Mora Technologies ApS · Rechtliches

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 9. November 2026 · Version: 2026-10-26 · Art. 28 DSGVO · Gilt für alle Apps für Shopify, die die Mora Technologies ApS unter der Marke Aveus veröffentlicht

Dies ist eine Übersetzung des englischen Originals. Weichen die beiden Fassungen voneinander ab, hat die englische Fassung Vorrang.

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen dem Unternehmen, das eine App von Aveus in seinem Shop auf Shopify installiert (der „Händler“, der als Verantwortlicher handelt), und Mora Technologies ApS, auch tätig unter dem eingetragenen weiteren Firmennamen Aveus ApS, CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Dänemark (die als Auftragsverarbeiter handelt). Er ist Bestandteil unserer Nutzungsbedingungen und gilt immer dann, wenn eine App personenbezogene Daten im Auftrag des Händlers verarbeitet. Der Händler nimmt ihn zusammen mit den Nutzungsbedingungen und der Datenschutzerklärung an: in jeder App, bevor sie genutzt wird; in Aveus AI auf ihrem ersten Bildschirm, und vorher wird nach diesem Vertrag nichts verarbeitet (Nutzungsbedingungen, Ziffer A.13), außer den Antworten auf die verpflichtenden Webhooks von Shopify zum Datenschutz und der IP-Adresse der Besucher, die die Skripte des Onlineshops und die öffentliche Seite zur Offenlegung als Schlüssel zur Begrenzung der Anfragerate nutzen (Anhang II).

Für die eigenen Kontodaten des Händlers (Domain des Shops, Zugriffstoken, Prüfdatensätze und die übrigen in Teil B der Datenschutzerklärung aufgeführten Daten des Händlers) ist Mora Technologies ApS eigenständiger Verantwortlicher und nicht Auftragsverarbeiter. Für diese Daten gilt die Datenschutzerklärung, nicht dieser Auftragsverarbeitungsvertrag.

1. Standardvertragsklauseln

Die Parteien vereinbaren, dass die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern im Anhang des Durchführungsbeschlusses (EU) 2021/915 der Kommission vom 4. Juni 2021 (die „Klauseln“, abrufbar unter eur-lex.europa.eu/eli/dec_impl/2021/915/oj) zwischen ihnen gelten und durch Bezugnahme Bestandteil dieses Auftragsverarbeitungsvertrags sind, mit dem Händler als Verantwortlichem und Mora Technologies ApS als Auftragsverarbeiter. Die Anhänge der Klauseln werden durch die nachstehenden Anhänge I bis IV ausgefüllt. Bei Widersprüchen zwischen den Klauseln und den Nutzungsbedingungen oder einer anderen Vereinbarung zwischen den Parteien haben die Klauseln Vorrang (Klausel 4).

Zu den Punkten, die die Klauseln offenlassen, treffen die Parteien folgende Festlegungen:

Klausel 5 (Kopplungsklausel)	Findet keine Anwendung. Ein neuer Shop installiert die App und nimmt diesen Auftragsverarbeitungsvertrag unmittelbar in der App an, bevor er sie nutzt.
Klausel 7.7 (Einsatz von Unterauftragsverarbeitern)	Option 2: allgemeine schriftliche Genehmigung. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 14 Tage im Voraus per E-Mail oder in der App über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, und der Verantwortliche kann dagegen Einwände erheben. Lässt sich ein Einwand nicht ausräumen, kann der Verantwortliche den Vertrag durch Deinstallation der App beenden. Die aktuelle Liste enthält Anhang IV.
Klausel 7.8 (Internationale Datenübermittlungen)	Nur an die Empfänger und mit den Garantien, die in Anhang IV und in Abschnitt A.4 der Datenschutzerklärung genannt sind: die Standardvertragsklauseln aus dem Beschluss (EU) 2021/914 der Kommission gemäß Art. 46 Abs. 2 Buchst. c DSGVO, soweit auf die Daten von außerhalb des EWR zugegriffen werden kann, und für Shopify Inc. in Kanada der Angemessenheitsbeschluss der Europäischen Kommission für Kanada.
Klausel 9 (Meldung von Verletzungen des Schutzes personenbezogener Daten)	Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung unverzüglich, nachdem sie ihm bekannt geworden ist, und nach Möglichkeit binnen 48 Stunden, mit den in Klausel 9.2 genannten Informationen.
Weisungen (Klausel 7.1)	Der Verantwortliche erteilt dem Auftragsverarbeiter seine Weisungen durch die Nutzung der App: über ihre Einstellungen, über die Aktionen, die er in der App ausführt, und über die verpflichtenden Webhooks von Shopify für den Datenschutz (customers/data_request, customers/redact, shop/redact).
Löschung bei Beendigung der Dienstleistung (Klausel 10 Buchstabe d)	Vor der Deinstallation kann der Verantwortliche unter contact@aveus.ai eine Kopie der personenbezogenen Daten anfordern, die in seinem Auftrag verarbeitet werden. Diese Daten werden dann bei der Deinstallation gelöscht oder auf den verifizierten Löschantrag hin, den Shopify 48 Stunden später sendet, wie für jede App in Teil B der Datenschutzerklärung angegeben, und auf Anfrage bestätigen wir die Löschung schriftlich.

2. Grenzen dieses Auftragsverarbeitungsvertrags

Dieser Auftragsverarbeitungsvertrag regelt ausschließlich den Datenschutz. Er erweitert nicht den in den Nutzungsbedingungen beschriebenen Leistungsumfang der Apps, er überträgt auf Mora Technologies ApS nicht die Pflichten, die den Händler selbst als Verantwortlichen treffen (einschließlich der Informationen, die er seinen Kunden gibt, und der Rechtmäßigkeit der Daten, die er erhebt) oder als Betreiber im Sinne des EU AI Act, und er ändert die Haftungsbeschränkung in den Nutzungsbedingungen nicht, es sei denn, die Klauseln oder zwingendes Recht verlangen etwas anderes. Unterstützung nach den Klauseln 7.6 und 8, die über das hinausgeht, was die App automatisch bereitstellt (zum Beispiel Prüfungen vor Ort), wird gegen eine angemessene, im Voraus vereinbarte Vergütung erbracht.

Anhang I. Liste der Parteien

Rolle	Partei	Kontakt
Verantwortlicher	Das Unternehmen, dem der Shop auf Shopify gehört, in dem die App installiert ist, identifiziert durch die Domain des Shops und vertreten durch das Mitarbeiterkonto in Shopify, über das dieser Auftragsverarbeitungsvertrag angenommen wurde	Die Mailadresse des Shopinhabers, wie sie in Shopify hinterlegt ist
Auftragsverarbeiter	Mora Technologies ApS, auch tätig unter dem eingetragenen weiteren Firmennamen Aveus ApS, CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Dänemark	contact@aveus.ai

Jede Partei nimmt die Klauseln und diesen Vertrag an dem Tag an, an dem der Verantwortliche sie in der App annimmt; die App speichert dieses Datum (Nutzungsbedingungen, Ziffer A.13).

