Auftrags­verarbeitungs­vereinbarung

1. Begriffsbestimmungen

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „betroffene Person“, „Aufsichtsbehörde“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen in Artikel 4 DSGVO zukommt.

„Händlerdaten“ bezeichnet personenbezogene Daten, die der Auftragsverarbeiter im Auftrag des Händlers im Zusammenhang mit HiveBee verarbeitet, wie in Anhang I beschrieben.

„Dienst“ bezeichnet die HiveBee-Anwendung und die zugehörigen Funktionen für Suche, Empfehlungen, Analysen und Berichte.

2. Gegenstand und Rollen

Der Händler ist Verantwortlicher für die Händlerdaten. Die Rankskipper GmbH handelt als Auftragsverarbeiter und verarbeitet Händlerdaten ausschließlich im Auftrag des Händlers.

Soweit die Rankskipper GmbH Daten zum eigenen Konto und zur Geschäftsbeziehung des Händlers verarbeitet, etwa Kontaktdaten von Administratoren, Rechnungsinformationen und Korrespondenz zum Dienst, handelt sie als eigenständiger Verantwortlicher. Diese Verarbeitung ist in der Datenschutzerklärung beschrieben und unterliegt nicht dieser AVV.

3. Art, Zweck und Dauer der Verarbeitung

Art und Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten und betroffener Personen sind in Anhang I festgelegt.

Die Verarbeitung beginnt mit der Installation des Dienstes durch den Händler und dauert an, solange der Händler ihn nutzt. Bei Deinstallation oder Beendigung des Hauptvertrags gilt Abschnitt 13.

4. Verarbeitung auf dokumentierte Weisung

Der Auftragsverarbeiter verarbeitet Händlerdaten nur auf dokumentierte Weisung des Händlers, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Händler diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Dokumentierte Weisungen erfolgen durch:

• den Hauptvertrag und diese AVV;
• die Konfiguration und Einstellungen, die der Händler im Dienst wählt;
• die Berechtigungen, die der Händler bei der Installation des Dienstes über Shopify erteilt;
• schriftliche Weisungen an hello@hivebee.ai.

Der Auftragsverarbeiter informiert den Händler unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

5. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Händlerdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht auch nach Ende ihrer Tätigkeit fort.

Der Zugriff auf Händlerdaten ist auf Personal beschränkt, das ihn zur Erfüllung der Pflichten des Auftragsverarbeiters aus dem Hauptvertrag benötigt.

6. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft gemäß Artikel 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei berücksichtigt er den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Die bei Inkrafttreten dieser AVV bestehenden Maßnahmen sind in Anhang II beschrieben. Der Auftragsverarbeiter darf diese Maßnahmen anpassen, sofern das Schutzniveau nicht gesenkt wird.

7. Unterauftragsverarbeiter

Der Händler erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, zur Erbringung des Dienstes Unterauftragsverarbeiter einzusetzen. Die bei Inkrafttreten dieser AVV eingesetzten Unterauftragsverarbeiter sind in Anhang III aufgeführt.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die nicht weniger schützend sind als die dieser AVV. Der Auftragsverarbeiter haftet gegenüber dem Händler in vollem Umfang für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.

Änderungen und Widerspruchsrecht

Der Auftragsverarbeiter informiert den Händler über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus, per E-Mail an die hinterlegte Kontaktadresse des Händlers und durch Aktualisierung von Anhang III.

Der Händler kann einer solchen Änderung aus berechtigten datenschutzrechtlichen Gründen innerhalb von 30 Tagen nach der Information widersprechen. Finden die Parteien keine Lösung, kann der Händler den Hauptvertrag mit Wirkung zum Zeitpunkt der Änderung ohne Vertragsstrafe kündigen und erhält im Voraus gezahlte Entgelte für den nicht genutzten Zeitraum anteilig zurück.

8. Internationale Datenübermittlungen

Händlerdaten werden innerhalb der Europäischen Union gespeichert. Das Hosting erfolgt auf Infrastruktur von Amazon Web Services in Deutschland.

Zur Erstellung von Suchergebnissen und Produkttexten werden Suchanfragen und begrenzte Produktinformationen (etwa Titel, Beschreibung, Tags und Preis) über die Gemini API von Google verarbeitet (siehe Anhang III). Diese Verarbeitung kann außerhalb der Europäischen Union stattfinden.

