Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Stand: 27. Juli 2026  |  Version: 1.1  |  Anbieter: KYTH. Systems UG (haftungsbeschränkt)

Änderungs-Hinweis 27.07.2026: Die angegebene Aufbewahrungsfrist für verschlüsselte Backups war zu kurz beziffert. Tatsächlich laufen die stündlichen Datenbank-Abzüge erst nach 30 Tagen aus — gebunden an die Objektsperre (WORM) des Backup-Speichers, die ein früheres Löschen technisch ausschließt und vor Manipulation schützt. Korrigiert in § 10 sowie in TOMs und Datenschutzerklärung.

Änderungs-Hinweis 13.05.2026: Sub-Processor-Wechsel Resend (USA) → INWX (Berlin) für KARL-System-E-Mails. Vertragstext unverändert, Sub-Processor-Liste in der Anlage aktualisiert (Version 1.1).

Präambel

Der Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO) betreibt einen Online-Shop auf der Plattform Shopify und nutzt zur Abwicklung des Versandprozesses die Software-as-a-Service-Anwendung „KYTH.Karl — Shipping Intelligence" (nachfolgend „die App" oder „KARL"), bereitgestellt vom Auftragsverarbeiter. Bei der Erbringung dieser Dienstleistung verarbeitet der Auftragsverarbeiter personenbezogene Daten von Endkunden des Auftraggebers (insbesondere Versandempfänger) in dessen Auftrag und im Sinne des Art. 4 Nr. 8 DSGVO.

Dieser Vertrag konkretisiert die Verpflichtungen der Parteien zum Datenschutz, die sich aus der Inanspruchnahme der Dienstleistung gemäß den Nutzungsbedingungen und der zugehörigen Datenschutzerklärung ergeben. Er gilt für alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiter oder Beauftragte des Auftragsverarbeiters mit personenbezogenen Daten des Auftraggebers in Berührung kommen können.

Vertragsparteien

§ 1 Gegenstand und Dauer des Auftrags

1. Gegenstand: Der Auftragsverarbeiter erbringt für den Auftraggeber die in der Leistungsbeschreibung der App KYTH.Karl definierten Dienste, insbesondere die Erstellung von Versandetiketten bei den vom Auftraggeber konfigurierten Carriern, die Sendungsverfolgung, das Retourenmanagement, die Buchung von Carrier-Abholungen, die Erstellung von Zoll- und Versanddokumenten sowie die Übermittlung transaktionaler Benachrichtigungen an die vom Auftraggeber benannten Endkunden. Eine vollständige Funktionsbeschreibung ist Bestandteil der Nutzungsbedingungen.
2. Dauer: Dieser Vertrag wird mit der Installation der App und Annahme durch den Auftraggeber wirksam und gilt für die gesamte Dauer der Nutzung des Hauptvertrags (Software-as-a-Service-Vertrag gemäß Nutzungsbedingungen). Er endet automatisch mit Beendigung des Hauptvertrags, jedoch frühestens mit der vollständigen Löschung aller personenbezogenen Daten gemäß § 10.
3. Geltungsbereich: Der Vertrag gilt für alle Tätigkeiten, die der Auftragsverarbeiter im Rahmen der Erbringung der App-Dienste durchführt und bei denen personenbezogene Daten von Endkunden des Auftraggebers verarbeitet werden.

§ 2 Konkretisierung des Auftragsinhalts

1. Art und Zweck der Verarbeitung: Die Verarbeitung erfolgt ausschließlich zur Erfüllung der zwischen den Parteien geschlossenen Hauptvertrag (Software-as-a-Service- Versanddienstleistung). Konkrete Verarbeitungszwecke:
   • Erstellung und Übermittlung von Versandetiketten an den jeweiligen Carrier (DHL Paket, DHL Express, FedEx, UPS, DPD, Österreichische Post, Deutsche Post Internetmarke);
   • Berechnung von Versandkosten und Außengebiet-Zuschlägen (EAS, ODA, RAS, Insel);
   • Routing-Entscheidungen (günstigster Tarif, Carrier-Priorität, Checkout-Methode);
   • Sendungsverfolgung und automatische Synchronisation der Fulfillment-Status mit Shopify;
   • Erstellung von Lieferscheinen, Retourenscheinen und Proforma-Rechnungen für Zollzwecke;
   • Abwicklung von Retouren, einschließlich öffentliches Self-Service-Retourenportal;
   • Versand transaktionaler Benachrichtigungen an Endkunden (Versandbestätigung, Retouren-Einladung) im Auftrag und Namen des Auftraggebers;
   • Audit-Trail und Nachweisführung gemäß handelsrechtlicher Aufbewahrungspflichten und zur Beweissicherung gegenüber Carriern.
2. Art der Daten: Eine vollständige Aufstellung der verarbeiteten personenbezogenen Daten ist als Anlage 3 Bestandteil dieses Vertrags.
3. Kategorien betroffener Personen: Endkunden des Auftraggebers (insbesondere Versandempfänger), gegebenenfalls Mitarbeiter des Auftraggebers (App-Nutzer), sowie ggf. Personen, deren Daten in Rücksendebezügen enthalten sind. Eine Aufstellung ist ebenfalls als Anlage 3 beigefügt.
4. Ort der Verarbeitung: Die Verarbeitung erfolgt primär auf Servern in einem Rechenzentrum in Berlin, Deutschland (IONOS SE). Übermittlungen an Carrier-APIs können je nach Sitz des Carriers auch in Drittländer (USA für FedEx und UPS) erfolgen, abgesichert durch das EU-US Data Privacy Framework und Standardvertragsklauseln (SCCs).

§ 3 Technisch-organisatorische Maßnahmen (TOMs)

1. Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technisch- organisatorischen Maßnahmen zur Sicherheit der Verarbeitung. Die Maßnahmen sind in der beigefügten Anlage 2 — Technisch-organisatorische Maßnahmen detailliert beschrieben und werden gegenüber dem Auftraggeber zugesichert.
2. Die TOMs werden regelmäßig (mindestens jährlich oder anlassbezogen) auf ihre Wirksamkeit überprüft und an den Stand der Technik angepasst. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt. Die jeweils aktuelle Fassung ist unter https://karl.kyth.systems/toms abrufbar.
3. Eine Verringerung der TOMs unter das in der Anlage zugesicherte Niveau ist unzulässig. Erweiterungen und Verbesserungen sind jederzeit zulässig und bedürfen keiner Zustimmung des Auftraggebers.

§ 4 Berichtigung, Einschränkung und Löschung von Daten

1. Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der Daten nur auf dokumentierte Weisung des Auftraggebers ein. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter (z. B. mit einem Auskunfts- oder Löschersuchen), wird das Anliegen unverzüglich an den Auftraggeber weitergeleitet, sofern eine Zuordnung zu einem Auftraggeber möglich ist.
2. Soweit vom Leistungsumfang umfasst, sind im Verantwortungsbereich des Auftraggebers liegende Pflichten zur Beantwortung von Anträgen betroffener Personen vom Auftragsverarbeiter nach Weisung des Auftraggebers zu unterstützen. Konkret implementiert KARL die folgenden Shopify-GDPR-Webhooks gemäß Shopify-Spezifikation:
   • customers/data_request — automatisierter Datenexport eines Endkunden;
   • customers/redact — automatisierte Löschung der Endkunden-PII;
   • shop/redact — automatisierte Vollständig-Löschung aller Shop-Daten nach Deinstallation (innerhalb von 48 Stunden nach Webhook-Eingang).
3. Erfolgt nach Deinstallation kein shop/redact-Webhook von Shopify, wird ein Fallback-Cleanup nach maximal 7 Tagen automatisch ausgeführt (Cron-Job jobs.py im täglichen Lauf).

