Auftragsverarbeitungsvertrag (DPA)

Höflichkeitsübersetzung. Die rechtlich verbindliche Fassung dieses AVV ist die englische Version unter gethokku.com/dpa. Bei Abweichungen zwischen dieser deutschen Fassung und der englischen Version hat die englische Version Vorrang.

Klarsprachliche Zusammenfassungen erscheinen kursiv im gesamten Dokument. Sie haben keinen vertraglichen Wert. Nur die nummerierten Absätze sind rechtlich bindend.

Dieser Auftragsverarbeitungsvertrag (der „AVV“ oder „DPA“) bildet einen integralen Bestandteil der Hokku AGB und regelt, wie H-MOON Digital (der „Auftragsverarbeiter“) personenbezogene Daten im Auftrag des Shopify-Händlers (der „Verantwortliche“, „Händler“) innerhalb der Hokku-App verarbeitet.

Durch Installation oder Nutzung von Hokku akzeptiert der Händler diesen AVV. Eine separate Unterschrift ist nicht erforderlich.

Wo dieser AVV steht. Hokku wird über den Shopify App Store vertrieben. Shopify agiert als separater Auftragsverarbeiter für den Händler unter dem Shopify Data Processing Addendum, das alles abdeckt, was Shopify direkt verarbeitet. Dieser AVV deckt nur ab, was H-MOON Digital direkt innerhalb der Hokku-App verarbeitet – eine vom Shopify-Verhältnis getrennte Verarbeitung. Daten, die auf der Marketing-Website gethokku.com erhoben werden, sind separat in der Datenschutzerklärung geregelt.

1. Rollen und Geltungsbereich

In kurzen Worten: Ihr Shop ist der Verantwortliche. Hokku ist der Auftragsverarbeiter, der auf Ihre Weisungen handelt.

1.1. Der Händler agiert als Verantwortlicher für personenbezogene Daten seiner Kundschaft, Interessenten, Mitarbeitenden und Shop-bezogenen Aktivitäten, einschließlich der Daten, die über den Shopify-Shop und das Admin-Backend in Hokku fließen.

1.2. H-MOON Digital agiert als Auftragsverarbeiter für die personenbezogenen Daten, die der Händler über Hokku einreicht oder erzeugt, und verarbeitet sie ausschließlich auf dokumentierten Weisungen des Verantwortlichen, wie in den Hokku AGB, diesem AVV und der Hokku-Benutzeroberfläche festgelegt.

1.3. Geltungsbereich. Dieser AVV gilt für die von H-MOON Digital innerhalb der Hokku-App und ihrer unterstützenden Infrastruktur durchgeführte Verarbeitung. Er gilt nicht für (a) die von Shopify unter dem Shopify-DPA durchgeführte Verarbeitung, (b) die auf der Marketing-Website gethokku.com durchgeführte Verarbeitung, oder (c) die vom Händler außerhalb von Hokku durchgeführte Verarbeitung.

2. Kategorien personenbezogener Daten und betroffene Personen

In kurzen Worten: das Minimum, das erforderlich ist, damit Hokku funktioniert. Keine Werbedaten. Keine Nachverfolgung über das Notwendige hinaus.

2.1. Kategorien betroffener Personen.

• Kundschaft und Interessenten des Händlers (Endnutzer des Shops).

• Mitarbeitende und Auftragnehmer des Händlers mit Zugriff auf das Hokku-Admin.

• Der Händler selbst, sofern er Einzelunternehmer ist.

  2.2. Kategorien personenbezogener Daten, die in Hokku verarbeitet werden.

• Kundenseite (Shop des Händlers) : pseudonyme Kennungen (Shopify-Warenkorb-Token), aufgerufene oder zum Warenkorb hinzugefügte Produktreferenzen, URL der Seite, auf der ein Hokku-Widget angezeigt wird. Es werden keine kundenidentifizierenden Felder verarbeitet – weder Name noch E-Mail-Adresse, Telefonnummer, Rechnungs- oder Lieferadresse noch Kunden-ID. Keine Drittanbieter-Nachverfolgung, keine Werbe-Kennungen, kein Verhaltens-Profiling.

