Technische und organisatorische Maßnahmen (TOM)

Anlage 1 zum Auftragsverarbeitungsvertrag (AVV) gemäß Art. 32 DSGVO – Stockaro

Diese Anlage beschreibt die Maßnahmen, zu denen sich der Auftragsverarbeiter im AVV verpflichtet. Sie ist Vertragsbestandteil.

1. Zugangs- und Zugriffskontrolle

Authentifizierung: Zugang zur App ausschließlich über Shopify OAuth. Es gibt keine eigenen Passwörter und keine getrennte Benutzerverwaltung, die kompromittiert werden könnte.
Session: HMAC-SHA256-signierte Session-Tokens (Shop-Domain, Ablaufdatum, CSRF-Token), signiert mit einem Schlüssel aus den Umgebungsvariablen. Kein Zugriff ohne gültige Signatur.
Mandantentrennung: Jede Tabelle führt eine Shop-Kennung; jede Datenbankabfrage filtert darauf. Ein Händler kann konstruktionsbedingt keine Daten eines anderen Händlers sehen.
Administrativer Zugriff: Der Betriebszugang ist auf den Anbieter beschränkt und über die Plattform des Hosting-Dienstleisters abgesichert.

2. Übertragungs- und Speicherkontrolle

Transportverschlüsselung: Alle Verbindungen zur App und zur Shopify-API ausschließlich über TLS.
Ruhende Daten: Datenbank, Backups und Volumes liegen auf der Plattform des Hosting-Dienstleisters und werden dort verschlüsselt gespeichert. Konkrete Verfahren behaupten wir nicht eigenständig, da wir sie nicht selbst prüfen können; maßgeblich sind das Railway DPA und die Sicherheitsdokumentation des Anbieters.
Zugriffstoken: Shopify-Tokens werden verschlüsselt gespeichert und bei Deinstallation widerrufen.
Secrets: Nie im Quellcode oder in Protokollen, ausschließlich als Umgebungsvariablen der Hosting-Plattform.

3. Datenminimierung

Aus den Shopify-Endkundendaten werden nicht gespeichert: E-Mail-Adressen, Telefonnummern, Rechnungsadressen, Zahlungs- und Kreditkartendaten.
Kamerabilder des Barcode-Scanners werden ausschließlich lokal im Browser des Händlers verarbeitet und nicht an den Server übertragen.
Das App-Protokoll führt Artikelnummern und Referenz-IDs, keine Personendaten.
Der Protected-Customer-Data-Zugriff bei Shopify ist auf die tatsächlich benötigten Felder beschränkt.

4. Verfügbarkeit und Wiederherstellbarkeit

Hosting: Railway, Region EU-West (Amsterdam, Niederlande), mit automatischem Neustart bei Absturz.
Backups: Datenbank-Backups im Zyklus der Hosting-Plattform — täglich (Aufbewahrung 6 Tage) und wöchentlich (Aufbewahrung ein Monat). Die Zyklen sind von Railway fest vorgegeben.
Eigene Datensicherung: Der Händler kann seine Bestands- und Bewegungsdaten jederzeit als CSV exportieren. Die App ersetzt kein Backup-System des Händlers.

5. Eingabe- und Nachvollziehbarkeitskontrolle

Jede Bestandsbuchung wird mit Zeitstempel, Quelle und Vorzeichen protokolliert und ist im Protokoll des Händlers einsehbar.
Bestandsänderungen laufen über eine Warteschlange mit Wiederholungslogik; fehlgeschlagene Vorgänge bleiben sichtbar, statt still verloren zu gehen.
Die GDPR-Webhooks werden mit Topic, Shop-Domain und Zeitstempel protokolliert.

6. Trennung von Verarbeitungszwecken

Es findet keine händlerübergreifende Auswertung statt. Daten werden nicht für Werbung, Profilbildung oder Weitergabe an Dritte verwendet — außer an die im Unterauftragsverarbeiterverzeichnis genannten Dienstleister im dort beschriebenen Umfang.

7. Meldung von Datenpannen

Datenpannen, die Daten des Händlers betreffen, meldet der Anbieter dem Händler unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme (Art. 33 Abs. 2 DSGVO), damit dieser seine eigene 72-Stunden-Frist gegenüber der Aufsichtsbehörde wahren kann.

8. Löschung

Die Löschung wird durch die GDPR-Webhooks von Shopify ausgelöst und erfolgt unverzüglich nach deren Eingang; Einzelheiten und die Rückgabemöglichkeit stehen im AVV.

9. Grenzen dieser Maßnahmen

Der Anbieter ist ein Ein-Personen-Betrieb. Maßnahmen, die eine organisatorische Aufgabentrennung voraussetzen — Vier-Augen-Prinzip bei Betriebszugriffen, getrennte Rollen für Entwicklung und Betrieb, ein bestellter Datenschutzbeauftragter — bestehen daher nicht. Das wird hier offen benannt, statt es hinter allgemeinen Formulierungen zu verbergen. Die Zahl der zugriffsberechtigten Personen ist dadurch zugleich minimal.

Letzte Aktualisierung: 2026-08-12