 11, 14 und 15 gelten nach Vertragsende fort.

15.2 Änderungen. Der Anbieter kann diesen AVV aktualisieren, um Änderungen der Rechtslage, des Dienstes oder der Unterauftragsverarbeiter Rechnung zu tragen. Änderungen, die den Schutz des Kunden verringern, teilt er mindestens 30 Tage im Voraus per E-Mail an die Mitteilungsadresse mit; der Kunde kann dann wie in Ziffer 6.3 und 6.4 Einspruch erheben und kündigen. Gesetzlich vorgeschriebene Änderungen oder Änderungen, die den Schutz des Kunden ausschließlich verbessern, können früher gelten. Betrifft eine Änderung eine Klausel, die der Kunde ausdrücklich angenommen hat (Ziffer 15.6), bittet der Anbieter um eine erneute ausdrückliche Annahme; bis diese erteilt ist, gilt die bisherige Fassung dieser Klausel. Frühere Fassungen dieses AVV sind auf Anfrage erhältlich.

15.3 Beweis. Die vom Anbieter aufbewahrten elektronischen Aufzeichnungen über Annahmen, Mitteilungen und Weisungen dienen zwischen den Parteien als Beweis für deren Inhalt und Datum (rumänisches Gesetz Nr. 214/2024 über die Verwendung der elektronischen Signatur).

15.4 Mitteilungen. Der Anbieter sendet Mitteilungen nach diesem AVV (Änderungen der Unterauftragsverarbeiter, Verletzungen, Änderungen des AVV) per E-Mail an die in der jeweils anwendbaren Anlage festgelegte Mitteilungsadresse. Der Kunde hält sie aktuell. Der Kunde sendet Mitteilungen an [email protected].

15.5 Anwendbares Recht und Gerichtsstand. Dieser AVV unterliegt rumänischem Recht. Die zuständigen Gerichte in Cluj-Napoca, Rumänien, sind ausschließlich zuständig, soweit nicht die Standardvertragsklauseln oder zwingendes Recht (einschließlich der Vorschriften zum Schutz der Verbraucher) etwas anderes vorsehen.

15.6 Ausdrückliche Annahme (Art. 1203 des rumänischen Zivilgesetzbuchs). Der Kunde nimmt folgende Klauseln dieses AVV ausdrücklich an: 6.3–6.5 (Verfahren für Einspruch, Kündigung und Erstattung), 14 (Haftungsbeschränkung), 15.2 (Änderungen) und 15.5 (anwendbares Recht und ausschließliche Zuständigkeit). Geschäftskunden nehmen sie mit einem gesonderten Kontrollkästchen an, wenn sie den Hauptvertrag annehmen.

Anlage 1 — Consentl für Shopify

S1.1 Dienst und Hauptvertrag. Der Dienst ist die Consentl-App für Shopify (die „App“). Kunde ist der Händler, der sie in seinem Shopify-Shop installiert. Hauptvertrag sind die Nutzungsbedingungen.

S1.2 Vertragsschluss. Der AVV wird im Annahmeschritt der App (beim Onboarding und erneut bei einer neuen Version, die dies erfordert) zusammen mit den Nutzungsbedingungen angenommen.

S1.3 Shopify. Shopify ist kein Unterauftragsverarbeiter des Anbieters. Auf Weisung des Kunden legt der Anbieter Shopify als der eigenen Plattform des Kunden Daten offen: die E-Mail-Adresse eines Käufers, der dem Verkauf oder der Weitergabe widerspricht (Opt-out) oder im angemeldeten Zustand ein Global-Privacy-Control-Signal sendet, damit Shopify das Opt-out im Datensatz des Endkunden vermerkt (dataSaleOptOut); Löschanfragen, die über die optionalen Ein-Klick-Aktionen weitergeleitet werden; und die veröffentlichte Banner-Konfiguration, die als Metafelder (Metafields) des Shops gespeichert wird.

S1.4 Shopify-Compliance-Webhooks. Die App verarbeitet die verpflichtenden Shopify-Benachrichtigungen customers/data_request, customers/redact und shop/redact wie in Anhang I-A beschrieben.

S1.5 Optionale Zugriffsberechtigungen. Die Zugriffsberechtigungen (Scopes) read_customers, write_customers und read_orders werden nur angefordert, wenn der Kunde die Ein-Klick-Datenschutzaktionen oder die Zuordnung von Widerrufen zu Bestellungen aktiviert, und werden vom Kunden ausdrücklich erteilt.

