Vertrag zur Auftragsverarbeitung (AVV)

§ 1 Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

FlowToo verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform „FlowToo". Die Plattform bietet KI-gestützte Kundenservice-Automatisierung für Shopify-Shops, insbesondere:

• Ticket-Inbox und automatisierte Bearbeitung von Kundensupport-Anfragen
• KI-gestützte Analyse und Beantwortung von Support-Tickets
• Retouren-Verwaltung
• Retention-Funktionen
• WISMO-Tracking (Where Is My Order)
• Storno-Bearbeitung
• Admin-Dashboard zur Verwaltung der Support-Prozesse
• Integration mit dem Shopify-Shop des Auftraggebers zur Abrufung von Bestell- und Kundendaten

1.2 Dauer

Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrags. Der AVV beginnt mit der Registrierung des Auftraggebers und endet mit vollständiger Beendigung des Hauptvertrags und abgeschlossener Löschung aller im Auftrag verarbeiteten Daten gemäß § 11.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Dienste:

• E-Mail-/Ticket-Verarbeitung: Empfang, Speicherung und automatisierte Beantwortung von Kundensupport-Anfragen
• KI-gestützte Analyse: Verarbeitung von Ticket-Inhalten zur Kategorisierung und Generierung von Antwortvorschlägen über die Base44-Plattform
• E-Commerce-Datenabfrage: Abruf von Bestell-, Versand- und Kundendaten aus dem Shopify-Shop des Auftraggebers
• Sendungsverfolgung: Abfrage von Tracking-Status über 17TRACK für Retouren-/WISMO-Funktionen
• Zahlungsabwicklung: Verwaltung des FlowToo-Abonnements über Stripe (betrifft primär den Auftraggeber selbst, nicht dessen Endkunden)
• E-Mail-Versand: Versand automatisierter Support-Antworten über Mailgun

Die Verarbeitung erfolgt auf dokumentierte Weisung des Auftraggebers gemäß Art. 28 Abs. 3 lit. a DSGVO. Der Hauptvertrag sowie die Nutzung der Plattformfunktionen gelten als dokumentierte Weisung.

§ 3 Art der personenbezogenen Daten

3.1 Daten der Endkunden des Auftraggebers

• Kontaktdaten: Name, E-Mail-Adresse, ggf. Telefonnummer, Anschrift
• Kommunikationsinhalte: Ticket-/E-Mail-Inhalte, Anhänge
• Bestelldaten: Bestellnummern, Bestellstatus, Versandinformationen, Produktinformationen
• Retourendaten: Rücksendegründe, Retourenstatus
• Tracking-Daten: Sendungsnummern, Versandstatus

3.2 Daten der Mitarbeiter des Auftraggebers

• Zugangsdaten: Name, E-Mail-Adresse, Rolle innerhalb der Organisation
• Nutzungsdaten: Aktivitätsprotokolle innerhalb des Admin-Dashboards

Hinweis: Es werden grundsätzlich keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet, es sei denn, solche sind unbeabsichtigt in Ticket-Inhalten enthalten. Der Auftraggeber ist verpflichtet, seine Endkunden entsprechend zu informieren.

§ 4 Kategorien betroffener Personen

• Endkunden des Auftraggebers, die per E-Mail/Ticket mit dessen Support kommunizieren
• Besteller im Shopify-Shop des Auftraggebers
• Mitarbeiter des Auftraggebers, die FlowToo nutzen

§ 5 Pflichten des Auftragsverarbeiters

5.1 Weisungsgebundenheit

FlowToo verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, eine gesetzliche Verpflichtung besteht. FlowToo informiert den Auftraggeber unverzüglich, wenn eine Weisung nach eigener Einschätzung gegen Datenschutzrecht verstößt.

5.2 Vertraulichkeit

FlowToo stellt sicher, dass alle Personen mit Zugang zu den Daten zur Vertraulichkeit verpflichtet sind. Diese Verpflichtung besteht auch nach Beendigung des Auftrags fort.

5.3 Unterstützung des Auftraggebers

FlowToo unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Kapitel III DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Datenpannen-Meldung, Folgenabschätzung).