• Bestellseite (nach dem Kauf) : Bestellnummer, Erstellungsdatum, Währung, Bestellsumme, Summe der Rabatte, Summe der Steuern, Test-Kennzeichen und Herkunftskanal; je Bestellposition: Positions-ID, Produkt-ID, Varianten-ID, Menge und Preis; Versandzeilen – ausschließlich deren Preis, um kostenlosen Versand zu erkennen; angewendete Rabattcodes und deren Werte. Wird verwendet, um den Umsatzzuwachs bestimmten Hokku-Angeboten zuzuordnen (erweiterte Analysen – ab Starter-Tarif) und um die monatliche Anzahl der Bestellungen zu ermitteln, die den Abonnementtarif bestimmt. Weder Versanddienstleister noch Lieferadresse oder Lieferzeit werden gelesen.

• Händlerseite (Admin) : Shopify-Shop-URL, E-Mail-Adresse des Shop-Inhabers, Hokku-Admin-Benutzer-IDs, IP-Adresse und User-Agent für Sicherheitsprotokolle.

  2.3. Kategorien, die ausdrücklich NICHT verarbeitet werden.

• Namen, E-Mail-Adressen, Telefonnummern, Rechnungs- und Lieferadressen der Kundschaft – niemals; die Abfragen von Hokku an die Shopify Admin API wählen das Kundenobjekt nicht aus, und Bestell-Webhooks werden ausgewertet, ohne ein kundenidentifizierendes Feld zu lesen.

• Zahlungskartendaten – niemals (Shopify Billing übernimmt die gesamte Zahlungsabwicklung der Hokku-Abonnementgebühren).

• Kundenpasswörter oder Zugangsdaten – niemals.

• Gesundheitsdaten, biometrische Daten, religiöse, politische oder sexuelle Orientierungsdaten – niemals; sollten solche Daten von einem Händler versehentlich über benutzerdefinierte Hokku-Felder übermittelt werden, ist der Händler allein verantwortlich.

  2.4. Reichweitenmessung im Shop des Händlers.

Hokku speichert eine technische Kennung im Browser der Besucherinnen und Besucher des Händlers, um Angebotsaufrufe und Klicks zu zählen, ohne dieselbe Person doppelt zu zählen, und um einen Verkauf dem Angebot zuzuordnen, das ihn ausgelöst hat. Diese Kennung gilt nur für den Shop des Händlers, enthält keine personenbezogenen Daten (kein Name, keine E-Mail-Adresse, keine IP-Adresse) und wird nach dreizehn (13) Monaten erneuert.

In den Rohdatensätzen zu Aufrufen und Klicks wird die Besucher-Kennung nach vierundzwanzig (24) Stunden durch einen täglichen Lauf gelöscht – ihr funktionaler Nutzen dauert dreißig Minuten.

Was in den Konversionsdatensätzen erhalten bleibt, ist die Bestellnummer, und zwar notwendigerweise: Über sie erfüllt H-MOON Digital eine customers/redact-Anfrage. Was auf Anfrage löschbar bleiben muss, lässt sich nicht anonymisieren.

3. Zwecke der Verarbeitung und Rechtsgrundlage

In kurzen Worten: Wir verarbeiten Daten nur, um Hokku zu betreiben, Sie zu unterstützen und den Service zu verbessern. Ihre Rechtsgrundlage nach DSGVO ist „Vertragserfüllung“.

3.1. Zwecke. H-MOON Digital verarbeitet personenbezogene Daten in Hokku ausschließlich, um:

• (a) Hokku-Angebote (Bundles, Upsells, Cross-Sells usw.) im Shop und im Admin des Händlers anzuzeigen;

• (b) den Umsatzzuwachs den Hokku-Angeboten im Dashboard des Händlers zuzuordnen;

• (c) die monatliche Anzahl der Bestellungen des Händlers zu ermitteln, die den geltenden Hokku-Abonnementtarif bestimmt;

• (d) auf Anfrage Kundensupport zu leisten;

• (e) die Sicherheit und Integrität des Dienstes zu gewährleisten (Rate-Limiting, Missbrauchserkennung, Audit-Protokollierung);

• (f) den Dienst zu verbessern (aggregierte, nicht identifizierende Nutzungskennzahlen; A/B-Tests bei Änderungen der Benutzeroberfläche);

• (g) gesetzlichen Verpflichtungen nachzukommen (Steuerrechnungslegung über Shopify, Antworten auf DSGVO-Webhooks, gerichtliche Anordnungen).

