Weiterübertragungen personenbezogener Daten

Damit wir dir unsere Services effektiv bereitstellen können, werden die personenbezogenen Daten, die du deiner Shopify-Vertragspartei zur Verfügung stellst, an die folgenden Empfänger übertragen:

• bestimmte andere Shopify-Einheiten und
• sorgfältig ausgewählte und vertrauenswürdige Unterauftragsverarbeiter

Dieser Abschnitt enthält Informationen darüber, wie Weiterübertragungen geregelt sind.

Weiterübermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum (EWR) und dem Vereinigten Königreich (VK)

Shopify International Limited, ein in Irland registriertes Unternehmen, ist die primäre Vertragspartei von Shopify für Händler in der EMEA-Region (Europa, Naher Osten und Afrika) und LATAM (Lateinamerika). International Limited fungiert außerdem als Hauptniederlassung von Shopify für die Zwecke der Datenschutz-Grundverordnung (DSGVO).

Die DSGVO und ihr britisches Äquivalent schreiben vor, dass bei der Weitergabe personenbezogener Daten an eine Stelle außerhalb des EWR und des Vereinigten Königreichs im Zielland ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet sein muss. Aus diesem Grund müssen solche internationalen Datenübertragungen durch starke rechtliche Mechanismen geschützt werden.

Wie Shopify die DSGVO-Anforderungen für internationale Datenübertragungen erfüllt

Um diese Anforderung zu erfüllen, stützt sich Shopify auf den Angemessenheitsbeschluss der Europäischen Kommission für Kanada, wenn Shopify International Limited personenbezogene Daten an die in Kanada registrierte Muttergesellschaft Shopify Inc. übermittelt. Mehr Informationen zu Angemessenheitsbeschlüssen.

Darüber hinaus verwendet Shopify umfassende Auftragsverarbeitungsvereinbarungen (AVV), die die neueste, von der Europäischen Kommission genehmigte Version der Standardvertragsklauseln (SCCs) enthalten, um Folgendes zu regeln:

• jegliche Übermittlungen innerhalb der Shopify-Gruppe, und
• Weiterübermittlungen an unsere Unterauftragsverarbeiter

Wir prüfen unsere Unterauftragsverarbeiter sorgfältig, um sicherzustellen, dass sie über angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten verfügen und entsprechende Folgenabschätzungen für die Datenübermittlung durchführen. Mehr Informationen zu SCCs

Sowohl der Angemessenheitsbeschluss als auch die SCCs werden von den Datenschutzbehörden im EWR und im Vereinigten Königreich als rechtlich gültige und ausreichende Übermittlungsmechanismen angesehen.

Als zusätzliche Maßnahme hat Shopify auch verbindliche Unternehmensregeln beantragt, um die Übermittlungen innerhalb der Shopify-Gruppe weiter zu regeln. Dieser Antrag wurde bei der für Shopify im Rahmen der DSGVO federführenden Aufsichtsbehörde, der irischen Datenschutzkommission, eingereicht. Diese werden ein zusätzlicher rechtlicher Übermittlungsmechanismus sein, um die Übermittlungen innerhalb unserer Unternehmensgruppe abzusichern. Wir befinden uns in der Endphase dieses Antragsverfahrens und gehen davon aus, dass die Genehmigung in Kürze erfolgen wird.

Weiterübermittlungen personenbezogener Daten aus allen anderen Regionen

Bestimmte Datenschutzgesetze in anderen Gerichtsbarkeiten als dem EWR und dem Vereinigten Königreich erfordern ebenfalls besondere Schutzmaßnahmen bei internationalen Übermittlungen personenbezogener Daten. Um diese Anforderungen zu erfüllen, enthalten die AVVs von Shopify, die die Übermittlungen innerhalb der Shopify-Gruppe regeln, und die AVVs, die Weiterübermittlungen an unsere Unterauftragsverarbeiter regeln, angemessene Schutzmaßnahmen, um die Einhaltung der jeweils geltenden Datenschutzgesetze in Kanada, den Vereinigten Staaten (USA) und Singapur zu gewährleisten. Wir aktualisieren und pflegen diese AVVs auch nach Bedarf.

Datenspeicherorte

Shopify verteilt den Speicher dynamisch auf mehrere Regionen der Google Cloud Platform, um eine zuverlässige und skalierbare Infrastruktur zu gewährleisten, die unvorhersehbare Volumen in unserer gesamten Händlerdatenbank bewältigen kann. Wir müssen in der Lage sein, Daten geografisch zu verschieben, um unsere Dienste zu betreiben, und wir haben Mechanismen eingerichtet, um dies in Übereinstimmung mit den geltenden Gesetzen und Vorschriften, einschließlich der DSGVO, zu tun.

Shopify speichert nun bestimmte personenbezogene Daten von Händlern und Kundschaft in Europa (nämlich im EWR, im Vereinigten Königreich und/oder in der Schweiz), und zwar wie folgt:

• Neue Händler in Europa nutzen automatisch diese neue Infrastruktur und ihre Shop-Daten, Bestelldaten und personenbezogenen Kundendaten werden nun standardmäßig in Europa im Ruhezustand gespeichert.
• Alle bestehenden Shopify-Funktionen werden weiterhin funktionieren.
• Auch wenn personenbezogene Daten der Kundschaft von Händlern in Europa gespeichert werden, werden wir für die Verarbeitung dieser personenbezogenen Daten auf internationale Datenübertragungen zurückgreifen.

Wie Shopify seine Unterauftragsverarbeiter auswählt

In Übereinstimmung mit der DSGVO und anderen geltenden Datenschutzgesetzen ergreift Shopify eine Reihe von Best-Practice-Maßnahmen bei der Beauftragung von Unterauftragsverarbeitern:

• Wir wählen die Unternehmen, mit denen wir zusammenarbeiten, sorgfältig aus.
• Wir verwenden nur eine begrenzte Anzahl von externen Dienstleistern.
• Wir bestehen darauf, dass Unterauftragsverarbeiter eine umfassende AVV unterzeichnen, die SCCs sowie angemessene Schutzmaßnahmen enthält, um die Einhaltung der Datenschutzgesetze in Kanada, den USA und Singapur zu gewährleisten.
• Wir beschränken den Einsatz unserer Unterauftragsverarbeiter auf technische Dienste: Cloud-Hosting, Fehlerprotokollierung, Lastausgleich, Inhaltszustellung, Kartenzustellung, Datenanalyse und interne Protokollierung (Protokolldateien).
• Die Übertragung erfolgt auf kontinuierlicher und sicherer Basis.
• Es werden keine sensiblen oder besonderen Kategorien personenbezogener Daten absichtlich verarbeitet, es sei denn, der Verantwortliche weist dies an.
• Wir überprüfen die Datenschutz- und Sicherheitsprogramme unserer Unterauftragsverarbeiter sorgfältig.

Mehr Informationen zu den Haupt-Unterauftragsverarbeitern von Shopify.