§ 5 Qualitätssicherung und sonstige Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter hat zusätzlich zur Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
   • Schriftliche Bestellung eines Datenschutzbeauftragten: Aufgrund der Größe des Unternehmens (KYTH. Systems UG, weniger als 20 Personen mit ständiger Verarbeitung personenbezogener Daten) besteht keine Pflicht zur Bestellung eines DSB nach § 38 BDSG. Datenschutzanfragen werden zentral durch die Geschäftsführung beantwortet. Kontakt: datenschutz@kyth.systems.
   • Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO: Sämtliche Mitarbeiter und Subunternehmer, die mit personenbezogenen Daten in Berührung kommen, sind schriftlich zur Vertraulichkeit verpflichtet (Verschwiegenheitsverpflichtung). Bei Beendigung des Beschäftigungsverhältnisses besteht die Verpflichtung fort.
   • Verzeichnis von Verarbeitungstätigkeiten: Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO. KARL implementiert zusätzlich ein anwendungsinternes Audit-Log (Tabelle audit_log) für sämtliche DSGVO-relevanten Aktionen (shop_redact, customers_redact, data_request, Sub-Processor-Änderungen).
   • Mitwirkung bei Datenschutz-Folgenabschätzung: Sollte der Auftraggeber zur Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO verpflichtet sein, unterstützt der Auftragsverarbeiter ihn dabei in angemessenem Umfang und stellt die hierfür notwendigen Informationen bereit.
2. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde im Sinne von Art. 58 DSGVO, soweit sich diese auf die Auftragsverarbeitung beziehen.
3. Der Auftragsverarbeiter teilt dem Auftraggeber den für ihn zuständigen Datenschutz- Beauftragten oder die zuständige Aufsichtsbehörde auf Anfrage mit. Zuständige Aufsichts- behörde des Auftragsverarbeiters: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

§ 6 Unterauftragsverhältnisse

1. Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter („Sub-Processoren") zur Erbringung der vertraglichen Leistungen einsetzen. Die zum Zeitpunkt des Vertragsschlusses beauftragten Sub-Processoren sind in Anlage 1 aufgeführt. Der Auftraggeber stimmt diesen Sub-Processoren ausdrücklich zu.
2. Allgemeine schriftliche Zustimmung zu Änderungen (Art. 28 Abs. 2 Satz 2 DSGVO): Der Auftraggeber erteilt mit Annahme dieses Vertrags die allgemeine Zustimmung zur Heranziehung weiterer oder zum Austausch der bestehenden Sub-Processoren, jedoch unter folgenden Bedingungen:
   • Die jeweils aktuelle Sub-Processor-Liste ist unter https://karl.kyth.systems/sub-processors abrufbar. Geplante Änderungen werden dort mit einer Vorlauffrist von mindestens 30 Tagen vor Wirksamwerden in einem Abschnitt „Geplante Änderungen" veröffentlicht. Auftraggeber sind angehalten, diese Seite regelmäßig zu konsultieren oder den maschinenlesbaren JSON-Feed unter /api/sub-processors.json (versioniert) abzurufen.
   • Bei wesentlichen Änderungen (insbesondere Hinzunahme eines Sub-Processors in einem Drittland ohne Angemessenheitsbeschluss oder Wechsel des Hosting- Anbieters) erfolgt zusätzlich eine E-Mail-Benachrichtigung an die im Onboarding hinterlegte Kontaktadresse des Auftraggebers.
   • Der Auftraggeber hat das Recht, der Änderung innerhalb von 30 Tagen ab Veröffentlichung aus wichtigem datenschutzrechtlichem Grund schriftlich (auch per E-Mail an datenschutz@kyth.systems) zu widersprechen. Widerspricht der Auftraggeber, ist der Auftragsverarbeiter berechtigt, den Hauptvertrag mit angemessener Frist zu kündigen, sofern die Erbringung der Leistung ohne den beanstandeten Sub-Processor nicht möglich ist.
   • Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt.
3. Pflichten gegenüber Sub-Processoren: Der Auftragsverarbeiter stellt sicher, dass jeder Sub-Processor die in diesem Vertrag und in Art. 28 Abs. 4 DSGVO festgelegten Pflichten in gleicher Weise erfüllt. Insbesondere wird mit jedem Sub-Processor ein eigener Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO mit Standardvertragsklauseln geschlossen, soweit nicht selbst vom Sub-Processor ein gleichwertiges Niveau zugesichert wird.
4. Drittlandtransfers: Bei Sub-Processoren mit Sitz oder Verarbeitungsorten außerhalb der EU/EWR werden Datentransfers ausschließlich auf Grundlage zulässiger Mechanismen nach Kapitel V DSGVO (insbesondere Standardvertragsklauseln 2021/914/EU oder Angemessenheits- beschluss) durchgeführt. Eine Aufstellung der Drittlandtransfers ist Anlage 1 zu entnehmen.
5. Keine Sub-Processoren: Nicht als Unterauftragsverhältnisse im Sinne dieses § 6 gelten Tätigkeiten, die in untergeordnetem Maße eine Verarbeitung personenbezogener Daten ermöglichen, ohne dass die Hauptleistung der Datenverarbeitung beim Dienstleister liegt (z. B. Telekommunikationsleistungen, Postdienste, Reinigungsdienste, ausschließlich CDN/DNS-Dienstleister ohne Reverse-Proxy oder Inhaltsverarbeitung).

