Vertrag zur Auftragsverarbeitung

Stand: 30. September 2026

Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO, Anlage 1 zu den Besonderen Bedingungen Onlineshop mieten der Shopmeister UG (haftungsbeschränkt)

Vertragsparteien

zwischen

dem Kunden, der mit Shopmeister einen Vertrag über „Onlineshop mieten“ schließt, mit Firma, Anschrift, vertretungsberechtigter Person und E-Mail-Adresse nach seinen Angaben bei Vertragsschluss, nachfolgend „Verantwortlicher“ oder „Kunde“,

und

der Shopmeister UG (haftungsbeschränkt), Milkeler Str. 60, 02699 Königswartha, eingetragen im Handelsregister des Amtsgerichts Dresden unter HRB 34172, vertreten durch den Geschäftsführer Matthias Hanske, E-Mail service@shopmeister.org, nachfolgend „Auftragsverarbeiter“ oder „Shopmeister“.

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien bei der Verarbeitung personenbezogener Daten durch Shopmeister im Auftrag des Kunden. Grundlage ist der Vertrag über „Onlineshop mieten“, bestehend aus Angebot bzw. Auftragsbestätigung, den Besonderen Bedingungen Onlineshop mieten und den AGB von Shopmeister (nachfolgend „Hauptvertrag“).

(2) Gegenstand der Verarbeitung sind die personenbezogenen Daten, die im Shop des Kunden gespeichert oder verarbeitet werden, soweit Shopmeister bei folgenden Leistungen damit in Berührung kommt oder darauf zugreifen kann:

• a) Hosting des Shops über einen Unterauftragsverarbeiter (§ 7);
• b) Einrichtung des Shops und Datenübernahme aus dem bisherigen System des Kunden;
• c) Betrieb, Monitoring, Updates und Wartung;
• d) tägliche Sicherungen und Wiederherstellungen;
• e) Support und Fehleranalyse einschließlich Zugriff auf die Shopware-Administration, den Server und die Datenbank;
• f) Export und Löschung bei Vertragsende.

(3) Die Dauer dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags (§ 14). Die Pflichten aus § 5 (Vertraulichkeit), § 10 (Löschung und Rückgabe) und § 11 (Nachweise) gelten bis zu ihrer vollständigen Erfüllung fort.

(4) Nicht Gegenstand dieses Vertrags ist die Verarbeitung der Kontakt-, Vertrags- und Abrechnungsdaten des Kunden durch Shopmeister als eigener Verantwortlicher, zum Beispiel für Rechnungsstellung und Zahlungsabwicklung über Stripe oder den Versand von E-Mails zur Einrichtung. Dafür gilt die Datenschutzerklärung von Shopmeister.

§ 2 Art und Zweck der Verarbeitung, Ort der Verarbeitung

(1) Art der Verarbeitung: Speichern, Organisieren, Ordnen, Anpassen und Verändern (zum Beispiel bei Datenübernahme und Updates), Auslesen, Abfragen, Verwenden (zum Beispiel zur Fehleranalyse), Übermitteln (Export an den Kunden), Sichern, Wiederherstellen, Einschränken, Löschen und Vernichten personenbezogener Daten.

(2) Zweck der Verarbeitung ist ausschließlich die Erbringung der Leistungen des Hauptvertrags, insbesondere die Bereitstellung und der Betrieb des Shops. Shopmeister verarbeitet die Daten nicht für eigene Zwecke.

(3) Die Verarbeitung findet in Deutschland statt (Serverstandort des Unterauftragsverarbeiters Timme Hosting, § 7 Abs. 2) sowie an den Arbeitsorten der zugriffsberechtigten Personen von Shopmeister innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Eine Verarbeitung in einem Drittland findet nur nach vorheriger Information des Kunden statt und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(4) Die Einzelheiten beschreibt Anlage 1.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Kategorien betroffener Personen:

• a) Kunden des Shops (Verbraucher und Geschäftskunden sowie deren Ansprechpartner);
• b) Interessenten und Besucher des Shops;
• c) Newsletter-Abonnenten des Shops;
• d) Nutzer von Kontaktformularen und Verfasser von Bewertungen;
• e) Mitarbeiter und sonstige Nutzer der Shop-Administration auf Seiten des Kunden;
• f) Ansprechpartner von Lieferanten und Geschäftspartnern des Kunden, soweit sie im Shop gespeichert sind.

