Nutzungsbedingungen

Das oben angegebene Datum bezeichnet die letzte Überarbeitung dieses Dokuments, nicht seine Veröffentlichung oder das vertragliche Inkrafttreten. Diese überarbeitete Fassung ist noch nicht veröffentlicht. Die Veröffentlichung nach abgeschlossener Prüfung ist für den 2. Oktober 2026 geplant; dies ist kein bereits erfolgtes Veröffentlichungsdatum und löst keine automatische Veröffentlichung aus. Bei einer späteren Veröffentlichung ist das tatsächliche Datum maßgeblich; es erfolgt keine Rückdatierung. Für die wirksame Einbeziehung und Änderungen bestehender Verträge gilt Abschnitt 12.

1. Anbieter und Geltungsbereich

Diese Nutzungsbedingungen („Bedingungen“) regeln die Nutzung der Shopify-Anwendung Post-Purchase Upsell Hero („App“), bereitgestellt von:

HeroSoftware GmbH
Walramstraße 23, 65510 Idstein, Deutschland
Vertreten durch den Geschäftsführer: Calvin Blick
Handelsregister: Amtsgericht Wiesbaden, HRB 34094
Umsatzsteuer-ID: DE360788620
E-Mail: post@hero.software

Als Neukunde („Händler“, „du“) vereinbarst du diese Bedingungen bei Installation oder Nutzung der App nur, wenn diese Fassung nach ihrer tatsächlichen Veröffentlichung wirksam in deinen Vertrag einbezogen wird. Wenn du nicht zustimmst, installiere oder nutze die App nicht. Für bestehende Kunden gilt die Umstellungsregel in Abschnitt 12; Installation oder bloße Nutzung ersetzt weder die dort erforderliche ausdrückliche Zustimmung noch den gesonderten Abschluss eines SLA.

Die App richtet sich ausschließlich an Geschäftskunden (B2B). Mit der Installation bestätigst du, dass du in Ausübung deiner gewerblichen oder selbstständigen beruflichen Tätigkeit im Sinne von § 14 BGB handelst.

2. Beschreibung des Dienstes

Post-Purchase Upsell Hero ermöglicht Händlern, Kunden nach dem Checkout in Shopify-Shops One-Click-Upsell- und Downsell-Angebote anzuzeigen. Zu den Funktionen gehören unbegrenzte Funnels und Angebote, KI-gestützte Produktempfehlungen, Analysen und A/B-Tests, Übersetzungen für verschiedene Märkte sowie mobiloptimierte Angebotsseiten.

Wir entwickeln die App laufend weiter. Einzelne Funktionen können hinzugefügt, verändert oder entfernt werden, sofern dadurch die Kernfunktionalität der App für den Händler nicht wesentlich eingeschränkt wird.

3. Preise und Zahlung

Die App wird im folgenden Tarif angeboten:

„Upsell-Umsatz“ bezeichnet den Bruttoumsatz aus Bestellungen oder Bestellpositionen, die durch in der App angezeigte Angebote generiert werden, gemessen durch die App.

Alle Gebühren werden über das Abrechnungssystem von Shopify gemäß dessen Abrechnungszyklen und Bedingungen abgerechnet. Preise sind in USD angegeben und verstehen sich gegebenenfalls zuzüglich Umsatzsteuer. Wir behalten uns Preisänderungen mit mindestens 30 Tagen Vorankündigung vor; diese gelten ab Beginn des nächsten Abrechnungszeitraums. Wenn du einer Preisänderung nicht zustimmst, kannst du vor deren Inkrafttreten kündigen.

4. Laufzeit und Kündigung

Der Vertrag läuft auf unbestimmte Zeit. Du kannst jederzeit kündigen, indem du die App aus deinem Shopify-Shop deinstallierst oder deinen Tarif über Shopify kündigst. Die Kündigung wird gemäß den Abrechnungsbedingungen von Shopify wirksam; bereits entstandene Gebühren (einschließlich Nutzungsgebühren für bereits erzielte Upsell-Umsätze) bleiben zahlbar. Eine Erstattung für angebrochene Abrechnungszeiträume erfolgt nur, soweit gesetzlich vorgeschrieben.

Wir können den Vertrag mit einer Frist von 30 Tagen oder aus wichtigem Grund fristlos kündigen, insbesondere bei wesentlicher Verletzung dieser Bedingungen, missbräuchlicher Nutzung der App oder Nichtzahlung.

5. Pflichten des Händlers

Du bist verantwortlich für:

• den rechtmäßigen Betrieb deines Shopify-Shops, einschließlich der Einhaltung der für deinen Shop und die über die App angezeigten Angebote geltenden Verbraucherschutz-, E-Commerce- und Werbevorschriften;
• die Richtigkeit der in der App konfigurierten Produktdaten, Preise und Angebotsinhalte;
• die Geheimhaltung deiner Shopify-Zugangsdaten;
• den Verzicht auf rechtswidrige, irreführende oder rechtsverletzende Inhalte in der App.