§ 7 Kontrollrechte des Auftraggebers

1. Der Auftraggeber hat das Recht, sich von der Einhaltung der getroffenen TOMs vor Beginn der Verarbeitung sowie regelmäßig in angemessenen Abständen zu überzeugen (Art. 28 Abs. 3 lit. h DSGVO). Die Kontrolle kann erfolgen durch:
   • Anforderung und Prüfung der dokumentierten TOMs (jeweils unter https://karl.kyth.systems/toms abrufbar);
   • Anforderung von Zertifikaten, Prüfberichten oder Berichten Dritter (z. B. ISO 27001, SOC 2, sofern vorhanden);
   • Selbstauskünfte des Auftragsverarbeiters auf konkretes schriftliches Ersuchen;
   • nach vorheriger Abstimmung und mit angemessener Vorlauffrist (mindestens 30 Tage) eine Vor-Ort-Inspektion zu üblichen Geschäftszeiten, durch den Auftraggeber selbst oder durch einen vom Auftraggeber benannten unabhängigen Sachverständigen, der nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht.
2. Der Auftragsverarbeiter ist verpflichtet, dem Auftraggeber alle erforderlichen Auskünfte zu erteilen und die Einhaltung der vereinbarten Pflichten nachzuweisen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).
3. Die Kosten für eine Vor-Ort-Inspektion trägt der Auftraggeber, sofern keine wesentlichen Verstöße festgestellt werden. Aufwand des Auftragsverarbeiters über zwei Personen-Tage pro Kalenderjahr hinaus wird zu marktüblichen Sätzen abgerechnet.

§ 8 Mitteilung bei Verletzung des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Hierzu zählen unter anderem:
   • die Sicherstellung eines angemessenen Schutzniveaus durch TOMs;
   • die Pflicht, Verletzungen des Schutzes personenbezogener Daten unverzüglich an den Auftraggeber zu melden;
   • die Pflicht, den Auftraggeber bei der Erfüllung seiner Auskunfts- und Meldepflichten zu unterstützen;
   • die Bereitstellung der für die Datenschutz-Folgenabschätzung notwendigen Informationen.
2. Meldefristen: Eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft (Art. 33 DSGVO), wird vom Auftragsverarbeiter unverzüglich nach Kenntniserlangung, in jedem Fall innerhalb von 24 Stunden an den Auftraggeber gemeldet. Die Meldung enthält:
   1. eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datenkategorien und Datensätze;
   2. den Namen und die Kontaktdaten der für weitere Auskünfte zuständigen Stelle;
   3. eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
   4. eine Beschreibung der vom Auftragsverarbeiter ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und ggf. zur Abmilderung möglicher nachteiliger Auswirkungen.
   Die Meldung erfolgt schriftlich an die im Onboarding hinterlegte Kontakt-E-Mail-Adresse des Auftraggebers, ergänzend per Hinweis im Intranet/Admin-Bereich der App.
3. Eine Veröffentlichung gegenüber Dritten oder gegenüber Aufsichtsbehörden (Art. 33 Abs. 1 DSGVO) erfolgt durch den Auftraggeber. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erstellung und Übermittlung der Meldung.