S1.6 Mitteilungsadresse. Die Datenschutz- und Sicherheitskontaktadresse, die der Kunde in den Einstellungen der App festlegt. Solange keine festgelegt ist, die E-Mail-Adresse des Inhaberkontos des Shopify-Shops, wie sie von Shopify übermittelt wird, und wenn Shopify keine übermittelt, die Kontakt-E-Mail-Adresse des Shops.

S1.7 Erstattungen. Erstattungen nach Ziffer 6.4 erfolgen über Shopify als Rückerstattung oder als App-Guthaben, nach Wahl des Anbieters.

S1.8 Beendigung des Hauptvertrags und Löschung. Wird die App deinstalliert, löscht der Anbieter das Zugriffstoken sofort und alle anderen personenbezogenen Kundendaten, wenn Shopify die Benachrichtigung shop/redact sendet (48 Stunden nach der Deinstallation), in jedem Fall spätestens 30 Tage nach der Deinstallation. Vor der Deinstallation kann der Kunde in den Tarif Free wechseln und die App so lange installiert lassen, wie er für den Export seiner Daten benötigt (dies ist auch der Zeitraum für die Datenabfrage beim Wechsel nach Ziffer 11.5); Exporte sind in jedem Tarif verfügbar. Bei der Deinstallation der App sendet der Anbieter dem Kunden per E-Mail einen Warnhinweis mit der Anzahl der Datensätze.

S1.9 Mitteilungen an die Plattform. Verlangen die Bedingungen von Shopify, dass der Anbieter Shopify über einen Sicherheitsvorfall informiert, der Händler- oder Endkundendaten betrifft, tut der Anbieter dies zusätzlich zu Abschnitt 8.

S1.10 Anhänge. Anhang I-A beschreibt die Verarbeitung in der App.

Anlage 2 — Consentl für Websites und die Plattform-Integrationen

S2.1 Dienst und Hauptvertrag. Der Dienst ist Consentl für Websites: das Dashboard unter app.consentl.com, die öffentliche API unter api.consentl.com (Loader, Banner, Einwilligungs-Beacons, Formulare für Datenschutzanfragen und Widerrufe, gehostete Cookie-Erklärung und Barrierefreiheitsseiten) und der Cookie-Scanner (der „Dienst“), direkt oder über die vom Anbieter veröffentlichten Integrationen genutzt (Code-Snippet für Websites, Vorlage für Google Tag Manager, Plugins für WordPress/WooCommerce, Shopware, PrestaShop und Magento sowie Anleitungen für andere Website-Baukästen). Hauptvertrag sind die Nutzungsbedingungen für Websites.

S2.2 Vertragsschluss. Geschäftskunden nehmen den AVV bei der Erstellung ihres Kontos mit einem Kontrollkästchen an und erneut bei einer neuen Version, die dies erfordert; ein Konto, das die aktuelle Version nicht angenommen hat, wird aufgefordert, dies zu tun, bevor es das Dashboard weiter nutzen kann. Für Kunden, die den Dienst als Verbraucher nutzen, ist der AVV Bestandteil der Nutzungsbedingungen für Websites, die sie bei der Erstellung ihres Kontos annehmen.

S2.3 Integrationen. Die Integrationen laufen auf dem eigenen Server oder der eigenen Plattform des Kunden. Sie speichern dort keine personenbezogenen Daten von Besuchern. Ihre serverseitigen Aufrufe an api.consentl.com (Prüfung des Website-Schlüssels, Abruf des Loaders, damit er in die Seite eingefügt werden kann) übermitteln nur den Website-Schlüssel, die Sprache und den Hostnamen der Website. Personenbezogene Kundendaten werden vom Anbieter nur verarbeitet, wenn die Browser der Besucher api.consentl.com aufrufen. Der Anbieter ist kein Auftragsverarbeiter für die Plattform oder das Shopsystem des Kunden.

S2.4 Datenflüsse. Anhang I-B führt die Daten auf: Einwilligungsnachweise (einschließlich Nachweisen, die ohne überprüfbaren Browser-Ursprung gesendet und mit strengeren Begrenzungen angenommen werden), Banner-Zähler, über die Formulare gesendete Datenschutzanfragen und Widerrufe, E-Mails an Besucher, Cookie-Scans der Websites des Kunden und, im Tarif Enterprise, die HTTP-Basic-Auth-Zugangsdaten, die der Kunde zum Scannen geschützter Websites angibt.

