Version 2026-08-12

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Händler, der die App PopupLift in seinem Shopify-Shop installiert hat — im Folgenden Verantwortlicher — und

Kyrill Pysarenko, Danziger Str. 76, 10405 Berlin, Deutschland E-Mail: privacy@popuplift.com — im Folgenden Auftragsverarbeiter.

Präambel: die zwei Rollen

Der Auftragsverarbeiter betreibt die Shopify-App PopupLift. Sie zeigt Besuchern des Shops Popups (Quiz, Glücksrad, Rubbellos), sammelt E-Mail-Adressen und gibt Rabattcodes aus.

Daraus folgen zwei getrennte Rollen, die dieser Vertrag unterscheidet:

• Auftragsverarbeitung für alles, was Shop-Besucher im Popup tun. Verantwortlicher ist der Händler. Nur darauf bezieht sich dieser Vertrag.
• Eigene Verantwortlichkeit des Auftragsverarbeiters für die Daten des Händlers selbst (Shop-Domain, Einstellungen, Nutzungszahlen zur Abrechnung, Support-Kommunikation). Dafür gilt dieser Vertrag nicht; es gilt die Datenschutzerklärung, abrufbar unter /datenschutz.

§ 1 Gegenstand, Art, Zweck und Dauer

Gegenstand: Betrieb der App PopupLift im Shop des Verantwortlichen.

Art und Zweck: Erfassung und Speicherung von Besucherangaben aus Popups, Ausgabe und Verwaltung von Rabattcodes, Zuordnung von Bestellungen zu Popups sowie — falls vom Verantwortlichen aktiviert — Übergabe von Anmeldungen an dessen Klaviyo-Konto.

Dauer: Der Vertrag läuft, solange die App im Shop des Verantwortlichen installiert ist. Er endet mit der Deinstallation.

Bei Deinstallation löscht der Auftragsverarbeiter die Zugangstoken sofort. 48 Stunden später übermittelt Shopify den Webhook shop/redact; damit wird der Datenbestand des Shops einschließlich Besucherdaten, Popups, Uploads und offener Aufträge gelöscht.

§ 2 Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen: Besucher des Online-Shops des Verantwortlichen.

Datenkategorien:

Herkunft, UTM-Parameter, Referrer und Gerätetyp der Besucher werden nicht ausgewertet; ein Besucherprofil darüber existiert beim Auftragsverarbeiter nicht. Fehlermeldungen des Storefront-Widgets können die Adresse der Seite enthalten, auf der der Fehler auftrat; sie dient allein der Fehlersuche. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet; welche Kategorien darüber hinaus ausgeschlossen sind, ist in der Datenschutzerklärung unter /datenschutz, Abschnitt 2.7, aufgeführt.

Der Verantwortliche gestaltet die Fragen seiner Popups selbst. Er stellt sicher, dass er dabei keine Daten erhebt, die besondere Kategorien nach Art. 9 DSGVO betreffen, sofern er hierfür nicht eine eigene Rechtsgrundlage geschaffen hat.

§ 3 Weisungsbindung (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung in ein Drittland —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als dokumentierte Weisung gelten die Einstellungen, die der Verantwortliche in der App vornimmt, sowie dieser Vertrag.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

Dauerweisung zum Lead-Bestand: Besucherprofile mit E-Mail-Adresse werden nicht nach Ablauf einer Frist gelöscht. Sie sind der Lead-Bestand des Verantwortlichen; ihre fristgebundene Löschung wäre eine Weisung, die der Verantwortliche nicht erteilt hat. Er kann jederzeit eine abweichende Weisung erteilen.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Der Auftragsverarbeiter beschäftigt derzeit kein Personal. Zugriff auf Produktionsdaten hat ausschließlich der Betreiber selbst, über zwei protokollierte Wege: die Anwendung, deren Anfragen im Server-Protokoll festgehalten werden, und die Konsole des Datenbankanbieters, die kontogebunden und anbieterseitig auditiert ist.

Setzt der Auftragsverarbeiter künftig Personal oder Dienstleister ein, so verpflichtet er diese vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

Der Auftragsverarbeiter ergreift die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Weiterentwicklungen bleiben zulässig, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4, Abs. 3 lit. d)

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, kündigt er dies 15 Tage vor Wirksamkeit per E-Mail an die im Shopify-Konto hinterlegte Adresse des Verantwortlichen sowie durch einen Hinweis im Verwaltungsbereich der App an. Der Verantwortliche kann binnen 10 Tagen ab Zugang widersprechen. Kommt keine Einigung zustande, kann er diesen Vertrag und damit die Nutzung der App beenden.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die ihn nach diesem Vertrag treffen, und haftet für deren Einhaltung.

Abgrenzung Klaviyo: Klaviyo ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Der Sync wird nur aktiv, wenn der Verantwortliche selbst einen Klaviyo-Zugang hinterlegt; der Vertrag über diese Übermittlung besteht zwischen dem Verantwortlichen und Klaviyo.

§ 7 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen auf Wahrnehmung der Rechte aus Art. 15 bis 22 DSGVO. Die Verarbeitung solcher Anträge ist über die drei Shopify-Compliance-Webhooks automatisiert:

Den erstellten Auskunftsdatensatz stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage unverzüglich, spätestens binnen 10 Tagen zur Verfügung, damit dieser die ihm gegenüber dem Betroffenen obliegende Frist wahren kann.

Jede Anfrage hinterlässt eine dauerhafte Nachweiszeile. Diese enthält keine Klartext-E-Mail-Adresse, sondern die Kunden-ID und einen SHA-256-Hash. Der Auskunftsdatensatz selbst enthält naturgemäß die Daten des Betroffenen; er wird 30 Tage nach Bearbeitung automatisch geleert.

§ 8 Unterstützung nach Art. 32 bis 36 und Meldung von Verletzungen (Art. 28 Abs. 3 lit. f)

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich, in der Regel binnen 24 Stunden ab Kenntnis, mit den Angaben, die dieser für seine Meldung nach Art. 33 DSGVO binnen 72 Stunden benötigt. Maßgeblich für den Fristbeginn ist die Kenntnis von der Verletzung, nicht das Verständnis ihrer Ursache.

Für Besucherdaten meldet der Verantwortliche an die Aufsichtsbehörde. Eine davon getrennte Meldepflicht des Auftragsverarbeiters gegenüber Shopify bleibt unberührt.

§ 9 Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g)

Nach Ende des Vertrags werden die personenbezogenen Daten gelöscht. Die Löschung erfolgt automatisch mit dem Webhook shop/redact, den Shopify 48 Stunden nach der Deinstallation übermittelt (§ 1).

Wünscht der Verantwortliche stattdessen die Rückgabe seiner Daten, fordert er sie vor der Deinstallation an; der Auftragsverarbeiter stellt sie in einem gängigen, maschinenlesbaren Format bereit. Nach Eintreffen des Webhooks ist eine Rückgabe technisch nicht mehr möglich.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Fristen im laufenden Betrieb:

Bewusst ohne Frist: Besucherprofile mit E-Mail-Adresse (Lead-Bestand des Verantwortlichen, siehe § 3) sowie das Zähl-Log der abgerechneten Mengen, das keinen Personenbezug enthält und aus Nachweisgründen unveränderlich geführt wird.

Werden Daten aus einer Sicherungskopie wiederhergestellt, wendet der Auftragsverarbeiter zwischenzeitlich eingegangene Löschanfragen erneut an.

§ 10 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei.

Als Nachweise stehen zur Verfügung: dieser Vertrag samt Anlagen, die Datenschutzerklärung unter /datenschutz, die Verträge mit den Unterauftragsverarbeitern und das Nachweisregister der bearbeiteten Betroffenenanfragen. Eine Zertifizierung nach Art. 42 DSGVO liegt nicht vor.