(2) Arten personenbezogener Daten:

• a) Stamm- und Kontaktdaten (Name, Firma, Anrede, E-Mail-Adresse, Telefonnummer, Geburtsdatum, soweit erhoben);
• b) Adressdaten (Rechnungs- und Lieferadressen);
• c) Kundenkonto-Daten (Login, Passwort in gehashter Form, Kundennummer, Kundengruppe, B2B-Konditionen, Umsatzsteuer-Identifikationsnummer);
• d) Bestelldaten (bestellte Produkte, Preise, Bestellhistorie, Versand- und Zahlungsart, Rechnungs-, Gutschrift- und Lieferscheindaten, Sendungsnummern);
• e) Zahlungsdaten (Zahlungsart, Zahlungsstatus, Transaktionsreferenzen der Zahlungsanbieter und bei Lastschrift-Zahlarten die Bankverbindung, soweit im Shop gespeichert); vollständige Kartendaten verarbeiten im Regelfall die Zahlungsanbieter und nicht der Shop;
• f) Nutzungsdaten (IP-Adressen und Zeitstempel in Server-Protokollen, Sitzungsdaten, Warenkorb, Merkzettel, Einwilligungsstatus im Cookie-Consent, Suchanfragen im Shop);
• g) Kommunikationsdaten (Inhalte von Kontaktformularen, Bewertungen, vom Shop versandte E-Mails);
• h) Daten der Administrationsnutzer (Name, E-Mail-Adresse, Rolle, Anmelde- und Änderungsprotokolle);
• i) weitere Daten, soweit der Shop sie auf Wunsch des Kunden erhebt, zum Beispiel über Store-Plugins, die Anbindung einer Warenwirtschaft oder B2B-Funktionen im Tarif Premium.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) sind nicht Gegenstand der Verarbeitung. Lässt das Sortiment oder das Geschäftsmodell des Kunden solche Daten erwarten (zum Beispiel bei Gesundheitsprodukten), teilt der Kunde das Shopmeister vor Vertragsschluss mit. Die Parteien stimmen dann vor Vertragsschluss ab, welche zusätzlichen Maßnahmen erforderlich sind.

§ 4 Weisungen

(1) Shopmeister verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, sofern Shopmeister nicht durch das Recht der Union oder der Mitgliedstaaten, dem Shopmeister unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt Shopmeister dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Buchst. a DSGVO).

(2) Die Weisungen werden anfänglich durch den Hauptvertrag und diesen Vertrag festgelegt. Der Kunde kann sie im Rahmen des Hauptvertrags durch Einzelweisungen in Textform ändern, ergänzen oder ersetzen. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

(3) Weisungsberechtigt auf Seiten des Kunden sind die vertretungsberechtigten Personen des Kunden und die Person, die der Kunde bei Vertragsschluss als Ansprechpartner angegeben hat. Weisungsempfänger bei Shopmeister ist der Geschäftsführer Matthias Hanske, E-Mail service@shopmeister.org. Änderungen teilen sich die Parteien in Textform mit.

(4) Ist Shopmeister der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Shopmeister den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Shopmeister darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(5) Weisungen, die über den Leistungsumfang des Hauptvertrags hinausgehen, behandeln die Parteien als Änderungswunsch. Den Mehraufwand vergütet der Kunde nach dem Hauptvertrag, soweit die Weisung nicht auf einem Verstoß von Shopmeister beruht.

(6) Shopmeister dokumentiert erteilte Weisungen und ihre Umsetzung.

(7) Kopien oder Duplikate der Daten fertigt Shopmeister nur an, soweit das für die Erbringung der Leistungen erforderlich ist (zum Beispiel Sicherungen, Staging-Umgebung im Tarif Premium, Datenübernahme) oder gesetzliche Aufbewahrungspflichten es verlangen.

§ 5 Vertraulichkeit

(1) Shopmeister gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Buchst. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

(2) Zugriff auf die Daten haben nur Personen, die Shopmeister für die Leistungen nach diesem Vertrag benannt und mit den maßgeblichen Datenschutzvorschriften vertraut gemacht hat.

(3) Shopmeister und die ihm unterstellten Personen verarbeiten die Daten ausschließlich auf Weisung des Kunden, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 29 DSGVO).

