# Auftragsverarbeitungsvertrag > Der Shoprocket-Auftragsverarbeitungsvertrag zu den Pflichten der Datenverarbeitung nach der DSGVO. Zuletzt aktualisiert am 26. April 2026 Dies ist eine Übersetzung zu deiner Orientierung. Die [englische Fassung](https://v3.shoprocket.io/gdpr.md) ist die rechtlich verbindliche Fassung und hat bei Abweichungen Vorrang. Dieser Shoprocket-Auftragsverarbeitungsvertrag („Zusatzvereinbarung") ergänzt die Allgemeinen Geschäftsbedingungen von Shoprocket („Vereinbarung") zwischen dir („Du") und **Shoprocket LTD** (Handelsregisternr. 12656598, eingetragen in England & Wales, 20-22 Wenlock Road, London, NG 17U). Wenn du eine separate SLA mit Shoprocket hast, bezieht sich „Vereinbarung" auf diese SLA. Diese Zusatzvereinbarung unterliegt der Vereinbarung und ist in sie einbezogen. Jeder hier nicht definierte großgeschriebene Begriff hat die Bedeutung, die ihm in der Vereinbarung gegeben wird. --- ## Definitionen - **Kontoeinstellungen**: Konfigurationen für dein Shoprocket-Konto (einschließlich Sicherheit), mit denen du steuerst, wie Shoprocket personenbezogene Daten verarbeitet. - **Geschäftszwecke**: Die in der Vereinbarung definierten Dienste. - **Kundenkontodaten**: Personenbezogene Daten über deine Beziehung zu Shoprocket (z. B. autorisierte Kontakte, Rechnungsdaten) sowie Informationen, die Shoprocket zur Kontoverwaltung, Identitätsprüfung oder aus rechtlichen Anforderungen erhebt. - **Kundennutzungsdaten**: Nutzungsdaten, die Shoprocket im Zusammenhang mit deiner Nutzung der Dienste verarbeitet (z. B. Protokolle, Leistungskennzahlen, Daten zur Missbrauchsprävention). - **Datenschutzgesetzgebung**: Umfasst den CCPA, die EU-DSGVO, das Schweizer Bundesgesetz über den Datenschutz, die UK-DSGVO, den DPA 2018 und die PECR 2003, jeweils in der aktuellen Fassung. Begriffe (z. B. „Verantwortlicher", „Auftragsverarbeiter") folgen der EU-DSGVO. - **EWR**: Europäischer Wirtschaftsraum. - **EU-SCC**: Die Standardvertragsklauseln gemäß Beschluss 2021/914 der Kommission. - **Übermittlung aus dem EWR**: Eine Übermittlung personenbezogener Daten (nach der EU-DSGVO) aus dem EWR heraus ohne Angemessenheitsbeschluss nach Artikel 45 EU-DSGVO. - **Übermittlung aus dem Vereinigten Königreich**: Eine Übermittlung personenbezogener Daten (nach der UK-DSGVO) aus dem Vereinigten Königreich heraus ohne Angemessenheitsbeschluss des britischen Staatssekretärs. - **Dienstleister**: Wie im CCPA definiert. - **Dienste**: Die Werkzeuge von Shoprocket zum Erstellen/Verwalten von Online-Shops („Shoprocket-Shop"), zur Verwaltung von Produkten, Zahlungen, Versand, Marketing sowie alle Werkzeuge oder Dienste, die Shoprocket anbieten kann. - **Shoprocket-Konto**: Dein Konto, das Zugang zu den Diensten gewährt, einschließlich der Kontoeinstellungen, unter [https://www.shoprocket.io](https://www.shoprocket.io). - **Shoprocket-Datenschutzerklärung**: Der Hinweis unter [https://shoprocket.io/privacy](https://shoprocket.io/privacy) in der jeweils aktuellen Fassung. - **Shoprocket-Shop**: Deine von Shoprocket gehostete oder ermöglichte E-Commerce-Website. - **Besondere Kategorien personenbezogener Daten**: Wie in den Artikeln 4(13), 4(14), 4(15) und 9 der EU-/UK-DSGVO (soweit anwendbar) definiert. - **Standardvertragsklauseln (SCC)**: Die EU-SCC und UK-SCC, je nach Zusammenhang. - **UK-SCC**: Die EU-SCC in der durch den IDTA-Zusatz des britischen ICO geänderten Fassung. - **Wir/Uns/Unser**: Shoprocket LTD (einschließlich „Shoprocket" und „Shoprocket.io"). - **Du/Dein**: Die in der Vereinbarung genannte Vertragspartei. --- ## Weisungen des Kunden Diese Zusatzvereinbarung und die Vereinbarung (einschließlich der Anweisungen in deinen Kontoeinstellungen) bilden die **dokumentierten Weisungen** dafür, wie Shoprocket personenbezogene Daten verarbeitet. Shoprocket verarbeitet personenbezogene Daten nur auf Weisung. Zusätzliche Weisungen außerhalb dieser Bedingungen erfordern eine vorherige schriftliche Vereinbarung (und können zusätzliche Gebühren nach sich ziehen). Shoprocket kann diese Zusatzvereinbarung und die Vereinbarung kündigen, wenn deine Weisungen gegen die Datenschutzgesetzgebung verstoßen oder von vereinbarten Weisungen abweichen. Angesichts der