Du darfst die App weder zurückentwickeln, dekompilieren, weiterverkaufen, unterlizenzieren noch missbrauchen oder auf eine Weise nutzen, die ihren Betrieb oder ihre Sicherheit beeinträchtigt. Du darfst die App nicht für unaufgeforderte Mitteilungen (Spam) oder im Zusammenhang mit rechtswidrigen Produkten oder Dienstleistungen oder solchen, die gegen Shopifys Nutzungsrichtlinien verstoßen, verwenden.

Händlern, die sich in Ländern befinden oder dort tätig sind, gegen die Embargos oder Sanktionen der EU, der USA oder der UN bestehen, ist die Nutzung der App untersagt.

Keine Rechtsberatung. Vorlagen, Standardeinstellungen, Empfehlungen, KI-generierte Produktvorschläge, Beispiel-Funnels, Dokumentation und Support zur App dienen nur der Information und stellen keine Rechts-, Steuer- oder Compliance-Beratung dar. Du bist allein dafür verantwortlich, dass deine Nutzung und Konfiguration der App – einschließlich Angebotsgestaltung, Preisdarstellung und Post-Purchase-Abläufen – dem für deinen Shop geltenden Recht entspricht (insbesondere Verbraucherschutz, Widerrufsrechte, Preisangaben und Steuervorschriften). Wir überwachen deinen Shop, deine Rechtsordnungen oder Konfigurationen nicht auf Rechtskonformität und sind nicht verpflichtet, dich über Änderungen von Gesetzen oder Plattformregeln zu informieren.

6. Datenschutz und Sicherheit

Wir verarbeiten personenbezogene Daten gemäß der EU-Datenschutz-Grundverordnung (DSGVO) und dem geltenden deutschen Datenschutzrecht.

• Hosting: Die produktive App, die Datenbank und die Infrastruktur für Anwendungsprotokolle werden bei DigitalOcean in Frankfurt, Deutschland, gehostet. Andere im Zusammenhang mit der App eingesetzte Dienste können Daten außerhalb Deutschlands oder des Europäischen Wirtschaftsraums verarbeiten. Bei internationalen Übermittlungen personenbezogener Daten gelten die in Anlage 1 beschriebenen Anforderungen und Schutzmaßnahmen.
• Verschlüsselung: Laut Geschäftsführung werden App-Daten bei der Übertragung und Speicherung verschlüsselt, einschließlich Datenbank, Anwendungsprotokollen und Backups. Die vollständige Festplattenverschlüsselung aller Firmenrechner aller Mitarbeiter ist eine gesonderte, bis einschließlich 5. Oktober 2026 geplante Maßnahme; ihr Abschluss ist zum Stand 1. Oktober 2026 nicht bestätigt.
• Auftragsverarbeitung: Soweit wir personenbezogene Daten deiner Shop-Kunden in deinem Auftrag verarbeiten, handeln wir als Auftragsverarbeiter. Es gilt unsere Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO als Bestandteil dieser Bedingungen (Anlage 1; technische und organisatorische Maßnahmen in Anlage 2).
• Eigene Verarbeitung: Hinsichtlich Konto-, Abrechnungs-, Nutzungs- und Supportdaten über dich als Kunden sind wir eigenständiger Verantwortlicher. Einzelheiten stehen in unserer Datenschutzerklärung.

Angaben zu Datenkategorien, Verarbeitungszwecken, Speicherfristen und Betroffenenrechten findest du in unserer Datenschutzerklärung.

Die allgemeinen Leistungs-, Datenschutz- und Sicherheitsverpflichtungen einschließlich der Pflichten aus der AVV und den technischen und organisatorischen Maßnahmen gelten unabhängig davon, ob ein gesondertes SLA vereinbart wurde. Ein SLA ist keine Voraussetzung für diese Pflichten und setzt sie nicht aus.

7. Verfügbarkeit

Wir streben eine hohe Verfügbarkeit der App an. Vorbehaltlich ausdrücklich vereinbarter spezifischer Verfügbarkeitszusagen garantieren wir keinen unterbrechungsfreien Betrieb. Wartungsfenster, Aktualisierungen und Störungen durch Shopify, Hostinganbieter oder andere Dritte können die Verfügbarkeit vorübergehend einschränken. Geplante Wartungen kündigen wir, soweit zumutbar, im Voraus an.

Spezifische Verfügbarkeitszusagen und Service Levels gelten nur, wenn HeroSoftware und der jeweilige Kunde sie ausdrücklich in einer gesonderten Service-Level-Vereinbarung („SLA“) vereinbart haben. Die Zusage von mindestens 99,9 % monatlicher Verfügbarkeit gilt ausschließlich für Kunden mit einer solchen gesonderten Vereinbarung und nur für deren vereinbarte Leistungen. Die Vereinbarung muss den Kunden, die betroffenen Shops beziehungsweise Leistungen, die Fassung und den Beginn bestimmen. Website-Veröffentlichung, Installation und bloße Nutzung der App schließen kein SLA ab.

