Auftragsverarbeitungsvertrag (AVV/DPA)

Dies ist eine Übersetzung zu Ihrer Information. Maßgeblich ist die englische Fassung. English

Zuletzt aktualisiert: 11. Oktober 2026

Dieser Zusatz zur Auftragsverarbeitung („DPA“) ist Bestandteil der Nutzungsbedingungen von HolaReply für Shopify und der Nutzungsbedingungen von HolaReply für jede Website und wird geschlossen zwischen dem Händler oder Websitebetreiber („Sie“, der Verantwortliche) und SEO Agency Inc („HolaReply“, „wir“, der Auftragsverarbeiter). Er gilt für personenbezogene Daten der Kunden Ihres Shops oder der Besucher Ihrer Website, die wir verarbeiten, um die App oder den Dienst bereitzustellen. Bei einer Website bezeichnet „Shop“ im Folgenden Ihre Website und „Kunde“ deren Besucher; was über Datenanfragen von Shopify und Bestellabfragen gesagt wird, gilt nur für Shopify. Er soll die Anforderungen von Artikel 28 der DSGVO (GDPR) und der UK GDPR sowie vergleichbarer Datenschutzgesetze erfüllen (soweit wir dabei als Ihr „Service Provider“ oder „Processor“ handeln).

1. Einzelheiten der Verarbeitung


Gegenstand und Zweck	Bereitstellung der App: Beantwortung von Kundenfragen im Storefront-Chat aus den Inhalten Ihres Shops, Weitergabe von Anfragen und gesperrten Themen an Ihr Team, Abfrage des Bestellstatus, Anzeige von Gesprächen und Anfragen für Sie sowie Erfüllung der Datenanfragen von Shopify
Dauer	Solange die App installiert ist oder die Website in HolaReply eingetragen ist, danach Löschung gemäß Abschnitt 8
Betroffene Personen	Kunden und Besucher Ihres Shops, die den Chat nutzen
Personenbezogene Daten	Chatnachrichten (Fragen und Antworten); Kontaktdaten, die ein Kunde freiwillig angibt (Name, E-Mail, Telefon, Firma), und seine Anfragenachricht; nur für die Sendungsverfolgung die vom Kunden eingegebene Bestellnummer und E-Mail-Adresse sowie E-Mail-Adresse, Status und Sendungsverfolgung der Bestellung (angezeigt, nicht gespeichert); die Sprache des Kunden
Besondere Kategorien	Nicht vorgesehen. Fragen Sie Kunden nicht danach; ein Kunde kann sie dennoch in den Chat eingeben
Nicht verarbeitet	Zahlungsdaten, Adressen, Kundenkonten, IP-Adressen zusammen mit Gesprächen (nur ein Einweg-Hash in einem kurzlebigen Zähler zur Ratenbegrenzung)

2. Unsere Pflichten

Wir werden:

die personenbezogenen Daten nur auf Ihre dokumentierten Weisungen hin verarbeiten, nämlich diese Bedingungen, diesen DPA und Ihre Einstellungen in der App, sofern das Gesetz nichts anderes vorschreibt (in diesem Fall informieren wir Sie vorab, sofern das Gesetz dies nicht verbietet);
sicherstellen, dass alle Personen, die wir zur Verarbeitung befugen, zur Vertraulichkeit verpflichtet sind;
die Sicherheitsmaßnahmen gemäß Abschnitt 4 anwenden;
Unterauftragsverarbeiter nur gemäß Abschnitt 5 einsetzen;
Sie, soweit uns dies vernünftigerweise möglich ist, bei der Beantwortung von Anfragen von Kunden unterstützen, die ihre Rechte ausüben (Auskunft, Löschung und weitere): Die Anfragen customers/data_request und customers/redact von Shopify werden von der App automatisch bearbeitet, und Anfragen können in der App eingesehen und heruntergeladen werden;
Sie bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Behörden unterstützen, soweit sie unsere Verarbeitung betreffen;
die Daten am Ende des Dienstes löschen (Abschnitt 8);
die Informationen bereitstellen, die zum Nachweis der Einhaltung dieses DPA erforderlich sind, und Prüfungen gemäß Abschnitt 9 ermöglichen;
Sie unverzüglich informieren, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt.

