Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Shop-Betreiber (Verantwortlicher) und dem Betreiber der Shopify-App „Belegio" (Auftragsverarbeiter). Stand: 19. Oktober 2026.
Auftragsverarbeitungsvertrag (AVV) — Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO
Version 1.1 · Stand: 19. Oktober 2026
zwischen dem Betreiber des Shopify-Shops, der die App „Belegio" installiert hat (nachfolgend „Verantwortlicher"), und
Artur Hoffmann (Einzelunternehmer), zrapp.group, Okenstraße 352b, 77654 Offenburg, Deutschland, USt-IdNr. DE319009702 (nachfolgend „Auftragsverarbeiter").
Dieser Vertrag wird elektronisch in der App geschlossen (Art. 28 Abs. 9 DSGVO). Spätestens mit der Erstellung des ersten Belegs über die App gilt er als angenommen. Der Zeitpunkt der Zustimmung und die akzeptierte Vertragsversion werden im System dokumentiert.
Gegenstand ist die Erstellung, der Versand und die Speicherung von Rechnungen, Gutschriften, Lieferscheinen und Angeboten mittels der App „Belegio“. Verarbeitet werden Shopify-Bestelldaten und die vom Verantwortlichen selbst eingegebenen Beleg- und Kundendaten. Der Vertrag beginnt mit der Installation der App; seine Datenschutzpflichten gelten bis zur vollständigen Rückgabe bzw. Löschung der im Auftrag verarbeiteten Daten einschließlich der Sicherungskopien fort (vgl. § 7).
Art und Zweck der Verarbeitung sowie die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer. Die vom Verantwortlichen in der App vorgenommene Konfiguration (Einstellungen, Automatisierung, Auswahl von Metafeldern, E-Mail-Versand) gilt als Weisung. Weitere Weisungen können in Textform an support@zrapp.de gerichtet werden. Verpflichtet ihn das Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung, informiert der Auftragsverarbeiter den Verantwortlichen vorab, soweit dies rechtlich zulässig ist. Er informiert ihn unverzüglich, wenn er eine Weisung für datenschutzrechtswidrig hält. Der Verantwortliche ist für die Rechtmäßigkeit seiner Datenverarbeitung und Weisungen sowie für die Information betroffener Personen verantwortlich.
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen gemäß Anlage 2 (Art. 32 DSGVO). Die Maßnahmen dürfen an den Stand der Technik angepasst werden, sofern das Schutzniveau nicht unterschritten wird.
Der Verantwortliche genehmigt die in Anlage 3 aufgeführten Unterauftragsverarbeiter. Beabsichtigte Ergänzungen oder Ersetzungen werden mindestens 30 Tage vorab per E-Mail an die im Shop hinterlegte Adresse angekündigt. Innerhalb dieser Frist kann der Verantwortliche aus datenschutzrechtlichen Gründen widersprechen. Die Parteien prüfen eine Lösung; bis zur Klärung darf der betroffene neue Unterauftragsverarbeiter nicht auf Grundlage dieser Genehmigung eingesetzt werden. Ist keine Lösung möglich, kann der Verantwortliche die betroffene Leistung vor Beginn der Änderung beenden. Ein Widerspruch allein bewirkt keine Deinstallation oder Datenlöschung. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten und bleibt gegenüber dem Verantwortlichen für deren Erfüllung verantwortlich (Art. 28 Abs. 4 DSGVO).
Nach Verarbeitung der Deinstallationsmeldung werden die gespeicherten Shopify-Zugriffs-Token und Sitzungen entfernt, der Shop deaktiviert und die PDF-Links für Endkunden gesperrt. Ein Export über die App ist nach der Deinstallation nicht mehr möglich.
Shopify sendet „shop/redact“ frühestens 48 Stunden nach der Deinstallation. Nach dessen Verarbeitung werden die operativen Shop-Daten gelöscht: Firmendaten, Einstellungen, Rechnungen, Gutschriften, Lieferscheine, Angebote, Nummernkreise und Aktivitätsprotokoll. Bleibt das Ereignis aus, erfasst ein zusätzlicher Löschlauf Shops, die seit mehr als 72 Stunden deinstalliert sind. Er startet im laufenden Dienst erstmals nach fünf Minuten und danach jeweils sechs Stunden nach Abschluss des vorherigen Laufs; Bearbeitungsdauer, Rückstau oder technische Störungen können den Abschluss verzögern. Fehlgeschlagene Löschungen werden erneut versucht. Die 72 Stunden sind der Beginn dieses Ersatzverfahrens und keine zugesicherte Abschlussfrist. Eine vor Abschluss der Löschung erkannte Neuinstallation stoppt die Shop-Löschung; bereits gelöschte Daten werden dadurch nicht wiederhergestellt.