Werden Händlerdaten in ein Drittland übermittelt, einschließlich der oben beschriebenen Übermittlung, erfolgt dies nur auf Grundlage eines Angemessenheitsbeschlusses nach Artikel 45 DSGVO oder geeigneter Garantien nach Artikel 46 DSGVO, insbesondere der von der Europäischen Kommission erlassenen Standardvertragsklauseln, ergänzt durch eine Transfer-Folgenabschätzung und, soweit erforderlich, zusätzliche Maßnahmen.

9. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Händler nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten, namentlich Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

Wendet sich eine betroffene Person in Bezug auf Händlerdaten direkt an den Auftragsverarbeiter, beantwortet dieser das Anliegen nicht inhaltlich. Er leitet die Anfrage unverzüglich an den Händler weiter und teilt der betroffenen Person mit, dass der Händler der Verantwortliche ist.

Der Auftragsverarbeiter unterstützt die verpflichtenden Shopify-Datenschutz-Webhooks für Kundendatenanfragen, die Löschung von Kundendaten und die Löschung von Shopdaten.

10. Unterstützung bei den Pflichten nach Artikel 32 bis 36 DSGVO

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Händler bei der Einhaltung der Pflichten nach Artikel 32 bis 36 DSGVO, insbesondere hinsichtlich der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Benachrichtigung betroffener Personen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde.

11. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Händler eine Verletzung des Schutzes von Händlerdaten unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist.

Die Meldung beschreibt, soweit zum jeweiligen Zeitpunkt bekannt und ergänzt, sobald weitere Informationen vorliegen:

• die Art der Verletzung, nach Möglichkeit mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen;
• Name und Kontaktdaten einer Anlaufstelle für weitere Informationen.

Der Auftragsverarbeiter benachrichtigt weder eine Aufsichtsbehörde noch betroffene Personen im Namen des Händlers, es sei denn, der Händler weist ihn schriftlich dazu an.

12. Audits und Nachweis der Einhaltung

Der Auftragsverarbeiter stellt dem Händler alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten zur Verfügung.

Der Auftragsverarbeiter ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Händler oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei, unter folgenden Bedingungen:

• Audits finden während der üblichen Geschäftszeiten statt, nach schriftlicher Ankündigung mit einer Frist von mindestens 30 Tagen und höchstens einmal pro Kalenderjahr, es sei denn, es ist eine Datenschutzverletzung eingetreten oder eine Aufsichtsbehörde verlangt etwas anderes;
• der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und muss zur Vertraulichkeit verpflichtet sein;
• Audits dürfen weder die Sicherheit des Dienstes noch die Vertraulichkeit der Daten anderer Händler gefährden;
• der Händler trägt seine eigenen Kosten; für mehr als ein Audit pro Kalenderjahr kann der Auftragsverarbeiter seine angemessenen Kosten in Rechnung stellen.

13. Löschung und Rückgabe von Daten

Nach Deinstallation des Dienstes, Beendigung des Hauptvertrags oder auf schriftliche Anfrage des Händlers löscht oder anonymisiert der Auftragsverarbeiter alle Händlerdaten innerhalb von sieben Tagen, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine weitere Speicherung vorgeschrieben ist.

Auf Anfrage des Händlers vor Ablauf dieser Frist gibt der Auftragsverarbeiter die Händlerdaten in einem strukturierten, gängigen und maschinenlesbaren Format zurück.

Sicherungskopien werden im regulären Backup-Rotationszyklus gelöscht, spätestens jedoch innerhalb von 30 Tagen. Bis zur Löschung unterliegen in Backups gespeicherte Daten weiterhin dieser AVV.

Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.

14. Pflichten des Händlers

Der Händler ist verantwortlich für:

• die Schaffung und Aufrechterhaltung einer gültigen Rechtsgrundlage für die Verarbeitung personenbezogener Daten über den Dienst;
• die Bereitstellung der nach Artikel 13 und 14 DSGVO erforderlichen Informationen an betroffene Personen, einschließlich des Einsatzes von HiveBee als Auftragsverarbeiter, sowie eine zutreffende Datenschutzerklärung für seinen Shop;
• die Sicherstellung, dass die über Shopify erteilten Berechtigungen rechtmäßig und auf das Notwendige beschränkt sind;
• die Sicherstellung, dass seine Weisungen an den Auftragsverarbeiter dem geltenden Datenschutzrecht entsprechen;
• die Beantwortung von Anfragen betroffener Personen als Verantwortlicher.