Wir verkaufen keine personenbezogenen Daten, teilen sie nicht für kontextübergreifende verhaltensbasierte Werbung, verwenden sie nicht zum Training von KI-Modellen und führen sie nicht mit Daten anderer Shops zusammen.

3. Ihre Pflichten

Sie bestätigen, dass Sie über eine Rechtsgrundlage für die Verarbeitung verfügen, Ihren Kunden die gesetzlich vorgeschriebenen Informationen geben (Ihr Datenschutzhinweis sollte den Chat und HolaReply erwähnen) und dass Ihre Weisungen dem Gesetz entsprechen.

4. Sicherheitsmaßnahmen

Verschlüsselung bei der Übertragung: HTTPS (TLS) für den Storefront-Chat, den Admin-Bereich und Webhooks.
Verschlüsselung im Ruhezustand: Chatnachrichten, die Kontaktdaten eines Gesprächs und jedes Feld einer Anfrage werden in der Datenbank verschlüsselt (XSalsa20-Poly1305, mit außerhalb der Datenbank aufbewahrten Schlüsseln); Kunden werden nur über verschlüsselte Hashes (Keyed Hashes) ihrer E-Mail-Adresse oder Telefonnummer gesucht. Zugriffstoken und KI-Schlüssel werden ebenfalls verschlüsselt. Tägliche Backups werden mit einem separaten Schlüssel verschlüsselt (AES-256-GCM).
Isolierung: Die Daten jedes Shops werden getrennt gehalten; jede Anfrage wird anhand des Sitzungstokens oder der Webhook-Signatur von Shopify geprüft.
Datenminimierung: E-Mail-Adressen und Telefonnummern werden aus allem entfernt, was an einen KI-Anbieter gesendet wird; Kontaktfelder werden nie an ihn gesendet; Bestelldaten werden nie gespeichert oder an eine KI gesendet.
Zugriffskontrolle und Protokollierung: Serverzugriff nur per SSH-Schlüssel, für höchstens zwei Personen; jede Ansicht von Kundendaten (in der App oder durch uns) wird in einem Zugriffsprotokoll erfasst, das ein Jahr lang aufbewahrt wird und das Sie für die letzten 90 Tage in der App einsehen können.
Aufbewahrung: Gespräche werden aufbewahrt, bis Sie sie löschen, oder 30, 90 bzw. 365 Tage nach der letzten Nachricht gelöscht, wenn Sie einen Zeitraum wählen; alles wird 48 Stunden nach der Deinstallation gelöscht; Backups werden 14 Tage aufbewahrt.
Reaktion auf Vorfälle: eine schriftliche Richtlinie (Abschnitt 6).
Externe Kopie: Jedes tägliche Backup wird zusätzlich, weiterhin verschlüsselt, 14 Tage lang in einem privaten Cloudflare-R2-Bucket aufbewahrt.

5. Unterauftragsverarbeiter

Sie erteilen eine allgemeine Genehmigung für die unten aufgeführten Unterauftragsverarbeiter. Wir informieren Sie mindestens 30 Tage, bevor wir einen hinzufügen oder ersetzen (in der App oder per E-Mail und auf dieser Seite); Sie können aus berechtigten datenschutzrechtlichen Gründen widersprechen, und wenn wir dem Widerspruch nicht abhelfen können, können Sie die Nutzung der App beenden. Wir verpflichten jeden Unterauftragsverarbeiter auf Datenschutzbedingungen, die mindestens so schützend sind wie dieser DPA, und bleiben für ihn verantwortlich.

