Auftragsverarbeitungsvertrag für die Shopify-App „Verisio“

Stand: 21. Oktober 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

zwischen dem Händler, der die App „Verisio“ in seinem Shopify-Shop installiert hat („Verantwortlicher“ bzw. „Händler“),

und der

dropprinters GmbH

• Etage T1, Große Gallusstraße 14

60315 Frankfurt am Main, Deutschland
Amtsgericht Frankfurt am Main, HRB 138475
vertreten durch die Geschäftsführer Edgard Zanovskiy und Lorenz Milz
(„Auftragsverarbeiter“ bzw. „dropprinters“).

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und wird mit der Installation der App vereinbart.

§ 1 Gegenstand und Dauer

• Gegenstand ist die Verarbeitung personenbezogener Daten von Endkunden des Händlers im Rahmen der Funktion „Widerrufsbutton“ der App Verisio: Entgegennahme von Widerrufserklärungen über das Formular im Shop, Zuordnung zu einer Bestellung, Speicherung, Anzeige in der App und Versand von Eingangsbestätigungen.
• Der Vertrag gilt, solange die App im Shop des Händlers installiert ist, und darüber hinaus, bis dropprinters alle Daten aus dem Auftrag gelöscht hat (§ 9).
• Daten, die dropprinters als eigene Verantwortliche verarbeitet (Shop- und Kontodaten, Produktdaten), sind nicht Gegenstand dieses Vertrags; dafür gilt die Datenschutzerklärung.

§ 2 Art der Daten, Betroffene, Zweck

• Kategorien betroffener Personen: Endkunden des Händlers, die über das Formular einen Widerruf erklären.
• Arten personenbezogener Daten:
• Bestellnummer und Shopify-Bestell-ID
• E-Mail-Adresse
• betroffene Artikel (Artikel-ID, Bezeichnung, Menge)
• freie Anmerkung (nur wenn keine Bestellung zugeordnet werden konnte)
• Eingangszeitpunkt, Bearbeitungsstatus, rechnerische Fristinformation, Zeitpunkt des Mailversands
• IP-Adresse, nur kurzzeitig im Arbeitsspeicher zur Missbrauchsbegrenzung, nicht in der Datenbank
• Zweck: Ermöglichung der Widerrufserklärung über eine Schaltfläche im Shop, Eingangsbestätigung, Dokumentation des Eingangs für den Händler.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.

§ 3 Weisungen

• dropprinters verarbeitet die Daten nur auf dokumentierte Weisung des Händlers, es sei denn, eine gesetzliche Pflicht verlangt eine andere Verarbeitung; in diesem Fall teilt dropprinters dem Händler diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
• Die Weisungen sind abschließend in diesem Vertrag, den Nutzungsbedingungen und den Einstellungen und Aktionen des Händlers in der App festgelegt (z. B. Aktivierung des Widerrufsbuttons, Statusänderungen). Weitere Weisungen erteilt der Händler in Textform an support@dp-digital.de.
• Hält dropprinters eine Weisung für rechtswidrig, weist dropprinters den Händler unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Pflichten von dropprinters

• dropprinters verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit. Zugriff auf die Produktionsumgebung haben ausschließlich die beiden Geschäftsführer.
• dropprinters trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. dropprinters darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
• dropprinters verarbeitet die Daten ausschließlich in der Europäischen Union.

§ 5 Unterauftragsverarbeiter

• Der Händler genehmigt die folgenden Unterauftragsverarbeiter:
• Amazon Web Services EMEA SARL, Luxemburg: Hosting von App, Datenbank und Sicherungskopien in der Region eu-central-1 (Frankfurt am Main)
• STRATO GmbH, Berlin: Versand der Eingangsbestätigungen per E-Mail (Empfänger-Adresse und Inhalt der Bestätigung)
• Requesty (requesty.ai) und Amazon Bedrock erzeugen für Verisio KI-Vorschläge. Sie erhalten ausschließlich Produktdaten (Titel, Beschreibungen, Produktbilder), keine Daten aus diesem Auftrag, und sind daher keine Unterauftragsverarbeiter im Sinne dieses Vertrags.
• dropprinters informiert den Händler mindestens 30 Tage vorher in der App oder per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Händler kann aus wichtigem datenschutzrechtlichem Grund widersprechen; bei einem Widerspruch kann er die App ohne weitere Kosten deinstallieren.
• dropprinters erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen.

§ 6 Unterstützung bei Rechten der Betroffenen

• Wendet sich eine betroffene Person direkt an dropprinters, leitet dropprinters die Anfrage unverzüglich an den Händler weiter und beantwortet sie nicht selbst, soweit keine Weisung vorliegt.
• dropprinters unterstützt den Händler mit technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte nach Art. 15 bis 22 DSGVO, insbesondere:
• Auskunft: Der Händler sieht alle Widerrufe in der Widerrufsübersicht der App; auf Anfrage stellt dropprinters die Einträge zu einer Person zusätzlich bereit.
• Löschung: Über die Datenschutz-Anfrage customers/redact in Shopify löscht Verisio die Widerrufe der betroffenen Person automatisch; auf Weisung löscht dropprinters einzelne Einträge auch manuell.
• dropprinters unterstützt den Händler außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).