§ 9 Weisungsbefugnis des Auftraggebers

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen sind regelmäßig in diesem Auftragsverarbeitungsvertrag, den Nutzungsbedingungen und der Datenschutzerklärung dokumentiert. Mündliche Weisungen sind nachträglich schriftlich (auch per E-Mail) zu bestätigen.
3. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt. Er ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder abgeändert wird.

§ 10 Löschung und Rückgabe von personenbezogenen Daten

1. Kopien oder Duplikate der personenbezogenen Daten werden ohne ausdrückliches Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind technisch notwendige Kopien zur Sicherstellung des laufenden Betriebs (insbesondere automatisierte verschlüsselte Backups, siehe TOMs).
2. Nach Beendigung des Auftrags hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten personenbezogenen Daten und etwaige Datenträger sowie alle Verarbeitungs- und Nutzungsergebnisse, die sich auf den Auftrag beziehen, zu löschen oder — auf Verlangen des Auftraggebers, sofern technisch möglich — zurückzugeben.
3. Konkret implementiert KARL die folgenden Löschmechanismen:
   • Automatische Löschung aller Shop- und Endkunden-PII binnen 48 Stunden nach Eingang des Shopify-shop/redact-Webhooks (Vollständig-Löschung);
   • Automatische Löschung der Endkunden-PII einer einzelnen Bestellung binnen 24 Stunden nach Eingang des customers/redact-Webhooks;
   • Fallback-Vollständig-Löschung nach 7 Tagen ohne shop/redact-Webhook (automatischer Cron-Job);
   • Verschlüsselte Backups laufen über die rollierende Retention aus: wal-g-Basis-Backups nach rund 7 Tagen (wal-g delete retain FULL 7), die stündlichen GPG-verschlüsselten pg_dump-Abzüge nach 30 Tagen. Die längere Frist ist an die Objektsperre (WORM, Modus GOVERNANCE) des Backup-Speichers gebunden, die ein vorzeitiges Löschen technisch ausschließt und damit vor Manipulation und Ransomware schützt;
   • Konkrete tabellenspezifische Aufbewahrungsfristen sind in der Datenschutzerklärung, Abschnitt 12, dokumentiert.
4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

§ 11 Haftung und Schlussbestimmungen

1. Es gelten die Haftungsregelungen des Hauptvertrags (Nutzungsbedingungen § 5). Bezüglich Schadensersatzansprüchen nach Art. 82 DSGVO haften die Parteien nach den Vorgaben der DSGVO im Außenverhältnis als Gesamtschuldner; im Innenverhältnis verteilen sie die Haftung gemäß ihrer jeweiligen Verantwortlichkeit.
2. Auf diesen Vertrag findet das Recht der Bundesrepublik Deutschland Anwendung. Bei einer etwaigen Drittlandverarbeitung gilt die DSGVO unmittelbar.
3. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so wird hierdurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen Regelung tritt eine wirksame, die dem Sinn und Zweck der unwirksamen Bestimmung möglichst nahekommt.
4. Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform; das Schriftformerfordernis kann nur in schriftlicher Form abbedungen werden. Die elektronische Form (Textform per E-Mail) ist hierzu nicht ausreichend.
5. Im Falle von Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen zwischen den Parteien (insbesondere Nutzungsbedingungen) gehen die Regelungen dieses Vertrags vor, soweit der Datenschutz betroffen ist.

