Zizr-Auftragsverarbeitungsvertrag

Datum des Inkrafttretens: 21. Mai 2026
Zuletzt aktualisiert: 21. Mai 2026
Abrufbar unter: https://www.zizr.com/legal/de/dpa

Hinweis zur Übersetzung: Dieses Dokument ist eine deutsche Übersetzung des englischen Originals. Bei Abweichungen zwischen der Übersetzung und der englischen Fassung ist die englische Fassung maßgeblich.

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen:

Zizr AS („Auftragsverarbeiter“, „Zizr“, „wir“, „uns“, „unser“), Organisationsnummer 922 796 556, mit eingetragenem Sitz unter der Anschrift Dronningens gate 38, 7011 Trondheim, Norwegen,

und

dem Händler („Verantwortlicher“, „Händler“, „Sie“, „Ihr“), der die Zizr-Shopify-App installiert und bei der Installation die Zizr-Händlervereinbarung zusammen mit diesem AVV angenommen hat.

Dieser AVV ist integraler Bestandteil der Zizr-Händlervereinbarung (der „Hauptvertrag“) und regelt die Verarbeitung personenbezogener Daten durch Zizr im Auftrag des Händlers gemäß Art. 28 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“), der britischen Datenschutz-Grundverordnung („UK-DSGVO“), dem norwegischen Gesetz über personenbezogene Daten (personopplysningsloven) und, soweit anwendbar, den von der Europäischen Kommission erlassenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, „SCC“).

Indem der Händler die Zizr-App aus dem Shopify App Store installiert und über den Annahmebildschirm in der App hinaus fortfährt, bestätigt er, dass er diesen AVV gelesen und verstanden hat und sich damit einverstanden erklärt hat, an ihn gebunden zu sein. Zizr führt Aufzeichnungen über die Annahme, einschließlich der angenommenen Fassung, des Zeitstempels und der Shopify-Shop-Kennung.

Inhaltsverzeichnis

1. Begriffsbestimmungen
2. Rollen und Anwendungsbereich
3. Weisungen zur Verarbeitung
4. Zweck, Art und Dauer der Verarbeitung
5. Kategorien betroffener Personen und personenbezogener Daten
6. Sicherheit der Verarbeitung
7. Vertraulichkeit
8. Unterauftragsverarbeiter
9. Internationale Datenübermittlungen
10. Aufbewahrung und Löschung von Daten
11. Unterstützung bei den Rechten betroffener Personen
12. Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten
13. Prüfungs- und Inspektionsrechte
14. Unterstützung bei der Einhaltung der Vorschriften
15. Unzulässige Nutzungen
16. Haftung
17. Laufzeit und Beendigung
18. Sonstiges
19. Anwendbares Recht und Gerichtsstand

Anhang I: Beschreibung der Verarbeitung
Anhang II: Technische und organisatorische Maßnahmen
Anhang III: Liste der Unterauftragsverarbeiter
Anhang IV: Standardvertragsklauseln (durch Verweis einbezogen)
Anhang V: Verfahren zur Reaktion auf Vorfälle

1. Begriffsbestimmungen

In der DSGVO definierte Begriffe haben in diesem AVV dieselbe Bedeutung, darunter „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“.

Für die Zwecke dieses AVV gilt:

• „Anwendbare Datenschutzgesetze“ bezeichnet die DSGVO, die UK-DSGVO, das norwegische Gesetz über personenbezogene Daten (personopplysningsloven), das Schweizer Bundesgesetz über den Datenschutz (DSG), den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung (zusammen „CCPA/CPRA“) sowie alle sonstigen Gesetze zum Schutz der Privatsphäre oder zum Datenschutz, die auf die Verarbeitung personenbezogener Daten durch eine Partei im Rahmen des Hauptvertrags anwendbar sind.
• „Dienste“ bezeichnet die Zizr-Shopify-App und die damit verbundenen Dienstleistungen, die Zizr dem Händler im Rahmen des Hauptvertrags bereitstellt.
• „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den Zizr damit beauftragt, im Zusammenhang mit den Diensten personenbezogene Daten im Auftrag des Händlers zu verarbeiten.
• „SCC“ bezeichnet die Standardvertragsklauseln, die im Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 festgelegt sind.
• „Endkunde“ oder „Endnutzer“ bezeichnet einen Kunden oder Besucher des Shopify-Shops des Händlers, dessen personenbezogene Daten über die Dienste verarbeitet werden können.
• „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die Zizr im Auftrag des Händlers gemäß diesem AVV verarbeitet, mit Ausnahme personenbezogener Daten, die Zizr als eigenständiger Verantwortlicher gemäß Abschnitt 2 verarbeitet.

2. Rollen und Anwendungsbereich

2.1 Beauftragung als Auftragsverarbeiter

Der Händler beauftragt Zizr als Auftragsverarbeiter damit, Personenbezogene Kundendaten im Zusammenhang mit den Diensten im Auftrag des Händlers zu verarbeiten. Diese Beauftragung erfolgt gemäß Art. 28 Abs. 1 DSGVO. Jede Partei ist verpflichtet, ihre jeweiligen Pflichten aus den Anwendbaren Datenschutzgesetzen zu erfüllen.

2.2 Anwendungsbereich dieses AVV

Dieser AVV gilt nur für die Verarbeitung Personenbezogener Kundendaten durch Zizr als Auftragsverarbeiter im Auftrag des Händlers. Er gilt nicht für:

• Die Verarbeitung personenbezogener Daten durch Zizr in seiner Eigenschaft als eigenständiger Verantwortlicher für Sicherheit und Betrugsprävention, für die Verbesserung von Algorithmen unter Verwendung pseudonymisierter oder aggregierter Daten sowie für Benchmarking und infrastrukturbezogene Forschung und Entwicklung.
• Die Verarbeitung personenbezogener Daten von Endkunden durch Zizr im Zusammenhang mit dem optionalen Zizr-ID-Konto, bei der Zizr als Verantwortlicher auf der Grundlage gesonderter Zizr-ID-Nutzungsbedingungen und eines gesonderten Zizr-ID-Datenschutzhinweises handelt, die unmittelbar zwischen Zizr und dem Endkunden vereinbart werden.
• Die Verarbeitung der eigenen personenbezogenen Daten des Händlers (zum Beispiel Kontaktdaten, Abrechnungsinformationen) durch Zizr zum Zweck der Durchführung der Geschäftsbeziehung im Rahmen des Hauptvertrags, die sich nach unserer Datenschutzerklärung richtet.

