Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
NorthProfit UG (haftungsbeschränkt) · Waldnieler Straße 28, 40549 Düsseldorf, Deutschland · kontakt@northprofit.eu

Umsatzsteuer-Identifikationsnummer (§ 27a UStG): DE463502947. Registergericht: Amtsgericht Düsseldorf, HRB 113494.

Datenschutzanfragen richten Sie bitte an kontakt@northprofit.eu.

2. Welche Daten wir verarbeiten

NorthProfit verarbeitet folgende Datenkategorien im Rahmen der Nutzung des Dienstes:

• Bestell- und Rückerstattungsdaten aus den jeweils verfügbaren und verbundenen Verkaufskanälen: Bestellnummern, Beträge, Lieferländer, ggf. Kunden-Stammdaten
• Produktdaten und Varianten (SKU, Einstandspreise)
• Shop-Konfigurationsdaten (Domain, API-Token verschlüsselt)
• Zahlungs- und Transaktionsdaten verbundener Zahlungsdienste (z.B. PayPal, Stripe, Mollie), sofern verbunden
• Werbe- und Performance-Daten verbundener Werbekonten (Meta, Google, TikTok), sofern verbunden
• Rechnungs- und Buchhaltungsdaten inkl. darin enthaltener Kunden- und Belegdaten (Rechnungen, Mahnwesen, OSS-Reports, DATEV-Exporte)
• Zugriffs-/Mandantendaten aus der optionalen Steuerberater-Zusammenarbeit
• Tracking-Events aus optional aktiviertem serverseitigem Conversion-Tracking (siehe Ziffer 8)
• Zuordnung je Bestellung (zu jeder bezahlten Bestellung eines Shops mit aktivem Web-Pixel: Angaben der Bestellung und, nur mit Einwilligung des Endkunden im Pixel, ein Kontaktpfad mit Zeitpunkt, Quelle, Kampagne und Anzeigen-Kennungen; ohne IP-Adresse, User-Agent und Besucherkennung; siehe Ziffer 8)
• Nutzer-/Account-Daten (E-Mail, Zugangsdaten bei Authentifizierung)
• Anmeldung mit Google: Wenn Sie sich mit Google anmelden oder registrieren, erhalten wir von Google Ihre E-Mail-Adresse, deren Bestätigungsstatus und Ihren Namen. Wir fordern dafür nur die Berechtigungen „openid“, „email“ und „profile“ an, speichern keine weiteren Google-Profildaten und greifen nicht auf weitere Google-Daten zu.
• Bot-Schutz bei Anmeldung, Registrierung, Passwort-Zurücksetzen, Newsletter und Steuerberater-Registrierung: Wir setzen ALTCHA ein, ein selbst gehostetes Rechenaufgaben-Verfahren (Proof-of-Work). Es setzt keine Cookies und nutzt keine Dienste außerhalb unserer Infrastruktur. Eine Lösung ist nur einmal verwendbar; dafür speichern wir kurzzeitig eine technische Kennung in unserer Datenbank.
• Angaben aus Kontakt-, Newsletter-, Lead-, Frühzugangs- und Support-Anfragen (siehe Ziffer 2a)
• Fragen und benötigter Kennzahl-/Antwortkontext bei Nutzung von North AI sowie vom Händler ausgewählte oder bearbeitete Fragen, lokal ausgewählte Marken- und Wettbewerberbegriffe, Anbieter, angefordertes Modell und vom Anbieter gemeldete Modellangabe, soweit geliefert, gekürzte Antwort- und Trefferauszüge, erkannte Texttreffer und Prüfzeitpunkt angeforderter KI-Sichtbarkeitsprüfungen

2a. Kontakt, Newsletter und Anfragen

Kontaktformular: Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, einen optionalen Betreff und Ihre Nachricht und leiten sie per E-Mail (Versand über Resend) an kontakt@northprofit.eu weiter, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO).

Lead-, Demo- und Frühzugangsformulare: Wenn Sie ein solches Formular ausfüllen, speichern wir Ihre Angaben in unserer Datenbank (E-Mail-Adresse, Name, soweit angegeben Unternehmen, Shop-Adresse, Umsatzband, Shop-Plattform, bisher genutztes Tool, Nachricht und Sprache) sowie technische Metadaten der Anfrage (Herkunftsseite, Origin, User-Agent), um Ihre Anfrage zu bearbeiten und uns bei Ihnen zu melden (Art. 6 Abs. 1 lit. b oder f DSGVO).

