Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag gilt zwischen dem Shop, der die App MyRetura in seinem Shopify-Store installiert (Verantwortlicher), und der SendDrop GmbH, Fürstenweg 12, 83395 Freilassing, Deutschland (Auftragsverarbeiter). Er wird mit der Installation der App geschlossen und ergänzt die Nutzungsbedingungen. Er setzt Art. 28 DSGVO um.

1. Gegenstand und Dauer

Gegenstand ist die Abwicklung von Rücksendungen: Anlegen einer Retoure, Erzeugen des Versandetiketts, Statusmeldungen an den Kunden und Rückmeldung der Retoure an den Shop. Die Verarbeitung dauert so lange, wie die App im Shop installiert ist, zuzüglich der unten genannten Löschfristen.

2. Art der Daten und Kreis der Betroffenen

• Betroffene: Kundinnen und Kunden des Shops, die eine Rücksendung anmelden.
• Daten: Bestellnummer und Bestellpositionen, Name, E-Mail-Adresse, Telefonnummer, Liefer- und Rechnungsanschrift, Rückgabegrund, optional hochgeladene Fotos, Sendungsnummer.

3. Weisungsbindung

Wir verarbeiten die Daten ausschließlich zur Erbringung der beschriebenen Leistung und nach Weisung des Shops. Weisungen erteilt der Shop über die Einstellungen in der App oder schriftlich an [email protected]. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen sie aussetzen.

4. Vertraulichkeit

Zugriff auf Kundendaten haben nur die Personen, die ihn zur Erbringung der Leistung brauchen. Sie sind zur Vertraulichkeit verpflichtet. Zugriffe auf den internen Verwaltungsbereich werden protokolliert.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung (TLS) auf allen Verbindungen.
• Verschlüsselung personenbezogener Felder in der Datenbank (AES-256-GCM): Name, E-Mail, Anschrift, Etiketten, Fotos.
• Täglich verschlüsselte Sicherungskopien auf einen zweiten Speicherort; Wiederherstellung wird geprüft.
• Zugang zum Server ausschließlich über SSH-Schlüssel, keine Passwortanmeldung.
• Täglicher Löschlauf für abgelaufene Daten (siehe Ziffer 7).
• Protokollierung der Zugriffe auf den internen Verwaltungsbereich.

6. Unterauftragsverarbeiter

Der Shop stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hetzner Online GmbH, Deutschland — Hosting der Anwendung und Datenbank.
• General Logistics Systems (GLS) — Erzeugung und Zustellung der Rücksendeetiketten.
• Google Ireland Ltd. — Versand der E-Mails an Kunden und Shop.
• Cloudflare — Auslieferung und Transportverschlüsselung der Website.

Wechsel oder Ergänzungen teilen wir mindestens 30 Tage vorher per E-Mail mit. Der Shop kann widersprechen und die App in diesem Fall kündigen.

7. Löschung und Rückgabe

• Fotos und Versandetiketten: 90 Tage nach Abschluss der Retoure.
• Name, E-Mail-Adresse, Anschrift: ein Jahr nach Abschluss der Retoure; danach bleibt der Vorgang nur anonym bestehen.
• Nach Deinstallation: spätestens 30 Tage danach; die Löschanforderung von Shopify (shop/redact) setzen wir sofort um.
• Auskunfts- und Löschanfragen einzelner Kunden (customers/data_request, customers/redact) werden automatisiert beantwortet beziehungsweise ausgeführt.

8. Unterstützung des Verantwortlichen

Wir unterstützen den Shop bei Betroffenenanfragen, bei der Datenschutz-Folgenabschätzung und bei Meldungen nach Art. 33 und 34 DSGVO. Von einer Datenschutzverletzung informieren wir den Shop unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

9. Nachweise und Kontrolle

Auf Anfrage stellen wir die Informationen bereit, die für den Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglichen Überprüfungen nach vorheriger Ankündigung.

10. Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt. Übermittlungen in Drittländer erfolgen nur auf Grundlage der EU-Standardvertragsklauseln.

Stand: 13.09.2026. Fragen zum Datenschutz: [email protected].