Auftragsverarbeitungsvertrag

Stand: 13. November 2026

zwischen dem Händler (Verantwortlicher, „Auftraggeber"), wie im Händlerkonto bezeichnet,

und David Hojczyk Softwareentwicklung, Westermannstr. 49, 44388 Dortmund (Auftragsverarbeiter, „Cyberslide").

§ 1 Gegenstand und Dauer

1. Cyberslide erbringt für den Auftraggeber Leistungen nach den Händler-AGB, insbesondere die Zuordnung von Bestellungen zu Klicks und exklusiven Gutscheincodes über die Shopify-App, einen Server-Postback oder den Bestell-Pixel (§ 5 Händler-AGB). Dabei verarbeitet Cyberslide personenbezogene Daten im Auftrag des Auftraggebers.
2. Dieser Vertrag gilt für die Dauer des Händlervertrags, soweit das Tracking über die Shopify-App, den Postback oder den Bestell-Pixel genutzt wird, und danach bis zur Löschung bzw. Rückgabe der Daten nach § 9.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck: Erkennen, ob eine Bestellung im Shop des Auftraggebers auf einen Klick auf Cyberslide oder einen exklusiven Cyberslide-Gutscheincode zurückgeht. Speicherung der zugeordneten Bestellungen. Berücksichtigung von Stornierungen und Erstattungen. Anzeige im Händlerportal und Abrechnung.
2. Art der Verarbeitung: Empfangen (Webhooks, API-Abruf, Postback, Bestell-Pixel), Abgleichen, Speichern, Anzeigen, Löschen. Beim Bestell-Pixel ruft der Browser des Kunden auf der Bestellbestätigungsseite eine Adresse von Cyberslide auf; dabei fallen technisch IP-Adresse und Browserkennung an, die nur in den Server-Logfiles (höchstens 14 Tage) gespeichert werden.
3. Kategorien betroffener Personen: Kunden des Auftraggebers, die im Shop bestellt haben.
4. Kategorien von Daten:
   • gespeichert, nur bei zugeordneten Bestellungen: Bestellnummer bzw. Bestell-ID, Bestellwert (Netto-Warenwert, ggf. Brutto), Währung, Datum und Uhrzeit, eingelöster Gutscheincode, Click-ID, Landingpage-URL bzw. Verweis-URL mit Tracking-Parametern, Erstattungs- und Stornierungsbeträge mit Datum.
   • nur flüchtig empfangen, nicht gespeichert: Shopify übermittelt in Webhooks und API-Antworten technisch bedingt weitere Bestelldaten, u. a. Name, E-Mail-Adresse, Anschrift und Telefonnummer des Kunden. Cyberslide wertet diese Felder nicht aus, speichert sie nicht und schreibt sie nicht in Logdateien. Nicht zugeordnete Bestellungen werden sofort nach dem Abgleich verworfen. Soweit möglich, fordert Cyberslide von Shopify nur Felder ohne Kundendaten an.
   • Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.
5. Eigene Verantwortlichkeit: Soweit Cyberslide die gespeicherten Daten zur Berechnung, Abrechnung und zum Nachweis der eigenen Vergütung gegenüber dem Auftraggeber sowie zur Erfüllung steuerlicher Aufbewahrungspflichten nutzt, handelt Cyberslide als eigener Verantwortlicher (Art. 6 Abs. 1 lit. b, c und f DSGVO). Diese Nutzung beschränkt sich auf die in Abs. 4 genannten gespeicherten Daten.
6. Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nur nach § 6.