  3.2. Rechtsgrundlage. Der Verantwortliche ist dafür zuständig, eine Rechtsgrundlage nach Artikel 6 DSGVO für die zugrundeliegende Verarbeitung der Daten seiner Kundschaft festzulegen. H-MOON Digital, als Auftragsverarbeiter, verarbeitet die Daten auf dokumentierten Weisungen des Verantwortlichen, primär auf der Grundlage „Vertragserfüllung“ (Art. 6.1.b) zwischen Verantwortlichem und H-MOON Digital und „berechtigtes Interesse“ (Art. 6.1.f) für die Sicherheitsprotokollierung.

4. Unterauftragsverarbeiter

In kurzen Worten: Eine kurze Liste EU-priorisierter Anbieter. Wir benachrichtigen Sie 30 Tage vor jeder Hinzufügung.

4.1. Zugelassene Unterauftragsverarbeiter zum 27. Juni 2026.

4.2. Die aktuelle Liste der Unterauftragsverarbeiter wird auch auf gethokku.com/de/auftragsverarbeiter veröffentlicht.

4.3. Mitteilung neuer Unterauftragsverarbeiter. H-MOON Digital informiert die Händler per E-Mail und durch Aktualisierung von /de/auftragsverarbeiter mindestens dreißig (30) Tage vor Hinzufügung eines neuen Unterauftragsverarbeiters, der die Verarbeitung personenbezogener Daten wesentlich beeinflusst. Der Händler kann der Hinzufügung schriftlich innerhalb dieser Frist von 30 Tagen widersprechen. Wenn H-MOON Digital und der Händler keine Alternative finden, ist der ausschließliche Rechtsbehelf des Händlers die Kündigung des Hokku-Abonnements, bevor der neue Unterauftragsverarbeiter mit der Verarbeitung beginnt.

4.4. Pflichten der Unterauftragsverarbeiter. Jeder Unterauftragsverarbeiter ist durch Datenschutzpflichten gebunden, die nicht weniger schützend sind als diejenigen dieses AVV.

4.5. KI-Assistent. Wenn der Händler den optionalen Hokku Assistant aktiviert – einen in die App integrierten KI-Support-Chat (siehe AGB § 14) –, werden die Inhalte der Konversationen (die Nachrichten des Händlers und die generierten Antworten) ausschließlich zur Erzeugung von Antworten durch Anthropic verarbeitet. Diese Inhalte werden dreißig (30) Tage aufbewahrt und anschließend gelöscht. Der Händler wird gebeten, keine sensiblen Daten über den Assistenten zu übermitteln.

5. Internationale Übermittlungen

In kurzen Worten: Wir bevorzugen EU-Infrastruktur. Wenn Daten die EU verlassen, sind sie durch standardisierte EU-anerkannte Rechtsmechanismen abgedeckt.

5.1. Von H-MOON Digital verarbeitete personenbezogene Daten werden vorrangig in der Europäischen Union gespeichert (Supabase Frankfurt für Anwendungsdaten; Sentry EU für die Fehlerüberwachung).

5.2. Wenn eine Übermittlung außerhalb des Europäischen Wirtschaftsraums (EWR) erforderlich ist (Vercel, US-amerikanisch inkorporiert – der Zugriff auf die Daten stellt eine Übermittlung dar, auch wenn das Hokku-Admin auf EU-Compute in Frankfurt läuft; Resend Multi-Region für E-Mail-Zustellung, Anthropic US für den optionalen KI-Assistenten), stützt sich H-MOON Digital auf:

• (a) das EU-US Data Privacy Framework (Beschluss (EU) 2023/1795) für Übermittlungen an zertifizierte US-Empfänger (Vercel);

• (b) die Standardvertragsklauseln 2021 (Beschluss (EU) 2021/914) soweit das Data Privacy Framework nicht greift (Resend, Anthropic).