§ 11 Übermittlung in Drittländer

Datenbank und Anwendungsserver stehen in der Europäischen Union (Frankfurt am Main bzw. Amsterdam). Drittlandbezüge bestehen bei den in Anlage 1 genannten Empfängern: Shopify betreibt eine globale Plattform (Angemessenheitsbeschluss Kanada bzw. Standardvertragsklauseln); Supabase (Singapur) und Railway (USA) sind Gesellschaften außerhalb der EU mit Rechenzentren in der EU, für die Standardvertragsklauseln über die jeweiligen Auftragsverarbeitungsverträge gelten. Sentry speichert Fehler-Ereignisse in der EU (Frankfurt am Main); die Konto- und Organisationsdaten des Sentry-Kontos liegen beim Anbieter in den USA. Ein Zugriff von außerhalb der EU im Rahmen des Anbieter-Supports ist dabei nicht ausgeschlossen.

§ 12 Vertragsschluss, Form und Änderungen

Dieser Vertrag kommt zustande, indem der Verantwortliche ihm im Verwaltungsbereich der App ausdrücklich zustimmt. Die Zustimmung erfolgt in elektronischem Format und wahrt damit die Form des Art. 28 Abs. 9 DSGVO.

Der Auftragsverarbeiter protokolliert als Nachweis die Vertragsversion, den Zeitpunkt der Zustimmung und — soweit von Shopify verfügbar — die Shop-Owner-E-Mail des Shops. Maßgeblich ist die Version, der zugestimmt wurde.

Ändert der Auftragsverarbeiter diesen Vertrag, veröffentlicht er ihn unter einer neuen Version. Die neue Version wird erst wirksam, wenn der Verantwortliche ihr zustimmt; bis dahin gilt die Fassung, der er zuletzt zugestimmt hat.

Anlage 1 — Unterauftragsverarbeiter

Stand: Version 2026-08-12.

Nicht in dieser Liste: Klaviyo — der Vertrag über diese Übermittlung besteht zwischen dem Verantwortlichen und Klaviyo (§ 6). Cloudflare — es verarbeitet keine Besucherdaten aus der App, sondern leitet nur die Support-Postfächer des Auftragsverarbeiters weiter (eigene Verantwortlichkeit, siehe /datenschutz, Abschnitt 6).

Die Sicherungskopien erstellt und verwahrt der Auftragsverarbeiter selbst in Deutschland; sie werden nicht an Dritte übermittelt (Anlage 2).

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Übertragungsverschlüsselung: HTTPS auf allen Endpunkten.
• Verschlüsselung im Ruhezustand für Geheimnisse: Shopify- und Klaviyo-Zugangstoken liegen AES-256-GCM-verschlüsselt in der Datenbank. Eine Kopie der Datenbank ohne den zugehörigen Schlüssel ist für diese Felder unlesbar.
• Mandantentrennung: Sie wird in der Anwendungsschicht durchgesetzt. Auf allen Tabellen ist Row-Level-Security aktiv; sie sperrt die öffentlichen Datenbankrollen des Anbieters aus, trennt aber nicht selbst zwischen Shops. Jede Abfrage der Anwendung ist auf den Shop der jeweiligen Sitzung begrenzt.
• Authentifizierung: Zugriffe des Verantwortlichen erfolgen über ein Shopify-Sitzungstoken je Anfrage; Besuchersitzungen über eigene, ablaufende Token mit Schlüsselkennung zur Rotation. Eingehende Webhooks werden per HMAC geprüft, bevor ihr Inhalt ausgewertet wird.
• Datensparsamkeit im Monitoring: Fehlerberichte werden vor dem Versand von personenbezogenen Daten befreit; das Storefront-Widget enthält kein Fehler-SDK eines Drittanbieters, sondern meldet Fehler an den Server des Auftragsverarbeiters, der sie vor der Weitergabe bereinigt.
• Begrenzung von Anfragen: Alle offenen Storefront-Endpunkte sind mit Rate-Limits versehen.
• Sicherungskopien: täglich, mit einem asymmetrischen Verfahren (age) verschlüsselt abgelegt; der private Schlüssel wird getrennt von den Kopien verwahrt. Die Wiederherstellung wurde am 03.08.2026 geübt und bestanden.
• Getrennte Umgebungen: Testdaten laufen nie gegen die Produktionsdatenbank; Zugangsdaten werden zwischen Umgebungen nicht wiederverwendet.
• Verfahren bei Sicherheitsvorfällen: dokumentiert, einschließlich der Meldewege und Fristen nach § 8.