Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV”) konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der Nutzung der Shopify-App „Packsprint” (nachfolgend „App”) gemäß den Nutzungsbedingungen (packsprint.de/nutzungsbedingungen) ergeben.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Nutzer der App (nachfolgend „Verantwortlicher”).

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

Softworks Jan Binder
c/o Layered GmbH, Gottbillstr. 44, 54294 Trier
E-Mail: support@packsprint.de
(nachfolgend „Auftragsverarbeiter”).

Beide Parteien gemeinsam: „Parteien”.

Der AVV kommt mit der Akzeptanz der Nutzungsbedingungen im Onboarding-Prozess der App zustande und wird vom Auftragsverarbeiter unter Angabe von Datum, Versionsnummer, IP-Adresse und User-Agent revisionssicher protokolliert. Die zum Zeitpunkt der Akzeptanz geltende Fassung des AVV wird dem Verantwortlichen unverzüglich nach Akzeptanz im Admin-Bereich der App zum Download als Textform-Dokument bereitgestellt.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand der Verarbeitung ist die Erbringung der vertraglichen Leistungen durch den Auftragsverarbeiter im Rahmen der App, insbesondere die Erstellung und Übermittlung von Versandlabels über die DHL Shipping API sowie die Synchronisation von Bestell- und Versandinformationen mit Shopify.

(2) Dauer: Der AVV gilt für die Laufzeit des zugrundeliegenden Hauptvertrages (Nutzungsbedingungen). Verpflichtungen, die ihrer Natur nach über die Beendigung hinaus fortbestehen — insbesondere zur Vertraulichkeit, Löschung und Rückgabe — bleiben hiervon unberührt.

§ 2 Art und Zweck der Verarbeitung

(1) Zweck: Bereitstellung der App-Funktionalität, insbesondere die automatisierte Erstellung von Versandlabels für Bestellungen aus dem Shopify-Shop des Verantwortlichen, die Übermittlung von Versandinformationen an Shopify sowie die Bereitstellung statusbezogener Informationen im Admin-Bereich der App.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Abrufen, Verwenden, Übermitteln und Löschen personenbezogener Daten im Rahmen der Bereitstellung der App.

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Endkunden-Stammdaten: Vor- und Nachname, postalische Anschrift; soweit der Verantwortliche die optionale DHL-Paketankündigung nutzt, zusätzlich E-Mail-Adresse und/oder Telefonnummer für die Sendungsbenachrichtigung;
• Bestelldaten: Bestellnummer (orderName), Bestell-Identifikator (shopifyOrderGID), Artikel-Snapshot (lineItemsSnapshot: Produktname, Produkt-GID, Menge), Gesamtbetrag (totalPrice), Artikelanzahl (itemCount), Bestimmungsland (destinationCountryCode), Gewichts- und Größenangaben;
• Versandprozess- und Label-Daten: Tracking-Nummer (trackingNumber), Base64-codiertes Versandlabel mit Klartext-Empfängeradresse (labelB64), Shopify-Fulfillment-Identifikator (shopifyFulfillmentGID), Versanddatum (shippedAt);
• Absenderdaten: Stammdaten des Verantwortlichen, soweit zur Erstellung des Versandlabels erforderlich.

§ 4 Kategorien betroffener Personen

Betroffene Personen sind:

• Endkunden des Verantwortlichen, deren Bestellungen über die App versandseitig abgewickelt werden;
• Mitarbeiter und Beauftragte des Verantwortlichen, soweit deren Daten als Absender- oder Kontaktdaten verarbeitet werden.

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaates zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

(3) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(4) Der Auftragsverarbeiter ergreift alle erforderlichen Maßnahmen zur Sicherheit der Verarbeitung gemäß Art. 32 DSGVO. Die getroffenen technischen und organisatorischen Maßnahmen sind in Anlage 1 (TOM) dokumentiert; sie werden dem Verantwortlichen auf Anforderung an support@packsprint.de unverzüglich, spätestens innerhalb von fünf (5) Werktagen ab Eingang der Anforderung, in Textform zur Verfügung gestellt.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen — soweit möglich — mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten aus den Art. 12 bis 23 DSGVO zur Beantwortung von Anträgen betroffener Personen. Die Reaktion auf Betroffenenrechte erfolgt insbesondere automatisiert über die Shopify-Compliance-Webhooks customers/data_request, customers/redact und shop/redact.