Gesondert vereinbarte strengere SLA-Zusagen gehen entgegenstehenden weniger strengen allgemeinen Bedingungen für die betroffenen Leistungen vor. Ein ausdrücklich vereinbartes SLA bleibt von den allgemeinen Verfügbarkeitsbestimmungen dieser Bedingungen unberührt; insbesondere darf die Aussage, dass kein unterbrechungsfreier Betrieb garantiert wird, das SLA nicht entkräften. Zwingendes Recht, der Vorrang individueller Vertragsabreden und der bestehende Vorrang der AVV für die Verarbeitung personenbezogener Daten bleiben unberührt.

Für neue gesonderte SLA-Vereinbarungen ist der früheste Beginn der 15. Oktober 2026 um 00:00 Uhr (Europe/Berlin). Bei späterem ausdrücklichem Abschluss durch beide Parteien gilt das SLA ab Abschluss, sofern nicht ausdrücklich ein späterer Beginn vereinbart wird. Es gibt keine automatische Rückwirkung. Bereits bestehende frühere oder strengere bindende Zusagen werden dadurch weder verschoben noch reduziert.

8. Geistiges Eigentum

Die App einschließlich Software, Gestaltung, Texten und Marken ist ausschließliches Eigentum der HeroSoftware GmbH oder ihrer Lizenzgeber und durch deutsches und internationales Urheber- und Markenrecht geschützt. Du erhältst für die Vertragsdauer ein nicht ausschließliches, nicht übertragbares, widerrufliches Recht, die App ausschließlich zum Betrieb deiner eigenen Shopify-Shops zu nutzen. Alle weiteren Rechte bleiben vorbehalten.

9. Haftungsbeschränkung

Wir haften unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit sowie nach dem Produkthaftungsgesetz.

Bei einfacher Fahrlässigkeit haften wir nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung du regelmäßig vertrauen darfst. In diesen Fällen ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt.

Für entgangenen Gewinn, entgangene Einnahmen (einschließlich Upsell-Umsatz) sowie mittelbare Schäden oder Folgeschäden haften wir nicht, außer bei Vorsatz oder grober Fahrlässigkeit.

Wir haften nicht für Störungen, die durch Shopify, Apps Dritter, Themes oder die eigene Konfiguration des Händlers verursacht werden.

10. Freistellung

Du stellst uns von sämtlichen Ansprüchen Dritter aus deiner rechtswidrigen Nutzung der App oder aus von dir konfigurierten oder angezeigten Inhalten einschließlich angemessener Kosten der Rechtsverteidigung frei, sofern du die Rechtsverletzung zu vertreten hast.

11. Vertraulichkeit

Jede Partei schützt vertrauliche Informationen der anderen Partei (insbesondere nicht öffentliche geschäftliche, technische und finanzielle Informationen im Zusammenhang mit der App) vor unbefugter Nutzung, unbefugtem Zugriff und Offenlegung mindestens mit derselben Sorgfalt wie eigene vertrauliche Informationen, jedenfalls aber mit angemessener Sorgfalt. Diese Pflicht gilt drei (3) Jahre über das Vertragsende hinaus. Sie gilt nicht für öffentlich zugängliche, unabhängig entwickelte oder kraft Gesetzes offenzulegende Informationen.

12. Änderungen dieser Bedingungen

Wir können Änderungen dieser Bedingungen mit Wirkung für die Zukunft vorschlagen. Veröffentlichung und Vertragsänderung sind getrennt: Für Neukunden gilt diese Fassung nur bei wirksamer Einbeziehung ab ihrer tatsächlichen Veröffentlichung. Das Revisionsdatum und der geplante Veröffentlichungstermin sind keine vertraglichen Wirksamkeitsdaten.

Für die Umstellung bestehender Kunden auf diese überarbeitete Fassung informieren wir den vertraglichen Ansprechpartner individuell per E-Mail und ergänzend in der App mindestens 30 volle Kalendertage vor dem vorgesehenen individuellen Wirksamkeitszeitpunkt. Längere Fristen aus bestehenden Vereinbarungen bleiben maßgeblich. Die Mitteilung stellt die alte und die neue Fassung, eine verständliche Änderungsliste, den vorgesehenen individuellen Wirksamkeitszeitpunkt, die erforderliche ausdrückliche Zustimmung, die Frist und den Kontakt post@hero.software bereit. Bestehende bindende Sonderregelungen sind vor jeder Umstellung zu berücksichtigen.

Für diese Umstellung ist eine dokumentierte ausdrückliche Zustimmung erforderlich. Schweigen oder bloße Weiternutzung der App gilt nicht als Zustimmung. Ohne Zustimmung gelten die bisherigen Bedingungen fort; fehlende Zustimmung führt nicht automatisch zu einer Sperre oder Kündigung. Es gibt kein einheitliches Wirksamkeitsdatum für alle bestehenden Kunden. Der individuelle Wirksamkeitszeitpunkt setzt die Einhaltung der jeweils geltenden Vorankündigungsfrist und die ausdrückliche Zustimmung voraus.

