Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Gegenstand ist die Erbringung der Messleistung „Metrunio“: die Erhebung, Speicherung, Verknüpfung und Auswertung von Ereignissen zur unabhängigen Messung von Werbekontakten und Conversions auf den Websites des Auftraggebers.

Umsatzabstimmung. Zum Gegenstand gehört außerdem die Umsatzabstimmung von Bestellungen und Erstattungen, die der Shop des Auftraggebers serverseitig meldet und für die er keine Entscheidung über die Einwilligung in die Tracking-Messung übermittelt, weil keine getroffen wurde. Zweck ist allein der Abgleich der Umsätze, das Erkennen doppelter Vorgänge und die Zuordnung von Erstattungen.

• Verarbeitet werden nur Mandant und Quelle, die Bestellnummer als Bestellschlüssel, die Art des Vorgangs (Bestellung oder Erstattung), Betrag und Währung, der Geschäftstag ohne Uhrzeit und die Kennzeichnung der Betriebsumgebung. Alle übrigen Felder, insbesondere Browser-, Sitzungs-, Kunden- und Werbekennungen, IP-Merkmal, Seitenadressen, Kampagnenangaben und Artikel, entfernt der Auftragnehmer vor dem Speichern.
• Ausgeschlossen sind die Verknüpfung mit Besuchen, Journeys oder Werbekontakten, die Attribution, die Rückgabe an Werbeplattformen, Profilbildung, die Übergabe einzelner dieser Bestellungen an den Datenassistenten und jede eigene Nutzung durch den Auftragnehmer. Kennzahlen, in denen sie enthalten sind, darf der Datenassistent verwenden; bei kleinen Fallzahlen können daraus Betrag und Tag einer einzelnen Bestellung ableitbar sein.
• Die Daten werden mit der Aufbewahrungsdauer der Rohdaten des Mandanten gelöscht.
• Der Auftraggeber kann diese Umsatzabstimmung jederzeit im Portal abbestellen; die Einstellung ist eine Weisung, die nur Personen mit der Rolle Administration ändern können, und steht im Protokoll des Mandanten. Danach weist der Auftragnehmer solche Bestellungen ab; bereits gespeicherte werden mit der Aufbewahrungsdauer der Rohdaten gelöscht. Die Erweiterung auf Bestellungen nach einer Ablehnung setzt voraus, dass die Umsatzabstimmung eingeschaltet ist.
• Einen Widerspruch einer betroffenen Person gegen die Umsatzabstimmung setzt der Auftraggeber im Datenschutzbereich des Portals mit der Bestellnummer als Kennung um, oder der Auftragnehmer auf seine Weisung: Die Daten des Vorgangs einschließlich Erstattungen werden gelöscht, und die Bestellnummer wird für künftige Meldungen und Importe gesperrt.
• Bestellungen, für die der Shop eine Ablehnung übermittelt, verarbeitet der Auftragnehmer auf diesem Weg nur, wenn der Auftraggeber dafür eine gesonderte Zusatzweisung erteilt und der Auftragnehmer sie für den Mandanten aktiviert hat; sonst weist er sie ab. Eine übermittelte Ablehnung wird nie als fehlende Entscheidung behandelt. Bestellungen, die mit einer später widerrufenen Einwilligung gemeldet wurden, werden nicht in die Umsatzabstimmung überführt (Abschnitt 8).
• Die Rechtsgrundlage gegenüber den Käuferinnen und Käufern, deren Information über Zweck, Rechtsgrundlage und Widerspruchsweg in seiner eigenen Datenschutzerklärung und die Berücksichtigung eines Widerspruchs verantwortet der Auftraggeber (Abschnitt 4).

Der Vertrag läuft so lange wie der Hauptvertrag über die Nutzung der Software; einer gesonderten Kündigung bedarf es nicht.

Er gilt darüber hinaus fort, solange der Auftragnehmer noch Daten des Auftraggebers verarbeitet, also bis zur Rückgabe oder Löschung nach Abschnitt 9, einschließlich verbleibender Sicherungen und Kopien bei Unterauftragnehmern. Für diesen Zeitraum bleiben insbesondere die Weisungsbindung, die Vertraulichkeit, die Sicherheit der Verarbeitung, die Meldung von Verletzungen und die Unterstützung bei Betroffenenrechten bestehen.