Newsletter: Wir nutzen das Double-Opt-in-Verfahren. Wir speichern Ihre E-Mail-Adresse mit Sprache und technischen Metadaten (Herkunftsseite, User-Agent) zunächst als unbestätigt und senden Ihnen über Resend eine Bestätigungs-E-Mail; erst nach Ihrem Klick auf den Bestätigungslink erhalten Sie den Newsletter (Art. 6 Abs. 1 lit. a DSGVO). Jede Anmeldung ist durch ALTCHA gegen Missbrauch geschützt (siehe Ziffer 2). Eine Abmeldung ist jederzeit über den Abmeldelink in unseren E-Mails oder formlos per E-Mail an kontakt@northprofit.eu möglich.

Support-Anfragen im Produkt: Betreff und Nachricht Ihres Tickets sowie dessen Zuordnung zu Ihrem Konto verarbeiten wir, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO).

Wir speichern diese Angaben, solange es für die Bearbeitung und etwaige Anschlussfragen erforderlich ist, die Newsletter-Anmeldung bis zur Abmeldung.

3. Herkunft der Daten und betroffene Personen

Ein Teil der Daten stammt nicht direkt von Ihnen, sondern aus den von Ihnen verbundenen Systemen (z.B. Bestell- und Kundendaten aus Ihrem Shop, Werbedaten aus Ihren Werbekonten). Betroffene Personen sind insbesondere: Sie und Ihre Beschäftigten als Nutzer, Endkunden/Käufer Ihres Shops, bei aktivem Web-Pixel Website-/Werbe-Kontakte sowie ggf. Ihre Steuerberater:innen.

Soweit wir personenbezogene Daten nicht bei den betroffenen Personen selbst erheben, verarbeiten wir diese im Auftrag und auf Weisung des jeweiligen Shop-Betreibers als Auftragsverarbeiter (siehe AVV unter /avv). Die Informationspflicht nach Art. 14 DSGVO gegenüber den Endkunden obliegt dem verantwortlichen Shop-Betreiber.

4. Zweck der Verarbeitung

Die Daten werden für folgende Zwecke verarbeitet:

• Berechnung und Darstellung von Gewinn-/Verlust- und Marketing-Kennzahlen über alle verbundenen Verkaufskanäle
• Erstellung von EU-VAT/OSS-Berichten und DATEV-kompatiblen Buchungsdaten
• Erstellung von Rechnungen, Gutschriften und Mahnwesen
• Synchronisation von Tracking-/Sendungsdaten zu Zahlungs- und Werbediensten
• Bereitstellung, Betrieb, Sicherheit und Weiterentwicklung des Dienstes

5. Rechtsgrundlage

Die Verarbeitung erfolgt, je nach Zweck, auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Bereitstellung der vertraglich vereinbarten Funktionen
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — sicherer Betrieb, technisch notwendige Cookies, Fehler-/Missbrauchsabwehr (einschließlich Bot-Schutz)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — alle einwilligungsbasierten Verarbeitungen, insb. Web-Analyse (Google Analytics 4) sowie optionales serverseitiges Conversion-Tracking und Werbe-Synchronisation (Meta, Google, TikTok)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) — gesetzliche Aufbewahrung unserer eigenen aufbewahrungspflichtigen Geschäftsunterlagen (§ 147 AO, § 257 HGB), siehe Ziffer 11

6. Speicherort und Datensicherheit

Die Kerndaten der Plattform (Bestell-, Produkt- und Buchhaltungsdaten) werden in Deutschland in der NorthProfit-Datenplattform gespeichert.

Die Übertragung erfolgt ausschließlich über verschlüsselte HTTPS-Verbindungen. API-Secrets und Zugangstokens werden verschlüsselt (AES-256) gespeichert und nie im Klartext übertragen.

Für angeforderte System-E-Mails setzen wir Resend ein; dort können Nachrichteninhalte und Zustellinformationen in den USA verarbeitet und gespeichert werden, auch bei Versand aus einer EU-Region. Daneben können verbundene Werbedienste, ausdrücklich genutzte KI-Funktionen und einwilligungsbasierte Web-Analyse Daten außerhalb der EU verarbeiten. Zwecke und Empfänger finden Sie in Ziffern 7, 9 und 13.

7. Übermittlung in Drittländer

Personenbezogene Daten können für notwendige Dienstleistungen wie den Versand angeforderter System-E-Mails über Resend in Drittländern verarbeitet werden. Dafür ist kein freiwilliger Werbe- oder KI-Integrationsschalter erforderlich. Freiwillig verbundene Werbedienste und ausdrücklich genutzte KI-Funktionen werden für den jeweiligen angeforderten Zweck eingesetzt; Web-Analyse und einwilligungsbasiertes Conversion-Tracking setzen die erforderliche Einwilligung voraus.

Für Drittlandübermittlungen gelten die Anforderungen nach Art. 44 ff. DSGVO. Je Anbieter und Übermittlung kommen insbesondere EU-Standardvertragsklauseln (SCC), ein einschlägiger Angemessenheitsbeschluss und bei zertifizierten US-Empfängern das EU-US Data Privacy Framework in Betracht. Shopify beschreibt für seine internationalen Übermittlungen unter anderem verbindliche interne Datenschutzvorschriften (BCR), Angemessenheitsbeschlüsse und weitere Garantien. Eine EU-Vertragspartei oder EU-Versandregion bedeutet nicht, dass sämtliche Verarbeitung in der EU stattfindet.

Ein Restrisiko des Zugriffs durch Behörden des Drittlands kann nicht vollständig ausgeschlossen werden. Ziffer 13 nennt Dienstleister sowie verbundene Händlerplattformen und Zahlungs-, Werbe- und E-Mail-Dienste als Datenquellen oder Empfänger. Die Rolle einer verbundenen Plattform richtet sich nach dem jeweiligen Verarbeitungsvorgang und ihren Verträgen mit dem Händler; sie ist dadurch nicht automatisch Unterauftragsverarbeiter von NorthProfit. Stripe dient hier unserer eigenen Abonnementabrechnung. Die im Händlerauftrag eingesetzten Unterauftragsverarbeiter und ihre konkreten Zwecke sind gesondert in §6 des AVV unter /avv aufgeführt.

8. Cookies und Tracking

Technisch notwendige Cookies: Wir verwenden Session-Cookies, die für Authentifizierung und sicheren Betrieb erforderlich sind. Diese sind nach § 25 Abs. 2 TDDDG (ehem. TTDSG) einwilligungsfrei; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Einwilligungsspeicher: Ihre Cookie-Entscheidung speichern wir im Cookie „northprofit_consent_v1“ (Laufzeit 12 Monate) und in einem Eintrag im lokalen Speicher (localStorage) Ihres Browsers; er enthält nur Ihre Entscheidung, Ihre Auswahl je Kategorie und den Zeitpunkt. Diese Speicherung ist technisch notwendig (§ 25 Abs. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO).

Web-Analyse (Google Analytics 4): Auf unserer Website und im angemeldeten Bereich ist Google Analytics 4 im Consent-Modus vorgesehen. Derzeit ist es bei uns nicht eingerichtet; es werden deshalb keine Daten an Google Analytics übermittelt. Sollten wir es einrichten, erfolgen der Zugriff auf Ihr Endgerät und die Verarbeitung erst NACH Ihrer Einwilligung über unser Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Werbe-Funktionen (Werbespeicher, Weitergabe von Nutzerdaten, Personalisierung) bleiben immer ausgeschaltet. Ohne Einwilligung werden keine Analyse-/Marketing-Cookies gesetzt.

Optionales serverseitiges Conversion-Tracking (Produktfunktion): Wenn Sie als Shop-Betreiber die Conversions-/Events-Schnittstellen zu Meta, Google oder TikTok aktivieren, übermittelt NorthProfit Ereignisse Ihres Shops (z. B. Seitenaufruf, Warenkorb, Kasse, Kauf, Erstattung) serverseitig an die von Ihnen verbundene Werbeplattform. Es werden nur Ereignisse von Endkunden übermittelt, die der Weitergabe für Marketingzwecke zugestimmt haben; ohne erteilte Einwilligung oder bei unbekanntem Einwilligungsstatus werden keine Daten an Werbeplattformen gesendet. Die Einwilligung stammt aus dem NorthProfit-Web-Pixel, der in Ihrem Shop läuft und die Entscheidung des Endkunden aus den Datenschutzeinstellungen von Shopify (Kundeneinwilligung) liest. Der Pixel arbeitet nur, wenn Analyse, Marketing und Weitergabe erlaubt sind; vor einer Einwilligung liest er keine Cookies, keinen Browser-Speicher, keine Seitenadressen mit Klick-Kennungen und keine Shopify-Client-Kennung. Eine Ablehnung oder ein Widerruf wird nur als Kontrollsignal ohne Attributions- und Kundendaten an NorthProfit gemeldet.

