Auftragsverarbeitungsvertrag (AVV)

Zwischen

Auftraggeber (Verantwortlicher) — der Händler:

Firma: [Firma] Anschrift: [Adresse] Vertretungsberechtigt: [Vertretungsberechtigt] E-Mail: [E-Mail] USt-IdNr.: [USt-IdNr.]

— nachfolgend „Auftraggeber" —

und

Auftragnehmer (Auftragsverarbeiter):

Wohllebens Waldakademie GmbH & Co. KG Nordstraße 15, 53520 Wershofen Vertreten durch: Johanna Wohlleben & Tobias Wohlleben E-Mail: info@wohllebens-waldakademie.de Handelsregister: Amtsgericht Koblenz HRA 21855 USt-IdNr.: DE 309 489 593

— nachfolgend „Auftragnehmer" —

§ 1 Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Shopify-App "Gutschein Pro" zur Verfügung. Im Rahmen der Nutzung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag beginnt mit Installation der App und endet mit deren Deinstallation.

§ 2 Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung: Speicherung, Abruf, Übermittlung, Löschung

Zweck: Erstellung, Personalisierung, Auslieferung und Verwaltung digitaler und physischer Gutscheine im Shopify-Shop des Auftraggebers, inklusive Kassen-/POS-Einlösung und DATEV-Export

Betroffene Personengruppen:

• Mitarbeiter / Admins des Auftraggebers (Shop-Inhaber)
• Käufer von Gutscheinen im Shop des Auftraggebers
• Empfänger der Gutschein-E-Mails bzw. der physisch versendeten Karten (sofern vom Käufer angegeben)

Datenkategorien:

• Kontakt- und Kommunikationsdaten (Name, E-Mail-Adresse, Shop-Domain)
• Bestelldaten (Bestellnummer, Wert, Währung, Zeitstempel, Belegnummer)
• Personalisierungsinhalte (persönliche Nachricht, hochgeladenes Bild)
• Versand- und Fulfillment-Daten bei physischen Gutscheinen (Lieferadresse, Tracking-Informationen)
• Delivery-Metadaten (E-Mail-Zustell-Events)

§ 3 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers. Einzelweisungen können über die App-Konfiguration oder per E-Mail an info@wohllebens-waldakademie.de erteilt werden.

§ 4 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer setzt u.a. folgende Maßnahmen um:

• Verschlüsselung im Ruhezustand: Gutschein-Codes werden mit AES-256-GCM und shop-spezifischem Schlüssel (HKDF-abgeleitet) verschlüsselt gespeichert. OAuth-Access-Tokens werden ebenfalls nur verschlüsselt persistiert.
• Indexierte Suche ohne Entschlüsselung: Zusätzlich zum verschlüsselten Code wird ein HMAC-SHA256 des normalisierten Codes mit Shop-Salt abgelegt, um Einlösungen ohne Massen-Entschlüsselung durchführen zu können.
• Codes nicht in URLs: QR-Codes und Einlöse-Links verwenden einen UUID-Token statt des tatsächlichen Gutschein-Codes.
• Transport: Alle Verbindungen ausschließlich über TLS 1.2+.
• Zugangskontrolle: Produktions-Server nur über SSH-Key-Authentifizierung, keine Passwort-Logins.
• Rollen/Rechte: Mitarbeiter-Zugriff auf Prod-Systeme ausschließlich auf Need-to-know-Basis.
• POS-Einlösung geschützt: Manuelle Einlösung an der Kasse ist nur mit einem vom Händler gesetzten 4-stelligen PIN möglich; ohne PIN ist die manuelle Einlösung global deaktiviert.
• App-Proxy-Signaturen: Öffentliche Endpunkte (Storefront-Konfigurator, Einlöseseite) verifizieren die HMAC-Signatur von Shopify.
• Error-Monitoring: Sentry mit sendDefaultPii: false — es werden keine IP-Adressen, Cookies oder Request-Bodies an den Monitoring-Dienst übermittelt.
• GoBD-Revisionssicherheit: Transaktionen erhalten eine lückenlose Belegnummer pro Shop; DATEV-Exporte werden mit SHA-256-Prüfsumme und Exportzeitraum revisionssicher dokumentiert.
• Löschfristen: Automatisches Scrubbing personenbezogener Daten 6 Monate nach Gutschein-Ablauf, -Einlösung oder -Deaktivierung (mit Ausnahme steuerlich relevanter Daten nach § 147 AO). Session- und OAuth-Daten werden bei Deinstallation sofort gelöscht.

§ 5 Unter-Auftragsverarbeiter

Der Auftragnehmer setzt folgende Unter-Auftragsverarbeiter ein:

• Shopify International Ltd. (Irland / USA) – Plattform-Infrastruktur
• Resend Inc. (USA) – E-Mail-Versand
• Functional Software, Inc. d/b/a Sentry (EU-Region) – Fehler-Monitoring
• Hetzner Online GmbH (Deutschland) – Hosting

Die jeweils aktuelle Liste ist unter https://gutscheinpro.de/legal/subprocessors einsehbar. Änderungen werden mit angemessener Frist angekündigt; der Auftraggeber kann binnen 30 Tagen nach Ankündigung widersprechen.

§ 6 Rechte der Betroffenen

Der Auftragnehmer unterstützt den Auftraggeber bei der Wahrnehmung der Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

§ 7 Meldepflichten

Der Auftragnehmer informiert den Auftraggeber unverzüglich über Datenpannen, die personenbezogene Daten des Auftraggebers betreffen.

§ 8 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragnehmer alle personenbezogenen Daten gemäß den in der Datenschutzerklärung dokumentierten Fristen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 9 Haftung und Schlussbestimmungen

Es gelten die Regelungen der Hauptverträge (Nutzungsbedingungen). Für diesen AVV gilt deutsches Recht.

---

Zustimmung

Mit Installation und Nutzung der App durch einen authentifizierten Benutzer des Shops bestätigt der Auftraggeber den Abschluss dieses Auftragsverarbeitungsvertrags. Die elektronische Zustimmung wird mit Zeitstempel und Hash der Vertragsversion dokumentiert.

Angenommen am: [noch nicht angenommen] Version (SHA-256-Hash): 64d51e037b47e1de2a7c796378b2abbd22470a39541bc4995a9e675cea77b218

Stand: 21.04.2026