Auftragsverarbeitungsvertrag (AVV) – Datora | Multi Discounts

Zuletzt aktualisiert: 12. November 2026 · Version 1.0

Die Datora GmbH & Co. KG, Efeuweg 8a, 33335 Gütersloh („wir“), entwickelt und betreibt die Shopify-App „Datora | Multi Discounts“ (die „App“). Dieser Auftragsverarbeitungsvertrag (der „AVV“) regelt, wie wir personenbezogene Daten deiner Kundschaft in deinem Auftrag verarbeiten, wenn du der App den optionalen Lesezugriff auf Kund:innen gewährst. Er ist die gesonderte Vereinbarung nach Art. 28 DSGVO, auf die Ziffer 6.2.2 unserer AGB verweist. Widersprechen sich unsere AGB und dieser AVV, geht für die Verarbeitung personenbezogener Daten in deinem Auftrag dieser AVV vor.

Bitte lies diesen AVV sorgfältig durch. Du schließt ihn ab, indem du in der App auf „Accept and grant access“ klickst. Wir speichern dabei den Zeitpunkt, die Version des AVV und die ID deines Shops.

Gegenstand und Geltungsbereich

Du bist als Betreiber:in des Shops Verantwortliche:r im Sinne von Art. 4 Nr. 7 DSGVO. Wir sind Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und verarbeiten die unten beschriebenen Daten nur in deinem Auftrag und nach deinen Weisungen.

Der AVV gilt nur für die Verarbeitung, die der optionale Shopify-Zugriff „read_customers“ auslöst. Ohne diesen Zugriff funktionieren alle Rabatte der App genauso. Für die übrige Nutzung der App gelten unsere AGB und unsere Datenschutzerklärung.

Daten, die wir als eigene Verantwortliche verarbeiten, fallen nicht unter diesen AVV. Dazu gehören deine Kontaktdaten als Händler:in und die Nachweise über Abschluss und Ende dieses AVV.

Der AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Er gilt für den Shop, in dem du ihn in der App akzeptierst.

Art, Zweck und Dauer der Verarbeitung

Bei jedem Checkout berechnet eine Shopify Function der App die Rabatte. Sie prüft dabei, ob die Person im Checkout die Kunden-Tags hat, die du in deinen Rabattbedingungen verwendest. Shopify führt die Function auf eigener Infrastruktur aus und protokolliert jeden Aufruf mit Eingabe und Ergebnis (die „Function-Logs“).

Mit dem Zugriff „read_customers“ ändern sich zwei Dinge:

• Function-Logs. Ohne den Zugriff zeigt Shopify uns in den Function-Logs deines Shops nur, dass ein Aufruf stattgefunden hat. Mit dem Zugriff sehen wir die vollständigen Details.
• Datenschutz-Webhooks. Verlangt eine Person aus deiner Kundschaft bei dir Auskunft oder Löschung, benachrichtigt Shopify alle Apps mit Zugriff auf Kundendaten über die Webhooks „customers/data_request“ und „customers/redact“. Mit dem Zugriff erhält auch unsere App diese Benachrichtigungen (die „Datenschutz-Webhooks“).

Wir verarbeiten die Daten ausschließlich zu folgenden Zwecken:

• Fehleranalyse. Nachvollziehen, warum ein Rabatt im Checkout angewendet wurde oder nicht.
• Support. Beantwortung deiner Anfragen zu Rabattberechnungen.
• Betroffenenanfragen. Entgegennahme und Bestätigung der Datenschutz-Webhooks gegenüber Shopify.

Wir nutzen den Zugriff nicht, um Kundendaten über die Shopify Admin API abzurufen, und wir speichern keine Daten deiner Kundschaft in unseren eigenen Systemen. Wir nutzen die Daten nicht für Werbung, Profilbildung, Analysen oder andere eigene Zwecke.

Die Verarbeitung beginnt, wenn du den AVV akzeptierst und den Zugriff gewährst. Sie endet, wenn du den AVV in den Einstellungen der App widerrufst oder die App deinstallierst. In beiden Fällen wird der Zugriff automatisch entzogen.