Ein gesondert ausdrücklich abgeschlossenes SLA kann zum individuell vereinbarten Zeitpunkt nach Abschnitt 7 gelten, ohne auf die allgemeine Umstellung dieser Bedingungen zu warten. Bereits bestehende frühere oder strengere Zusagen bleiben unverändert; sie werden nicht stillschweigend verschlechtert. Welche Fassung für deinen Vertrag gilt, richtet sich nach der tatsächlichen Einbeziehung und wirksam vereinbarten Änderungen, nicht allein nach der Darstellung auf der Website.

13. Streitbeilegung

Wir sind weder bereit noch verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.

14. Schlussbestimmungen

Für diese Bedingungen gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesen Bedingungen ist Wiesbaden, Deutschland, sofern du Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen bist.

Sollten einzelne Bestimmungen dieser Bedingungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Kontakt: HeroSoftware GmbH, Walramstraße 23, 65510 Idstein, Deutschland — post@hero.software

Anlage 1: Vereinbarung zur Auftragsverarbeitung (AVV)

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) ist Bestandteil der Nutzungsbedingungen für Post-Purchase Upsell Hero und gilt, wenn die HeroSoftware GmbH („Auftragsverarbeiter“) im Zusammenhang mit der App personenbezogene Daten im Auftrag des Händlers („Verantwortlicher“) verarbeitet.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der in den Nutzungsbedingungen beschriebenen App. Diese AVV gilt für die Dauer der Nutzungsbedingungen. Sie endet automatisch mit der Deinstallation der App und der Löschung oder Rückgabe aller personenbezogenen Daten gemäß Abschnitt 10.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst Erhebung, Speicherung, Analyse und Anzeige von Bestell- und Kundendaten aus dem Shopify-Shop des Verantwortlichen, um:

• Kunden des Verantwortlichen Post-Purchase-Upsell- und Downsell-Angebote anzuzeigen;
• KI-gestützte Produktempfehlungen zu erstellen;
• Analysen, A/B-Tests und Berichte bereitzustellen;
• nutzungsabhängige Gebühren (Upsell-Umsatz) zu berechnen.

3. Arten personenbezogener Daten

Die Kategorien umfassen auch Daten, die nur vorübergehend über APIs, Webhooks oder Anwendungsprotokolle verarbeitet werden; die Nennung einer Kategorie bedeutet nicht, dass jedes Feld dauerhaft gespeichert wird. Die Übersicht ist keine abschließende Aufzählung sämtlicher Felder.

• Bestell-, Shop-, Produkt-, Checkout- und Funnel-Daten (einschließlich Bestell-ID, Bestellwert, gekaufter Produkte und Zeitstempel)
• Numerische Kunden-IDs, Checkout-Token und grobe Versandregionen
• Gelesene Kundensegmente, Bestellanzahl und Sprache
• Kundendaten, die in Shopify-Payloads enthalten sein können (Name, E-Mail-Adresse sowie Liefer- und Rechnungsanschrift, soweit von Shopify übermittelt)
• Technische Daten, die je nach übermittelten API- und Webhook-Payloads sowie Anwendungsprotokollen verarbeitet werden können (IP-Adresse, Geräte- und Browserinformationen, Sitzungskennungen)
• Interaktions- und Analytics-Daten zu Upsell-Angeboten (Impressions, Aufrufe, Klicks, Käufe, Ablehnungen), Einstellungen, Warenkorb-Snapshots und UTM-Daten

Nach Angaben des Entwicklers werden Name, E-Mail-Adresse, Segmente und Bestellanzahl bei Shopify gelesen; der Vorname wird für die Personalisierung nur zur Laufzeit verwendet. UTM-Daten werden laut Entwickler 24 Stunden gespeichert; Zahlungsdaten und besondere Kategorien personenbezogener Daten werden laut Entwickler nicht gespeichert. Das Entfernen einer Kunden-ID allein bedeutet keine vollständige Anonymisierung; auch Daten ohne unmittelbar identifizierende Käuferangaben können personenbezogen sein.

4. Kategorien betroffener Personen

• Kunden des Shopify-Shops des Verantwortlichen
• Mitarbeiter des Verantwortlichen, die die App nutzen

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• a) personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch hinsichtlich Übermittlungen in Drittländer, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung vorschreibt; in diesem Fall informiert er den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern dies nicht gesetzlich verboten ist;
• b) sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• c) sämtliche gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen umzusetzen (siehe Anlage 2);
• d) die in Abschnitt 6 genannten Voraussetzungen für den Einsatz von Unterauftragsverarbeitern einzuhalten;
• e) den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen zur Ausübung von Betroffenenrechten (Art. 12–23 DSGVO) zu unterstützen;
• f) den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen) zu unterstützen;
• g) Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und in jedem Fall spätestens 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag des Verantwortlichen verarbeitete personenbezogene Daten betrifft. Noch nicht verfügbare Informationen werden unverzüglich in nachfolgenden Aktualisierungen bereitgestellt.
• h) nach Wahl des Verantwortlichen nach Abschluss der Dienstleistungen alle personenbezogenen Daten zu löschen oder zurückzugeben (Abschnitt 10);
• i) dem Verantwortlichen alle zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen und daran mitzuwirken (Abschnitt 9);
• j) den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

Meldung von Verletzungen des Schutzes personenbezogener Daten (Abschnitt 5 g)

Die Meldepflicht und die Höchstfrist von 24 Stunden gelten durchgehend, auch nachts, am Wochenende und an Feiertagen, sowie bei relevanten Vorfällen eingesetzter Unterauftragsverarbeiter. Die Höchstfrist ist keine Wartefrist. Die Erstmeldung an den vereinbarten Kundenkontakt wird nicht bis zum Abschluss der Untersuchung aufgeschoben.