Art der Verarbeitung kann Shoprocket in der Regel nicht beurteilen, ob deine Weisungen gegen das Gesetz verstoßen; bildet es sich eine solche Meinung, wird es dich informieren, und du kannst die Weisungen ändern oder zurücknehmen. --- ## Datenverarbeitung 1. **Verarbeitung durch Shoprocket** - **Auftragsverarbeiter/Dienstleister**: Mit Ausnahme der Kundenkontodaten und Kundennutzungsdaten verarbeitet Shoprocket personenbezogene Daten (nach der EU-/UK-DSGVO) bzw. personenbezogene Informationen (nach dem CCPA) in deinem Auftrag. - **Eigenständiger Verantwortlicher**: Shoprocket ist Verantwortlicher für personenbezogene Daten, die direkt von Shop-Kunden erhoben werden, sowie für Kundenkontodaten oder Kundennutzungsdaten. 2. **Speicherung** - Personenbezogene Daten werden gespeichert auf: 1. AWS-Servern in Irland (oder anderen EWR-Regionen), 2. Hetzner-Servern in Nürnberg/Falkenstein (Deutschland). 3. **Umfang und Zweck** - Shoprocket verarbeitet personenbezogene Daten nur, soweit es für die von dir festgelegten Geschäftszwecke erforderlich ist (im Einklang mit den erworbenen Diensten) und in Übereinstimmung mit der Datenschutzgesetzgebung. - Ist Shoprocket gesetzlich zu einer abweichenden Verarbeitung verpflichtet, wird es dich benachrichtigen, sofern das Gesetz dies nicht verbietet. - Shoprocket befolgt deine schriftlichen Weisungen zur Änderung, Übertragung oder Löschung personenbezogener Daten oder zur Beendigung unbefugter Verarbeitung unverzüglich. - Shoprocket behandelt personenbezogene Daten vertraulich, sofern eine Offenlegung nicht genehmigt oder gesetzlich vorgeschrieben ist. - Shoprocket unterstützt dich bei der Erfüllung deiner Pflichten (z. B. Anfragen betroffener Personen, Datenschutz-Folgenabschätzungen) ohne zusätzliche Kosten. - Shoprocket benachrichtigt dich über Rechtsänderungen, die sich auf die Vereinbarung oder diese Zusatzvereinbarung auswirken könnten. 4. **Shoprocket als eigenständiger Verantwortlicher** - Bei Kundenkontodaten und Kundennutzungsdaten ist Shoprocket kein gemeinsam Verantwortlicher, sondern verarbeitet diese Daten zur Verwaltung seiner Beziehung zu dir, zur Verhinderung von Betrug/Sicherheitsvorfällen, zur Erfüllung rechtlicher Pflichten usw. gemäß der Shoprocket-Datenschutzerklärung. 5. **CCPA** - Mit Ausnahme der Kundenkontodaten und Kundennutzungsdaten ist Shoprocket dein Dienstleister im Sinne des CCPA; es wird solche personenbezogenen Informationen nicht „verkaufen" und nur zur Erbringung der Dienste oder wie anderweitig gesetzlich zulässig verwenden. 6. **Add-ons** - Du kannst Add-ons von Drittanbietern („Add-ons") nach gesonderten Endbenutzer-Lizenzvereinbarungen mit dem jeweiligen Herausgeber einbinden. Shoprocket übermittelt die erforderlichen personenbezogenen Daten an den Add-on-Herausgeber, ist aber nicht für deren Verarbeitung verantwortlich. Zu den aktuell von Shoprocket vermarkteten Add-ons gehören: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: Multichannel-Abwicklung und -Synchronisierung. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: Zahlungsintegrationen, die verschiedene Methoden/Währungen unterstützen. - **Zapier**: Automatisiert Datenübertragungen/Workflows zwischen Shoprocket und anderen Anwendungen. - Wenn Shoprocket und du SCC vereinbart haben, gilt deine Weisung zur Einbindung von Add-ons als Einwilligung in die Übermittlung personenbezogener Daten an diese Add-on-Herausgeber, soweit die SCC dies verlangen. 7. **Deine Verantwortlichkeiten** - Du bist der Verantwortliche für alle personenbezogenen Daten, die Shoprocket in deinem Auftrag erhebt oder verarbeitet. - Du bist dafür verantwortlich, Informations-/Einwilligungspflichten zu erfüllen und die Einhaltung der Datenschutzgesetzgebung sicherzustellen. --- ## Arten personenbezogener Daten und Verarbeitungszwecke - **Gegenstand**: Personenbezogene Daten, die du in die Dienste hochlädst, einschließlich deines Shoprocket-Kontos oder Shops. - **Dauer**: Von dir bestimmt (bis du dein Shoprocket-Abonnement oder die jeweiligen Integrationen aussetzt/kündigst). - **Zweck**: Die Dienste auf deine Weisung hin bereitzustellen (z. B. den Betrieb deines Shoprocket-Shops/-Kontos). - **Art der Verarbeitung**: Die E-Commerce-Plattform von Shoprocket (und etwaige Unterauftragsverarbeiter/Add-on-Herausgeber) kann personenbezogene Daten speichern oder verarbeiten. - **Arten personenbezogener Daten**: Daten, die du hochlädst (z. B. Kontaktdaten, Kundendaten, Transaktionsdaten). - **Betroffene Personen**: Du, deine Kunden, Mitarbeiter, Auftragnehmer, Vertreter, Lieferanten oder Anbieter. --- ## Sicherheit der Datenverarbeitung Shoprocket unterhält angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor unbefugter oder unrechtmäßiger Verarbeitung, versehentlichem Verlust oder Zerstörung, im Einklang mit **Artikel 32** der EU-/UK-DSGVO. Die Maßnahmen umfassen (soweit angemessen): - Pseudonymisierung/Verschlüsselung von Daten; - Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme; - Rechtzeitige Wiederherstellung der Datenverfügbarkeit nach Vorfällen; - Regelmäßige Prüfung, Bewertung und Evaluierung dieser Maßnahmen. ### Mitarbeiter von Shoprocket - Shoprocket stellt sicher, dass Mitarbeiter, Auftragnehmer und Vertreter, die personenbezogene Daten handhaben, geschult, zur Vertraulichkeit verpflichtet und sich ihrer Datenschutzpflichten voll bewusst sind. ### Sicherheit (erneut dargestellt) - Shoprocket aktualisiert laufend technische/organisatorische Schutzmaßnahmen zur Verhinderung unbefugter Verarbeitung, einschließlich Verschlüsselung, Systembelastbarkeit, Wiederherstellbarkeit und Wirksamkeitsprüfung. --- ## Verletzung des Schutzes personenbezogener Daten 1. **Benachrichtigung** - Shoprocket benachrichtigt dich innerhalb von **72 Stunden** (und ohne unangemessene Verzögerung), wenn es Kenntnis erlangt von: 1. Verlust/Beschädigung personenbezogener Daten; 2. jeder versehentlichen, unbefugten oder unrechtmäßigen Verarbeitung; 3. einer Verletzung des Schutzes personenbezogener Daten. 2. **Information** - Shoprocket liefert eine Beschreibung des Vorfalls, der betroffenen Datenkategorien/-mengen und der ergriffenen oder vorgeschlagenen Maßnahmen zur Abmilderung der Auswirkungen. 3. **Zusammenarbeit** - Shoprocket stimmt die Untersuchung mit dir ab und informiert Dritte nicht ohne deine schriftliche Einwilligung, es sei denn, dies ist gesetzlich vorgeschrieben. 4. **Kosten** - Shoprocket trägt die angemessenen Kosten für diese Pflichten, es sei denn, der Vorfall geht auf deine Weisungen, Fahrlässigkeit oder einen Verstoß zurück; in diesem Fall trägst du die angemessenen Kosten von Shoprocket (einschließlich professioneller Berater). --- ## Unterauftragsverarbeiter Shoprocket setzt derzeit diese **Unterauftragsverarbeiter** für Hosting/Datenverarbeitung, Infrastruktur-/Netzwerkdienste oder andere Servicefunktionen ein: | **Name** | **Beschreibung** | **Standort** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Abonnement-Reporting/-Analytik. | MA, USA | | **Amazon Web Services EMEA SARL** | Cloud-Hosting, Rechenleistung, Speicher. | Luxemburg, EU | | **Automattic, Inc. (Gravatar)** | Ermöglicht Nutzern, Profilbilder in Shoprocket-Konten hochzuladen. | CA, USA | | **Cloudflare, Inc.** | Netzwerksicherheit und Konnektivität. | CA, USA | | **Crisp IM SAS** | Live-Chat- und Kundenmessaging-App für den Nutzersupport. | Frankreich, EU | | **Facebook Technologies Ireland** | Facebook-Pixel für Conversions, Anzeigenoptimierung, Zielgruppenaufbau. | Irland, EU | | **Google Ireland Limited** | Google Analytics (Verhaltensanalyse), Adwords (Anzeigenplatzierung/Monetarisierung). | Irland, EU | | **GmbH** | Cloud-Hosting, Rechenleistung und Speicher. | Deutschland, EU | | **TPS Unlimited, Inc. (Taxjar)** | Steuerautomatisierung für EU-MwSt. & US-Umsatzsteuer in Shoprocket-Shops. | CA, USA | | **Twilio, Inc. (Sendgrid)** | Multichannel-Messaging (E-Mail, SMS, WhatsApp). | Irland, EU | | **Twitter, Inc.