Fischer & Habel GmbH, Am Kaiserkai 69, 20457 Hamburg, Deutschland, eingetragen im Handelsregister des Amtsgerichts Hamburg unter HRB 187689, vertreten durch die Geschäftsführer Tobias Fischer und Matthias Habel.

Dieser Auftragsverarbeitungsvertrag gilt zwischen der Fischer & Habel GmbH („Agentur“) und dem Kunden, der mit der Agentur einen Vertrag über Leistungen geschlossen hat („Auftraggeber“, „Hauptvertrag“). Er ist Bestandteil des Hauptvertrags.

Präambel

Die Agentur erbringt für den Auftraggeber die im Hauptvertrag beauftragten Leistungen. Soweit sie dabei personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, regelt dieser Vertrag die Rechte und Pflichten der Parteien nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er bedarf keiner Unterschrift; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand, Dauer und Anwendungsbereich

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch die Agentur im Auftrag des Auftraggebers bei der Erbringung der im Hauptvertrag beauftragten Leistungen. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortwirken, insbesondere aus § 5 (Vertraulichkeit) und § 12 (Löschung und Rückgabe), bestehen fort, bis sie erfüllt sind.

(3) Soweit die Agentur personenbezogene Daten für eigene Zwecke verarbeitet, etwa die Kontaktdaten der Ansprechpartner des Auftraggebers zur Vertragsdurchführung und Abrechnung, ist sie insoweit selbst Verantwortlicher. Dafür gilt dieser Vertrag nicht.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

§ 2 Plattformen des Auftraggebers

(1) Die Agentur erbringt ihre Leistungen überwiegend in Systemen, die der Auftraggeber selbst bei Dritten unterhält („Plattformen des Auftraggebers“), insbesondere in seinem Shopsystem (z. B. Shopify), auf Marktplätzen (z. B. Amazon Seller Central, Vendor Central und Amazon Ads), in Werbe-, Analyse- und Tracking-Konten (z. B. Meta Business Suite, Google Ads, Google Analytics, Google Tag Manager, Google Merchant Center, Google Search Console), in E-Mail- und SMS-Marketing-Systemen (z. B. Klaviyo) sowie in Apps und Diensten, die er dort einsetzt (z. B. Consent-Management-Lösungen und serverseitiges Tagging wie Stape).

(2) Die Anbieter dieser Plattformen sind Vertragspartner des Auftraggebers und keine Unterauftragsverarbeiter der Agentur. Der Auftraggeber ist dafür verantwortlich, mit ihnen die datenschutzrechtlich erforderlichen Vereinbarungen zu schließen, die erforderlichen Einwilligungen einzuholen und Informationspflichten zu erfüllen (etwa über Consent-Banner und Datenschutzerklärung) sowie der Agentur Zugänge mit den erforderlichen Berechtigungen einzuräumen und wieder zu entziehen.

(3) Die Agentur nutzt die Plattformen des Auftraggebers ausschließlich im Rahmen der ihr eingeräumten Berechtigungen und der Weisungen des Auftraggebers. Soweit die Plattform dies ermöglicht, arbeitet sie mit personenbezogenen Benutzerkonten statt mit geteilten Zugangsdaten.

(4) Unterhält die Agentur ein solches Konto ausnahmsweise im eigenen Namen für den Auftraggeber, ist dessen Anbieter Unterauftragsverarbeiter nach § 8 und in der Liste nach § 8 Abs. 2 aufgeführt.

§ 3 Weisungen

(1) Die Agentur verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, sie ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt sie dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Hauptvertrag und dieser Vertrag bilden die anfänglichen Weisungen.

(2) Weisungsberechtigt sind die im Angebot bzw. Hauptvertrag benannten oder später in Textform mitgeteilten Ansprechpartner. Weisungen erfolgen in Textform, etwa per E-Mail oder im gemeinsam genutzten Projektmanagement-Werkzeug. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.

(3) Ist die Agentur der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert sie den Auftraggeber unverzüglich. Sie darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Weisungen, die über die im Hauptvertrag vereinbarten Leistungen hinausgehen, gelten als Änderungswunsch. Dadurch entstehender Mehraufwand wird nach den Sätzen des Hauptvertrags vergütet.

§ 4 Rechte und Pflichten des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, für erforderliche Einwilligungen (etwa für Tracking, Werbezielgruppen und Newsletter) und für die Wahrung der Rechte betroffener Personen.

(2) Der Auftraggeber stellt der Agentur nur die personenbezogenen Daten zur Verfügung, die für die beauftragten Leistungen erforderlich sind. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) stellt er nur nach vorheriger Abstimmung in Textform zur Verfügung.

(3) Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er die Agentur unverzüglich.

§ 5 Vertraulichkeit

Die Agentur setzt bei der Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den für sie maßgeblichen Datenschutzvorschriften vertraut gemacht wurden. Diese Personen verarbeiten die Daten nur auf Weisung des Auftraggebers, es sei denn, sie sind gesetzlich zur Verarbeitung verpflichtet. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

§ 6 Technische und organisatorische Maßnahmen

(1) Die Agentur trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Die Agentur darf sie durch gleichwertige oder wirksamere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert sie.

§ 7 Unterstützung des Auftraggebers

(1) Die Agentur unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten. Wendet sich eine betroffene Person unmittelbar an die Agentur, leitet diese das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, sofern der Auftraggeber sie nicht dazu anweist.

(2) Die Agentur unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(3) Für Unterstützungsleistungen, die über einen geringfügigen Aufwand hinausgehen und nicht auf einem Verstoß der Agentur gegen diesen Vertrag beruhen, kann die Agentur eine Vergütung nach den Sätzen des Hauptvertrags verlangen.

§ 8 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt der Agentur die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen (Art. 28 Abs. 2 DSGVO).

(2) Genehmigt sind die unter https://fischer-habel.com/de/unterauftragsverarbeiter aufgeführten Dienstleister, Stand bei Vertragsschluss.

(3) Beabsichtigt die Agentur, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert sie alle aktiven Kunden mindestens 14 Tage vorher per E-Mail an die zuletzt in Textform mitgeteilte Kontaktadresse und aktualisiert die Liste. Der Auftraggeber kann der Änderung innerhalb dieser Frist in Textform widersprechen, wenn ein wichtiger datenschutzrechtlicher Grund vorliegt. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag hinsichtlich der betroffenen Leistungen zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt.

(4) Die Agentur verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen, insbesondere auf hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen getroffen werden (Art. 28 Abs. 4 DSGVO). Bei standardisierten Diensten genügen deren Auftragsverarbeitungsbedingungen, soweit sie diesen Anforderungen entsprechen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet die Agentur gegenüber dem Auftraggeber für dessen Pflichterfüllung.

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter, bei denen diese keinen Zugriff auf personenbezogene Daten des Auftraggebers erhalten, etwa Telekommunikations-, Post- und Transportdienste. Die Plattformen des Auftraggebers (§ 2) sind keine Unterauftragsverarbeiter.

§ 9 Übermittlung in Drittländer

(1) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (einschließlich des EU-US Data Privacy Framework für danach zertifizierte Empfänger) oder der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914).

(2) Die Grundlage ist für jeden Unterauftragsverarbeiter in der Liste nach § 8 Abs. 2 angegeben. Soweit erforderlich, vereinbart die Agentur mit dem Unterauftragsverarbeiter Standardvertragsklauseln und prüft ergänzende Maßnahmen.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Die Agentur meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihr bekannt geworden ist. Die Meldung geht an die vom Auftraggeber zuletzt in Textform mitgeteilte Kontaktadresse, hilfsweise an den im Hauptvertrag benannten Ansprechpartner.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Angaben, die noch nicht vorliegen, reicht die Agentur unverzüglich nach. Sie ergreift unverzüglich angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern, und stimmt sich dazu mit dem Auftraggeber ab.

(3) Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Auftraggeber vor; die Agentur unterstützt ihn dabei. Eine Meldung nach Absatz 1 ist kein Anerkenntnis eines Verschuldens.

§ 11 Nachweise und Überprüfungen

(1) Die Agentur stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen und verfügbare Nachweise ihrer Unterauftragsverarbeiter, etwa Zertifizierungen oder Prüfberichte.

(2) Reichen diese Informationen nicht aus, kann der Auftraggeber Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht in einem Wettbewerbsverhältnis zur Agentur steht. Überprüfungen sind mit einer Frist von mindestens vier Wochen anzukündigen, finden während der üblichen Geschäftszeiten statt, dürfen den Geschäftsbetrieb nicht unverhältnismäßig stören und erfolgen höchstens einmal je Kalenderjahr, es sei denn, ein konkreter Anlass, insbesondere eine Verletzung des Schutzes personenbezogener Daten oder eine behördliche Anordnung, erfordert eine weitere Überprüfung.

(3) Die Kosten einer Überprüfung trägt der Auftraggeber, es sei denn, sie deckt einen wesentlichen Verstoß der Agentur gegen diesen Vertrag auf.

(4) Die Agentur informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Verarbeitung nach diesem Vertrag betreffen.

