Rechtliches

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 11. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“ bzw. „DPA“) ist Bestandteil der Nutzungsbedingungen zwischen Summer Apps („Summer Apps“, „wir“, „uns“) und dem Händler, der unsere Shopify-App Summer Upsell & Cross Sell installiert (der „Händler“, „Sie“). Er gilt immer dann, wenn wir im Zusammenhang mit der App personenbezogene Daten in Ihrem Auftrag verarbeiten.

Mit der Installation oder der weiteren Nutzung der App akzeptieren Sie diesen AVV. Wenn Sie eine unterzeichnete Kopie benötigen oder Ihre Organisation zusätzliche Regelungen verlangt, erreichen Sie uns über unsere Kontaktseite.

1. Parteien und Rollen

Für die Shop-Daten, die wir zur Bereitstellung der App verarbeiten – Ihren Produktkatalog, die Kampagnenkonfiguration, aggregierte Widget-Analytik und Bestellpositionen – sind Sie der Verantwortliche (bzw. „Business“ nach den Datenschutzgesetzen der US-Bundesstaaten) und Summer Apps der Auftragsverarbeiter („Service Provider“).

Für die Daten, die wir zu eigenen Zwecken erheben – Ihre Konto- und Kontaktdaten, Abrechnungsdaten, das Aktivitätsprotokoll der App und die Produktanalytik im Admin – ist Summer Apps eigenständiger Verantwortlicher. Diese Verarbeitung ist in unserer Datenschutzerklärung beschrieben.

„Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die EU-Datenschutz-Grundverordnung (DSGVO) und, soweit anwendbar, die UK GDPR zuweisen.

2. Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung der App Summer Upsell & Cross Sell und ihrer Storefront-Widgets für Ihren Shopify-Shop. Die Verarbeitung dauert an, solange die App installiert ist, und endet, wenn die App deinstalliert wurde und Ihre Daten gemäß Abschnitt 6 gelöscht wurden.

3. Art und Zweck der Verarbeitung

Wir verarbeiten personenbezogene Daten nur in dem Umfang, der erforderlich ist, um:

  • Upsell- und Cross-Sell-Widgets in Ihrem Storefront anzuzeigen und die von Ihnen konfigurierten Rabatte anzuwenden;
  • die Widget-Leistung zu messen (Impressionen, Klicks auf „In den Warenkorb“, Conversions und zugeordneter Umsatz) und sie Ihnen in der App anzuzeigen;
  • auf Ihre Anfrage Produktempfehlungen mit Summer AI zu erstellen;
  • die App zu betreiben, abzusichern und zu supporten.

4. Kategorien betroffener Personen

  • Mitarbeiter des Händlers: der Shop-Inhaber und die Mitarbeiter, die die App im Shopify-Admin nutzen.
  • Endkunden: Käufer, die Ihren Storefront besuchen oder Bestellungen aufgeben. Wir verarbeiten ihre Daten ausschließlich aggregiert (Zählwerte und Bestellpositionen) und speichern keine Namen, Adressen, E-Mail-Adressen, Telefonnummern oder sonstige Käufer-Kennungen.

5. Kategorien personenbezogener Daten

Die Kategorien personenbezogener Daten sind in Abschnitt 2.3 unserer Datenschutzerklärung beschrieben. Zusammengefasst:

  • Shop- und Kontodaten: Shop-Domain, Shop-Name, Name und E-Mail des Shop-Inhabers, Sprache, Währung und Märkte des Shops, Produktkatalog.
  • Sitzungsdaten von Mitarbeitern: Name, E-Mail und Sprache der Mitarbeiter, die die App nutzen.
  • Bestelldaten: Bestell-ID und Bestellpositionen (Produkt, Menge, Preis, Rabatte, Kampagnen-Eigenschaft).
  • Aggregierte Storefront-Analytik: Impressionen, Klicks, Conversions und zugeordneter Umsatz, ohne Käufer-Kennungen.
  • Aktivitätsprotokoll: ausgeführte Aktion, Shop-Domain und, sofern verfügbar, die E-Mail des handelnden Mitarbeiters.

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten.

