← AETHER Blocks · Privacy Policy · Impressum

Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: 06.10.2026

English summary: This data processing agreement (DPA) under Art. 28 GDPR applies automatically between every merchant who installs AETHER Blocks (controller) and AETHER Studio, Leopold Schuller (processor). It covers the Block-Analytics events described in our Privacy Policy. No separate signature is needed; a countersigned copy is available on request at leopold@aetherstudios.de.

§ 1 Parteien und Geltung

Dieser Vertrag gilt zwischen dem Händler, der die Shopify-App AETHER Blocks installiert („Verantwortlicher“), und AETHER Studio, Leopold Schuller, Stielerstraße 5, 80336 München („Auftragsverarbeiter“). Er wird mit der Installation der App Bestandteil der Nutzung und gilt, solange die App installiert ist. Eine Unterschrift ist nicht erforderlich; auf Wunsch senden wir ein gegengezeichnetes Exemplar.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um dem Verantwortlichen die Funktion „Block-Analytics“ bereitzustellen: Anzeige, welche AETHER-Blöcke im Onlineshop angeklickt werden und wie viele Bestellungen darauf folgen. Eine Verarbeitung zu eigenen Zwecken, zu Werbezwecken oder zum Training von KI-Modellen findet nicht statt.

• Betroffene: Besucherinnen und Besucher des Onlineshops des Verantwortlichen.
• Datenarten: pseudonyme Browser-Kennung von Shopify (clientId), Klicks in AETHER-Blöcken (Blockname, Aktion, Beschriftung von Button oder Produkt), abgeschlossene Bestellungen (Gesamtbetrag, Währung, Anzahl der Positionen), Zeitpunkt.
• Nicht verarbeitet werden: Namen, E-Mail-Adressen, Telefonnummern, Postanschriften, IP-Adressen, Bestell- oder Kundennummern, Zahlungsdaten.
• Erhebung: über das Shopify Web Pixel der App, nur wenn die Datenschutz- bzw. Cookie-Einstellungen der Besucherin oder des Besuchers Analysen erlauben.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen und Funktionen der App gelten als solche Weisung; weitere Weisungen sind per E-Mail an leopold@aetherstudios.de möglich. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

§ 4 Vertraulichkeit und Sicherheit

Zugriff auf die Daten hat nur der Betreiber der App; er ist zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verschlüsselung aller Verbindungen (HTTPS, TLS 1.2 oder höher) und der Datenbank im Ruhezustand;
• Speicherung ausschließlich in Rechenzentren in Frankfurt am Main (EU);
• Zugriff auf Produktivsysteme nur mit persönlichem Konto und Zwei-Faktor-Anmeldung;
• Trennung der Daten nach Shop; jeder Händler sieht nur die Daten seines eigenen Shops;
• automatische Löschung nach festen Fristen (§ 8).

§ 5 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Fly.io, Inc. — Betrieb des App-Servers, Standort Frankfurt am Main;
• Neon, Inc. — Datenbank (PostgreSQL), Standort Frankfurt am Main (AWS eu-central-1);
• Functional Software, Inc. (Sentry) — Fehlerüberwachung, nur falls aktiviert; es werden keine Daten von Shop-Besuchern übermittelt.

Soweit diese Anbieter auf Daten zugreifen können, ist die Übermittlung durch die EU-Standardvertragsklauseln und, wo anwendbar, das EU-US Data Privacy Framework abgesichert. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 14 Tage vorher im Dashboard der App; der Verantwortliche kann widersprechen und die App jederzeit deinstallieren.

§ 6 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 15–22 DSGVO), bei der Datenschutz-Folgenabschätzung und bei Meldungen an Aufsichtsbehörden, soweit die Daten der App betroffen sind. Shopify-Anfragen customers/data_request und customers/redact werden automatisch beantwortet.

§ 7 Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die im Shopify-Konto hinterlegte Adresse.

§ 8 Löschung

• Analytics-Ereignisse werden nach 180 Tagen automatisch gelöscht.
• Nach der Deinstallation werden die Zugangsdaten sofort gelöscht; mit dem Shopify-Webhook shop/redact(48 Stunden nach der Deinstallation) werden alle übrigen Daten des Shops gelöscht, einschließlich aller Analytics-Ereignisse und Shop-Check-Ergebnisse.
• Kopien werden nicht aufbewahrt, soweit keine gesetzliche Pflicht besteht.

§ 9 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach angemessener Vorankündigung, in der Regel durch schriftliche Auskunft.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen zur Nutzung der App geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen werden mindestens 14 Tage vorher im Dashboard der App angekündigt.

Kontakt

AETHER Studio (Leopold Schuller) · leopold@aetherstudios.de