Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO.

Version 1.1, Stand 2026-06-24. Dieser AVV ist Bestandteil der Bedingungen, die mit der Installation der EasyBelege-App akzeptiert werden, und wird zwischen dem Händler als Verantwortlichem (nachfolgend "Verantwortlicher") und dem Anbieter (nachfolgend "Auftragsverarbeiter") geschlossen.

Parteien

Auftragsverarbeiter:
EasyBelege
Emanuel José Vargas Luís (Einzelunternehmer, trabalhador independente)
Avenida do Atlântico, n.º 16, 14.º Piso, Escritório 8
1990-019 Lisboa, Portugal
USt-IdNr./NIF: PT233800263
E-Mail: hallo@easybelege.de
Web: https://easybelege.de

Verantwortlicher: der Händler (Betreiber des Shopify-Shops), der die EasyBelege-App installiert und nutzt. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner Endkunden.

Hinweis zur Tätigkeit

EasyBelege ist Software zur Aufbereitung und zum DATEV-Export von Shopify-Buchhaltungsdaten und ersetzt keine Steuerberatung. Das Angebot richtet sich ausschließlich an Unternehmer (B2B). Die Kontenzuordnungen und Steuerschlüssel sind Vorschläge, die der Steuerberater des Verantwortlichen prüft und freigibt.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung (Art. 28 Abs. 3 lit. a, b)

Gegenstand: Verarbeitung von Shopify-Buchhaltungsdaten im Auftrag des Verantwortlichen, um diese für den DATEV-Export aufzubereiten.

Art und Zweck: Entgegennahme von Buchungszahlen (z. B. Bestell- und Belegnummern, Beträge, Steuersätze, Datum, Währung) sowie genau einer verschlüsselten Käufer-USt-IdNr. je Vorgang, Speicherung, Aufbereitung und Bereitstellung für den Export in ein DATEV-kompatibles Format. Gespeichert, ausgewertet und exportiert werden ausschließlich die für die Buchhaltung erforderlichen Daten. Über die verpflichtenden Shopify-Webhooks kann der von Shopify übermittelte Bestell-Payload technisch bedingt weitere Endkundenangaben (z. B. Name, E-Mail-Adresse, Telefonnummer oder Anschrift) enthalten. EasyBelege liest daraus ausschließlich die buchhaltungsrelevanten Buchungszahlen, den Ländercode (Bestimmungsland) und, sofern vorhanden, die Käufer-USt-IdNr. aus; darüber hinausgehende Endkundenangaben werden weder gespeichert noch ausgewertet oder exportiert und unmittelbar verworfen.

Dauer: Die Verarbeitung erfolgt für die Dauer der Installation der App zuzüglich der gesetzlichen Aufbewahrungsfristen. Die Vereinbarung endet mit der Deinstallation der App und der vollständigen Erledigung etwaiger Aufbewahrungs-, Lösch- oder Rückgabepflichten.

2. Kategorien betroffener Personen und Datenkategorien (Art. 28 Abs. 3)

Kategorien betroffener Personen: Endkunden des Verantwortlichen, sofern es sich bei der Käufer-USt-IdNr. um die einer natürlichen Person handelt (typischerweise Geschäftskunden bzw. Unternehmer).

Datenkategorien:

• Buchungszahlen ohne Personenbezug (Bestell- und Belegnummern, Beträge, Steuersätze, Steuerschlüssel, Datum, Währung, Zahlungs- und Gebührenangaben)
• genau eine Käufer-USt-IdNr. je Vorgang, ausschließlich verschlüsselt (AES-256-GCM) gespeichert

Über die Buchungszahlen und die genannte Käufer-USt-IdNr. hinaus werden Namen, E-Mail-Adressen, Telefonnummern oder Anschriften der Endkunden nicht gespeichert, nicht ausgewertet und nicht exportiert. Soweit solche Angaben im von Shopify übermittelten Bestell-Payload technisch enthalten sind, werden sie ausschließlich entgegengenommen und unmittelbar verworfen. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet.