Anhang II. Beschreibung der Verarbeitung

Kategorien betroffener Personen	Die Kunden des Verantwortlichen und die Besucher seines Onlineshops und seiner öffentlichen Seite zur Offenlegung; Personen, die auf seinen Produktbildern zu sehen oder in deren Metadaten genannt sein können; Personen, die der Verantwortliche in den Aufzeichnungen nennt, die er in der App führt (zum Beispiel in seinem Vorfallregister).
Kategorien personenbezogener Daten	Kundenkennungen von Shopify, die über die verpflichtenden Webhooks für den Datenschutz übermittelt werden (zum Beispiel die ID des Kunden in einer Anfrage vom Typ customers/data_request oder customers/redact); die IP-Adresse von Besuchern, die den Skripten des Onlineshops und der öffentlichen Seite zur Offenlegung als Schlüssel eines Zählers zur Begrenzung der Anfragerate dient und innerhalb von zwei Stunden automatisch verfällt, der User Agent ihrer Anfragen, der zusammen mit der IP-Adresse dazu dient, missbräuchliche Anfragen und Anfragen aus bestimmten Ländern oder Netzen zu sperren, und der in den in Abschnitt A.11 der Datenschutzerklärung beschriebenen Dienstprotokollen gespeichert wird (bei gesperrten Anfragen mit einem pseudonymisierten Hash der IP-Adresse), und das aus der IP-Adresse abgeleitete Land, das nicht gespeichert wird, damit das Vertrauenssiegel nur in der EU und im EWR erscheint; die Metadaten von Produktbildern, die nur gelesen werden, um Herkunftsmarkierungen zu finden (gespeichert wird nur das Ergebnis der Erkennung); und, nur wenn der Verantwortliche in Aveus AI die visuelle Analyse aktiviert, eine verkleinerte Kopie der Produktbilder, die er analysieren lassen möchte und auf denen eine Person zu sehen sein kann (das Bild wird nicht gespeichert); die visuelle Analyse ist derzeit nicht verfügbar; die Inhalte, die der Verantwortliche in der App schreibt, etwa die Vorfälle, die er erfasst (Beschreibung, Behörde und ihre Mailadresse), und seine Notizen aus Prüfungen. Die Apps lesen keine Bestellungen, Kundenprofile oder Zahlungsdaten.
Sensible Daten	Keine. Die Apps sind nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) zu verarbeiten.
Art der Verarbeitung	Automatisiert: Empfang und Speicherung von Anfragen über Webhooks, vorübergehende Zählung zur Begrenzung der Anfragerate, Sperren missbräuchlicher Anfragen, Lesen von Bildmetadaten, Speicherung der Aufzeichnungen, die der Verantwortliche in der App führt, und Löschung; und, nur auf Weisung des Verantwortlichen (visuelle Analyse in Aveus AI aktiviert), Übermittlung einer verkleinerten Kopie der von ihm ausgewählten Produktbilder an den Unterauftragsverarbeiter für KI, damit dieser vorschlagen kann, ob eine Kennzeichnung erforderlich ist. Die visuelle Analyse ist derzeit nicht verfügbar (Nutzungsbedingungen von Aveus AI, Ziffer B.1.5): Solange sie nicht verfügbar ist, wird kein Produktbild übermittelt.
Zwecke	Bereitstellung der App für den Verantwortlichen; Ausführung der Datenschutzanfragen des Verantwortlichen, die über Shopify eingehen; Schutz der Endpunkte des Onlineshops vor Missbrauch.
Dauer	Solange die App installiert ist, danach Löschung wie in Teil B der Datenschutzerklärung angegeben (Schlüssel zur Begrenzung der Anfragerate: höchstens zwei Stunden; Warteschlange für Datenschutzanfragen: 90 Tage nach Abschluss).