§ 12 Löschung und Rückgabe

(1) Nach Ende der Leistungen löscht die Agentur nach Wahl des Auftraggebers alle personenbezogenen Daten des Auftraggebers, die sie in eigenen Systemen gespeichert hat, etwa Exporte, Kopien und Dateien, oder gibt sie ihm zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Trifft der Auftraggeber binnen 14 Tagen nach Ende der Leistungen keine Wahl, löscht die Agentur die Daten. Die Löschung oder Rückgabe erfolgt innerhalb von 30 Tagen nach Ende der Leistungen.

(2) Daten in Sicherungskopien werden im Rahmen der regulären Löschzyklen entfernt und bis dahin nicht mehr aktiv verarbeitet.

(3) Daten in den Plattformen des Auftraggebers (§ 2) verbleiben beim Auftraggeber. Die Agentur beendet ihre Nutzung dieser Plattformen; der Auftraggeber entzieht ihr die eingeräumten Zugänge.

(4) Die Agentur bestätigt die Löschung auf Anfrage in Textform.

§ 13 Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 14 Änderungen dieses Vertrags

(1) Die Agentur kündigt Änderungen dieses Vertrags mindestens vier Wochen vor ihrem Inkrafttreten in Textform an. Widerspricht der Auftraggeber nicht innerhalb dieser Frist, gilt die Änderung als angenommen. Auf diese Folge wird in der Ankündigung ausdrücklich hingewiesen.

(2) Widerspricht der Auftraggeber, gilt die bisherige Fassung fort, und beide Parteien können den Hauptvertrag außerordentlich kündigen.

(3) Änderungen dürfen das Schutzniveau dieses Vertrags nicht senken.

(4) Änderungen, die gesetzlich oder behördlich zwingend sind, gelten ab ihrer Ankündigung.

(5) Die geltende und jede frühere Fassung dieses Vertrags sind unter https://fischer-habel.com/de/avv/archiv dauerhaft abrufbar.

§ 15 Schlussbestimmungen

(1) Dieser Vertrag wird mit Annahme des Angebots bzw. Abschluss des Hauptvertrags wirksam.

(2) Änderungen und Ergänzungen bedürfen der Textform, soweit § 14 nichts anderes bestimmt.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht und dem Zweck der unwirksamen Bestimmung am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach dem Hauptvertrag.

(5) Dieser Vertrag liegt in deutscher und englischer Sprache vor. Bei Abweichungen ist die deutsche Fassung maßgeblich.

(6) Datenschutzanfragen richtet der Auftraggeber an privacy@fischer-habel.com.

Anlage 1 – Beschreibung der Verarbeitung

Es gelten die Module der Leistungen, die im Hauptvertrag beauftragt sind. Die Verarbeitung besonderer Kategorien personenbezogener Daten ist in keinem Modul vorgesehen (§ 4 Abs. 2). Für alle Module gilt: Abstimmung, Projektorganisation und Dokumentation erfolgen über die in der Liste nach § 8 Abs. 2 genannten Werkzeuge.

Modul A: Shopify-Betreuung und -Entwicklung

Art und Zweck: Einrichtung, Konfiguration, Entwicklung und Pflege des Shopify-Shops des Auftraggebers, einschließlich Themes, Apps, Schnittstellen und Datenmigrationen; technischer Support und Fehleranalyse.
Art der Daten: Kontakt- und Stammdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer), Kundenkonto- und Bestelldaten (Bestellungen, Artikel, Beträge, Zahlungs- und Versandstatus, keine vollständigen Zahlungskartendaten), Inhalte von Kundenanfragen, technische Daten wie IP-Adressen und Protokolldaten, soweit sie im Shop gespeichert sind.
Betroffene Personen: Kunden und Interessenten des Auftraggebers, Newsletter-Abonnenten, Beschäftigte und Ansprechpartner des Auftraggebers.

Modul B: E-Mail- und SMS-Marketing (Klaviyo)

Art und Zweck: Einrichtung und Betreuung des E-Mail- und SMS-Marketings des Auftraggebers, Aufbau von Listen und Segmenten, Erstellung und Versand von Kampagnen und automatisierten Abläufen (Flows), Erfolgsauswertung.
Art der Daten: Kontaktdaten (E-Mail-Adresse, Telefonnummer, Name), Einwilligungs- und Abmeldestatus, Profil- und Präferenzdaten, Bestell- und Kaufhistorie, Interaktionsdaten (Öffnungen, Klicks, Aktivitäten im Shop), Segmentzugehörigkeit.
Betroffene Personen: Abonnenten, Kunden und Interessenten des Auftraggebers.

