Hinweis: Dies ist das Muster des Auftragsverarbeitungsvertrags zur Ansicht. Der verbindliche AVV wird vom Händler direkt in der App im Shopify-Admin abgeschlossen, versioniert gespeichert und kann dort jederzeit als PDF abgerufen werden.

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)
Stand: 12.09.2026 · Vertragsversion [wird in der App ausgefüllt] · Vorlagen-Stand [wird in der App ausgefüllt]

Vertragsparteien

Verantwortlicher (Auftraggeber)

Firma/Name: [wird in der App ausgefüllt]
Straße, Hausnr.: [wird in der App ausgefüllt]
PLZ, Ort: [wird in der App ausgefüllt]
Land: [wird in der App ausgefüllt]
Vertreten durch: [wird in der App ausgefüllt]
Shopify-Shop: [wird in der App ausgefüllt]

– nachfolgend „Verantwortlicher“ genannt –

Auftragsverarbeiter

Firma: Bungers IT & E-Commerce GmbH
Anschrift: Sterrenhofweg 16, 50858 Köln, Deutschland
Kontakt: info@age-id-check.com

– nachfolgend „Auftragsverarbeiter“ genannt –

– beide nachfolgend gemeinsam „Vertragsparteien“ –

schließen folgende Vereinbarung zur Auftragsverarbeitung für die Shopify-App „Age-ID-Check“:

§ 1 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter stellt dem Verantwortlichen die Shopify-App „Age-ID-Check“ (nachfolgend „App“) zur Verfügung. Die App ermöglicht es Kunden des Verantwortlichen, ihr Alter im Kundenkonto des Shops nachzuweisen, und sperrt den Checkout für nicht altersverifizierte Kunden, soweit der Verantwortliche dies konfiguriert hat.
Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen, soweit sie für die Bereitstellung und den Betrieb der App erforderlich ist.
Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit der Nutzung der App durch den Verantwortlichen. Mit der Deinstallation der App endet der Auftrag; die Regelungen zur Löschung (§ 8) gelten fort.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck der Verarbeitung ist ausschließlich die Altersverifikation von Kunden des Verantwortlichen zur Einhaltung jugendschutzrechtlicher Vorgaben beim Verkauf altersbeschränkter Produkte.
Die Verarbeitung umfasst insbesondere: die Entgegennahme der vom Kunden im Kundenkonto eingegebenen Ausweisdaten, deren Übermittlung an den vom Auftragsverarbeiter eingesetzten Prüfdienst (§ 6), die Speicherung des Prüfergebnisses als Kunden-Metafeld im Shopify-Shop des Verantwortlichen, das optionale Setzen eines Kunden-Tags und einer Kundennotiz sowie die Protokollierung des Prüfvorgangs (Zeitpunkt, Prüfverfahren, Ergebnis, technische Kennzahlen).
Die eingegebenen Ausweisdaten werden vom Auftragsverarbeiter nur für die Dauer des Prüfvorgangs verarbeitet und nicht dauerhaft gespeichert. Gespeichert werden das Prüfergebnis, der Zeitpunkt der Prüfung, das verwendete Prüfverfahren, das Geburtsdatum (sofern der Verantwortliche die Kundennotiz aktiviert hat) sowie die Shopify-Kunden-ID.

§ 3 Art der Daten und Kreis der betroffenen Personen

Kategorien personenbezogener Daten: Shopify-Kunden-ID, Name, Anschrift und Geburtsdatum des Kunden, Daten des vorgelegten Ausweisdokuments (Dokumentart, Seriennummer, Prüfziffern, Gültigkeitsdatum bzw. maschinenlesbare Zone), Prüfergebnis und Zeitpunkt der Prüfung, technische Protokolldaten (Dauer, Status der Prüfung).
Kreis der betroffenen Personen: Kunden des Verantwortlichen, die im Shop [wird in der App ausgefüllt] eine Altersverifikation durchführen.

§ 4 Pflichten des Verantwortlichen

Der Verantwortliche ist im Rahmen dieses Vertrags für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Datenverarbeitung, allein verantwortlich.
Der Verantwortliche informiert seine Kunden in seiner Datenschutzerklärung über die Altersverifikation, den Einsatz des Auftragsverarbeiters und der Unterauftragsverarbeiter (§ 6).
Der Verantwortliche erteilt Weisungen grundsätzlich über die Konfiguration der App (Einstellungen im Shopify-Admin). Darüber hinausgehende Weisungen sind in Textform zu erteilen.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist.
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1).
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen (Art. 12 bis 22 DSGVO) sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (§ 7).