§ 6 Sicherheit der Verarbeitung

(1) Shopmeister trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Sie berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie das Risiko für die Rechte und Freiheiten der betroffenen Personen.

(2) Für die Serverebene gelten ergänzend die technischen und organisatorischen Maßnahmen des Unterauftragsverarbeiters Timme Hosting. Shopmeister stellt sie dem Kunden auf Anfrage zur Verfügung.

(3) Die Maßnahmen unterliegen dem technischen Fortschritt. Shopmeister darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert Shopmeister und teilt sie dem Kunden in Textform mit.

(4) Für die Sicherheit der Zugänge und Mittel, die der Kunde selbst nutzt (zum Beispiel seine Zugangsdaten zur Administration, eigene Endgeräte und selbst installierte Erweiterungen), ist der Kunde verantwortlich.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt Shopmeister die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nach den folgenden Absätzen in Anspruch zu nehmen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 3; sie gelten als genehmigt.

(2) Hosting: Shopmeister setzt die Timme Hosting GmbH & Co. KG, Lüneburg, für das Hosting der Shops ein (Serverbetrieb, Rechenzentrum, Sicherungen auf Serverebene). Die Server befinden sich in Deutschland. In den Tarifen Basis und Business läuft der Shop auf einem von Shopmeister gemieteten Server, den mehrere Kundenshops mit jeweils eigener Installation und Datenbank nutzen, im Tarif Premium auf einem eigenen Managed vServer.

(3) Stripe: Den Zahlungsdienstleister Stripe setzt Shopmeister nur für die Abrechnung zwischen Shopmeister und dem Kunden ein. Stripe verarbeitet dabei keine Daten des Shops und ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Nutzt der Kunde Stripe als Zahlungsanbieter in seinem Shop, beruht das auf einem eigenen Vertrag des Kunden mit Stripe.

(4) Änderungen: Shopmeister informiert den Kunden mindestens vier Wochen vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Kunde kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann jede Partei den Hauptvertrag auf den Zeitpunkt der Änderung außerordentlich kündigen. Ist ein Austausch zur Abwehr einer unmittelbaren Gefahr für den Betrieb oder die Datensicherheit erforderlich (zum Beispiel bei Ausfall des Hosters), kann Shopmeister ihn sofort vornehmen und informiert den Kunden unverzüglich.

(5) Shopmeister gestaltet die Verträge mit Unterauftragsverarbeitern so, dass diesen dieselben Datenschutzpflichten auferlegt werden, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Shopmeister gegenüber dem Kunden für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters (Art. 28 Abs. 4 Satz 2 DSGVO).

(6) Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind:

• a) Nebenleistungen, bei denen ein Zugriff auf die Daten des Shops nicht vorgesehen ist (zum Beispiel Telekommunikation, Post- und Transportdienste);
• b) Dienste, die der Kunde selbst beauftragt (zum Beispiel Zahlungsanbieter, Warenwirtschaft, Anbieter von Rechtstexten und Hersteller von Store-Plugins, deren Plugins Daten an eigene Server übermitteln); die datenschutzrechtliche Gestaltung dieser Verhältnisse ist Sache des Kunden;
• c) die shopware AG, soweit sie Daten zum Shopware-Account, zu Lizenzen und die Meldung des Jahresumsatzes (GMV) erhält.

(7) Eine Übermittlung an Unterauftragsverarbeiter in Drittländern findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Kunde vorher nach Abs. 4 informiert wurde.

(8) Setzt Shopmeister weitere Dienste ein, die Zugriff auf Daten des Shops haben, nimmt Shopmeister sie nach dem Verfahren in Abs. 4 in Anlage 3 auf.

§ 8 Unterstützung bei Betroffenenrechten und weiteren Pflichten

(1) Shopmeister unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO (Art. 12 bis 22) zu beantworten (Art. 28 Abs. 3 Buchst. e DSGVO).

(2) Viele Anträge kann der Kunde selbst in der Shopware-Administration bearbeiten, zum Beispiel die Auskunft über Kundenkonten sowie deren Berichtigung oder Löschung. Shopmeister unterstützt dort, wo der Kunde keinen Zugriff hat, insbesondere bei Datenbank, Server-Protokollen und Sicherungen.