(6) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(7) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden über jede Verletzung des Schutzes personenbezogener Daten gemäß Art. 33 Abs. 2 DSGVO. Die Meldung enthält — soweit zu diesem Zeitpunkt verfügbar — die in Art. 33 Abs. 3 DSGVO genannten Angaben; nicht sofort verfügbare Informationen werden ohne weitere unangemessene Verzögerung nachgereicht. Der Auftragsverarbeiter unterstützt den Verantwortlichen in zumutbarem Umfang bei der Wahrung seiner Meldepflicht aus Art. 33 Abs. 1 DSGVO.

(8) Nach Wahl des Verantwortlichen werden die personenbezogenen Daten nach Beendigung der Erbringung der Verarbeitungsleistungen entweder gelöscht oder zurückgegeben, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaates eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(9) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

§ 6 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist im Verhältnis der Parteien für die Einhaltung der datenschutzrechtlichen Vorschriften, insbesondere für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen, allein verantwortlich.

(2) Der Verantwortliche erteilt seine Weisungen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

§ 7 Subprozessoren

(1) Der Verantwortliche genehmigt allgemein gemäß Art. 28 Abs. 2 Satz 2 DSGVO, dass der Auftragsverarbeiter Subprozessoren hinzuziehen darf. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subprozessoren ergeben sich aus Anlage 2 (Subprozessoren-Liste), die dem Verantwortlichen auf Anforderung an support@packsprint.de unverzüglich, spätestens innerhalb von fünf (5) Werktagen ab Eingang der Anforderung, in Textform zur Verfügung gestellt wird.

(2) Der Auftragsverarbeiter führt die Liste der eingesetzten Subprozessoren (Anlage 2) laufend aktuell. Bei beabsichtigter Hinzuziehung eines weiteren oder Austausch eines bestehenden Subprozessors informiert der Auftragsverarbeiter den Verantwortlichen aktiv mindestens dreißig (30) Tage vor Wirksamwerden in Textform an die im Shopify-Konto hinterlegte Kontaktadresse des Verantwortlichen (shipperEmail) und zusätzlich durch deutlich sichtbaren Hinweis im Admin-Bereich der App. Die Mitteilung enthält Name und Sitz des betroffenen Subprozessors, Verarbeitungszweck und vorgesehenen Wirksamkeitszeitpunkt sowie einen Hinweis auf das Widerspruchsrecht nach Absatz 3.

(3) Der Verantwortliche kann der Hinzuziehung oder dem Austausch eines Subprozessors innerhalb von dreißig (30) Tagen nach Mitteilung gemäß Absatz 2 aus berechtigtem datenschutzrechtlichen Grund in Textform widersprechen. Im Falle eines berechtigten Widerspruchs sind die Parteien verpflichtet, eine einvernehmliche Lösung zu suchen; gelingt dies nicht, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich dieses AVV und des Hauptvertrages zu.

(4) Der Auftragsverarbeiter erlegt dem jeweiligen Subprozessor durch vertragliche Vereinbarung dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, einschließlich hinreichender Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 28 Abs. 4 DSGVO).

(5) Bei Subprozessoren mit Sitz außerhalb der EU bzw. des EWR stellt der Auftragsverarbeiter die Einhaltung der Anforderungen der Art. 44 ff. DSGVO sicher, insbesondere durch Abschluss der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021) als geeignete Garantie nach Art. 46 Abs. 2 lit. c DSGVO.

(6) Sub-Sub-Prozessoren der eingesetzten Subprozessoren werden in den Sub-Sub-Listen der jeweiligen Subprozessoren (DPA-Anlage des Anbieters) ausgewiesen und sind in Anlage 2 Ziffer 1 mit URL referenziert. Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen in Sub-Sub-Ketten, soweit sie ihm vom Subprozessor mitgeteilt werden, und stellt die jeweils aktuelle Sub-Sub-Liste auf Anforderung gemäß Absatz 1 Satz 2 in Textform zur Verfügung (EDSA Opinion 22/2024 Rn. 24).

