InventoryLoop

Auftragsverarbeitungsvertrag (AV-Vertrag)

Stand: 19. Juli 2026. Frühere Fassungen stellen wir auf Anfrage bereit.

Grundlage: Art. 28 DSGVO und das revidierte Schweizer Datenschutzgesetz (revDSG). Dieser Vertrag gilt als abgeschlossen mit der Installation und Nutzung der App und ergänzt die Nutzungsbedingungen.

Parteien

Verantwortlicher (nachfolgend „Händler"): der Shopify-Händler, der die App „InventoryLoop" installiert und nutzt. Die Angaben ergeben sich aus dem Shopify-Konto und der App-Registrierung.

Auftragsbearbeiter (nachfolgend „Anbieter"):

1. Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten ausschliesslich im Auftrag und nach Weisung des Händlers, um die App-Funktionen bereitzustellen. Die Dauer entspricht der Laufzeit der Nutzung. Endet die Nutzung (Deinstallation), gilt Ziffer 9 (Löschung und Rückgabe).

2. Art und Zweck der Verarbeitung

Import und Auswertung von Bestell- und Bestandsdaten zur Bestandsprognose und zur Erstellung von Nachbestellvorschlägen, Rückschreiben von Bestandsänderungen an Shopify sowie Versand von Bestell-E-Mails an die vom Händler erfassten Lieferanten.

3. Art der Daten und Kategorien betroffener Personen

• Datenarten: Bestellpositionen, Mengen, Varianten-/Produktkennungen, Verkaufs-, Rückerstattungs- und Bestandszeitpunkte sowie vom Händler erfasste Lieferantenkontakte (Name, E-Mail, Adresse des Lieferanten).
• Ausdrücklich nicht verarbeitet: Name, Adresse, E-Mail und Telefonnummer von Endkunden des Shops (der Anbieter fragt diese Shopify-Felder nicht an, „Level 1").
• Kategorien betroffener Personen: Ansprechpersonen der Lieferanten des Händlers; mittelbar Endkunden des Shops nur über nicht identifizierende Bestellpositionen.

4. Pflichten des Anbieters

1. Verarbeitung nur auf dokumentierte Weisung des Händlers, auch hinsichtlich der Übermittlung in Drittländer (die Nutzung der App-Funktionen und die in Anhang 2 dokumentierten Übermittlungen gelten als Weisung). Der Anbieter informiert, wenn eine Weisung gegen geltendes Recht verstösst.
2. Zur Vertraulichkeit verpflichtete Personen.
3. Technische und organisatorische Massnahmen nach Anhang 1.
4. Einsatz von Unterauftragnehmern nur nach Ziffer 6.
5. Unterstützung des Händlers bei Betroffenenrechten, bei Meldepflichten nach Datenpannen sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO), soweit die Verarbeitung durch den Anbieter betroffen ist.
6. Meldung einer Verletzung des Schutzes personenbezogener Daten an den Händler unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Massnahmen (analog Art. 33 Abs. 3 DSGVO), damit der Händler seine Meldefristen einhalten kann.
7. Nachweis der Einhaltung und Ermöglichung von Überprüfungen nach Ziffer 8.

5. Pflichten und Rechte des Händlers

Der Händler ist Verantwortlicher im Sinne des Datenschutzrechts. Ihm obliegen insbesondere die Beurteilung der Zulässigkeit der Verarbeitung (Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO), die Information der betroffenen Personen und die Beantwortung ihrer Anträge. Der Händler stellt sicher, dass die von ihm bereitgestellten Daten rechtmässig erhoben wurden. Er ist weisungsberechtigt; Weisungen erteilt er in der Regel über die Funktionen der App, ergänzende Weisungen in Textform an die oben genannte Kontaktadresse.

6. Unterauftragnehmer

Der Händler erteilt dem Anbieter die allgemeine Genehmigung, die in Anhang 2 genannten Unterauftragnehmer einzusetzen. Der Anbieter verpflichtet Unterauftragnehmer auf gleichwertige Pflichten. Über beabsichtigte Änderungen (neuer oder ersetzter Unterauftragnehmer) informiert der Anbieter mindestens 30 Tage vorab per E-Mail an die im Shopify-Konto hinterlegte Adresse des Händlers und vermerkt die Änderung in Anhang 2. Der Händler kann aus wichtigem Grund widersprechen; führt ein berechtigter Widerspruch zu keiner einvernehmlichen Lösung, kann der Händler den Vertrag ausserordentlich beenden (Deinstallation der App).

