Auftragsverarbeitungsvereinbarung (AVV)

Gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO). Stand: Oktober 2026.

§ 1 Vertragsparteien

Auftragsverarbeiter: Animals Ayurveda UG, Sachsenstraße 1, 07551 Gera, Deutschland. Amtsgericht Jena, HRB 522407; USt-IdNr. DE370485694. Vertreten durch Hans-Jörg Kubbe. E-Mail: ahkmedia@gmail.com. Website: https://appsely.com.

Verantwortlicher: Der jeweilige Geschäftskunde, der Appsely für die Verarbeitung personenbezogener Daten in eigener datenschutzrechtlicher Verantwortung nutzt. Seine Identifikation erfolgt anhand der im Appsely-Vertragskonto hinterlegten Unternehmensdaten.

§ 2 Gegenstand und Geltungsbereich

1. Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch Appsely im Auftrag des Verantwortlichen.

2. Sie gilt für alle genutzten Appsely-Funktionen, soweit Appsely als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO handelt; insbesondere Dokumentenverwaltung, geschäftliche Korrespondenz, Abrechnung, Kundenverwaltung, Shop-Anbindungen, Versand- und Organisationsfunktionen.

3. Die Einzelheiten ergeben sich aus Anlage 1. Die AVV ergänzt den Hauptvertrag. Bei Widersprüchen zur Auftragsverarbeitung hat die AVV Vorrang.

4. Für Mitglieds-, Vertrags- und Abrechnungsdaten, die Appsely zu eigenen Zwecken verarbeitet, handelt Appsely unabhängig von dieser AVV als eigener Verantwortlicher.

§ 3 Dauer der Verarbeitung

1. Die Verarbeitung beginnt mit der wirksamen Vereinbarung und endet grundsätzlich mit der Appsely-Vertragsbeziehung.

2. Nach Vertragsende erfolgt Rückgabe oder Löschung nach § 11. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 4 Weisungsrecht des Verantwortlichen

1. Appsely verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung entgegensteht.

2. Weisungen können durch bestimmungsgemäße Nutzung der Anwendungen, Einstellungen, Bestellabrufe und Versandaufträge sowie ergänzend in Textform erfolgen.

3. Appsely informiert den Verantwortlichen unverzüglich, falls eine Weisung nach Auffassung von Appsely gegen das Datenschutzrecht verstößt.

4. Besteht eine gesetzliche Verarbeitungspflicht, informiert Appsely den Verantwortlichen vorab, soweit dies rechtlich zulässig ist.

§ 5 Pflichten des Verantwortlichen

1. Der Verantwortliche stellt eine Rechtsgrundlage für seine Verarbeitungen sicher, bestimmt Zwecke und Umfang und erfüllt seine Informationspflichten gegenüber betroffenen Personen.

2. Er ist verantwortlich für die Richtigkeit der übermittelten Daten, die eigenen Benutzerberechtigungen und die rechtmäßige Nutzung angebundener Shops und weiterer externer Systeme.

3. Besondere Schutzanforderungen teilt er Appsely rechtzeitig mit.

§ 6 Pflichten des Auftragsverarbeiters

Appsely verpflichtet sich,

• ausschließlich auf dokumentierte Weisungen zu verarbeiten;
• alle befugten Personen zur Vertraulichkeit zu verpflichten;
• geeignete Maßnahmen nach Art. 32 DSGVO einzusetzen;
• Unterauftragsverarbeiter nur nach § 8 einzusetzen;
• den Verantwortlichen bei Betroffenenrechten und Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
• Datenschutzverletzungen gemäß § 10 mitzuteilen;
• die Daten nach Vertragsende entsprechend § 11 zu löschen oder zurückzugeben;
• erforderliche Nachweise bereitzustellen und zulässige Überprüfungen zu ermöglichen.

§ 7 Technische und organisatorische Maßnahmen

1. Appsely trifft dem Risiko angemessene technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik und der Verarbeitung nach Art. 32 DSGVO.

2. Die konkret vereinbarten Maßnahmen werden in Anlage 2 dokumentiert. Das Schutzniveau darf durch Änderungen nicht unterschritten werden.

