Retourlotse

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung 2026-10-31

Entwurf. Wird vor der Veröffentlichung anwaltlich geprüft; Platzhalter sind markiert.

zwischen dem Shop, der die App Retourlotse installiert („Auftraggeber“), und Bakerly Apps, Inhaber [Vor- und Nachname], [Anschrift] („Auftragnehmer“).

1. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Shopify-App Retourlotse bereit: die Widerrufsfunktion nach § 356a BGB bzw. § 13a FAGG, die Eingangsbestätigung per E-Mail, die Übersicht der Widerrufe mit Fristen und Nachweisen sowie, je nach Tarif, Funktionen für Rücksendungen und Erstattungen. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag gilt, solange die App installiert ist, und darüber hinaus, bis alle Daten nach Ziffer 9 gelöscht sind.

2. Art der Daten und betroffene Personen

Betroffene: Kundinnen und Kunden des Auftraggebers, die einen Vertrag widerrufen oder eine Rücksendung anmelden; Ansprechpersonen des Auftraggebers.
Daten: Name, E-Mail-Adresse, Angaben zur Bestellung (Bestellnummer, Artikel, Mengen, Preise, Liefer- und Bestelldatum), Zeitpunkt des Eingangs der Erklärung, Inhalt der versendeten E-Mails, bei Rücksendungen Gründe, Mengen und Versanddaten (Sendungsnummer, Zeitpunkte) sowie Zugriffsdaten in Server-Protokollen (IP-Adresse, Zeitpunkt, aufgerufene Seite; 14 Tage). Nutzt der Auftraggeber DHL-Retourenlabels, zusätzlich die Lieferanschrift (Name, Straße, Hausnummer, PLZ, Ort, Land): Sie wird nur zum Erstellen des Labels aus Shopify gelesen, an DHL übermittelt (ohne E-Mail-Adresse und Telefonnummer) und nur in der Labeldatei gespeichert. Die Labeldatei wird spätestens 60 Tage nach ihrer Erstellung gelöscht (30 Tage nach Ablauf des Labels), bei Ablehnung oder Stornierung der Rücksendung innerhalb eines Tages; die Sendungsnummer bleibt beim Fall. Daten des Auftraggebers: Shop-Adresse, Einstellungen, Shopify-Zugriffsschlüssel und – wenn genutzt – Zugangsdaten zum DHL-Geschäftskundenportal. Keine besonderen Kategorien nach Art. 9 DSGVO.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag, die Einstellungen in der App und Aufträge per E-Mail. Das gilt auch für die Übermittlung in ein Drittland außerhalb der EU bzw. des EWR, die nur auf Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO erfolgt. Ist der Auftragnehmer nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dem Auftraggeber dies vorher mit, sofern das Recht eine solche Mitteilung nicht verbietet. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

5. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 14 Tage vorher per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und die App deinstallieren. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind, insbesondere auf geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer dem Auftraggeber dafür wie für eigenes Handeln (Art. 28 Abs. 4 DSGVO).

7. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) — insbesondere über den CSV-Export und die Löschung einzelner Widerrufe — sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.

8. Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden.

9. Löschung

Erledigte Widerrufe werden nach der vom Auftraggeber in der App gewählten Frist (12 bis 60 Monate) automatisch gelöscht, noch offene spätestens 12 Monate danach. Nach der Deinstallation löscht der Auftragnehmer alle Daten des Auftraggebers, spätestens sobald Shopify die Löschung anfordert (48 Stunden nach der Deinstallation), soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Nach Wahl des Auftraggebers gibt der Auftragnehmer die Daten vorher zurück (CSV-Export, den der Auftraggeber jederzeit selbst auslösen kann) oder löscht sie. Kopien in Sicherungen werden mit dem regulären Sicherungszyklus, spätestens nach 14 Tagen, gelöscht.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach vorheriger Anmeldung in angemessenem Umfang.

11. Schlussbestimmungen

Es gilt deutsches Recht. Der Vertrag kommt durch Bestätigung in der App in elektronischer Form zustande (Art. 28 Abs. 9 DSGVO); Zeitpunkt und Fassung werden gespeichert. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor.

Anlage 1: Technische und organisatorische Maßnahmen

  • Verschlüsselte Übertragung (HTTPS/TLS, E-Mail-Versand über TLS).
  • Hosting ausschließlich in Deutschland; Zugriff auf Server und Datenbank nur durch den Inhaber (Server nur per SSH-Schlüssel, Konten mit Zwei-Faktor-Anmeldung); die Datenbank ist nur auf dem Server selbst erreichbar.
  • Tägliche, verschlüsselte Sicherungen (AES-256), 14 Tage aufbewahrt, derzeit auf demselben Server; die Wiederherstellung wird bei Änderungen am Sicherungsverfahren getestet (zuletzt am 31.10.2026).
  • Datensparsamkeit: von Shopify werden die E-Mail-Adresse der Bestellung und – nur wenn der Auftraggeber DHL-Retourenlabels nutzt – Name und Lieferanschrift gelesen, Letztere nur für das jeweilige Label.
  • Zugangsdaten des Auftraggebers zum DHL-Geschäftskundenportal werden verschlüsselt (AES-256-GCM) gespeichert und nie angezeigt.
  • Unveränderbares Ereignisprotokoll je Widerruf; automatische Löschung nach Frist.
  • Getrennte Test- und Produktivdaten; Testsysteme nutzen nur erfundene Daten.
  • Automatische Sicherheitsupdates; Prüfung aller Anfragen von Shopify per Signatur.

Anlage 2: Unterauftragsverarbeiter

  • Hetzner Online GmbH, Gunzenhausen (Deutschland) — Server, Datenbank und E-Mail-Versand, Standort Deutschland.

Shopify ist die Plattform des Auftraggebers und kein Unterauftragsverarbeiter des Auftragnehmers.

DHL-Retourenlabels erstellt der Auftragnehmer im Auftrag und über den eigenen Geschäftskundenvertrag des Auftraggebers mit der DHL Paket GmbH; DHL erhält die Lieferanschrift dabei als Vertragspartner des Auftraggebers, nicht als Unterauftragsverarbeiter des Auftragnehmers.