Art der Daten und betroffene Personen

Betroffen sind Personen, die in deinem Shop einen Checkout aufrufen oder bei dir Auskunft oder Löschung ihrer Daten verlangen (deine Kundschaft).

Die Function-Logs enthalten für jeden Aufruf die folgenden Daten:

• Kunden-Tags. Für jeden Kunden-Tag aus deinen Rabattbedingungen, ob die angemeldete Person ihn hat (ja/nein). Andere Tags werden nicht abgefragt.
• Warenkorb. Produkt- und Varianten-IDs, Mengen, Preise, Abonnement-Angaben und die Währung.
• Rabattangaben. Im Warenkorb gespeicherte Rabattcodes und -token sowie der Markt des Checkouts.

Die Datenschutz-Webhooks enthalten für jede Anfrage die folgenden Daten:

• Angaben zur Person. Kunden-ID, E-Mail-Adresse und Telefonnummer der Person, die Auskunft oder Löschung verlangt.
• Angaben zur Anfrage. Die betroffenen Bestell-IDs und die Kennung der Anfrage.

Namen, Adressen und Zahlungsdaten erhält die App nicht. E-Mail-Adresse und Telefonnummer erhält sie nur über die Datenschutz-Webhooks, nicht über die Function-Logs.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nicht, es sei denn, du verwendest Kunden-Tags, die solche Daten beschreiben. Das ist nach diesem AVV nicht erlaubt (siehe „Deine Pflichten“).

Weisungen

Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Das gilt auch für Übermittlungen in ein Drittland oder an eine internationale Organisation. Deine Weisungen ergeben sich aus diesem AVV und aus der Konfiguration deiner Rabatte in der App. Die in diesem AVV beschriebenen Übermittlungen gelten als angewiesen. Weitere Weisungen kannst du uns per E-Mail an mail@datora.de geben.

Eine Ausnahme gilt, wenn uns das Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilen wir dir die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Halten wir eine Weisung für rechtswidrig, teilen wir dir das unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Wir dürfen die Ausführung aussetzen, bis du die Weisung bestätigst oder änderst. Können wir eine Weisung mit der App technisch nicht umsetzen, sagen wir dir das. Du kannst den AVV dann jederzeit widerrufen.

Unsere Pflichten

Wir verpflichten uns insbesondere zu Folgendem:

• Vertraulichkeit. Zugriff auf die Daten haben nur Mitarbeitende, die für Support und Entwicklung zuständig sind und sich zur Vertraulichkeit verpflichtet haben. Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit.
• Sicherheit. Wir treffen die unten beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
• Unterstützung bei Betroffenenrechten. Wir unterstützen dich bei Anfragen zu Auskunft, Berichtigung, Löschung und anderen Rechten nach Art. 12 bis 23 DSGVO. Erreicht uns eine solche Anfrage direkt, leiten wir sie unverzüglich an dich weiter und beantworten sie nicht selbst.
• Datenschutz-Webhooks. Wir bestätigen Shopify den Eingang jedes Datenschutz-Webhooks. Da wir keine Daten deiner Kundschaft speichern, gibt es bei uns nichts herauszugeben oder zu löschen.
• Unterstützung bei deinen Pflichten. Wir unterstützen dich im Rahmen von Art. 32 bis 36 DSGVO, etwa bei einer Datenschutz-Folgenabschätzung.
• Meldung von Verletzungen. Wir informieren dich unverzüglich, spätestens innerhalb von 24 Stunden, nachdem uns eine Verletzung des Schutzes deiner Daten bekannt wird. Die Meldung enthält die Informationen nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen. Fehlende Informationen reichen wir unverzüglich nach.
• Anfragen von Behörden. Verlangt eine Behörde Zugang zu deinen Daten, informieren wir dich, soweit uns das rechtlich erlaubt ist.
• Nachweise. Wir stellen dir alle Informationen zur Verfügung, die du für den Nachweis der Einhaltung von Art. 28 DSGVO brauchst.
• Verzeichnis. Wir führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