Übermittelte Angaben beim serverseitigen Conversion-Tracking: Je nach Plattform können übermittelt werden: E-Mail-Adresse und Telefonnummer ausschließlich als SHA-256-Hash (bei Meta zusätzlich Vorname, Nachname, Ort, Bundesland, Postleitzahl und Land, ebenfalls nur als SHA-256-Hash), Kunden- und Besucherkennungen als SHA-256-Hash. Nicht gehasht übermittelt werden Bestellnummer, Währung und Conversion-Wert, die Adresse der besuchten Seite und der Referrer, bei Meta und TikTok außerdem die IP-Adresse und der User-Agent des Endkunden, Klick- und Cookie-Kennungen der Plattformen (z. B. fbclid, fbp, fbc, ttclid, ttp) und die Warenkorbpositionen (Produktnummer, Menge, Preis), bei Google Klick-Kennungen (gclid, gbraid, wbraid) und der User-Agent. Die IP-Adresse des Endkunden halten wir in voller Länge nur so lange vor, wie die Zustellung sie braucht: im Eingang des Shopify-Webhooks bis zur Verarbeitung bzw. zum Ablauf der Wiederholungen und in der Versandwarteschlange, bis das Ereignis zugestellt wurde, alle Versuche abgelaufen sind oder die Zeile nach spätestens 7 Tagen beendet wird; danach wird sie dort geleert. In neuen Ereignisdaten speichern wir sie nur gekürzt (IPv4 auf /24, IPv6 auf /48), in neuen Bestelldaten gar nicht. Bereits früher gespeicherte Einträge können noch die volle Adresse enthalten. Eine gekürzte Adresse senden wir nicht an Meta oder TikTok. Der Conversion-Wert ist standardmäßig der Bruttoumsatz der Bestellung. Wenn Sie ihn auf „Gewinn“ umstellen, übermitteln wir den berechneten Deckungsbeitrag der Bestellung; negative Werte werden als 0 gesendet. Verantwortlich für die Einholung der Endkunden-Einwilligung und die Information der Endkunden ist der jeweilige Shop-Betreiber.

Optionale Klaviyo-Ereignisse: Wenn Sie Klaviyo verbinden und Ereignisse aktivieren, übermitteln wir bei erteilter Marketing-Einwilligung des Endkunden Kauf- und Erstattungsereignisse zusammen mit der E-Mail-Adresse im Klartext an Klaviyo, weil Klaviyo sie zur Zuordnung des Profils benötigt. Bis zur Übermittlung liegt die E-Mail-Adresse verschlüsselt (AES-256-GCM) in unserem Ausgang.

Werbekontakt im NorthProfit-Web-Pixel: Nach der Einwilligung des Endkunden speichert der Pixel im Browser-Speicher der Shopify-Pixel-Sandbox (Eintrag „northprofit_attribution_v3“) nur den jüngsten Werbekontakt: UTM-Angaben, Klick-Kennungen (fbclid, gclid, ttclid, gbraid, wbraid) sowie Kampagnen-, Anzeigengruppen- und Anzeigen-Kennungen, jeweils mit dem Zeitpunkt der Landung. Der Eintrag gilt höchstens 90 Tage und wird bei einem Widerruf der Einwilligung gelöscht; Reste früherer Fassungen („northprofit_attribution_v1“ und „_v2“) werden nicht übernommen, sondern gelöscht. Ohne Einwilligung liest und schreibt der Pixel dazu nichts.

Zuordnung je Bestellung: Zu jeder bezahlten Bestellung eines Shops mit aktivem NorthProfit-Web-Pixel speichert NorthProfit im Auftrag des Händlers eine Zuordnung, mit der Auswertungen wie Attribution, Kampagnen-, UTM- und Kundenreise-Auswertung rechnen. Sie entsteht für jede solche Bestellung, auch wenn der Endkunde im Pixel nicht eingewilligt hat. Ohne Einwilligung enthält sie keinen Kontaktpfad aus dem Pixel, sondern nur Angaben, die die Bestellung selbst trägt: Bestellnummer, Kaufzeitpunkt, Kaufwert und, soweit die Einstiegs- oder Herkunftsadresse der Bestellung sie enthält, Klick-Kennungen (fbclid, gclid, ttclid); als Herkunft der Zuordnung steht dann „Angaben der Bestellung“ oder „ohne Quelle“. Mit der Einwilligung des Endkunden im Pixel (sie ist Voraussetzung dafür, dass der Pixel Ereignisse sendet) kommt der Kontaktpfad hinzu: höchstens 20 Kontakte mit Zeitpunkt (Klick bzw. Landung), Kanal, Quelle und Medium, Kampagne (Name und Kennung), Anzeigengruppen- und Anzeigen-Kennung sowie Art und Wert der Klick-Kennung (Herkunft: Pixel). Nicht gespeichert werden IP-Adresse, User-Agent, Besucher- oder Sitzungskennung und Gerätemerkmale; die Herkunftsseite wird nur als Klasse, nicht als Adresse abgelegt. Zweck ist die Auswertung der Werbewirkung für den Händler. Rechtsgrundlage ist beim Händler als Verantwortlichem für die Angaben aus der Bestellung selbst das berechtigte Interesse an der Messung seiner Werbewirkung (Art. 6 Abs. 1 lit. f DSGVO) bzw., soweit sie zur Durchführung des Kaufvertrags gehören, der Vertrag (Art. 6 Abs. 1 lit. b DSGVO); für den Kontaktpfad aus dem Pixel ist es die Einwilligung des Endkunden (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Verantwortung für die Rechtsgrundlage und die Information der Endkunden trägt der Shop-Betreiber. Die Zuordnung wird so lange gespeichert wie die Bestelldaten, zu denen sie gehört, und mit ihnen gelöscht: durch Löschaufträge zu Endkunde oder Shop (Ziffer 11).

Identifier-freie Betriebszählung: Ausdrücklich als Produktion gebaute Versionen der NorthProfit Mobile-App und das angemeldete NorthProfit-Web-Dashboard können voneinander getrennte Zähler für App-Start, Rückkehr aus dem Hintergrund, eine abgegebene Analyseentscheidung sowie Beginn und erfolgreichen Abschluss fest vorgegebener Hauptabläufe an unsere STRATO-Infrastruktur senden. Jeder Request enthält nur Vertragsversion, eine einmalige Request-ID, App-Kennung, Produktionskanal, Plattform, App-Version, Build und Ereignisart; keine Nutzer-, Installations-, Sitzungs-, Werbe-, Geräte-, Shop- oder Konto-ID und keine Finanz- oder Inhaltsdaten. Ohne Analyse-Einwilligung wird dafür auf dem Gerät keine dauerhafte Ereigniswarteschlange geführt; jeder Zähler wird direkt mit höchstens einem unmittelbaren Wiederholungsversuch übertragen. Der Server aggregiert sofort nach Tag und löscht den Deduplizierungs-Hash nach acht Tagen. Damit sind keine eindeutigen Nutzer, Sitzungen, Retention oder Nutzerpfade messbar. Zweck und Rechtsgrundlage sind die datensparsame Prüfung technisch funktionierender eigener Releases und wesentlicher Abläufe (Art. 6 Abs. 1 lit. f DSGVO); Werbung, Profilbildung und Cross-App-Tracking finden damit nicht statt.

Eigene Produktanalyse im angemeldeten NorthProfit-Dashboard: Nur nach Ihrer Analyse-Einwilligung erzeugt der Browser eine zufällige, nur für NorthProfit geltende Installations- und Sitzungskennung. Gemessen werden App-Start, aktive Sitzungsdauer über Minuten-Heartbeats und aufgerufene, fest vorgegebene Dashboard-Bereiche. Shop-, Konto-, Nutzer-, Bestell-, Kunden-, Finanz- und Freitextdaten werden nicht in diese Ereignisse aufgenommen. Nach fünf Minuten Abwesenheit beginnt eine neue Sitzung. Die Rohereignisse werden auf unserer STRATO-Infrastruktur grundsätzlich 180 Tage aufbewahrt; der Wert kann datenschutzfreundlich verkürzt werden. Beim Widerruf werden die zu dieser zufälligen Kennung gespeicherten Rohereignisse mittels eines nur lokal vorhandenen Löschbelegs gelöscht. Rechtsgrundlagen sind Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über die Schaltfläche „Cookies" im Seitenfuß widerrufen oder anpassen.

9. KI-gestützte Funktionen (North AI und KI-Sichtbarkeit)

North AI beantwortet die von Ihnen gestellten Fragen. Bei Nutzung werden Ihre Frage und der benötigte Kennzahl- und Antwortkontext an OpenAI Ireland Ltd. übermittelt, um die Antwort zu verfeinern.

Wenn Sie eine KI-Sichtbarkeitsprüfung starten, sendet NorthProfit vom Händler ausgewählte oder bearbeitete Fragen an OpenAI Ireland Ltd. Die lokal ausgewählten Marken- und Wettbewerberbegriffe werden nicht automatisch an die Fragen angehängt. NorthProfit speichert die Fragen, die lokal ausgewählten Begriffe, Anbieter, angefordertes Modell und vom Anbieter gemeldete Modellangabe, soweit geliefert, gekürzte Antwort- und Trefferauszüge, erkannte Texttreffer und den Prüfzeitpunkt als Verlauf. Das Ergebnis bezieht sich ausschließlich auf diese Antworten des jeweiligen Modells zu Ihren Fragen.

