Auftragsverarbeitungsvertrag

Otto Connect für Shopify und Shopware · Art. 28 DSGVO

zwischen dem Händler, der die App Otto Connect in seinem Shop installiert (nachfolgend „Verantwortlicher“), und der TrackHound GmbH, Winkler Straße 22e, 14193 Berlin, vertreten durch den Geschäftsführer Christopher Veres (nachfolgend „Auftragsverarbeiter“).

Dieser Vertrag wird mit der Installation der App Bestandteil des Nutzungsvertrags über Otto Connect. Er gilt in der jeweils unter dieser Adresse veröffentlichten Fassung; Änderungen kündigt der Auftragsverarbeiter dem Verantwortlichen mindestens 30 Tage vorher per E-Mail an.

§ 1 Gegenstand und Dauer

Gegenstand ist die Übertragung von Produkt-, Bestands-, Preis-, Bestell-, Versand- und Retourendaten zwischen dem Shop des Verantwortlichen (Shopify oder Shopware) und dem Marktplatz OTTO Market durch die App Otto Connect. Die Dauer entspricht der Laufzeit des Nutzungsvertrags; sie endet mit der Deinstallation der App.

§ 2 Art, Zweck und Umfang der Verarbeitung

Verarbeitet wird ausschließlich zum Zweck der Marktplatzanbindung: Anlage und Aktualisierung von Produkten bei OTTO Market, Abgleich von Beständen und Preisen, Import von OTTO-Bestellungen in den Shop, Bestätigung von Sendungen gegenüber OTTO, Übermittlung von Stornierungen und Anzeige von OTTO-Retouren. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

§ 3 Kategorien betroffener Personen und Daten

• Betroffene: Endkundinnen und Endkunden des Verantwortlichen auf OTTO Market; Mitarbeitende des Verantwortlichen, soweit sie die App bedienen.
• Daten der Endkundinnen und Endkunden: Name, Lieferadresse, von OTTO bereitgestellte Relay-E-Mail-Adresse, Bestellnummer, bestellte Artikel, Preise, Sendungsnummer, Retourenstatus.
• Daten des Verantwortlichen: Shop-Domain, Plattform-Zugriffstoken, OTTO-Zugangsdaten (verschlüsselt), Einstellungen, Zuordnungsregeln, Abgleichprotokolle.
• Produktdaten des Verantwortlichen (keine personenbezogenen Daten im Regelfall): Titel, Beschreibungen, EAN, Preise, Bestände, Bilder, Attribute, Herstellerangaben.

§ 4 Pflichten des Auftragsverarbeiters

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Konfiguration der App durch den Verantwortlichen gilt als Weisung.
2. Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
3. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe § 7). Der Auftragsverarbeiter passt sie dem Stand der Technik an.
4. Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32–36 DSGVO).
5. Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die im Shop hinterlegte E-Mail-Adresse.
6. Löschung: Nach Beendigung werden alle personenbezogenen Daten des Verantwortlichen gelöscht, spätestens mit der Löschmeldung der Plattform (bei Shopify 48 Stunden nach der Deinstallation). Abgleichprotokolle werden unabhängig davon nach 90 Tagen gelöscht. Es bestehen keine gesetzlichen Aufbewahrungspflichten des Auftragsverarbeiters für diese Daten.
7. Nachweis: Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang nach vorheriger Abstimmung.
8. Hinweis: Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in den Datenschutzhinweisen für Otto Connect unter „Hosting und Unterauftragsverarbeiter“ aufgeführten Unterauftragsverarbeiter (Hosting, Warteschlange, Fehlerüberwachung). Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Beabsichtigte Änderungen kündigt er mindestens 30 Tage vorher per E-Mail an; der Verantwortliche kann binnen dieser Frist aus wichtigem Grund widersprechen und den Nutzungsvertrag außerordentlich kündigen.

Die Otto (GmbH & Co KG), Hamburg, ist nicht Unterauftragsverarbeiter, sondern Empfänger der Daten auf Grundlage des Marktplatzvertrags zwischen dem Verantwortlichen und OTTO Market. Die Shop-Plattform (Shopify International Ltd. oder shopware AG) ist Vertragspartner des Verantwortlichen; ihre Verarbeitung richtet sich nach deren Verträgen.

§ 6 Ort der Verarbeitung und Drittlandübermittlung

Die Verarbeitung erfolgt auf Servern der Hetzner Online GmbH in Nürnberg (Deutschland). Soweit ein Unterauftragsverarbeiter mit Sitz in den USA Zugriff auf Daten erhalten kann, sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) vereinbart; ergänzend wird auf eine Zertifizierung nach dem EU-US Data Privacy Framework gestützt, soweit vorhanden.

§ 7 Technische und organisatorische Maßnahmen

• Verschlüsselung: OTTO-Zugangsdaten werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt nur in der Laufzeitumgebung, nicht in der Datenbank. Alle Verbindungen (Shop-Plattform, OTTO Market API, Browser) sind TLS-verschlüsselt.
• Zugriffskontrolle: Zugriff auf Produktionssysteme nur durch die Geschäftsführung mit Zwei-Faktor-Authentifizierung; kein Zugriff Dritter. Die App authentifiziert jede Anfrage über die Sitzungstoken der Shop-Plattform.
• Mandantentrennung: Alle Daten sind der Shop-Domain zugeordnet; Abfragen sind je Shop isoliert.
• Datenminimierung: Bestelldaten werden in den Shop übertragen und in der App nur als Kennungen und Status vorgehalten; Protokolle werden nach 90 Tagen gelöscht.
• Verfügbarkeit: Betrieb in Nürnberg, tägliche Server-Snapshots durch den Hosting-Anbieter und tägliche Datenbanksicherungen, Überwachung der Verfügbarkeit und Fehlerüberwachung.
• Löschkonzept: Vollständige Löschung aller Shop-Daten bei Deinstallation über die Löschmeldung der Plattform (Shopify: shop/redact); manuelle Löschung auf Anfrage.

§ 8 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich. Er stellt sicher, dass er die Daten seiner Endkundinnen und Endkunden an OTTO Market und an die App übermitteln darf, und hält die Nutzungsbedingungen seiner Shop-Plattform und von OTTO Market ein.

§ 9 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und dem Nutzungsvertrag. Es gilt deutsches Recht. Gerichtsstand ist Berlin, soweit der Verantwortliche Kaufmann ist. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Kontakt für Datenschutzfragen: TrackHound GmbH, Winkler Straße 22e, 14193 Berlin, chris@trackhound.co.

Stand: September 2026