Vereinbarung zur Auftragsverarbeitung

Wenn ein Händler seinen Shop mit LIORA verbindet, vertraut er uns personenbezogene Daten an, für die er der Verantwortliche ist: die Daten seiner eigenen Kunden — Namen, Lieferadressen, Bestellungen. Wir verarbeiten sie ausschließlich, um ihm den Dienst zu erbringen, und zwar nach seinen Weisungen.

Artikel 28 DSGVO verlangt, dass diese Beziehung durch einen schriftlichen Vertrag geregelt wird. Dieses Dokument erfüllt diese Anforderung. Der Kunde nimmt es zusammen mit den Nutzungsbedingungen und den Verkaufsbedingungen an, indem er bei seiner Anmeldung auf dieser Website und erneut vor der Zahlung das dafür vorgesehene Kästchen ankreuzt; ein Konto kann aus der Anwendung heraus nur mit derselben Annahme eröffnet werden. Das Datum und die angenommene Fassung werden gespeichert. Es ist Bestandteil des Abonnementvertrags.

Diese Vereinbarung betrifft NICHT die Daten des Händlerkontos selbst — den Namen des Händlers, seine E-Mail-Adresse, sein Abonnement. Für diese sind wir der Verantwortliche, und es gilt unsere Datenschutzerklärung.

• Gegenstand — die Erbringung des Dienstes LIORA: Synchronisation des Katalogs, der Bestände, der Preise, der Bestellungen und der Kunden des Shopify-Shops des Kunden; Bereitstellung der Verwaltungswerkzeuge, die er nutzt (Einkauf, Produktion, Kosten); Ausstellung seiner Rechnungen und, auf sein Verlangen, deren Versand per E-Mail an seine eigenen Kunden; Bearbeitung der Anfragen zu personenbezogenen Daten, die Shopify uns übermittelt.
• Dauer — die Laufzeit des Abonnements, zuzüglich des in den Verkaufsbedingungen vorgesehenen Datenabrufzeitraums von mindestens dreißig Tagen.
• Art — Abruf der Shop-Daten über die Shopify-API, Einsichtnahme, Strukturierung, Speicherung, Bereitstellung in der Anwendung, Rückschreiben in den Shop auf Verlangen des Kunden, Ausstellung und Versand der Rechnungen per E-Mail sowie Löschung.
• Zweck — dem Kunden die Führung seiner Geschäftstätigkeit zu ermöglichen. Kein anderer.
• Betroffene Personen — die Kunden des Shops des Händlers sowie die Personen, denen er die Nutzung der Anwendung gestattet.
• Datenkategorien — Identität und Kontaktdaten, Liefer- und Rechnungsadressen, Inhalt und Verlauf der Bestellungen und Rechnungen; sowie, soweit vorhanden, Geburtsdatum, Notizen, Schlagwörter, Einwilligungen in Werbemitteilungen und angehängte Dokumente — allesamt Angaben, die der Kunde in Shopify oder in LIORA erfasst.
• Besondere Datenkategorien — Wir fragen keine Daten im Sinne von Artikel 9 DSGVO ab, und der Kunde sieht davon ab, solche Daten in Freitextfeldern und angehängten Dokumenten zu erfassen.

Shopify übermittelt uns drei Arten von Anfragen, die wir im Auftrag des Kunden bearbeiten:

• Auskunftsersuchen eines Endkunden — Wir stellen die ihn betreffenden Daten zusammen und stellen sie dem Kunden zur Verfügung, dem die Beantwortung obliegt.
• Löschersuchen eines Endkunden — Wir löschen seine Daten aus der Kopie des Shops, die wir führen.
• Löschung des Shops — Achtundvierzig Stunden nach der Deinstallation von LIORA fordert Shopify uns auf, die Daten des Shops zu löschen: Wir löschen dann die Kopie, die wir davon geführt haben. Was der Kunde selbst in LIORA angelegt hat — Einkäufe, Rezepturen, Rechnungen —, folgt den weiter unten beschriebenen Regeln für das Vertragsende.