Deine Pflichten

Als Verantwortliche:r hast du folgende Pflichten:

• Rechtmäßigkeit. Du bist dafür verantwortlich, dass die Verarbeitung rechtmäßig ist. Dazu gehören eine Rechtsgrundlage, die Information deiner Kundschaft in deiner Datenschutzerklärung und die Erfüllung der Betroffenenrechte.
• Keine sensiblen Kunden-Tags. Du verwendest in Rabattbedingungen keine Kunden-Tags, die besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über Straftaten (Art. 10 DSGVO) beschreiben. Dazu zählen etwa Angaben zu Gesundheit, Religion oder Gewerkschaftszugehörigkeit.
• Berechtigung. Wer den AVV in der App akzeptiert, sichert zu, den Shop dabei vertreten zu dürfen.
• Mitteilung. Du informierst uns unverzüglich, wenn dir Fehler oder Unregelmäßigkeiten bei der Verarbeitung auffallen.

Technische und organisatorische Maßnahmen

Wir treffen Maßnahmen nach Art. 32 DSGVO, die dem Risiko angemessen sind. Das Risiko ist gering, weil wir nur wenige Datenarten verarbeiten und keine Daten deiner Kundschaft speichern. Zu den Maßnahmen gehören:

• Datenminimierung. Die App fragt nur ab, ob bestimmte Kunden-Tags vorhanden sind, und keine weiteren Kundendaten.
• Keine eigene Speicherung. Die Function-Logs liegen bei Shopify. Wir kopieren sie nicht in eigene Systeme. Die Inhalte der Datenschutz-Webhooks prüfen und bestätigen wir, speichern oder protokollieren sie aber nicht.
• Support ohne Kundendaten. In Tickets, Chats und E-Mails geben wir Auszüge aus Function-Logs nur so gekürzt weiter, dass sie keiner Person zugeordnet werden können. Rabattcodes und -token entfernen wir vorher.
• Zugriffskontrolle. Zugriff auf die Function-Logs gibt es nur über persönliche Shopify-Konten unserer Mitarbeitenden mit Zwei-Faktor-Authentifizierung. Scheidet jemand aus oder wechselt die Aufgabe, entziehen wir den Zugriff.
• Arbeitsgeräte. Unser Team arbeitet remote. Der Zugriff erfolgt nur von passwortgeschützten Geräten mit verschlüsseltem Datenträger und automatischer Bildschirmsperre.
• Verschlüsselung. Die Übertragung zwischen Shopify, der App und unseren Mitarbeitenden erfolgt verschlüsselt (TLS). Die Datenbank der App ist im Ruhezustand verschlüsselt.
• Prüfung der Webhooks. Die App prüft bei jedem Webhook die Signatur von Shopify und weist Anfragen ohne gültige Signatur ab.
• Automatischer Entzug. Wird der AVV widerrufen oder die App deinstalliert, wird der Zugriff entzogen. Wird der Zugriff ohne gültigen AVV gewährt, entzieht die App ihn automatisch wieder.
• Nachweis. Annahme, Widerruf und Deinstallation speichern wir mit Zeitstempel und Version des AVV.
• Überprüfung. Wir überprüfen die Wirksamkeit der Maßnahmen mindestens einmal im Jahr.

Wir können die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

Rolle von Shopify

Dein Shop läuft auf der Plattform von Shopify. Für die Daten deiner Kundschaft ist Shopify dein eigener Auftragsverarbeiter, auf Grundlage deines Vertrags mit Shopify und des Data Processing Addendum von Shopify. Shopify ist daher nicht unser Unterauftragsverarbeiter.

Shopify führt die Function der App aus und speichert die Function-Logs, unabhängig davon, ob du uns den Zugriff gewährst. Mit dem Zugriff „read_customers“ erlaubst du Shopify zweierlei: uns die Details dieser Function-Logs im Dev Dashboard von Shopify anzuzeigen und der App die Datenschutz-Webhooks zu senden. Die Function-Logs sehen wir bei Shopify ein, ohne sie in eigene Systeme zu übernehmen.