7. Betroffenenrechte und Mitwirkung

Der Anbieter unterstützt den Händler mit geeigneten Massnahmen bei der Beantwortung von Anträgen betroffener Personen. Erhält der Anbieter einen solchen Antrag direkt, leitet er ihn an den Händler weiter. Für Shopify-Anfragen sind die Pflicht-Webhooks customers/data_request, customers/redact und shop/redact eingerichtet und werden signaturgeprüft (HMAC) verarbeitet.

8. Nachweise und Überprüfung

Der Anbieter stellt dem Händler auf Anfrage die zum Nachweis erforderlichen Informationen zur Verfügung. Überprüfungen erfolgen mit angemessener Vorankündigung und in der Regel höchstens einmal jährlich, sofern nicht gesetzlich anders vorgeschrieben. Bei konkretem Anlass (etwa nach einer meldepflichtigen Verletzung) sind zusätzliche Überprüfungen möglich. Der Händler kann Überprüfungen einschliesslich Inspektionen auch durch einen zur Vertraulichkeit verpflichteten, qualifizierten Dritten durchführen lassen.

9. Löschung und Rückgabe

Auf Wunsch des Händlers stellt der Anbieter vor der Löschung einen Export der Lieferanten- und Bewegungsdaten in einem gängigen, maschinenlesbaren Format (z. B. CSV) bereit; während der Laufzeit stehen diese Exporte jederzeit über die Berichte der App zur Verfügung. Im Übrigen löscht der Anbieter nach Beendigung der Nutzung die verarbeiteten Daten des betreffenden Shops innerhalb von 30 Tagen, ausgelöst über shop/redact (48 Stunden nach Deinstallation), sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf customers/redact erfolgt die Löschung/Anonymisierung der betroffenen Datensätze innerhalb von 30 Tagen.

10. Haftung und Schlussbestimmungen

Es gilt die Haftungsregelung der Nutzungsbedingungen. Die gesetzliche Haftung für Datenschutzverstösse, insbesondere nach Art. 82 DSGVO gegenüber betroffenen Personen, sowie die Regressordnung nach Art. 82 Abs. 5 DSGVO bleiben davon unberührt. Anwendbares Recht: Schweiz. Gerichtsstand ist der Sitz des Anbieters, soweit gesetzlich zulässig. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag gültig.

Anhang 1, Technische und organisatorische Massnahmen (TOM)

• Verschlüsselung: Übertragung ausschliesslich über TLS/HTTPS. Der Shopify-Zugriffs-Token wird verschlüsselt gespeichert. Die Datenbank wird verschlüsselt im Ruhezustand betrieben (verwalteter Anbieter, siehe Anhang 2).
• Datenminimierung: Es werden nur Bestellpositionen und Mengen verarbeitet, keine Endkunden-Identität.
• Zugriffskontrolle: Zugriff auf Produktivdaten nur für berechtigte Personen; Zugänge mit starken, individuellen Passwörtern und, wo möglich, Zwei-Faktor-Authentisierung.
• Trennung: Test- und Produktivumgebung sind getrennt.
• Verfügbarkeit und Wiederherstellung: Tägliche, automatisierte Datensicherung in einen separaten Objektspeicher (30 Tage Aufbewahrung); die Wiederherstellbarkeit wird geprüft.
• Belastbarkeit und Überwachung: Fehler- und Verfügbarkeitsüberwachung.
• Löschkonzept: Automatisierte Löschung bei Deinstallation und auf Redact-Webhooks.
• Wirksamkeitsprüfung: Die Massnahmen werden regelmässig überprüft, bewertet und bei Bedarf angepasst (Art. 32 Abs. 1 lit. d DSGVO).
• Protokollierung: Administrative Zugriffe auf die Produktionsumgebung erfolgen über persönliche Konten und werden durch die eingesetzten Plattformen protokolliert.
• Vorfallsbehandlung: Sicherheitsvorfälle werden erfasst, eingedämmt und nachbereitet; meldepflichtige Verletzungen meldet der Anbieter nach Ziffer 4.

Anhang 2, Unterauftragnehmer

Stand: 19. Juli 2026.

Alle genannten Anbieter sind US-Gesellschaften; Empfängerstaaten sind damit neben den genannten Speicherorten auch die USA. Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln, für Daten aus der Schweiz mit den vom EDÖB anerkannten Anpassungen; soweit ein Anbieter unter dem EU-US bzw. Swiss-U.S. Data Privacy Framework zertifiziert ist, zusätzlich darauf. Der Einsatz der genannten Unterauftragnehmer einschliesslich dieser Übermittlungen gilt als dokumentierte, genehmigte Weisung des Händlers (Ziffer 4). Diese Liste ist Teil der Datenschutzerklärung.