2.3 Rangfolge

Im Falle eines Widerspruchs zwischen diesem AVV und dem Hauptvertrag hat dieser AVV in Bezug auf die Verarbeitung Personenbezogener Kundendaten Vorrang. Im Falle eines Widerspruchs zwischen diesem AVV und den in Anhang IV einbezogenen SCC haben die SCC in Bezug auf internationale Datenübermittlungen, die Kapitel V DSGVO unterliegen, Vorrang.

3. Weisungen zur Verarbeitung

3.1 Dokumentierte Weisungen

Zizr ist verpflichtet, Personenbezogene Kundendaten nur auf dokumentierte Weisung des Händlers zu verarbeiten; zu diesen Weisungen gehören:

• Dieser AVV und etwaige Änderungen daran.
• Der Hauptvertrag.
• Die Konfiguration der Dienste durch den Händler über den Zizr-Adminbereich oder den Shopify-Adminbereich (einschließlich der Frage, welche Funktionen aktiviert, welche Berechtigungen erteilt und welche Unterauftragsverarbeiter vom Händler konfiguriert werden).
• Alle schriftlichen Weisungen, die der Händler an privacy@zizr.com sendet.
• Weisungen, die zur Einhaltung des anwendbaren Rechts erforderlich sind; in diesem Fall ist Zizr verpflichtet, den Händler, soweit zulässig, vor Beginn der Verarbeitung über diese rechtliche Anforderung zu informieren.

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 lit. a DSGVO und Klausel 8.1 lit. a der SCC.

3.2 Mitteilung bei rechtswidrigen oder nicht ausführbaren Weisungen

Zizr ist verpflichtet, den Händler umgehend zu benachrichtigen, wenn Zizr der Auffassung ist, dass eine Weisung gegen Anwendbare Datenschutzgesetze verstößt, oder wenn Zizr eine Weisung aufgrund technischer Beschränkungen oder rechtlicher Anforderungen nicht befolgen kann. Zizr ist nicht verpflichtet, die Einhaltung der Anwendbaren Datenschutzgesetze durch den Händler aktiv zu überwachen.

3.3 Pflichten des Verantwortlichen

Der Händler sichert zu, dass:

• Seine Weisungen an Zizr den Anwendbaren Datenschutzgesetzen entsprechen.
• Er die Rechtsgrundlage für alle Verarbeitungstätigkeiten, mit denen er Zizr beauftragt, festgelegt und dokumentiert hat.
• Er alle erforderlichen Einwilligungen, Rechte und Genehmigungen eingeholt hat und aufrechterhalten wird und den Endkunden alle erforderlichen Hinweise erteilt hat, um die Verarbeitung durch Zizr in seinem Auftrag zu ermöglichen.
• Die Zizr zur Verfügung gestellten Personenbezogenen Kundendaten richtig sind und rechtmäßig erlangt wurden.

4. Zweck, Art und Dauer der Verarbeitung

4.1 Gegenstand

Die Bereitstellung der Dienste über die Zizr-Shopify-App, einschließlich Größenempfehlungen, FitBack, Retourenanalyse, Normalisierung von Produktdaten und damit verbundener Funktionen, wie vom Händler aktiviert.

4.2 Zweck

Personenbezogene Kundendaten dürfen ausschließlich zu den folgenden Zwecken verarbeitet werden:

• Erbringung der Dienste für den Händler.
• Beantwortung von Anfragen betroffener Personen, die der Händler weiterleitet.
• Verbesserung, Fehlerbehebung und Absicherung der Dienste, soweit unbedingt erforderlich und im Einklang mit diesem AVV.
• Erfüllung anwendbarer rechtlicher Verpflichtungen.

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 DSGVO und Klausel 8.1 der SCC.

4.3 Art der Verarbeitung

Die Verarbeitungsvorgänge umfassen:

• Erhebung Personenbezogener Kundendaten über die Shopify Admin API, die Shopify Customer Account API, Shopify-Webhooks und Storefront-Integrationen (Web Pixels, Theme App Extensions, Customer Privacy API).
• Speicherung in der Infrastruktur von Microsoft Azure in Frankreich (Region France Central).
• Einsatz von Pseudonymisierung (zum Beispiel Hashing von Kennungen), soweit praktikabel.
• Rückübermittlung abgeleiteter Ergebnisse (wie Empfehlungen und Analysen) an den Händler über Shopify oder den Zizr-Adminbereich.
• Löschung auf Weisung oder bei Eingang von Datenschutz-Webhooks von Shopify.

4.4 Dauer

Die Verarbeitung dauert für die Laufzeit des aktiven Zizr-Abonnements des Händlers an. Personenbezogene Kundendaten werden bei Beendigung gemäß Abschnitt 10 gelöscht oder zurückgegeben.

Weitere nach Art. 28 Abs. 3 DSGVO und Anhang I.B der SCC erforderliche Angaben sind in Anhang I enthalten.

5. Kategorien betroffener Personen und personenbezogener Daten

5.1 Kategorien betroffener Personen

• Endkunden des Shopify-Shops des Händlers.
• Personal des Händlers, das befugt ist, im Namen des Händlers mit den Diensten zu interagieren.