3. Wesentliche Änderungen mit Einfluss auf das Schutzniveau werden dem Verantwortlichen mitgeteilt.

§ 8 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage 3 aufgeführten Unterauftragsverarbeiter, sobald die Anlage vollständig vereinbart ist.

2. Beabsichtigte Änderungen werden grundsätzlich 30 Tage im Voraus mitgeteilt. Der Verantwortliche kann aus begründeten datenschutzrechtlichen Gründen widersprechen.

3. Appsely verpflichtet Unterauftragsverarbeiter vertraglich nach Art. 28 DSGVO und bleibt für deren vertragsgemäße Pflichterfüllung verantwortlich.

4. Vom Händler selbst ausgewählte Shop- und Versanddienste sind nicht allein deshalb Unterauftragsverarbeiter von Appsely.

§ 9 Betroffenenrechte und Unterstützung

1. Appsely unterstützt den Verantwortlichen im erforderlichen Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

2. An Appsely gerichtete Anfragen über Daten, für die ausschließlich der Geschäftskunde verantwortlich ist, werden soweit möglich an den Kunden weitergeleitet.

3. Die materielle Entscheidung über Rechte betroffener Personen verbleibt beim Verantwortlichen.

Ergänzung – Shopify-Connector und Multi-Shop

Der Appsely Shopify-Connector dient der technischen Verbindung eines vom Händler autorisierten Shopify-Shops mit Appsely. Der Connector betreibt kein eigenständiges Kunden- oder Bestellarchiv.

Der Händler entscheidet selbst über den Abruf seiner Bestellungen und die Durchführung der Versandbearbeitung. Die hierfür erforderlichen Informationen können technisch durch Appsely verarbeitet werden. Der Abruf erfolgt über die vom Händler autorisierte Verbindung.

Appsely speichert eigene Mitgliedschafts-, Lizenz-, Verbindungs- und Betriebsdaten. Im Rahmen der Versandbearbeitung können außerdem personenbezogene Versanddatensätze entstehen. Diese sind von einem vollständigen Shopdatenarchiv zu unterscheiden.

Die Aufbewahrung dieser Versanddaten ist auf den erforderlichen Zweck und Zeitraum zu begrenzen. Konkrete Löschfristen und technische Löschverfahren sind entsprechend der tatsächlichen Implementierung zu dokumentieren.

§ 10 Datenschutzverletzungen

1. Appsely informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die unter diese AVV fällt.

2. Die Meldung enthält die verfügbaren Angaben zur Art der Verletzung, zu betroffenen Daten, möglichen Folgen und Gegenmaßnahmen. Fehlende Informationen werden nachgereicht.

3. Appsely unterstützt den Verantwortlichen bei seinen Pflichten nach Art. 33 und 34 DSGVO.

§ 11 Rückgabe und Löschung

1. Nach Ende der Auftragsverarbeitung löscht Appsely nach Wahl des Verantwortlichen die personenbezogenen Daten oder gibt diese in geeignetem Format zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.

2. Gesetzlich weiter aufzubewahrende Daten werden geschützt und nur für zulässige Zwecke verarbeitet.

3. Die Löschung in Backups erfolgt nach dem dokumentierten Sicherungs- und Löschkonzept. Bis dahin wird eine produktive Weiterverarbeitung ausgeschlossen.

4. Eine Löschbestätigung kann verlangt werden.

§ 12 Kontrollen und Nachweise

1. Appsely stellt die nach Art. 28 DSGVO nötigen Informationen zur Verfügung und ermöglicht angemessene Kontrollen einschließlich Überprüfungen durch beauftragte Prüfer.

2. Kontrollen erfolgen mit angemessener Vorankündigung und unter Schutz der Rechte anderer Kunden und der Systemsicherheit. Zwingende gesetzliche Rechte bleiben unberührt.

§ 13 Datenübermittlungen in Drittländer

1. Übermittlungen außerhalb des EWR erfolgen nur auf dokumentierte Weisung oder gesetzliche Verpflichtung und unter den Anforderungen der Art. 44 ff. DSGVO.

2. Erforderlichenfalls werden geeignete Garantien, etwa Angemessenheitsbeschlüsse oder Standardvertragsklauseln, eingesetzt.

3. Dienstleister und Verarbeitungsstandorte werden in Anlage 3 dokumentiert.

§ 14 Vertraulichkeit

Appsely verpflichtet zur Datenverarbeitung befugte Personen zur Vertraulichkeit. Diese Verpflichtung besteht nach Ende der Tätigkeit fort.

§ 15 Schlussbestimmungen

1. Änderungen müssen dokumentierbar vereinbart werden; elektronische Form ist zulässig.

2. Im Fall der Unwirksamkeit einzelner Bestimmungen bleiben die übrigen Bestimmungen bestehen; gesetzliche Regelungen treten an die Stelle unwirksamer Klauseln.

3. Die AVV ergänzt die Appsely-AGB und wird nur durch dokumentierte elektronische Annahme oder anderweitige wirksame Vereinbarung verbindlich.

Anlage 1 – Beschreibung der Verarbeitung

A. Gegenstand

Technische Bereitstellung und Betrieb von Appsely-Anwendungen, soweit personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet werden.

B. Art und Zwecke

Die Verarbeitung kann Erfassen, Abrufen, Speichern, Strukturieren, Verändern, Übermitteln, Bereitstellen und Löschen umfassen. Zwecke sind Dokumentenverwaltung, Korrespondenz, Rechnungs- und Auftragsbearbeitung, Kunden- und Terminverwaltung, Shop-Verbindungen und Bestellabrufe, Versandaufträge, Etiketten sowie Trackinginformationen.

C. Betroffene Personen

• Kunden und Interessenten des Verantwortlichen
• Käufer in angebundenen Shops
• Brief- und Paketempfänger
• Ansprechpartner bei Geschäftspartnern
• Beschäftigte und berechtigte Nutzer
• weitere rechtmäßig erfasste Personen

D. Datenarten

• Namen, Postanschriften, E-Mail-Adressen und Telefonnummern
• Bestell-, Rechnungs-, Zahlungsstatus- und Auftragsinformationen
• Artikel- und Leistungsinformationen
• Versand- und Trackingdaten
• Dokumente, Korrespondenz und technische Kennungen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind kein Bestandteil der standardmäßig vorgesehenen Verarbeitung; erforderlichenfalls bedarf es besonderer Vereinbarungen und Schutzmaßnahmen.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

1. Zutrittskontrolle

Die Infrastruktur von Appsely wird auf Servern eines externen Rechenzentrumsbetreibers bereitgestellt. Für die physische Zutrittskontrolle ist dessen vertraglich dokumentiertes Sicherheitskonzept maßgeblich. Konkrete Nachweise sind zu hinterlegen.

2. Zugangskontrolle

Administrative Zugänge werden vom Betreiber verwaltet. Appsely verwendet Anmeldung und geschützte Sitzungen; Benutzerpasswörter werden als kryptografische Hashes gespeichert. Konkrete Anforderungen an Administrator-Zugänge sind gesondert zu dokumentieren.

3. Zugriffs- und Mandantentrennung

Die Appsely-Anwendungen prüfen Konten und Berechtigungen. Die Märkte Deutschland, Frankreich und Österreich verwenden getrennte Marktkennungen und Datenbank-Zugriffsregeln. Berechtigungen für konkrete Rollen und Datenbestände sind regelmäßig zu kontrollieren.

4. Übertragungssicherheit

Browser- und API-Kommunikation erfolgen über HTTPS/TLS. Shopify-Verbindungen werden vom Händler autorisiert; technische Zugriffstokens werden verschlüsselt gespeichert. Eine Verschlüsselung sämtlicher gespeicherter personenbezogener Daten ist hiermit nicht pauschal bestätigt.

5. Datenminimierung und Zweckbindung

Der Shopify-Connector betreibt kein eigenständiges Kunden- oder Bestellarchiv. Bestellungen werden auf Anforderung des Händlers abgerufen. Während der Versandbearbeitung können erforderliche personenbezogene Angaben in Versanddatensätzen verarbeitet und gespeichert werden. Löschfristen sind entsprechend der tatsächlichen Implementierung festzulegen.