Sichtbarkeitsmessung (Visibility): Wenn Sie die Sichtbarkeitsmessung ausdrücklich starten, senden wir die von Ihnen ausgewählten oder bearbeiteten Fragen (Suchbegriffe) sowie den gewählten Ort und die gewählte Sprache an den Messdienstleister DataForSEO und erhalten Suchergebnis- bzw. Antwortdaten zurück. Die Fragen sind Freitext: Bitte tragen Sie keine personenbezogenen Daten Dritter ein. Wir speichern Fragen, Messläufe, ausgewertete Treffer und die Kosten je Messlauf als Verlauf. Ohne Ihren ausdrücklichen Start werden keine Daten an DataForSEO übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer hilfreichen Assistenz). Soweit personenbezogene Daten im Händlerauftrag verarbeitet werden, gelten die Weisungsbindung und die Zwecke des AVV. KI-Ausgaben können Fehler enthalten und stellen keine Steuer- oder Rechtsberatung dar. Training und die verschiedenen Speicherungen sind in Ziffer 11 erläutert.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte wenden Sie sich an kontakt@northprofit.eu. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig für uns ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

11. Löschfristen

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

Die gesetzlichen Fristen für Geschäftsunterlagen gelten für NorthProfits eigene aufbewahrungspflichtige Unterlagen und nur, soweit sie für unsere eigenen gesetzlichen Pflichten einschlägig sind. Sie begründen keine pauschale Aufbewahrung sämtlicher Händlerdaten.

Für personenbezogene Daten, die wir im Händlerauftrag verarbeiten, gilt der AVV unter /avv. Für Shopify-Händlerdaten einschließlich aller Kopien sieht er spätestens 30 Tage ab dem jeweils dort genannten Auslöser vor. Seine gesetzliche Ausnahme ist auf konkret betroffene Daten und die gesetzlich erforderliche Dauer begrenzt; die Fristen für unsere eigenen Unterlagen verlängern diese Löschfrist nicht pauschal.

Rechtsarchiv für finalisierte Buchhaltungsdaten im Händlerauftrag: Rechnungen, die Sie über NorthProfit erstellt und festgeschrieben haben, einschließlich der darin enthaltenen Kundendaten, zugehöriger Zahlungen, Mahnungen, Dokumentenstände und Änderungsprotokolle sowie von Ihnen archivierte Buchhaltungsbelege (z. B. DATEV-Exporte, eingegangene Belege und Eingangsrechnungen), bleiben nach einer Deinstallation oder einer Löschanforderung in einem gesonderten, zugriffsbeschränkten Rechtsarchiv bestehen, solange die gesetzliche Aufbewahrungsfrist läuft. Sie beträgt für Rechnungen und sonstige Buchungsbelege (auch Belegpakete und eingegangene Rechnungen) grundsätzlich 8 Jahre (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB, für Rechnungen auch § 14b UStG), für DATEV-Buchungsstapel und -Exporte, soweit sie Bücher oder Aufzeichnungen sind, 10 Jahre (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB), jeweils ab Ende des Kalenderjahres, in dem der Beleg entstanden ist bzw. der Buchungszeitraum endet (bei späteren Eintragungen: die letzte Eintragung erfolgt). Zugehörige Zahlungs-, Mahn-, Dokumenten-, Wareneingangs- und Bestandsdaten sowie Änderungsprotokolle bleiben so lange wie der Beleg, zu dem sie gehören. Bestellungen, auf die eine finalisierte Rechnung verweist, bleiben nur als Verweis ohne Kundendaten, Adressen und Rohdaten; die Kundendaten stehen in der Rechnung. Wir verwahren das Archiv im Auftrag und auf Weisung des Händlers, der als Verantwortlicher diese Pflicht trägt, und nutzen es nur zu diesem Zweck. Nach Ablauf der Frist löschen wir diese Daten, soweit keine gesetzliche Verlängerung besteht (z. B. eine noch offene steuerliche Festsetzungsfrist oder eine laufende Prüfung). Der Händler kann seine Rechnungen und Belege vor der Deinstallation über die Export-Funktionen des Dienstes sichern. Alle übrigen Händlerdaten werden nach der 30-Tage-Frist des AVV gelöscht.

