Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
zwischen dem Kunden (Verantwortlicher, „Kunde“) und dem Auftragsverarbeiter:
Merchant Tools — Renaud Pothin EI (entrepreneur individuel)
173 rue de Courcelles, 75017 Paris, France
support@merchanttools.eu
SIRET 895 296 895 00066
Stand : 2026-10-21.1
1. Gegenstand, Dauer, Art und Zweck
Der Auftragsverarbeiter stellt dem Kunden die elektronische Widerrufs- und Kündigungsfunktion für dessen Website bereit (Formulare, Eingangsbestätigungen, Archiv der Erklärungen). Zweck ist ausschließlich die Entgegennahme, Bestätigung, Weiterleitung und Aufbewahrung der Erklärungen der Verbraucher des Kunden. Der Vertrag gilt für die Dauer der Nutzung des Dienstes.
2. Art der Daten und Kategorien betroffener Personen
Betroffene: Verbraucher, die über die Website des Kunden einen Widerruf oder eine Kündigung erklären. Daten: Vor- und Nachname, ggf. Firmenname, E-Mail-Adresse, Bestell-, Vertrags- oder Kundennummer, betroffene Artikel, Art und Grund der Kündigung, gewünschtes Datum, Zeitpunkt der Erklärung; technische Daten (gekürzte und gehashte IP-Adresse, Browserkennung), die nach 90 Tagen gelöscht werden.
3. Pflichten des Auftragsverarbeiters
- a) Verarbeitung nur auf dokumentierte Weisung des Kunden; diese Weisungen ergeben sich aus diesem Vertrag und den Einstellungen im Dashboard. Keine Übermittlung in Drittländer.
- b) Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
- c) Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Hosting in Frankreich (OVHcloud), TLS-Verschlüsselung, Trennung der Daten je Kunde, Prüfsummen (SHA-256) zur Integrität, verschlüsselte Sicherungen, keine Cookies oder Tracker auf den Formularen.
- d) Unterauftragsverarbeiter: OVH SAS (Hosting und E-Mail-Versand, Frankreich). Der Kunde erteilt hierzu seine allgemeine Genehmigung; über Änderungen wird er vorab per E-Mail informiert und kann widersprechen.
- e) Unterstützung des Kunden bei Anfragen betroffener Personen (Export und Löschung über das Dashboard oder auf Anfrage).
- f) Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO; Meldung von Datenschutzverletzungen an den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
- g) Nach Vertragsende (Ende der Aufbewahrungsfrist nach Ende des Abonnements, Löschung des Kontos auf Wunsch oder endgültige Einstellung des Dienstes gemäß AGB): Rückgabe (CSV-/PDF-Export) und Löschung aller Daten innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Während der Nutzung werden Erklärungen nach der eingestellten Frist (3 oder 5 Jahre ab Jahresende) automatisch gelöscht.
- h) Bereitstellung aller Informationen zum Nachweis dieser Pflichten und Ermöglichung von Überprüfungen; Hinweis an den Kunden, falls eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.
4. Pflichten des Kunden
Der Kunde ist Verantwortlicher. Er informiert seine Kunden in seiner Datenschutzerklärung über die Verarbeitung durch den Auftragsverarbeiter und bearbeitet die eingegangenen Erklärungen selbst (Erstattung, Vertragsende).