(7) Klarstellung zu Datenflüssen außerhalb der Auftragsverarbeitung. Klarstellend gilt:

• a) Die Shopify-Plattform ist Datenquelle des Auftragsverarbeitungsverhältnisses zwischen Verantwortlichem und Auftragsverarbeiter. Shopify International Limited ist Auftragsverarbeiterin des Verantwortlichen unmittelbar (Shopify-Plattform-DPA), nicht Subprozessorin des Auftragsverarbeiters im Sinne des Art. 28 Abs. 4 DSGVO. Eine Beauftragung Shopifys durch den Auftragsverarbeiter findet nicht statt; eine Auswahl-, Weisungs- oder Audit-Befugnis des Auftragsverarbeiters über Shopify besteht nicht.
• b) Übermittlungen an Versanddienstleister, insbesondere die DHL Paket GmbH, erfolgen zur Erfüllung des Beförderungsvertrages des Verantwortlichen mit dem Versanddienstleister. Der Versanddienstleister ist insoweit eigenständig Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und keine Subprozessorin des Auftragsverarbeiters. Diese Einordnung folgt der Position der Datenschutzkonferenz (DSK-Kurzpapier Nr. 13, Anhang B) sowie der Eigeneinordnung der DHL Paket GmbH in der dortigen Auftragsverarbeitungsvereinbarung.
• c) Die vom Verantwortlichen eigenverantwortlich auf seiner lokalen Hardware installierte Druckhilfe QZ Tray (https://qz.io, QZ Industries, LLC) verarbeitet personenbezogene Daten ausschließlich auf der Hardware des Verantwortlichen und übermittelt keine Daten an den QZ-Tray-Anbieter; sie ist daher kein Subprozessor des Auftragsverarbeiters.
• d) Einzelheiten zu den vorstehenden Datenflüssen ergeben sich aus Anlage 2 (Subprozessoren-Liste), Ziffern 2 und 3.

§ 8 Kontroll- und Auditrechte

(1) Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der vertraglichen Vereinbarungen durch den Auftragsverarbeiter im erforderlichen Umfang zu kontrollieren (Art. 28 Abs. 3 lit. h DSGVO).

(2) Die Kontrolle erfolgt vorrangig durch Vorlage geeigneter Nachweise in Textform, insbesondere der jeweils aktuellen TOM (Anlage 1), der Subprozessoren-Liste (Anlage 2) sowie aktueller Zertifikate und Audit-Berichte der eingesetzten Subprozessoren (z.B. SOC 2 Type II, ISO/IEC 27001). Die Bereitstellung der Standard-Nachweise nach diesem Absatz erfolgt ohne Berechnung; die Anforderung erfolgt höchstens einmal pro Kalenderjahr, soweit kein konkreter Anlass vorliegt.

(3) Reichen die Nachweise nach Absatz 2 begründet nicht aus, kann der Verantwortliche nach vorheriger Anmeldung mit einer Frist von mindestens 30 Tagen ein Remote-Audit (z.B. per Videokonferenz oder schriftlichem Fragenkatalog) verlangen. Eine Vor-Ort-Kontrolle kommt nur ausnahmsweise bei konkreten dokumentierten Anhaltspunkten für eine erhebliche Pflichtverletzung oder bei behördlicher Anordnung in Betracht; sie ist auf höchstens eine Kontrolle innerhalb von 24 Monaten und einen Umfang von 8 Stunden beschränkt. Der Auftragsverarbeiter ist als Einzelunternehmer ohne eigene Geschäftsräume tätig; eine Vor-Ort-Kontrolle erfolgt daher an einem einvernehmlich bestimmten Ort innerhalb Deutschlands oder — nach Wahl des Auftragsverarbeiters — als gleichwertiges Remote-Audit nach Satz 1.