5.2 Kategorien personenbezogener Daten

Die Kategorien der verarbeiteten personenbezogenen Daten sind in Abschnitt 3 unserer Datenschutzerklärung aufgeführt und in Anhang I zusammengefasst. Sie umfassen:

• Bestell- und Transaktionsdaten.
• Begrenzte Kundendaten von Endkunden (Name, E-Mail-Adresse oder gehashte E-Mail-Adresse, Telefonnummer, Liefer- und Rechnungsadressen, Shopify-Kundenkennung).
• Produkt- und Größendaten.
• Verhaltens- und Funktionssignale.
• Händler- und Shop-Daten.

5.3 Besondere Kategorien personenbezogener Daten

Zizr benötigt und verlangt keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und verarbeitet solche Daten nicht absichtlich. Werden solche Daten versehentlich bereitgestellt (zum Beispiel in Freitextnotizen), wird Zizr sie löschen oder minimieren.

6. Sicherheit der Verarbeitung

6.1 Technische und organisatorische Maßnahmen

Zizr ist verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen und aufrechtzuerhalten, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie es Art. 32 DSGVO verlangt. Diese Maßnahmen sind in Anhang II im Einzelnen beschrieben und umfassen Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen, Pseudonymisierung, Schwachstellenmanagement, die Vertraulichkeitsverpflichtung der Mitarbeiter und die Reaktion auf Vorfälle.

6.2 Aktualisierung der Sicherheitsmaßnahmen

Zizr überprüft und aktualisiert seine Sicherheitsmaßnahmen in regelmäßigen Abständen und kann Anhang II gemäß Abschnitt 18.5 (Änderungen) aktualisieren. Aktualisierungen werden das Sicherheitsniveau nicht wesentlich verringern.

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 lit. c und Art. 32 DSGVO sowie Klausel 8.6 der SCC.

7. Vertraulichkeit

Zizr ist verpflichtet sicherzustellen, dass das gesamte zur Verarbeitung Personenbezogener Kundendaten befugte Personal:

• Sich zur Vertraulichkeit verpflichtet hat oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegt.
• Angemessene Schulungen zu Datenschutz und Sicherheit erhält.
• Zugriff nur nach dem Need-to-know-Prinzip und im Einklang mit dem Prinzip der geringsten Berechtigung erhält.

Die Vertraulichkeitspflichten gelten über die Beendigung des Arbeits- oder Auftragsverhältnisses und über die Beendigung dieses AVV hinaus fort.

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 lit. b DSGVO und Klausel 8.3 der SCC.

8. Unterauftragsverarbeiter

8.1 Allgemeine Genehmigung

Der Händler erteilt Zizr die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen, vorbehaltlich der Anforderungen dieses Abschnitts. Damit wird Option 2 nach Klausel 9 lit. a der SCC umgesetzt.

8.2 Aktuelle Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter, einschließlich ihres Standorts und ihrer Verarbeitungstätigkeiten, ist in Anhang III und auf der Zizr-Website unter https://www.zizr.com/legal/de/subprocessors aufgeführt. Zizr hält diese Liste auf dem aktuellen Stand.

8.3 Hinzufügung oder Ersetzung von Unterauftragsverarbeitern

Zizr ist verpflichtet, den Händler mindestens 15 Tage im Voraus zu benachrichtigen, bevor ein Unterauftragsverarbeiter, der Personenbezogene Kundendaten verarbeitet, hinzugefügt oder ersetzt wird. Die Benachrichtigung erfolgt durch Mitteilung in der App oder per E-Mail an den hinterlegten Administratorkontakt des Händlers. Die Benachrichtigung wird den Namen, den Standort und die Verarbeitungstätigkeiten des neuen Unterauftragsverarbeiters enthalten.

8.4 Einspruchsrecht

Der Händler kann innerhalb der Benachrichtigungsfrist aus vernünftigen Gründen, die den Datenschutz betreffen, Einspruch erheben. Kann der Einspruch nicht innerhalb einer angemessenen Zeit ausgeräumt werden, kann der Händler den betroffenen Teil der Dienste gemäß Abschnitt 17 kündigen. Die fortgesetzte Nutzung der Dienste nach Ablauf der Benachrichtigungsfrist gilt als Annahme des neuen Unterauftragsverarbeiters.

8.5 Pflichten in Bezug auf Unterauftragsverarbeiter

Zizr ist verpflichtet:

• Jeden Unterauftragsverarbeiter vor dessen Einsatz einer angemessenen Sorgfaltsprüfung (Due Diligence) zu unterziehen und dabei Anbieter mit anerkannten Zertifizierungen (wie SOC 2, ISO 27001, ISO 27018) vorrangig zu berücksichtigen.
• Mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag zu schließen, der Datenschutzpflichten auferlegt, die keinen geringeren Schutz bieten als diejenigen in diesem AVV.
• Gegenüber dem Händler für die Handlungen und Unterlassungen der Unterauftragsverarbeiter von Zizr in vollem Umfang haftbar zu bleiben, und zwar in demselben Umfang, in dem Zizr haften würde, wenn Zizr die Leistungen unmittelbar selbst erbrächte, vorbehaltlich der im Hauptvertrag festgelegten Haftungsbeschränkungen.

Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz, ist Zizr verpflichtet sicherzustellen, dass geeignete Übermittlungsmechanismen gemäß Abschnitt 9 bestehen.

Dies erfüllt die Anforderungen von Art. 28 Abs. 2 und 4 DSGVO und Klausel 9 der SCC.

9. Internationale Datenübermittlungen

9.1 Primärer Verarbeitungsstandort

Der primäre Verarbeitungsstandort von Zizr liegt im Europäischen Wirtschaftsraum (Microsoft Azure, France Central). Einige Unterauftragsverarbeiter verarbeiten personenbezogene Daten außerhalb des EWR, wie in Anhang III angegeben.