S2.5 Mitteilungsadresse. Die Mitteilungsadresse, die der Kunde auf der Seite „Konto“ festlegt, sobald sie bestätigt ist (über den Bestätigungslink oder weil es die verifizierte Adresse eines Mitglieds des Kontos ist). Solange keine bestätigt ist, die verifizierten E-Mail-Adressen der Inhaber und Administratoren des Kontos.

S2.6 Erstattungen. Erstattungen nach Ziffer 6.4 erfolgen über Stripe auf die ursprüngliche Zahlungsmethode, anteilig für den nicht genutzten Teil des bezahlten Zeitraums.

S2.7 Beendigung des Hauptvertrags und Löschung.

• Der Kunde kann jederzeit und in jedem Tarif das Einwilligungsprotokoll einer Website als CSV und alle Daten seines Kontos („Meine Daten herunterladen (JSON)“) als JSON exportieren, einschließlich der Einstellungen, der Cookie-Liste, der Datenschutzanfragen, der Widerrufe und des Einwilligungsprotokolls jeder Website.
• Das Löschen einer Website löscht ihre Daten sofort (kaskadierend); das Dashboard fragt nach einer Bestätigung und empfiehlt, zuvor einen Export vorzunehmen. Das Löschen einer Website ist die Weisung des Kunden, die Daten dieser Website zu löschen.
• Endet ein kostenpflichtiges Abonnement, wechselt die Website in den Tarif Free, und ihre Daten bleiben für den Export verfügbar (dies ist auch der Zeitraum für die Datenabfrage beim Wechsel nach Ziffer 11.5).
• Löschung des Kontos: Der Inhaber des Kontos löscht das Konto im Dashboard (nach Kündigung kostenpflichtiger Abonnements) oder beantragt die Löschung unter [email protected]. Das Konto bleibt 30 Tage lang verfügbar (Zeitraum für die Datenabfrage: Export oder Abbruch der Löschung; die Banner funktionieren weiter), danach werden das Konto, seine Websites und alle personenbezogenen Kundendaten dieser Websites gelöscht.
• Sicherungskopien und Protokolle der Unterauftragsverarbeiter: Ziffer 11.3.

S2.8 Automatische Löschung. Der Dienst löscht automatisch: Einwilligungsnachweise nach Ablauf der Speicherdauer der Website (Anhang I-B); Datenschutzanfragen, deren E-Mail-Adresse nie bestätigt wurde, 30 Tage nach der Übermittlung; jede andere Datenschutzanfrage und jeden Widerruf 3 Jahre nach der letzten Änderung, unabhängig vom Status; tägliche Zähler und A/B-Zähler nach 2 Jahren; Scan-Ergebnisse außer dem jeweils letzten Scan einer Website 400 Tage nach dem Scan. Frühere Löschung auf Weisung des Kunden: Ziffer 11.2.

S2.9 Anhänge. Anhang I-B beschreibt die Verarbeitung im Dienst.

Anhang I — Beschreibung der Verarbeitung

A. Liste der Parteien

Zuständige Aufsichtsbehörde: die nach Klausel 13 der Standardvertragsklauseln für den Kunden (Datenexporteur) zuständige Behörde; für den Anbieter: die rumänische Datenschutzaufsichtsbehörde (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, ANSPDCP) (www.dataprotection.ro (externe Website)).

Gemeinsam für beide Dienste

• Kategorien betroffener Personen: Besucher des Shops oder der Website des Kunden (Einwilligungsnachweise, Banner-Aufrufe); Personen, die über den Shop oder die Website eine Datenschutzanfrage oder einen Widerruf übermitteln; (Shopify, optional) Endkunden, deren Shopify-Profil und Bestellungen über die Ein-Klick-Datenschutzaktionen gelesen oder gelöscht werden.
• Besondere Kategorien personenbezogener Daten: keine beabsichtigt. Der Kunde darf sie nicht anfordern. Freitextfelder könnten sie enthalten, wenn ein Antragsteller sie eingibt; sie werden wie alle anderen Daten geschützt.
• Art der Verarbeitung: Erhebung über das Skript und die Formulare in der Storefront oder auf der Website, Speicherung, Abruf und Anzeige für den Kunden, Export, Übermittlung per E-Mail, automatisierte Löschung.
• Zwecke: die Geschäftszwecke in Ziffer 10.1.
• Häufigkeit: fortlaufend, für die Dauer des Hauptvertrags.
• Unterauftragsverarbeiter: Anhang III.

