Zwischen dem Kunden (Verantwortlicher, „Auftraggeber") und Kuhlware, Inh. Fabian König, Kronenstr. 41, 76709 Kronau („Auftragnehmer"). Der Vertrag wird mit der Registrierung durch Bestätigung abgeschlossen (Zeitpunkt und Version werden protokolliert).
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zur Ausspielung von Verkaufsmechaniken im Onlineshop, zur Messung ihrer Wirkung mit Kontrollgruppe und – falls aktiviert – zum Versand von Warenkorb-Erinnerungen. Dauer: Laufzeit des Hauptvertrags.
2. Art der Daten und Betroffene
Betroffene: Besucher und Kunden des Shops. Daten: pseudonyme Besucher- und Sitzungs-IDs, Nutzungsereignisse (Einblendungen, Klicks, angesehene Produkt-IDs, Warenkorbwert), im Browser des Besuchers gespeicherte Angaben (Cookies cs_vid/cs_sid, zuletzt angesehene Produkt-IDs), Bestelldaten (Bestellnummer, Beträge, Status, Produkt-IDs, SHA-256-Hash der E-Mail-Adresse), technisch bedingt die IP-Adresse in Server-Logfiles (höchstens 30 Tage) bzw. zum Missbrauchsschutz bei der Erinnerungs-Anmeldung (höchstens 24 Stunden), bei der Warenkorb-Erinnerung zusätzlich die E-Mail-Adresse und der Einwilligungsnachweis. Keine besonderen Kategorien nach Art. 9 DSGVO.
3. Weisungen
Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers; die Einstellungen im Dashboard gelten als Weisung. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er darauf hin.
4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Hosting in Deutschland (Mittwald), Transportverschlüsselung (TLS) für alle Verbindungen
- Datenminimierung: keine IP-Adressen und keine User-Agents der Shopbesucher in den Messdaten, E-Mail nur als Hash; Klartext-E-Mails (Erinnerung) AES-256-GCM-verschlüsselt
- Zugriff nur nach Login, Passwörter als Hash, Sperre nach Fehlversuchen, CSRF-Schutz, API-Schlüssel nur als Hash gespeichert
- Löschfristen: Rohdaten 90 Tage, Einwilligungsnachweise 3 Jahre, automatisiert
- Tägliche Datenbank-Backups vor jedem Deployment
5. Unterauftragsverarbeiter
Der Auftraggeber genehmigt: Mittwald CM Service GmbH & Co. KG (Hosting, Deutschland) und IONOS SE, Montabaur (Versand der E-Mails, u. a. Warenkorb-Erinnerungen, Deutschland). Für den optionalen KI-Kaltstart (standardmäßig aus, nur auf ausdrücklichen Wunsch des Auftraggebers) werden ausschließlich Produktnamen und Kategorien (keine personenbezogenen Daten) an Anthropic PBC übermittelt. Über neue Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage vorab; der Auftraggeber kann widersprechen und den Vertrag kündigen.
6. Unterstützung und Meldepflichten
Der Auftragnehmer unterstützt bei Betroffenenanfragen (Art. 12–22 DSGVO), meldet Datenschutzverletzungen unverzüglich, spätestens binnen 48 Stunden, und unterstützt bei Datenschutz-Folgenabschätzungen.
7. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
8. Löschung nach Vertragsende
Nach Vertragsende bzw. Kontolöschung werden alle Daten des Auftraggebers gelöscht; ausgenommen sind Rechnungsdaten mit gesetzlicher Aufbewahrungspflicht.
9. Kontrollen
Der Auftraggeber kann sich nach Absprache von der Einhaltung überzeugen; der Auftragnehmer stellt die erforderlichen Informationen bereit.