9.2 Übermittlungsmechanismus

Für Übermittlungen Personenbezogener Kundendaten in Länder außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz, die nicht als Länder mit einem angemessenen Schutzniveau anerkannt wurden, stützt sich Zizr auf:

• Die in Anhang IV einbezogenen SCC (Modul zwei: Verantwortlicher an Auftragsverarbeiter, oder Modul drei: Auftragsverarbeiter an Unterauftragsverarbeiter, je nach Anwendbarkeit).
• Für Übermittlungen aus dem Vereinigten Königreich: das UK International Data Transfer Addendum zu den SCC.
• Für Übermittlungen aus der Schweiz: die SCC in der für die Schweiz angepassten Fassung.
• Soweit verfügbar, zusätzliche Angemessenheitsregelungen wie das EU-U.S. Data Privacy Framework, für Unterauftragsverarbeiter, die an solchen Regelungen teilnehmen.

9.3 Umsetzung der SCC

Die Parteien übernehmen Modul zwei (Verantwortlicher an Auftragsverarbeiter) der SCC in Anhang IV mit der folgenden Auswahl:

• Klausel 7 (Kopplungsklausel): Aufgenommen.
• Klausel 9 (Einsatz von Unterauftragsverarbeitern): Option 2, Allgemeine schriftliche Genehmigung.
• Klausel 11 (Rechtsbehelf): Optionale Formulierung zur unabhängigen Stelle nicht aufgenommen.
• Klausel 17 (Anwendbares Recht): Option 1, das Recht Irlands.
• Klausel 18 (Gerichtsstand und Zuständigkeit): Gerichte Irlands.

Dieser AVV unterliegt im Allgemeinen norwegischem Recht (mit Oslo tingrett als zuständigem Gericht), die SCC selbst unterliegen jedoch, wie es Klausel 17 der SCC verlangt, irischem Recht, da Norwegen zwar dem EWR angehört, aber kein EU-Mitgliedstaat ist.

9.4 Zusätzliche Maßnahmen

Neben den SCC wendet Zizr zusätzliche Schutzmaßnahmen an:

• Pseudonymisierung durch Hashing von Kennungen, soweit praktikabel.
• Verschlüsselung bei der Übertragung und im Ruhezustand.
• Geografische Beschränkung der Verarbeitung auf bekannte, in Anhang III angegebene Regionen.
• Zugriffskontrollen für das Personal, Schulungen und Vertraulichkeitsvereinbarungen.
• Dokumentierte Transfer-Folgenabschätzungen (Transfer Impact Assessments, TIA), die in den internen Unterlagen von Zizr geführt werden.

10. Aufbewahrung und Löschung von Daten

10.1 Rückgabe oder Löschung bei Beendigung

Bei Beendigung oder Ablauf der Dienste ist Zizr verpflichtet, nach Wahl des Händlers:

• Alle im Auftrag des Händlers verarbeiteten Personenbezogenen Kundendaten in einem gängigen maschinenlesbaren Format zurückzugeben oder
• Diese Daten zu löschen oder zu anonymisieren, sofern nicht nach anwendbarem Recht eine Aufbewahrung erforderlich ist.

Deinstalliert der Händler die Zizr-App bei Shopify, behandelt Zizr dies als Löschweisung und kommt dem Shopify-Webhook shop/redact nach, indem Zizr shopbezogene Personenbezogene Kundendaten innerhalb von 30 Tagen löscht oder anonymisiert, sofern nicht nach anwendbarem Recht eine Aufbewahrung erforderlich ist.

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 lit. g DSGVO und Klausel 8.5 der SCC.

10.2 Löschung während des aktiven Dienstes

Der Händler kann jederzeit die Löschung bestimmter Personenbezogener Kundendaten über den Zizr-Adminbereich, durch Auslösen des Shopify-Webhooks customers/redact oder durch schriftliche Anfrage an privacy@zizr.com verlangen. Zizr ist verpflichtet, die Löschung innerhalb von 30 Tagen nach Eingang abzuschließen, sofern nicht nach anwendbarem Recht eine Aufbewahrung erforderlich ist oder die Löschung technisch nicht durchführbar ist; in diesem Fall ist Zizr verpflichtet, den Händler umgehend zu informieren.

10.3 Ausnahmen für die Aufbewahrung

Ungeachtet des Vorstehenden darf Zizr Personenbezogene Kundendaten aufbewahren:

• Soweit dies nach anwendbarem Recht erforderlich ist, einschließlich des norwegischen Buchführungsrechts (bokføringsloven, mindestens fünf Jahre für Buchführungsunterlagen).
• In Standard-Backups, unter Einhaltung der Vertraulichkeits- und Sicherheitspflichten dieses AVV, bis das Backup im gewöhnlichen Geschäftsgang im Zuge der Rotation ausgesondert wird.
• In aggregierter oder de-identifizierter Form, bei der eine Re-Identifizierung vernünftigerweise nicht möglich ist.

11. Unterstützung bei den Rechten betroffener Personen

11.1 Unterstützungspflicht

Unter Berücksichtigung der Art der Verarbeitung ist Zizr verpflichtet, den Händler in angemessenem Umfang bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen zu unterstützen, die Folgendes betreffen:

• Auskunft über personenbezogene Daten (Art. 15 DSGVO).
• Berichtigung (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).
• Rechte im Zusammenhang mit automatisierten Entscheidungen im Einzelfall, soweit anwendbar (Art. 22 DSGVO).

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 lit. e DSGVO und Klausel 8.4 der SCC.

11.2 Direkt an Zizr gerichtete Anfragen

Erhält Zizr unmittelbar von einem Endkunden eine Anfrage, die im Auftrag des Händlers verarbeitete Personenbezogene Kundendaten betrifft, ist Zizr verpflichtet, die Anfrage umgehend an den Händler weiterzuleiten, und darf nicht unmittelbar antworten, es sei denn, der Händler hat Zizr schriftlich dazu angewiesen oder dies ist nach anwendbarem Recht erforderlich.

11.3 Integration der Shopify-Webhooks

Der primäre Mechanismus von Zizr für die Bearbeitung von Anfragen von Endkunden zur Ausübung ihrer Rechte sind die Datenschutz-Webhooks von Shopify (customers/data_request, customers/redact, shop/redact), wie es die Plattformanforderungen von Shopify verlangen. Zizr hält bei diesen Webhooks eine Antwortfrist von 30 Tagen ein oder antwortet schneller, soweit dies gesetzlich erforderlich ist.

12. Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten

12.1 Frist für die Benachrichtigung

Zizr ist verpflichtet, den Händler unverzüglich und in jedem Fall innerhalb von 72 Stunden zu benachrichtigen, nachdem Zizr eine Personenbezogene Kundendaten betreffende Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Benachrichtigung erfolgt per E-Mail an den hinterlegten Administratorkontakt des Händlers und, soweit möglich, durch Mitteilung in der App.

12.2 Inhalt der Benachrichtigung

Die erste Benachrichtigung muss, soweit zu diesem Zeitpunkt bekannt, Folgendes enthalten:

• Eine Beschreibung der Verletzung, einschließlich der Art des Vorfalls, der Kategorien der betroffenen Personen und der geschätzten Zahl der Datensätze.
• Die wahrscheinlichen Folgen der Verletzung.
• Die ergriffenen oder geplanten Maßnahmen zur Behebung der Verletzung und zur Abmilderung möglicher Schäden.
• Kontaktinformationen für Rückfragen.

Zizr ist verpflichtet, den Händler auf dem Laufenden zu halten, sobald weitere Informationen verfügbar werden.

12.3 Zusammenarbeit

Zizr ist verpflichtet, mit dem Händler bei der Erfüllung etwaiger regulatorischer Meldepflichten nach Art. 33 und 34 DSGVO zusammenzuarbeiten, alle Verletzungen unabhängig von Meldepflichten zu dokumentieren und Maßnahmen zur Verhinderung einer Wiederholung umzusetzen.

12.4 Ausschlüsse

Zizr ist nicht verpflichtet, den Händler über routinemäßige Sicherheitsereignisse zu benachrichtigen, die personenbezogene Daten nicht beeinträchtigen, einschließlich, aber nicht beschränkt auf fehlgeschlagene Anmeldeversuche, Port-Scans, versuchtes, aber erfolgloses Eindringen sowie interne Tests oder Sicherheitsübungen.

Das ausführliche Verfahren zur Reaktion auf Vorfälle ist in Anhang V festgelegt.

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 lit. f und Art. 33 DSGVO sowie Klausel 8.6 der SCC.

13. Prüfungs- und Inspektionsrechte

13.1 Prüfungsrechte

Der Händler hat das Recht, die Einhaltung dieses AVV durch Zizr zu prüfen, wie es Art. 28 Abs. 3 lit. h DSGVO und Klausel 8.9 der SCC verlangen. Zizr ist verpflichtet, alle Informationen bereitzustellen, die vernünftigerweise erforderlich sind, um die Einhaltung nachzuweisen.

13.2 Prüfungsverfahren

Prüfungen müssen:

• Auf eine Prüfung pro Kalenderjahr beschränkt sein, es sei denn, es ist eine Verletzung des Schutzes personenbezogener Daten eingetreten oder eine Aufsichtsbehörde verlangt häufigere Prüfungen.
• Mit einer Frist von mindestens 30 Tagen schriftlich gegenüber privacy@zizr.com angekündigt und während der üblichen Geschäftszeiten durchgeführt werden.
• So durchgeführt werden, dass der Geschäftsbetrieb von Zizr nicht unangemessen gestört wird.
• Vertraulichkeitspflichten zwischen den Parteien unterliegen.
• Ihrem Umfang nach auf Angelegenheiten beschränkt sein, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV durch Zizr zu beurteilen.

13.3 Prüfberichte als Ersatz

Zizr kann die Prüfungsrechte des Händlers erfüllen, indem Zizr auf schriftliche Anfrage seine jeweils aktuellen Prüfberichte Dritter (wie ISO 27001, SOC 2 Type II oder gleichwertig), soweit verfügbar, sowie zusätzliche Informationen bereitstellt, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen. Der Händler darf Prüfungsrechte vor Ort nur ausüben, wenn diese Berichte keine ausreichenden Informationen zur Überprüfung der Einhaltung liefern oder wenn eine Aufsichtsbehörde dies verlangt.

14. Unterstützung bei der Einhaltung der Vorschriften

Unter Berücksichtigung der Art der Verarbeitung und der Zizr zur Verfügung stehenden Informationen ist Zizr verpflichtet, den Händler auf Anfrage bei Folgendem zu unterstützen:

• Umsetzung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen (Art. 32 DSGVO).
• Meldung an Aufsichtsbehörden und Benachrichtigung betroffener Personen im Falle einer Verletzung des Schutzes personenbezogener Daten (Art. 33 und 34 DSGVO).
• Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO).
• Konsultation von Aufsichtsbehörden vor der Verarbeitung, soweit erforderlich (Art. 36 DSGVO).

Die Unterstützung nach diesem Abschnitt erfolgt bei angemessenen Anfragen ohne zusätzliches Entgelt. Für Unterstützung, die erhebliche Ressourcen von Zizr erfordert (mehr als 8 Personenstunden je Anfrage), kann Zizr ein angemessenes Entgelt zu seinem jeweils geltenden Satz für professionelle Dienstleistungen berechnen, vorbehaltlich vorheriger Ankündigung und Genehmigung durch den Händler.

Dies erfüllt die Anforderungen von Art. 28 Abs. 3 lit. f DSGVO und der Klauseln 8.6, 8.7, 10 lit. b und 10 lit. c der SCC.