** | Twitter-Pixel für Conversion-Tracking und Kennzahlen zur Anzeigenleistung. | CA, USA | Du ermächtigst Shoprocket, die oben genannten Unterauftragsverarbeiter einzusetzen, und erteilst Shoprocket die allgemeine Genehmigung, weitere hinzuzufügen („Genehmigte Unterauftragsverarbeiter"). Shoprocket benachrichtigt dich mindestens **30 Tage** im Voraus (über Website, E-Mail oder Konto-Benachrichtigung), bevor ein neuer Unterauftragsverarbeiter eingesetzt wird. Du kannst innerhalb von **10 Tagen** nach der Benachrichtigung schriftlich aus berechtigten Datenschutzgründen widersprechen. Ist ein wesentlicher Unterauftragsverarbeiter beteiligt und wird innerhalb von **90 Tagen** keine Alternative gefunden, kannst du die betreffenden Dienste einstellen oder kündigen (wobei du weiterhin fällige Gebühren zahlst). Widersprichst du nicht innerhalb von 10 Tagen, gilt der neue Unterauftragsverarbeiter als genehmigt. Setzt Shoprocket einen Unterauftragsverarbeiter ein, so: - beschränkt es den Zugriff auf das, was für die Bereitstellung oder Verbesserung der Dienste erforderlich ist; - legt es ihm dieselben Datenschutzpflichten auf; - haftet es weiterhin für dessen Einhaltung. Gelten SCC, zählt deine Genehmigung als vorherige schriftliche Einwilligung nach Klausel 9(c) oder den entsprechenden UK-SCC-Klauseln. Shoprocket kann nicht wesentliche kommerzielle Details schwärzen, bevor es Unterverarbeitungsverträge mit dir teilt. --- ## Übermittlungen personenbezogener Daten Shoprocket kann personenbezogene Daten zur Erbringung der Dienste außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz übermitteln (z. B. einige Add-on-Herausgeber/Unterauftragsverarbeiter in den USA). Wo kein Angemessenheitsbeschluss gilt, stellt Shoprocket geeignete Garantien gemäß der Datenschutzgesetzgebung sicher. - **Übermittlungen aus dem EWR**: Abgedeckt durch die EU-SCC (Modul Eins für Shoprocket als Verantwortlichen, Modul Zwei für Shoprocket als Auftragsverarbeiter). Bestimmte Klauseln (z. B. das Beitrittsrecht nach Klausel 7) finden keine Anwendung; Streitigkeiten unterliegen irischem Recht und irischen Gerichten. - **Übermittlungen aus dem Vereinigten Königreich**: Abgedeckt durch den IDTA-Zusatz. - **Übermittlungen aus der Schweiz**: Ähnlich wie die EU-SCC, mit Anpassungen für das Schweizer DSG. - **Ergänzende Maßnahmen**: - Zum Datum dieser Zusatzvereinbarung liegen keine förmlichen behördlichen Datenzugriffsersuchen vor. - Wird Shoprocket zur Offenlegung deiner Daten gezwungen, wird es dich benachrichtigen (sofern dies nicht verboten ist) und dir helfen, Schutzmaßnahmen zu erwirken. - Shoprocket und du erörtern regelmäßig, ob die Gesetze im Empfängerland gleichwertigen Schutz bieten oder zusätzliche Maßnahmen erfordern. - Verliert ein Übermittlungsmechanismus seine Gültigkeit oder setzt eine Aufsichtsbehörde ihn aus, kann Shoprocket alternative Vereinbarungen umsetzen oder Übermittlungen aussetzen. Genehmigst du einen Unterauftragsverarbeiter/ein Add-on außerhalb des EWR, ermächtigst du Shoprocket auch, SCC in deinem Namen zu unterzeichnen. --- ## Beschwerden, Anfragen betroffener Personen und Rechte Dritter Shoprocket gibt dir unverzüglich alle Informationen oder Unterstützung, die du benötigst, um: 1. Rechte betroffener Personen zu erfüllen (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch usw.). 2. Informations-/Prüfungsmitteilungen von Aufsichtsbehörden zu beantworten oder zu erfüllen. Shoprocket benachrichtigt dich unverzüglich, wenn es Beschwerden oder Mitteilungen zur Verarbeitung erhält, und innerhalb von **14 Tagen**, wenn es eine Anfrage einer betroffenen Person erhält. Shoprocket unterstützt bei der Beantwortung und legt personenbezogene Daten Dritten gegenüber nur offen, wenn das Gesetz oder deine Weisungen es verlangen. --- ## Laufzeit und Beendigung Diese Zusatzvereinbarung bleibt wirksam, solange die Vereinbarung besteht oder Shoprocket damit zusammenhängende personenbezogene Daten behält. Bestimmungen, die aus Datenschutzgründen fortgelten müssen, bleiben in Kraft. Jeder wesentliche Verstoß gegen diesen AVV ist ein wesentlicher Verstoß gegen die Vereinbarung und berechtigt dich zur sofortigen Kündigung ohne weitere Haftung. Verhindern Änderungen der Datenschutzgesetzgebung, dass eine Partei ihre Pflichten erfüllen kann, können die Parteien die Verarbeitung aussetzen, bis die Konformität erreicht ist. Wird dies nicht innerhalb von **90 Tagen** gelöst, kann jede Partei mit sofortiger Wirkung per Mitteilung kündigen. --- ## Rückgabe und Vernichtung von Daten - **Auf Anfrage** stellt Shoprocket dir (oder einem von dir schriftlich benannten Dritten) Kopien personenbezogener Daten oder Zugang dazu in