Rechtliches

Sortimentor – Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Entwurf – Fassung vom 26. Oktober 2026. Verbindlich ist die englische Fassung; dies ist eine Übersetzung.

Zwischen dem Betreiber des Shopware-Shops, der die App installiert (der Verantwortliche), und PAWSY STAYS, dejavnost spletnih iskalnikov, d.o.o., Prečna ulica 20, 1230 Domžale, Slowenien (der Auftragsverarbeiter).

1. Gegenstand, Dauer, Art und Zweck

1.1 Der Auftragsverarbeiter stellt die Shopware-App „Sortimentor“ bereit, die Lieferantendateien in den Shop des Verantwortlichen importiert (Nutzungsbedingungen, Abschnitt 2). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

1.2 Dieser Vertrag gilt, solange die App installiert ist, und danach bis zur Löschung der Daten (Abschnitt 9).

1.3 Betroffene und Daten: personenbezogene Daten, die zufällig in den vom Verantwortlichen hochgeladenen Lieferantendateien enthalten sind (z. B. Namen, E-Mail-Adressen oder Telefonnummern von Ansprechpartnern beim Lieferanten), und in den Produktdaten des Shops, die die App liest und schreibt. Die App hat keinen Zugriff auf Kunden- oder Bestelldaten des Shops. Besondere Kategorien (Art. 9 DSGVO) werden nicht verarbeitet; der Verantwortliche lädt solche nicht hoch.

2. Weisungen

2.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der App (Hochladen, Zuordnen, Übernehmen, Rückgängigmachen, Löschen) ist eine solche Weisung. Weitere Weisungen können per E-Mail erteilt werden.

2.2 Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, teilt er dies dem Verantwortlichen mit.

3. Vertraulichkeit

Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.

4. Sicherheit

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1. Er darf sie dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt.

5. Unterauftragsverarbeiter

5.1 Der Verantwortliche stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu.

5.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher über einen neuen oder ersetzten Unterauftragsverarbeiter (per E-Mail oder Hinweis in der App und auf der Website). Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; findet sich keine Lösung, kann er die Nutzung der App beenden.

5.3 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Er setzt nur Unterauftragsverarbeiter ein, die Daten in der EU/im EWR verarbeiten.

6. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit und unter Berücksichtigung der Art der Verarbeitung bei Anfragen Betroffener (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Folgenabschätzung, Konsultation).

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung, die dessen Daten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen.

8. Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung nötigen Informationen bereit. Der Verantwortliche kann Kontrollen durchführen, vorrangig durch schriftliche Auskünfte und Unterlagen; Vor-Ort-Kontrollen sind 30 Tage vorher anzukündigen, finden zu Geschäftszeiten statt und erfolgen auf Kosten des Verantwortlichen, sofern sie keinen wesentlichen Verstoß ergeben.

9. Löschung und Rückgabe

9.1 Hochgeladene Dateien, Importverlauf und Daten zum Rückgängigmachen werden 30 Tage nach dem Import automatisch gelöscht.

9.2 Bei Deinstallation mit „Daten löschen“ werden alle Daten des Verantwortlichen sofort gelöscht. Bei Deinstallation mit „Daten behalten“ bleiben Lieferantenprofile und Tarifdaten für eine erneute Installation erhalten; der Verantwortliche kann sie jederzeit per E-Mail löschen lassen. Sicherungen werden innerhalb von 14 Tagen überschrieben. Ausgenommen ist das Import-Protokoll, das der Auftragsverarbeiter als eigenen Nachweis drei Jahre zur Geltendmachung oder Abwehr von Rechtsansprüchen aufbewahrt (keine Dateiinhalte; siehe Datenschutzerklärung).

9.3 Auf Wunsch stellt der Auftragsverarbeiter vor der Löschung die Lieferantenprofile des Verantwortlichen als JSON-Datei bereit.

10. Schlussbestimmungen

Ergänzend gelten die Nutzungsbedingungen (einschließlich Haftung und anwendbarem Recht). Bei Widersprüchen geht dieser Vertrag in Datenschutzfragen den Nutzungsbedingungen vor.

Anlage 1 – Technische und organisatorische Maßnahmen

Vertraulichkeit

• Server in einem EU-Rechenzentrum des Hosting-Anbieters (Zutrittskontrolle durch den Anbieter).
• Serverzugang nur per SSH mit Schlüssel; keine Passwort-Anmeldung; Firewall lässt nur SSH, HTTP und HTTPS zu.
• Die Datenbank ist aus dem Internet nicht erreichbar.
• Jede Anfrage von Shopware ist mit einem Geheimnis je Shop signiert und wird geprüft; die App-Seite nutzt signierte Links, die nach 1 Stunde ablaufen, und Sitzungen, die nach 12 Stunden ablaufen.
• Die Daten jedes Shops werden mit seiner Shop-ID gespeichert und nur mit ihr gelesen (Mandantentrennung), abgesichert durch automatische Tests.
• Die App fordert nur die nötigen Shopware-Berechtigungen an (keine Kunden- oder Bestelldaten).

Integrität

• Alle Verbindungen nutzen TLS (HTTPS).
• Änderungen werden erst nach Bestätigung der Vorschau durch den Verantwortlichen in den Shop geschrieben; jeder Import speichert einen Stand zum Rückgängigmachen.
• Prüfung aller an den Server gesendeten Daten.

Verfügbarkeit und Belastbarkeit

• Tägliche Datenbanksicherung, 14 Tage aufbewahrt, mit Kopie an einem zweiten Ort.
• Automatischer Neustart der Dienste; externe Verfügbarkeitsüberwachung.
• Unterbrochene Importe werden beim Neustart erkannt und können rückgängig gemacht werden.

Datenminimierung und Löschung

• Der KI-Anbieter erhält nur Spaltennamen und bis zu 30 Beispielzeilen, nie die ganze Datei.
• Automatische Löschung von Dateien und Importverlauf nach 30 Tagen.
• Keine Zugriffsprotokolle mit IP-Adressen.

Verfahren

• Sicherheitsupdates werden regelmäßig eingespielt; Abhängigkeiten sind auf genaue Versionen festgelegt.
• Diese Maßnahmen werden mindestens jährlich überprüft.

Anlage 2 – Unterauftragsverarbeiter