Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO – Stockaro
Parteien
Auftragsverarbeiter: Manuel Heithus, Im Mühlengarten 12a, 33428 Harsewinkel
Verantwortlicher: Der Händler, der die App über den Shopify App Store installiert hat.
Durch Installation und Nutzung der App akzeptiert der Händler diesen AVV.
Gegenstand und Dauer
Der Auftragsverarbeiter stellt eine Lagerverwaltungs-App (WMS) für Shopify-Händler bereit und verarbeitet dabei Bestelldaten, Produktdaten und Lagerdaten im Auftrag des Händlers.
Dauer: Die Verarbeitung beginnt mit der Installation der App und dauert bis zu deren Deinstallation. Danach werden die Daten nach Maßgabe des Abschnitts „Löschung und Rückgabe" gelöscht.
Kategorien betroffener Personen: Endkunden des Händlers (aus dessen Shopify-Bestelldaten) sowie die für den Händler handelnden Personen (Support- und Benachrichtigungskontakt).
Verarbeitete Daten
- Bestellnummer, Kundenname (Vor-/Nachname), Lieferadresse, Bestellpositionen (SKU, Titel, Menge), Bestellstatus, optionale Bestell-Notiz
- Produktdaten (SKU, Titel, Variant-IDs)
- Lagerbewegungen (Menge, Zeitstempel, Quelle)
- Shop-Zugriffstoken (verschlüsselt gespeichert)
- Support- und Feedbackdaten des Händlers (Antwort-E-Mail-Adresse, Betreff, Nachricht, Ticketnummer, technischer Kontext und optional ausgewählte Fehlerprotokoll-Auszüge)
Zweck der Endkundendaten (Name + Lieferadresse): Pickliste, Pack-Workflow, Lieferschein.
Nicht gespeichert aus Shopify-Endkundendaten: E-Mail-Adressen, Telefonnummern, Rechnungsadressen, Zahlungsdaten. Händler-E-Mail-Adressen können für Benachrichtigungen und Supportantworten verarbeitet werden.
Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); als Weisung gelten diese Vereinbarung, die AGB und die Nutzung der App durch den Händler
- Vertraulichkeit aller zur Verarbeitung befugten Personen (Art. 28 Abs. 3 lit. b DSGVO)
- Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO — im Einzelnen in der TOM-Anlage
- Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO) sowie bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung (lit. f)
- Meldung von Datenpannen an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme (Art. 33 Abs. 2 DSGVO). Die 72-Stunden-Frist gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) trifft den Verantwortlichen; der Auftragsverarbeiter liefert die dafür erforderlichen Informationen rechtzeitig zu
- Löschung oder Rückgabe nach Auftragsende nach Wahl des Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO)
Unterauftragsverarbeiter
Railway Corp. (Hosting, Datenbank) — SOC 2 Type II, Railway DPA. Region EU-West (Amsterdam, Niederlande); das Hosting der Anwendungs- und Datenbankdaten erfolgt innerhalb der EU/des EWR, eine Drittlandübermittlung im Rahmen des Hostings ist nicht vorgesehen.
Resend, Inc. (transaktionale E-Mails und Support-Ticket-Benachrichtigungen, USA) — Übermittlung auf Basis von EU-Standardvertragsklauseln (SCC) gemäß Resend DPA.
Vollständige Liste: Unterauftragsverarbeiterliste
Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung dieser Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Über beabsichtigte Änderungen wird er nach Maßgabe der Unterauftragsverarbeiterliste vorab informiert und kann ihnen widersprechen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf im Wesentlichen gleiche Datenschutzpflichten und haftet für deren Erfüllung unverändert weiter (Art. 28 Abs. 4 DSGVO).
Löschung und Rückgabe
Nach Beendigung des Auftrags werden alle personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt über den maschinenlesbaren CSV-Export, der vor der Löschung angefordert werden kann.
Ablauf: Bei Deinstallation erfolgen sofortige Deaktivierung und Token-Revokation. Die vollständige Löschung der Shop-Daten wird durch den Shopify-Webhook shop/redact ausgelöst; sie erfolgt unverzüglich nach dessen Eingang. Den Zeitpunkt des Webhooks bestimmt Shopify — er wird typischerweise rund 48 Stunden nach der Deinstallation gesendet. Datenbank-Backups werden im regulären Zyklus des Hosting-Dienstleisters überschrieben; die längste Aufbewahrung beträgt einen Monat.
Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; diese werden stattdessen in der Verarbeitung eingeschränkt.
Nachweise und Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
Überprüfungen sind mit angemessener Vorankündigung (mindestens 10 Werktage) und auf Kosten des Verantwortlichen durchzuführen. Der Auftragsverarbeiter kann stattdessen gleichwertige Nachweise vorlegen — etwa die TOM-Anlage, die Unterauftragsverarbeiterliste oder Zertifizierungen der eingesetzten Unterauftragsverarbeiter.
Kontakt / Datenschutzanfragen
info@stockaro.de
Letzte Aktualisierung: 2026-08-12