einem von dir angegebenen Format bereit (soweit angemessen). - **Bei Beendigung** gibt Shoprocket personenbezogene Daten zurück oder löscht sie, es sei denn, eine fortgesetzte Speicherung ist gesetzlich vorgeschrieben. Ist die Löschung undurchführbar oder rechtswidrig, sperrt Shoprocket die weitere Verarbeitung und schützt die Daten weiterhin. - **SCC-Bestätigungen**: Gelten SCC, bestätigt Shoprocket auf deine schriftliche Anfrage die Löschung gemäß Klausel 8.1(d) der EU-SCC (oder UK-SCC). - Verlangt ein Gesetz oder eine Vorschrift von Shoprocket, bestimmte Daten aufzubewahren, teilt es dir die Grundlage und den Zeitplan mit und löscht sie, sobald sie nicht mehr erforderlich sind. - Shoprocket bestätigt die Löschung innerhalb von **30 Tagen** nach deren Abschluss. --- ## Aufzeichnungen Shoprocket führt detaillierte, genaue und aktuelle Aufzeichnungen über alle Verarbeitungen personenbezogener Daten (z. B. Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Verarbeitungszwecke, internationale Übermittlungen). Diese Aufzeichnungen müssen dir ermöglichen, die Einhaltung durch Shoprocket zu überprüfen. Kopien werden auf Anfrage bereitgestellt. --- ## Zusicherungen Shoprocket sichert zu, dass: 1. Seine Mitarbeiter, Unterauftragnehmer oder Vertreter mit Zugriff auf personenbezogene Daten zuverlässig, vertrauenswürdig und angemessen geschult sind. 2. Es personenbezogene Daten in voller Übereinstimmung mit der Datenschutzgesetzgebung und verwandten Gesetzen verarbeitet. 3. Es keinen Grund zu der Annahme hat, dass das Gesetz die Erbringung der vereinbarten Dienste verhindert. 4. Es unter Berücksichtigung von Technologie und Kosten angemessene Maßnahmen ergreift, um unbefugte Verarbeitung oder versehentliche Schäden/Verluste zu verhindern, und eine dem Risiko und der Sensibilität der Daten angemessene Sicherheit gewährleistet. --- ## Abschluss und Änderungen Mit der Unterzeichnung der Vereinbarung stimmst du dieser Zusatzvereinbarung zu und bist an sie gebunden. Shoprocket darf diese Zusatzvereinbarung mit **30 Tagen schriftlicher Vorankündigung** aktualisieren, wenn dies aus rechtlichen oder regulatorischen Gründen erforderlich ist. Widersprichst du und wird keine gemeinsame Lösung erreicht, kannst du die betroffenen Dienste innerhalb dieser Frist durch schriftliche Mitteilung kündigen (wobei du angefallene Gebühren schuldest). Aus einer solchen Kündigung entstehen keine weiteren Ansprüche. ## Anhang A **Sicherheitsstandards von Shoprocket** (Hier nicht definierte großgeschriebene Begriffe haben die in der Zusatzvereinbarung zugewiesene Bedeutung.) Dieser Anhang beschreibt die technischen und organisatorischen Maßnahmen von Shoprocket, um: 1. personenbezogene Daten vor versehentlichem oder rechtswidrigem Verlust, Zugriff oder Offenlegung zu schützen; 2. vorhersehbare Sicherheitsrisiken zu erkennen und unbefugten Zugriff auf die Dienste (einschließlich deines Shoprocket-Kontos) zu verhindern; 3. Sicherheitsrisiken durch Risikobewertung und Tests zu minimieren. Shoprocket benennt einen oder mehrere Mitarbeiter, die diese Informationssicherheitspraktiken überwachen und zugehörige Anfragen beantworten. --- ## 1. Modell der geteilten Verantwortung Shoprocket ist eine **cloudbasierte SaaS**-Anwendung, gehostet von: - **Amazon Web Services (AWS)** in der Region eu-west-1 (Irland) - **Hetzner Online** in Falkenstein, Deutschland **AWS** betreibt die Hauptplattform von Shoprocket, die Infrastruktur und das Daten-Hosting. **Hetzner Online** stellt zusätzlichen dedizierten Serverplatz für Bilder, digitale Downloads, Protokolle und Rechnungen bereit. Nach diesem Modell: - verwaltet **Shoprocket** die Sicherheit auf Anwendungsebene (z. B. Benutzerzugriff, Anwendungs-Patches). - verwalten **AWS / Hetzner** die physische Sicherheit und die zugrunde liegende Cloud-Umgebung. Weitere Einzelheiten zur Sicherheit von AWS und Hetzner findest du in deren jeweiliger Dokumentation. --- ## 2. AWS- und Hetzner-Online-Server ### AWS Shoprocket hat AWS nach sorgfältiger Prüfung gemäß den Artikeln 28(3)(c) und 32 der UK-DSGVO ausgewählt. AWS ist nach zahlreichen Standards zertifiziert (z. B. SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) und stellt umfangreiche