Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen dem Nutzer der Anwendung rebond (nachfolgend „Verantwortlicher“ oder „Merchant“)

und

rebond - Inhaber: Johannes Kröger
Rosenhagen 7
19348 Perleberg
Deutschland
E-Mail: johannes@getrebond.io

(nachfolgend „Auftragsverarbeiter“ oder „rebond“)

Präambel

Der Verantwortliche nutzt die Software „rebond“, eine signalbasierte Retention-Plattform für Shopify-Shops (E-Mail- und SMS-Automationen, Post-Purchase-Seiten, Segmente). Im Rahmen der Nutzung verarbeitet rebond personenbezogene Daten der Endkunden des Verantwortlichen in dessen Auftrag. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 Abs. 3 DSGVO.

Die Vereinbarung wird elektronisch geschlossen: Der Verantwortliche stimmt ihr bei der Einrichtung des Kontos bzw. der Aktivierung der betreffenden Funktion in Textform zu (Art. 28 Abs. 9 DSGVO). Zeitpunkt und Textstand der Zustimmung werden von rebond protokolliert.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Erbringung der in der Leistungsbeschreibung (App-Listing, Produktdokumentation) beschriebenen Dienste: Empfang und Verarbeitung von Shop-Daten über die Shopify-API und Webhooks, Aufbau von Kontaktprofilen, Segmentierung, Versand von E-Mails und SMS, Bereitstellung personalisierter Post-Purchase-Seiten, Verwaltung von Einwilligungen (Double-Opt-in) und Abmeldungen.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsverhältnisses. Sie endet mit Deinstallation der App bzw. Kündigung des Kontos, vorbehaltlich der Löschpflichten aus § 9.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Zweck: Kundenbindung und Transaktionskommunikation im Auftrag des Verantwortlichen (Bestell- und Versandinformationen, Nachkauf-Erinnerungen, Newsletter, produktbezogene Hinweise).

Art der Verarbeitung: Erhebung (via Shopify-API/Webhooks und eigene Formulare), Speicherung, Strukturierung, Segmentierung, Übermittlung an Versanddienstleister, Löschung.

Datenarten (Einzelheiten in Anlage 1):

Stammdaten der Endkunden (Name, E-Mail-Adresse, Telefonnummer)

Bestell- und Fulfillment-Daten (Bestellungen, Produkte, Beträge, Versandstatus, Sendungsverfolgung)

Einwilligungs- und Nachweisdaten (Zeitpunkt, Formular- und Textfassungen, pseudonymisierte IP-Adresse als HMAC-Hash)

Nutzungs- und Zustelldaten (E-Mail-Zustellstatus, Bounces, Abmeldungen, Klicks auf Bestätigungs-/Abmeldelinks)

Kategorien betroffener Personen: Endkunden und Newsletter-/SMS-Abonnenten des Verantwortlichen.

Keine besonderen Kategorien: Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Gegenstand des Auftrags.

§ 3 Weisungsrecht des Verantwortlichen

rebond verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der App-Funktionen (Konfiguration von Automationen, Segmenten, Formularen) gilt als Weisung; ergänzende Weisungen erfolgen in Textform.

Hält rebond eine Weisung für datenschutzrechtlich unzulässig, informiert es den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Vertraulichkeit

rebond gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen (TOM)

rebond trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik fortlaufend an. Maßnahmen dürfen durch gleichwertige ersetzt werden, sofern das Schutzniveau nicht unterschritten wird.

Hervorzuhebende produktseitige Maßnahmen:

Keine Kundendaten an KI-Modelle: An OpenAI werden Produktdaten, eine anonyme Beschreibung der Situation (Skill, Tonalität, Erstkäufer oder Stammkunde) sowie die Beschreibung und die Beispieltexte zur Markenstimme übermittelt, die der Verantwortliche selbst eingibt. Namen, E-Mail-Adressen und Bestelldaten von Endkunden werden nicht übermittelt. Der Verantwortliche fügt in die Texte zur Markenstimme keine personenbezogenen Daten von Endkunden ein. Personalisierung (Name, Codes, Links) wird nach der Generierung deterministisch aus der Datenbank eingefügt.

Pseudonymisierung von IP-Adressen: IP-Adressen zu Einwilligungsnachweisen werden ausschließlich als schlüsselbasierter Hash (HMAC-SHA-256) gespeichert, nicht im Klartext.

