Auftragsdatenverarbeitung

[B-M-S]

Hat jemand eine Idee wie ich einen Vertrag zur Auftragsdatenverarbeitung abschließe? Anhand der Dokumentation im Self-Help-Bereich kommt es mir vor, als wäre ich der erste den das interessiert…

Danke Vorab!

[Gabe · Accepted solution]

Hey @B-M-S 

Um den Sachverhalt besser zu verstehen, darf ich fragen warum du das machen möchtest und mit wem genau?

Personenbezogene Daten von Kunden werden innerhalb der EU zuerst von Shopify International Limited (Irland), Shopify Inc. (Kanada) oder Shopify Commerce Singapore Pte. Ltd. (Singapur) verarbeitet, je nach Standort der betroffenen Person. Personenbezogene Daten von Kunden werden dann möglicherweise zur Speicherung und zur Bereitstellung unserer Services an andere Shopify-Unternehmen übertragen. Übertragungen an Shopify-Unternehmen werden nach der Genehmigung durch verbindliche Unternehmensregeln abgedeckt. Lade das Whitepaper über Shopify & Datenübertragung (auf Englisch) herunter, um mehr über länderübergreifende Übertragungen zu erfahren.

Kernunterauftragsverarbeiter sind Unterauftragsverarbeiter, ohne die wir unsere Services nicht anbieten können. Zusätzliche Unterauftragsverarbeiter sind Unterauftragsverarbeiter, die möglicherweise personenbezogene Daten von Kunden verarbeiten, wenn diese zusätzlichen Dienste von einem Händler verwendet werden. 

Warum kann ich keine Datenverarbeitungsvereinbarung (DPA) mit Shopify abschließen?

Laut DSGVO müssen Datenverarbeiter zur Verarbeitung personenbezogener Daten einen schriftlichen Vertrag (auch in elektronischer Form möglich) mit jedem einzelnen Verantwortlichen abschließen. In diesen Verträgen muss angegeben sein, welche personenbezogenen Daten verarbeitet werden und welche Pflichten und Rechte die Auftragsverarbeiter und die Verantwortlichen haben. Diese Verträge werden oft als Datenverarbeitungsverträge (Data Processing Agreements, DPA) bezeichnet. Ein DPA ist im Wesentlichen ein Vertrag, in dem festgelegt wird, dass Shopify die personenbezogenen Daten nur in der vom Händler (dem Verantwortlichen) angegebenen Weise verarbeitet.

Hierfür hat Shopify die allgemeinen Geschäftsbedingungen um ein Data Processing Addendum ergänzt. (Dieser "Zusatz" wird nicht als "Vereinbarung" bezeichnet, da er die allgemeinen Geschäftsbedingungen ergänzt und keine eigenständige Vereinbarung darstellt.)

Als Händler erklärst du dich mit den Servicebedingungen und mit dem Zusatz zur Datenverarbeitung einverstanden, wenn du dich für die Dienste von Shopify anmeldest. Durch die fortgesetzte Nutzung der Dienste stimmst du den Aktualisierungen der allgemeinen Geschäftsbedingungen zu (z. B. der Aktualisierung zur Datenverarbeitung).

Die allgemeinen Geschäftsbedingungen unterliegen dem Recht der kanadischen Provinz Ontario und nicht des Landes, in dem du dich befindest. Andere regionale Gesetze, wie etwa die DSGVO, gelten für dein Unternehmen und die Art der Datenverarbeitung und erfordern möglicherweise einen verbindlichen Vertrag zwischen dir und deinen Dienstleistern (wie Shopify). Diese Gesetze schreiben jedoch nicht unbedingt vor, ob ein Vertrag verbindlich ist. Im Falle deines Vertrags mit uns wird die Frage, ob der DPA ein verbindlicher Vertrag ist, unter Bezugnahme auf die Gesetze der Provinz Ontario bestimmt.

Selbst wenn gemäß den gesetzlichen Regelungen in deinem Land ein Vertrag wie der DPA abgeschlossen werden muss, ist dies in Bezug auf deinen DPA nicht von Belang. Nach unserer Auffassung des Rechts der Provinz Ontario gelten die neuen, geänderten allgemeinen Geschäftsbedingungen für Shopify und dich als verbindlich, sobald du unseren Service nach der Änderung der allgemeinen Geschäftsbedingungen wieder verwendest. Wenn du Shopify weiter nutzt, gehst du nach unserer Auffassung einen verbindlichen Vertrag mit uns ein, der den von der DSGVO verlangten Zusatz zur Datenverarbeitung umfasst.