(4) Eine Kontrolle nach Absatz 3 ist ausschließlich durch einen vom Verantwortlichen beauftragten, unabhängigen und zur Berufsverschwiegenheit verpflichteten Prüfer (z.B. Wirtschaftsprüfer, externer Datenschutzbeauftragter) durchzuführen, der nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht. Geschäfts- und Betriebsgeheimnisse sowie Daten anderer Kunden des Auftragsverarbeiters sind von der Kontrolle ausgenommen; der Auftragsverarbeiter ist berechtigt, entsprechende Bereiche oder Inhalte zu schwärzen oder zu sperren. Ein unmittelbares Zutrittsrecht zu den Räumlichkeiten der Subprozessoren besteht nicht; insoweit erfolgt die Kontrolle mittelbar über die Nachweise nach Absatz 2.

(5) Die Kosten einer Kontrolle nach Absatz 3 trägt der Verantwortliche, einschließlich der Kosten des Prüfers. Der eigene Aufwand des Auftragsverarbeiters wird ab der fünften Stunde innerhalb eines Kalenderjahres mit einem Stundensatz von EUR 150,00 zzgl. USt. in Rechnung gestellt; bis zu vier Stunden Aufwand pro Kalenderjahr sind in der Bereitstellung kostenfrei enthalten. Bei behördlicher Anordnung oder Bestätigung einer erheblichen Pflichtverletzung des Auftragsverarbeiters trägt dieser seinen eigenen Aufwand sowie die zur Beseitigung der Pflichtverletzung notwendigen Drittkosten des Verantwortlichen selbst.

§ 9 Drittlandtransfer

(1) Soweit personenbezogene Daten im Rahmen der Auftragsverarbeitung in ein Drittland außerhalb der EU bzw. des EWR übermittelt werden, stellt der Auftragsverarbeiter die Einhaltung der Anforderungen der Art. 44 ff. DSGVO sicher.

(2) Dies erfolgt insbesondere durch den Abschluss der EU-Standardvertragsklauseln in der Fassung des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021 mit dem jeweiligen Subprozessor sowie — soweit zur Wahrung eines im Wesentlichen gleichwertigen Schutzniveaus im Sinne der EuGH-Rechtsprechung (Urteil vom 16.07.2020, C-311/18 — „Schrems II”) erforderlich — durch ergänzende Schutzmaßnahmen entsprechend den EDSA-Empfehlungen 01/2020 in der jeweils aktuellen Fassung (Version 2.0 vom 18.06.2021), insbesondere durch Transportverschlüsselung und Datenminimierung (vgl. Anlage 1 Ziffer 1.5 und 2.1).

(3) Soweit der Empfänger im Drittland unter dem EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission vom 10. Juli 2023, notifiziert unter C(2023) 4745) selbst- oder konzernzertifiziert ist, kommt dieser ergänzend als Übermittlungsgrundlage in Betracht. Einzelheiten je Subprozessor ergeben sich aus Anlage 2 Ziffer 4.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrages werden sämtliche personenbezogenen Daten des Verantwortlichen sowie seiner Endkunden nach Wahl des Verantwortlichen gelöscht oder zurückgegeben. Trifft der Verantwortliche binnen dreißig (30) Tagen nach Beendigung in Textform keine ausdrückliche Wahl, gilt die Löschung als gewählt. Vorhandene Kopien werden ebenfalls gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die technische Umsetzung erfolgt auf Basis der Shopify-Compliance-Webhooks:

• shop/redact: vollständige Löschung der Shop-Daten binnen 48 Stunden nach Eingang des Webhooks (gemäß Shopify-Spezifikation 48 Stunden nach Deinstallation der App), spätestens jedoch innerhalb von dreißig (30) Tagen nach Beendigung des Hauptvertrages für Datenbestände außerhalb der primären Anwendungsdatenbank (insbesondere Backups);
• customers/redact: Löschung einzelner Endkunden-Datensätze auf Anforderung;
• customers/data_request: Bereitstellung der zu einer betroffenen Person gespeicherten Daten an den Verantwortlichen zur Weitergabe an die betroffene Person.

(3) Der Auftragsverarbeiter weist die Löschung auf Anforderung in Textform nach.

