UNTERLAGEN
Unterlagen für die Prüfung
Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Subunternehmer und Löschkonzept – ohne Anfrage, ohne Formular.
01 / WARUM HIER
Weil die Frage ohnehin kommt.
Jeder Datenschutzbeauftragte fragt nach diesen vier Unterlagen, bevor irgendetwas installiert wird. Sie hinter einem Vertriebsgespräch zu verstecken kostet beide Seiten zwei Wochen und beantwortet am Ende dieselbe Frage.
02 / DIE UNTERLAGEN
Vier Dokumente.
Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien betroffener Personen, Weisungsrecht, Unterauftragsverhältnisse, Rückgabe und Löschung. Abgeschlossen wird er elektronisch und ohne Papier, für jeden Mandanten gesondert: im Kundenportal unter „Datenschutz“ oder bei der Einrichtung über die Shopify-App. Seine drei Anlagen sind die Dokumente darunter in derselben Fassung. Im Portal liegt der Nachweis mit dem vereinbarten Text.
Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Zutritt, Zugang, Zugriff, Weitergabe, Eingabe, Auftragskontrolle, Verfügbarkeit und Trennung – mit dem, was in dieser Software dafür konkret eingebaut ist.
Anlage zum AVV: weitere Auftragsverarbeiter
Wer nach Art. 28 DSGVO in unserem Auftrag verarbeitet, wozu, wo, und auf welcher Grundlage bei einem Transfer außerhalb der EU. Empfänger in eigener Verantwortlichkeit stehen dort getrennt.
Löschkonzept
Welche Daten wie lange bleiben, was beim Löschen einer Person geschieht und warum eine Sperrliste dabei entsteht.
03 / DIENSTLEISTER UND EMPFÄNGER
Wer Daten bekommt – und in welcher Rolle.
Diese Übersicht nennt jeden Empfänger, gleich in welcher Rolle. Sie ist keine Vertragsanlage: Die Anlage zum Auftragsverarbeitungsvertrag führt nur die auf, die nach Art. 28 DSGVO in unserem Auftrag verarbeiten, und weist die übrigen getrennt aus. Wer wissen will, wer seine Daten bekommt, liest diese Tabelle; wer wissen will, wofür wir weisungsgebunden haften, liest die Anlage.
| Unternehmen | Zweck | Rolle | Ort der Verarbeitung | Grundlage bei Drittlandbezug |
|---|---|---|---|---|
| Google Cloud EMEA Limited | Betrieb von Anwendung, Datenbank, Geheimnisverwaltung, Zeitsteuerung, Lastverteilung und TLS | Auftragsverarbeiter | EU – europe-west3 (Frankfurt); davon getrennt Verwaltungs- und Systemprotokolle der Cloud-Plattform in globalen Protokollbereichen des Anbieters, die sich nicht in eine Region legen lassen (bis zu 400 Tage; ein weiterer globaler Bereich mit sieben Tagen, in den die Protokolle der Anwendung nicht geschrieben werden) | Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com |
| Google Cloud – BigQuery | Analysespiegel der Messdaten aller Mandanten derselben Umgebung, je Mandant getrennt; Berichte eines Mandanten rechnen daraus ab größeren Datenmengen oder einer Aufbewahrung über 180 Tage | Auftragsverarbeiter | EU – europe-west3 (Frankfurt) | Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com |
| Google Cloud – Vertex AI | Sprachmodell des Datenassistenten im Portal; erhält die Frage, Kennzahlen und, wo die Frage danach verlangt, einzelne Conversions und Journeys | Auftragsverarbeiter | EU – europe-west3 (Frankfurt) | Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com |
| Google Workspace | Postfach für Support-, Vertrags- und Betroffenenanfragen; Versand der Systemmails, darunter Berichte und Hinweise mit Auftragsdaten im Text und als Anhang, mit Kopie unter „Gesendet“; Messdaten nur, soweit sie in dieser Korrespondenz oder in diesen Mails vorkommen | Auftragsverarbeiter | Datenregion Europa, per Richtlinie gesetzt am 18.09.2026; Ausnahmen für Logs und Cache sowie der Verlagerungsstatus sind gesondert zu belegen | Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com |
| Brevo (Brevo GmbH / Sendinblue SAS) | Versand unseres Newsletters; übergangsweise Annahme eingehender Supportmails. System- und Supportmails versenden wir seit dem 01.10.2026 über Google Workspace | Auftragsverarbeiter | EU – Frankreich und Deutschland (OVH), Belgien (Google Cloud) | EU-Standardvertragsklauseln mit ergänzenden Maßnahmen; für die USA zusätzlich Angemessenheitsbeschluss EU–USA (Data Privacy Framework), für Kanada Angemessenheitsbeschluss |
| Stripe Payments Europe, Ltd. | Abwicklung der Zahlungen: Rechnungsanschrift, Zahlungsmittel, Rechnungs- und Abonnementstatus. Keine Messdaten | Doppelrolle | EU – Irland | Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com |
04 / ÄNDERUNGEN
Was passiert, wenn sich etwas ändert.
VORLAUF
Einen neuen unmittelbaren Auftragsverarbeiter kündigen wir mindestens 30 Tage vor seinem Einsatz hier an und teilen ihn per E-Mail an die im Konto hinterlegte Adresse mit. Setzt einer von ihnen einen neuen weiteren Auftragsverarbeiter ein, geben wir dessen Ankündigung spätestens fünf Werktage nach Zugang weiter. Sie können widersprechen; was dann gilt, regelt Abschnitt 7 des Auftragsverarbeitungsvertrags.