Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO · für die Shopify-App „Retention: Cashback & Upsell“ · Stand: 21. Oktober 2026

DeutschEnglish

§ 1 Parteien und Vertragsschluss

Verantwortlicher („Händler“): der Betreiber des Shopify-Shops, der die App installiert.

Auftragsverarbeiter („Anbieter“): Primus-Marketing | Daniel Schöller (Marke „Retention“), Im Grohenstück 13, 65396 Walluf, Deutschland, support@retention.de.

Der Vertrag kommt mit der Installation der App und der Zustimmung zu den Nutzungsbedingungen zustande. Er ergänzt die Nutzungsbedingungen der App. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.

§ 2 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter, um dem Händler die App bereitzustellen. Der Vertrag gilt, solange die App im Shop des Händlers installiert ist, und darüber hinaus, bis alle Daten nach § 11 gelöscht sind.

§ 3 Art, Zweck und Umfang der Verarbeitung

3.1 Zwecke

• Berechnung, Vormerkung, Kürzung und Gutschrift von Cashback als Shopify-Shopguthaben;
• Anzeige von Angeboten nach dem Kauf (Post-Purchase-Seite, Bestellbestätigungsseite) einschließlich dynamischer Produktwahl;
• Empfehlungsprogramm (Empfehlungscodes, Zuordnung von Empfehlungen, Missbrauchsprüfung, Belohnungen);
• Guthaben-Aktionen für vom Händler gewählte Kundengruppen;
• Übernahme von Guthabenständen aus einer vom Händler hochgeladenen Exportdatei einer anderen App;
• Cashback-Regeln, Boost-Aktionen und VIP-Stufen (Auslesen des Gesamtumsatzes je Kunde);
• Bonus-Anlässe: Geburtstag (vom Kunden angegeben, nur Tag/Monat) und Produktbewertungen (Webhook der Bewertungs-App);
• Anzeigen in der Bestellbestätigung und im Kundenkonto;
• Produktanalyse („häufig zusammen gekauft“, Produkt-Kohorten) auf Grundlage pseudonymisierter Warenkörbe;
• Statistiken für den Händler;
• sofern vom Händler aktiviert: Übermittlung von Ereignissen und Profilwerten an das Klaviyo-Konto des Händlers.

3.2 Art der Daten

• Kundenstammdaten: Shopify-Kunden-ID, Vor- und Nachname, E-Mail-Adresse;
• Bestelldaten: Bestell-ID und -nummer, Zeitpunkt, Beträge und Währung, Rabattcodes, enthaltene Produkte, Versand-, Zustell-, Storno- und Erstattungsstatus;
• Programmdaten: Cashback- und Guthabenbuchungen, Guthabenstand, Empfehlungscode und -beziehungen, Aktionsteilnahmen, Reaktionen auf Angebote, VIP-Stufe, Geburtstag (Tag/Monat, freiwillig), Bewertungs-Sterne;
• Empfehlungslink-Aufrufe: nur Empfehlungscode und Zeitpunkt.

Nicht verarbeitet werden: besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), Zahlungsdaten, Liefer- und Rechnungsadressen, Telefonnummern sowie IP-Adressen von Shop-Besuchern.

3.3 Betroffene

Kundinnen und Kunden sowie Besucherinnen und Besucher des Shops des Händlers, insbesondere Teilnehmende am Cashback- und Empfehlungsprogramm.

3.4 Ort der Verarbeitung

Die Verarbeitung durch den Anbieter erfolgt ausschließlich in Deutschland (siehe Anlage 2). Eine Verlagerung in ein Drittland erfolgt nur mit vorheriger Zustimmung des Händlers und unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 4 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Händlers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Händler diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet. Als Weisungen gelten dieser Vertrag, die Nutzung der App und die Einstellungen des Händlers in der App (z. B. Cashback-Regeln, Angebote, Empfehlungs- und Aktionseinstellungen, Klaviyo-Anbindung). Weitere Weisungen erteilt der Händler in Textform an support@retention.de. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Händler unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Händler die Weisung bestätigt oder ändert.

§ 5 Pflichten des Anbieters

• Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, sofern sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1) und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.
• Er verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, nicht für einen Verkauf an Dritte und nicht zum Training von KI-Modellen. Daten verschiedener Händler führt er nicht zusammen.
• Er unterstützt den Händler bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, im Rahmen der ihm zur Verfügung stehenden Informationen.
• Er hat keinen Datenschutzbeauftragten benannt, weil die Voraussetzungen dafür nicht vorliegen. Ansprechpartner für Datenschutz ist Daniel Schöller, support@retention.de.

§ 6 Pflichten des Händlers

Der Händler ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage, die Information seiner Kunden (Datenschutzerklärung, Programmbedingungen) und gegebenenfalls das Einwilligungsmanagement im Shop. Stellt er Fehler oder Unregelmäßigkeiten fest, informiert er den Anbieter unverzüglich.

§ 7 Unterauftragsverarbeiter

Der Händler genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Anbieter informiert den Händler mindestens 30 Tage vorab in Textform (z. B. per E-Mail oder Hinweis in der App) über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Händler kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Händler die Nutzung der App beenden. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO) und haftet für deren Pflichtverletzungen wie für eigene.

Keine Unterauftragsverarbeiter des Anbieters sind:

• Shopify: die Plattform, auf der der Händler seinen Shop betreibt; Shopify ist Dienstleister des Händlers;
• Klaviyo: wird vom Händler selbst beauftragt. Die App übermittelt Daten nur in das vom Händler verbundene Konto und nur, solange er die Verbindung aktiviert hat.

§ 8 Rechte der Betroffenen

Der Anbieter unterstützt den Händler mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 12 bis 23 DSGVO). Lösch- und Auskunftsanfragen, die Shopify übermittelt (customers/redact, customers/data_request), werden automatisch verarbeitet. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Händler weiter und antwortet nicht ohne dessen Weisung.

§ 9 Meldung von Verletzungen

Der Anbieter meldet dem Händler Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die bei Shopify hinterlegte Adresse des Shops. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl von Personen und Datensätzen, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Der Anbieter trifft unverzüglich Maßnahmen zur Eindämmung und unterstützt den Händler bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

§ 10 Nachweise und Kontrollen

Der Anbieter stellt dem Händler auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen. Er ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Händler oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, nach angemessener Vorankündigung (in der Regel 30 Tage), zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. Kontrollen in den Rechenzentren der Unterauftragsverarbeiter erfolgen über deren Zertifizierungen und Prüfberichte.

§ 11 Löschung und Rückgabe

Nach Ende der Nutzung, also der Deinstallation der App, löscht der Anbieter alle Daten des Shops, sobald Shopify die Löschung anfordert (shop/redact, in der Regel 48 Stunden nach der Deinstallation). Vor der Deinstallation stellt der Anbieter dem Händler auf Anfrage eine Kopie der Programmdaten in einem gängigen, maschinenlesbaren Format bereit. Datensicherungen werden nach spätestens 14 Tagen überschrieben. Während der Laufzeit gelten die Löschfristen aus Anlage 1 (Abschnitt „Datenminimierung und Löschung“).

§ 12 Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien nach ihrem jeweiligen Verantwortungsbeitrag. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen der App.

§ 13 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Anbieter kann den Vertrag anpassen, wenn dies wegen Änderungen der App, der Unterauftragsverarbeiter oder der Rechtslage erforderlich ist. Er informiert den Händler darüber mindestens 30 Tage vorab, und der Händler kann widersprechen und die Nutzung beenden. Es gilt deutsches Recht. Ist der Händler Kaufmann, ist Gerichtsstand Wiesbaden. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Server im Rechenzentrum der Hetzner Online GmbH in Nürnberg mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert. Der Anbieter betreibt keine eigenen Server in Büroräumen.
• Zugangskontrolle: Administrationszugang nur per SSH-Schlüssel, Passwort-Anmeldung deaktiviert; Netzwerk-Firewall beim Hoster, von außen nur HTTPS und SSH erreichbar; die Datenbank ist nicht aus dem Internet erreichbar.
• Zugriffskontrolle: Zugriff auf Server und Datenbank nur durch den Inhaber; Zugriffe der App auf Shop-Daten nur über von Shopify ausgestellte, auf die nötigen Berechtigungen beschränkte Zugriffsschlüssel.
• Trennungskontrolle: Alle Datensätze sind einem Shop zugeordnet; Anfragen werden über von Shopify signierte Sitzungs-Token, HMAC-geprüfte Webhooks bzw. App-Proxy-Signaturen dem jeweiligen Shop zugeordnet. Ein Zugriff auf Daten anderer Shops ist ausgeschlossen.
• Verschlüsselung: Alle Verbindungen sind TLS-verschlüsselt (HTTPS); die Datenbank liegt auf einem verschlüsselten Datenträger (LUKS2, AES-XTS 512 Bit); Datensicherungen sind mit AES-256 verschlüsselt; API-Schlüssel Dritter werden mit AES-256-GCM verschlüsselt gespeichert.
• Pseudonymisierung und Datenminimierung: Warenkörbe für die Produktanalyse enthalten Produkt-IDs, Bestellwert und eine pseudonymisierte Kundenkennung (HMAC) statt Name oder E-Mail; Empfehlungslink-Aufrufe nur Code und Zeitpunkt; keine Speicherung von IP-Adressen, Zahlungs- oder Adressdaten.

Integrität

• Weitergabekontrolle: Übermittlungen ausschließlich verschlüsselt und nur an Shopify sowie, falls vom Händler aktiviert, an dessen Klaviyo-Konto.
• Eingabekontrolle: Alle Guthabenbewegungen werden in einem Buchungsjournal und einem unveränderlichen Ereignisprotokoll mit eindeutigen Schlüsseln erfasst. Doppelte Buchungen werden technisch verhindert.

Verfügbarkeit und Belastbarkeit

• tägliche, verschlüsselte Datensicherung der Datenbank, Aufbewahrung 14 Tage;
• Protokollierung der Administrationszugriffe (Aufbewahrung ein Jahr) und dokumentierter Notfallplan für Sicherheitsvorfälle;
• automatischer Neustart der Dienste bei Fehlern; Wiederholung fehlgeschlagener Vorgänge mit Absicherung gegen Doppelbuchungen;
• automatische Sicherheitsupdates des Betriebssystems;
• größenbegrenzte, automatisch rotierende Protokolle ohne IP-Adressen.

Datenminimierung und Löschung

• Warenkörbe für die Produktanalyse: Löschung nach 180 Tagen;
• Klaviyo-Warteschlange: Löschung 30 Tage nach Versand;
• Guthaben-Importe: E-Mail-Adressen 90 Tage nach Abschluss gelöscht; die hochgeladene Datei wird nicht gespeichert;
• Kundenlöschung auf Anforderung (customers/redact): Entfernung von Name, E-Mail-Adresse und Kunden-ID;
• Deinstallation: vollständige Löschung aller Shop-Daten (shop/redact);
• Datensicherungen: Überschreiben nach 14 Tagen.

Verfahren zur regelmäßigen Überprüfung

• automatisierte Tests und Prüfungen vor jeder Veröffentlichung;
• Überprüfung der Maßnahmen bei wesentlichen Änderungen der App, mindestens jährlich.

Anlage 2 – Unterauftragsverarbeiter

Data Processing Agreement

under Art. 28 GDPR · for the Shopify app “Retention: Cashback & Upsell” · Last updated: 21 October 2026

DeutschEnglish

This is a translation for convenience. In case of doubt, the German version prevails.

§ 1 Parties and conclusion

Controller (“Merchant”): the operator of the Shopify store that installs the App.

Processor (“Provider”): Primus-Marketing | Daniel Schöller (brand “Retention”), Im Grohenstück 13, 65396 Walluf, Germany, support@retention.de.

The agreement is concluded when the App is installed and the terms of use are accepted. It supplements the App’s terms of use. In the event of conflict, this agreement prevails on data protection matters.

§ 2 Subject matter and duration

The subject matter is the processing of personal data by the Provider to provide the App to the Merchant. The agreement applies as long as the App is installed in the Merchant’s store, and thereafter until all data has been deleted under § 11.

§ 3 Nature, purpose and scope of processing

3.1 Purposes

• calculating, reserving, reducing and crediting cashback as Shopify store credit;
• showing post-purchase offers (post-purchase page, order status page), including dynamic product selection;
• referral program (referral codes, attribution, abuse checks, rewards);
• store credit campaigns for customer groups chosen by the Merchant;
• importing credit balances from an export file of another app uploaded by the Merchant;
• cashback rules, boost campaigns and VIP tiers (reading each customer's total spend);
• bonus occasions: birthday (provided by the customer, day/month only) and product reviews (webhook from the review app);
• displays on the order status page and in the customer account;
• product analysis (“frequently bought together”, product cohorts) based on pseudonymised baskets;
• statistics for the Merchant;
• if enabled by the Merchant: transfer of events and profile properties to the Merchant’s Klaviyo account.

3.2 Types of data

• customer master data: Shopify customer ID, first and last name, email address;
• order data: order ID and number, time, amounts and currency, discount codes, products, fulfillment, delivery, cancellation and refund status;
• program data: cashback and credit entries, credit balance, referral code and relationships, campaign participation, reactions to offers, VIP tier, birthday (day/month, voluntary), review stars;
• referral link visits: referral code and time only.

Not processed: special categories of personal data (Art. 9 GDPR), payment data, shipping and billing addresses, phone numbers and IP addresses of shop visitors.

3.3 Data subjects

Customers and visitors of the Merchant’s store, in particular participants in the cashback and referral program.

3.4 Place of processing

Processing by the Provider takes place exclusively in Germany (see Annex 2). Any transfer to a third country requires the Merchant’s prior consent and must meet the requirements of Art. 44 et seq. GDPR.

§ 4 Instructions

The Provider processes the data only on documented instructions from the Merchant, unless required to do so by law. In that case the Provider informs the Merchant of that legal requirement before processing, unless the law prohibits this. Instructions are this agreement, the use of the App and the Merchant’s settings in the App (e.g. cashback rules, offers, referral and campaign settings, Klaviyo connection). Further instructions are given in text form to support@retention.de. If the Provider considers an instruction unlawful, it informs the Merchant without delay (Art. 28(3) sentence 3 GDPR). It may suspend execution until the Merchant confirms or changes the instruction.

§ 5 Obligations of the Provider

• The Provider commits all persons with access to the data to confidentiality, unless they are under a statutory obligation of confidentiality (Art. 28(3)(b) GDPR).
• It implements the technical and organisational measures under Art. 32 GDPR (Annex 1) and keeps them up to date with the state of the art, without lowering the level of protection.
• It does not use the data for its own purposes, in particular not for advertising, sale to third parties or training AI models, and does not combine data of different merchants.
• It assists the Merchant in complying with Art. 32 to 36 GDPR, in particular with data protection impact assessments and prior consultations, within the information available to it.
• It has not appointed a data protection officer because the legal requirements are not met. The contact for data protection is Daniel Schöller, support@retention.de.

§ 6 Obligations of the Merchant

The Merchant is responsible for the lawfulness of the processing, in particular a legal basis, informing its customers (privacy policy, program terms) and, where applicable, consent management in the store. If it notices errors or irregularities, it informs the Provider without delay.

§ 7 Sub-processors

The Merchant approves the sub-processors listed in Annex 2. The Provider informs the Merchant in text form (e.g. by email or a notice in the App) at least 30 days in advance of any intended addition or replacement. The Merchant may object within this period for an important data protection reason. If no agreement is reached, the Merchant may stop using the App. The Provider contractually binds sub-processors to an equivalent level of data protection (Art. 28(4) GDPR) and is liable for their breaches as for its own.

The following are not sub-processors of the Provider:

• Shopify: the platform on which the Merchant runs its store; Shopify is the Merchant’s service provider;
• Klaviyo: engaged by the Merchant itself. The App only sends data to the account the Merchant has connected, and only while the connection is enabled.

§ 8 Data subject rights

The Provider assists the Merchant with appropriate technical and organisational measures in responding to data subject requests (Art. 12 to 23 GDPR). Deletion and access requests sent by Shopify (customers/redact, customers/data_request) are processed automatically. If a data subject contacts the Provider directly, the Provider forwards the request to the Merchant without delay and does not respond without the Merchant’s instruction.

§ 9 Notification of breaches

The Provider notifies the Merchant of personal data breaches without undue delay, and no later than 48 hours after becoming aware, by email to the store address registered with Shopify. As far as known, the notification contains the information under Art. 33(3) GDPR: the nature of the breach, the categories and approximate number of data subjects and records concerned, likely consequences, and measures taken or proposed. The Provider takes containment measures without delay and assists the Merchant with its notification obligations (Art. 33, 34 GDPR).

§ 10 Evidence and audits

On request, the Provider makes available to the Merchant all information necessary to demonstrate compliance with this agreement, in particular a current description of the technical and organisational measures. It allows audits, including inspections, by the Merchant or an auditor appointed by the Merchant and bound to confidentiality, with reasonable notice (usually 30 days), during normal business hours and without disrupting operations. Audits of sub-processors’ data centres are covered by their certifications and audit reports.

§ 11 Deletion and return

When use ends, i.e. when the App is uninstalled, the Provider deletes all data of the store as soon as Shopify requests it (shop/redact, usually 48 hours after uninstall). Before uninstalling, the Provider provides the Merchant on request with a copy of the program data in a common, machine-readable format. Backups are overwritten after no more than 14 days. During the term, the retention periods in Annex 1 (“Data minimisation and deletion”) apply.

§ 12 Liability

Liability towards data subjects is governed by Art. 82 GDPR. Between the parties, each party is liable in proportion to its share of responsibility. Otherwise, the liability provisions of the App’s terms of use apply.

§ 13 Final provisions

Amendments to this agreement require text form. The Provider may amend the agreement where necessary due to changes to the App, the sub-processors or the law. It informs the Merchant at least 30 days in advance, and the Merchant may object and stop using the App. German law applies. If the Merchant is a merchant within the meaning of the German Commercial Code, the place of jurisdiction is Wiesbaden. If any provision is invalid, the remainder of the agreement remains effective.

Annex 1 – Technical and organisational measures (Art. 32 GDPR)

Confidentiality

• Physical access control: servers in the Hetzner Online GmbH data centre in Nuremberg with access control, video surveillance and security staff; the data centre is ISO/IEC 27001 certified. The Provider does not operate servers on office premises.
• System access control: administrative access only via SSH key, password login disabled; network firewall at the hosting provider, only HTTPS and SSH reachable from outside; the database is not reachable from the internet.
• Data access control: server and database access only by the owner; the App accesses store data only with access tokens issued by Shopify, limited to the required scopes.
• Separation control: every record is assigned to a store; requests are attributed to the store via session tokens signed by Shopify, HMAC-verified webhooks or app proxy signatures. Access to other stores’ data is excluded.
• Encryption: all connections are TLS-encrypted (HTTPS); the database runs on an encrypted volume (LUKS2, AES-XTS 512-bit); backups are encrypted with AES-256; third-party API keys are stored encrypted with AES-256-GCM.
• Pseudonymisation and data minimisation: baskets for product analysis contain product IDs, order value and a pseudonymised customer key (HMAC) instead of name or email; referral link visits only code and time; no storage of IP addresses, payment or address data.

Integrity

• Transfer control: transfers only encrypted and only to Shopify and, if enabled by the Merchant, its Klaviyo account.
• Input control: all credit movements are recorded in a ledger and an immutable event log with unique keys; duplicate bookings are technically prevented.

Availability and resilience

• daily encrypted database backups, kept for 14 days;
• logging of administrative access (kept for one year) and a documented security incident response plan;
• automatic restart of services on failure; retries of failed operations protected against duplicate bookings;
• automatic operating system security updates;
• size-limited, automatically rotated logs without IP addresses.

Data minimisation and deletion

• baskets for product analysis: deleted after 180 days;
• Klaviyo queue: deleted 30 days after sending;
• credit imports: email addresses deleted 90 days after completion; the uploaded file is not stored;
• customer deletion on request (customers/redact): removal of name, email address and customer ID;
• uninstall: complete deletion of all store data (shop/redact);
• backups: overwritten after 14 days.

Regular review

• automated tests and checks before every release;
• review of the measures on material changes to the App, at least annually.

Annex 2 – Sub-processors