Nach Ende der Leistung wählt der Verantwortliche Rückgabe oder Löschung der Auftragsdaten, soweit keine gesetzliche Speicherungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Für die Rückgabe ist der Export in der App vor der Deinstallation vorgesehen: Der „Steuerberater-Export“ enthält Rechnungen, Gutschriften und Stornos als CSV oder als ZIP mit PDFs (höchstens 300 Belege je ZIP). Angebote und Lieferscheine werden einzeln heruntergeladen; benötigte E-Rechnungs-XML-Dateien sind zusätzlich zu sichern. Andere Rückgabe- oder Löschweisungen sind rechtzeitig an support@zrapp.de zu richten; noch vorhandene Auftragsdaten werden auf Weisung in einem gängigen Format herausgegeben. Nach erfolgter Löschung ist keine Rückgabe mehr möglich. Belegio ersetzt keine gesetzliche Langzeitarchivierung. Der Verantwortliche erfüllt seine Aufbewahrungspflichten selbst (§ 147 AO, § 14b UStG, GoBD); Rechnungen sind regelmäßig acht Jahre aufzubewahren.
Datensicherungen: Die Belegio-Datenbank wird einmal täglich um 02:00 UTC vollständig gesichert und mit AES-256 verschlüsselt. Die Sicherungen liegen auf demselben Server wie die Datenbank in Deutschland; eine vom Server getrennte Sicherungskopie besteht nicht. Ein Ausfall dieses Servers oder seines Datenträgers kann daher auch die Sicherungen betreffen. Es gibt keine fortlaufende Sicherung der Änderungen; bei einer Wiederherstellung aus einem Tagesbackup fehlen die Änderungen seit der letzten erfolgreichen Sicherung. Die vorgesehene Aufbewahrung beträgt 30 Tage; ältere Sicherungen werden durch einen automatischen Bereinigungslauf gelöscht. Gelöschte Auftragsdaten können in bestehenden Sicherungen bis zu deren tatsächlicher Bereinigung enthalten bleiben. Bis dahin sind sie für den regulären Betrieb gesperrt. Bei einer erforderlichen Wiederherstellung sind bereits erteilte Löschweisungen erneut umzusetzen. Auf Verlangen wird die Rückgabe bzw. Löschung bestätigt.
Server-Logs dienen Betrieb, Fehlerdiagnose und Sicherheit. Sie können Zeitstempel, aufgerufene URLs einschließlich Zugriffsparametern, Shop- und Belegkennungen sowie Fehlerinformationen enthalten. Mit Einführung der Maskierung werden Empfängeradressen im regulären Versandprotokoll maskiert. Zuvor erzeugte Einträge können Kunden-E-Mail-Adressen im Klartext enthalten; bestehende Logs werden durch die Umstellung nicht nachträglich maskiert. Die zentrale Log-Auswertung bewahrt Logs 7 Tage auf; lokale Log-Dateien der Server-Container werden nach Größe überschrieben und haben keine feste Aufbewahrungsfrist in Tagen. Diese Regeln gelten auch für die Alteinträge.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie der Pflichten aus Art. 32–36 DSGVO. Insbesondere:
Unmittelbar eingehende Betroffenenanfragen werden unverzüglich an den Verantwortlichen weitergeleitet. Die Unterstützung erfolgt unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen. Informationen zu einer Datenschutzverletzung werden bei Bedarf schrittweise ergänzt.
Der Auftragsverarbeiter stellt alle zur Prüfung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen und Nachweise bereit. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer und wirkt daran mit. Umfang, Zeitpunkt und Vertraulichkeit werden unter Wahrung der Daten anderer Mandanten angemessen abgestimmt; eine notwendige anlassbezogene Kontrolle darf dadurch nicht verhindert werden. Anfragen an support@zrapp.de unter Angabe der Shop-Domain. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt.
Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen geht dieser Vertrag hinsichtlich des Datenschutzes vor.
Kunden und Belegempfänger des Verantwortlichen sowie deren Ansprechpartner, soweit deren Daten in Bestellungen oder Belegen enthalten sind.
Die Wirksamkeit der Maßnahmen ist regelmäßig zu überprüfen; festgestellte Mängel sind zu bewerten und zu beheben. Eine bestimmte Zertifizierung wird durch diesen Vertrag nicht zugesagt.
Bei AWS wird die Region Frankfurt für Amazon SES verwendet. Die Standortwahl schließt Zugriffe oder Weiterverarbeitungen außerhalb des EWR nicht pauschal aus; soweit solche Übermittlungen erfolgen, sind die Vorgaben der Art. 44 ff. DSGVO einzuhalten. AWS stellt hierzu insbesondere Standardvertragsklauseln bereit: AWS EU Data Protection.
Shopify und der vom Verantwortlichen selbst konfigurierte SMTP-Anbieter werden vom Verantwortlichen ausgewählt und in dessen eigener Vertragsbeziehung genutzt. Für deren Datenschutzbedingungen und gegebenenfalls notwendige Auftragsverarbeitungsverträge ist der Verantwortliche zuständig. Alle Belege an Endkunden werden über diesen SMTP-Anbieter versendet. Bei der VIES-Prüfung erhält die Europäische Kommission Ländercode und USt-IdNr.; der technische Cache verwendet Ergebnisse für 24 Stunden bei gültigen und eine Stunde bei ungültigen Nummern und entfernt abgelaufene Einträge im Löschlauf. Belegbezogene Prüfnachweise werden davon getrennt während der Belegspeicherung aufbewahrt.
Fragen zu diesem Vertrag: support@zrapp.de — bitte Shop-Domain angeben. Siehe auch die Datenschutzerklärung.