• Weisungsgebunden handeln — Wir verarbeiten diese Daten ausschließlich zur Erbringung des Dienstes, niemals für eigene Zwecke und niemals zum Trainieren von Modellen.
• Rechtswidrige Weisung — Ist eine Weisung des Kunden nach unserer Auffassung ein Verstoß gegen die DSGVO oder gegen andere Datenschutzvorschriften, informieren wir ihn unverzüglich.
• Vertraulichkeit — Die Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und greifen nur aus Betriebs- oder Supportgründen darauf zu.
• Sicherheit — Verschlüsselung bei der Übertragung und im Ruhezustand, Trennung nach Unternehmen, Protokollierung der Aktionen, gehashte Passwörter. Die Einzelheiten stehen auf der Seite Sicherheit und Reaktion auf Vorfälle, im Abschnitt „Technische und organisatorische Maßnahmen“.
• Weitere Auftragsverarbeiter — Wir nehmen sie nur unter den nachstehend beschriebenen Bedingungen in Anspruch und erlegen jedem von ihnen vertraglich Datenschutzpflichten auf, die denen dieser Vereinbarung gleichwertig sind, insbesondere hinreichende Garantien für die technischen und organisatorischen Maßnahmen. Wir haften dem Kunden gegenüber in vollem Umfang für die Erfüllung ihrer Pflichten.
• Unterstützung — Wir unterstützen den Kunden dabei, die bei ihm eingehenden Anträge betroffener Personen zu beantworten und seine Datenschutz-Folgenabschätzungen durchzuführen, soweit sie unsere Verarbeitung betreffen.
• Meldung — Wir informieren den Kunden ohne ungerechtfertigte Verzögerung über jede Verletzung des Schutzes seiner Daten, mit allem, was wir darüber wissen, damit er seine eigene Frist von zweiundsiebzig Stunden einhalten kann.
• Nachweise — Wir halten für ihn bereit, was die Einhaltung dieser Zusagen belegt, und wirken an den von ihm veranlassten Überprüfungen mit, in angemessenem Rahmen und ohne die Sicherheit der übrigen Kunden zu gefährden.

Der Kunde genehmigt die Beauftragung der folgenden Dienstleister, die bei der Erbringung des Dienstes für uns tätig werden:

• Scaleway SAS — Hosting der Anwendung und ihrer Datenbank, in Frankreich.
• Vercel Inc. — Hosting der Website und Ausführung der Verarbeitungen, in der Europäischen Union (Paris).
• Databricks, Inc. (Dienst Neon) — Hosting der Datenbank der Website, in der Europäischen Union (Frankfurt am Main).
• Stripe Payments Europe Ltd — Einzug der Abonnementbeträge. Hat keinen Zugang zu den Daten des Shops und verarbeitet nur die Konto- und Zahlungsdaten.
• Resend Inc. — Zustellung der E-Mails der Website. Erhält nur die Adresse des Empfängers und den Inhalt der Nachricht.
• Google (Google Workspace) — E-Mail-Postfach unseres Teams. Erhält die Supportanfragen und den Schriftverkehr mit dem Kunden, in denen Daten seiner Kunden vorkommen können.

Die Anwendung ermöglicht es dem Kunden außerdem, selbst eine Rechnung per E-Mail an einen seiner eigenen Kunden zu senden. Diese Nachricht wird über einen E-Mail-Dienstleister zugestellt, der in dieser Liste noch nicht benannt ist; er wird, wie jeder neue weitere Auftragsverarbeiter, nach der nachstehend beschriebenen Ankündigung aufgenommen. Bis dahin übermittelt ein Kunde, der diese Sendungen keinem noch nicht benannten Dienstleister anvertrauen möchte, seine Rechnungen auf eigenem Weg statt über diese Funktion. Jede Änderung dieser Liste wird mindestens dreißig Tage im Voraus per E-Mail angekündigt. Widerspricht der Kunde ihr aus Gründen des Datenschutzes, kann er kostenfrei kündigen; der nicht verbrauchte Teil seines Abonnements wird ihm erstattet.

Die Anwendung und ihre Daten werden in Frankreich gehostet, die Website in der Europäischen Union. Vercel, Databricks (Dienst Neon), Stripe, Resend und Google gehören jedoch zu Konzernen, deren Muttergesellschaft in den Vereinigten Staaten ansässig ist: Ein Zugriff aus diesem Land zu Betriebs- oder Supportzwecken lässt sich nicht ausschließen, und die in unserem Google-Postfach eingehenden Nachrichten können außerhalb der Europäischen Union gespeichert werden. Diese Übermittlungen sind durch die Standardvertragsklauseln der Europäischen Kommission geregelt, ergänzt durch die oben beschriebenen technischen Maßnahmen.

Wir weisen lieber auf diesen Vorbehalt hin, als eine Abschottung zu behaupten, die wir nicht belegen könnten.

Nach Vertragsende wählt der Kunde zwischen der Rückgabe und der Löschung der Daten, nach Maßgabe des Abschnitts „Anbieterwechsel“ der Verkaufsbedingungen. Trifft er keine Wahl, bleiben sie mindestens dreißig Tage abrufbar und werden anschließend aus unseren aktiven Systemen gelöscht, auch bei unseren weiteren Auftragsverarbeitern.

Verschlüsselte Sicherungen können über diese Frist hinaus, für die Dauer ihres Rotationszyklus, noch eine Kopie enthalten. Sie werden niemals eingesehen und automatisch überschrieben.

Bei Fragen zu dieser Vereinbarung schreiben Sie an direction@liora-eu.com.