• Eigene Rechnungen und Zahlungsunterlagen von NorthProfit, soweit sie Buchungsbelege sind: grundsätzlich 8 Jahre ab Ende des Entstehungsjahres (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB)
• Eigene Bücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte und die zu ihrem Verständnis erforderlichen Organisationsunterlagen: 10 Jahre ab Ende des maßgeblichen Kalenderjahres (§ 147 Abs. 3 und 4 AO, § 257 Abs. 4 und 5 HGB)
• Eigene Handels-/Geschäftsbriefe und sonstige steuerlich relevante Unterlagen: grundsätzlich 6 Jahre; gesetzliche Verlängerungen, insbesondere bei noch laufenden steuerlichen Festsetzungsfristen oder Prüfungen, bleiben vorbehalten
• Nutzer-/Account-Daten: bis zum Ende der Geschäftsbeziehung, danach Löschung vorbehaltlich gesetzlicher Aufbewahrungsfristen
• Modelltraining: Wir geben KI-Eingaben und Antworten nicht zum Modelltraining frei. OpenAI verwendet API-Daten standardmäßig nicht zum Training. Dies bedeutet nicht, dass keine Daten gespeichert werden.
• KI-Daten bei NorthProfit: Antworten können für die Bereitstellung zwischengespeichert werden. Die Ergebnisse der KI-Sichtbarkeitsprüfungen bleiben als Verlauf gespeichert. Auch diese Speicherungen unterliegen den jeweiligen Zwecken und den Löschpflichten des AVV, soweit es sich um Daten im Händlerauftrag handelt.
• Antwortspeicherung und technische Zwischenspeicherung beim KI-Anbieter: Bei OpenAI ist die zusätzliche Antwortspeicherung für KI-Sichtbarkeitsprüfungen ausgeschaltet. Das beendet nicht automatisch technische Zwischenspeicherung oder Sicherheitsprotokolle. OpenAI kann bei unterstützten Modellen einen technischen Prompt-Zwischenspeicher bis zu 24 Stunden vorhalten.
• Weitere Aufbewahrung beim KI-Anbieter: OpenAI speichert Missbrauchsprotokolle regulär bis zu 30 Tage. Abweichende Dienst- oder Vertragsbedingungen sowie gesetzliche Pflichten und Sicherheitsfälle können längere Speicherung erfordern, insbesondere bei Verstößen gegen Nutzungsrichtlinien. Eine sofortige Löschung aller Anbieter- und NorthProfit-Kopien nach der Antwort wird damit nicht zugesagt.
• Roh-Ereignisse des NorthProfit-Web-Pixels und Ausgang für Klaviyo-Ereignisse: derzeit ohne feste automatische Löschfrist, sie werden mit einem Löschauftrag (z. B. zu einem Endkunden oder Shop) gelöscht; die IP-Adresse darin wird bei neuen Einträgen nur gekürzt gespeichert; Löschaufträge (z. B. zu einem Endkunden) werden unabhängig davon ausgeführt.
• Zuordnung je Bestellung (Kontaktpfad zur Bestellung): so lange wie die zugehörigen Bestelldaten; sie wird mit ihnen gelöscht (Löschauftrag zu Endkunde oder Shop), unabhängig von den Roh-Ereignissen des Web-Pixels.
• Technische Missbrauchsabwehr (Anfragebegrenzung und ALTCHA-Wiederholungssperre): bis zum Ablauf des jeweiligen Zeitfensters; abgelaufene Einträge werden täglich gelöscht.
• Identifier-freie Mobile-Betriebszähler: Deduplizierungs-Hashes höchstens 8 Tage; nicht verknüpfbare Tagesaggregate bleiben für Betriebs- und Trendvergleiche bestehen
• Einwilligungsbasierte eigene Produktanalyse: Rohereignisse grundsätzlich 180 Tage oder bis zum früheren nachweisbaren Widerruf; zusammengefasste, nicht mehr auf die zufällige Kennung zurückführbare Trendwerte können fortbestehen
• Sonstige Tracking-/Analyse-Daten: entsprechend dem Zweck bzw. der erteilten Einwilligung, danach Löschung/Anonymisierung

12. Erforderlichkeit der Bereitstellung und automatisierte Entscheidungen

Für die Durchführung des Vertrags (Nutzung des Dienstes) ist die Bereitstellung bestimmter Daten erforderlich; ohne diese kann der Dienst nicht oder nur eingeschränkt bereitgestellt werden. Optionale Integrationen sind freiwillig.

Eine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt; die dargestellten Kennzahlen dienen allein Ihrer Information.