Die Erstmeldung enthält die zu diesem Zeitpunkt verfügbaren Angaben zu Art und Umfang der Verletzung, betroffenen Daten und Personen, möglichen Folgen, ergriffenen oder vorgesehenen Maßnahmen sowie einem Ansprechpartner. Noch unbekannte Angaben werden unverzüglich in nachfolgenden Aktualisierungen ergänzt. Eigene gesetzliche Pflichten des Auftragsverarbeiters und die Unterstützung des Verantwortlichen bei dessen Pflichten bleiben unberührt.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern zur Bereitstellung der App. Die Übersicht der eingesetzten Dienste steht unten; Fragen dazu kannst du an post@hero.software richten.

Übersicht der genutzten Dienste und ihrer jeweiligen Aufgaben: Entwicklungsdienste sind nur dann Unterauftragsverarbeiter für Händler-Kundendaten, wenn sie solche personenbezogenen Daten tatsächlich im Auftrag des Händlers erhalten. Codezugriff ist weder mit Zugriff auf Produktionsdaten noch mit Zugriff auf Secrets gleichzusetzen. Die Nennung eines Dienstes bestätigt für sich genommen keine Übermittlung von Händler-Kundendaten.

• DigitalOcean: Hosting der produktiven App, Managed MongoDB, OpenSearch und Anwendungsprotokolle in Frankfurt sowie Betrieb und Deployment über die GitHub-Anbindung.
• GitHub: Quellcode-Repository, Reviews und CI über GitHub Actions.
• Cursor / Anysphere einschließlich Bugbot: Entwicklung und Prüfung von Codeänderungen im regulären Business-/Teamtarif (nicht Enterprise), mit maximal aktiviertem Privacy Mode. Bugbot ergänzt das menschliche Review. Privacy Mode ist keine Zusicherung, dass keine Übermittlung oder Speicherung erfolgt oder die Verarbeitung ausschließlich in der EU stattfindet.
• Momentic: GitHub-Anbindung und E2E-Tests im Test-Store; dabei werden Test-Browserinhalte sowie Screenshots und Videos verarbeitet.
• Productlane: Händler-Feedback und GitHub-Anbindung.
• Featurebase: Händler-Feedback; ein Codezugriff ist nicht bestätigt.
• DeepL API: Übersetzung von Angebotstexten; laut Entwickler keine unmittelbar identifizierenden Käuferangaben. Das bedeutet nicht automatisch, dass die übermittelten Inhalte keine personenbezogenen Daten enthalten.
• OpenAI API: optionales Produkt-Ranking, derzeit deaktiviert; laut Entwickler erfolgt aktuell kein Versand an diese API.
• Mantle: seit Oktober 2026 nicht mehr genutzt. Daraus lässt sich keine bereits erfolgte Löschung sämtlicher Daten aus der bisherigen Nutzung ableiten.
• Replit: Hosting dieser Website; daraus folgt kein bestätigter Zugriff auf den produktiven Shopify-App-Code oder dessen Kundendaten.

Shopify ist die Plattform mit direkter Vertragsbeziehung zum Händler und wird hier nicht pauschal als Unterauftragsverarbeiter von HeroSoftware eingeordnet.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über geplante Hinzuziehungen oder Ersetzungen von Unterauftragsverarbeitern und gibt ihm Gelegenheit, aus berechtigten datenschutzrechtlichen Gründen zu widersprechen. Wird keine einvernehmliche Lösung gefunden, kann der Verantwortliche die Nutzungsbedingungen kündigen.

Eine Aktualisierung dieser Übersicht ersetzt nicht die nach dieser AVV gegebenenfalls erforderliche Kundeninformation.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in dieser AVV. Er bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters voll verantwortlich.

7. Ort der Verarbeitung und internationale Übermittlungen

Die produktive App, die Datenbank und die Infrastruktur für Anwendungsprotokolle werden in Frankfurt, Deutschland, gehostet. Die Verarbeitung durch andere Dienstleister kann in anderen Ländern stattfinden. Für Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums gelten Kapitel V DSGVO sowie die einschlägigen Informations- und Genehmigungsanforderungen für Unterauftragsverarbeiter gemäß Abschnitt 6.

8. Betroffenenrechte

Wendet sich eine betroffene Person mit einem Antrag gemäß Art. 12–23 DSGVO direkt an den Auftragsverarbeiter, leitet dieser ihn unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter beantwortet solche Anträge nicht selbst, sofern er nicht vom Verantwortlichen dazu angewiesen oder gesetzlich dazu verpflichtet ist.