5.4 Kontakt

Anfragen zum Datenschutz: info@flowtoo.de

§ 6 Technische und organisatorische Maßnahmen (TOMs)

FlowToo setzt folgende Maßnahmen gemäß Art. 32 DSGVO ein:

6.1 Plattform-Sicherheit

FlowToo läuft auf der Infrastruktur von Base44, Inc. Base44 ist zertifiziert nach SOC 2 Type II und ISO 27001 und GDPR-konform. Dies umfasst insbesondere:

• Verschlüsselung der Datenübertragung und -speicherung
• Zugriffskontrollen nach Best-Practice-Standards
• Regelmäßige Penetrationstests und externe Sicherheitsaudits (durch Base44)

6.2 Eigene Maßnahmen von FlowToo

• Passwortgeschützter Zugang zum Admin-Dashboard
• Zugriffsbeschränkung auf autorisierte Mitarbeiter/Beauftragte
• Regelmäßige Überprüfung der eingesetzten Subprozessoren auf Aktualität ihrer Sicherheitsstandards

§ 7 Unterauftragsverarbeiter (Subunternehmer)

7.1 Genehmigung

Der Auftraggeber erteilt hiermit seine allgemeine Genehmigung zur Beauftragung der nachfolgend genannten Unterauftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO.

7.2 Aktuelle Unterauftragsverarbeiter

7.3 Einspruchsrecht

FlowToo informiert den Auftraggeber per E-Mail über geplante Änderungen bei Unterauftragsverarbeitern mindestens 14 Tage vor deren Einsatz. Der Auftraggeber kann innerhalb von 7 Tagen nach Erhalt aus berechtigten datenschutzrechtlichen Gründen widersprechen.

§ 8 Rechte der betroffenen Personen

FlowToo unterstützt den Auftraggeber bei der Erfüllung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Wendet sich eine betroffene Person direkt an FlowToo, wird der Antrag unverzüglich an den Auftraggeber weitergeleitet; FlowToo entscheidet nicht eigenständig über solche Anträge.

§ 9 Kontrollrechte des Auftraggebers

FlowToo stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung, u. a. durch Verweis auf die Zertifizierungen von Base44 (SOC 2, ISO 27001). Vor-Ort-Prüfungen sind nach vorheriger Ankündigung (mindestens 30 Tage) während der üblichen Geschäftszeiten möglich; die Kosten trägt der Auftraggeber, sofern keine Verstöße festgestellt werden.

§ 10 Meldung von Datenschutzverletzungen

FlowToo informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Auftragsverarbeitung. Die Meldung enthält eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien, der wahrscheinlichen Folgen sowie der ergriffenen Gegenmaßnahmen.

§ 11 Löschung und Rückgabe von Daten

Nach Beendigung des Hauptvertrags oder auf Anfrage löscht FlowToo sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (z. B. Rechnungsdaten: 10 Jahre gemäß steuerrechtlicher Vorgaben). FlowToo bestätigt die Löschung auf Verlangen schriftlich.

§ 12 Drittlandübermittlungen

Soweit Daten in Länder außerhalb der EU/des EWR übermittelt werden, gilt:

• USA (Base44 und dessen Subprozessoren, Mailgun, Stripe): Übermittlung auf Basis des EU-US Data Privacy Framework (DPF), an dem Base44 aktiv teilnimmt, ergänzend Standardvertragsklauseln (SCCs)
• Israel (Wix.com Ltd. als Base44-Muttergesellschaft): Die EU-Kommission hat für Israel einen Angemessenheitsbeschluss erlassen (Art. 45 DSGVO) — gleichwertiges Schutzniveau ohne zusätzlichen Mechanismus erforderlich
• China (17TRACK, Shenzhen): Da für China kein Angemessenheitsbeschluss besteht, erfolgt die Übermittlung auf Basis von EU-Standardvertragsklauseln zzgl. zusätzlicher technischer Garantien. Es werden ausschließlich Tracking-Nummern und Versandstatus übermittelt, keine Namen oder Adressen der Endkunden.
• Kanada (Shopify, je nach Konfiguration): Angemessenheitsbeschluss der EU-Kommission

§ 13 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. FlowToo haftet für Schäden, die durch Verstoß gegen die spezifisch dem Auftragsverarbeiter auferlegten DSGVO-Pflichten oder durch weisungswidriges Handeln entstehen.

§ 14 Pflichten des Auftraggebers

Der Auftraggeber ist verantwortlich für:

• die Rechtmäßigkeit der Datenverarbeitung (Rechtsgrundlage gegenüber seinen Endkunden)
• die Information seiner Endkunden über die Verarbeitung durch FlowToo (Art. 13/14 DSGVO)
• die Führung eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO), das die Auftragsverarbeitung durch FlowToo umfasst

§ 15 Schlussbestimmungen

15.1 Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen geht dieser AVV vor, soweit der Datenschutz betroffen ist.

15.2 Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.

15.3 Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers (Würzburg).

15.4 Änderungen bedürfen der Textform; wesentliche Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt.