Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Bereitstellung der NorthProfit-Plattform für eCommerce-Profit-Analytics, Buchhaltungs-Export, Rechnungs-/Mahnwesen, Marketing-Tracking und Steuerberater-Zusammenarbeit. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags zwischen Verantwortlichem und NorthProfit.

2. Art und Zweck der Verarbeitung

NorthProfit verarbeitet die folgenden Datenkategorien im Auftrag des Verantwortlichen:

• Bestellungen, Rückerstattungen und Kunden-Stammdaten aus den jeweils verfügbaren und verbundenen Shops und Marktplätzen
• Werbe-Performance-Daten aus verbundenen Plattformen (Meta, Google, TikTok)
• Tracking-Events bei aktivem Web-Pixel (IP-Adresse bei neuen Einträgen nur gekürzt gespeichert, Roh-Ereignisse bis zu einem Löschauftrag; Weitergabe an Meta, Google, TikTok und Pinterest nur für Endkunden mit Einwilligung)
• Zuordnung je Bestellung bei aktivem Web-Pixel (zu jeder bezahlten Bestellung: Bestellnummer, Kaufzeitpunkt, Kaufwert, Herkunft der Zuordnung und Klick-Kennungen aus der Einstiegs- oder Herkunftsadresse der Bestellung; nur bei Einwilligung des Endkunden im Pixel zusätzlich ein Kontaktpfad mit höchstens 20 Kontakten: Zeitpunkt, Kanal, Quelle und Medium, Kampagne, Anzeigengruppen- und Anzeigen-Kennung, Art und Wert der Klick-Kennung; ohne IP-Adresse, User-Agent, Besucher- oder Sitzungskennung und Gerätemerkmale; Speicherdauer wie die Bestelldaten)
• Buchhaltungs- und Rechnungsdaten (Rechnungen, Belege, OSS-Reports, DATEV-Exporte)
• Zugriffs-/Mandantendaten aus der Steuerberater-Zusammenarbeit (sofern das StB-Portal genutzt wird)

3. Kategorien betroffener Personen

• Endkunden und Käufer des Verantwortlichen
• Website- und Werbe-Kontakte (bei aktivem Web-Pixel)
• Beschäftigte und Nutzer des Verantwortlichen
• Steuerberater:innen des Verantwortlichen (bei Nutzung des StB-Portals)
• ggf. Lieferanten des Verantwortlichen

4. Pflichten von NorthProfit als Auftragsverarbeiter

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen; NorthProfit informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt (Art. 28 Abs. 3 UAbs. 2)
• Verpflichtung aller mit der Verarbeitung betrauten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
• Einhaltung geeigneter technisch-organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Ziffer 5)
• Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenrechten (Art. 12–22 DSGVO) sowie bei der Einhaltung von Art. 32–36 DSGVO, insbesondere Datenschutz-Folgenabschätzung (Art. 35) und vorheriger Konsultation (Art. 36), unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen (Art. 33 Abs. 2 DSGVO)
• Nach Wahl des Verantwortlichen Löschung oder Rückgabe aller personenbezogenen Daten nach Abschluss der Verarbeitung, einschließlich Löschung vorhandener Kopien. Für übrige Daten, die nicht unter die nachfolgende Shopify-Regel fallen, gilt eine Frist von 90 Tagen nach Vertragsende, vorbehaltlich der nachstehend eng begrenzten gesetzlichen Ausnahme.
• Vorrangige Shopify-Regel: Sämtliche Shopify-Händlerdaten einschließlich Originalen, Kopien und Reproduktionen werden spätestens innerhalb von 30 Tagen gelöscht, wenn (a) der Händler die App deinstalliert, (b) die Daten für die App-Leistungen gegenüber dem betreffenden Händler nicht mehr erforderlich sind, (c) sie gegebenenfalls für Platform Services gegenüber Shopify nicht mehr erforderlich sind oder (d) NorthProfit eine durchsetzbare Löschanforderung des Händlers, eines Kunden oder von Shopify erhält. Die Frist beginnt mit dem jeweils eingetretenen Auslöser; Vertragsende oder weitere Ereignisse starten sie nicht neu. Eine Rückgabe der Daten verlängert diese Löschfrist nicht. Für Sicherungskopien gilt der Punkt „Sicherungskopien“.
• Eine Abweichung von der Löschpflicht oder ihrer Frist ist nur zulässig, soweit zwingendes anwendbares Recht dies für konkret betroffene Daten verlangt. Sie gilt ausschließlich für diese Daten und nur für die gesetzlich erforderliche Dauer; übrige Daten und Kopien sind fristgerecht zu löschen.
• Rechtsarchiv für finalisierte Buchhaltungsdaten: Rechnungen, die der Verantwortliche über NorthProfit erstellt und festgeschrieben hat, einschließlich der darin enthaltenen Kundendaten, zugehöriger Zahlungen, Mahnungen, Dokumentenstände und Änderungsprotokolle sowie vom Verantwortlichen archivierter Buchhaltungsbelege (z. B. DATEV-Exporte, eingegangene Belege und Eingangsrechnungen), verwahrt NorthProfit im Auftrag und auf Weisung des Verantwortlichen auch nach einer Deinstallation, einer Löschanforderung oder der Löschung des Kontos in einem gesonderten, zugriffsbeschränkten Rechtsarchiv, solange die gesetzliche Aufbewahrungsfrist des Verantwortlichen läuft. Sie beträgt für Rechnungen und sonstige Buchungsbelege (auch Belegpakete und eingegangene Rechnungen) grundsätzlich 8 Jahre (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB, für Rechnungen auch § 14b UStG), für DATEV-Buchungsstapel und -Exporte, soweit sie Bücher oder Aufzeichnungen sind, 10 Jahre (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB), jeweils ab Ende des Kalenderjahres, in dem der Beleg entstanden ist bzw. der Buchungszeitraum endet (bei späteren Eintragungen: die letzte Eintragung erfolgt). Zugehörige Zahlungs-, Mahn-, Dokumenten-, Wareneingangs- und Bestandsdaten sowie Änderungsprotokolle bleiben so lange wie der Beleg, zu dem sie gehören; Bestellungen, auf die eine finalisierte Rechnung verweist, bleiben nur als Verweis ohne Kundendaten, Adressen und Rohdaten. Die Daten werden dort ausschließlich zu diesem Zweck gespeichert und nach Ablauf der Frist gelöscht, soweit keine gesetzliche Verlängerung besteht (z. B. eine noch offene steuerliche Festsetzungsfrist oder eine laufende Prüfung). Der Verantwortliche kann sie vor der Deinstallation über die Export-Funktionen des Dienstes sichern. Alle übrigen Daten werden nach der vorstehenden Frist von 30 Tagen gelöscht. Die Verwahrung im Rechtsarchiv erfolgt auf Weisung des Verantwortlichen; er kann stattdessen verlangen, dass NorthProfit die Unterlagen exportiert und anschließend löscht.
• Sicherungskopien: Verschlüsselte Sicherungen, die NorthProfit betreibt (tägliche Datenbank-Sicherung, Wiederherstellungsarchiv und Dateisicherung, lokal und bei Hetzner), werden täglich automatisch gelöscht, sobald sie älter als 22 Tage sind; keine dieser Sicherungen ist damit im Regelbetrieb älter als 23 Tage. Bis dahin dienen sie ausschließlich der Wiederherstellung. Nach einer Wiederherstellung werden bereits erledigte Löschaufträge erneut angewendet, bevor die wiederhergestellten Daten genutzt werden. Daten, deren Löschung nach den vorstehenden Fristen geschuldet ist, löscht NorthProfit je nach Auslöser aus den aktiven Systemen: bei Löschung des Kontos Zugang und Anmeldedaten sofort mit der Bestätigung, bei Schließung des Workspaces (Löschung des Kontos der letzten aktiven Person) die Geschäftsdaten des Workspaces (Bestellungen, Kunden- und Rohdaten, Tracking) nach 6 Tagen in einem stündlichen Löschlauf, wobei finalisierte Rechnungen im Rechtsarchiv bleiben (siehe oben); bei Löschaufträgen von Shopify (shop/redact, customers/redact) und von Meta unverzüglich nach Eingang des Auftrags (Shopify sendet shop/redact nach einer Deinstallation erst nach etwa 48 Stunden); bei Amazon-Verbindungen nach einer Karenzzeit von derzeit 6 Tagen nach der Trennung in einem stündlichen Löschlauf, der große Datenmengen in mehreren Läufen abarbeitet; bei TikTok-Shop-Verbindungen nach einer Karenzzeit von 6 Tagen nach der Trennung durch den Händler bzw. unverzüglich nach einem von TikTok bestätigten Widerruf der Autorisierung, in einem Löschlauf, der große Datenmengen in mehreren Läufen abarbeitet (finalisierte Rechnungen bleiben im Rechtsarchiv, siehe oben); bei allen übrigen verbundenen Diensten auf Anforderung des Verantwortlichen binnen 7 Tagen nach Eingang der Anforderung. Sicherungen, die diese Daten noch enthalten, sind im Regelbetrieb höchstens 23 Tage später gelöscht. Auch alle Kopien in Sicherungen sind damit im Regelbetrieb spätestens 30 Tage nach dem Auslöser gelöscht (Löschung aus den aktiven Systemen je nach Auslöser sofort, nach der Karenzzeit von derzeit 6 Tagen zuzüglich höchstens einem Tag Löschlauf oder binnen 7 Tagen nach Anforderung, danach höchstens 23 Tage). Die 30 Tage der Shopify-Regel laufen ab der Deinstallation. Die Zusage betrifft die von NorthProfit betriebenen Sicherungen, nicht Kopien beim Verantwortlichen, bei Shopify oder bei Diensten, die der Verantwortliche selbst eingebunden hat. Für Sicherungskopien tritt dieser Umlauf an die Stelle der in den vorstehenden Löschfristen genannten Zeiträume; die Löschung aus den aktiven Systemen innerhalb dieser Fristen bleibt unberührt. Bei Störungen des Löschlaufs oder der Sicherungsrotation greifen Alarme, und NorthProfit löscht unverzüglich nach.
• Amazon-Verbindungen: Nach Trennung oder Widerruf löscht NorthProfit alle Amazon-Daten nach einer Karenzzeit von derzeit 6 Tagen; einschließlich der von NorthProfit betriebenen Sicherungen sind sie im Regelbetrieb spätestens 30 Tage nach der Trennung gelöscht (siehe „Sicherungskopien“). Amazon-Daten ohne Personenbezug werden höchstens 18 Monate aufbewahrt.

5. Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: TLS in Transit, AES-256 at-Rest für Secrets/Tokens
• Zugriffskontrolle: rollenbasiert, Least-Privilege, strikte Mandanten-/Org-Trennung
• Pseudonymisierung, soweit für den Verarbeitungszweck möglich
• Backup- und Wiederherstellungskonzept; Löschkonzept nach Fristen
• Protokollierung, Härtung der Server (Firewall, Fail2ban, Malware-Scan) und regelmäßige Updates
• Die einzelnen Maßnahmen beschreibt die Anlage TOM am Ende dieses Vertrags.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zum Einsatz der nachstehend gelisteten Unterauftragsverarbeiter. NorthProfit informiert den Verantwortlichen über einen neuen oder geänderten Unterauftragsverarbeiter (z.B. per E-Mail oder Statusseite); der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag kündigen. NorthProfit erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und haftet für deren Einhaltung wie für eigenes Handeln. Für Unterauftragsverarbeiter, die nur für eine optionale Funktion tätig werden, informiert NorthProfit spätestens beim Aktivieren dieser Funktion; die Aktivierung nach dieser Information gilt als Weisung. Im Übrigen informiert NorthProfit mindestens 14 Tage vor dem Einsatz.

Diese Genehmigung betrifft nur die nachstehend ausdrücklich beschriebenen Verarbeitungen im Händlerauftrag. NorthProfits eigene Abonnementabrechnung sowie lediglich verbundene Händler-, Zahlungs-, Werbe- und E-Mail-Plattformen werden dadurch nicht automatisch zu Unteraufträgen. Deren Rolle richtet sich nach dem jeweiligen Verarbeitungsvorgang und den einschlägigen Verträgen. Die breitere Empfängerliste der Datenschutzerklärung (Ziffer 13) informiert auch über diese Dienste. Beim selben Anbieter sind Verarbeitungen für eigene Zwecke und solche im Händlerauftrag getrennt zu betrachten.

• STRATO AG — Hosting der Anwendung und Datenbank für die Verarbeitung im Händlerauftrag, Deutschland (EU)
• Hetzner Online GmbH — Speicherung der vorab verschlüsselten Sicherungen von Daten im Händlerauftrag, Deutschland (EU)
• Plus Five Five, Inc. (Resend) — Versand vom Händler veranlasster E-Mails (Rechnungen, Mahnungen, Bestätigungen, Datenexport), soweit dabei personenbezogene Daten im Händlerauftrag verarbeitet werden, USA (SCC; DPF ergänzend)
• OpenAI Ireland Ltd. — Verfeinerung von North-AI-Antworten und angeforderte KI-Sichtbarkeitsprüfungen, soweit dabei personenbezogene Daten im Händlerauftrag verarbeitet werden, EU (Irland) + USA (SCC)
• Anthropic Ireland, Limited (Vertragspartner; Verarbeitung auch durch Anthropic, PBC, USA) — KI-Assistenz für Entwicklung und Betrieb; dabei können im Einzelfall Ausschnitte aus Betriebsdaten verarbeitet werden, soweit darin personenbezogene Daten im Händlerauftrag enthalten sind; kein Training mit diesen Daten, EU (Irland) + USA (SCC)
• DataForSEO (Anbieter der Messdaten für die Sichtbarkeitsmessung) — Durchführung ausdrücklich gestarteter Sichtbarkeitsmessungen (Suchbegriffe, Ort, Sprache), soweit dabei personenbezogene Daten im Händlerauftrag verarbeitet werden, Sitz: DataForSEO OÜ, Tallinn, Estland (EU); Grundlage: Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage der Auftragsverarbeitungsvereinbarung von DataForSEO (Teil der Nutzungsbedingungen, Fassung vom 12.06.2026). Der Anbieter sitzt in der EU. Für Unterauftragsverarbeiter außerhalb der EU, etwa in den USA, nutzt DataForSEO nach eigenen Angaben Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder Angemessenheitsbeschlüsse.

7. Übermittlung in Drittländer

Soweit Unterauftragsverarbeiter personenbezogene Daten in einem Drittland (insb. USA) verarbeiten, erfolgt dies nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO — EU-Standardvertragsklauseln (SCC 2021/914) und, soweit zertifiziert, dem EU-US Data Privacy Framework. Die Weisungsbindung des Verantwortlichen gilt auch für Drittlandübermittlungen; Ausnahmen bestehen nur bei zwingender Rechtsvorschrift und, soweit gesetzlich zulässig, nach vorheriger Mitteilung. Der Transfermechanismus je Empfänger ergibt sich aus der Standort-Angabe in Ziffer 6.

8. Kontrollrechte des Verantwortlichen

Der Verantwortliche kann die Einhaltung der Pflichten aus diesem AVV überprüfen. NorthProfit stellt auf Anfrage die erforderlichen Informationen, eine Beschreibung der technischen und organisatorischen Maßnahmen und vorhandene Nachweise zur Verfügung. Vor-Ort-Audits sind nach angemessener Vorankündigung und ohne Störung des Betriebs möglich.

9. Haftung und Schlussbestimmungen

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gilt § 10 der AGB; Art. 82 Abs. 5 DSGVO bleibt unberührt. Mündliche Nebenabreden bestehen nicht. Bei Unwirksamkeit einzelner Klauseln bleibt der übrige Vertrag wirksam; an ihre Stelle treten die gesetzlichen Vorschriften.

Gerichtsstand: Sitz von NorthProfit (Düsseldorf), soweit gesetzlich zulässig. Anwendbares Recht: Deutschland.

Anlage TOM: Technische und organisatorische Maßnahmen

Diese Anlage konkretisiert Ziffer 5 (Stand: 26.10.2026).

• Übertragung: ausschließlich TLS (HTTPS) mit HSTS
• Zugangsdaten der Verbindungen: verschlüsselt mit AES-256-GCM
• Sicherungen: Datenbanksicherungen vor dem Upload mit age verschlüsselt; Dateisicherungen in einem verschlüsselten Borg-Repository; Offsite-Kopie bei Hetzner in Deutschland; Wiederherstellungsprobe wöchentlich
• Mandantentrennung nach Organisation und Shop; Rollen Inhaber, Admin, Analyst und Betrachter; Zwei-Faktor-Anmeldung (TOTP) für Nutzer verfügbar, für Administratorzugänge der Plattform verpflichtend
• Serverzugang nur per SSH-Schlüssel; Firewall, Fail2ban, Malware-Scan hochgeladener Dateien und automatische Sicherheitsupdates
• Secret-Scan vor jedem Release
• Eigene Datenbankrollen mit Minimalrechten für Löschläufe
• Audit-Log kritischer Organisationsaktionen
• Incident-Response-Plan; Meldung einer Verletzung des Schutzes personenbezogener Daten an den Verantwortlichen binnen 48 Stunden nach Kenntnis