9. Überprüfungen

Der Verantwortliche hat das Recht, die Einhaltung dieser AVV durch den Auftragsverarbeiter zu überprüfen. Der Auftragsverarbeiter weist die Einhaltung vorrangig durch geeignete Unterlagen nach (z. B. Beschreibungen technischer und organisatorischer Maßnahmen, Zertifizierungen, Prüfberichte). Vor-Ort-Prüfungen dürfen höchstens einmal pro Kalenderjahr während der üblichen Geschäftszeiten, mit mindestens 30 Tagen schriftlicher Vorankündigung und ohne Störung des Geschäftsbetriebs stattfinden, es sei denn, eine Datenschutzverletzung oder Hinweise auf Nichteinhaltung rechtfertigen eine kürzere Frist.

10. Löschung und Rückgabe von Daten

Bei Beendigung der Nutzungsbedingungen (insbesondere durch Deinstallation der App) löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen innerhalb von 30 Tagen sämtliche in dessen Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht bestehende Kopien, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Speicherung verlangt. Die Löschung gemäß den verpflichtenden DSGVO-Webhooks von Shopify (shop/redact, customers/redact, customers/data_request) bleibt unberührt und erfolgt innerhalb der von Shopify festgelegten Fristen.

Auskunfts- und Löschanfragen können auch während der Nutzung der App gestellt werden. Die Deinstallation ist ein Löschanlass; sie bedeutet nicht, dass sämtliche Daten sofort vollständig gelöscht sind. Die Verpflichtung zur Löschung oder Rückgabe innerhalb von 30 Tagen bleibt bestehen.

Diese Pflicht setzt keine zusätzliche Löschanfrage voraus und betrifft die im Auftrag verarbeiteten personenbezogenen Daten. Davon zu unterscheiden sind Vertrags-, Abrechnungs- und Ansprechpartnerdaten, die HeroSoftware als eigener Verantwortlicher verarbeitet; für sie gelten die jeweiligen Verarbeitungszwecke und gesetzlichen Aufbewahrungspflichten, wie in der Datenschutzerklärung erläutert.

Für UTM-Daten gilt laut Entwickler eine Speicherung von 24 Stunden; bestehende MongoDB-Backups werden sieben Tage aufbewahrt. Daraus wird keine einheitliche Speicherfrist für Anwendungsprotokolle, Feedback oder Test-Screenshots und -Videos abgeleitet. Nach einer Wiederherstellung müssen erforderliche Löschungen erneut angewandt werden. Dies ist eine Vorgabe für den Wiederherstellungsprozess, keine Bestätigung einer vollständig technisch umgesetzten oder automatisierten Löschung.

11. Haftung

Die Haftung aus dieser AVV richtet sich nach Art. 82 DSGVO und, soweit gesetzlich zulässig, nach der Haftungsbeschränkung in Abschnitt 9 der Nutzungsbedingungen.

12. Vorrang

Bei Widersprüchen zwischen dieser AVV und den Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten geht diese AVV vor.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Angaben unterscheiden zum Stand 1. Oktober 2026 bestehende Maßnahmen und bestätigte Fähigkeiten von festgelegten Richtlinien und geplanten Verbesserungen. Wo angegeben, beruhen Beschreibungen der technischen Umsetzung auf Angaben der Geschäftsführung oder des Entwicklers. Ein Zieltermin oder eine Richtlinie ist kein Nachweis einer abgeschlossenen Umsetzung; geplante Maßnahmen werden durch das Verstreichen eines Termins nicht automatisch als abgeschlossen ausgewiesen.

A. Personal und Zugriffskontrolle

• Interner Zugriff ausschließlich durch eigene Mitarbeiter aus Deutschland; keine Freelancer. Es werden ausschließlich firmeneigene Arbeitsgeräte und persönliche Benutzerkonten genutzt.
• Alle Mitarbeiter haben schriftliche Datenschutz- und Vertraulichkeitsverpflichtungen. Bildschirme werden automatisch gesperrt.
• Berechtigungen werden nach Aufgabenbedarf vergeben und quartalsweise sowie bei relevanten Änderungen überprüft. Beim Ausscheiden werden Zugänge unmittelbar gesperrt bzw. entfernt.
• Authenticator-App-MFA ist für alle Mitarbeiter verpflichtend. Google dient als Identitätsanbieter; Cursor wird über Google angemeldet. Bei föderierten Anmeldungen erfolgt MFA am Identitätsanbieter; direkte Anmeldungen müssen ebenfalls durch MFA geschützt sein. Bei DigitalOcean und GitHub wird die Zwei-Faktor-Anmeldung genutzt.
• Jeder berechtigte Mitarbeiter nutzt einen persönlichen Shopify-Partnerzugang mit MFA. Passkeys werden bei unterstützenden Diensten empfohlen; ihre Nutzung wird kontrolliert. Es besteht keine allgemeine Passkey-Pflicht und keine Vorgabe, bei jedem Login gleichzeitig Passkey und Authenticator-Code einzugeben.
• Technische Dienstkonten, API-Tokens und Deployment-Schlüssel sind von persönlichen Mitarbeiteranmeldungen zu unterscheiden; für ihre Zugangsdaten gelten die unter C beschriebenen Secret-Schutzmaßnahmen.

B. Infrastruktur und Verschlüsselung

• Die produktive App, Managed MongoDB und OpenSearch werden bei DigitalOcean in Frankfurt gehostet. Den physischen Schutz der Rechenzentren übernimmt der Hosting-Anbieter. Frankfurt ist nicht als Verarbeitungsort aller eingesetzten Dienstleister zu verstehen; internationale Übermittlungen richten sich nach Anlage 1, Abschnitt 7.
• Laut Geschäftsführung sind App-Daten bei der Übertragung und Speicherung verschlüsselt, einschließlich Datenbank, Anwendungsprotokollen und Backups. Die Verschlüsselung der Firmenrechner ist als separate Maßnahme geplant (F).

C. Integrität und Protokollierung

• Die Anwendungsprotokollierung erfolgt laut Entwickler über Winston/OpenSearch; eine vollständige Erfassung sämtlicher Zugriffe auf oder Änderungen an personenbezogenen Daten wird damit nicht zugesagt. Sensible Secret-Felder werden vor Übertragung in Anwendungsprotokolle geschwärzt.
• Produktions- und Test-/Entwicklungsumgebungen sind getrennt.

Codezugriff und Freigaben

• Codezugriffswege umfassen GitHub (Repository, Reviews und Actions), DigitalOcean (Deployment-Anbindung an GitHub und Betrieb), Cursor einschließlich Bugbot (Entwicklung und Prüfung von Änderungen), Momentic (GitHub-Anbindung und E2E-Tests) sowie Productlane (GitHub-Anbindung). Featurebase dient Händler-Feedback; ein Codezugriff ist nicht bestätigt. Das Hosting dieser Website bei Replit bestätigt keinen Zugriff auf den produktiven Shopify-App-Code oder dessen Kundendaten.
• Änderungen am produktiven Branch benötigen einen Pull Request und die Freigabe einer zweiten Person. Unit-Tests, Lint und Typecheck müssen erfolgreich sein. Es gibt keinen Bypass für Administratoren, Bots oder Integrationen und keine ungeprüften direkten Änderungen oder manuellen Produktiv-Deployments.
• Änderungen an Schutzregeln und Release-Workflows benötigen ein dokumentiertes Vier-Augen-Review. Bugbot ergänzt das menschliche Review, ersetzt es aber nicht.
• Codezugriff ist nicht mit Zugriff auf Produktionsdaten oder Secrets gleichzusetzen. Cursor nutzt den regulären Business-/Teamtarif, nicht Enterprise, mit maximal aktiviertem Privacy Mode. Dieser Modus garantiert weder das Ausbleiben von Übermittlungen oder Speicherung noch ausschließlich europäische Verarbeitung.

Secrets und technische Zugangsdaten

• Für Secrets verantwortlich ist Team Lead Martin Herd. Produktions-Secrets werden in der DigitalOcean-Umgebung gehalten, CI-Secrets in GitHub Secrets. Entwicklung, Tests und Produktion verwenden getrennte Zugangsdaten; lokale Entwicklungs-Secrets werden nicht versioniert.
• Die technische Abschirmung von Secrets gegenüber KI-Werkzeugen ist als umgesetzt und im Entwicklungsprozess dokumentiert bestätigt. Sie umfasst auch Terminal- und MCP-Zugriffe; .gitignore oder .cursorignore allein stellen keine vollständige Absicherung dar.
• Bei Verdacht auf eine Kompromittierung, beim Ausscheiden oder bei entfallenem Zugriff werden betroffene Zugänge gesperrt und Secrets widerrufen beziehungsweise erneuert.
• Eine Prüfung des gesamten Repositorys einschließlich der Git-Historie ist bestätigt. Daraus wird kein Ergebnis „keine Funde“ abgeleitet.