6. Pflichten des Auftragsverarbeiters

Summer Apps wird:

  • personenbezogene Daten nur auf Ihre dokumentierte Weisung verarbeiten – Ihre Installation und Konfiguration der App, die Shopify-APIs und dieser AVV stellen diese Weisungen dar –, sofern nicht gesetzlich etwas anderes vorgeschrieben ist; in diesem Fall informieren wir Sie vor der Verarbeitung, soweit rechtlich zulässig;
  • sicherstellen, dass alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
  • die in Abschnitt 7 beschriebenen technischen und organisatorischen Maßnahmen umsetzen;
  • Unterauftragsverarbeiter nur gemäß Abschnitt 8 einsetzen;
  • Sie unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen sowie bei der Erfüllung Ihrer Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzungen unterstützen;
  • Sie unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Bekanntwerden, über eine Verletzung des Schutzes personenbezogener Daten informieren, die Ihre Daten betrifft, und Ihnen die Informationen bereitstellen, die Sie zur Erfüllung Ihrer eigenen Meldepflichten benötigen;
  • Ihre personenbezogenen Daten bei Deinstallation der App oder Beendigung dieses AVV innerhalb der in Abschnitt 7 der Datenschutzerklärung genannten Fristen löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht;
  • auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung stellen und Überprüfungen – einschließlich Inspektionen –, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, ermöglichen und dazu beitragen, mit angemessener Vorankündigung und höchstens einmal pro Jahr, sofern eine Aufsichtsbehörde nichts anderes verlangt.

7. Sicherheitsmaßnahmen

Wir treffen geeignete technische und organisatorische Maßnahmen, darunter:

  • Verschlüsselung bei der Übertragung (HTTPS/TLS) für den gesamten Datenverkehr zwischen Käufern, dem Shopify-Admin, unseren Servern und unseren Anbietern;
  • Verschlüsselung im Ruhezustand für unsere Datenbank (MongoDB Atlas);
  • Shopify OAuth mit den minimal erforderlichen Zugriffsberechtigungen sowie Signaturprüfung (HMAC) jedes Webhooks und jeder Storefront-Proxy-Anfrage;
  • rollenbasierter Zugriff auf Produktionssysteme, beschränkt auf befugtes Personal, mit Cloudflare vor unseren Servern;
  • Server-Logs mit einer Aufbewahrung von höchstens 90 Tagen und Löschung der App-Daten bei Deinstallation.

8. Unterauftragsverarbeiter

Sie ermächtigen uns, die in Abschnitt 5 unserer Datenschutzerklärung aufgeführten Unterauftragsverarbeiter einzusetzen; diese Liste stellt die aktuelle Liste der Unterauftragsverarbeiter dar. Wir aktualisieren diese Liste und informieren Sie mindestens 30 Tage im Voraus – per E-Mail oder durch einen Hinweis in der App –, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, der Ihre personenbezogenen Daten verarbeitet. Wenn Sie aus berechtigten datenschutzrechtlichen Gründen widersprechen und wir den Widerspruch nicht ausräumen können, können Sie den Vertrag durch Deinstallation der App beenden.

Wir verpflichten jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die nicht weniger schützend sind als die in diesem AVV, und bleiben für deren Erfüllung verantwortlich.

9. Internationale Datenübermittlungen

Wir haben unseren Sitz in den USA und verarbeiten Ihre Daten dort. Stammen Ihre Daten aus dem EWR, dem Vereinigten Königreich oder der Schweiz, unterliegt die Übermittlung den EU-Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter) und dem UK International Data Transfer Addendum, die durch Verweis in diesen AVV einbezogen werden, sowie den gleichwertigen Klauseln in den Vereinbarungen mit unseren Unterauftragsverarbeitern. Ist ein Unterauftragsverarbeiter nach dem EU-US Data Privacy Framework zertifiziert, stützen wir uns zusätzlich auf diese Zertifizierung. Eine Kopie des anwendbaren Mechanismus ist auf Anfrage über unsere Kontaktseite erhältlich.

10. Anfragen betroffener Personen

Erhalten wir eine Anfrage einer betroffenen Person, die Ihren Shop betrifft, leiten wir sie unverzüglich an Sie weiter und antworten nicht direkt, außer um den Eingang zu bestätigen oder soweit gesetzlich vorgeschrieben. Anfragen, die über den Datenschutz-Anfrageprozess von Shopify gestellt werden, erreichen uns als customers/data_request- und customers/redact-Webhooks, die wir innerhalb von 30 Tagen beantworten. Da wir keine personenbezogenen Daten von Endkunden speichern, wird eine Auskunftsanfrage mit der Bestätigung beantwortet, dass keine Daten herauszugeben sind.

11. Haftung

Die Haftung jeder Partei aus diesem AVV unterliegt den Ausschlüssen und Beschränkungen der Nutzungsbedingungen. Nichts in diesem AVV beschränkt die Haftung einer Partei gegenüber betroffenen Personen oder Aufsichtsbehörden, soweit das anwendbare Recht eine solche Beschränkung verbietet.

12. Anwendbares Recht und Kontakt

Dieser AVV unterliegt dem Recht, das für die Nutzungsbedingungen gilt. Soweit die Standardvertragsklauseln Anwendung finden, gehen deren Regelungen zu anwendbarem Recht und Gerichtsstand für die von ihnen erfassten Fragen vor. Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen hat dieser AVV in Datenschutzfragen Vorrang.

Fragen zu diesem AVV: