Vereinbarung zur Auftrags­verarbeitung

Verantwortlicher ist der Betreiber des Shopify-Shops („Merchant“), der Inkmate installiert.

Auftragsverarbeiter ist:

Valerian Huber, Einzelunternehmen
Anschrift gemäß Impressum
support@inkmate.shop · valerian@luvex.tech

Nicht Gegenstand dieser Vereinbarung sind die Daten, die Inkmate als eigener Verantwortlicher verarbeitet: die Vertrags- und Abrechnungsdaten des Merchants selbst und die Betriebsprotokolle zur Sicherheit des Dienstes.

Zustandekommen mit der Installation der App im Shopify-Shop; eine individuelle Aushandlung findet nicht statt. Diese Vereinbarung geht den Nutzungsbedingungen vor, soweit sie personenbezogene Daten betrifft.

Bereitstellung eines Werkzeugs für Druckvorlagen (Flyer, Beilagen, QR-Codes, Landingpages) im Shop des Merchants, samt Auswertung von QR-Scans, Erfassung von Kontakten über Landingpages und Rechnungserstellung für Bestellungen, soweit der Merchant diese Funktionen nutzt. Jede Nutzung zu eigenen Zwecken des Auftragsverarbeiters ist ausgeschlossen, insbesondere Profilbildung, Werbung und das Training von KI-Modellen. Inkmate setzt keine KI-Dienste ein.

Dauer: für die Laufzeit der Installation; die Folgen des Endes regelt § 9.

Vom Merchant hochgeladene Bilder (z. B. Logos) können Personen zeigen. Der Auftragsverarbeiter behandelt sie als personenbezogen. Hochgeladene Bilder sind über ihre Adresse öffentlich abrufbar, weil sie in gedruckten und digitalen Vorlagen erscheinen (Anlage 2).

Zahlungsdaten der Endkunden werden nicht verarbeitet.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten diese Vereinbarung sowie die Bedienung der App durch den Verantwortlichen.

Einzelweisungen sind in Textform an die in der Präambel genannte Adresse zu richten.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen darauf hin.

Der Auftragsverarbeiter ist ein Einzelunternehmen. Zugriff auf Produktivdaten hat ausschließlich der Inhaber des Einzelunternehmens.

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen, einschließlich der dort offen benannten Lücken.

Der Verantwortliche erteilt die allgemeine Genehmigung für die in Anlage 1 genannten Dienste. Über jede Änderung informiert der Auftragsverarbeiter 30 Tage vorher. Der Verantwortliche kann aus wichtigem Grund widersprechen; bleibt es bei der Änderung, hat er das Recht zur Beendigung.

Klaviyo wird nur tätig, wenn der Merchant sein Klaviyo-Konto verbindet und eine Automation „an Klaviyo senden“ einrichtet. Klaviyo ist dann für diese Daten Auftragsverarbeiter des Merchants aufgrund seines eigenen Vertrags; Inkmate übermittelt auf dessen Weisung.

Der Auftragsverarbeiter unterstützt bei Anträgen nach Art. 15–22 DSGVO. Löschanträge von Endkunden, die über Shopify eingehen (customers/redact), werden automatisch umgesetzt: Kontakte, Ereignisse und Stempel werden gelöscht, Seriendruck-Vorlagen und Kennzahlen anonymisiert, gerenderte Dateien entfernt. Rechnungen bleiben erhalten, weil der Merchant sie aufbewahren muss (§ 9).

Auskunftsanträge (customers/data_request) werden erfasst und über den Support beantwortet; einen Selbstbedienungs-Export gibt es noch nicht.

Der Auftragsverarbeiter meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden ab Kenntnis an den Merchant. Die Meldung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenkategorien und ungefähre Zahl betroffener Personen, Zeitpunkt von Eintritt und Entdeckung, wahrscheinliche Folgen sowie ergriffene und geplante Maßnahmen.

Der Auftragsverarbeiter meldet nicht selbst an die Aufsichtsbehörde. Er unterstützt bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen (Art. 36 DSGVO).

Soweit während laufender Nutzung einer Löschung eine gesetzliche Aufbewahrungspflicht entgegensteht, werden die Daten gesperrt statt gelöscht (Art. 17 Abs. 3 lit. b DSGVO; Art. 5 Abs. 1 lit. b und c DSGVO).

Nachweise: durch diese Vereinbarung samt Anlagen; eine Prüfung vor Ort ist mit Vorankündigung möglich. Der Auftragsverarbeiter besitzt keine Zertifizierung.

Drittland: Die Verarbeitung erfolgt in der EU, soweit Anlage 1 nichts anderes nennt. Die Transfergrundlage steht je Anbieter dort.

Haftung: nach Art. 82 DSGVO. Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Art. 28 Abs. 4 DSGVO

1. Unterauftragsverarbeiter

2. Vom Merchant selbst beauftragt

3. Nicht als Unterauftragsverarbeiter geführt

Nicht im Einsatz: Anthropic und OpenAI.

Art. 32 DSGVO

1. Vertraulichkeit

• Physisch: Rechenzentrum Hostinger Frankfurt; Dateien bei Hetzner in Falkenstein.
• Anmeldung: ausschließlich über Shopify; Session-Token mit geprüfter Signatur, Ablauf und Zielgruppe. Umgehung nur im Entwicklungsmodus.
• Shopify-Zugriffstoken verschlüsselt gespeichert (AES-256-GCM).
• Schnittstellen-Schlüssel der Merchants werden bei der Deinstallation widerrufen.
• Mandantentrennung über die Shop-Kennung in der Anwendung; keine Zeilen-Sicherheitsregeln in der Datenbank (Nr. 6).
• Datenbank nur lokal auf dem Server gebunden, nicht von außen erreichbar.
• Datenminimierung: IP-Adressen nur als HMAC-Hash; keine KI-Dienste; keine Zahlungsdaten.

2. Integrität

• Transport nur verschlüsselt (TLS, Let's Encrypt).
• Webhooks mit HMAC-Prüfung in konstanter Zeit.
• Rechnungen mit fortlaufender Nummer je Shop.

3. Verfügbarkeit

4. Überprüfung

Laufende Überwachung durch den zentralen Betriebsdienst des Betreibers (Erreichbarkeit, Zertifikate, Sicherungsmeldungen, Abhängigkeiten, Container); jährlicher Durchgang dieser Anlage durch den Datenschutzbeauftragten.

5. Auftragskontrolle

Unterauftragsverarbeiter nur nach Anlage 1; zentrales Register beim Betreiber.

6. Offen benannte Lücken (Stand 27. September 2026)

Am 27. September 2026 geschlossen: Der Klaviyo-Schlüssel wird verschlüsselt gespeichert, hochgeladene Bilder werden am Inhalt geprüft (SVG ohne Skripte, Auslieferung ohne Ausführung), das öffentliche Kontaktformular ist je Absender begrenzt, und Fehlerberichte enthalten keine Anfrageparameter mit Zugangsdaten mehr.

26. September 2026 — Erstfassung.