Modul C: Amazon-Betreuung (Seller Central, Vendor Central, Amazon Ads)

Art und Zweck: Pflege von Produktdaten und Angeboten, Bestands- und Preissteuerung, Planung und Steuerung von Werbekampagnen (Amazon Ads), Auswertungen.
Art der Daten: Bestell- und Käuferdaten, die Amazon im Konto des Auftraggebers bereitstellt und die bei der Arbeit im Konto einsehbar sind (etwa Bestellnummer, Artikel, Name und Lieferanschrift); Kampagnen- und Leistungsdaten, überwiegend in aggregierter Form. Die Agentur verwendet Käuferdaten nicht für eigene Zwecke und beachtet die Datenschutzvorgaben von Amazon für Verkäufer und Dienstleister.
Betroffene Personen: Käufer und Interessenten des Auftraggebers auf Amazon.

Modul D: Performance-Marketing, Tracking und Analyse

Art und Zweck: Einrichtung und Steuerung von Werbekampagnen (etwa bei Meta und Google), Konfiguration von Tracking, Conversion-Messung und serverseitigem Tagging, Einbindung der Consent-Steuerung, Pflege von Produktfeeds, Auswertung von Kampagnen- und Website-Daten, Abgleich von Kundenlisten für Werbezielgruppen.
Art der Daten: Online-Kennungen (etwa Cookie-, Geräte- und Klick-IDs), IP-Adressen, Nutzungs- und Interaktionsdaten, Conversion- und Transaktionsdaten, gehashte Kontaktdaten (E-Mail-Adresse, Telefonnummer) für den Zielgruppenabgleich; überwiegend pseudonymisiert oder aggregiert.
Betroffene Personen: Besucher der Websites und Shops des Auftraggebers, seine Kunden und Interessenten, Empfänger von Werbung.

Anlage 2 – Unterauftragsverarbeiter

Die jeweils aktuelle Liste ist unter https://fischer-habel.com/de/unterauftragsverarbeiter abrufbar.

Anlage 3 – Technische und organisatorische Maßnahmen

Die Agentur betreibt keine eigenen Server. Ihre Systeme sind Cloud-Dienste der in Anlage 2 genannten Unterauftragsverarbeiter, die für ihre Infrastruktur eigene, regelmäßig geprüfte Sicherheitsmaßnahmen treffen. Ergänzend gilt:

1. Vertraulichkeit

Zugang zu Systemen: persönliche Benutzerkonten; Zwei-Faktor-Authentifizierung für alle Dienste, die sie unterstützen; Zugangsdaten ausschließlich im Passwortmanager (1Password); automatische Bildschirmsperre; verschlüsselte Datenträger auf allen Arbeitsgeräten; aktuelle Betriebssysteme und Software.
Zugriff auf Daten: Berechtigungen nach dem Erforderlichkeitsprinzip je Kunde und Projekt; Zugänge zu Plattformen des Auftraggebers als persönliche Benutzer mit den nötigen Rollen; regelmäßige Überprüfung der Berechtigungen; Entzug aller Zugänge spätestens am letzten Arbeitstag ausscheidender Personen.
Trennung: Daten jedes Kunden getrennt, etwa in eigenen Tresoren im Passwortmanager, eigenen Projekten und Ordnern; Entwicklung und Tests ohne Echtdaten, soweit möglich.
Pseudonymisierung: Kundenlisten für Werbezielgruppen werden nur gehasht übertragen; Auswertungen erfolgen aggregiert, soweit möglich.

2. Integrität

Weitergabe: Übertragung ausschließlich verschlüsselt (TLS); keine Weitergabe personenbezogener Daten auf mobilen Datenträgern; Datenexporte nur, soweit erforderlich, und Löschung nach Gebrauch.
Eingabe: Nachvollziehbarkeit von Änderungen über die Aktivitäts- und Versionsprotokolle der eingesetzten Systeme und die Aufgabenhistorie im Projektmanagement.

3. Verfügbarkeit und Belastbarkeit

Datenhaltung bei Cloud-Anbietern mit redundanter Infrastruktur und regelmäßigen Sicherungen; Versionsverwaltung des Quellcodes; Fehler- und Ausfallüberwachung eigener Anwendungen.
Wiederherstellung aus den Sicherungen und Versionsständen der Anbieter.

4. Regelmäßige Überprüfung

Verpflichtung aller Beschäftigten auf Vertraulichkeit und Datenschutz; Sensibilisierung bei Beginn der Tätigkeit und regelmäßig danach.
Festgelegter Ablauf für Verletzungen des Schutzes personenbezogener Daten, einschließlich der Meldung nach § 10.
Auswahl von Unterauftragsverarbeitern nach Datenschutz- und Sicherheitskriterien; Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern.
Überprüfung dieser Maßnahmen mindestens einmal jährlich.

Auftragsverarbeitungsvertrag (AVV)