Auftragsverarbeitungsvertrag für die Shopify-App „TidyCheckout“

Stand: 23. Oktober 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

zwischen dem Händler, der die App „TidyCheckout“ in seinem Shopify-Shop installiert hat („Verantwortlicher“ bzw. „Händler“),

und der

dropprinters GmbH
45. Etage T1, Große Gallusstraße 14
60315 Frankfurt am Main, Deutschland
Amtsgericht Frankfurt am Main, HRB 138475
vertreten durch die Geschäftsführer Edgard Zanovskiy und Lorenz Milz
(„Auftragsverarbeiter“ bzw. „dropprinters“).

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und wird mit der Installation der App vereinbart.

Vorbemerkung

TidyCheckout speichert keine Daten von Endkunden des Händlers. Die Checkout-Function, die Zahlarten nach den Regeln des Händlers ausblendet, sortiert oder umbenennt, führt Shopify auf der eigenen Infrastruktur aus; die dabei gelesenen Checkout-Daten erhält dropprinters nicht. Die Regeln liegen als Metafeld in Shopify. Dieser Vertrag wird vorsorglich geschlossen, für den Fall, dass dropprinters bei der Bereitstellung der App personenbezogene Daten im Auftrag des Händlers verarbeitet.

§ 1 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Händlers im Rahmen der App TidyCheckout, nämlich:
  1. Der Vertrag gilt, solange die App im Shop des Händlers installiert ist, und darüber hinaus, bis dropprinters alle Daten aus dem Auftrag gelöscht hat (§ 9).
  2. Daten, die dropprinters als eigene Verantwortliche verarbeitet (Shop- und Sitzungsdaten), sind nicht Gegenstand dieses Vertrags; dafür gilt die Datenschutzerklärung.
  3. Die Ausführung der Checkout-Function durch Shopify ist nicht Gegenstand dieses Vertrags. Dafür gelten die Vereinbarungen zwischen dem Händler und Shopify.

§ 2 Art der Daten, Betroffene, Zweck

  1. Kategorien betroffener Personen: Endkunden des Händlers, soweit der Händler sie in Regeln erkennbar macht oder ihre Daten im Support oder bei der Einrichtung zur Kenntnis gelangen.
  2. Arten personenbezogener Daten: Inhalte von Regeln (z. B. Postleitzahlen, Kunden-Tags), soweit sie einer Person zugeordnet werden können; Angaben, die der Händler im Support übermittelt.
  3. Zweck: Bereitstellung und Einrichtung der Zahlungsanpassung im Shop des Händlers.
  4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.

§ 3 Weisungen

  1. dropprinters verarbeitet die Daten nur auf dokumentierte Weisung des Händlers, es sei denn, eine gesetzliche Pflicht verlangt eine andere Verarbeitung; in diesem Fall teilt dropprinters dem Händler diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
  2. Die Weisungen sind abschließend in diesem Vertrag, den Nutzungsbedingungen und den Einstellungen und Aktionen des Händlers in der App festgelegt (z. B. Anlegen, Ändern und Schalten von Regeln). Weitere Weisungen erteilt der Händler in Textform an support@dp-digital.de.
  3. Hält dropprinters eine Weisung für rechtswidrig, weist dropprinters den Händler unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Pflichten von dropprinters

  1. dropprinters verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit. Zugriff auf die Produktionsumgebung haben ausschließlich die beiden Geschäftsführer.
  2. dropprinters trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. dropprinters darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
  3. dropprinters verarbeitet die Daten ausschließlich in der Europäischen Union.

§ 5 Unterauftragsverarbeiter

  1. Der Händler genehmigt den folgenden Unterauftragsverarbeiter:
  1. dropprinters informiert den Händler mindestens 30 Tage vorher in der App oder per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Händler kann aus wichtigem datenschutzrechtlichem Grund widersprechen; bei einem Widerspruch kann er die App ohne weitere Kosten deinstallieren.
  2. dropprinters erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen.

§ 6 Unterstützung bei Rechten der Betroffenen

  1. Wendet sich eine betroffene Person direkt an dropprinters, leitet dropprinters die Anfrage unverzüglich an den Händler weiter und beantwortet sie nicht selbst, soweit keine Weisung vorliegt.
  2. dropprinters unterstützt den Händler mit technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte nach Art. 15 bis 22 DSGVO. Die Regeln sieht und ändert der Händler selbst in der App; Datenschutz-Anfragen über Shopify (customers/data_request, customers/redact) beantwortet TidyCheckout automatisch, da keine Endkundendaten gespeichert sind.
  3. dropprinters unterstützt den Händler außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).

§ 7 Meldung von Datenschutzverletzungen

  1. dropprinters meldet dem Händler eine Verletzung des Schutzes personenbezogener Daten aus diesem Auftrag unverzüglich, nachdem sie dropprinters bekannt geworden ist, per E-Mail an die Kontakt-Adresse des Shops.
  2. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Informationen, die noch nicht vorliegen, reicht dropprinters schrittweise nach.
  3. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Händler; dropprinters unterstützt ihn dabei, damit er die Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann.

§ 8 Nachweise und Kontrollen

  1. dropprinters stellt dem Händler auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.
  2. Der Händler kann Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach rechtzeitiger Ankündigung in Textform, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte und Unterlagen.

§ 9 Löschung und Rückgabe

  1. Regeln speichert TidyCheckout nicht auf eigenen Servern; sie liegen als Metafeld in Shopify und können vom Händler jederzeit in der App geändert, exportiert oder gelöscht werden.
  2. Angaben aus Support-Anfragen und der Einrichtung löscht dropprinters, sobald sie für den Zweck nicht mehr erforderlich sind, soweit keine gesetzliche Aufbewahrungspflicht besteht.
  3. Nach der Deinstallation löscht dropprinters die Sitzungen des Shops, spätestens wenn Shopify die Datenschutz-Anfrage shop/redact sendet (48 Stunden nach der Deinstallation). In verschlüsselten Sicherungskopien können Daten danach noch bis zu 90 Tage enthalten sein (Datenträger-Snapshots bis zu 7 Tage); sie werden mit Ablauf der Aufbewahrungsfrist automatisch gelöscht und bis dahin nicht weiter verarbeitet, außer zur Wiederherstellung nach einem Datenverlust.

§ 10 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.
  2. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.
  3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Frankfurt am Main.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verschlüsselung

Verfahren zur regelmäßigen Überprüfung

Datenminimierung und Löschung