Compliance-Dokumentation bereit. Shoprocket konfiguriert AWS so, dass personenbezogene Daten nur in der EU/im EWR gespeichert werden. ### Hetzner Online Hetzner Online, zertifiziert nach DIN ISO/IEC 27001, stellt dedizierten Serverplatz für bestimmte Daten-Backups und Protokolle bereit. Die Rechenzentren von Hetzner Online in Nürnberg und Falkenstein werden von Dritten auditiert und zertifiziert und setzen ein Informationssicherheits-Managementsystem (ISMS) um. --- ## 3. Design, Integrität und Verfügbarkeit der Shoprocket-Anwendung - **Architektur**: Die mit einem JavaScript-Framework gebaute Shoprocket-Anwendung nutzt den Relational Database Service von Amazon (Amazon RDS) für MySQL. - **Hohe Leistung und Redundanz**: AWS übernimmt automatisch den Lastausgleich, und Shoprocket führt tägliche Backups auf Amazon S3. Backups werden für mehr Ausfallsicherheit in verschiedenen AWS-Regionen gespeichert. Zusätzlich werden Backups auf den dedizierten Servern von Hetzner Online gespeichert (mit RAID-1-Festplattensystemen). - **Sicherheit durch Design**: Shoprocket prüft regelmäßig auf bekannte Web-Schwachstellen (z. B. OWASP Top Ten) und setzt XSS-Schutz und Bereinigung um. Ein spezialisierter Dritter testet jährlich Code und Infrastruktur auf Schwachstellen, ergänzt durch einen Schwachstellenscan-Dienst eines Dritten. --- ## 4. Verschlüsselung - **Ruhende Daten**: Personenbezogene Daten bei AWS/Hetzner werden mit **AES-256** oder höher verschlüsselt. - **Schlüsselverwaltung**: Der AWS Key Management Service (KMS) stellt sicher, dass niemand (auch nicht AWS-Mitarbeiter) auf Klartextschlüssel zugreifen kann; Schlüssel werden jährlich rotiert. Hetzner setzt eine vollständige AES-256-Festplattenverschlüsselung plus verpflichtende Authentifizierung ein. - **Bei der Übertragung**: Alle externen Datenübertragungen nutzen **TLS 1.2+**. APIs und Weboberflächen erfordern HTTPS (keine unverschlüsselten Verbindungen). --- ## 5. Beschränkung der Serverstandorte auf den EWR/die EU Shoprocket speichert Daten **ausschließlich im EWR** (AWS in Irland, Hetzner in Deutschland), was Risiken im Zusammenhang mit Datenübermittlungen außerhalb des EWR minimiert (z. B. Einhaltung des Schrems-II-Urteils). --- ## 6. Verfügbarkeitszonen Die Front-End-/Back-End-Systeme von Shoprocket sind **redundant verteilt** über mehrere Verfügbarkeitszonen (sowohl bei AWS als auch bei Hetzner). Jede Zone verfügt über mehrere ISPs, Stromquellen und Hochgeschwindigkeitsverbindungen, was hohe Verfügbarkeit und optimale Leistung gewährleistet. --- ## 7. Angriffserkennung Shoprocket nutzt ein **Intrusion Detection System (IDS)**, um zu überwachen: - Protokolldateien auf ungewöhnliche Einträge, - Änderungen der Dateiintegrität, - Netzwerkverkehr (Spoofing, bekannte Exploits, Rootkits), - Portänderungen und - AWS-Kontoereignisse (z. B. Konfigurationsänderungen). Kritische Auffälligkeiten lösen automatische Schutzmaßnahmen aus. Das IDS unterstützt außerdem die Anforderungen von PCI DSS 3.0. --- ## 8. Protokollierung / Audit-Trail Shoprocket protokolliert: - Systemereignisse, - Fehler, - Benutzeraktivität, - Datenbank-Anmeldungen/-Anfragen, - sonstige sicherheitsrelevante Ereignisse. Mit **AWS CloudTrail** zeichnet Shoprocket alle Ereignisse in seinen Cloud-Umgebungen für Transparenz und Forensik auf. --- ## 9. Überwachung Shoprocket setzt mehrere **Überwachungswerkzeuge** ein, um Verfügbarkeit und Leistung sicherzustellen, und verfolgt: - **Verfügbarkeit**: Erreichbarkeit der Anwendung, Zustand von Backend/System; - **Ressourcen**: CPU, Netzwerkschnittstellen, Speichernutzung; - **Leistung**: Antwortzeiten von Anwendung/Datenbank; - **Sicherheit**: IDS-Status, Systemupdates, Fehler-/Zugriffsprotokolle. Die Mitarbeiter von Shoprocket verfolgen außerdem Sicherheitsupdates, Schwachstellenberichte und relevante Sicherheitsblogs (wie OWASP). --- ## 10. Sicherheitsaudits und Penetrationstests Shoprocket führt regelmäßig **interne und externe Sicherheitstests** durch. Externe Anbieter prüfen auf Schwachstellen, während interne Audits die Wirksamkeit technischer und organisatorischer Maßnahmen bewerten. --- ## 11. Änderungsmanagement Shoprocket unterhält versionskontrollierte **Repositories** für