(3) Wendet sich eine betroffene Person direkt an Shopmeister, leitet Shopmeister das Anliegen unverzüglich, spätestens innerhalb von zwei Werktagen, an den Kunden weiter und beantwortet es nicht selbst, sofern der Kunde nichts anderes anweist.

(4) Shopmeister unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 Buchst. f DSGVO).

(5) Unterstützungsleistungen nach diesem Paragraphen, die über den Leistungsumfang des Hauptvertrags hinausgehen, vergütet der Kunde nach Aufwand, soweit sie nicht auf einem Verstoß von Shopmeister beruhen.

§ 9 Meldung von Datenschutzverletzungen

(1) Shopmeister meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Das gilt auch für den begründeten Verdacht einer solchen Verletzung.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: die Art der Verletzung, soweit möglich die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Angaben, die noch nicht vorliegen, reicht Shopmeister unverzüglich nach.

(3) Shopmeister ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich dazu mit dem Kunden ab.

(4) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen (Art. 33, 34 DSGVO) obliegen dem Kunden. Shopmeister nimmt sie nur auf Weisung des Kunden vor.

(5) Meldungen gehen an die E-Mail-Adresse, die der Kunde bei Vertragsschluss angegeben hat, oder an eine andere Adresse, die der Kunde Shopmeister dafür in Textform mitteilt.

(6) Shopmeister informiert den Kunden außerdem unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie die Verarbeitung nach diesem Vertrag betreffen, und über erhebliche Störungen des Betriebsablaufs, die die Daten des Kunden gefährden.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Abschluss der Leistungen löscht Shopmeister nach Wahl des Kunden alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Buchst. g DSGVO).

(2) Die Rückgabe erfolgt durch den Export nach § 17 der Besonderen Bedingungen Onlineshop mieten (Datenbank-Dump und Mediendateien), den der Kunde mindestens 30 Kalendertage nach Vertragsende abrufen kann. Der Kunde teilt seine Wahl bis zum Vertragsende in Textform mit. Trifft er keine Wahl, stellt Shopmeister den Export zum Abruf bereit und löscht die Daten nach Ablauf der Abruffrist.

(3) Die Löschung umfasst den Live-Shop, eine etwaige Staging-Umgebung, Exporte, die Daten bei Unterauftragsverarbeitern und die Sicherungen. Sicherungen werden spätestens mit Ablauf ihres Aufbewahrungszeitraums gelöscht.

(4) Shopmeister bestätigt die Löschung auf Anforderung in Textform.

(5) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen (zum Beispiel Weisungen und Protokolle), darf Shopmeister entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

(6) Eigene Aufbewahrungspflichten des Kunden (zum Beispiel nach § 147 AO) erfüllt der Kunde mit dem Export; Shopmeister bewahrt die Daten dafür nicht auf.

(7) Ein Zurückbehaltungsrecht von Shopmeister an den Daten ist ausgeschlossen.

§ 11 Nachweise und Audits

(1) Shopmeister stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 Buchst. h DSGVO), insbesondere die aktuelle Fassung der Anlagen 2 und 3 und auf Anforderung Nachweise über den Vertrag zur Auftragsverarbeitung mit Timme Hosting.

(2) Shopmeister ermöglicht Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Überprüfungen vor Ort kündigt der Kunde mit einer Frist von mindestens 14 Tagen an. Sie finden zu den üblichen Geschäftszeiten ohne Störung des Betriebs statt, höchstens einmal jährlich, es sei denn, ein konkreter Anlass rechtfertigt eine weitere Prüfung. Der Prüfer ist zur Vertraulichkeit zu verpflichten und darf kein Wettbewerber von Shopmeister sein.

(3) Für die Rechenzentren des Unterauftragsverarbeiters kann Shopmeister statt einer Vor-Ort-Prüfung aktuelle Nachweise des Unterauftragsverarbeiters vorlegen, zum Beispiel Zertifikate, Prüfberichte oder dessen technische und organisatorische Maßnahmen.

(4) Den Aufwand für Überprüfungen trägt jede Partei selbst. Den Aufwand von Shopmeister für mehr als eine Prüfung pro Jahr trägt der Kunde.

(5) Shopmeister führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO).

(6) Ansprechpartner für den Datenschutz bei Shopmeister ist der Geschäftsführer Matthias Hanske, E-Mail service@shopmeister.org.

