Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten, die ecomDNAI im Auftrag des Kunden bei der Bereitstellung der Plattform ecomdnai.com vornimmt.

Der AVV gilt, sobald der Kunde über ecomDNAI personenbezogene Daten Dritter verarbeitet, zum Beispiel durch das Verbinden eines Shops oder eines anderen Dienstes, das Hochladen von Dateien oder die Nutzung der Lead-Recherche. Seine Laufzeit entspricht der Laufzeit des Nutzungsvertrags nach den AGB. Pflichten, die über das Vertragsende hinaus wirken (insbesondere Abschnitt 10), bleiben bestehen.

2. Art und Zweck der Verarbeitung

ecomDNAI verarbeitet die Daten ausschließlich, um dem Kunden die Funktionen bereitzustellen, die er nutzt: Auswertungen und Dashboards, die Erstellung von Inhalten (zum Beispiel Texte, Bilder und Antwortentwürfe), Listen zur Kunden-Rückgewinnung, die Lead-Recherche sowie das Lesen aus und Schreiben in die vom Kunden verbundenen Dienste (Integrationen).

Verarbeitungsarten sind insbesondere Abrufen, Erheben, Anzeigen, Auswerten, Zusammenfassen, Übermitteln an die im Anhang genannten Unterauftragsverarbeiter, Speichern und Löschen.

ecomDNAI nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht zum Training eigener KI-Modelle. Für KI-Funktionen werden die jeweils erforderlichen Inhalte an die im Anhang genannten KI-Anbieter übermittelt; Einzelheiten stehen in der Datenschutzerklärung (Abschnitte 4, 5 und 14).

3. Art der Daten und Kategorien betroffener Personen

Art der Daten, soweit der Kunde sie über die Plattform verarbeitet oder über verbundene Dienste bereitstellt:

• Kontaktdaten: Name, E-Mail-Adresse und Telefonnummer, falls vom Kunden oder vom verbundenen Dienst übermittelt
• Adress- und Länderangaben, zum Beispiel Liefer- und Rechnungsadresse
• Bestell- und Umsatzdaten: Bestellkennung, Bestellwerte, Produkte, Status und Bestellanzahl
• Inhalte aus Bewertungen und Support-Anfragen: Texte, Sterne, Name der bewertenden Person
• Einwilligungsstatus für Marketing, zum Beispiel eine Newsletter-Anmeldung
• Öffentliche Geschäftskontaktdaten aus der Lead-Recherche: Firma, Ansprechpartner-Rolle, öffentlich genannter Name, allgemeine Firmenkontakte
• Daten zu QR-Code-Scans: Zeitpunkt, Gerätefamilie, Herkunfts-Host und Browsersprache, ohne IP-Adresse
• Sonstige Inhalte, die der Kunde hochlädt oder eingibt, zum Beispiel CSV-Dateien und Prompts

Kategorien betroffener Personen: Endkunden des Kunden (Käufer, Besteller, Personen mit abgebrochenem Checkout), Interessenten und Geschäftskontakte (auch aus der Lead-Recherche), Newsletter-Empfänger, Verfasser von Bewertungen und Support-Anfragen, Personen, die QR-Codes des Kunden scannen, sowie Ansprechpartner und Beschäftigte des Kunden.

Die Plattform ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt; der Kunde übermittelt solche Daten nicht.

4. Weisungen

ecomDNAI verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, ecomDNAI ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt ecomDNAI dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

Die Weisungen des Kunden ergeben sich aus diesem AVV, den AGB sowie aus der Nutzung der Funktionen und Einstellungen der Plattform (zum Beispiel Verbinden und Trennen eines Dienstes, Starten einer Auswertung, Löschen eines Projekts). Weitere Weisungen erteilt der Kunde in Textform an jp@ecomdnai.com.

