Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO – Stockaro

Parteien

Auftragsverarbeiter: Manuel Heithus, Im Mühlengarten 12a, 33428 Harsewinkel
Verantwortlicher: Der Händler, der die App über den Shopify App Store installiert hat.

Durch Installation und Nutzung der App akzeptiert der Händler diesen AVV.

Gegenstand

Der Auftragsverarbeiter stellt eine Lagerverwaltungs-App (WMS) für Shopify-Händler bereit und verarbeitet dabei Bestelldaten, Produktdaten und Lagerdaten im Auftrag des Händlers.

Verarbeitete Daten

Bestellnummer, Kundenname (Vor-/Nachname), Lieferadresse, Bestellpositionen (SKU, Titel, Menge), Bestellstatus, optionale Bestell-Notiz
Produktdaten (SKU, Titel, Variant-IDs)
Lagerbewegungen (Menge, Zeitstempel, Quelle)
Shop-Zugriffstoken (verschlüsselt gespeichert)
Support- und Feedbackdaten des Händlers (Antwort-E-Mail-Adresse, Betreff, Nachricht, Ticketnummer, technischer Kontext und optional ausgewählte Fehlerprotokoll-Auszüge)

Zweck der Endkundendaten (Name + Lieferadresse): Pickliste, Pack-Workflow, Lieferschein.

Nicht gespeichert aus Shopify-Endkundendaten: E-Mail-Adressen, Telefonnummern, Rechnungsadressen, Zahlungsdaten. Händler-E-Mail-Adressen können für Benachrichtigungen und Supportantworten verarbeitet werden.

Pflichten des Auftragsverarbeiters

Verarbeitung nur auf Weisung des Verantwortlichen (AGB + Nutzung)
Vertraulichkeit aller Mitarbeiter mit Datenzugang
Technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO
Unterstützung bei Betroffenenrechten und DPIA
Datenpannen-Meldung innerhalb von 24h nach Kenntnisnahme
Vollständige Datenlöschung nach Deinstallation (30 Tage nach shop/redact-Webhook)

Unterauftragsverarbeiter

Railway Corp. (Hosting, Datenbank) — SOC 2 Type II, Railway DPA. Region EU-West (Amsterdam, Niederlande); das Hosting der Anwendungs- und Datenbankdaten erfolgt innerhalb der EU/des EWR, eine Drittlandübermittlung im Rahmen des Hostings ist nicht vorgesehen.
Resend, Inc. (transaktionale E-Mails und Support-Ticket-Benachrichtigungen, USA) — Übermittlung auf Basis von EU-Standardvertragsklauseln (SCC) gemäß Resend DPA.
Vollständige Liste: Unterauftragsverarbeiterliste

Löschung und Rückgabe

Bei Deinstallation: sofortige Deaktivierung, Token-Revokation, vollständige Datenlöschung innerhalb von 30 Tagen nach Shopify-shop/redact-Webhook.
Datenexport (CSV) auf Anfrage vor der Löschung möglich.

Kontakt / Datenschutzanfragen

info@stockaro.de

Vollständiger AVV als Dokument: RECHT/avv.md im App-Repository.

Letzte Aktualisierung: 2026-05