B. Consentl für Shopify (Anhang I-A)

Kategorien personenbezogener Daten

Speicherdauer

C. Consentl für Websites (Anhang I-B)

Kategorien personenbezogener Daten

Speicherdauer

Anhang II — Technische und organisatorische Maßnahmen

Maßnahmen, die zum Datum dieses AVV umgesetzt sind, für beide Dienste, sofern kein bestimmtes Produkt genannt ist. Als geplant beschriebene Punkte sind noch nicht umgesetzt. Einige Maßnahmen verweisen auf die interne Sicherheits- und Vorfallrichtlinie des Anbieters, das Register der Produktionszugriffe und das Verzeichnis von Verarbeitungstätigkeiten; diese Dokumente sind intern, und der Kunde kann nach Ziffer 12.1 auf Anfrage eine Kopie erhalten.

Pseudonymisierung und Datenminimierung

• IP-Adressen werden bei der Erfassung vor der Speicherung auf IPv4 /24 bzw. IPv6 /48 gekürzt; die vollständige IP-Adresse wird nie in die Datenbank oder in Anwendungsprotokolle geschrieben (sie wird nur im Arbeitsspeicher gehalten, Anhang I).
• Einwilligungsnachweise verwenden eine im Browser erzeugte Zufallskennung und sind nicht mit Endkundenkonten verknüpft; Seiten-URLs werden auf den Pfad reduziert; User-Agents werden auf 400 Zeichen gekürzt.
• Banner-Aufrufe werden nur als tägliche Zähler gespeichert; das Banner-Skript sendet vor einer Entscheidung nichts, und ein Aufruf wird zusammen mit der ersten Entscheidung des Besuchers gezählt (keine separate Anfrage für den Aufruf).
• Shopify: Endkunden- und Bestelldatensätze werden bei Bedarf aus Shopify gelesen und nicht kopiert, mit Ausnahme der Kennungen, die erforderlich sind, um eine Anfrage oder einen Widerruf dem Endkunden oder der Bestellung zuzuordnen. Optionale Shopify-Zugriffsberechtigungen für Endkundendaten werden nur angefordert, wenn der Kunde die Funktionen aktiviert, die sie benötigen.

Verschlüsselung

• Der gesamte Datenverkehr wird über HTTPS (TLS) ausgeliefert. Shopify-Webhooks und -API-Aufrufe sowie API-Aufrufe an Stripe und Brevo verwenden TLS.
• Die verwalteten PostgreSQL-Datenbanken und ihre Sicherungskopien werden von DigitalOcean im Ruhezustand verschlüsselt.
• Shopify-Storefront-Passwörter und Scan-Zugangsdaten für Websites werden mit AES-256-GCM verschlüsselt; die Schlüssel werden nur in den verschlüsselten Umgebungsvariablen der Hosting-Plattform gehalten.
• Tokens zur E-Mail-Verifizierung und Dashboard-Tokens werden nur als SHA-256-Hashwerte gespeichert; Einmal-Tokens werden nach der Verwendung entfernt oder als verwendet markiert.