§ 12 Pflichten des Verantwortlichen

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen, die Datenschutzerklärung des Shops, die Einstellungen im Cookie-Consent, die Information der betroffenen Personen, sein Verzeichnis von Verarbeitungstätigkeiten und eine etwa erforderliche Datenschutz-Folgenabschätzung.

(2) Der Kunde informiert Shopmeister unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

(3) Setzt der Kunde selbst Erweiterungen oder Dienste Dritter ein, die personenbezogene Daten aus dem Shop verarbeiten, prüft er deren datenschutzrechtliche Zulässigkeit und schließt die erforderlichen Verträge selbst ab.

(4) Der Kunde übermittelt Shopmeister personenbezogene Daten seiner Endkunden nur über die vereinbarten Wege (Zugriff im Shop oder verschlüsselte Übertragung) und nicht über Messenger-Dienste, auch nicht über WhatsApp im Support des Tarifs Premium.

§ 13 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Shopmeister haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn Shopmeister seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Kunden oder gegen diese Anweisungen gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO). Shopmeister ist von der Haftung befreit, wenn Shopmeister nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist (Art. 82 Abs. 3 DSGVO).

(2) Im Innenverhältnis tragen die Parteien den Schaden nach ihrem Anteil an der Verantwortung (Art. 82 Abs. 4 und 5 DSGVO). Hat eine Partei einer betroffenen Person Schadenersatz geleistet, kann sie von der anderen Partei den Teil zurückfordern, der deren Anteil an der Verantwortung entspricht.

(3) Für die Einhaltung der Pflichten durch Unterauftragsverarbeiter haftet Shopmeister nach § 7 Abs. 5.

(4) Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (§ 19 der Besonderen Bedingungen Onlineshop mieten).

§ 14 Laufzeit und Kündigung

(1) Dieser Vertrag wird mit dem Hauptvertrag geschlossen und tritt mit ihm in Kraft. Er endet mit dem Hauptvertrag, ohne dass es einer gesonderten Kündigung bedarf. § 1 Abs. 3 Satz 2 bleibt unberührt.

(2) Eine gesonderte ordentliche Kündigung dieses Vertrags ist ausgeschlossen, solange der Hauptvertrag besteht.

(3) Verstößt eine Partei schwerwiegend gegen diesen Vertrag, kann die andere Partei diesen Vertrag und den Hauptvertrag aus wichtigem Grund außerordentlich kündigen. Ein schwerwiegender Verstoß liegt insbesondere vor, wenn Shopmeister eine rechtmäßige Weisung des Kunden nicht ausführen kann oder will oder dem Kunden Kontrollrechte vertragswidrig verweigert.

(4) Das Kündigungsrecht bei einem Widerspruch gegen einen neuen Unterauftragsverarbeiter regelt § 7 Abs. 4.

§ 15 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Vertrag ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 9 DSGVO). Diese Form ist mit dem Abschluss nach dem Abschnitt „Abschluss“ gewahrt.

(2) Bei Widersprüchen gehen die Regelungen dieses Vertrags in Fragen des Datenschutzes den Regelungen des Hauptvertrags vor.

(3) Sind die Daten des Kunden bei Shopmeister durch Pfändung oder Beschlagnahme, durch ein Insolvenzverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet, informiert Shopmeister den Kunden unverzüglich. Shopmeister teilt allen Beteiligten mit, dass die Hoheit über die Daten beim Kunden als Verantwortlichem liegt.

(4) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach dem Hauptvertrag.

Abschluss

Dieser Vertrag kommt zusammen mit dem Hauptvertrag zustande. Der Kunde stimmt ihm im Bezahlvorgang über den Zahlungslink von Shopmeister zu und schließt den Bezahlvorgang ab (§ 6 Abs. 4 der Besonderen Bedingungen Onlineshop mieten). Nimmt der Kunde das Angebot auf anderem Weg an, kommt dieser Vertrag mit der Auftragsbestätigung von Shopmeister in Textform zustande.

Shopmeister bestätigt den Vertragsschluss in Textform. Dieser Vertrag ist auf der Website von Shopmeister abrufbar und kann dort gespeichert und ausgedruckt werden.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand: Hosting, Betrieb, Einrichtung, Datenübernahme, Wartung, Support und Administrationszugriff für einen Shop auf Basis von Shopware 6 Community Edition im Rahmen des Angebots „Onlineshop mieten“ (Tarife Basis, Business, Premium).