Verarbeitet werden ausschließlich Daten, die der Auftraggeber über die bereitgestellten Schnittstellen übermittelt oder übermitteln lässt. Zweck ist allein die Erbringung der Messleistung.

• Entgegennahme und Prüfung von Ereignissen (Auslieferung, Sichtbarkeit, Klick, Websitebesuch, Interaktion, Conversion)
• Verknüpfung von Ereignissen zu Journeys über eindeutige Kennungen
• Berechnung von Attributionsanteilen nach den vom Auftraggeber gewählten Modellen
• Bereitstellung von Auswertungen, Exporten und Schnittstellen
• auf ausdrückliche Weisung: Rückgabe von Conversions an die vom Auftraggeber benannten Werbeplattformen
• Umsatzabstimmung serverseitig gemeldeter Bestellungen ohne Einwilligung in die Tracking-Messung, im Umfang nach Abschnitt 1
• auf Frage einer berechtigten Person des Auftraggebers im Portal: Beantwortung durch einen Datenassistenten. Dabei gehen Kennzahlen und einzelne Conversions und Journeys an das Sprachmodell eines weiteren Auftragsverarbeiters (Anlage) – höchstens 300 Zeilen je Frage; Bestellnummern und Journey-Kennungen des Mandanten nur als Kürzel, die allein für diese Anfrage gelten; frühere Antworten mit einzelnen Datensätzen nicht erneut; Bestellungen, die ohne Einwilligung gemeldet wurden, nicht einzeln. Eine eingegebene Nummer, die keinem Datensatz des Mandanten zugeordnet werden kann, geht als Text an das Modell

Betroffen sind Besucherinnen und Besucher der Websites des Auftraggebers sowie – bei serverseitig gemeldeten Abschlüssen – dessen Kundinnen und Kunden.

• pseudonyme Kennungen für Sitzung, Endgerät, Klick und Impression
• mandantenspezifisch pseudonymisierte Kundenkennungen; ein übergebener Klartext- oder Hashwert, etwa der SHA-256 der E-Mail-Adresse, wird beim Empfang über HMAC mit einem mandantenspezifischen Schlüssel pseudonymisiert und nur so gespeichert
• Bestell- und Vorgangsnummern, Werte und Währungen
• technische Merkmale in gekürzter oder gehashter Form; IP-Adressen werden bei der Übertragung und zur Begrenzung der Anfragen verarbeitet und im Ereignisbestand nur als gekürzter, mit einem Geheimnis und der Kennung des Auftraggebers gebildeter Hashwert gespeichert – im Messmodus ohne Einwilligung gar nicht
• der Einwilligungszustand je Ereignis

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich einer Übermittlung in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; dann teilt er dies vor der Verarbeitung mit, sofern das Recht es nicht verbietet.

Die Einstellungen im Produkt, insbesondere Aufbewahrungsdauer, Attributionsfenster, Rückgabe an Plattformen, Einwilligungszuordnung und Datenassistent, gelten als Weisung; ihre Änderungen sind im Protokoll des Mandanten nachvollziehbar. Weisungen außerhalb des Produkts erteilt der Auftraggeber in Textform. Produkteinstellungen erweitern nicht den Zweck nach Abschnitt 2.

Weisungsberechtigt sind die Personen mit der Rolle Administration im Mandanten sowie weitere Personen, die der Auftraggeber in Textform benennt. Bei Zweifeln an der Berechtigung lässt sich der Auftragnehmer die Weisung von einer dieser Personen bestätigen.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und setzt den betroffenen Teil bis zur Klärung aus. Eine als rechtswidrig erkannte Weisung führt er auch bei Wiederholung nicht aus.

Der Auftraggeber ist für die Rechtsgrundlage, die Information der betroffenen Personen, erforderliche Einwilligungen und die Rechtmäßigkeit seiner Weisungen verantwortlich.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen. Ein Zugriff auf Mandantendaten durch den Support ist nur nach ausdrücklicher, befristeter Freigabe durch den Auftraggeber möglich, wird eigens protokolliert und im Produkt sichtbar angezeigt.