15. Unzulässige Nutzungen

Zizr darf nicht:

• Personenbezogene Kundendaten für eigene Zwecke außerhalb des Anwendungsbereichs dieses AVV nutzen, außer soweit in Abschnitt 2.2 ausdrücklich vorgesehen (Tätigkeiten als eigenständiger Verantwortlicher).
• Personenbezogene Kundendaten „verkaufen“ oder „weitergeben“, wie diese Begriffe im CCPA/CPRA oder in entsprechenden Datenschutzgesetzen von US-Bundesstaaten definiert sind.
• Personenbezogene Kundendaten für kontextübergreifende verhaltensbezogene Werbung nutzen, es sei denn, der Händler hat eine solche Verarbeitung ausdrücklich konfiguriert und die erforderlichen Einwilligungen eingeholt und die erforderlichen Opt-out-Mechanismen eingerichtet.
• Personenbezogene Kundendaten des Händlers mit personenbezogenen Daten aus anderen Quellen in einer Weise zusammenführen, die gegen Anwendbare Datenschutzgesetze verstößt.

16. Haftung

Die Haftung nach diesem AVV unterliegt den im Hauptvertrag festgelegten Haftungsbeschränkungen. Dieser AVV beschränkt nicht die Haftung einer Partei nach Art. 82 und 83 DSGVO oder nach den SCC, sofern das anwendbare zwingende Recht keine Beschränkung zulässt.

17. Laufzeit und Beendigung

17.1 Laufzeit

Dieser AVV tritt mit der Installation der Zizr-App und der Annahme des Hauptvertrags in Kraft und gilt für die Dauer der Dienste.

17.2 Beendigung

Die Beendigung dieses AVV richtet sich nach den Kündigungsbestimmungen des Hauptvertrags. Bei Beendigung gelten die Pflichten zur Datenlöschung nach Abschnitt 10.

17.3 Fortgeltung

Die folgenden Pflichten gelten über die Beendigung hinaus fort: Datenlöschung (Abschnitt 10), Vertraulichkeit (Abschnitt 7), Haftung (Abschnitt 16), anwendbares Recht (Abschnitt 19) sowie alle sonstigen Bestimmungen, die ihrer Natur nach fortgelten sollen.

18. Sonstiges

18.1 Mitteilungen

Mitteilungen nach diesem AVV sind zu senden an:

• Für Zizr: privacy@zizr.com.
• Für den Händler: die im Shopify-Adminbereich hinterlegte Administrator-E-Mail-Adresse des Händlers oder eine andere Adresse, die der Händler Zizr schriftlich mitgeteilt hat.

18.2 Gesamte Vereinbarung

Dieser AVV stellt zusammen mit dem Hauptvertrag und seinen Anhängen die gesamte Vereinbarung zwischen den Parteien in Bezug auf die Verarbeitung Personenbezogener Kundendaten dar und ersetzt alle früheren Bedingungen zur Datenverarbeitung.

18.3 Salvatorische Klausel

Sollte eine Bestimmung dieses AVV für unwirksam oder nicht durchsetzbar befunden werden, bleiben die übrigen Bestimmungen uneingeschränkt wirksam, und die unwirksame Bestimmung ist durch eine wirksame Bestimmung zu ersetzen, die dem ursprünglich Gewollten am nächsten kommt.

18.4 Keine Drittbegünstigten

Mit Ausnahme der in den SCC ausdrücklich für betroffene Personen vorgesehenen Rechte begründet dieser AVV keine Rechte Dritter.

18.5 Änderungen

Zizr kann diesen AVV von Zeit zu Zeit ändern. Wesentliche Änderungen, die sich nachteilig auf die Rechte des Händlers auswirken, werden mindestens 15 Tage vor ihrem Wirksamwerden durch Mitteilung in der App oder per E-Mail bekannt gegeben. Unwesentliche Änderungen (wie Klarstellungen, Korrekturen von Tippfehlern oder Aktualisierungen der Liste der Unterauftragsverarbeiter in Anhang III) können ohne vorherige Ankündigung vorgenommen werden. Die fortgesetzte Nutzung der Dienste nach dem Wirksamwerden einer wesentlichen Änderung gilt als Annahme.

19. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt norwegischem Recht. Die Parteien unterwerfen sich für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV der ausschließlichen Zuständigkeit von Oslo tingrett, vorbehaltlich zwingender verbraucher- oder datenschutzrechtlicher Vorschriften, die eine anderweitige Zuständigkeit begründen.

Die in Anhang IV einbezogenen SCC unterliegen irischem Recht und der Zuständigkeit der Gerichte Irlands, wie es Klausel 17 der SCC verlangt.

Anhang I: Beschreibung der Verarbeitung

A. Parteien

Datenexporteur (Verantwortlicher): Der Händler, der die Zizr-App installiert und diesen AVV angenommen hat.

Datenimporteur (Auftragsverarbeiter):
Zizr AS
Dronningens gate 38, 7011 Trondheim, Norwegen
Organisationsnummer: 922 796 556
Datenschutzkontakt: privacy@zizr.com
Datenschutzkoordinator: Petter Hellevik, CEO

B. Beschreibung der Verarbeitung

1. Kategorien betroffener Personen. Endkunden des Shopify-Shops des Händlers und das befugte Personal des Händlers.

2. Kategorien personenbezogener Daten. Wie in Abschnitt 3 der Zizr-Datenschutzerklärung aufgeführt, einschließlich Bestell- und Transaktionsdaten, begrenzter Kundendaten von Endkunden (Name, E-Mail-Adresse oder gehashte E-Mail-Adresse, Telefonnummer, Liefer- und Rechnungsadressen, Shopify-Kundenkennung), Produkt- und Größendaten, Verhaltens- und Funktionssignalen sowie Händler- und Shop-Daten.

3. Sensible Daten (besondere Kategorien). Es werden keine absichtlich verarbeitet.

4. Art und Zweck der Verarbeitung. Bereitstellung der Zizr-Dienste, einschließlich Größenempfehlungen, FitBack, Retourenanalyse, Normalisierung von Produktdaten und damit verbundener Funktionen, wie vom Händler aktiviert.

5. Dauer. Für die Laufzeit des aktiven Abonnements des Händlers zuzüglich der Aufbewahrungsfristen nach Abschnitt 10.

6. Häufigkeit. Kontinuierlich, in Echtzeit während der Diensterbringung.

7. Übermittlungen in Drittländer. Wie in Anhang III angegeben. Die SCC sind in Anhang IV einbezogen.