Codeänderungen, mit einer Staging-Umgebung, die die Produktion widerspiegelt. Änderungen werden vor der Bereitstellung getestet, sodass Zeit und Inhalt nachvollziehbar sind. --- ## 12. Zugriffskontrolle - **Need-to-know-Prinzip**: Nur Mitarbeiter, deren Rolle Systemzugriff erfordert, erhalten ihn. - **IAM-Systeme**: Die Zugriffskontrolle nutzt das Identitätsmanagement von AWS/Hetzner. - **Sicherheit**: Backend-Systeme sind nur über sichere, authentifizierte Verbindungen erreichbar. Eine sehr begrenzte Zahl von Mitarbeitern hat zu Diagnosezwecken direkten Zugriff auf Daten; solcher Zugriff wird protokolliert und überwacht. ## Anhang B **Grenzüberschreitende Übermittlungen** ## TEIL 1 - Übermittlungen aus dem EWR 1. **Anhang I.A der Standardvertragsklauseln (SCC)** - **Datenexporteur**: Du (gemäß der Vereinbarung). - Kontaktdaten: Wie in der Vereinbarung. - Rolle: Verantwortlicher. - **Modul Eins**: Der Datenimporteur ist Verantwortlicher (für Kundenkontodaten & Kundennutzungsdaten). - **Modul Zwei**: Der Datenimporteur ist Auftragsverarbeiter (für alle anderen personenbezogenen Daten). - Unterschrift/Datum: Mit dem Abschluss der Vereinbarung & des AVV gilt der Datenexporteur als zum Wirksamkeitsdatum als Unterzeichner der SCC. - **Datenimporteur**: Shoprocket. - Kontaktdaten: Wie in der Vereinbarung. - Unterschrift/Datum: Mit dem Abschluss der Vereinbarung & des AVV gilt der Datenimporteur als zum Wirksamkeitsdatum als Unterzeichner der SCC. 2. **Anhang I.B der SCC** - Betroffene Personen: Beschrieben in Klausel 4.6 der Zusatzvereinbarung. - Kategorien personenbezogener Daten: Beschrieben in Klausel 4.5 der Zusatzvereinbarung. - Keine besonderen Kategorien personenbezogener Daten zur Übermittlung vorgesehen. - Häufigkeit: Fortlaufend für die Dauer der Vereinbarung. - Art: Siehe Klausel 4.4 der Zusatzvereinbarung. - Zweck: Siehe Klausel 4.3 der Zusatzvereinbarung. - Speicherdauer: Dauer der Vereinbarung, sofern nicht anders angegeben. - Übermittlungen an Unterauftragsverarbeiter: Gegenstand, Art und Dauer gemäß Klausel 9 der Zusatzvereinbarung. 3. **Anhang I.C der SCC** - Zuständige Aufsichtsbehörde: Wie in Klausel 10(e) der Zusatzvereinbarung. - Die **Sicherheitsstandards von Shoprocket (Anhang A)** erfüllen die Anforderungen von Anhang II der SCC. 4. **Widerspruch** - Besteht ein Widerspruch zwischen den SCC und dem AVV oder der Vereinbarung, haben die SCC Vorrang. --- ## TEIL 2 - Übermittlungen aus dem Vereinigten Königreich 1. Der **IDTA-Zusatz** gilt für Übermittlungen aus dem Vereinigten Königreich, wirksam ab dem **21. März 2022**. 2. Begriffe, die in der Vereinbarung oder im AVV nicht definiert sind, folgen der Bedeutung in **Teil 2 von Anlage 2** (Zwingende Klauseln). ### Teil 1: Tabellen ### Tabelle 1 des IDTA-Zusatzes 1. **Tabelle 1** - **Datenexporteur**: Du (gemäß der Vereinbarung). - Kontaktdaten: Wie in der Vereinbarung. - Unterschrift/Datum: Mit dem Abschluss der Vereinbarung & der Zusatzvereinbarung gilt der Exporteur als zum Wirksamkeitsdatum als Unterzeichner des IDTA-Zusatzes. - **Datenimporteur**: Shoprocket. - Kontaktdaten: Wie in der Vereinbarung. - Unterschrift/Datum: Mit dem Abschluss der Vereinbarung & des AVV gilt der Importeur als zum Wirksamkeitsdatum als Unterzeichner des IDTA-Zusatzes. ### Tabelle 2 des IDTA-Zusatzes 1. **Tabelle 2** - **Genehmigte EU-SCC**: Die für diese Zusatzvereinbarung geltenden Klauseln/Module der Genehmigten EU-SCC. - Verwendete Module/Klauseln: - Modul 1 und Modul 2, Klausel 7 und Klausel 11 (Option) finden keine Anwendung, Klausel 9a ist eine allgemeine Genehmigung mit einer Benachrichtigungsfrist von 30 Tagen (Klausel 9.2 der Zusatzvereinbarung). - Keine Kombination personenbezogener Daten des Importeurs mit Daten des Exporteurs. ### Tabelle 3 des IDTA-Zusatzes 1. **Anhang I.A** - **Datenexporteur**: Du (Verantwortlicher). - **Datenimporteur**: Shoprocket (Verantwortlicher für Kundenkonto-/Kundennutzungsdaten; Auftragsverarbeiter für andere personenbezogene Daten). - Unterschrift/Datum: Gilt mit dem Abschluss der Vereinbarung & des AVV als unterzeichnet. 