§ 3 Weisungen

1. Cyberslide verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, Cyberslide ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt Cyberslide dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich abschließend aus den Händler-AGB, diesem Vertrag und den Einstellungen des Auftraggebers im Händlerportal bzw. in der Shopify-App. Weitere Weisungen erteilt der Auftraggeber in Textform an kontakt@cyberslide.de.
3. Cyberslide informiert den Auftraggeber unverzüglich, wenn eine Weisung nach Auffassung von Cyberslide gegen Datenschutzrecht verstößt, und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Pflichten von Cyberslide

1. Cyberslide verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Cyberslide trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Cyberslide darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
3. Cyberslide unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).
4. Cyberslide meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
5. Cyberslide benennt dem Auftraggeber eine Kontaktstelle für Datenschutzfragen: kontakt@cyberslide.de.
6. Cyberslide führt ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Bei Vertragsschluss sind die in Anlage 2 genannten Unterauftragsverarbeiter genehmigt.
2. Cyberslide informiert den Auftraggeber mindestens 14 Tage vorher in Textform über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei das Tracking über Shopify-App bzw. Postback beenden. Der übrige Händlervertrag bleibt bestehen.
3. Cyberslide verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO).
4. Keine Unterauftragsverhältnisse sind Nebenleistungen wie Telekommunikation, Post- und Transportdienste oder Wartung, bei denen kein Zugriff auf die Daten besteht.

§ 6 Übermittlung in Drittländer

Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere bei einem Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework) oder bei EU-Standardvertragsklauseln. Die in Anlage 2 genannten Übermittlungen sind so abgesichert.

§ 7 Kontrollrechte

1. Cyberslide weist dem Auftraggeber auf Anfrage die Einhaltung der Pflichten aus diesem Vertrag nach, insbesondere durch eine Selbstauskunft, die aktuelle Fassung der TOMs und Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate wie ISO 27001).
2. Der Auftraggeber kann nach rechtzeitiger Anmeldung, in der Regel mit mindestens 14 Tagen Vorlauf, während der Geschäftszeiten und ohne Störung des Betriebs Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, höchstens einmal pro Jahr, außer bei konkretem Anlass. Die Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft. Cyberslide kann für Kontrollen vor Ort eine angemessene Vergütung des Aufwands verlangen.

§ 8 Rechte betroffener Personen

Wendet sich eine betroffene Person direkt an Cyberslide, leitet Cyberslide die Anfrage unverzüglich an den Auftraggeber weiter. Über die Shopify-Webhooks customers/data_request und customers/redact eingehende Anfragen beantwortet bzw. erfüllt Cyberslide automatisch: Cyberslide stellt dem Auftraggeber die zu einer Bestellung gespeicherten Daten bereit bzw. löscht sie, soweit keine Aufbewahrungspflicht nach § 2 Abs. 5 besteht.

§ 9 Löschung und Rückgabe

1. Nach Ende der Auftragsverarbeitung löscht Cyberslide die im Auftrag verarbeiteten Daten, sofern keine Aufbewahrungspflicht besteht. Wird die Shopify-App deinstalliert, löscht Cyberslide die Daten spätestens nach Eingang des Webhooks shop/redact, in der Regel 48 Stunden nach der Deinstallation.
2. Auf Wunsch stellt Cyberslide dem Auftraggeber vor der Löschung einen Export im Format CSV oder JSON bereit.
3. Daten, die Cyberslide nach § 2 Abs. 5 als eigener Verantwortlicher für die Abrechnung aufbewahren muss (z. B. Bestellnummer, Bestellwert, Datum als Bestandteil einer Rechnung), bewahrt Cyberslide bis zum Ende der gesetzlichen Aufbewahrungsfrist auf und löscht sie danach.
4. Backups werden im üblichen Turnus (derzeit 14 Tage) überschrieben.

§ 10 Haftung und Schlussbestimmungen

1. Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Händler-AGB.
2. Bei Widersprüchen zwischen diesem Vertrag und den Händler-AGB geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Gerichtsstand ist der in den Händler-AGB vereinbarte.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle

• Server bei Hetzner Online GmbH in Rechenzentren in Deutschland, zertifiziert nach ISO/IEC 27001. Zutritt nur über das Zutrittskontrollsystem des Rechenzentrums (Hetzner-TOMs).
• Cyberslide betreibt keine eigenen Serverräume.