Vertraulichkeit und Zugriffskontrolle

• Shopify: Der Administratorzugang erfordert ein Shopify-Sitzungstoken, das bei jeder Anfrage verifiziert wird (App Bridge, Token Exchange); Daten sind stets auf den authentifizierten Shop beschränkt. Webhooks werden nur mit gültiger HMAC-Signatur angenommen.
• Websites: Passwörter werden mit scrypt gehasht; Sitzungstokens werden als SHA-256-Hashwerte gespeichert, mit 30 Tagen Gültigkeit und Ablauf nach 7 Tagen Inaktivität; CSRF-Schutz für jedes Dashboard-Formular; sensible Aktionen erfordern eine kürzlich erfolgte Bestätigung des Passworts; Dashboard und öffentliche API auf getrennten Hosts; jede Website-Seite prüft die Mitgliedschaft des Nutzers; Stripe-Webhooks werden anhand ihrer Signatur verifiziert.
• Öffentliche Endpunkte akzeptieren nur einen gültigen öffentlichen Schlüssel und einen passenden Host bzw. eine passende Shop-Domain; Einwilligungs-Beacons werden anhand eines Schemas validiert, in der Größe begrenzt (4 KB) und in der Anfragenrate je IP-Adresse und je Shop oder Website begrenzt (die Begrenzungen gelten je Serverinstanz).
• Secrets (API-Schlüssel, App-Secrets, E-Mail- und Zahlungsschlüssel) werden als verschlüsselte Umgebungsvariablen der Hosting-Plattform und in GitHub-Actions-Secrets gespeichert, nie im Quellcode.
• Der Produktionszugriff (DigitalOcean, Datenbanken, Protokolle) ist auf die namentlich benannten Personen beschränkt, die im Register der Produktionszugriffe des Anbieters erfasst sind; dieses vermerkt auch, ob die Zwei-Faktor-Authentifizierung für die Konten aktiviert ist, die Zugang zu Produktionssystemen und zu den Postfächern gewähren (DigitalOcean, GitHub, Stripe, Brevo, Proton – das die Postfächer [email protected] und [email protected] hostet –, der Domain-Registrar und, für die Shopify-App, das Shopify Partner/Dev Dashboard). Das Register wird mindestens einmal jährlich sowie immer dann überprüft, wenn eine Person hinzukommt oder ausscheidet.
• Die Produktionsdatenbanken akzeptieren Verbindungen nur von den eigenen Anwendungen des Anbieters; lokale Rechner und CI können keine Verbindung herstellen.
• Der interne Administrationsbereich des Anbieters (Kundenlisten, Installationen, Nutzungsstatistiken) ist schreibgeschützt, nur für namentlich zugeordnete Betreiberkonten mit Zwei-Faktor-Authentifizierung und kürzlich erfolgter erneuter Authentifizierung zugänglich, zeigt keine Inhalte von Einwilligungsnachweisen und keine Daten von Käufern oder Besuchern, liest die Shopify-Datenbank über eine schreibgeschützte Rolle, die auf Spalten ohne Besucherdaten beschränkt ist, und protokolliert jeden Zugriff (wer, wann, was) in einem Audit-Protokoll, das nur erweitert werden kann (append-only).
• KI-Programmierassistenten und andere Entwicklungswerkzeuge arbeiten mit Quellcode, Staging-Systemen und Testdaten. Sie greifen nie auf Produktionsdatenbanken, Produktionsprotokolle oder personenbezogene Kundendaten zu: Sie lesen keine Produktionsprotokolle, führen keine Abfragen oder einmaligen Jobs gegen Produktionsdatenbanken aus und kopieren keine Produktionsdaten. Sie dürfen Infrastrukturänderungen vornehmen (Anwendungsspezifikationen, Umgebungsvariablen, Secrets, die geschrieben werden, ohne sie zu lesen). Wird diese Regel jemals geändert, wird das Unternehmen, das das Werkzeug bereitstellt (zum Beispiel Anthropic PBC für Claude), zuvor in Anhang III aufgenommen (Abschnitt 6).
• Personenbezogene Produktionsdaten werden nicht in das Quellcode-Repository, in Issues, CI-Protokolle, Test-Fixtures oder Screenshots übernommen.
• Geschützte Kundendaten von Shopify („protected customer data“): Die im Shopify Partner Dashboard bestätigten Maßnahmen sind die in diesem Anhang beschriebenen; eine Kopie der Bestätigung wird bei den AVV-Unterlagen aufbewahrt. Zugriffe über den Administrationsbereich werden protokolliert; andere Zugriffe von Mitarbeitern auf personenbezogene Daten von Endkunden (zum Beispiel ein Datenbankjob während eines Vorfalls) werden noch nicht einzeln protokolliert (geplant).

Trennung

• Staging und Produktion laufen als getrennte Anwendungen mit getrennten Datenbanken; Shopify- und Website-Daten befinden sich in getrennten Datenbanken.
• Der Website-Dienst verwendet eigene Datenbankbenutzer ohne Administratorrechte (der Scanner hat einen eigenen Benutzer, beschränkt auf die Scan-Tabellen). Die Shopify-App verbindet sich derzeit mit dem Administratorbenutzer des Datenbank-Clusters; ein eigener Benutzer ist geplant.
• Der Worker des Cookie-Scanners ist von den Webanwendungen isoliert (separater Container, eine Browser-Umgebung ohne Datenbank-Zugangsdaten oder Secrets, ausgehender Datenverkehr auf öffentliche Adressen an den Ports 80/443 beschränkt, ein Zeitbudget je Scan). Er bedient mehrere Umgebungen und verfügt über deren Datenbank-Zugangsdaten; in der Datenbank des Website-Dienstes verwendet er die eingeschränkte Scanner-Rolle.