13. Empfänger und Dienstleister

• STRATO AG: Hosting der Anwendung + Datenbank (Deutschland (EU))
• Hetzner Online GmbH: Speicherort der täglichen, vorab verschlüsselten Datenbank-Sicherungen (Offsite-Backup) (Deutschland (EU))
• Shopify International Limited / regionale Shopify-Vertragspartei: Verbundene Händlerplattform und Datenquelle (Bestellungen, Kunden). Bei Rechnungsadresse in Europa ist Shopify International Limited in Irland die Vertragspartei; für andere Händlerregionen gelten die jeweiligen regionalen Shopify-Vertragsparteien. (Irland; u.a. Kanada/Singapur)
• Stripe Payments Europe Ltd.: Abrechnung der direkt mit NorthProfit abgeschlossenen Abonnements; die Datenschutzrolle richtet sich nach dem jeweiligen Zahlungsvorgang und den Stripe-Vertragsbedingungen (EU (Irland) + USA (SCC))
• PayPal (Europe) S.à r.l.: Zahlungs-/Tracking-Synchronisation (optional) (EU (Luxemburg) + USA (SCC))
• Mollie B.V.: Zahlungsabwicklung/Payment-Synchronisation (optional, pro Shop aktivierbar) (EU (Niederlande))
• Klarna Bank AB (publ) bzw. die für Ihre Klarna-Region zuständige Klarna-Vertragspartei: Abrechnungsdaten Ihres eigenen Klarna-Händlerkontos lesen (optional, pro Shop aktivierbar; Zugriff mit Ihren eigenen Zugangsdaten, die wir verschlüsselt speichern) (Schweden (EU); je nach gewählter Klarna-Region (Europa, Nordamerika, Ozeanien) die dortige Klarna-Region)
• Plus Five Five, Inc. (Resend): Versand notwendiger System-E-Mails sowie vom Händler veranlasster E-Mails (z.B. Rechnungen, Zahlungserinnerungen und Mahnungen an dessen Kunden, Bestätigungen) und des von Shopify angeforderten Datenexports an den Händler; dabei werden E-Mail-Adresse, Name und Anschrift der Empfänger sowie der Nachrichteninhalt (z. B. das Rechnungsdokument) verarbeitet (USA (SCC; DPF ergänzend))
• Meta Platforms Ireland Ltd.: Conversions-API + Werbe-Sync (optional, nur mit Einwilligung der Endkunden); übermittelt werden u. a. gehashte E-Mail-Adresse und Telefonnummer, IP-Adresse, User-Agent, Klick- und Cookie-Kennungen, Bestellnummer und Conversion-Wert (Einzelheiten in Ziffer 8) (EU (Irland) + USA (SCC/DPF))
• Google Ireland Ltd.: Google Analytics 4 (eigene Website, einwilligungsbasiert; derzeit nicht eingerichtet), Anmeldung mit Google (optional) sowie Google-Ads-/GA4-Sync, Conversions (optional, nur mit Einwilligung der Endkunden; u. a. gehashte E-Mail-Adresse, Klick-Kennungen, User-Agent, Bestellnummer und Conversion-Wert, Einzelheiten in Ziffer 8) (EU (Irland) + USA (SCC/DPF))
• TikTok Technology Ltd.: Events-API + Werbe-Sync (optional, nur mit Einwilligung der Endkunden); übermittelt werden u. a. gehashte E-Mail-Adresse und Telefonnummer, IP-Adresse, User-Agent, Klick- und Cookie-Kennungen, Bestellnummer und Conversion-Wert (Einzelheiten in Ziffer 8) (EU (Irland) + USA (SCC))
• Klaviyo, Inc.: Retention-/E-Mail-Forwarding (optional, pro Shop aktivierbar): Kauf- und Erstattungsereignisse mit der E-Mail-Adresse im Klartext, die Klaviyo zur Profilzuordnung benötigt; nur mit Marketing-Einwilligung der Endkunden (USA (SCC/DPF))
• Recharge, Inc.: Abo-Analytics (optional, pro Shop aktivierbar) (USA (SCC))
• OpenAI Ireland Ltd.: Verfeinerung von North-AI-Antworten und ausdrücklich gestartete KI-Sichtbarkeitsprüfungen (EU (Irland) + USA (SCC))
• DataForSEO (Anbieter der Messdaten für die Sichtbarkeitsmessung): Sichtbarkeitsmessung in Suchmaschinen und KI-Antworten (nur nach ausdrücklichem Start): übermittelt werden die ausgewählten Fragen (Suchbegriffe) sowie Ort und Sprache (Sitz: DataForSEO OÜ, Tallinn, Estland (EU); Grundlage: Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage der Auftragsverarbeitungsvereinbarung von DataForSEO (Teil der Nutzungsbedingungen, Fassung vom 12.06.2026). Der Anbieter sitzt in der EU. Für Unterauftragsverarbeiter außerhalb der EU, etwa in den USA, nutzt DataForSEO nach eigenen Angaben Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder Angemessenheitsbeschlüsse.)

Weitere vom Händler verbundene Dienste: Wenn Sie weitere Verkaufs-, Marktplatz-, Zahlungs-, Werbe- oder Marketing-Dienste mit NorthProfit verbinden (je nach Verfügbarkeit z. B. eBay, Amazon, WooCommerce, Shopware, TikTok Shop sowie die E-Mail-Marketing-Dienste Brevo, Mailchimp, ActiveCampaign, Campaign Monitor, MailerLite, Omnisend, Iterable, Drip und Kit), lesen wir mit Ihren Zugangsdaten die jeweils benötigten Daten aus diesen Diensten bzw. übermitteln dorthin nur die von Ihnen aktivierten Daten. Sie wählen diese Dienste selbst aus; ihre Rolle richtet sich nach dem jeweiligen Verarbeitungsvorgang und Ihren Verträgen mit dem Anbieter. Sie werden dadurch nicht automatisch Unterauftragsverarbeiter von NorthProfit (siehe Ziffer 7 und AVV §6).