C. Zuständige Aufsichtsbehörde

Datatilsynet (die norwegische Datenschutzbehörde), datatilsynet.no, Postboks 458 Sentrum, 0105 Oslo, Norwegen.

Anhang II: Technische und organisatorische Maßnahmen

Zizr setzt die folgenden technischen und organisatorischen Maßnahmen um, um im Einklang mit Art. 32 DSGVO die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und der Dienste auf Dauer sicherzustellen.

1. Zugriffskontrolle und Authentifizierung

• Rollenbasierte Zugriffskontrolle (RBAC) für interne Systeme und Datenbanken.
• Individuelle Benutzerkonten für alle Teammitglieder. Gemeinsam genutzte Zugangsdaten sind untersagt.
• Für administrative Zugriffe ist Multi-Faktor-Authentifizierung zwingend vorgeschrieben.
• Zugriffsrechte werden in regelmäßigen Abständen überprüft und bei Rollenwechsel oder Ausscheiden umgehend entzogen.
• Das Prinzip der geringsten Berechtigung wird in allen Systemen durchgesetzt.

2. Datenverschlüsselung

• Alle Daten werden bei der Übertragung mit TLS 1.2 oder höher geschützt.
• Daten im Ruhezustand werden in der Azure-Infrastruktur mit AES-256 oder einem gleichwertigen Verfahren verschlüsselt.
• Der Zugriff auf kryptografische Schlüssel ist beschränkt und wird überwacht und protokolliert.

3. Sicherheit von Infrastruktur und Hosting

• Primäre Infrastruktur auf Microsoft Azure (France Central), das über Zertifizierungen einschließlich ISO 27001 und SOC 2 verfügt.
• Regelmäßige Aktualisierungen der Infrastruktur und Schließen von Schwachstellen durch Patches.
• Sicherheitsupdates werden nach Herstellerhinweisen oder internen Risikobewertungen eingespielt.
• Netzwerksegmentierung und Firewall-Schutz.

4. Sicherheit der Datenverarbeitung

• Personenbezogene Kennungen (wie E-Mail-Adressen) werden, soweit praktikabel, vor der weiteren Verarbeitung oder vor der Übermittlung an Dritte gehasht.
• Datenminimierung wird standardmäßig angewandt. Es werden nur Daten erhoben, die für den angegebenen Zweck erforderlich sind.
• Pseudonymisierung wird eingesetzt, soweit praktikabel.

5. Organisatorische Sicherheit

• Das gesamte Personal ist an Vertraulichkeitsvereinbarungen und Richtlinien zur Zugriffskontrolle gebunden.
• Das Personal erhält bei der Einarbeitung und danach wiederkehrend Schulungen zu Datenschutz und Sicherheit.
• Der Zugriff auf Personenbezogene Kundendaten ist nach dem Need-to-know-Prinzip auf befugtes Personal beschränkt.
• Für Personal mit Zugriff auf Produktionssysteme werden Hintergrundüberprüfungen durchgeführt, soweit gesetzlich zulässig.

6. Erkennung von Vorfällen und Reaktion auf Vorfälle

• Protokollierung und Überwachung über Datadog.
• Dokumentiertes Verfahren zur Reaktion auf Vorfälle (Anhang V).
• Der Händler wird gemäß Abschnitt 12 des AVV über Verletzungen des Schutzes personenbezogener Daten benachrichtigt.
• Nachbereitungen von Vorfällen und Ursachenanalysen werden dokumentiert, um eine Wiederholung zu verhindern.

7. Datentrennung und Datenminimierung

• Es werden nur Daten erhoben und verarbeitet, die für die Dienste erforderlich sind.
• Händlerspezifische Daten werden innerhalb mandantenfähiger Systeme logisch getrennt.
• Test- und Produktionsdaten werden strikt voneinander getrennt gehalten, im Einklang mit den Level-2-Anforderungen von Shopify für geschützte Kundendaten.

8. Zahlungssicherheit

• Die gesamte Zahlungsabwicklung erfolgt über die Shopify Billing API. Zizr verarbeitet oder speichert keine Zahlungskarteninformationen und greift nicht auf solche Informationen zu.

9. Backup und Wiederherstellung

• Die Azure-Infrastruktur bietet Redundanz und Dauerhaftigkeit für gespeicherte Daten.
• Backups werden im Ruhezustand verschlüsselt, im Einklang mit den Level-2-Anforderungen von Shopify.
• Dokumentierte Backup- und Wiederherstellungsverfahren speziell für Personenbezogene Kundendaten, mit Wiederherstellungstests in regelmäßigen Abständen.

10. Schwachstellenmanagement

• Regelmäßige Schwachstellenscans und Überwachung von Abhängigkeiten.
• Verfahren zur koordinierten Offenlegung für extern gemeldete Schwachstellen (privacy@zizr.com).

11. Überwachung der Unterauftragsverarbeiter

• Alle Unterauftragsverarbeiter werden vor ihrem Einsatz einer Sicherheitsbewertung unterzogen.
• Bevorzugung von Unterauftragsverarbeitern mit anerkannten Zertifizierungen (SOC 2, ISO 27001, ISO 27018 oder gleichwertig).
• Die Verträge mit Unterauftragsverarbeitern erlegen Pflichten auf, die keinen geringeren Schutz bieten als dieser AVV.

Anhang III: Liste der Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter werden zum Datum des Inkrafttretens dieses AVV eingesetzt. Die aktuelle Liste wird unter https://www.zizr.com/legal/de/subprocessors geführt und gemäß Abschnitt 8 dieses AVV aktualisiert.

Die OpenAI-Inferenz erfolgt über Azure OpenAI Service innerhalb des Microsoft-Azure-Mandanten und stellt keine gesonderte Übermittlung an OpenAI Inc. dar.