Shopify Plus

Für Shopify Plus-Händler mit einem ausgehandelten DPA gilt dieser DPA anstelle des Online-DPA.

---
Hast du weitere Fragen zum Shop? Gebe einfach ein Suchbegriff oben in der Suchleiste der Community Landingpage ein, denn das Thema haben wir sehr wahrscheinlich schon besprochen. Halte bitte Ausschau in deiner E-Mail auf Notifications zu Antworten auf deine Fragen in der Community.

[Jürgen2]

Das ist rechtlich leider absolut unzulässig.

Das, was Ihr als DPA anbietet, genügt bei Weitem nicht den datenschutzrechtlichen Anforderungen an einen Auftragsverarbeitungsvertrag. Unabhängig davon reicht ein Auftragsverarbeitungsvertrag nicht aus, da für Kanada als Datenimporteur für B2B-Geschäfte kein Angemessenheitsbeschluss der EU besteht, so dass ein Export von Personendaten nach Kanada grundsätzlich nicht erlaubt ist. Es liegen auch keine von der EU genehmigten Binding Corporate rules vor, die das ersetzen könnten.

Zusätzlich werden mit einem Shopify - Shop in der Website schon beim Start des Shops 2-10 Datenschutzverstöße begangen, da Personendaten an diverse Firmen in Kanada und die USA weitergeleitet werden, ohne dass ich dies als Shopbetreiber durch einen Consent-Manager zum Start der Website wirksam unterbinden könnte. Auch wenn ich es teilweise unterbinde, werden diese Datenexporte beim Checkout automatisch nachgeladen.

[Ben310]

Auch nicht ganz korrekt und ausserdem ist der Beitrag von 2021 - es hat sich einiges in der Zwischenzeit geändert... Es wäre ausserdem angemessen dass du deine Behauptungen mit Links zu Beweise unterstützt, was ich für dich jetzt unten machen werde.

Du berücksichtigst auch nicht alle rechtlichen Maßnahmen, die Shopify ergriffen hat, um den Datenschutzanforderungen zu entsprechen und somit die DSGVO durch mehrere Maßnahmen und rechtliche Mechanismen erfüllt, die sicherstellen, dass personenbezogene Daten auch bei der Übertragung in Länder außerhalb des EWRs ausreichend geschützt sind durch die SCCs. Die Kommission hat neulich bestätigt bzw. anfang 2024 erneuert und bleibt weiterhin gültig​ -> Inside Privacy -​​ Mondaq -McMillan LLP, so dass Kanada ein angemessenes Datenschutzniveau bietet. Dieser Angemessenheitsbeschluss bedeutet, dass personenbezogene Daten von der EU nach Kanada übertragen werden können, ohne dass zusätzliche Schutzmaßnahmen erforderlich sind.

Für Übertragungen, die nicht durch den Angemessenheitsbeschluss abgedeckt sind, verwendet Shopify die von der Europäischen Kommission genehmigten SCCs die ein hohes Maß an Datenschutz bieten und ein wesentlicher Bestandteil der DPAs, die Shopify mit seinen Unterauftragsverarbeitern abschließt​ (Mondaq)​.

Mit den BCRs hat Shopify die Genehmigung für verbindliche Unternehmensregeln beantragt, die eine zusätzliche Sicherheitsebene für Datenübertragungen innerhalb der Unternehmensgruppe darstellen. Diese Regeln befinden sich in der Endphase der Genehmigung durch die irische Datenschutzkommission und bieten zusätzlichen rechtlichen Schutz für internationale Datenübertragungen​ (Inside Privacy)​.

Shopify implementiert außerdem robuste technische und organisatorische Maßnahmen, wie Verschlüsselung und Firewalls, um die Sicherheit personenbezogener Daten zu gewährleisten. Zudem bietet Shopify Tools zur Verwaltung von Datenschutzeinstellungen und zur Einholung der Einwilligung von Nutzern, was es Händlern ermöglicht, die DSGVO-Konformität sicherzustellen​ (Mondaq)​​ (McMillan LLP)​.