Dauer: Laufzeit des Hauptvertrags, danach bis zum Ablauf der Abruffrist für den Export (mindestens 30 Kalendertage) und bis zur Löschung der letzten Sicherung.

Die Angaben zu Daten und Betroffenen verweisen auf § 3 Abs. 2 und Abs. 1.

1. Hosting. Art: Speichern, Bereitstellen. Zweck: Betrieb des Shops. Daten: alle. Betroffene: alle. Ort: Deutschland (Timme Hosting). Zugriff: Timme Hosting auf Serverebene, Shopmeister per Server-Zugang.
2. Einrichtung. Art: Anlegen und Konfigurieren, Anlegen von Administrationsnutzern. Zweck: Einrichtung nach Tarif. Daten: vor allem Buchst. h; Endkundendaten erst ab Import oder Datenübernahme. Betroffene: Buchst. e. Ort: Server; Arbeitsorte von Shopmeister. Zugriff: Shopmeister.
3. Produktimport (Basis) und Datenübernahme (Business, Premium). Art: Auslesen aus dem bisherigen System oder der CSV-Vorlage, Übertragen, Anpassen, Speichern. Zweck: Umzug in den neuen Shop. Daten: Buchst. a bis e und g; aus Shopware 5, Shopware 6 und Magento vollständig mit Bestellungen, aus anderen Systemen Produkte, Kategorien und Kunden. Betroffene: Buchst. a bis d und f. Ort: Server; Arbeitsorte von Shopmeister. Zugriff: Shopmeister.
4. Betrieb, Monitoring, Updates, Wartung. Art: Auslesen, Verändern (zum Beispiel Datenbankmigrationen bei Updates), Protokollieren. Zweck: Sicherheit und Funktion des Shops. Daten: alle. Betroffene: alle. Ort: Server. Zugriff: Shopmeister, Timme Hosting.
5. Sicherungen und Wiederherstellung. Art: Kopieren, Speichern, Wiederherstellen, Löschen. Zweck: Verfügbarkeit, Wiederherstellbarkeit. Daten: alle. Betroffene: alle. Ort: Deutschland. Zugriff: Timme Hosting, Shopmeister.
6. Staging (nur Premium). Art: Kopieren, Testen. Zweck: Test von Major-Updates vor dem Live-Betrieb. Daten und Betroffene: je nach Datenstand der Staging-Umgebung. Ort: eigener Managed vServer. Zugriff: Shopmeister.
7. Support und Fehleranalyse. Art: Auslesen, Abfragen, Verändern auf Anforderung. Zweck: Beantwortung von Anfragen, Behebung von Fehlern. Daten und Betroffene: je nach Anfrage. Ort: Server; Arbeitsorte von Shopmeister. Zugriff: Shopmeister.
8. Export und Löschung bei Vertragsende. Art: Übermitteln an den Kunden, Löschen. Zweck: Rückgabe und Löschung nach § 10. Daten: alle. Betroffene: alle. Ort: Server und Bereitstellung zum Abruf durch den Kunden. Zugriff: Shopmeister.

Tarifbezogene Besonderheiten

• Basis und Business: ein von Shopmeister bei Timme Hosting gemieteter Managed vServer, den mehrere Kundenshops nutzen; je Shop eine eigene Shopware-Installation mit eigener Datenbank.
• Premium: eigener Managed vServer mit Staging-Umgebung, gebucht von Shopmeister.
• Premium auf Infrastruktur des Kunden (§ 4 Abs. 8 der Besonderen Bedingungen): Nr. 1 entfällt, der Hoster des Kunden ist dann dessen eigener Auftragsverarbeiter; Nr. 2 bis 8 gelten, soweit Shopmeister Zugriff hat.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Für die Serverebene (insbesondere Zutrittsschutz, Stromversorgung, Brandschutz, Klimatisierung und Redundanz des Rechenzentrums) ergänzen die technischen und organisatorischen Maßnahmen von Timme Hosting diese Anlage. Shopmeister stellt sie dem Kunden auf Anfrage zur Verfügung (§ 6 Abs. 2).