2. **Anhang I.B** - Betroffene Personen, Datenkategorien, Fehlen besonderer Kategorien personenbezogener Daten, fortlaufende Übermittlungen, Art/Zweck der Verarbeitung und Speicherdauer entsprechen den Klauseln 4.4, 4.3, 4.5, 4.6 der Zusatzvereinbarung. - Informationen zu Unterauftragsverarbeitern gemäß Klausel 9 der Zusatzvereinbarung. - Anhang III (Liste der Unterauftragsverarbeiter) findet keine Anwendung, da Shoprocket eine allgemeine Genehmigung nutzt. ### Tabelle 4 des IDTA-Zusatzes 1. Der Importeur kann diesen IDTA-Zusatz nach Klausel 26 dieses IDTA-Zusatzes beenden. ### Teil 2: Zwingende Klauseln 1. Jede Partei ist im Austausch gegen die Zustimmung der anderen Partei an diese Bedingungen des IDTA-Zusatzes gebunden, sodass betroffene Personen Rechte wie angegeben durchsetzen können. 2. Der Abschluss dieses IDTA-Zusatzes entspricht der Unterzeichnung der Genehmigten EU-SCC (einschließlich einer nach Anhang 1A/Klausel 7 erforderlichen Unterschrift). ### Auslegung 1. Begriffe aus den Genehmigten EU-SCC haben hier dieselbe Bedeutung; weitere relevante Begriffe (z. B. „Zusatz-EU-SCC", „Genehmigter Zusatz", „UK-Datenschutzgesetze") sind in diesem IDTA-Zusatz definiert. 2. Dieser IDTA-Zusatz ist im Einklang mit den UK-Datenschutzgesetzen auszulegen und muss „Geeignete Garantien" erfüllen. 3. Jede Änderung der Genehmigten EU-SCC, die nach ihnen oder dem Genehmigten Zusatz nicht zulässig ist, ist nichtig. Widersprechende Bestimmungen fallen auf die unveränderten SCC-Bedingungen zurück. 4. Besteht ein Widerspruch zu den UK-Datenschutzgesetzen, gelten diese. 5. Jede Mehrdeutigkeit wird so aufgelöst, dass sie bestmöglich mit den UK-Datenschutzgesetzen übereinstimmt. 6. Verweise auf Rechtsvorschriften schließen überarbeitete oder konsolidierte Fassungen ein. ### Rangfolge 1. Klausel 5 der Genehmigten EU-SCC besagt, dass sie anderen Vereinbarungen vorgehen, aber für Beschränkte Übermittlungen gilt die Rangfolge in Abschnitt 17 unten. 2. Bei Unvereinbarkeit oder Widerspruch mit den Genehmigten EU-SCC hat der Genehmigte Zusatz Vorrang, außer wo die SCC betroffenen Personen einen **besseren Schutz** bieten; in diesem Fall haben die SCC-Bedingungen Vorrang. 3. Nichts hierin berührt SCC, die die Parteien zur Einhaltung der EU-DSGVO verwenden. ### Einbeziehung und Änderungen der EU-SCC 1. Der IDTA-Zusatz bezieht die Genehmigten EU-SCC mit den nötigen Änderungen ein, damit sie für Übermittlungen mit UK-Bezug funktionieren, die Rangfolge nach Klausel 5 außer Kraft setzen und sicherstellen, dass sie **englischem Recht und englischen Gerichten** unterliegen (sofern nicht für Schottland oder Nordirland etwas anderes gewählt wird). 2. Wird keine bestimmte Alternative vereinbart, gilt Abschnitt 22. 3. Über das in Abschnitt 19 Erforderliche hinaus sind keine weiteren Änderungen der Genehmigten EU-SCC zulässig. 4. **Änderungen** der Zusatz-EU-SCC umfassen Klarstellungen zu Verweisen auf die UK-Datenschutzgesetze, den Ersatz von Verweisen auf die Verordnung (EU) 2016/679 durch „UK-Datenschutzgesetze", die Streichung von Verweisen auf die Verordnung (EU) 2018/1725, die Anpassung von Klausel 17/18 an englisches Recht/englische Gerichte usw. Fußnoten sind nicht Teil des IDTA, mit Ausnahme der Fußnoten 8, 9, 10, 11. ### Änderungen dieses IDTA 1. Die Parteien können die Klauseln 17 oder 18 ändern, um auf schottische oder nordirische Gerichte zu verweisen. 2. Die Parteien können das Tabellenformat auch nach gegenseitiger schriftlicher Vereinbarung anpassen, solange dasselbe Schutzniveau erhalten bleibt. 3. Das ICO kann von Zeit zu Zeit einen überarbeiteten Genehmigten Zusatz herausgeben, der diesen IDTA-Zusatz ab seinem Wirksamkeitsdatum automatisch ändert und möglicherweise eine Überprüfung durch die Parteien erfordert. 4. Erhöhen die Änderungen des ICO die Kosten oder das Risiko einer Partei wesentlich und unverhältnismäßig und ist keine Verringerung dieser Kosten/Risiken möglich, kann diese Partei diesen IDTA mit angemessener Frist gegenüber der anderen beenden, bevor der überarbeitete Zusatz in Kraft tritt. 5. Für Änderungen ist die Zustimmung keines Dritten erforderlich, aber Änderungen müssen den Bedingungen dieses IDTA-Zusatzes entsprechen. --- - HTML version: https://v3.shoprocket.io/de/dsgvo - Language: Deutsch (de) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)