Neue Händler in Europa speichern ihre Daten standardmäßig in europäischen Rechenzentren, was zusätzliche Sicherheit bietet und den DSGVO-Anforderungen entspricht. Diese Daten können weiterhin international übertragen werden, jedoch unter strikter Einhaltung der DSGVO und anderen relevanten Datenschutzgesetzen​ (Inside Privacy)​.

Hier aus meinem Shop:

Deine Bedenken bezüglich der Datenschutzverstöße und der Wirksamkeit der DPAs bei Shopify sind daher weitgehend unbegründet.

[Jürgen2]

Lieber Ben,

völlig unabhängig davon, on hier ein Angemessenheitsbeschluss für Kanada vorliegt oder BCR vorhanden sein sollten, entbindet das leider nicht von der Pflicht, einen Auftragsverarbeitungsvertrag mit Shopify abzuschließen, auch dann nicht, wenn Shopify Daten in Europa hosten sollte. Und das scheitert nicht nur daran, dass auf der Website noch nicht einmal ein gesetzlich vorgeschriebenes Impressum zu finden ist. Auch wenn es zwischen den Tochtergesellschaften und der Muttergesellschaft oder zwischen Shopify und anderen Subunternehmen SCCs geben sollte, so bin ich als Händler dennoch verpflichtet mit Shopify Kanada einen Datenschutzvertrag auf Basis der SCCs abzuschließen, was definitiv nicht möglich ist. Und das Addendum auf der Website ist ein Witz.

Ich habe mittlerweile mehrere Shopify-Shops gescannt und da wandern Daten reichlich nach Kanada und die USA, ohne dass ich die Chance hätte, dies über einen Consentmanager zu blocken, wenn keine Einverständnisserklärung vorliegt.

Ich kann aus Datenschutzgründen nur jedem von Shopify abraten und sich auf deutsche oder europäische Anbieter zu konzentrieren.

Wir haben hier leider das gleiche Problem wie mit Google, Microsoft und Amazon auch, da die Unternehmen im amerikanischen Kontinent leider nur sehr selten bereit sind, Datenschutzverträge nach EU-Recht anzubieten oder zu akzeptieren.

[Ben310]

Danke Jürgen aber du bietest keinen Backup oder Beweise für deine Behauptungen.

Es ist richtig, dass auch bei einem Angemessenheitsbeschluss für Kanada oder dem Vorhandensein der BCRs die Notwendigkeit eines DPAs mit Shopify nicht entfällt. Shopify stellt ja einen solchen DPA zur Verfügung (egal ob du einen anderen gewohnt bist - das spielt hier keine Rolle was für dich die Gewohnheit oder deine Erfahrung damit ist), der die Verantwortlichkeiten zwischen Händlern und Shopify als Datenverarbeiter festlegt und sicherstellt, dass personenbezogene Daten gemäß den europäischen Datenschutzgesetzen verarbeitet werden. Es gibt ja einen Grund, warum Shopify als SaaS es so macht. Machen es auch andere Saas's auch so wie z. B. MIcrosoft's Office 365? Wenn ich MS Word verwende, muss ich da auch eine AV Vertrag zuerst eingehen? Ja, wenn ich Kundendaten an Dritte weiterleite.

Aber was du sagst betrifft somit ALLE SaaS's wie Microsoft, Google Workspace usw. Wenn wir damit gehen was du sagst, dann sollten alle User sofort das Verwenden einer diesen SaaS's einstellen und nur ein eigenes Hosting anwenden wie mit Oxid usw. Ist es das was du anprangerst?

Kanada hat einen von der Europäischen Kommission bestätigten Angemessenheitsbeschluss, was bedeutet, dass personenbezogene Daten ohne zusätzliche Schutzmaßnahmen nach Kanada übertragen werden können. Für Übertragungen, die nicht durch den Angemessenheitsbeschluss abgedeckt sind, verwendet Shopify die genehmigten SCCs die ein hohes Maß an Datenschutz bieten.

