Vereinbarung zur Auftragsverarbeitung

1. Parteien und Geltung

Verantwortlicher ist der Shopify-Händler, der Cirk installiert und nutzt. Auftragsverarbeiter ist Sadeq Rezai (Einzelunternehmen), handelnd unter Cirk, Bahnhofstr. 2, 83043 Bad Aibling, Deutschland. Diese Vereinbarung ist Bestandteil der Nutzungsbedingungen und gilt mit Installation und Nutzung von Cirk als abgeschlossen.

2. Gegenstand, Zweck und Dauer

Cirk verarbeitet personenbezogene Daten ausschließlich, um im Auftrag des Händlers Reparatur-, Reklamations- und Gewährleistungsfälle zu erfassen, zu prüfen, zu kommunizieren und zu dokumentieren. Die Verarbeitung dauert grundsätzlich für die Dauer der App-Nutzung und endet nach Deinstallation und Abschluss der vereinbarten Löschprozesse.

3. Datenarten und betroffene Personen

Verarbeitet werden können Namen, E-Mail-Adressen, Bestellreferenzen, Produkt- und Seriennummern, Fehlerbeschreibungen, Bildanhänge, Nachrichten sowie Status- und Bearbeitungsdaten. Betroffen sind insbesondere Kunden, Interessenten und Kontaktpersonen des Händlers.

4. Weisungen und Pflichten des Händlers

Cirk verarbeitet Daten nur auf dokumentierte Weisung des Händlers, soweit keine gesetzliche Pflicht entgegensteht. Die Nutzung der App und ihre Konfiguration gelten als Weisung. Der Händler stellt die Rechtmäßigkeit der Verarbeitung sicher, erfüllt Informationspflichten und übermittelt nur erforderliche Daten.

5. Pflichten von Cirk

• Verarbeitung ausschließlich für die vereinbarten Zwecke,
• Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit,
• Unterstützung bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Behördenanfragen im angemessenen Umfang,
• unverzügliche Information bei erkannten Verletzungen des Schutzes personenbezogener Daten und
• Nachweis der Einhaltung dieser Vereinbarung.

6. Technische und organisatorische Maßnahmen

Cirk setzt insbesondere verschlüsselte Übertragung, verschlüsselte Infrastruktur- und Dateispeicherung, Shopify-Authentifizierung, mandantenbezogene Zugriffskontrollen, private Dateispeicherung, Zugriffsprotokollierung, Datensicherungen, Aufbewahrungs- und Löschregeln sowie ein Verfahren zur Behandlung von Sicherheitsvorfällen ein. Die Maßnahmen werden risikoorientiert überprüft und weiterentwickelt.

7. Unterauftragsverarbeiter

Für den Betrieb werden Shopify (Plattform und Authentifizierung), Render (Anwendung und Datenbank), Cloudflare (Dateispeicherung) und Resend (E-Mail-Versand) eingesetzt. Cirk verpflichtet Unterauftragsverarbeiter datenschutzrechtlich angemessen. Soweit Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, werden die nach der DSGVO erforderlichen Garantien eingesetzt.

8. Löschung, Rückgabe und Nachweise

Nach Ende der Verarbeitung löscht Cirk personenbezogene Daten nach den dokumentierten Löschfristen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Händler kann angemessene Nachweise zur Einhaltung dieser Vereinbarung anfordern. Prüfungen sind unter Wahrung der Sicherheit und Vertraulichkeit sowie mit angemessener Vorankündigung möglich.

9. Kontakt und Vorrang

Datenschutzanfragen sind an [email protected] zu richten. Bei Widersprüchen zu den allgemeinen Nutzungsbedingungen geht diese Vereinbarung hinsichtlich der Auftragsverarbeitung vor.