Anhang III. Technische und organisatorische Maßnahmen

Datenspeicherung in der EU: Datenbank in Frankfurt (AWS eu-central-1), Laufzeitumgebung der Anwendung in Frankfurt (Vercel fra1), KI-Verarbeitung über den multiregionalen EU-Endpunkt von Vertex AI.
Trennung zwischen Shops: Der Zugriff auf Daten ist auf den jeweiligen Shop beschränkt, durch Row Level Security in der Datenbank bei Anfragen für einen Shop und durch einen Filter auf den Shop in den Aufgaben des Servers, die ohne sie laufen.
Verschlüsselung: TLS bei der Übertragung; Zugriffstoken von Shopify werden im Ruhezustand mit AES-256-GCM verschlüsselt; die Datenbank wird vom Anbieter im Ruhezustand verschlüsselt.
Authentifizierung: Jede Anfrage aus dem Adminbereich von Shopify wird anhand des signierten Sitzungstokens von Shopify geprüft, jeder Webhook anhand seiner HMAC-Signatur; in der Laufzeitumgebung gibt es keinen langlebigen Schlüssel für ein Dienstkonto in der Cloud (Workload Identity Federation).
Minimale Rechte: Die App fordert nur die Berechtigungen in Shopify an, die sie benötigt; die Datenbankrolle für Anfragen der Shops hat nur die Spaltenrechte, die sie benötigt.
Datenminimierung: Der Auftragsverarbeiter erhebt keine Daten von Endkunden aus eigener Initiative; in der Datenbank wird keine IP-Adresse gespeichert; Fehlerberichte werden geschwärzt und pseudonymisiert.
Sichere Entwicklung: Prüfung der Abhängigkeiten und Suche nach offengelegten Secrets bei jedem Build, automatisierte Tests bei jeder Änderung und regelmäßige Sicherheitsprüfungen anhand der OWASP Top 10.
Protokollierung und Aufbewahrung: Protokolle zu Sicherheit und Betrieb werden für die in der Datenschutzerklärung genannten Fristen aufbewahrt und danach automatisch gelöscht.
Umgang mit Vorfällen: Verletzungen des Schutzes personenbezogener Daten werden gemäß Klausel 9 gemeldet (Abschnitt 1 dieses Auftragsverarbeitungsvertrags).

Anhang IV. Liste der Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter (Klausel 7.7, Option 2).

Unterauftragsverarbeiter	App	Zweck	Standort
Shopify International Limited (Irland) / Shopify Inc.	Alle	Die Plattform, auf der die Apps laufen: Authentifizierung, Admin API, verpflichtende Webhooks für den Datenschutz	EU und Kanada, gemäß dem Shopify Data Processing Addendum
Supabase Inc.	Alle	Hosting der Datenbank	EU: AWS eu-central-1 (Frankfurt)
Vercel Inc.	Alle	Hosting der Anwendung und serverlose Laufzeitumgebung	EU: Frankfurt (fra1); Routing über den Netzwerkknoten, der dem Besucher am nächsten liegt
Upstash, Inc.	Aveus AI	Begrenzung der Anfragerate, Budget für KI-Ausgaben und Idempotenz von Webhooks	Region in der EU
Google Cloud EMEA Limited (Irland), Vertex AI	Aveus AI	KI-Klassifizierung von Auszügen aus den Dateien des Themes und öffentlicher Dokumentation von Anbietern (an das Modell werden keine Daten von Endkunden gesendet); und, nur auf Weisung des Verantwortlichen, verkleinerte Kopien der Produktbilder, die er für die visuelle Analyse auswählt (die visuelle Analyse ist derzeit nicht verfügbar)	EU: Vertex AI, Multiregion „eu“
Google Ireland Limited (Google Workspace / Gmail)	Aveus AI	Benachrichtigungen über Betriebsfehler an unser technisches Postfach	EU und USA, gemäß dem Auftragsverarbeitungsvertrag von Google und den Standardvertragsklauseln

Supabase, Vercel, Upstash und Google können für begrenzten Support und technischen Zugriff auf Personal oder verbundene Unternehmen außerhalb des EWR zurückgreifen. Ein solcher Zugriff ist durch Standardvertragsklauseln gemäß Art. 46 Abs. 2 Buchst. c DSGVO abgedeckt, wie in der Datenschutzerklärung beschrieben. Die Kontaktdaten jedes Unterauftragsverarbeiters sind die, die er selbst veröffentlicht; auf Anfrage stellen wir sie zusammen mit einer Kopie der jeweiligen Bedingungen zur Datenverarbeitung bereit.