Anlage 1 — Liste der Unterauftragsverarbeiter

Stand: 13. Mai 2026. Die jeweils aktuelle Fassung ist unter https://karl.kyth.systems/sub-processors abrufbar. Änderungen werden gemäß § 6 Abs. 2 mit 30-Tage-Vorlauffrist mitgeteilt.

Anlage 2 — Technisch-organisatorische Maßnahmen (TOMs)

Die vollständige TOMs-Dokumentation gemäß Art. 32 DSGVO ist Bestandteil dieses Vertrags und unter https://karl.kyth.systems/toms einzusehen. Ein Auszug der wichtigsten Maßnahmen:

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verschlüsselung at-rest: AES-256-GCM für sämtliche Empfänger-PII, Carrier-API-Keys, OAuth-Tokens, Label-PDFs, API-Logs, Shop-Settings und Admin-Daten;
• Verschlüsselung in-transit: TLS 1.2+ für sämtliche externen Verbindungen; Let's Encrypt-Zertifikate via Traefik;
• Passwort-Hashing: PBKDF2-SHA256 mit 310.000 Iterationen für Admin-Passwörter;
• Multi-Tenant-Isolation: sämtliche Tabellen mit shop_id-Spalte; parametrisierte SQL-Abfragen mit shop_id-Filter; ContextVar pro Request;
• Zugriffskontrolle: Shopify OAuth 2.0 + Session Token (JWT HS256) + Admin-Login (E-Mail/Passwort); HMAC-Verifizierung auf allen Shopify-Callbacks;
• Container-Härtung: Application läuft als nicht-root-User in Docker.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• SQL-Injection-Schutz: parametrisierte Queries mit %s-Placeholder, Tabellen-Whitelist via _ALLOWED_TABLES;
• autocommit=False — atomare GDPR-Löschungen mit explizitem Commit;
• Audit-Trail: audit_log-Tabelle für sämtliche DSGVO-Aktionen (Art. 30 Abs. 2 DSGVO);
• HMAC-Signaturen auf allen Shopify-OAuth-Callbacks und Webhooks.

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Backup-Strategie: wal-g WAL-Streaming (libsodium-AES-256 + lz4-Kompression, S3); zusätzlich GPG-AES-256-verschlüsselte stündliche pg_dump-Snapshots auf IONOS S3;
• Retention: 7-Tage-Retention via wal-g delete retain FULL 7;
• Self-hosted Error-Tracking: GlitchTip auf eigener Infrastruktur; Integration mit Self-Hosted Sentry-SDK; Scrubbing aller PII vor Logging.

Belastungsfähigkeit und Wiederherstellbarkeit

• Sub-Sekunden Point-in-Time-Recovery (wal-g);
• tägliche Base-Backups um 03:00 UTC mit 7-Tage-Retention.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Regelmäßige interne Security-Audits (siehe docs/audit/ im Repository);
• Pen-Test-Status und Audit-Berichte werden auf konkretes schriftliches Ersuchen offengelegt.

Anlage 3 — Datenkategorien und Kategorien betroffener Personen

3.1 Kategorien betroffener Personen

• Endkunden des Auftraggebers (insbesondere Versandempfänger und in Retouren-Vorgängen genannte Personen);
• Mitarbeiter und Bevollmächtigte des Auftraggebers, die die App selbst nutzen (App-Login, Admin-Funktionen);
• Geschäftliche Korrespondenz-Partner des Auftraggebers (sofern in Versanddaten enthalten, z. B. abweichende Empfängeradressen).

3.2 Datenkategorien

3.3 Besondere Datenkategorien

Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (Gesundheitsdaten, biometrische Daten, religiöse Überzeugung etc.) ist im Rahmen dieser Auftragsverarbeitung nicht vorgesehen. Sollte der Auftraggeber solche Daten dennoch in den App-Workflow einbringen (z. B. durch entsprechende Bestellnotizen), geschieht dies außerhalb dieses Vertragsumfangs und auf Risiko des Auftraggebers.