15. Kein Verkauf von Daten, kein KI-Training

Der Auftragsverarbeiter verkauft keine Händlerdaten und gibt sie nicht für Werbung, Profiling oder sonstige Zwecke weiter, die nicht mit der Erbringung des Dienstes zusammenhängen.

Der Auftragsverarbeiter verwendet weder Händlerdaten noch Katalog-, Bestell- oder Suchdaten zum Training von Modellen der künstlichen Intelligenz oder des maschinellen Lernens und gestattet dies auch seinen Unterauftragsverarbeitern nicht.

Daten aus dem Shop eines Händlers werden nicht verwendet, um Ergebnisse für den Shop eines anderen Händlers zu erzeugen, zu verbessern oder zu beeinflussen. Die Katalog- und Suchdaten jedes Händlers werden getrennt indexiert und bereitgestellt.

16. Haftung

Die Haftung im Rahmen dieser AVV richtet sich nach den Haftungsbestimmungen des Hauptvertrags, soweit Artikel 82 DSGVO nichts anderes bestimmt. Keine Bestimmung dieser AVV beschränkt oder schließt die Haftung einer Partei gegenüber betroffenen Personen oder Aufsichtsbehörden nach der DSGVO aus.

17. Änderungen dieser Vereinbarung

Der Auftragsverarbeiter kann diese AVV ändern, soweit dies aufgrund von Änderungen des geltenden Rechts, von Leitlinien der Aufsichtsbehörden oder von Änderungen des Dienstes erforderlich ist. Über wesentliche Änderungen informiert er den Händler mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail und durch Veröffentlichung der aktualisierten Fassung auf dieser Seite.

Akzeptiert der Händler eine wesentliche Änderung nicht, kann er den Hauptvertrag vor deren Inkrafttreten ohne Vertragsstrafe kündigen. Die weitere Nutzung des Dienstes nach diesem Zeitpunkt gilt als Zustimmung.

Jede Fassung dieser AVV ist durch ihre Versionsnummer und ihr Gültigkeitsdatum gekennzeichnet, die oben auf dieser Seite angegeben sind.

18. Anwendbares Recht und Gerichtsstand

Diese AVV unterliegt österreichischem Recht unter Ausschluss der Kollisionsnormen und des UN-Kaufrechts. Gerichtsstand ist, soweit gesetzlich zulässig, Wien, Österreich.

Zwingende Verbraucherschutzbestimmungen und die Rechte betroffener Personen nach der DSGVO bleiben unberührt.

19. Kontakt

Für Datenschutzanfragen, Löschanfragen, ein unterzeichnetes Exemplar dieser AVV oder sonstige Anliegen im Zusammenhang mit dieser Vereinbarung:

Anhang I: Einzelheiten der Verarbeitung

Gegenstand

Bereitstellung von KI-gestützter Produktsuche, Produktempfehlungen, Katalogindexierung, Bestellzuordnung, Analysen und Berichten im Shopify-Shop des Händlers.

Dauer

Für die Laufzeit des Hauptvertrags, gefolgt von Löschung oder Anonymisierung gemäß Abschnitt 13.

Kategorien betroffener Personen

• Kunden des Shops des Händlers
• Besucher der Storefront des Händlers
• Administrative Ansprechpersonen des Händlers

Kategorien personenbezogener Daten und Zwecke

Nicht erfasste Daten

Der Auftragsverarbeiter greift nicht auf Lieferadressen, Rechnungsadressen, Telefonnummern, Zahlungs- oder Bankdaten, amtliche Identifikationsnummern oder Geburtsdaten zu und speichert diese nicht.

Besondere Kategorien personenbezogener Daten

Personenbezogene Daten im Sinne von Artikel 9 DSGVO werden nicht wissentlich verarbeitet. Der Händler darf den Auftragsverarbeiter nicht anweisen, solche Daten über den Dienst zu verarbeiten.

Nicht personenbezogene Daten

Produkt- und Kollektionsdaten (Namen, Beschreibungen, Kennungen, Varianten, Preise, Bilder, Kategorien und Kollektionen) werden für Indexierung, Suche und Empfehlungen verarbeitet. Der Auftragsverarbeiter verändert keine Produktdaten.

Anhang II: Technische und organisatorische Maßnahmen

Maßnahmen gemäß Artikel 32 DSGVO.

Anhang III: Genehmigte Unterauftragsverarbeiter

Stand bei Inkrafttreten dieser AVV.

Änderungen dieser Liste richten sich nach Abschnitt 7.