Der Auftragnehmer trifft die in der gesonderten Anlage „Technische und organisatorische Maßnahmen“ beschriebenen Maßnahmen nach Art. 32 DSGVO. Änderungen dürfen das Schutzniveau nicht unterschreiten.

Der Auftraggeber stimmt dem Einsatz der in der Anlage „weitere Auftragsverarbeiter“ genannten weiteren Auftragsverarbeiter zu.

Unmittelbare Unterauftragnehmer. Einen neuen oder ersetzten weiteren Auftragsverarbeiter, den der Auftragnehmer selbst beauftragt, kündigt er mindestens 30 Tage vor dessen Einsatz auf der Website unter „Unterlagen“ und in Textform an die im Konto hinterlegte Adresse an. Der Auftraggeber kann innerhalb dieser Frist aus einem sachlichen, datenschutzrechtlich begründeten Grund widersprechen. Solange der Widerspruch nicht geklärt ist, erhält der neue Auftragsverarbeiter keine Daten des Auftraggebers. Kommt keine Lösung zustande, steht dem Auftraggeber ein Sonderkündigungsrecht zum Zeitpunkt der Umstellung zu; bis dahin erhält der neue Auftragsverarbeiter keine Daten des Auftraggebers.

Weitere Stufen: gesicherter Vorlauf. Für Daten des Auftraggebers setzt der Auftragnehmer nur Unterauftragnehmer ein, die sich verpflichtet haben, den Einsatz eines neuen weiteren Auftragsverarbeiters mindestens 30 Tage, bevor dieser Daten erhält, anzukündigen; Ausnahmen nur nach dem Absatz „Unterauftragnehmer ohne gesicherten Vorlauf“. Die Anlage nennt diese Zusage je Unterauftragnehmer. Der Auftragnehmer leitet eine solche Ankündigung unverzüglich, spätestens fünf Werktage nach ihrem Zugang, auf dem Weg nach dem vorigen Absatz weiter. Die Mitteilung nennt Empfänger, Tätigkeit, Ort der Verarbeitung, Übermittlungsgrundlage, den Tag, ab dem der neue weitere Auftragsverarbeiter Daten erhält (Einsatztag), und ob seine Tätigkeit nach den Angaben des Anbieters auch Sicherungen oder zur Löschung vorgemerkte Kopien erfassen kann.

Widerspruch gegen eine weitere Stufe. Der Auftraggeber kann bis zehn Tage vor dem Einsatztag, mindestens aber 14 Tage nach Zugang der Mitteilung, aus einem datenschutzrechtlich begründeten Grund widersprechen. Kann der Auftragnehmer nicht sicherstellen, dass Daten des Auftraggebers die neue Stufe nicht erreichen, kann der Auftraggeber diesen Vertrag und den Hauptvertrag mit sofortiger Wirkung kündigen. Dann nimmt der Auftragnehmer ab Zugang der Kündigung keine Daten des Auftraggebers mehr an, stellt sie ihm auf Verlangen zur Ausfuhr bereit und löscht die aktiven Daten nach Abschnitt 9 vor dem Einsatztag, spätestens aber fünf Werktage nach Zugang der Kündigung. Sicherungen und Kopien beim Cloud-Anbieter werden nach Abschnitt 9 gelöscht und können bis dahin bestehen; erfasst die Tätigkeit des neuen weiteren Auftragsverarbeiters auch sie, sagt die Mitteilung das, und eine frühere Löschung dieser Kopien sagt der Auftragnehmer nicht zu. Im Voraus gezahltes Entgelt für die Zeit nach der Kündigung erstattet der Auftragnehmer anteilig.

Verspätete Mitteilung. Erhält der Auftragnehmer die Ankündigung eines Unterauftragnehmers zu spät oder gibt er sie später als vereinbart weiter, gelten die Rechte nach dem vorigen Absatz ab Zugang seiner Mitteilung; der Widerspruch ist dann bis 14 Tage nach Zugang möglich, auch wenn der Einsatztag früher liegt. Die Mitteilung nennt den Grund der Verspätung. Auf Verlangen des Auftraggebers setzt der Auftragnehmer die Annahme neuer Daten bereits bis zur Entscheidung über den Widerspruch aus.

Unterauftragnehmer ohne gesicherten Vorlauf. Nennt die Anlage einen Unterauftragnehmer ohne diese Zusage, erhält er Daten des Auftraggebers nur in dem dort beschriebenen Umfang. Kündigt er einen neuen weiteren Auftragsverarbeiter an, leitet der Auftragnehmer ab Zugang der Ankündigung keine Daten des Auftraggebers mehr über ihn, sondern über einen anderen in der Anlage genannten Unterauftragnehmer, und teilt dies wie oben mit. Daten des Auftraggebers, die zu diesem Zeitpunkt bereits bei ihm liegen, löscht der Auftragnehmer dort, soweit es die Schnittstellen des Unterauftragnehmers erlauben; im Übrigen nennt die Mitteilung Art und Aufbewahrungsfrist dieser Daten.

Mit jedem weiteren Auftragsverarbeiter wird schriftlich, auch in elektronischer Form, ein Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt: Weisungsbindung, Vertraulichkeit, die Maßnahmen nach Art. 32 DSGVO in einem Schutzniveau, das dieses nicht unterschreitet, Unterstützung bei Betroffenenanfragen und Meldepflichten, Kontroll- und Nachweisrechte sowie Löschung oder Rückgabe am Ende. Für ihre Einhaltung haften wir wie für eigenes Handeln.

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte. Auskunft, Löschung und Widerspruch lassen sich im Datenschutzbereich des Produkts ausführen, ohne dass der Auftragnehmer eingeschaltet werden muss. Berichtigung, Einschränkung der Verarbeitung und Datenübertragbarkeit setzt der Auftragnehmer auf Weisung in einem dokumentierten Verfahren um; eine Einschränkung erhält die Daten in einem geschützten Bestand und ersetzt sie nicht durch Löschung. Betroffenenanfragen, die beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

Eine Löschung wirkt über eine Sperrliste fort, damit dieselbe Kennung nicht unmittelbar danach erneut erfasst wird. Gespeichert wird dabei nur eine Prüfsumme der Kennung, nicht die Kennung selbst. Die Prüfsumme bleibt ein pseudonymes personenbezogenes Datum: Sie erkennt die Kennung wieder, lässt sich aber nicht in sie zurückrechnen. Sie wird zu keinem anderen Zweck verwendet als zur Durchsetzung der Löschung oder des Widerspruchs.

Dauerweisung bei Widerruf. Erreicht ein Widerruf der Einwilligung die Einwilligungsschnittstelle, beendet der Auftragnehmer ohne weiteren Auftrag die Verarbeitungen, die auf dieser Einwilligung beruhen, einschließlich noch nicht übermittelter Meldungen an Werbeplattformen. Er löscht die zuordenbaren Bestände, die auf ihr beruhen, ohne unangemessene Verzögerung, soweit keine gesonderte Rechtsgrundlage oder Ausnahme nach Art. 17 Abs. 3 DSGVO ihre weitere Speicherung trägt. Der Widerruf wirkt für den Browser, in dem er erklärt wird; eine weitergehende Anfrage der Person setzt der Auftraggeber über den Datenschutzbereich um.

Eine Erhaltung trotz Widerrufs ist auf die betroffenen Daten, Zwecke und Dauer zu begrenzen; der Auftraggeber teilt solche Fälle vorab konkret mit. Ein Wechsel zu einem anderen Zweck allein wegen des Widerrufs findet nicht statt, insbesondere keine Überführung in die Umsatzabstimmung. Der Vollzug umfasst operative Bestände, Spiegel, ausstehende Übermittlungen und vorhandene Exporte im Einflussbereich des Auftragnehmers. Bereits an Empfänger übermittelte Daten kann der Auftragnehmer nicht zurückholen; er nennt dem Auftraggeber die Empfänger, damit dieser seine Mitteilungspflicht nach Art. 19 DSGVO erfüllen kann, und unterstützt ihn dabei.

Der Auftragnehmer unterstützt außerdem bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33 und 34 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten wird dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mitgeteilt.

Nach Beendigung werden die Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht. Die Wahl teilt er in Textform mit und kann sie bis zum Ablauf der Frist ändern.

Aktive Daten. Für die Rückgabe bleiben die Daten 30 Tage in den vorgesehenen Ausfuhrformaten abrufbar; der Auftraggeber holt sie selbst ab oder verlangt sie vom Auftragnehmer. Ein Export während der Vertragslaufzeit ist jederzeit ohne zusätzliche Vergütung möglich. Danach löscht der Auftragnehmer die Daten in Datenbank, Analysespiegel und Exporten; trifft der Auftraggeber keine Wahl, gilt die Löschung.

Sicherungen. Sicherungen der Datenbank laufen in ihrem Zyklus nach Anlage 1 ab und werden nicht gezielt durchsucht. Sie dienen bis dahin allein der Wiederherstellung. Wird eine Sicherung wiederhergestellt, zieht der Auftragnehmer vor der erneuten Freigabe alle seither erfolgten Löschungen, Einschränkungen, Sperren und Widerrufe nach. Lässt sich der Stand nicht vollständig nachziehen, wird der betroffene Bestand nicht zur Verarbeitung freigegeben.

Kopien bei Unterauftragnehmern. Gelöschte Daten entfernt der Cloud-Anbieter aus seinen Systemen nach seinem Vertrag so bald wie möglich, spätestens nach 180 Tagen (Google Cloud Data Processing Addendum, Ziffer 6.1); endet der Vertrag des Auftragnehmers mit ihm, kommt eine Wiederherstellungsfrist von bis zu 30 Tagen hinzu (Ziffer 6.2). Bis dahin gilt dieser Vertrag für diese Kopien fort.

Betriebseinstellung. Stellt der Auftragnehmer den Betrieb ein, kündigt er dies nach dem Hauptvertrag an; Rückgabe und Löschung richten sich nach den vorstehenden Absätzen.

Die Löschung wird auf Verlangen nachgewiesen, mit Zeitpunkt und Umfang. Protokolldaten, die der Nachweispflicht dienen, und Unterlagen mit gesetzlicher Aufbewahrungsfrist bleiben davon unberührt; sie werden für jede andere Verwendung gesperrt.

Der Auftragnehmer weist die Einhaltung der Pflichten auf Anfrage nach und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Die Kontrolle wird mit angemessener Frist angekündigt und darf den Betrieb nicht unangemessen beeinträchtigen; bei einem Vorfall oder begründetem Verdacht ist sie auch ohne diese Frist möglich.

Die Hauptressourcen liegen in der Region europe-west3 (Frankfurt). Einzelne Bestände – insbesondere globale Protokollbereiche des Cloud-Anbieters – sowie Wartungs- und Supportzugriffe von Konzerngesellschaften der weiteren Auftragsverarbeiter können außerhalb der EU liegen bzw. erfolgen; Empfänger, Länder und Übermittlungsgrundlage nennt die Anlage je Dienst. Jede weitere Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO.

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): im Kundenportal unter „Datenschutz“ oder bei der Einrichtung über die Shopify-App, jeweils durch eine Person, die erklärt, zum Abschluss für den Auftraggeber berechtigt zu sein. Er wird gesondert vom Hauptvertrag und für jeden Mandanten abgeschlossen. Bis zu seinem Abschluss nimmt die Software für diesen Mandanten keine Messdaten an.

Anlagen sind, in derselben Fassung wie dieser Vertrag: Anlage 1 „Technische und organisatorische Maßnahmen“, Anlage 2 „weitere Auftragsverarbeiter“, Anlage 3 „Löschkonzept“. Den vereinbarten Wortlaut hält das Portal unter „Datenschutz“ bereit; jede Fassung bleibt zudem unter ihrem Datum auf der Website abrufbar.

Änderungen bedürfen der Textform. Eine neue Fassung bietet der Auftragnehmer im Portal zum Abschluss an; bis dahin gilt die abgeschlossene Fassung fort. Mitteilungen nach Abschnitt 7 sind keine Änderung dieses Vertrags.

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht. Es gilt deutsches Recht.