Shopify überträgt Daten innerhalb der Shopify-Gruppe, etwa nach Kanada, auf Grundlage seiner verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules). Für Übertragungen in andere Drittländer nutzt Shopify die Standardvertragsklauseln von 2021 (Beschluss 2021/914 der Europäischen Kommission). Einzelheiten regelt Anhang C, Abschnitt II.B.8 des Data Processing Addendum von Shopify in der Fassung vom 7. Juli 2026.

Unterauftragsverarbeiter und internationale Datenübertragungen

Du erteilst uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Bei Abschluss dieses AVV setzen wir einen Unterauftragsverarbeiter ein:

• Fly.io, Inc., 2261 Market Street, Suite 4990, San Francisco, CA 94114, USA. Hosting der App im Rechenzentrum Frankfurt am Main. Über die Server von Fly.io laufen die Datenschutz-Webhooks. Sie werden dort verarbeitet, aber nicht gespeichert.

Daten aus den Function-Logs erreichen die Systeme von Fly.io nicht. Die Datenbank der App enthält keine Daten deiner Kundschaft. Ihr Hosting ist deshalb nicht Teil dieses AVV.

Fly.io verarbeitet die Daten in Frankfurt am Main. Ein Zugriff aus den USA, etwa durch den Support von Fly.io, lässt sich nicht ausschließen. Fly.io ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Wo das nicht greift, gelten die Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag von Fly.io.

Über neue oder geänderte Unterauftragsverarbeiter informieren wir dich mindestens 30 Tage vorher per E-Mail oder in der App. Du kannst innerhalb dieser Frist widersprechen, indem du den AVV in der App widerrufst. Deine Rabatte funktionieren dann unverändert weiter. Widersprichst du nicht, gilt der Einsatz als genehmigt.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die nach diesem AVV für uns gelten (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haften wir dir gegenüber für deren Einhaltung.

Kontrollrechte

Du kannst prüfen, ob wir diesen AVV einhalten. Die Prüfung läuft in zwei Stufen ab.

Stufe 1: Auskünfte und Nachweise. Wir weisen dir die Einhaltung durch schriftliche Auskünfte und Nachweise nach, etwa durch eine Beschreibung unserer technischen und organisatorischen Maßnahmen. Das ist für dich kostenlos.

Stufe 2: Prüfung. Eine weitergehende Prüfung kannst du nur verlangen, wenn die Nachweise aus Stufe 1 nicht ausreichen, um die Einhaltung dieses AVV zu beurteilen, oder wenn konkrete Anhaltspunkte für einen Verstoß gegen diesen AVV oder die DSGVO bestehen. Den Anlass teilst du uns in Textform mit.

Du kannst uns selbst prüfen oder eine:n Prüfer:in beauftragen. Beauftragte Prüfer:innen müssen zur Vertraulichkeit verpflichtet sein und dürfen nicht mit uns im Wettbewerb stehen. Unser Team arbeitet remote, und wir speichern keine Daten deiner Kundschaft in eigenen Systemen. Die Prüfung findet deshalb per Videokonferenz mit Einsicht in Systeme und Unterlagen statt, soweit nicht eine Prüfung an unserem Sitz erforderlich ist.

Eine Prüfung kündigst du mindestens 30 Tage vorher an. Bei einer Verletzung des Schutzes deiner Daten genügt eine angemessen kürzere Frist. Die Prüfung findet während unserer Geschäftszeiten statt, dauert höchstens einen Arbeitstag und darf unseren Betrieb nicht unverhältnismäßig stören. Ohne neuen konkreten Anlass ist höchstens eine Prüfung pro Kalenderjahr möglich.

Kosten. Du trägst die Kosten der Prüfung, einschließlich der Kosten beauftragter Prüfer:innen. Unseren Aufwand für eine Prüfung nach Stufe 2 vergütest du nach Zeitaufwand mit 179 € pro Stunde zuzüglich Umsatzsteuer. Stellt die Prüfung einen nicht nur unerheblichen Verstoß von uns gegen diesen AVV oder die DSGVO fest, tragen wir unseren Aufwand selbst.