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. Dies betrifft insbesondere den Prüfdienst zur Plausibilitätsprüfung der Ausweisdaten, den Identitätsprüfdienst (SCHUFA-Identitätscheck) sowie den Hosting-Dienstleister des Auftragsverarbeiters.
Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann gegen eine solche Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem Grund Einspruch erheben.
Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind.
Shopify (Shopify International Ltd. / Shopify Inc.) ist als Plattformbetreiber nicht Unterauftragsverarbeiter des Auftragsverarbeiters; die Speicherung der Prüfergebnisse als Kunden-Metafeld erfolgt im Shopify-Shop des Verantwortlichen auf Grundlage seines eigenen Vertragsverhältnisses mit Shopify.

§ 7 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und Verarbeitungsprogramme.
Kontrollen vor Ort sind mit angemessener Vorlaufzeit (mindestens 14 Tage) anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durchzuführen. Der Auftragsverarbeiter kann die Kontrolle auch durch Vorlage geeigneter Nachweise (z. B. Zertifizierungen, Auditberichte, Selbstauskünfte) erfüllen.

§ 8 Löschung und Rückgabe von Daten

Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt; hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind.
Nach Beendigung des Auftrags (Deinstallation der App) löscht der Auftragsverarbeiter die bei ihm gespeicherten Protokolldaten des Verantwortlichen innerhalb von 90 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die im Shopify-Shop des Verantwortlichen gespeicherten Kunden-Metafelder, Tags und Notizen verbleiben in der Verfügungsgewalt des Verantwortlichen.
Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind vom Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.

§ 9 Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie die Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters für die App.
Der Auftragsverarbeiter haftet nicht für Entscheidungen, die der Verantwortliche auf Grundlage eines Prüfergebnisses trifft, sowie nicht für die inhaltliche Richtigkeit der von Kunden eingegebenen Daten. Die App führt eine Plausibilitäts- bzw. Identitätsprüfung durch; sie ersetzt keine Sichtprüfung eines Ausweisdokuments, soweit eine solche gesetzlich vorgeschrieben ist.

§ 10 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.
Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt.
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.
Dieser Vertrag wurde elektronisch im Shopify-Admin durch [wird in der App ausgefüllt] für [wird in der App ausgefüllt] am 12.09.2026 akzeptiert. Der Verantwortliche kann den Vertrag jederzeit in der App als PDF abrufen.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritts- und Zugangskontrolle: Betrieb der App bei einem professionellen Hosting-Anbieter mit zugangsgesicherten Rechenzentren; Zugriff auf Systeme nur über personalisierte Konten mit starker Authentifizierung.
Zugriffskontrolle: Rollenbasierte Berechtigungen; Zugangsdaten zu Prüfdiensten werden verschlüsselt (AES-256-GCM) gespeichert und nie im Klartext angezeigt; Administrationszugänge sind gesondert abgesichert.
Weitergabekontrolle: Sämtliche Datenübertragungen erfolgen ausschließlich transportverschlüsselt (TLS); Prüfdienste werden nur über fest hinterlegte, geprüfte Endpunkte angesprochen.
Eingabekontrolle: Protokollierung jedes Prüfvorgangs mit Zeitpunkt, Prüfverfahren und Ergebnis, ohne Speicherung der eingegebenen Ausweisdaten.
Datenminimierung: Ausweisdaten werden nur für die Dauer der Prüfung verarbeitet; gespeichert wird lediglich das Prüfergebnis mit den in § 2 genannten Metadaten.
Verfügbarkeitskontrolle: Regelmäßige Datensicherungen der Datenbank, Überwachung des Betriebs, Wiederherstellungsverfahren.
Trennungskontrolle: Mandantentrennung durch Zuordnung aller Daten zum jeweiligen Shop; keine shopübergreifende Auswertung.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Prüfdienst für Ausweisdaten (FRASPY / alterspruefung365): Plausibilitätsprüfung der eingegebenen Ausweisdaten (Prüfziffern, Gültigkeit, Geburtsdatum). Datenübermittlung: Dokumentart, Ausweisfelder, Geburtsdatum.
SCHUFA Holding AG, Wiesbaden (SCHUFA-Identitätscheck): Identitätsprüfung anhand von Name, Anschrift und Geburtsdatum, sofern der Verantwortliche dieses Prüfverfahren aktiviert hat.
Hosting-Dienstleister des Auftragsverarbeiters: Betrieb der App-Server und der Datenbank (Protokolldaten, Konfiguration).

Kontakt für datenschutzrechtliche Anfragen: info@age-id-check.com