← Zurück zu Levamio Rechts-Check

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO – „Levamio Rechts-Check“ (Shopify-App)

zwischen

dem Händler, der die App „Levamio Rechts-Check“ in seinem Shopify-Shop installiert hat (identifiziert durch die Shop-Domain)
– Verantwortlicher, im Folgenden „Auftraggeber“ –

und

NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO, Building A1, IFZA Business Park, Dubai Digital Park, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate, DIEZ License No. 67837, vertreten durch Tassilo Peter Seitz, E-Mail: support@levamio.com, Datenschutz: privacy@levamio.com
– Auftragsverarbeiter, im Folgenden „Auftragnehmer“ –

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der Shopify-App „Levamio Rechts-Check“ (im Folgenden „App“) nach den Nutzungsbedingungen des Auftragnehmers (https://levamio.com/apps/rechts-check/nutzungsbedingungen, im Folgenden „Hauptvertrag“). Die App prüft Shop-Einstellungen, Produktdaten und öffentlich abrufbare Shop-Seiten auf Hinweise zu rechtlichen Pflichtangaben und stellt Werkzeuge bereit (u. a. GPSR-Angaben, 30-Tage-Tiefstpreis, Vorschläge für Alt-Texte).

1.2 Dieser Vertrag gilt nur für personenbezogene Daten, die in den Shop-Inhalten des Auftraggebers enthalten sind oder die der Auftraggeber in der App einträgt (im Folgenden „Auftragsdaten“, Ziffer 2). Für Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet (insbesondere Shop-Domain, Zugriffstoken, Plan- und Abo-Status, technische Protokolle, Support-Anfragen), gilt die Datenschutzerklärung der App (https://levamio.com/apps/rechts-check/datenschutz).

1.3 Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags, also der Dauer der Installation der App. Pflichten nach Ziffer 9 (Löschung) bestehen über das Vertragsende hinaus fort.

2. Art, Zweck, Datenarten, Betroffene

2.1 Art der Verarbeitung: Abrufen über die Shopify-Schnittstelle und von öffentlich abrufbaren Shop-Seiten, Speichern, Auswerten (automatisierte Prüfung), Anzeigen, Übermitteln an Unterauftragsverarbeiter (Anlage 2), Zurückschreiben in den Shop auf Weisung des Auftraggebers (Metafelder, Alt-Attribute von Produktbildern), Löschen.

2.2 Zweck: Bereitstellung der App nach dem Hauptvertrag, insbesondere Prüfläufe mit Score und Hinweisen, Pflege von GPSR-Angaben, Berechnung und Anzeige des niedrigsten Preises der letzten 30 Tage, Erstellung von Vorschlägen für Alt-Texte auf Anforderung des Auftraggebers.

2.3 Datenarten: Die App fragt keine Berechtigungen für Kunden oder Bestellungen an (kein read_customers, kein read_orders, kein Zugriff auf „Protected Customer Data“). Personenbezogene Daten können nur in folgenden Inhalten enthalten sein:

• Kontaktdaten des Auftraggebers und seiner Mitarbeitenden in Shop-Daten: z. B. Name des Inhabers oder einer Ansprechperson, Anschrift, E-Mail-Adresse oder Telefonnummer in den Rechtstexten (Impressum, Datenschutzerklärung, Widerrufsbelehrung, die die App aus den Shopify-Richtlinien liest) oder auf öffentlich abrufbaren Shop-Seiten (Startseite und eine Produktseite);
• GPSR-Kontaktdaten: Name, Postanschrift und elektronische Kontaktadresse des Herstellers, Importeurs oder der verantwortlichen Person in der EU, soweit es sich um natürliche Personen handelt (z. B. Einzelunternehmer), wie vom Auftraggeber eingetragen;
• Personenbezogene Angaben in Produktdaten: z. B. Namen in Produkttiteln oder -beschreibungen (Designer, Künstler) und erkennbare Personen auf Produktbildern;
• Bei Alt-Text-Vorschlägen (nur auf Klick des Auftraggebers): Bild-URL (Shopify-CDN), das über diese URL abgerufene Produktbild und der Produkttitel; der erzeugte Textvorschlag, falls er eine Person beschreibt.

Nicht Gegenstand der Verarbeitung sind Daten der Endkunden des Auftraggebers (Kunden, Bestellungen, Warenkörbe, Zahlungsdaten). Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand der Verarbeitung; der Auftraggeber fordert keine Alt-Text-Vorschläge für Bilder an, aus denen sich solche Daten ergeben.

2.4 Betroffene: der Auftraggeber selbst (soweit natürliche Person), seine Mitarbeitenden und Ansprechpersonen; Hersteller, Importeure und verantwortliche Personen, soweit natürliche Personen; auf Produktbildern abgebildete oder in Produktdaten genannte Personen.

3. Weisungen

3.1 Der Auftragnehmer verarbeitet die Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO); in diesem Fall teilt er dem Auftraggeber diese Anforderungen vorab mit, sofern das Recht dies nicht verbietet.

3.2 Weisungen sind der Hauptvertrag, dieser Vertrag sowie die Einstellungen und Aktionen des Auftraggebers in der App (z. B. Installation und erteilte Berechtigungen, Start eines Prüflaufs, Eingabe von GPSR-Angaben, Anforderung, Übernahme oder Ablehnung eines Alt-Text-Vorschlags, Deinstallation). Weitere Weisungen erteilt der Auftraggeber in Textform an privacy@levamio.com.

3.3 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Pflichten des Auftraggebers

4.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der Auftragsdaten verantwortlich, insbesondere dafür, dass er die in den Shop und in die App eingetragenen personenbezogenen Daten (z. B. GPSR-Kontaktdaten, Personen auf Produktbildern) verwenden darf und die Betroffenen nach Art. 13, 14 DSGVO informiert sind.

4.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Pflichten des Auftragnehmers

5.1 Vertraulichkeit: Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht nach Ende der Tätigkeit fort.

5.2 Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

5.3 Unterstützung bei Betroffenenrechten: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 12–23 DSGVO). Die meisten Auftragsdaten kann der Auftraggeber selbst in Shopify oder in der App berichtigen oder löschen. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

5.4 Unterstützung bei Art. 32–36 DSGVO: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation.

5.5 Verletzungen des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes der Auftragsdaten unverzüglich, möglichst innerhalb von 24 Stunden, an die im Shopify-Konto hinterlegte Kontakt-E-Mail-Adresse des Shops und, soweit möglich, durch einen Hinweis in der App. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; noch fehlende Angaben werden schrittweise nachgereicht. Unabhängig davon meldet der Auftragnehmer Verletzungen, die Händlerdaten betreffen, nach den Bedingungen von Shopify für App-Entwickler auch an Shopify.

5.6 Nachweise: Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Ziffer 8).

5.7 Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

5.8 Der Auftragnehmer verwendet die Auftragsdaten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen, nicht für Werbung und nicht zum Verkauf.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung, Art. 28 Abs. 2 DSGVO).

6.2 Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters durch einen Hinweis in der App oder per E-Mail an die Kontaktadresse des Shops. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber die App zum Zeitpunkt des Wechsels deinstallieren; bereits bezahlte Zeiträume werden nach den Regeln von Shopify anteilig gutgeschrieben (Hauptvertrag Ziffer 9.1).

6.3 Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

6.4 Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation. Shopify ist nicht Unterauftragsverarbeiter des Auftragnehmers: Shopify ist Vertragspartner des Auftraggebers und verarbeitet die Shop-Daten nach den eigenen Bedingungen und dem Data Processing Addendum von Shopify; der Auftragnehmer greift darauf nur mit den vom Auftraggeber erteilten Berechtigungen zu.

7. Übermittlung in Drittländer

7.1 Der Auftragnehmer hat seinen Sitz in den Vereinigten Arabischen Emiraten; für die VAE besteht kein Angemessenheitsbeschluss der EU-Kommission. Die Auftragsdaten werden bei Unterauftragsverarbeitern gespeichert, die Datenbank in der EU-Region Frankfurt (Anlage 2); der administrative Zugriff durch den Auftragnehmer erfolgt aus den VAE.

7.2 Für Übermittlungen an den Auftragnehmer, auf die Kapitel V DSGVO anwendbar ist, vereinbaren die Parteien mit Abschluss dieses Vertrags die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), die durch diese Bezugnahme Bestandteil dieses Vertrags werden; der Auftraggeber ist Datenexporteur, der Auftragnehmer Datenimporteur. Dabei gilt: Klausel 7 (Kopplungsklausel) findet keine Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung, Frist nach Ziffer 6.2); die Option in Klausel 11 findet keine Anwendung; Klausel 13: zuständig ist die für den Auftraggeber zuständige Aufsichtsbehörde; Klausel 17 Option 1: Recht der Bundesrepublik Deutschland; Klausel 18: Gerichte der Bundesrepublik Deutschland. Anhang I ergibt sich aus der Installation (Parteien) und Ziffer 2 (Beschreibung der Übermittlung), Anhang II aus Anlage 1, Anhang III aus Anlage 2. Eine Kopie der Klauseln erhält der Auftraggeber auf Anfrage. Die Klauseln gehen nach Ziffer 11.2 vor.

7.3 Übermittlungen an Unterauftragsverarbeiter in Drittländern erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Empfänger) oder der Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Unterauftragsverarbeiter).

8. Kontrollrechte

8.1 Der Auftragnehmer weist die Einhaltung seiner Pflichten vorrangig durch Selbstauskünfte, die aktuelle Fassung der Anlage 1 sowie Zertifikate und Prüfberichte seiner Unterauftragsverarbeiter (z. B. ISO 27001, SOC 2) nach.

8.2 Darüber hinaus kann der Auftraggeber nach rechtzeitiger Anmeldung (mindestens 30 Tage) und höchstens einmal je Kalenderjahr, außer bei konkretem Anlass, eine Prüfung durch sich oder einen zur Verschwiegenheit verpflichteten Prüfer verlangen, die vorrangig als Dokumenten- bzw. Fernprüfung erfolgt. Der Auftragnehmer kann für Prüfungen, die über Ziffer 8.1 hinausgehen, eine angemessene Erstattung seines Aufwands verlangen; das gilt nicht, wenn die Prüfung einen erheblichen Verstoß des Auftragnehmers gegen diesen Vertrag ergibt. Prüfungen durch Aufsichtsbehörden bleiben unberührt.

9. Löschung

9.1 Deinstalliert der Auftraggeber die App, löscht der Auftragnehmer sofort die Zugriffstoken und bricht laufende Prüfläufe ab. Alle Auftragsdaten einschließlich Kopien löscht er nach Eingang des Shopify-Webhooks shop/redact (in der Regel 48 Stunden nach der Deinstallation); bleibt der Webhook aus, in der Regel 7 Tage nach der Deinstallation, spätestens jedoch 30 Tage nach der Deinstallation bzw. nach Eingang eines durchsetzbaren Löschersuchens des Auftraggebers oder von Shopify, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Eine Rückgabe ist nicht erforderlich, weil die Shop-Inhalte beim Auftraggeber in Shopify verbleiben.

9.2 Während der Laufzeit löscht ein täglicher Löschjob Auftragsdaten nach den Fristen der Datenschutzerklärung der App (Ziffer 8), u. a. Prüfläufe nach 24 Monaten (auch der letzte Prüfstand, wenn 24 Monate keine Prüfung stattfand), Preisverlauf nach 395 Tagen unter Erhalt des letzten älteren Preises je Variante, Alt-Text-Vorschläge 90 Tage nach Übernahme oder Ablehnung, abgeschlossene Aufträge mit Fehlermeldungen nach 30 Tagen, abgelaufene Online-Sessions 1 Tag nach Ablauf. Datenbank-Sicherungen beim Unterauftragsverarbeiter werden im Rahmen der regulären Rotation gelöscht.

9.3 Metafelder und Alt-Attribute, die die App auf Weisung des Auftraggebers in den Shop geschrieben hat, sind Daten des Auftraggebers in Shopify; sie bleiben dort, bis der Auftraggeber sie entfernt oder Shopify sie entfernt.

9.4 Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

10. Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend anderes vorsieht.

11. Schlussbestimmungen

11.1 Dieser Vertrag wird mit der Installation der App vereinbart; der Hauptvertrag verweist auf ihn. Änderungen und Ergänzungen bedürfen der Textform; für Änderungen gilt Ziffer 10 des Hauptvertrags entsprechend.

11.2 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht; die Standardvertragsklauseln (Ziffer 7.2) gehen diesem Vertrag und dem Hauptvertrag vor.

11.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

11.4 Dieser Vertrag unterliegt abweichend von Ziffer 11.1 des Hauptvertrags dem Recht der Bundesrepublik Deutschland (Art. 28 Abs. 3 DSGVO: Vertrag nach dem Recht eines Mitgliedstaats). Der Gerichtsstand richtet sich nach dem Hauptvertrag, soweit nicht die Standardvertragsklauseln (Ziffer 7.2) oder die DSGVO zwingend anderes bestimmen.

---

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO), Stichpunkte

Vertraulichkeit

• Zutrittskontrolle: keine eigenen Rechenzentren; physische Sicherheit bei Cloudflare und Supabase (bzw. deren Hosting-Anbieter AWS) in zertifizierten Rechenzentren (ISO 27001/SOC 2 laut Anbieter).
• Zugangskontrolle: Admin-Zugänge zu Cloudflare, Supabase, Shopify Partner und Anthropic nur mit starkem Passwort und Zwei-Faktor-Authentifizierung; persönliche Konten, keine geteilten Zugänge.
• Zugriffskontrolle (Anwendung): Zugriff nur aus dem Shopify-Admin über Shopify-Sitzungstoken; Prüfung der Signatur (HMAC) aller Shopify-Webhooks einschließlich der Datenschutz-Webhooks; zeitgesteuerte Läufe als Cron-Trigger des Workers, manueller Aufruf nur mit geheimem Schlüssel; Demo-Modus mit Testdaten in Produktion abgeschaltet.
• Datenbank: Supabase Postgres in der EU-Region Frankfurt (eu-central-1); Zugriff der App nur über Cloudflare Hyperdrive; Row Level Security auf allen Tabellen aktiviert, sodass die öffentliche Datenschnittstelle von Supabase keine Daten liefert (bei neuen Tabellen durch automatisierten Test geprüft).
• Trennungskontrolle (Mandantentrennung): Alle fachlichen Datensätze sind der Shop-Domain zugeordnet; Abfragen filtern nach dem Shop aus der geprüften Shopify-Sitzung bzw. dem signierten Webhook, nie nach einer Angabe aus der Anfrage. Bilder für Alt-Text-Vorschläge lädt der Server selbst über die Shopify-Schnittstelle und prüft, dass sie zum Shop gehören.
• Verschlüsselung: TLS für alle Verbindungen; Storefront-Passwort mit AES-256-GCM verschlüsselt gespeichert (Schlüssel nur als Secret der Laufzeitumgebung); Secrets nie im Quellcode.
• Minimierung: minimale Shopify-Berechtigungen (read_legal_policies, write_products, optional write_files erst bei Bedarf), keine Kunden- und Bestell-Scopes; abgerufener Storefront-HTML-Inhalt wird nicht gespeichert, nur das Prüfergebnis; an den KI-Anbieter nur Bild-URL, Produkttitel und Sprache, nur auf Klick.

Integrität

• Eingabekontrolle: Prüfläufe mit Zeitpunkt und Auslöser; Alt-Text-Vorschläge mit Status (offen, übernommen, abgelehnt); Übernahme in Shopify nur nach Freigabe durch den Auftraggeber.
• Weitergabekontrolle: Schreibzugriffe nur auf App-eigene Metafelder und – mit write_files und Freigabe – das Alt-Attribut von Produktbildern; Titel, Preise und Texte der Produkte ändert die App nicht.

Verfügbarkeit und Belastbarkeit

• Betrieb auf Cloudflare Workers (verteiltes Netzwerk, Smart Placement nahe der Datenbank); Datenbank bei Supabase mit Sicherungen des Anbieters; vor Migrationen zusätzlicher Dump.
• Rücksprung auf eine frühere Worker-Version ohne Neu-Build möglich; Cron-Läufe einzeln abschaltbar.
• Prüfläufe in Abschnitten mit Sperre gegen Doppelverarbeitung; Workers-Logs zur Fehlerauswertung.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests (Vitest) für Prüflogik, Webhooks, Löschjob und Row Level Security bei jeder Änderung; Typprüfung.
• Abhängigkeiten mit festen Versionen; regelmäßige Aktualisierung.
• Überprüfung dieser Anlage mindestens jährlich.
• Löschung: sofortige Löschung der Token bei app/uninstalled; vollständige Löschung aller Shop-Daten bei shop/redact; täglicher Löschjob (02:45 UTC) mit den Fristen der Datenschutzerklärung und einem Sicherheitsnetz, das deinstallierte Shops nach 7 Tagen vollständig löscht, falls shop/redact ausbleibt.
• Notfallplan für Datenpannen mit Meldewegen an Auftraggeber und Shopify (intern).

Anlage 2 – Unterauftragsverarbeiter (Stand 20.10.2026)

Nicht Unterauftragsverarbeiter: Shopify (Vertragspartner des Auftraggebers, Ziffer 6.4; Abrechnung der App-Pläne über Shopify).

Stand: 20.10.2026