Integrität

• Einwilligungsnachweise können in der Anwendung nur hinzugefügt werden (append-only, keine Bearbeitungsfunktion).
• Datenbankmigrationen sind versioniert und werden vor jedem Deployment automatisch angewendet.
• Änderungen werden auf Branches entwickelt und bei jedem Push in CI durch automatisierte Typprüfung, Linting, Tests und Builds geprüft. Die Produktion wird nur aus dem Produktions-Branch bereitgestellt, und ein Merge in diesen Branch erfordert die ausdrückliche Genehmigung des Inhabers; CI muss erfolgreich durchlaufen, bevor die Produktion bereitgestellt wird. Diese Regeln sind Teil der Sicherheits- und Vorfallrichtlinie des Anbieters.

Verfügbarkeit und Belastbarkeit

• Verwaltetes Hosting mit Zustandsprüfungen (Health Checks) und automatischen Neustarts; verwaltete Datenbanken mit automatisierten täglichen Sicherungskopien und Wiederherstellung zu einem beliebigen Zeitpunkt (Point-in-Time-Recovery), 7 Tage lang aufbewahrt.
• Frühere Deployments können wiederhergestellt werden (Rollback).

Speicherung und Löschung

• Automatisierte Löschjobs gemäß Anhang I (alle 6 Stunden: Einwilligungsnachweise, Statistiken, Datenschutzanfragen, Widerrufe, Scans und, bei Websites, Konten, deren Löschfrist abgelaufen ist). Shopify: verpflichtende Compliance-Webhooks.

E-Mail

• Transaktions-E-Mails werden über die Brevo-API von der Domain consentl.com versandt (SPF, DKIM, DMARC). Das Öffnungs- und Klick-Tracking von Brevo ist anonymisiert (keine mit dem Empfänger verknüpften Interaktionsdaten), und der Anbieter verwendet keine Interaktionsdaten.
• In der Produktion ist der E-Mail-API-Schlüssel stets konfiguriert; ohne ihn (nur in der Entwicklung) werden E-Mails in das Anwendungsprotokoll geschrieben, statt versandt zu werden. Eine Sicherung im Code, die die Protokollierung von Nachrichteninhalten in der Produktion verhindert, ist geplant.

Protokollierung

• Anwendungsprotokolle enthalten Betriebsdaten (Shop-Domains oder Website-IDs, Job-Ergebnisse, Fehlermeldungen) und keine IP-Adressen von Besuchern oder Request-Inhalte. Request-Protokolle: Anhang I. Der Anbieter speichert keine Protokolle und leitet keine weiter: Laufzeitprotokolle existieren bei DigitalOcean nur, solange die Anwendung läuft, und werden bei der Bereitstellung einer neuen Version gelöscht; Build- und Deployment-Protokolle, die keine personenbezogenen Daten von Besuchern enthalten, werden von DigitalOcean 90 Tage lang aufbewahrt. Request-Daten im Edge-Netzwerk: Ziffer 11.3.

Standort

• Anwendungsserver und Datenbanken in Frankfurt, Deutschland (DigitalOcean-Region fra/fra1).

Organisatorische Maßnahmen

• Vertraulichkeitsverpflichtung jeder Person mit Zugriff (Abschnitt 4); schriftliche Vertraulichkeitsverpflichtungen für alle Mitarbeiter und externen Mitarbeiter.
• Die Reaktion auf Vorfälle folgt der schriftlichen Sicherheits- und Vorfallrichtlinie des Anbieters: erkennen, eindämmen, innerhalb von 24 Stunden bewerten, den Kunden gemäß Abschnitt 8 benachrichtigen (und, als Verantwortlicher, die Aufsichtsbehörde innerhalb von 72 Stunden), wiederherstellen und jede Verletzung in einem Verzeichnis der Verletzungen erfassen. Eine für Vorfälle verantwortliche Person (und, sobald benannt, eine Vertretung) ist im Register der Produktionszugriffe benannt.
• Ein Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) wird geführt und mindestens einmal jährlich überprüft.
• Datenschutz durch Technikgestaltung: Datenschutzprüfung neuer Funktionen vor ihrer Veröffentlichung.

Anhang III — Unterauftragsverarbeiter

Die zum Datum dieses AVV genehmigten Unterauftragsverarbeiter. Einzelheiten, Standorte, Garantien und das Änderungsprotokoll stehen in der Liste der Unterauftragsverarbeiter.

Quelle: docs/legal/de/DPA.md im Consentl-Repository.