Ist ecomDNAI der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, weist ecomDNAI den Kunden unverzüglich darauf hin. ecomDNAI darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

5. Vertraulichkeit

ecomDNAI setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf personenbezogene Daten des Kunden ist auf das Maß beschränkt, das für Betrieb, Wartung und Sicherheit der Plattform erforderlich ist.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

ecomDNAI trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen. Dazu gehören insbesondere:

• Transportverschlüsselung: Verbindungen zur Plattform und zu den verbundenen Diensten laufen über TLS.
• Hosting in der EU: Server, Datenbank und Dateispeicher liegen bei DigitalOcean in Frankfurt (EU).
• Zugriffsbeschränkung: Zugriff auf Server und Datenbank haben nur berechtigte Administratoren.
• Mandantentrennung: Zeilen-Sicherheit (Row Level Security) in der Datenbank beschränkt jeden Datensatz auf das Konto bzw. Team, dem er gehört.
• Zugangsdaten zu verbundenen Diensten (Token, API-Schlüssel) werden so gespeichert, dass sie für Kunden aus dem Browser nicht lesbar sind; verwendet werden sie nur vom Server.
• Protokollierung: Zugriffe und Fehler werden im Server-Journal protokolliert.
• Datenbank und tägliche Datensicherungen liegen auf verschlüsseltem Speicher in Frankfurt (EU).
• Getrennte Test- und Produktionsumgebung.
• Webhooks (zum Beispiel von Shopify) werden vor der Verarbeitung per HMAC-Signatur geprüft.
• Löschung nach Vertragsende sowie auf Löschanforderungen von Shopify (Abschnitt 10).

Die Maßnahmen werden regelmäßig überprüft und dem Stand der Technik angepasst. ecomDNAI darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht sinken.

7. Unterauftragsverarbeiter

Der Kunde erteilt ecomDNAI die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die im Anhang genannten Unterauftragsverarbeiter gelten als genehmigt.

ecomDNAI verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses AVV im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO).

Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters) informiert ecomDNAI vorab durch Aktualisierung dieser Seite mit neuem Stand-Datum, bei wesentlichen Änderungen zusätzlich per E-Mail oder über die Plattform. Der Kunde kann einer Änderung innerhalb von 30 Tagen nach der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Nutzungsvertrag kündigen.

Dienste, die der Kunde selbst verbindet (zum Beispiel Shopify, Shopware, Google, Meta, LinkedIn, Zendesk, Freshdesk, Judge.me oder E-Mail-Versandplattformen mit eigenen Zugangsdaten), sind keine Unterauftragsverarbeiter von ecomDNAI; der Kunde nutzt sie auf Grundlage eigener Verträge.

Übermittlungen in Länder außerhalb der EU bzw. des EWR erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO: auf Grundlage der EU-Standardvertragsklauseln (SCCs) und ggf. des EU-US Data Privacy Framework (Angemessenheitsbeschluss), wie in der Datenschutzerklärung (Abschnitt 5) beschrieben.

8. Unterstützung des Kunden

ecomDNAI unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO) zu beantworten. Wendet sich eine betroffene Person direkt an ecomDNAI, leitet ecomDNAI die Anfrage an den Kunden weiter, soweit sie ihm zugeordnet werden kann.

Viele Anfragen kann der Kunde selbst erledigen: Projekte und Inhalte löschen, verbundene Dienste trennen oder das Konto löschen.

ecomDNAI unterstützt den Kunden außerdem unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

9. Meldung von Datenschutzverletzungen

ecomDNAI meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Kundenkontos.

Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, reicht ecomDNAI unverzüglich nach.

Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen (Art. 33 und 34 DSGVO) obliegen dem Kunden als Verantwortlichem; ecomDNAI unterstützt ihn dabei.

10. Löschung und Rückgabe nach Vertragsende

Nach Ende des Nutzungsvertrags löscht ecomDNAI die im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Ergebnisse und Projekte kann der Kunde vor Vertragsende über die Funktionen der Plattform herunterladen oder kopieren.