  5.3. Der Händler stimmt zu, dass H-MOON Digital im Auftrag des Händlers Standardvertragsklauseln mit Unterauftragsverarbeitern in dem Umfang abschließen darf, der zur Erbringung des Dienstes erforderlich ist.

6. Von Shopify verlangte DSGVO-Webhooks

Kurz gesagt: Wenn eine Kundin, ein Kunde oder ein Shop Shopify um Löschung seiner Daten bittet, leitet Shopify die Anfrage an uns weiter. Wir führen sie sofort aus, ohne die uns eingeräumte Frist auszuschöpfen.

6.1. Wie in den Shopify DSGVO-Webhook-Verpflichtungen gefordert, implementiert H-MOON Digital die drei verpflichtenden DSGVO-Webhooks und verarbeitet sie nach folgendem Zeitplan:

6.2. Webhook-Eingänge werden zu Auditzwecken protokolliert. Der Händler kann eine Aufzeichnung der webhook-bezogenen Aktionen für seinen Shop per E-Mail an hello@gethokku.com anfordern.

7. Sicherheitsmaßnahmen

In kurzen Worten: Verschlüsselung, Zugriffskontrolle, Audit-Protokolle. Standardmäßig, ernsthaft umgesetzt.

7.1. H-MOON Digital implementiert angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich:

• Verschlüsselung in der Übertragung – TLS 1.3 für den gesamten Hokku-Datenverkehr.

• Verschlüsselung im Ruhezustand – AES-256 auf der Supabase Frankfurt Datenbank und allen Backup-Kopien.

• Zugriffskontrolle – Least-Privilege-Zugriff auf Produktionsdaten, beschränkt auf zur Vertraulichkeit verpflichtete Mitarbeitende und Auftragnehmer von H-MOON Digital, mit verpflichtender Multi-Faktor-Authentifizierung.

• Audit-Protokollierung – alle administrativen Aktionen auf Produktionsdaten werden mit Akteur, Zeitstempel und Ziel protokolliert, zwölf (12) Monate aufbewahrt.

• Schwachstellenmanagement – automatisierte Abhängigkeits-Analyse (OSV-Scanner) und Sicherheits-Patches innerhalb angemessener Fristen nach Veröffentlichung.

• Netzwerkisolation – Produktionssysteme sind von Entwicklungs- und Staging-Umgebungen isoliert.

  7.2. Die Liste der technischen und organisatorischen Maßnahmen kann sich im Laufe der Zeit weiterentwickeln; die aktuelle Version ist in diesem AVV widergespiegelt, im Einklang mit den Industriestandards.

8. Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten

In kurzen Worten: Wenn etwas mit Ihren Daten schiefläuft, benachrichtigen wir Sie innerhalb von 24 Stunden.

8.1. H-MOON Digital benachrichtigt den betroffenen Händler per E-Mail innerhalb von vierundzwanzig (24) Stunden nach Kenntniserlangung einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Händlers betrifft, mit den nach Artikel 33.3 DSGVO erforderlichen Informationen (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen).

8.2. Die Verpflichtung zur 24-Stunden-Benachrichtigung übertrifft das durch Artikel 33 DSGVO auferlegte Mindestmaß von 72 Stunden und entspricht der Verpflichtung des Shopify Partner Program Agreement § 9.14.2(vi).

8.3. Der Händler bleibt allein verantwortlich für jede Benachrichtigung, die er gegenüber betroffenen Personen oder Aufsichtsbehörden nach Artikel 33 und 34 DSGVO schuldet; H-MOON Digital leistet auf Anfrage des Händlers und zu seinen angemessenen Kosten angemessene Mitwirkung.

9. Unterstützung bei den Rechten der betroffenen Personen

In kurzen Worten: Wenn Ihre Kundschaft ihre DSGVO-Rechte ausübt, helfen wir Ihnen zu antworten.

