Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO für die Shopify-App „FakturaKlar“ · Stand: Oktober 2026 · Datenschutzerklärung

English: This data processing agreement under Art. 28 GDPR applies between the merchant (controller) and SyncVentura (processor). The German version is binding; an English translation is available on request.

1. Parteien und Abschluss

Verantwortlicher ist der Händler, der die App in seinem Shopify-Shop installiert („Auftraggeber“). Auftragsverarbeiter ist SyncVentura, Inhaber Igor Savostjanow, Bettina-von-Arnim-Str. 68, 28857 Syke („Auftragnehmer“). Der Vertrag gilt mit der Installation der App als in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Eine unterschriebene Fassung senden wir auf Anfrage an info@syncventura.de.

2. Gegenstand, Dauer, Art und Zweck

Der Auftragnehmer erstellt für den Auftraggeber aus den Bestellungen seines Shopify-Shops Rechnungen und Rechnungskorrekturen, speichert sie, stellt sie dem Auftraggeber, dessen Kunden und – auf Weisung des Auftraggebers – dessen Steuerberater bereit und erzeugt Exporte (z. B. DATEV). Der Vertrag läuft, solange die App installiert ist; danach gilt Nr. 8.

3. Daten und betroffene Personen

• Betroffene: Kunden des Auftraggebers (Käufer im Shop), ggf. deren Ansprechpartner; der Steuerberater des Auftraggebers.
• Daten: Name, Firma, Rechnungs- und Lieferanschrift, E-Mail-Adresse, Kundennummer, USt-IdNr., Leitweg-ID, Bestellnummer, gekaufte Artikel, Preise, Steuern, Zahlungsart und -stand; Name und E-Mail-Adresse des Steuerberaters. Besondere Kategorien (Art. 9 DSGVO) werden nicht verarbeitet.

4. Weisungen und Pflichten des Auftragnehmers

• Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Einstellungen in der App (z. B. wann Rechnungen entstehen, ob ein Steuerberater Zugang erhält) sowie Weisungen per E-Mail.
• Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
• Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–22 DSGVO), insbesondere durch die Belegliste und Exporte in der App, und bei den Pflichten aus Art. 32–36 DSGVO.
• Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die in Shopify hinterlegte Adresse.
• Der Auftragnehmer stellt dem Auftraggeber die Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach Absprache (Art. 28 Abs. 3 lit. h DSGVO).

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Server in Deutschland (netcup GmbH, Karlsruhe); die App läuft dort in einem abgeschotteten Behälter.
• Übertragung nur verschlüsselt (HTTPS/TLS); Zugang zur App nur über die Anmeldung von Shopify.
• Verschlüsselung im Ruhezustand: Rechnungsdateien (PDF/XML) und die Kundendaten in der Datenbank sind mit AES-256-GCM verschlüsselt. Der Schlüssel liegt nur in der Konfiguration des Servers, nicht bei den Daten und nicht in den Sicherungen.
• Daten verschiedener Shops sind in der Datenbank und im Archiv getrennt; jede Rechnung ist über einen zufälligen, nicht erratbaren Link abrufbar, den nur Berechtigte erhalten.
• Unveränderbarkeit: Belegdateien werden nie überschrieben und mit SHA-256-Prüfsumme gespeichert; Änderungen sind nur über Korrekturbelege möglich. Wichtige Vorgänge werden protokolliert.
• Tägliche Sicherung von Datenbank und Rechnungsarchiv, vor der Übertragung verschlüsselt, auf Speicher in Deutschland (STRATO GmbH, Berlin), ohne Löschrecht vom Server aus; monatlich eine Rücksicherung zur Probe, bei der jede Rechnung gegen ihre Prüfsumme geprüft wird.
• Test- und Produktionsdaten sind getrennt; Tests laufen nur mit Musterdaten.
• Zugang zum Server nur für den Inhaber; Zugriffe auf Exporte und Downloads des Steuerberaters werden protokolliert. Für Sicherheitsvorfälle gibt es einen festgelegten Ablauf (Eindämmen, Bewerten, Melden binnen 48 Stunden, Beheben, Nachbereiten).
• Die App fordert bei Shopify nur die nötigen Berechtigungen an (Bestellungen lesen und vermerken).
• Server-Protokolle werden nach 7 Tagen gelöscht.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe – Betrieb des Servers (Deutschland)
• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin – Speicher für verschlüsselte Sicherungen (Deutschland)
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur – Versand der E-Mails an den Steuerberater, nur wenn der Auftraggeber den Monatsversand einschaltet (Deutschland)

Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 4 Wochen vorher per E-Mail; der Auftraggeber kann widersprechen und die App kündigen. Die Verarbeitung findet in der EU statt.

7. Kontrollrechte

Der Auftraggeber kann sich nach rechtzeitiger Anmeldung von der Einhaltung dieses Vertrags überzeugen, in der Regel durch Auskünfte und Unterlagen.

8. Löschung und Rückgabe

Der Auftraggeber kann jederzeit alle Belege als Archiv (ZIP mit PDF/XML und Liste) herunterladen. Nach der Deinstallation löscht der Auftragnehmer alle Daten des Shops, sobald Shopify die Löschung anfordert (48 Stunden nach der Deinstallation); Sicherungskopien laufen spätestens nach 12 Monaten ab. Die gesetzliche Aufbewahrung der Rechnungen (§ 147 AO, § 14b UStG) obliegt dem Auftraggeber.

9. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zu anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor.