Auftragsverarbeitungsvertrag für die Shopify-App „EuroKonform“

Stand: 26. Oktober 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

zwischen dem Händler, der die App „EuroKonform“ in seinem Shopify-Shop installiert hat („Verantwortlicher“ bzw. „Händler“),

und der

dropprinters GmbH
45. Etage T1, Große Gallusstraße 14
60315 Frankfurt am Main, Deutschland
Amtsgericht Frankfurt am Main, HRB 138475
vertreten durch die Geschäftsführer Edgard Zanovskiy und Lorenz Milz
(„Auftragsverarbeiter“ bzw. „dropprinters“).

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen. Der Händler nimmt ihn in den Einstellungen der App an; EuroKonform speichert dabei Zeitpunkt, Fassung des Vertrags und die Kennung der Person, die ihn im Shopify-Admin angenommen hat. Ohne Annahme erstellt EuroKonform keine Rechnungen und verarbeitet keine Käuferdaten.

[OFFEN: Löschfristen, Sperre nach Löschanfrage und Aufbewahrung (§ 6 Abs. 2, § 9) vor Launch mit Datenschutzberatung bestätigen.]

§ 1 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Händlers im Rahmen der App EuroKonform, nämlich:
  1. Der Vertrag gilt, solange die App im Shop des Händlers installiert ist, und darüber hinaus, bis dropprinters alle Daten aus dem Auftrag gelöscht hat (§ 9).
  2. Daten, die dropprinters als eigene Verantwortliche verarbeitet (Shop- und Sitzungsdaten, Firmendaten und Einstellungen des Händlers), sind nicht Gegenstand dieses Vertrags; dafür gilt die Datenschutzerklärung.

§ 2 Art der Daten, Betroffene, Zweck

  1. Kategorien betroffener Personen: Käufer des Händlers (Endkunden und Ansprechpersonen von Firmenkunden und Behörden); Personen, deren Daten in Hersteller-Profilen enthalten sind (z. B. Einzelunternehmer); Personen, deren Daten im Support zur Kenntnis gelangen.
  2. Arten personenbezogener Daten:
  1. Zweck: Erstellung, Prüfung, Zustellung, Archivierung und Bereitstellung von Rechnungen; Bereitstellung von Produktsicherheitsangaben auf den Produktseiten des Händlers.
  2. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.

§ 3 Weisungen

  1. dropprinters verarbeitet die Daten nur auf dokumentierte Weisung des Händlers, es sei denn, eine gesetzliche Pflicht verlangt eine andere Verarbeitung; in diesem Fall teilt dropprinters dem Händler diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
  2. Die Weisungen sind abschließend in diesem Vertrag, den Nutzungsbedingungen und den Einstellungen und Aktionen des Händlers in der App festgelegt (z. B. Einschalten der Rechnungen und des E-Mail-Versands, Anlegen und Zuordnen von Hersteller-Profilen, Export). Weitere Weisungen erteilt der Händler in Textform an support@dp-digital.de.
  3. Die unveränderbare Archivierung der Rechnungen für die gesetzliche Aufbewahrungsfrist (§ 9 Abs. 2) erfolgt auf Weisung des Händlers zur Erfüllung seiner Aufbewahrungspflichten; eine spätere Weisung zur Löschung kann dropprinters für diese Dateien technisch nicht vor Ablauf der Frist ausführen. dropprinters kann die Dateien eines Shops jedoch unlesbar machen, indem der Schlüssel des Shops vernichtet wird (§ 9 Abs. 3).
  4. Hält dropprinters eine Weisung für rechtswidrig, weist dropprinters den Händler unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Pflichten von dropprinters

  1. dropprinters verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit. Zugriff auf die Produktionsumgebung haben ausschließlich die beiden Geschäftsführer.
  2. dropprinters trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. dropprinters darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
  3. dropprinters verarbeitet die Daten ausschließlich in der Europäischen Union.
  4. dropprinters verkauft die Daten nicht, gibt sie nicht an Dritte weiter (außer an die Unterauftragsverarbeiter nach § 5) und nutzt sie nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung, Auswertungen über mehrere Shops hinweg oder das Training von KI-Modellen.
  5. dropprinters protokolliert jeden Zugriff auf Käuferdaten, den ein Mensch auslöst (Detailansicht, Download, Druck, Export), sowie jede Datenauskunft, und bewahrt dieses Protokoll 2 Jahre auf.

§ 5 Unterauftragsverarbeiter

  1. Der Händler genehmigt die folgenden Unterauftragsverarbeiter:
  1. dropprinters informiert den Händler mindestens 30 Tage vorher in der App oder per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Händler kann aus wichtigem datenschutzrechtlichem Grund widersprechen; bei einem Widerspruch kann er die App ohne weitere Kosten deinstallieren.
  2. dropprinters erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen.
  3. Die Prüfung der Rechnungsdateien (Mustang, veraPDF, Prüftool der KoSIT) läuft auf dem Server von dropprinters; dafür werden keine Daten an Dritte übermittelt.

§ 6 Unterstützung bei Rechten der Betroffenen

  1. Wendet sich eine betroffene Person direkt an dropprinters, leitet dropprinters die Anfrage unverzüglich an den Händler weiter und beantwortet sie nicht selbst, soweit keine Weisung vorliegt.
  2. dropprinters unterstützt den Händler mit technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte nach Art. 15 bis 22 DSGVO. Ausgestellte Rechnungen ruft der Händler jederzeit in der App ab. Auf eine Auskunftsanfrage, die Shopify übermittelt (customers/data_request), sendet dropprinters alle zu den genannten Bestellungen gespeicherten Daten als ZIP-Datei per E-Mail an die Kontaktadresse des Shops; ist die Datei größer als 20 MB, erhält der Händler einen Hinweis und die Daten auf Rückfrage über einen sicheren Weg. Bei einer Löschanfrage (customers/redact) bleiben ausgestellte Rechnungen wegen der Aufbewahrungspflichten des Händlers (§ 147 AO, § 14b UStG) erhalten, werden aber gesperrt (Art. 18 DSGVO): dropprinters bewahrt sie nur noch auf und versendet sie nicht mehr. Sonstige Daten zu den betroffenen Bestellungen löscht dropprinters. Eingang und Abschluss jeder Anfrage werden protokolliert.
  3. dropprinters unterstützt den Händler außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).

§ 7 Meldung von Datenschutzverletzungen

  1. dropprinters meldet dem Händler eine Verletzung des Schutzes personenbezogener Daten aus diesem Auftrag unverzüglich, nachdem sie dropprinters bekannt geworden ist, per E-Mail an die Kontakt-Adresse des Shops.
  2. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Informationen, die noch nicht vorliegen, reicht dropprinters schrittweise nach.
  3. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Händler; dropprinters unterstützt ihn dabei, damit er die Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann.

§ 8 Nachweise und Kontrollen

  1. dropprinters stellt dem Händler auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.
  2. Der Händler kann Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach rechtzeitiger Ankündigung in Textform, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte und Unterlagen.

§ 9 Löschung und Rückgabe

  1. Während der Laufzeit kann der Händler seine Rechnungen jederzeit als ZIP-Datei oder im DATEV-Format exportieren (Rückgabe).
  2. Die Rechnungsdateien (PDF, XML, Prüfbericht) liegen in einem Archiv mit Object Lock im Compliance-Modus. Sie können während der Aufbewahrungsfrist von 8 Jahren ab dem Ende des Ausstellungsjahres von niemandem geändert oder gelöscht werden, auch nicht von dropprinters, und werden nach Ablauf der Frist automatisch gelöscht.
  3. Nach der Deinstallation löscht dropprinters Sitzungen und Zugriffsschlüssel sofort, Hinweise zu Bestellungen ohne Rechnung, GPSR-Regeln und Abdeckungsdaten mit der Datenschutz-Anfrage shop/redact (48 Stunden nach der Deinstallation). Rechnungen, Verlauf und alle übrigen Datenbankeinträge des Shops bleiben 90 Tage nach der Deinstallation für einen Export erhalten. Danach löscht dropprinters sie und vernichtet den Schlüssel des Shops; die Dateien im Archiv sind ab dann nicht mehr lesbar und laufen mit dem Ende ihrer Frist ab. Erhalten bleiben nur der Nummernkreis (ohne Personenbezug) und die Protokolle nach Abs. 6. [OFFEN: Export-Weg nach der Deinstallation festlegen (z. B. ZIP-Export auf Anfrage an support@dp-digital.de).]
  4. Hersteller-Profile und Produkt-Metafelder liegen in Shopify; der Händler kann sie dort jederzeit ändern oder löschen.
  5. Angaben aus Support-Anfragen löscht dropprinters, sobald sie für den Zweck nicht mehr erforderlich sind, soweit keine gesetzliche Aufbewahrungspflicht besteht.
  6. Während der Laufzeit löscht dropprinters automatisch: Rechnungen und Verlauf in der Datenbank nach Ablauf der Aufbewahrungsfrist (8 Jahre ab Ende des Ausstellungsjahres), Hinweise zu Bestellungen ohne Rechnung 90 Tage nach ihrer Erledigung, Zugriffs- und Änderungsprotokolle nach 2 Jahren, interne Arbeitsaufträge (nur technische Kennungen) nach 30 Tagen.
  7. Datenbank-Sicherungen werden nach 35 Tagen gelöscht, Sicherungen auf dem Server nach höchstens 14 Tagen, Abbilder des Server-Datenträgers nach 7 Tagen. Bis dahin können sie bereits gelöschte Daten noch enthalten. [OFFEN: Wegen der Versionierung des Sicherungsspeichers werden abgelaufene Sicherungen derzeit erst 30 Tage später endgültig entfernt; Regel anpassen oder Höchstdauer hier angeben.]

§ 10 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.
  2. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.
  3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Frankfurt am Main.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verschlüsselung

Protokollierung

Verfahren zur regelmäßigen Überprüfung

Datenminimierung und Löschung