Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

1. Gegenstand und Dauer der Verarbeitung

1.1

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten durch ShopFlare im Auftrag des Kunden im Rahmen der Nutzung der ShopFlare AI Chatbot-SaaS sowie der damit verbundenen Trainings-, Integrations- und Supportleistungen (Hauptvertrag).

1.2

Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages sowie – soweit erforderlich – für Abwicklungs- und Löschfristen gemäß Hauptvertrag. Danach werden personenbezogene Daten nach Weisung des Kunden gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Art der Verarbeitung:

Erheben, Speichern, Auslesen, Übermitteln, Löschen; Bereitstellung und Betrieb des Chatbots; Monitoring/Fehleranalyse; Support; Konfiguration/Training mit vom Kunden bereitgestellten Inhalten.

2.2 Zweck der Verarbeitung:

Erbringung der vertraglich geschuldeten Leistungen gegenüber dem Kunden. Eine Nutzung zu eigenen Zwecken von ShopFlare (insb. Training allgemeiner Modelle über Kundengrenzen hinweg) erfolgt nur, wenn dies ausdrücklich separat vereinbart ist.

2.3 Kategorien betroffener Personen:

Endnutzer des Kunden (Website-/Messenger-Nutzer), Mitarbeitende/Administratoren des Kunden, sonstige Kommunikationspartner des Kunden.

2.4 Arten personenbezogener Daten:

Kommunikationsinhalte (Chattexte), Nutzungs-/Meta-Daten (Zeitstempel, Interaktionsdaten), ggf. Kontaktdaten sofern vom Endnutzer eingegeben, technische Identifikatoren (z. B. IP, Device/Browser-Informationen – abhängig vom Kanal), Zugangsdaten/Administrationsdaten, soweit vom Kunden bereitgestellt.

3. Weisungsrecht des Kunden

3.1

ShopFlare verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht. In diesem Fall informiert ShopFlare den Kunden vor der Verarbeitung, sofern das Gesetz dies nicht untersagt.

3.2

Weisungen können in Textform (z. B. E-Mail, Ticket-System) erteilt werden. ShopFlare weist den Kunden unverzüglich darauf hin, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

4. Pflichten von ShopFlare (Auftragsverarbeiter)

4.1 Vertraulichkeit:

ShopFlare stellt sicher, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben.

4.2 Sicherheit (Art. 32 DSGVO):

ShopFlare trifft geeignete technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten. Die wesentlichen TOMs sind in Anlage 1 beschrieben.

4.3 Unterstützung:

ShopFlare unterstützt den Kunden im angemessenen Umfang bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO), bei der Meldung von Datenschutzverletzungen sowie bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO), soweit die Unterstützung durch ShopFlare erforderlich ist und die Informationen bei ShopFlare verfügbar sind.

4.4 Meldung von Datenschutzverletzungen:

ShopFlare informiert den Kunden unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Kunden betrifft.

4.5 Löschung/Rückgabe:

Nach Beendigung des Hauptvertrages löscht oder gibt ShopFlare personenbezogene Daten nach Wahl/Weisung des Kunden zurück, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4.6 Nachweise/Audits:

ShopFlare stellt dem Kunden die zur Prüfung der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung und ermöglicht Audits nach angemessener Vorankündigung. Audits erfolgen während der üblichen Geschäftszeiten.

5. Unterauftragsverarbeiter

5.1 ShopFlare darf Unterauftragsverarbeiter einsetzen, soweit dies zur Leistungserbringung erforderlich ist und der Kunde hierzu eine allgemeine Genehmigung erteilt. ShopFlare informiert den Kunden über beabsichtigte wesentliche Änderungen bei der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb einer angemessenen Frist widersprechen.

5.1a Nutzung über ShopFlare-Account: ShopFlare betreibt die KI-Chatbot-Plattform auf eigener Infrastruktur und nutzt die in Anlage 2 genannten Unterauftragsverarbeiter (insb. Supabase für Hosting/Datenbank, OpenAI für Embeddings und Sprachmodell-Antworten, Firecrawl für das Crawlen der Kunden-Webseiten, Resend für Transaktions-E-Mails, Stripe für Zahlungsabwicklung) über von ShopFlare geführte Accounts zur Erbringung der Leistungen für mehrere Kunden. ShopFlare stellt eine mandantengetrennte Konfiguration und Datentrennung (Row-Level-Security) sicher und beschränkt Zugriffe auf Kundendaten nach dem Need-to-know-Prinzip. Ein direktes Vertragsverhältnis zwischen Kunde und den Unterauftragsverarbeitern besteht nicht.

5.2 ShopFlare schließt mit Unterauftragsverarbeitern Verträge ab, die die Anforderungen des Art. 28 DSGVO erfüllen, und bleibt dem Kunden gegenüber verantwortlich.

5.3 Anlage 2 enthält – sofern bekannt und anwendbar – eine Liste der wesentlichen Unterauftragsverarbeiter. Alternativ kann ShopFlare eine aktuelle Liste im Kundenbereich bereitstellen.

6. Drittlandtransfers

6.1 Soweit im Rahmen der Leistungserbringung eine Übermittlung in Drittländer erforderlich ist, erfolgt diese nur unter Einhaltung der Vorgaben der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln/SCC). Details ergeben sich aus der Unterauftragsverarbeiter-Liste/Anlage 2.

6.2 Konkret erfolgt eine Übermittlung in die USA an OpenAI, L.L.C. (Verarbeitung von Chat-Inhalten zur Generierung von Antworten und Embeddings) sowie an Stripe Payments Europe Ltd. mit US-Konzernverbindung (Zahlungsabwicklung) und Resend, Inc. (Versand von Transaktions-E-Mails). Diese Anbieter sind nach dem EU-U.S. Data Privacy Framework (DPF) zertifiziert bzw. ShopFlare hat mit ihnen die EU-Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 abgeschlossen. Eine Übersicht und ggf. zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung) sind in Anlage 2 dokumentiert.

6.3 Hosting der Plattform-Datenbank (Supabase, EU-Region Frankfurt) sowie Crawling-Dienst (Firecrawl) verarbeiten primär innerhalb der EU; etwaige untergeordnete US-Transfers durch deren Subprozessoren sind durch SCC bzw. DPF abgesichert.

7. Schlussbestimmungen

7.1 Dieser AVV wird Bestandteil des Hauptvertrags. Bei Widersprüchen gehen die Regelungen dieses AVV bezüglich der Auftragsverarbeitung vor.

7.2 Es gilt deutsches Recht. Gerichtsstand richtet sich nach dem Hauptvertrag, soweit gesetzlich zulässig.

7.3 Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

7.4 Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine wirksame Regelung als vereinbart, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)

• Zugriffskontrolle: rollenbasierte Berechtigungen, starke Passwörter/2FA soweit verfügbar.
• Übertragungssicherheit: TLS-verschlüsselte Übertragung zwischen Client/Server und relevanten Integrationen.
• Datenspeicherung: logisch getrennte Mandanten; Backups nach definiertem Backup-Konzept.
• Protokollierung: Logging von administrativen Zugriffen und sicherheitsrelevanten Ereignissen, soweit technisch möglich.
• Verfügbarkeits-/Integritätsmaßnahmen: Monitoring, regelmäßige Updates, Schwachstellenmanagement, Wiederherstellungsprozesse.
• Löschkonzept: Löschung/Anonymisierung von Logs nach vertraglicher Frist; Löschung bei Vertragsende nach Weisung.

Anlage 2 – Unterauftragsverarbeiter (Liste)

Stand: November 2026. ShopFlare setzt zur Erbringung der vertraglichen Leistungen folgende Unterauftragsverarbeiter ein:

Änderungen: ShopFlare informiert den Kunden über wesentliche Änderungen (Hinzufügung/Ersetzung) von Unterauftragsverarbeitern in Textform mit angemessener Vorankündigung. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.