Jeder Händler, der Shopify nutzt, geht diesen DPA mit Shopify ein sobald er/sie ein Shop startet. Das wird ja jeden User auch vorher erklärt. Shopify stellt diesen Vertrag zur Verfügung, um sicherzustellen, dass personenbezogene Daten gemäß den europäischen Datenschutzgesetzen verarbeitet werden​. Es werden auch genügend Tools zur Verwaltung der Datenschutzeinstellungen und zur Einholung der Einwilligung von Nutzern von Shopify angeboten wenn man sein Shop startet. Alleine der Free Customer Privacy Banner von Shopify dekt vieles ab. Wenn es um Tracking Tools wie GTM und Pixel geht dann muss man halt ein Cookie Banner im Shop implementiert werden, der diese auch abdeckt wie der Cookie Banner von Beeclever. Oder nicht?

Alarmismus und FUD waren mal Mode in den letzten 2 Jahren aber heute - komm doch, we have to move on...

Es ist die Verantwortung jedes einzelnen Händler diese Tools korrekt anzuwenden, um sicherzustellen, dass alle datenschutzrechtlichen Anforderungen erfüllt werden​ (Pandectes)​​ (Shopify Help Center)​. Die Einhaltung der rechtlichen Anforderungen, wie das Bereitstellen eines Impressums, liegt in der Verantwortung des Shopbetreibers, nicht in die von Shopify. Shopify kann nicht alles für jeden Händler machen und dauernd die eines jeden Händler halten...

Shopify bietet jedoch die technischen Mittel, um dies korrekt umzusetzen und somit ist es wichtig, die bereitgestellten Tools und Konfigurationsmöglichkeiten zu nutzen, um sicherzustellen, dass alle rechtlichen Anforderungen erfüllt werden.

Shopify stellt somit alle notwendigen rechtlichen Mechanismen und technischen Lösungen bereit, so dass ein Shopinhaber die DSGVO-Konformität gewährleisten kann.

VG,

[Jürgen2]

Lieber Ben,

Dein Engagement für Shopify ehrt Dich. Gern kann ich Die die Quellen nennen, damit Du es selbst überprüfen kannst:

Wenn Du Dir die Mühe machen möchtest, Art 28 DSGV einmal auf das Datenschutz-Addendum von Shopify anzuwenden, wirst Du feststellen, das hier einiges fehlt.

Nur zur Info: ein SCC ist ein Ersatz für einen Auftragsverarbeitungsvertrag im Rahmen internationaler Beziehungen. Dieser würde geschlossen werden zwischen Shopify und dem Händler, der shopify nutzt. Wenn bei shopify intern zwischen Konzerngesellschaften ein Vertrag mit SCCs abgeschlossen wird, ist das für das Verhältnis zwischen shopify und dem Shopbetreiber irrelevant.

Die von Dir erwähnten Cookiebanner können leider auch nicht verhindern, dass shopify sowol beim Start als auch beim Checkout Cookies und local storages lädt, die durch einen Cookiebanner leider nicht mehr der Einverständniserklärung des Shop-Kunden unterzogen werden. Darüber hinaus werden reichlich ungenehmigte Datenübertragungen nach Kanada und in die USA vorgenommen.

Ich bin gern bereit, dir das zu zeigen, wenn Du mir von einer Shopseite und der zugehörigen Checkoutseite die URLs nennst, ich habe als Datenschutzbeauftragter diverse Tools im Einsatz, um das zu checken.

Gruß, Jürgen

[Ben310]

Danke Jürgen!

Alles eine gute und wichtige Debatte! Und Artikel 28 DSGVO erfordert spezifische Bedingungen in Auftragsverarbeitungsverträgen und Shopify bietet ein umfassendes Data Processing Addendum (DPA) an, das die Verantwortlichkeiten von Shopify als Auftragsverarbeiter und die Rechte der Händler als Datenverantwortliche festlegt, sprich, umfasst wesentliche Punkte wie Vertraulichkeit, Unterauftragsverarbeiter, Sicherheitsmaßnahmen, Unterstützung bei Datenschutzanfragen und Audits​ (Shopify Help Center)​​ (Shopify Help Center)​.

Das DPA von Shopify enthält alle notwendigen Klauseln, um die Einhaltung der Anforderungen von Artikel 28 DSGVO sicherzustellen und Shopify verpflichtet sich ja, angemessene technische und organisatorische Maßnahmen zu implementieren, um den Datenschutz zu gewährleisten.

Bzgl. alle SaaS Platforms, wenn deine beschriebenen Bedenken tatsächlich recht hätten, wäre die Nutzung, wie du sagst, von SaaS-Plattformen wie u.a. Amazon Web Services, Microsoft Azure und Office 365, Google Workspace und Cloudflare ebenfalls nicht compliant. Diese Plattformen verwenden ja ähnliche Mechanismen wie SCCs, DPAs und BCRs, um die Einhaltung der DSGVO sicherzustellen.

IT-Recht-Kanzlei und Dienste wie Google Fonts, Maps, reCAPTCHA V.3 usw. 

Der Google Font (wie auch andere Google Webdienste, wie Google Maps, oder das reCAPTCHA V.3 von Google) wird auch als "notwendiger Web-Dienst" gesehen. Erst neulich hat die IT-Recht-Kanzlei genau dieses Thema aufgegriffen. Die sagen dass anders, als man meinen könnte, ist die IP-Übertragung durch die Webfonts-Komponente nicht eigenständig als datenschutzrechtliches Problem zu werten.

Bereits originär wird bei der Einbindung beider Dienste nämlich die IP-Adresse des Nutzers erhoben und an Google übermittelt und das geschieht meistens über ein Skript. Die Google Fonts Web API wurde unter Berücksichtigung des Datenschutzes entwickelt und sammelt oder verwendet keine Endnutzerdaten für das Profiling oder jegliche Werbung. Die IP-Adresserhebung -und Übermittlung dient hier der Verifizierung der Quelle des Aufrufs und somit einer automatischen Entscheidung über weitere Legitimierungsanforderungen, wie z. B. zur Abwehr automatisierter Seitenaufrufe und DDoS (Distributed Denial of Service) Attacken. Insoweit ist die IP-Adressübermittlung an Google grundsätzlich über die sog. berechtigte Interessen an der Funktionalität der Website und an der Missbrauchsprävention gem. Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt.

Das heisst im Grunde, dass die Einbindung von Google Fonts insoweit nicht unbedingt problematisch ist, wenn dieser Dienst einem berechtigten Interesse gleichkommt und Google Fonts hier nur dazu dient, das korrekte Funktionieren eines Online Shops zu gewährleisten. Google selbst betont ja, dass die Privatsphäre und Datensammlung bei der Verwendung der Google Fonts Web API berücksichtigt wird. Eine weitere Möglichkeit besteht darin, das Einverständnis des Nutzers einzuholen, bevor Google Fonts geladen werden. Dies kann durch die Verwendung eines Consent Management Platforms (CMP) erreicht werden, sprich, eine Cookie Banner App, wie unser Customer Privacy Banner, oder die GDPR von Beeclever, die sicherstellt, dass Schriftarten nur nach der Zustimmung des Nutzers geladen werden​ (Mehr dazu hier von Usercentrics)​.

Im Grunde scheinen sich die Datenschutzbehörden nicht einig bzgl. Google Fonts zu sein. Genau wie die Technik funktioniert, ob und wie PII (personally identifiable information) des Users an US Server gesendet werden, sind sich die behörden auch nicht einig und Gerichtsentscheidungen, wie die aus München, tendieren dazu "alles mit einem Besen zu fegen" ohne sich wirklich mit der Technik auszukennen. Die Entscheidung hat z. B. NICHT zw. primäre PII (IP Adresse, Browser usw.) und sekundäre PII (dein Name, physische Adresse, E-Mail, Tel. Nr usw.) unterschieden.

Primäre und sekundäre PII sind fundamental voneinander zu unterscheiden von einem Daten-Standpunkt aus. Und somit wird diesbzgl. auch viel FUD in den deutschen Foren und auf Social Media verbreitet. Die Google Server sind ja auch innerhalb der EU in Irland located, worüber die Behörden sich auch nicht einig sind.

Mein Sandkästchen dass du testen kannst

Gerne kannst du in meinem Shopify Sandbox hier (Link ist auf 2 Tage befristet) alle Cookies über den Cookie Banner von Beeclever nicht erlauben und das dann mit deinen Tools testen und die Ergebnisse hier mit uns teilen, Jürgen!