1. Vertraulichkeit (Art. 32 Abs. 1 Buchst. b DSGVO)

• Zugriff auf Shopdaten nur für Personen, die Shopmeister für die Leistungen benannt und zur Vertraulichkeit verpflichtet hat (§ 5).
• Trennung: Jeder Shop ist eine eigene Shopware-Installation mit eigener Datenbank.
• Trennung: Im Tarif Premium läuft der Shop auf einem eigenen Managed vServer; die Staging-Umgebung ist vom Live-Shop getrennt.
• Kundenpasswörter des Shops werden von Shopware nur als Hash gespeichert.

2. Integrität (Art. 32 Abs. 1 Buchst. b DSGVO)

• Verschlüsselte Verbindung zwischen Besuchern und Shop per SSL/TLS in allen Tarifen.
• Keine Übermittlung von Endkundendaten über Messenger-Dienste (§ 12 Abs. 4).
• Dokumentation von Updates und Wartung im Monatsreport (Tarife Business und Premium sowie Basis mit dem Add-on „Support Basisvertrag“).
• Dokumentation erteilter Weisungen und ihrer Umsetzung (§ 4 Abs. 6).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 Buchst. b und c DSGVO)

• Tägliche Sicherungen von Datenbank und Mediendateien in allen Tarifen, Aufbewahrung mindestens sieben Tage (§ 10 Abs. 5 der Besonderen Bedingungen).
• Wiederherstellung aus den Sicherungen auf Anforderung des Kunden (§ 10 Abs. 5 der Besonderen Bedingungen).
• Backup-Test als Teil der Wartung (Tarife Business und Premium sowie Basis mit dem Add-on „Support Basisvertrag“).
• Monitoring der Erreichbarkeit, im Tarif Premium mit Alarmierung.
• Automatische Minor- und Patch-Updates in allen Tarifen, Sicherheitsupdates so schnell wie möglich.
• Serverstandort Deutschland.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 Buchst. d DSGVO)

• Vertrag zur Auftragsverarbeitung mit Timme Hosting nach Art. 28 Abs. 4 DSGVO (§ 7 Abs. 5).
• Meldung von Datenschutzverletzungen an den Kunden nach § 9.
• Anpassung der Maßnahmen an den technischen Fortschritt nach § 6 Abs. 3.

Anlage 3: Liste der Unterauftragsverarbeiter

Änderungen dieser Liste richten sich nach § 7 Abs. 4.

1. Timme Hosting GmbH & Co. KG, Lüneburg. Leistung: Hosting auf Managed vServern (Rechenzentrum, Serverbetrieb, Sicherungen auf Serverebene). Ort der Verarbeitung: Deutschland. Betroffene Daten: alle Daten nach § 3 Abs. 2. Tarife: Basis und Business (gemeinsam genutzter Server von Shopmeister), Premium (eigener Managed vServer). Grundlage: Vertrag zur Auftragsverarbeitung zwischen Shopmeister und Timme Hosting.

Betreibt Shopmeister den Shop im Tarif Premium auf Infrastruktur des Kunden (§ 4 Abs. 8 der Besonderen Bedingungen), entfällt Nr. 1. Der Hoster des Kunden ist dann dessen eigener Auftragsverarbeiter.

Zur Klarstellung: keine Unterauftragsverarbeiter für Shopdaten

• Stripe: Zahlungsdienstleister von Shopmeister für die Abrechnung mit dem Kunden. Verarbeitet Vertrags- und Zahlungsdaten des Kunden, keine Shopdaten; Shopmeister ist dafür Verantwortlicher (§ 7 Abs. 3).
• Resend: E-Mail-Versand von Shopmeister (Buchungsanfragen über die Website, Buchungsbestätigung und Einrichtungsformular). Verarbeitet Kontaktdaten des Kunden und seine Angaben zur Einrichtung, keine Shopdaten; Shopmeister ist dafür Verantwortlicher (§ 1 Abs. 4).
• shopware AG: Shopware-Account, Shopware Store, Lizenzen, GMV-Meldung. Eigenes Vertragsverhältnis des Kunden mit der shopware AG (§ 7 Abs. 6 Buchst. c).
• Dienste, die der Kunde beauftragt: Zahlungsanbieter, Warenwirtschaft, Anbieter von Rechtstexten, Hersteller von Store-Plugins. Vom Kunden beauftragt, datenschutzrechtliche Gestaltung durch den Kunden (§ 7 Abs. 6 Buchst. b).