MCPify für WooCommerce

Auftragsverarbeitungsvertrag

Stand: 2026-11-03

Dieser Auftragsverarbeitungsvertrag („AVV“) nach Art. 28 DSGVO ist Teil der Nutzungsbedingungen zwischen dem Händler, der einen WooCommerce-Shop mit MCPify für WooCommerce verbindet („Verantwortlicher“), und MCPify, Emsdettener Straße 10, 48268 Greven, Deutschland („Auftragsverarbeiter“, „wir“). Er gilt, sobald der Händler MCPify mit personenbezogenen Daten aus seinem Shop nutzt.

1. Gegenstand, Dauer und Zweck

Wir verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen, um MCPify bereitzustellen: Daten zwischen dem WooCommerce-Shop des Verantwortlichen und den KI-Clients, die er verbindet, weiterreichen, die Regeln seiner Verbindungen durchsetzen und das Audit-Log führen. Die Verarbeitung dauert, solange der Shop verbunden ist, gefolgt von der Löschung nach Abschnitt 9.

2. Art der Daten und betroffene Personen

  • Kunden des Shops des Verantwortlichen: Kunden- und Bestell-IDs und, nur wenn der Verantwortliche Kundendaten für eine Verbindung einschaltet, Namen, E-Mail-Adressen, Telefonnummern, Adressen, IP-Adressen und Bestelldetails, die an den KI-Client weitergereicht werden.
  • WordPress-Benutzer des Verantwortlichen, die MCPify nutzen oder einen KI-Client verbinden: Name, E-Mail-Adresse, WordPress-Benutzer-ID und Rolle.

Namen, E-Mail-Adressen, Telefonnummern und Adressen von Kunden werden nicht gespeichert: Sie werden entfernt, bevor die Argumente einer Anfrage ins Audit-Log geschrieben werden. Für sichere Wiederholungen gespeicherte Antworten werden nach 24 Stunden gelöscht.

3. Weisungen

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen der Verbindungen in MCPify (Rechte, Limits, Schalter für Kundendaten, Freigaben direkter REST-API-Anfragen) und die Anfragen der KI-Clients, die der Verantwortliche verbindet, sind solche Weisungen, ebenso das Hinzufügen des Shops zum Workspace einer Agentur (Agency-Plan): Die Agentur sieht dann die Namen der Verbindungen, die Nutzung und die Aktivität des Shops und kann sein Audit-Log exportieren, bis der Shop den Workspace verlässt. Wir informieren den Verantwortlichen, wenn wir meinen, dass eine Weisung gegen Datenschutzrecht verstößt.

4. Vertraulichkeit

Alle, die wir zur Verarbeitung der Daten befugen, sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen, die auf unserer Sicherheitsseite beschrieben sind; sie ist Teil dieses AVV. Wir dürfen sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter:

  • Render Services, Inc. (region Frankfurt, EU): Hosting des Dienstes und seiner Datenbank, Region Frankfurt (EU).

Über geplante Änderungen informieren wir den Verantwortlichen mindestens 30 Tage vorher per E-Mail; er kann aus wichtigen datenschutzrechtlichen Gründen widersprechen. Der Hosting-Anbieter des Verantwortlichen und die Anbieter der KI-Clients, die er wählt, sind nicht unsere Unterauftragsverarbeiter: Mit ihnen hat der Verantwortliche eigene Vereinbarungen.

7. Unterstützung des Verantwortlichen

Wir helfen dem Verantwortlichen, Anfragen betroffener Personen zu beantworten und seine Pflichten nach Art. 32–36 DSGVO zu erfüllen, soweit unser Teil der Verarbeitung das zulässt.

8. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen den Verantwortlichen unverzüglich, spätestens 48 Stunden nachdem wir von einer Verletzung erfahren, die seine Daten betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen, damit er seine eigene 72-Stunden-Frist einhalten kann. Das Vorgehen beschreibt die Sicherheitsseite.

9. Löschung

Einträge im Audit-Log werden nach 7 Tagen (Free), 30 Tagen (Starter) oder 365 Tagen (Pro und Agency) gelöscht. Trennt der Verantwortliche den Shop oder deaktiviert er das Plugin, endet der Zugriff der KI-Clients sofort, und der REST-API-Schlüssel wird gelöscht; alle anderen Daten des Shops werden 30 Tage später gelöscht, es sei denn, der Shop wird wieder verbunden, auf Wunsch auch früher. Datenbanksicherungen werden binnen 3 Tagen überschrieben.

10. Kontrollen

Auf Anfrage stellen wir die Informationen bereit, die nötig sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen, und ermöglichen Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, mit angemessener Vorankündigung, während der Geschäftszeiten und ohne Offenlegung der Daten anderer Kunden.

11. Schlussbestimmungen

Die Haftung richtet sich nach den Nutzungsbedingungen. Widerspricht dieser AVV den Nutzungsbedingungen, geht dieser AVV für die Verarbeitung personenbezogener Daten vor. Fragen: Legal@getmcpify.app.