(4) Geordnete Geschäftsaufgabe und Notfall-Situationen: Im Fall einer geplanten Geschäftsaufgabe des Auftragsverarbeiters, einer Insolvenz des Inhabers (Einzelunternehmer) oder eines länger andauernden Ausfalls des Inhabers (z.B. durch Krankheit) gewährleistet der Auftragsverarbeiter durch organisatorische Vorkehrungen, dass dem Verantwortlichen die personenbezogenen Daten gemäß Absatz 1 in geordneter Form zur Verfügung gestellt oder gelöscht werden. In den vorgenannten Situationen informiert der Auftragsverarbeiter — soweit möglich — den Verantwortlichen mit einem Vorlauf von mindestens dreißig (30) Tagen vor Einstellung der Verarbeitungstätigkeit; im Notfall erfolgt die Information unverzüglich nach Bekanntwerden. Die hierfür erforderlichen Notfall- und Vertretungsvorkehrungen sind Bestandteil der TOM (Anlage 1).

§ 11 Haftung

(1) Im Außenverhältnis gegenüber betroffenen Personen haften Verantwortlicher und Auftragsverarbeiter nach Maßgabe des Art. 82 DSGVO. Diese Regelung bleibt durch die nachstehenden Absätze unberührt.

(2) Im Innenverhältnis der Parteien gilt: Hat eine Partei einen Schaden gegenüber einer betroffenen Person allein zu vertreten, hält sie die andere Partei von Ansprüchen Dritter sowie von etwaigen Bußgeldern aus diesem Schaden vollständig frei. Haben beide Parteien einen Schaden gemeinsam zu vertreten, erfolgt der Innenausgleich nach Verursachungs- und Verschuldensanteilen.

(3) Die Haftung des Auftragsverarbeiters im Innenverhältnis ist im Übrigen entsprechend den Regelungen des Hauptvertrages (Nutzungsbedingungen § 5) summenmäßig begrenzt; ausgenommen von dieser Begrenzung sind Schäden aus Vorsatz oder grober Fahrlässigkeit, Schäden an Leben, Körper oder Gesundheit, Schäden aus der Verletzung wesentlicher Vertragspflichten (vgl. Nutzungsbedingungen § 5 Abs. 2) sowie Ansprüche nach dem Produkthaftungsgesetz.

(4) Bußgelder, die einer Partei aufgrund datenschutzrechtlicher Pflichtverletzungen ausschließlich der anderen Partei auferlegt werden, sind im Innenverhältnis von der pflichtverletzenden Partei zu tragen.

§ 12 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so wird hierdurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt diejenige wirksame und durchführbare Regelung, deren Wirkungen der wirtschaftlichen und datenschutzrechtlichen Zielsetzung am nächsten kommen.

(2) Im Falle eines Widerspruchs zwischen diesem AVV und Regelungen des Hauptvertrages gehen die Bestimmungen dieses AVV in datenschutzrechtlichen Fragen vor.

(3) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(4) Es findet das Recht der Bundesrepublik Deutschland Anwendung. Ausschließlicher Gerichtsstand ist — soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist und im Übrigen gesetzlich zulässig — der Sitz des Auftragsverarbeiters.

§ 13 Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen (TOM) in der jeweils aktuellen Fassung — wird dem Verantwortlichen auf Anforderung an support@packsprint.de unverzüglich, spätestens innerhalb von fünf (5) Werktagen, in Textform zur Verfügung gestellt.
• Anlage 2: Liste der Unterauftragsverarbeiter (Subprozessoren) in der jeweils aktuellen Fassung, einschließlich der Klarstellungen zu Plattform und Versanddienstleister gemäß § 7 Abs. 7 — wird dem Verantwortlichen auf Anforderung an support@packsprint.de unverzüglich, spätestens innerhalb von fünf (5) Werktagen, in Textform zur Verfügung gestellt; bei beabsichtigter Hinzuziehung oder Austausch erfolgt eine aktive Mitteilung gemäß § 7 Abs. 2 mit einem Vorlauf von mindestens 30 Tagen.

§ 14 Versions-Historie

Stand: 10.05.2026
Version: 1.0.0