3. Datenfluss (Shopify-GDPR-Webhooks)

Der Datenaustausch zwischen der Shopify-Plattform des Verantwortlichen und EasyBelege erfolgt über die drei verpflichtenden Shopify-Datenschutz-Webhooks:

• customers/data_request: Auskunftsersuchen eines Endkunden werden an den Verantwortlichen weitergeleitet; soweit zu einem Vorgang Daten vorliegen, werden diese bereitgestellt.
• customers/redact: Aufforderung zur Löschung der zu einem Endkunden gespeicherten Daten; die betroffene verschlüsselte USt-IdNr. wird gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• shop/redact: nach Deinstallation und Ablauf der Shopify-Frist werden die zum Shop gespeicherten Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

4. Verarbeitung nur auf dokumentierte Weisung (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die dokumentierten Weisungen ergeben sich aus diesem AVV, aus den Einstellungen und der bestimmungsgemäßen Nutzung der App sowie aus etwaigen ergänzenden Weisungen in Textform. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

5. Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf personenbezogene Daten ist auf die Personen beschränkt, die ihn zur Erfüllung der vertraglichen Pflichten benötigen.

6. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:

• Verschlüsselung der Käufer-USt-IdNr. im Ruhezustand mit AES-256-GCM
• Transportverschlüsselung (TLS) für sämtliche Datenübertragungen
• Hosting ausschließlich innerhalb der EU
• Trennung der Daten je Mandant (Mandantentrennung) auf Datenebene
• Zugriffsbeschränkung nach dem Grundsatz der geringstmöglichen Berechtigung; dedizierter Datenbankzugang
• Maßnahmen zur Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie regelmäßige Datensicherungen
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen

Da EasyBelege Namen, E-Mail-Adressen, Telefonnummern und Anschriften der Endkunden weder speichert noch auswertet oder exportiert und etwaige im Bestell-Payload enthaltene Angaben dieser Art unmittelbar verwirft, ist die Menge dauerhaft verarbeiteter personenbezogener Daten bereits durch Datenminimierung (Art. 25 DSGVO) auf das notwendige Minimum reduziert.

7. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4)

Der Verantwortliche erteilt die allgemeine Genehmigung zur Inanspruchnahme des nachstehenden Unterauftragsverarbeiters:

Beabsichtigte Hinzuziehungen oder Ersetzungen weiterer Unterauftragsverarbeiter teilt der Auftragsverarbeiter dem Verantwortlichen mindestens 30 Tage im Voraus in Textform (in der App oder per E-Mail) mit. Der Verantwortliche kann der Änderung aus berechtigten datenschutzrechtlichen Gründen widersprechen; in diesem Fall kann er die Vereinbarung durch Deinstallation der App vor Wirksamwerden der Änderung beenden.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Flow-down nach Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters in vollem Umfang.

Hinweis: Shopify ist die Commerce-Plattform des Verantwortlichen und handelt auf Grundlage der zwischen dem Verantwortlichen und Shopify geschlossenen Vereinbarung, nicht als Unterauftragsverarbeiter von EasyBelege.

8. Unterstützung des Verantwortlichen (Art. 28 Abs. 3 lit. e, f)

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 28 Abs. 3 lit. e). Anträge betroffener Personen werden insbesondere über die Shopify-Webhooks customers/data_request und customers/redact an den Verantwortlichen weitergeleitet.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f).

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er diese dem Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO), damit der Verantwortliche seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachkommen kann.

9. Löschung oder Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht.

Bei Deinstallation der App werden die operativen Daten (Sitzungen, Token, Einstellungen) gelöscht. Die handels- und steuerrechtlichen Aufbewahrungspflichten (GoBD, § 147 AO) treffen den Verantwortlichen (Händler) und nicht den Auftragsverarbeiter; der Händler ist dafür verantwortlich, seine buchhaltungsrelevanten Daten vor der Deinstallation zu exportieren. Buchhaltungsrelevante Daten hält der Auftragsverarbeiter nur nach Wahl bzw. auf Weisung des Verantwortlichen für dessen Aufbewahrungszeitraum bereit (Art. 28 Abs. 3 lit. g) oder löscht sie; eine eigene, den Auftragsverarbeiter unmittelbar treffende gesetzliche Aufbewahrungspflicht besteht insoweit nicht. Eigene Abrechnungsunterlagen des Anbieters (z. B. Rechnungen über die App-Vergütung) sind von den Shop-Daten des Händlers getrennt und unterliegen den für den Anbieter geltenden Aufbewahrungspflichten.

10. Nachweise, Audit- und Kontrollrechte (Art. 28 Abs. 3 lit. h)

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Prüfungen sind mit angemessener Vorankündigung, in der Regel während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Geschäftsbetriebs sowie unter Wahrung der Vertraulichkeit der Daten anderer Mandanten durchzuführen.

11. Rechtswahl und Gerichtsstand

Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig und im kaufmännischen Verkehr (B2B), der Sitz des Anbieters (Lissabon, Portugal).

Verantwortlich für den Inhalt: Emanuel José Vargas Luís.