Unterauftragsverarbeiter	Zweck	Daten	Standort
Google LLC (Gemini API)	KI-Antworten und der Suchindex (HolaReply AI oder Ihr Gemini-Schlüssel)	Shop-Inhalte; Kundenfragen ohne E-Mail-Adressen und Telefonnummern	Außerhalb des EWR
OpenAI, L.L.C.	Nur wenn Sie OpenAI mit Ihrem eigenen Schlüssel wählen	Dasselbe	Außerhalb des EWR
Anthropic, PBC	Nur wenn Sie Claude mit Ihrem eigenen Schlüssel wählen	Dasselbe	Außerhalb des EWR
Resend (Plus Five Five, Inc.)	E-Mails an Sie, an Ihr Team sowie die Antworten Ihres Teams an Kunden	E-Mail-Adressen und der Inhalt der E-Mails	Außerhalb des EWR
Hostinger International Ltd	Der Server, auf dem die App läuft (ein virtueller privater Server)	Alle von uns gespeicherten Daten (verschlüsselte Felder wie oben)	Außerhalb des EWR
Cloudflare, Inc.	Netzwerk und Sicherheit vor app.holareply.com; Speicherung der verschlüsselten externen Sicherungskopie (R2)	Anfragen während der Übertragung; verschlüsselte Backups (14 Tage)	Globales Netzwerk; Backups außerhalb des EWR
Shopify	Die Plattform und die Abrechnung	Was Shopify ohnehin bereits vorliegt	—

6. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen Sie unverzüglich, spätestens innerhalb von 72 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die Daten Ihres Shops betrifft, an die E-Mail-Adresse Ihres Shops, mit allem, was wir wissen: Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen, was wir unternommen haben und was Sie tun sollten, sowie einen Ansprechpartner (support@holareply.com). Wir informieren Sie weiter, sobald wir mehr erfahren. Unsere Richtlinie zur Reaktion auf Vorfälle beschreibt das Verfahren.

7. Internationale Übermittlungen

Wir und einige unserer Unterauftragsverarbeiter verarbeiten Daten außerhalb des EWR, des Vereinigten Königreichs und der Schweiz. Werden solche Daten übermittelt, ist die Übermittlung abgedeckt durch die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914 der Kommission: Modul 2, Übermittlung von Verantwortlichen an Auftragsverarbeiter, und Modul 3 für Weiterübermittlungen an unsere Unterauftragsverarbeiter), das UK International Data Transfer Addendum (Zusatz des Vereinigten Königreichs zur internationalen Datenübermittlung) und, für Daten aus der Schweiz, die schweizerischen Anpassungen dieser Klauseln, die durch Verweis in diesen Auftragsverarbeitungsvertrag einbezogen werden, oder durch einen anderen rechtmäßigen Mechanismus, etwa die Zertifizierung eines Unterauftragsverarbeiters nach dem Data Privacy Framework.

8. Löschung

Wenn Sie die App deinstallieren, werden alle Daten Ihres Shops 48 Stunden später gelöscht (eine Neuinstallation innerhalb dieser Zeit verliert also nichts) oder sofort, wenn Shopify seine shop/redact-Anfrage sendet. Gelöschte Daten können bis zu 14 Tage in verschlüsselten Backups verbleiben; danach sind sie endgültig entfernt. Sie können Ihre Anfragen vor der Deinstallation als CSV aus der App herunterladen.

Für eine Website beantragen Sie die Löschung bei uns (support@holareply.com): Ihre Gespräche, Anfragen, Inhalte und das Team werden innerhalb von 7 Tagen gelöscht und verlassen die verschlüsselten Backups 14 Tage danach. Bis dahin werden sie aufbewahrt, bis Sie sie löschen, oder für den Zeitraum, den Sie im Desk wählen.

9. Prüfungen

Auf schriftliche Anfrage, höchstens einmal jährlich (oder nach einer Verletzung), beantworten wir einen angemessenen Sicherheitsfragebogen und stellen die Unterlagen bereit, die die Einhaltung dieses DPA belegen. Wo das Gesetz eine Inspektion vorschreibt, erfolgt diese mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, durch einen zur Vertraulichkeit verpflichteten Prüfer, auf Ihre Kosten und ohne Zugang zu Daten anderer Kunden.

10. Rangfolge

Widersprechen sich dieser DPA und die Bedingungen in Bezug auf personenbezogene Daten, gilt dieser DPA; die Standardvertragsklauseln haben, soweit sie anwendbar sind, Vorrang vor beiden.

Kontakt

SEO Agency Inc (HolaReply) — support@holareply.com