6. Test- und Produktionsdaten

Es gibt getrennte Anwendungsprozesse für Produktivbetrieb und Tests. Eine vollständige Isolation von Datenbanken, Dateispeichern und Zugangsdaten ist noch nicht abschließend nachgewiesen und darf bis dahin nicht als umgesetzt bestätigt werden.

7. Sicherung und Wiederherstellung

Für dauerhaft gespeicherte Daten ist ein risikogerechtes Backup- und Wiederherstellungsverfahren vorzusehen. Tatsächliche Backup-Speicherorte, Sicherungsintervalle, Verschlüsselung und Wiederherstellungstests müssen vor verbindlicher Nutzung dieser Anlage dokumentiert und geprüft werden.

8. Sicherheitsvorfälle

Eine interne Richtlinie zur Reaktion auf Sicherheitsvorfälle des Appsely Shopify-Connectors, Version 1.0, ist mit Freigabedatum 10. Oktober 2026 dokumentiert. Sie umfasst Feststellung, Bewertung, Eindämmung, Tokenwiderruf, Benachrichtigung und Vorfalldokumentation. Die operative Umsetzung bleibt erforderlich.

9. Löschung und Aufbewahrung

Personenbezogene Daten werden nur für erforderliche Zwecke und unter Beachtung gesetzlicher Pflichten aufbewahrt. Konkrete Löschfristen und die technische Löschung von Versandentwürfen, Versanddatensätzen und Sicherungen müssen dokumentiert und nachgewiesen werden.

10. Überprüfung

Die Schutzmaßnahmen werden bei wesentlichen Systemänderungen und nach relevanten Sicherheitsvorfällen überprüft. Nachweisbare Änderungen werden dokumentiert.

Anlage 3 – Unterauftragsverarbeiter

1. Einordnung

Unterauftragsverarbeiter sind Anbieter, die personenbezogene Daten im Auftrag von Appsely und mittelbar für verantwortliche Geschäftskunden verarbeiten. Nicht jeder angeschlossene Dienst ist ein Unterauftragsverarbeiter.

2. IONOS SE – Hosting

IONOS SE stellt nach derzeitiger Infrastrukturangabe Server- und Hostingressourcen für Appsely bereit. Der konkrete Rechenzentrumsstandort, die Vertragsbeziehung einschließlich einer AVV und etwaige weitere Verarbeitungsländer sind anhand der Vertragsunterlagen zu bestätigen.

3. Händlerseitige Shop-Anbindungen

Shopify, ECWID und WooCommerce werden durch die jeweiligen Händler selbst verbunden und autorisiert. Diese Dienste sind nicht allein wegen einer technischen Schnittstelle Unterauftragsverarbeiter von Appsely. Die rechtliche Rolle richtet sich nach dem konkreten Vertrags- und Datenfluss.

4. Versanddienstleister

DHL und Deutsche Post erhalten zur Durchführung des vom Händler veranlassten Versands erforderliche Daten. Die rechtliche Rolle ergibt sich aus den jeweiligen Versandverträgen und Verarbeitungsabläufen, nicht allein aus der technischen Anbindung.

5. Weitere Dienstleister

Weitere tatsächlich eingesetzte Hosting-, Kommunikations-, Zahlungs- und Dokumentendienstleister sind einzeln auf ihre Rolle als Unterauftragsverarbeiter zu prüfen und gegebenenfalls mit Firmenname, Funktion, Datenkategorien, Verarbeitungsstandort und Drittlandgarantien aufzunehmen.

6. Änderungen

Über Ergänzungen oder Ersetzungen von Unterauftragsverarbeitern informiert Appsely entsprechend § 8 der AVV. Ein vertraglich vorgesehenes Widerspruchsrecht bleibt unberührt.

Anlage 4 – Dokumentierte Annahme

Verantwortlicher: Geschäftskunde gemäß dem Appsely-Vertragskonto.

Auftragsverarbeiter: Animals Ayurveda UG.

Eine Vereinbarung kommt erst durch eine dokumentierte rechtswirksame Annahme der vollständigen Fassung einschließlich Anlagen zustande. Dieses öffentlich bereitgestellte Dokument allein dokumentiert keine Annahme und stellt keine unterzeichnete Vereinbarung dar.