§ 7 Meldung von Datenschutzverletzungen

• dropprinters meldet dem Händler eine Verletzung des Schutzes personenbezogener Daten aus diesem Auftrag unverzüglich, nachdem sie dropprinters bekannt geworden ist, per E-Mail an die Kontakt-Adresse des Shops.
• Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Informationen, die noch nicht vorliegen, reicht dropprinters schrittweise nach.
• Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Händler; dropprinters unterstützt ihn dabei, damit er die Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann.

§ 8 Nachweise und Kontrollen

• dropprinters stellt dem Händler auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.
• Der Händler kann Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach rechtzeitiger Ankündigung in Textform, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte und Unterlagen.

§ 9 Löschung und Rückgabe

• Jeder Widerruf erhält beim Eingang ein Löschdatum drei Jahre nach Eingang. Abgelaufene Einträge werden gelöscht, sobald der Händler die Widerrufsübersicht in der App das nächste Mal aufruft.
• Nach der Deinstallation löscht dropprinters alle Daten aus diesem Auftrag, sobald Shopify die Datenschutz-Anfrage shop/redact sendet (48 Stunden nach der Deinstallation).
• In verschlüsselten Sicherungskopien können Daten danach noch bis zu 90 Tage enthalten sein (Datenträger-Snapshots bis zu 7 Tage); sie werden mit Ablauf der Aufbewahrungsfrist automatisch gelöscht und bis dahin nicht weiter verarbeitet, außer zur Wiederherstellung nach einem Datenverlust.
• Auf Anfrage vor der Deinstallation stellt dropprinters dem Händler die gespeicherten Widerrufe als Datei bereit.

§ 10 Haftung und Schlussbestimmungen

• Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.
• Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.
• Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Frankfurt am Main.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Hosting ausschließlich bei Amazon Web Services in der Region eu-central-1 (Frankfurt am Main); physische Sicherheit der Rechenzentren durch AWS
• Kein SSH-Zugang zum Server; Verwaltung nur über AWS Systems Manager
• Administrativer Zugriff nur für die beiden Geschäftsführer; nach interner Richtlinie Mehr-Faktor-Anmeldung für die Konten bei AWS, Shopify, GitHub und STRATO sowie individuelle, starke Passwörter aus einem Passwort-Manager
• Die App ist nach außen nur über HTTPS erreichbar; die Anwendung selbst lauscht nur lokal hinter dem Reverse Proxy
• Jede Datenbankabfrage ist an den jeweiligen Shop gebunden (Mandantentrennung in der Anwendung)
• Zugangsdaten zu Drittsystemen liegen im AWS Secrets Manager bzw. in der Server-Umgebung, nie im Quellcode

Integrität

• Übertragung ausschließlich verschlüsselt per TLS (Zertifikate von Let's Encrypt), HSTS aktiviert
• Anfragen von Shopify (Webhooks, App-Proxy) werden über die Signatur von Shopify geprüft
• Änderungen an der Anwendung nur über versionierten Quellcode; vor dem Ausrollen verpflichtend automatisierte Tests nach interner Freigaberegel
• Protokoll der Aktionen in der App ohne E-Mail-Adressen oder Namen von Endkunden

Verfügbarkeit und Belastbarkeit

• Tägliche Datenbanksicherung, verschlüsselt (S3 SSE-AES256) in der Region eu-central-1, Aufbewahrung 90 Tage
• Tägliche verschlüsselte Snapshots des Server-Datenträgers (EBS-Verschlüsselung), Aufbewahrung 7 Tage
• Begrenzung der Anfragen an das Widerrufsformular zum Schutz vor Missbrauch
• Dokumentierter Rückweg auf die vorherige Version bei fehlerhaftem Ausrollen

Verschlüsselung

• Server-Datenträger und Sicherungskopien verschlüsselt (AWS EBS-Verschlüsselung, S3 SSE-AES256)
• Transportverschlüsselung per TLS

Verfahren zur regelmäßigen Überprüfung

• Interne Richtlinien zu Zugriff und Passwörtern sowie zum Umgang mit Sicherheitsvorfällen
• Sicherheitsprüfungen von Quellcode und Abhängigkeiten (Secrets, Sicherheitsmuster, bekannte Schwachstellen) vor dem Ausrollen nach interner Freigaberegel
• Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen

Datenminimierung und Löschung

• Es werden nur die für den Widerruf nötigen Angaben gespeichert; Bestellungen werden nicht auf Vorrat kopiert
• Automatische Löschung nach drei Jahren, bei customers/redact und bei shop/redact