Anhang IV: Standardvertragsklauseln

Die im Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 festgelegten Standardvertragsklauseln werden durch Verweis in diesen AVV einbezogen, mit der folgenden Auswahl:

• Gewähltes Modul: Modul zwei (Verantwortlicher an Auftragsverarbeiter). Modul drei (Auftragsverarbeiter an Unterauftragsverarbeiter) gilt zwischen Zizr und jedem Unterauftragsverarbeiter außerhalb des EWR.
• Klausel 7 (Kopplungsklausel): Aufgenommen.
• Klausel 9 (Unterauftragsverarbeiter): Option 2, Allgemeine schriftliche Genehmigung, mit einer Benachrichtigungsfrist von 15 Tagen.
• Klausel 11 (Rechtsbehelf): Die optionale Formulierung zur unabhängigen Streitbeilegungsstelle wird nicht gewählt.
• Klausel 17 (Anwendbares Recht): Option 1, irisches Recht.
• Klausel 18 (Gerichtsstand und Zuständigkeit): Gerichte Irlands.

Die in den Anhängen der SCC verlangten Angaben (Beschreibung der Datenübermittlung, technische und organisatorische Maßnahmen, Liste der Unterauftragsverarbeiter) sind in den Anhängen I, II und III dieses AVV enthalten.

Für Übermittlungen aus dem Vereinigten Königreich wird das vom britischen Information Commissioner’s Office herausgegebene UK International Data Transfer Addendum einbezogen; es ergänzt die SCC.

Für Übermittlungen aus der Schweiz werden die SCC so angepasst, dass sie nach Schweizer Datenschutzrecht gelten, wobei der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die zuständige Aufsichtsbehörde ist.

Anhang V: Verfahren zur Reaktion auf Vorfälle

Dieser Anhang legt das Verfahren von Zizr fest, mit dem Verletzungen des Schutzes personenbezogener Daten und andere Sicherheitsvorfälle, die Personenbezogene Kundendaten betreffen, erkannt werden, auf sie reagiert wird und über sie benachrichtigt wird.

1. Begriffsbestimmungen

• Sicherheitsvorfall. Jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit der Systeme von Zizr oder Personenbezogener Kundendaten beeinträchtigen kann.
• Verletzung des Schutzes personenbezogener Daten. Ein Sicherheitsvorfall, der, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu Personenbezogenen Kundendaten geführt hat oder mit hinreichender Wahrscheinlichkeit geführt hat, wie in Art. 4 Nr. 12 DSGVO definiert.

2. Einstufung des Schweregrads

3. Interne Eskalation

Bei Erkennung eines Sicherheitsvorfalls:

1. Das Teammitglied, das den Vorfall erkennt, meldet ihn sofort dem Datenschutzkoordinator und dem Engineering-Leiter in Rufbereitschaft.
2. Der Datenschutzkoordinator stuft den Schweregrad ein und leitet die Reaktion ein.
3. Bei P1- und P2-Vorfällen werden der CEO und der technische Leiter innerhalb von 1 Stunde nach der Einstufung benachrichtigt.
4. Bei P1-Vorfällen wird innerhalb von 4 Stunden ein Team zur Reaktion auf Vorfälle einberufen.

4. Eindämmung und Abmilderung

Bei P1- und P2-Vorfällen ergreift das Reaktionsteam sofort Maßnahmen, um:

• Den Vorfall einzudämmen (zum Beispiel durch Widerruf von Zugangsdaten, Isolierung betroffener Systeme, Rotation von Schlüsseln).
• Beweismittel und Protokolle zu sichern.
• Den Umfang der betroffenen Daten und betroffenen Personen zu ermitteln.
• Abmildernde Maßnahmen umzusetzen, um weitere Auswirkungen zu begrenzen.

5. Benachrichtigung der Händler

Bei P1-Vorfällen, die eine Personenbezogene Kundendaten betreffende Verletzung des Schutzes personenbezogener Daten darstellen, benachrichtigt Zizr die betroffenen Händler:

• Unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem Zizr die Verletzung bekannt geworden ist.
• Per E-Mail an den Administratorkontakt des Händlers und, soweit möglich, durch Mitteilung in der App.
• Mit dem nach Abschnitt 12.2 des AVV erforderlichen Inhalt.

Bei P2-Vorfällen benachrichtigt Zizr die Händler, wenn und sobald festgestellt wird, dass Personenbezogene Kundendaten betroffen sein könnten.

6. Dokumentation

Alle Sicherheitsvorfälle werden dokumentiert, einschließlich:

• Datum und Uhrzeit der Erkennung und der Einstufung.
• Beschreibung des Vorfalls.
• Betroffene Systeme und Daten.
• Ergriffene Maßnahmen zur Eindämmung, Abmilderung und Behebung.
• Erfolgte Benachrichtigungen (an wen, wann und mit welchem Inhalt).
• Ursachenanalyse (bei P1-, P2- und P3-Vorfällen).
• Gewonnene Erkenntnisse und Abhilfemaßnahmen.

Die Dokumentation wird mindestens drei Jahre lang aufbewahrt.

7. Nachbereitung von Vorfällen

Bei P1- und P2-Vorfällen wird innerhalb von 30 Tagen nach der Behebung eine Nachbereitung des Vorfalls durchgeführt. Die Nachbereitung ermittelt systemische Verbesserungen, Aktualisierungen der technischen und organisatorischen Maßnahmen sowie etwaige erforderliche Aktualisierungen dieses Verfahrens.

8. Zusammenarbeit mit Händlern und Behörden

Zizr arbeitet mit Händlern und Aufsichtsbehörden bei der Erfüllung von Melde- und Untersuchungspflichten zusammen, wie in Abschnitt 14 des AVV festgelegt.

Annahme des Dokuments. Indem der Händler die Zizr-App aus dem Shopify App Store installiert und über den Annahmebildschirm in der App hinaus fortfährt, bestätigt er, dass er diesen AVV einschließlich aller Anhänge gelesen und verstanden hat und sich damit einverstanden erklärt hat, an ihn gebunden zu sein.