Auftragsverarbeitungsvertrag Codixio EU-Widerrufsbutton
1. Parteien und Gegenstand
Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gilt zwischen dem Betreiber des Shopware-Shops, der die App Codixio EU-Widerrufsbutton installiert (Verantwortlicher, nachfolgend Händler), und Matthias Jakisch, Hauptstr. 34, OT Etingen, 39359 Oebisfelde-Weferlingen, Deutschland, Telefon +49 39059 974988, E-Mail allgemein support@codixio.com, E-Mail Datenschutz und Recht legal@codixio.com, Einzelunternehmen (keine Handelsregister-Eintragung), tätig unter der Handelsbezeichnung Codixio, Umsatzsteuer-Identifikationsnummer nach Paragraph 27a UStG: DE296346917, Steuerstatus: Kleinunternehmer nach Paragraph 19 UStG (Auftragsverarbeiter, nachfolgend Codixio). Gegenstand ist der Betrieb der App einschließlich des zugehörigen Backends zur Entgegennahme, Prüfung und Bestätigung von Widerrufsanträgen der Kunden des Händlers.
2. Dauer
Der Vertrag beginnt mit der Installation der App und endet mit ihrer Deinstallation. Die Löschpflichten aus Ziffer 10 bleiben unberührt.
3. Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen
Art und Zweck: Entgegennahme von Widerrufsanträgen über das Formular der App, Prüfung gegen die Bestelldaten des Händler-Shops, Veranlassung der Bestätigungs-E-Mails über die Mail-Infrastruktur des Shops, Ratenbegrenzung zur Missbrauchsabwehr, Erstellung pseudonymisierter Prüfnachweise, automatische Löschung nach Fristablauf. Datenarten: Name, E-Mail-Adresse, Bestellnummer, optional Postleitzahl, optional Widerrufsgrund, ausgewählte Bestellpositionen, IP-Adresse; dauerhaft gespeichert werden davon ausschließlich HMAC-Prüfwerte von E-Mail-Adresse und IP-Adresse, Bestellnummer, Zeitstempel, Prüfergebnis und die serverseitig ermittelten Positionen. Kategorien betroffener Personen: Kunden des Händlers, die einen Widerruf erklären.
4. Weisungsbindung
Codixio verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Händlers. Die Installation, Konfiguration und Nutzung der App sowie dieser Vertrag gelten als Weisung. Hält Codixio eine Weisung für rechtswidrig, informiert Codixio den Händler unverzüglich.
5. Vertraulichkeit
Codixio stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Technische und organisatorische Maßnahmen
Codixio trifft die erforderlichen Maßnahmen nach Art. 32 DSGVO, insbesondere: Transportverschlüsselung sämtlicher Verbindungen (TLS), Pseudonymisierung von E-Mail-Adresse und IP-Adresse per HMAC-SHA256 mit geheimem Serverschlüssel vor jeder Speicherung, keine Speicherung oder Protokollierung von Klartext-IP oder Klartext-E-Mail, Ratenbegrenzung gegen automatisierten Missbrauch, personenbezugsfreie Server-Protokolle, Betrieb in deutschen Rechenzentren (Hetzner, Falkenstein und Nürnberg), Zugriffsbeschränkung auf das Backend über kryptographische Registrierungsdaten je Shop, automatische, fristgebundene Löschung der Prüfnachweise sowie vollständige Löschung der Shop-Daten im Backend bei Deinstallation.
7. Unterauftragsverarbeiter
Der Händler genehmigt den Einsatz des folgenden Unterauftragsverarbeiters: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, Tätigkeit Hosting-Provider für Anwendungsserver und Postgres-Datenbank, Verarbeitungsstandorte Falkenstein (DE) und Nürnberg (DE). Coolify wird als selbst betriebene Open-Source-Container-Orchestrierung auf dieser Infrastruktur eingesetzt und ist kein externer Dienstleister. Weitere Unterauftragsverarbeiter bestehen nicht; insbesondere werden kein externer Mail-Versanddienstleister und kein KI-Dienst eingesetzt. Über beabsichtigte Änderungen informiert Codixio den Händler vorab in Textform; der Händler kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
8. Unterstützungspflichten
Codixio unterstützt den Händler mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12 bis 23 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit die Verarbeitung im Rahmen dieses Vertrags betroffen ist. Hinweis: Die pseudonymisierten Prüfnachweise kann Codixio ohne zusätzliche Angaben keiner Person zuordnen (Art. 11 DSGVO).
9. Meldung von Verletzungen
Codixio meldet dem Händler Verletzungen des Schutzes personenbezogener Daten im Rahmen dieses Vertrags unverzüglich nach Kenntniserlangung.
10. Löschung und Rückgabe
Die pseudonymisierten Prüfnachweise liegen in der Datenbank des Händler-Shops und damit in der unmittelbaren Verfügungsgewalt des Händlers; sie werden durch die App nach 90 Tagen automatisch gelöscht. Die im Backend gespeicherten Shop-Registrierungs- und Tarifdaten löscht Codixio bei Deinstallation der App automatisch und vollständig. Darüber hinausgehende Kopien bestehen nicht.
11. Nachweis und Kontrolle
Codixio stellt dem Händler alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen. Kontrollen erfolgen nach Vorankündigung zu üblichen Geschäftszeiten; vorrangig werden aussagekräftige Unterlagen und Testate bereitgestellt.
12. Abgrenzung: eigene Verantwortlichkeit von Codixio
Nicht Gegenstand dieses Vertrags ist die Verarbeitung der Registrierungs-, Vertrags- und Tarifdaten des Händlers selbst; insoweit ist Codixio eigenständig Verantwortlicher. Die App liefert keine öffentlich abrufbaren Seiten über Codixio-Infrastruktur aus.
13. Schlussbestimmungen
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt. Die maßgebliche Fassung dieses Vertrags ist unter https://legal.codixio.com/apps/eu-widerrufsbutton-shopware/dpa abrufbar; die Datenschutzerklärung der App unter https://legal.codixio.com/apps/eu-widerrufsbutton-shopware/privacy.