D. Verfügbarkeit und Wiederherstellung

• Mehrere App-Instanzen laufen mit Autoscaling. Dies ist keine pauschale Zusage vollständiger Datenbank- oder Standortredundanz.
• Laut Entwickler erfolgen tägliche MongoDB-Backups mit sieben Tagen Aufbewahrung. Health-Checks und technische Warnungen sind eingerichtet.
• Die Geschäftsführung bestätigt die Einhaltung einer maximalen Wiederherstellungsdauer (RTO) von 8 fortlaufenden Stunden. Sie beginnt mit dem tatsächlichen Ausfallbeginn und endet mit der validierten Wiederherstellung der betroffenen App-Kernfunktionen einschließlich der erforderlichen Datenbank und Konfiguration.
• Die Geschäftsführung bestätigt die Einhaltung eines maximal tolerierten Datenverlusts (RPO) von 24 Stunden für die von HeroSoftware gespeicherten produktiven App-Daten. Die Bestätigung dieser Wiederanlaufwerte ist weder ein unabhängiger Prüfbericht noch ein Nachweis eines bereits abgeschlossenen Restore-Tests.
• Zusätzliche konsistente Wiederherstellungspunkte mindestens alle 12 Stunden einschließlich Backup-Überwachung sind bis einschließlich 20. Oktober 2026 geplant. Ein vollständiger Restore-Test ist bis einschließlich 20. Oktober 2026 geplant; die interne Ablaufübung ist am 9. Oktober 2026 vorgesehen. Danach sind Wiederherstellungstests mindestens quartalsweise und nach wesentlichen Änderungen vorgesehen. Der Abschluss dieser geplanten Maßnahmen ist zum Stand 1. Oktober 2026 nicht bestätigt.
• Erforderliche Löschungen müssen nach einem Restore erneut angewandt werden (Anlage 1, Abschnitt 10); dies ist eine Vorgabe und keine Bestätigung einer vollständig technisch umgesetzten Löschung.

E. Vorfallbehandlung und Überprüfung

• Technisch verantwortlich für Sicherheitsvorfälle ist Team Lead Martin Herd. Er und das interne Entwicklungsteam betreuen die technische Überwachung; Rufbereitschaft und Vertretung für Kundenupdates bestehen.
• Ein schriftlicher Vorfallsablauf ist vorbereitet und umfasst Meldung, Eindämmung, Beweissicherung, Bewertung, Kundeninformation, Wiederherstellung und Nachbereitung. Einführung und Unterweisung sind noch nicht abgeschlossen.
• Die Überprüfung der technischen und organisatorischen Maßnahmen ist einmal pro Quartal vorgesehen. Für Datenschutzverletzungen gilt die Pflicht zur unverzüglichen Meldung, spätestens innerhalb von 24 Stunden nach Bekanntwerden, gemäß Anlage 1, Abschnitt 5 g, einschließlich der dort geregelten durchgehenden Frist, Unterauftragsverarbeiter-Vorfälle, Erstmeldung und nachfolgenden Aktualisierungen.

Schwachstellenprüfungen und Pentest

Seit 1. Oktober 2026 ist eine interne Richtlinie für folgende Prüfungen und den Umgang mit Funden festgelegt:

• Codeanalyse (SAST) und Abhängigkeitsprüfungen (SCA);
• Secret-Scans einschließlich der Git-Historie;
• Konfigurations- und gegebenenfalls Containerprüfungen;
• authentifizierte Tests der Testumgebung;
• gezielte Prüfungen von Shop-Trennung, Berechtigungen, Tokens, Webhooks und Geschäftslogik;
• Risikobewertung, Behebungsfristen und Nachtests.

Die Richtlinie ist festgelegt; die vollständige Einrichtung der neuen automatisierten Scans und ihre Erstläufe sind noch nicht als abgeschlossen bestätigt. Bis zur Automatisierung sind gleichwertige kontrollierte Prüfungen vor Freigabe vorgeschrieben. Automatisierte Scans und Bugbot sind kein Pentest.

Ein unabhängiger externer Pentest einschließlich schriftlichem Ergebnisbericht ist bis einschließlich 1. November 2026 vorgesehen. Er wird nicht als bereits durchgeführt oder bestanden dargestellt; eine vollständige Behebung aller Funde wird nicht behauptet. Funde werden nach Risiko bearbeitet und nachgeprüft.

F. Geplante Verbesserungen (Abschluss noch nicht bestätigt)

Zum Stand 1. Oktober 2026 sind folgende Maßnahmen geplant:

• Vollständige Festplattenverschlüsselung aller Firmenrechner aller Mitarbeiter bis einschließlich 5. Oktober 2026, ohne Ausnahmen für einzelne Abteilungen;
• Cybersecurity-Awareness-E-Learning der TÜV SÜD Akademie sowie interne Awareness-Einweisung am 9. Oktober 2026 für alle Mitarbeiter, ohne Ausnahmen für einzelne Abteilungen;
• zusätzliche konsistente Wiederherstellungspunkte mindestens alle 12 Stunden und Backup-Überwachung sowie ein vollständiger Restore-Test bis einschließlich 20. Oktober 2026; eine interne Ablaufübung am 9. Oktober 2026, anschließend mindestens quartalsweise und nach wesentlichen Änderungen Wiederherstellungstests (D);
• vollständige Einrichtung und Erstläufe der neuen automatisierten Sicherheitsprüfungen (E);
• ein unabhängiger externer Pentest mit schriftlichem Ergebnisbericht bis einschließlich 1. November 2026 (E).

Der Abschluss dieser Maßnahmen ist nicht bestätigt. Die Teilnahme am TÜV-Kurs ist keine TÜV-Zertifizierung des Unternehmens oder der App. Die Zieltermine setzen geltende Datenschutz- oder Sicherheitsverpflichtungen nicht aus.

Der Auftragsverarbeiter kann diese Maßnahmen aktualisieren, sofern das Schutzniveau dadurch nicht verringert wird.