Die Rechte der Aufsichtsbehörden bleiben unberührt.

Löschung und Rückgabe

Nach dem Ende der Verarbeitung löschen wir alle Daten deiner Kundschaft oder geben sie dir zurück, je nachdem, was du wählst (Art. 28 Abs. 3 lit. g DSGVO). Da wir keine Daten aus den Function-Logs und den Datenschutz-Webhooks speichern, haben wir zu diesem Zeitpunkt nichts, was wir löschen oder zurückgeben könnten.

Neue Function-Logs sehen wir nach dem Ende nur noch ohne Details. Bereits erstellte Function-Logs löscht Shopify nach 30 Tagen. Datenschutz-Webhooks erhält die App nach dem Entzug des Zugriffs nicht mehr.

Die Nachweise über Annahme, Widerruf und Deinstallation enthalten keine Daten deiner Kundschaft. Wir bewahren sie für die Dauer des AVV und danach bis zum Ende des sechsten Kalenderjahres nach seinem Ende auf, auch nach einer Deinstallation der App. So können wir Abschluss und Ende dieses AVV belegen (Art. 5 Abs. 2 DSGVO, § 257 HGB). Danach löschen wir sie.

Laufzeit und Beendigung

Der AVV gilt ab deiner Zustimmung in der App. Du kannst ihn jederzeit in den Einstellungen der App mit „Withdraw agreement“ widerrufen. Er endet außerdem automatisch, wenn du die App deinstallierst. Deine Rabatte funktionieren nach dem Ende unverändert weiter.

Wir können den AVV mit einer Frist von 30 Tagen beenden, etwa wenn wir den optionalen Zugriff nicht mehr anbieten. Der Zugriff wird dann entzogen. Die Pflicht zur Vertraulichkeit gilt über das Ende des AVV hinaus.

Änderungen an diesem AVV

Wir können diesen AVV aktualisieren, etwa wenn sich die App, Shopify oder rechtliche Anforderungen ändern. Jede Fassung hat eine Versionsnummer. Bei wesentlichen Änderungen bitten wir dich in der App, der neuen Fassung zuzustimmen. Bis dahin gilt die Fassung, der du zugestimmt hast.

Haftung und Schlussbestimmungen

Für die Haftung zwischen dir und uns gelten die Regelungen unserer AGB, soweit Art. 82 DSGVO nichts anderes bestimmt. Die Rechte betroffener Personen nach Art. 82 DSGVO bleiben unberührt.

Innenausgleich. Nimmt eine betroffene Person dich oder uns in Anspruch, trägt im Verhältnis zwischen uns jede Seite den Schaden in dem Umfang, in dem sie für ihn verantwortlich ist (Art. 82 Abs. 5 DSGVO).

Freistellung. Du stellst uns von Ansprüchen Dritter frei, soweit sie darauf beruhen, dass du deine Pflichten aus diesem AVV oder der DSGVO verletzt hast. Das gilt insbesondere, wenn du sensible Kunden-Tags verwendest, für die Verarbeitung keine Rechtsgrundlage hast oder deine Kundschaft nicht informierst. Die Freistellung umfasst die angemessenen Kosten unserer Rechtsverteidigung. Sie gilt nicht, soweit wir den Anspruch selbst mitverursacht haben oder du die Pflichtverletzung nicht zu vertreten hast. Wir informieren dich unverzüglich, wenn ein solcher Anspruch gegen uns erhoben wird.

Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach unseren AGB. Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt der übrige AVV wirksam.

Kontakt

Solltest du Fragen zu diesem AVV oder zum Datenschutz haben oder uns Weisungen erteilen wollen, sende uns bitte eine E-Mail an mail@datora.de. Per Post erreichst du uns unter Datora GmbH & Co. KG, Efeuweg 8a, 33335 Gütersloh. Alle weiteren Angaben zu uns findest du in unserem Impressum.