9.1. H-MOON Digital unterstützt den Händler unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen nach Artikel 12-23 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch, automatisierte Entscheidung).

9.2. Anfragen, die direkt bei H-MOON Digital eingehen und die betroffenen Personen des Händlers betreffen, werden ohne unangemessene Verzögerung an den Händler weitergeleitet.

10. Auditrecht

In kurzen Worten: Sie können uns zu unseren Sicherheits- und Datenschutzpraktiken befragen. Wir antworten in gutem Glauben.

10.1. H-MOON Digital stellt auf angemessene schriftliche Anfrage des Händlers und nicht häufiger als einmal pro Zeitraum von zwölf Monaten (außer im Fall eines dokumentierten Vorfalls) dem Händler alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, einschließlich einer schriftlichen Zusammenfassung der Sicherheitsmaßnahmen, der Liste der Unterauftragsverarbeiter und der Position zu den SCC und zum EU-US DPF.

10.2. Für Händler mit einer begründeten, spezifischen Bedenken antwortet H-MOON Digital innerhalb von dreißig (30) Tagen auf einen dokumentierten Audit-Fragebogen. Vor-Ort-Audits werden für Self-Service-Tarife nicht angeboten; für Enterprise-Engagements können Audit-Modalitäten separat schriftlich vereinbart werden.

11. Rückgabe und Löschung der Daten bei Beendigung

Kurz gesagt: Ihre Daten leben, solange Sie Hokku nutzen – ausgenommen Ihr Austausch mit unserem Support und mit dem Hokku Assistant, der nach eigenen Fristen von selbst gelöscht wird, ohne eine Deinstallation abzuwarten. Bei der Deinstallation löschen wir sofort alles, was eine Person identifiziert, und bewahren Ihre Angebote und Auswertungen 60 Tage auf, falls Sie zurückkommen – danach löschen wir auch diese.

11.1. Solange die App installiert ist. H-MOON Digital speichert die Händlerdaten so lange, wie der Händler Hokku nutzt, denn seine eigenen Auswertungen – einschließlich der Gesamtzahlen seit Beginn – beruhen darauf.

Für den Austausch mit unserem Support und mit dem Hokku Assistant gelten eigene Aufbewahrungsfristen, auch solange die App installiert ist: H-MOON Digital löscht jedes Support-Ticket zwölf (12) Monate nach dem Absenden und entfernt die darin angegebene Antwortadresse nach neunzig (90) Tagen; dieselbe Frist von neunzig (90) Tagen gilt für Nachrichten, die an support@gethokku.com eingehen. Unterhaltungen mit dem Hokku Assistant werden nach dreißig (30) Tagen gelöscht. Der Händler kann außerdem jederzeit in den Einstellungen die sofortige Löschung seiner Daten beantragen; diese umfasst auch seine Support-Tickets und seine Unterhaltungen mit dem Hokku Assistant.

11.2. Nach der Deinstallation – was sofort gelöscht wird. Shopify benachrichtigt H-MOON Digital über den Webhook shop/redact 48 Stunden nach der Deinstallation. Bei Eingang löscht H-MOON Digital aus den aktiven Hokku-Systemen diejenigen Daten, die eine Person identifizieren – Zugriffstoken, Support-Tickets und Unterhaltungen mit dem Hokku Assistant –, und anonymisiert die in den Auswertungsdatensätzen verbleibenden Bestellkennungen, ohne zusätzliche Verzögerung. Über diesen Zeitpunkt hinaus werden keine personenbezogenen Daten von Käuferinnen und Käufern aufbewahrt.

11.3. Nach der Deinstallation – was aufbewahrt wird, und wie lange. Die eigene Konfiguration des Händlers (Angebote und Einstellungen) sowie seine aggregierten Auswertungen bleiben sechzig (60) Tage ab der Deinstallation in den aktiven Systemen erhalten, damit ein Händler, der innerhalb dieser Frist erneut installiert, seine Arbeit wiederfindet. Die Ausspielung der Angebote endet in jedem Fall mit der Deinstallation. Nach Ablauf dieser Frist löscht ein automatischer Bereinigungslauf diese Daten endgültig; derselbe Lauf greift auch dann, wenn der Webhook shop/redact nie zugestellt wird.