Zugangsdaten und gespeicherte Daten aus verbundenen Diensten werden mit dem Trennen des Dienstes oder mit der Löschung des Kontos gelöscht. Für die übrigen Kontodaten gelten die Fristen der Datenschutzerklärung (Abschnitt 6). Löschanforderungen von Shopify (customers/redact, shop/redact) setzt ecomDNAI um.

Abrechnungsbelege und Rechnungsdaten bewahrt ecomDNAI nach den gesetzlichen Fristen auf; sie betreffen den Kunden selbst und nicht seine Endkunden.

11. Nachweise und Kontrollen

ecomDNAI stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach vorheriger Absprache und mit angemessener Vorankündigung durchführen, ohne den Betrieb unverhältnismäßig zu stören.

ecomDNAI informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie seine Daten betreffen.

12. Haftung und Schlussbestimmungen

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Verhältnis zwischen ecomDNAI und dem Kunden gelten die Haftungsregeln der AGB.

Bei Widersprüchen zwischen diesem AVV und den AGB gehen in Fragen des Datenschutzes die Regelungen dieses AVV vor.

Änderungen dieses AVV erfolgen wie Änderungen der AGB (§ 14 der AGB). Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht. Die deutsche Fassung dieses AVV ist maßgeblich.

Anhang: Unterauftragsverarbeiter

Stand: 17.10.2026. Die Angaben entsprechen der Datenschutzerklärung (Abschnitte 4 und 5).

• DigitalOcean, LLC

  Zweck: Hosting, Datenbank und Dateispeicher

  Sitz / Datenort: USA; Server und Speicher in Frankfurt (EU)

• Google (Gemini, Google Veo, Gemini TTS)

  Zweck: KI-Verarbeitung: Text und Bild (Gemini), Video (Veo), synthetische Stimme (Gemini TTS)

  Sitz / Datenort: Verarbeitung auch außerhalb der EU möglich

• OpenAI (GPT)

  Zweck: KI-Verarbeitung

  Sitz / Datenort: Verarbeitung auch außerhalb der EU möglich

• Anthropic (Claude)

  Zweck: KI-Verarbeitung

  Sitz / Datenort: Verarbeitung auch außerhalb der EU möglich

• OpenRouter, Inc.

  Zweck: KI-Ausweichweg, wenn der primäre Anbieter nicht erreichbar ist

  Sitz / Datenort: USA

• Serper.dev

  Zweck: Suchergebnisse für Analysen und KI-Funktionen

  Sitz / Datenort: Verarbeitung auch außerhalb der EU möglich

• DataForSEO

  Zweck: Such- und SEO-Daten für Analysen und KI-Funktionen

  Sitz / Datenort: Verarbeitung auch außerhalb der EU möglich

• Firecrawl / Mendable AI, Inc.

  Zweck: Website-Analyse: Abruf der angegebenen Seiten, Suchbegriffe bei der Produktsuche

  Sitz / Datenort: USA

• image.thum.io

  Zweck: Bildschirmaufnahmen der angegebenen Seiten

  Sitz / Datenort: USA

• Pangolin (scrapeapi.pangolinfo.com)

  Zweck: Öffentliche Daten von Amazon-Produktseiten und Google-Suchergebnissen

  Sitz / Datenort: Verarbeitung auch außerhalb der EU möglich

• Keepa

  Zweck: Preis- und Rangverläufe zu Amazon-Produkten (nur ASIN)

  Sitz / Datenort: Verarbeitung auch außerhalb der EU möglich

• Resend, Inc.

  Zweck: Versand transaktionaler E-Mails (zum Beispiel Einladungen, Passwort-Links, Systemhinweise)

  Sitz / Datenort: USA

• Stripe Payments Europe Ltd.

  Zweck: Zahlungsabwicklung

  Sitz / Datenort: Irland