§ 6 Unterstützung des Verantwortlichen

rebond unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), insbesondere durch die Umsetzung der Shopify-Datenschutz-Webhooks: Auskunftsanfragen (customers/data_request), Löschung einzelner Kunden (customers/redact) und Löschung des gesamten Shops (shop/redact) werden automatisiert verarbeitet.

rebond unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

Wenden sich betroffene Personen unmittelbar an rebond, leitet rebond das Anliegen unverzüglich an den Verantwortlichen weiter.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 genannten Unterauftragsverarbeiter.

rebond informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) in Textform mit einer Frist von 30 Tagen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Nutzungsverhältnisses zu.

rebond verpflichtet Unterauftragsverarbeiter durch Vertrag auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO).

Bei Unterauftragsverarbeitern in Drittländern stellt rebond geeignete Garantien nach Kapitel V DSGVO sicher, insbesondere durch Abschluss der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit anwendbar, eine Zertifizierung unter dem EU-U.S. Data Privacy Framework.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

rebond meldet dem Verantwortlichen jede Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsverhältnisses (Deinstallation, Kündigung, shop/redact-Webhook) löscht rebond sämtliche im Auftrag verarbeiteten personenbezogenen Daten binnen der von Shopify vorgegebenen Fristen, spätestens jedoch innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Einwilligungsnachweise (inkl. IP-Hash) werden für die Dauer der Speicherung des jeweiligen Kontakts aufbewahrt und mit dem Kontakt gelöscht. Sie dienen auch nach einem Widerruf dem Nachweis, dass vor dem Widerruf rechtmäßig versendet werden durfte.

Auf Wunsch stellt rebond dem Verantwortlichen vor der Löschung einen Export der Daten in einem gängigen Format bereit.

§ 10 Nachweise und Kontrollrechte

rebond stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Kontrollen erfolgen vorrangig durch Vorlage aktueller Testate, Berichte oder Zertifikate der eingesetzten Infrastruktur-Anbieter (z. B. SOC 2, ISO 27001) sowie schriftliche Auskünfte. Vor-Ort-Kontrollen sind nach angemessener Ankündigung während üblicher Geschäftszeiten möglich, sofern die Nachweise nach Satz 1 im Einzelfall nicht ausreichen.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den vertraglichen Vereinbarungen des Nutzungsverhältnisses.

§ 12 Schlussbestimmungen

Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen Vereinbarungen geht diese Vereinbarung hinsichtlich des Datenschutzes vor.

Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz von rebond.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Gegenstand der Verarbeitung im Einzelnen

Anlage 2 — Technische und organisatorische Maßnahmen (Auszug)

Zutritts-/Zugangskontrolle: Verarbeitung ausschließlich in zertifizierten Rechenzentren der in Anlage 3 genannten Anbieter (ISO 27001 / SOC 2); kein eigener Serverbetrieb. Zugriff auf Produktionssysteme nur durch autorisierte Personen mit Zwei-Faktor-Authentifizierung.

Zugriffskontrolle: Mandantentrennung auf Datenbankebene (Row Level Security je Workspace); rollenbasierte Rechte; Schreibzugriffe auf sensible Tabellen nur serverseitig.

Übertragungskontrolle: Transportverschlüsselung (TLS) auf allen Verbindungen; Verschlüsselung ruhender Daten beim Infrastruktur-Anbieter.

Eingabekontrolle: Protokollierung von Einwilligungen mit Textstand und Zeitstempel; signaturgeprüfte Webhooks (Shopify HMAC, Versanddienstleister-Signaturen).

Pseudonymisierung: IP-Adressen als HMAC-SHA-256-Hash mit geheimem Schlüssel; keine Namen, E-Mail-Adressen oder Bestelldaten von Endkunden in KI-Prompts.

Verfügbarkeitskontrolle: automatisierte Backups der Datenbank; Wiederherstellungsverfahren des Infrastruktur-Anbieters.

Trennungsgebot: logische Trennung der Daten je Workspace; getrennte Umgebungen für Entwicklung und Produktion.

Löschkonzept: automatisierte Verarbeitung der Shopify-Datenschutz-Webhooks (data_request, customers/redact, shop/redact); kaskadierende Löschung abhängiger Datensätze.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Stand: 07.10.2026. Die jeweils aktuelle Liste wird unter getrebond.io/avv veröffentlicht.

Weitere Empfänger

Für Order-Tracking und die Sendungsverfolgung fragt rebond im Auftrag des Verantwortlichen und mit dessen eigenem DHL-Zugang den Sendungsstatus bei der Deutschen Post AG (DHL Group), Bonn, ab. Übermittelt wird ausschließlich die Sendungsnummer. Die Abfrage erfolgt über die Schnittstelle von DHL in der EU (api-eu.dhl.com). Das Vertragsverhältnis mit DHL besteht zwischen dem Verantwortlichen und DHL.