Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die App bereitzustellen: Produkt-Designer im Onlineshop, Speicherung von Designs, Erzeugung von Druckdateien und Zuordnung zu Bestellungen. Der Vertrag gilt, solange der Verantwortliche die App nutzt, und endet mit der Löschung der Daten nach Abschnitt 9.

2. Art der Daten und betroffene Personen

• Betroffene: Kundinnen und Kunden sowie Besucher des Onlineshops des Verantwortlichen.
• Daten: von Kunden eingegebene Texte und hochgeladene Bilder (können Personen zeigen), Gestaltungsdaten, Vorschaubilder, Druckdateien, Bestellnummer, Bestell- und Positionskennungen, bestellte Variante.
• Keine Namen, E-Mail-Adressen, Anschriften oder Zahlungsdaten der Kunden; keine besonderen Kategorien nach Art. 9 DSGVO, außer ein Kunde lädt solche selbst in ein Bild hoch.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen und Aktionen in der App sowie dieser Vertrag gelten als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

4. Vertraulichkeit

Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet. Zugriff hat nur, wer ihn für Betrieb und Support benötigt.

5. Technische und organisatorische Maßnahmen

• Hosting in der EU: Amazon Web Services, Region Frankfurt (eu-central-1).
• Verschlüsselte Übertragung: alle Verbindungen per TLS (HTTPS).
• Dateien (Uploads, Vorschaubilder, Druckdateien) und Datensicherungen verschlüsselt gespeichert (AES-256), Speicher nicht öffentlich, Abruf nur über zufällige, nicht erratbare Adressen.
• Datenbank auf einem eigenen Server, gespeichert auf einem verschlüsselten Datenträger (Schlüsselverwaltung durch AWS); Zugriff nur über Schlüssel, keine Passwort-Anmeldung.
• Mandantentrennung: Daten jedes Shops getrennt nach Shop gespeichert und abgefragt.
• Zugriffsbeschränkung: Server- und Cloud-Zugänge nur für berechtigte Personen, Rechte nach dem Minimalprinzip.
• Protokolle ohne IP-Adressen und ohne personenbezogene Inhalte.
• Datensicherung: tägliche Sicherung der Datenbank, automatische Löschung nach 30 Tagen.
• Automatische Löschung nicht bestellter Designs und unbenutzter Uploads nach 90 Tagen.

Der Auftragsverarbeiter passt die Maßnahmen dem Stand der Technik an; das Schutzniveau sinkt dabei nicht.

6. Unterauftragsverarbeiter

• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg – Server, Dateispeicher, Datensicherung (Region Frankfurt).

Der Verantwortliche stimmt diesem Unterauftragsverarbeiter zu. Neue Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an; der Verantwortliche kann aus wichtigem Grund widersprechen und den Vertrag kündigen. Shopify ist die vom Verantwortlichen genutzte Plattform und kein Unterauftragsverarbeiter des Auftragsverarbeiters.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Löschung u. a.), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Löschanfragen über Shopify (customers/redact, shop/redact) werden automatisch umgesetzt.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

9. Löschung und Rückgabe

Nach Ende der Nutzung (Deinstallation) löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, sobald Shopify die Löschung anweist (shop/redact, 48 Stunden nach der Deinstallation). Druckdateien kann der Verantwortliche vorher in der App herunterladen. Datensicherungen werden spätestens nach 30 Tagen überschrieben.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen nach angemessener Vorankündigung. Kontakt: dev@metacom.at.

11. Ort der Verarbeitung

Die Daten werden in der EU gespeichert. Soweit ein Unterauftragsverarbeiter Daten in ein Drittland übermittelt, erfolgt dies auf Grundlage des EU-US Data Privacy Framework oder von Standardvertragsklauseln.

12. Schlussbestimmungen

Es gilt österreichisches Recht. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Die deutsche Fassung ist maßgeblich.