Zugangskontrolle

• Datenbank, Suche, Redis und interne Dienste sind nicht aus dem Internet erreichbar; öffentlich erreichbar ist nur der nginx-Webserver (HTTPS).
• SSH-Zugang nur mit Schlüssel, keine Passwort-Anmeldung, kein Root-Login.
• Admin-Bereich der Anwendung nur für berechtigte Benutzer (is_admin), Passwörter als Hash (bcrypt/argon2). Administratoren melden sich über Microsoft Entra ID (Single Sign-on mit Mehrfaktor-Authentifizierung) oder mit Passkey bzw. zweitem Faktor (TOTP) an; Händlerkonten können Passkeys und einen zweiten Faktor nutzen.
• Konten bei Dienstleistern (Hetzner, AWS, Stripe, Lexware, Shopify Partner) mit Zwei-Faktor-Authentifizierung.

Zugriffskontrolle

• Rollen: Administrator, Händler (sieht nur eigene Daten), System.
• Händler sehen im Händlerportal nur Daten zu ihren eigenen Shops (Mandantentrennung in der Anwendung).
• Zugangsdaten und API-Schlüssel nur in Umgebungsvariablen (.env), nicht im Quellcode. Zugriffstoken der Shopify-App verschlüsselt gespeichert.
• Datenbank (PostgreSQL), Suchindex (Meilisearch) und Redis laufen in einem internen Docker-Netzwerk ohne öffentliche Ports. Meilisearch ist mit einem Schlüssel geschützt.

Trennungskontrolle

• Getrennte Systeme für Entwicklung bzw. Test (dev.cyberslide.de, eigene Datenbank) und Produktion.
• Bestelldaten werden logisch pro Händler getrennt gespeichert.

Pseudonymisierung und Datenminimierung

• Nur Bestellungen mit Cyberslide-Bezug werden gespeichert, ohne Namen, Anschriften oder E-Mail-Adressen der Endkunden.
• Klicks werden mit zufälliger Click-ID gespeichert; die IP-Adresse verschlüsselt und nur 6 Monate (Abrechnungsnachweis), danach nur ein gesalzener Hash bis 12 Monate, danach vollständig anonymisiert.
• Webhook-Payloads werden nicht vollständig geloggt.

2. Integrität

Weitergabekontrolle

• Alle Verbindungen sind per TLS verschlüsselt (HTTPS über nginx, SMTP mit TLS zu AWS SES).
• Shopify-Webhooks werden per HMAC-Signatur geprüft. Postbacks werden mit einem händlerspezifischen API-Schlüssel (Bearer-Token) authentifiziert; der Bestell-Pixel nutzt einen öffentlichen Schlüssel und kann Bestellungen nur als „offen“ melden.
• Datenexporte nur über das authentifizierte Händlerportal.

Eingabekontrolle

• Protokollierung sicherheitsrelevanter Ereignisse (Anmeldungen, fehlgeschlagene Anmeldungen, Änderungen an Zugangsfaktoren) mit automatischer Löschung nach Ablauf der Aufbewahrungsfrist.
• Importläufe (Feeds) und Abrechnungsläufe werden protokolliert.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Datenbanksicherung (pg_dump) mit 14 Tagen Aufbewahrung, verschlüsselte Kopie auf einen getrennten Speicher (Hetzner Storage Box, Deutschland). Monatlicher Wiederherstellungstest.
• Schutz vor Überlastung und Angriffen durch Rate-Limits im Webserver (nginx) und in der Anwendung.
• Überwachung der Erreichbarkeit (Healthcheck) und Fehlerbenachrichtigung per E-Mail.
• Container-Neustart bei Ausfall (Docker restart-Richtlinien). Redundante Stromversorgung und Netzanbindung im Rechenzentrum.
• Regelmäßige Sicherheitsupdates von Betriebssystem, Containern und Abhängigkeiten (Composer, npm).

4. Verfahren zur regelmäßigen Überprüfung

• Überprüfung dieser Maßnahmen mindestens einmal jährlich und nach wesentlichen Änderungen.
• Datenschutzgerechte Voreinstellungen (Art. 25 DSGVO): Speicherung nur zugeordneter Bestellungen, automatische Löschung nach Fristen.
• Verpflichtung aller Beschäftigten auf Vertraulichkeit. Verfahren zur Meldung von Datenschutzverletzungen.
• Auswahl von Dienstleistern nach Datenschutzkriterien. Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern.

Anlage 2 – Unterauftragsverarbeiter