Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Bereitstellung der NorthProfit-Plattform für eCommerce-Profit-Analytics, Buchhaltungs-Export, Rechnungs-/Mahnwesen, Marketing-Tracking und Steuerberater-Zusammenarbeit. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags zwischen Verantwortlichem und NorthProfit.

2. Art und Zweck der Verarbeitung

NorthProfit verarbeitet die folgenden Datenkategorien im Auftrag des Verantwortlichen:

• Bestellungen, Rückerstattungen und Kunden-Stammdaten aus den jeweils verfügbaren und verbundenen Shops und Marktplätzen
• Werbe-Performance-Daten aus verbundenen Plattformen (Meta, Google, TikTok)
• Tracking-Events bei aktivem Web-Pixel (IP-Adresse bei neuen Einträgen nur gekürzt gespeichert, Roh-Ereignisse bis zu einem Löschauftrag; Weitergabe an Meta und TikTok nur für Endkunden mit Einwilligung)
• Zuordnung je Bestellung bei aktivem Web-Pixel (zu jeder bezahlten Bestellung: Bestellnummer, Kaufzeitpunkt, Kaufwert, Herkunft der Zuordnung und Klick-Kennungen aus der Einstiegs- oder Herkunftsadresse der Bestellung; nur bei Einwilligung des Endkunden im Pixel zusätzlich ein Kontaktpfad mit höchstens 20 Kontakten: Zeitpunkt, Kanal, Quelle und Medium, Kampagne, Anzeigengruppen- und Anzeigen-Kennung, Art und Wert der Klick-Kennung; ohne IP-Adresse, User-Agent, Besucher- oder Sitzungskennung und Gerätemerkmale; Speicherdauer wie die Bestelldaten)
• Buchhaltungs- und Rechnungsdaten (Rechnungen, Belege, OSS-Reports, DATEV-Exporte)
• Zugriffs-/Mandantendaten aus der Steuerberater-Zusammenarbeit (sofern das StB-Portal genutzt wird)

3. Kategorien betroffener Personen

• Endkunden und Käufer des Verantwortlichen
• Website- und Werbe-Kontakte (bei aktivem Web-Pixel)
• Beschäftigte und Nutzer des Verantwortlichen
• Steuerberater:innen des Verantwortlichen (bei Nutzung des StB-Portals)
• ggf. Lieferanten des Verantwortlichen

4. Pflichten von NorthProfit als Auftragsverarbeiter

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen; NorthProfit informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt (Art. 28 Abs. 3 UAbs. 2)
• Verpflichtung aller mit der Verarbeitung betrauten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
• Einhaltung geeigneter technisch-organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Ziffer 5)
• Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenrechten (Art. 12–22 DSGVO) sowie bei der Einhaltung von Art. 32–36 DSGVO, insbesondere Datenschutz-Folgenabschätzung (Art. 35) und vorheriger Konsultation (Art. 36), unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen (Art. 33 Abs. 2 DSGVO)
• Nach Wahl des Verantwortlichen Löschung oder Rückgabe aller personenbezogenen Daten nach Abschluss der Verarbeitung, einschließlich Löschung vorhandener Kopien. Für übrige Daten, die nicht unter die nachfolgende Shopify-Regel fallen, gilt eine Frist von 90 Tagen nach Vertragsende, vorbehaltlich der nachstehend eng begrenzten gesetzlichen Ausnahme.
• Vorrangige Shopify-Regel: Sämtliche Shopify-Händlerdaten einschließlich Originalen, Kopien und Reproduktionen werden spätestens innerhalb von 30 Tagen gelöscht, wenn (a) der Händler die App deinstalliert, (b) die Daten für die App-Leistungen gegenüber dem betreffenden Händler nicht mehr erforderlich sind, (c) sie gegebenenfalls für Platform Services gegenüber Shopify nicht mehr erforderlich sind oder (d) NorthProfit eine durchsetzbare Löschanforderung des Händlers, eines Kunden oder von Shopify erhält. Die Frist beginnt mit dem jeweils eingetretenen Auslöser; Vertragsende oder weitere Ereignisse starten sie nicht neu. Eine Rückgabe der Daten verlängert diese Löschfrist nicht.
• Eine Abweichung von der Löschpflicht oder ihrer Frist ist nur zulässig, soweit zwingendes anwendbares Recht dies für konkret betroffene Daten verlangt. Sie gilt ausschließlich für diese Daten und nur für die gesetzlich erforderliche Dauer; übrige Daten und Kopien sind fristgerecht zu löschen.
• Rechtsarchiv für finalisierte Buchhaltungsdaten: Rechnungen, die der Verantwortliche über NorthProfit erstellt und festgeschrieben hat, einschließlich der darin enthaltenen Kundendaten, zugehöriger Zahlungen, Mahnungen, Dokumentenstände und Änderungsprotokolle sowie vom Verantwortlichen archivierter Buchhaltungsbelege (z. B. DATEV-Exporte, eingegangene Belege und Eingangsrechnungen), verwahrt NorthProfit im Auftrag und auf Weisung des Verantwortlichen auch nach einer Deinstallation oder einer Löschanforderung in einem gesonderten, zugriffsbeschränkten Rechtsarchiv, solange die gesetzliche Aufbewahrungsfrist des Verantwortlichen läuft. Sie beträgt für Rechnungen und sonstige Buchungsbelege (auch Belegpakete und eingegangene Rechnungen) grundsätzlich 8 Jahre (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB, für Rechnungen auch § 14b UStG), für DATEV-Buchungsstapel und -Exporte, soweit sie Bücher oder Aufzeichnungen sind, 10 Jahre (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB), jeweils ab Ende des Kalenderjahres, in dem der Beleg entstanden ist bzw. der Buchungszeitraum endet (bei späteren Eintragungen: die letzte Eintragung erfolgt). Zugehörige Zahlungs-, Mahn-, Dokumenten-, Wareneingangs- und Bestandsdaten sowie Änderungsprotokolle bleiben so lange wie der Beleg, zu dem sie gehören; Bestellungen, auf die eine finalisierte Rechnung verweist, bleiben nur als Verweis ohne Kundendaten, Adressen und Rohdaten. Die Daten werden dort ausschließlich zu diesem Zweck gespeichert und nach Ablauf der Frist gelöscht, soweit keine gesetzliche Verlängerung besteht (z. B. eine noch offene steuerliche Festsetzungsfrist oder eine laufende Prüfung). Der Verantwortliche kann sie vor der Deinstallation über die Export-Funktionen des Dienstes sichern. Alle übrigen Daten werden nach der vorstehenden Frist von 30 Tagen gelöscht.

5. Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: TLS in Transit, AES-256 at-Rest für Secrets/Tokens
• Zugriffskontrolle: rollenbasiert, Least-Privilege, strikte Mandanten-/Org-Trennung
• Pseudonymisierung, soweit für den Verarbeitungszweck möglich
• Backup- und Wiederherstellungskonzept; Löschkonzept nach Fristen
• Protokollierung, Härtung der Server (Firewall, Fail2ban, Malware-Scan) und regelmäßige Updates

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zum Einsatz der nachstehend gelisteten Unterauftragsverarbeiter. NorthProfit informiert den Verantwortlichen mindestens 14 Tage vor Aktivierung eines neuen oder geänderten Unterauftragsverarbeiters (z.B. per E-Mail oder Statusseite); der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag kündigen. NorthProfit verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

Diese Genehmigung betrifft nur die nachstehend ausdrücklich beschriebenen Verarbeitungen im Händlerauftrag. NorthProfits eigene Abonnementabrechnung sowie lediglich verbundene Händler-, Zahlungs-, Werbe- und E-Mail-Plattformen werden dadurch nicht automatisch zu Unteraufträgen. Deren Rolle richtet sich nach dem jeweiligen Verarbeitungsvorgang und den einschlägigen Verträgen. Die breitere Empfängerliste der Datenschutzerklärung (Ziffer 13) informiert auch über diese Dienste. Beim selben Anbieter sind Verarbeitungen für eigene Zwecke und solche im Händlerauftrag getrennt zu betrachten.

• STRATO AG — Hosting der Anwendung und Datenbank für die Verarbeitung im Händlerauftrag, Deutschland (EU)
• Hetzner Online GmbH — Speicherung der vorab verschlüsselten Sicherungen von Daten im Händlerauftrag, Deutschland (EU)
• Plus Five Five, Inc. (Resend) — Versand vom Händler veranlasster E-Mails (Rechnungen, Mahnungen, Bestätigungen, Datenexport), soweit dabei personenbezogene Daten im Händlerauftrag verarbeitet werden, USA (SCC; DPF ergänzend)
• OpenAI Ireland Ltd. — Verfeinerung von North-AI-Antworten und angeforderte KI-Sichtbarkeitsprüfungen, soweit dabei personenbezogene Daten im Händlerauftrag verarbeitet werden, EU (Irland) + USA (SCC)
• DataForSEO (Anbieter der Messdaten für die Sichtbarkeitsmessung) — Durchführung ausdrücklich gestarteter Sichtbarkeitsmessungen (Suchbegriffe, Ort, Sprache), soweit dabei personenbezogene Daten im Händlerauftrag verarbeitet werden, Sitz: DataForSEO OÜ, Tallinn, Estland (EU); Grundlage: Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage der Auftragsverarbeitungsvereinbarung von DataForSEO (Teil der Nutzungsbedingungen, Fassung vom 12.06.2026). Der Anbieter sitzt in der EU. Für Unterauftragsverarbeiter außerhalb der EU, etwa in den USA, nutzt DataForSEO nach eigenen Angaben Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder Angemessenheitsbeschlüsse.

7. Übermittlung in Drittländer

Soweit Unterauftragsverarbeiter personenbezogene Daten in einem Drittland (insb. USA) verarbeiten, erfolgt dies nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO — EU-Standardvertragsklauseln (SCC 2021/914) und, soweit zertifiziert, dem EU-US Data Privacy Framework. Die Weisungsbindung des Verantwortlichen gilt auch für Drittlandübermittlungen; Ausnahmen bestehen nur bei zwingender Rechtsvorschrift und, soweit gesetzlich zulässig, nach vorheriger Mitteilung. Der Transfermechanismus je Empfänger ergibt sich aus der Standort-Angabe in Ziffer 6.

8. Kontrollrechte des Verantwortlichen

Der Verantwortliche kann die Einhaltung der Pflichten aus diesem AVV überprüfen. NorthProfit stellt auf Anfrage die erforderlichen Informationen und einen Standard-Audit-Bericht zur Verfügung. Vor-Ort-Audits sind nach angemessener Vorankündigung und ohne Störung des Betriebs möglich.

9. Haftung und Schlussbestimmungen

Es gilt die gesetzliche Haftungsregelung gemäß Art. 82 DSGVO. Mündliche Nebenabreden bestehen nicht. Bei Unwirksamkeit einzelner Klauseln bleibt der übrige Vertrag wirksam; an ihre Stelle treten die gesetzlichen Vorschriften.

Gerichtsstand: Sitz von NorthProfit (Düsseldorf), soweit gesetzlich zulässig. Anwendbares Recht: Deutschland.