11.4. Sicherungskopien. Die verschlüsselten Sicherungskopien unseres Hosting-Anbieters werden im Rahmen rollierender Backup-Zyklen bereinigt, wobei die vollständige Bereinigung innerhalb weiterer dreißig (30) Tage abgeschlossen ist; nach §11.2 oder §11.3 gelöschte Daten verschwinden zum selben Zeitpunkt daraus.

11.5. Auf schriftliche Anfrage, jederzeit solange die App installiert ist, stellt H-MOON Digital einen strukturierten Export der Händlerdaten in einem gängigen, maschinenlesbaren Format bereit. Da der Zugang des Händlers mit der Deinstallation endet und die aufbewahrten Daten sechzig (60) Tage später gelöscht werden, sollte der Händler einen Export vor dem Deinstallieren anfordern.

11.6. H-MOON Digital darf Daten nach Beendigung nur insoweit aufbewahren, wie dies nach geltendem Recht erforderlich ist (Buchhaltung, steuerliche Pflichten); in diesem Fall ist die Aufbewahrung auf die gesetzliche Mindestdauer begrenzt und die Daten werden von der aktiven Verarbeitung getrennt.

12. Laufzeit und Fortgeltung

In kurzen Worten: Dieser AVV läuft, solange Ihr Hokku-Abonnement läuft. Die Datenpflichten gelten danach fort.

12.1. Dieser AVV tritt mit der ersten Installation von Hokku in Kraft und bleibt gültig, solange H-MOON Digital personenbezogene Daten im Auftrag des Händlers verarbeitet.

12.2. Die Abschnitte 5 (Übermittlungen), 7 (Sicherheit), 8 (Benachrichtigung), 10 (Audit), 11 (Rückgabe und Löschung) und 13 (Allgemeine Bestimmungen) gelten nach der Kündigung fort, soweit dies zur Erfüllung der Lösch- und Mitwirkungspflichten erforderlich ist.

13. Allgemeine Bestimmungen

13.1. Anwendbares Recht und Gerichtsstand. Dieser AVV unterliegt demselben Recht und derselben Gerichtsbarkeit wie die AGB (französisches Recht, ausschließlicher Gerichtsstand Paris – siehe AGB § 12).

13.2. Rangfolge. Bei Widersprüchen zwischen diesem AVV und den AGB in Bezug auf die Verarbeitung personenbezogener Daten geht dieser AVV vor.

13.3. Übersetzungen. Dieser AVV ist in englischer Sprache (kanonische Fassung) veröffentlicht, ergänzt um Höflichkeitsübersetzungen in andere Sprachen. Bei substanziellen Abweichungen zwischen der englischen Fassung und einer Übersetzung hat die englische Fassung unter gethokku.com/dpa Vorrang. Ausnahme – sofern eine Übersetzung Klauseln oder Klarstellungen enthält, die durch zwingendes lokales Recht der Jurisdiktion dieser Übersetzung vorgeschrieben sind (beispielsweise Verweise auf lokale Datenschutzaufsichtsbehörden oder formelle Mitteilungsformate), gelten diese lokal vorgeschriebenen Bestimmungen innerhalb dieser Jurisdiktion und stellen keine „Abweichung“ im Sinne dieser Klausel dar. Die verfügbaren Sprachen sind am Fuß dieses Dokuments aufgeführt.

13.4. Änderungen. Wesentliche Änderungen dieses AVV werden den Händlern unter den gleichen Bedingungen wie Änderungen der AGB mitgeteilt (siehe AGB § 11).

13.5. Kontakt. Datenschutzanfragen, Widersprüche gegen Unterauftragsverarbeiter, Anfragen betroffener Personen, Audit-Anfragen und Verletzungsmeldungen: hello@gethokku.com. Die Betreffzeile [DPA] ist für das Routing willkommen.

Zuletzt aktualisiert: 5. August 2026.