Auftragsverarbeitungsvertrag (AVV)

Parteien

Auftragsverarbeiter:
Assetflow – Inh. Marco Koppenhöfer
Kaiserslauterer Straße 325, 67098 Bad Dürkheim, Deutschland
E-Mail: datenschutz@profitkonsole.de

Verantwortlicher (Auftraggeber):
Der Kunde der SaaS-Lösung „profitkonsole“ gemäß den Allgemeinen Geschäftsbedingungen.

§ 1 Gegenstand und Dauer

(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der SaaS-Plattform „profitkonsole“.

(2) Der AVV ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und die Datenschutzerklärung der profitkonsole. Im Falle von Widersprüchen in datenschutzrechtlichen Belangen geht dieser AVV vor.

(3) Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrags (AGB) einschließlich eines Testzeitraums. Er endet mit Beendigung der Kundenbeziehung. Die Regelungen zur Löschung und Rückgabe (§ 6a) und zur Vertraulichkeit gelten fort, bis die Daten des Auftraggebers gelöscht sind.

(4) Dieser AVV gilt für alle Verkaufskanäle und Werbekonten, die der Auftraggeber mit der profitkonsole verbindet; die derzeit angebotenen Plattformen nennt Anlage 2. Er gilt unabhängig davon, ob die Abrechnung über Stripe oder über den Shopify App Store erfolgt und ob ein Kanal im Rahmen eines Vorabzugangs, eines Plan-Tests oder eines Testzeitraums freigeschaltet ist.

(5) Der AVV kommt mit der Registrierung zustande, bei der der Auftraggeber ihm zustimmt. Der Auftragsverarbeiter speichert Zeitpunkt, zustimmende Person und Fassung der Zustimmung.

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung personenbezogener Daten im Auftrag erfolgt zum Zweck der:

• Bereitstellung und Betrieb der SaaS-Plattform profitkonsole für die Verarbeitung der Auftragsdaten
• Abruf von Geschäftsdaten über die Schnittstellen der vom Auftraggeber verbundenen Verkaufskanäle (Anlage 2) sowie deren Speicherung und Auswertung (z. B. Umsätze, Gebühren, Retouren, Deckungsbeiträge). Beim Verbinden eines Kanals werden Daten bis zu zwei Jahre rückwirkend abgerufen, soweit die Plattform sie bereitstellt.
• Abruf und Auswertung von Werbedaten aus den Werbeprogrammen der Marktplätze und aus verbundenen Werbekonten (Anlage 2)
• Ablage der Schnittstellenantworten in einem Rohdatenarchiv, damit Auswertungen nachvollzogen und neu berechnet werden können, ohne die Daten erneut abzurufen (zu Käuferdaten siehe § 3a)
• Versand von Team-Einladungen sowie der vom Auftraggeber eingerichteten Berichts-E-Mails an die von ihm benannten Empfänger
• (optional, nur wenn vom Auftraggeber eingeschaltet) Anfordern von Bewertungsanfragen zu Amazon-Bestellungen über die Amazon-Schnittstelle (§ 3a Abs. 2)
• (optional, nur wenn ein Nutzer eine KI-Anwendung verbindet) Bereitstellung von Kennzahlen und Bestelldaten an diese KI-Anwendung über die MCP-Schnittstelle (§ 7c)
• (nur für Nutzer, die eingewilligt haben) KI-gestützte Beantwortung von Fragen zu den eigenen Geschäftsdaten (Funktion „Cortex“, § 7a)
• Bereitstellung von Zugängen für vom Auftraggeber eingeladene Teammitglieder und Agenturen in dem von ihm festgelegten Umfang
• Löschung nach § 6a, auch auf Verlangen eines Plattformbetreibers
• Fehleranalyse, Support und Sicherstellung des Betriebs

(2) Verarbeitungsarten: Erhebung (Abruf über Schnittstellen), Speicherung, Ordnen, Anpassung, Auslesen, Abfrage, Verwendung, Offenlegung durch Übermittlung an vom Auftraggeber bestimmte Empfänger, Einschränkung, Löschung.

(3) Mit Ausnahme der Bewertungsanfragen nach Absatz 1 und dem Anfordern von Berichten bei der Plattform liest der Auftragsverarbeiter Daten aus den Konten des Auftraggebers bei den Plattformen nur aus; Angebote, Bestellungen, Preise oder Kampagnen ändert er nicht. Das gilt auch, wenn die vom Auftraggeber hinterlegten Zugangsschlüssel technisch weitergehende Rechte gewähren.

§ 3 Art der personenbezogenen Daten

(1) Daten zu Personen, die der Auftraggeber in die Nutzung einbindet:

• E-Mail-Adressen von Personen, die der Auftraggeber in sein Konto einlädt (Teammitglieder, Agenturen und Berater)
• E-Mail-Adressen der vom Auftraggeber benannten Empfänger von Berichts-E-Mails
• Fragen an Cortex und die erzeugten Antworten sowie Protokolle der Abrufe durch verbundene KI-Anwendungen
• technische Daten, soweit sie bei der Verarbeitung der Auftragsdaten anfallen (z. B. Fehlerberichte, Protokolle von Synchronisationsläufen)

(2) Zugangsdaten zu den Schnittstellen der verbundenen Verkaufskanäle und Werbekonten (z. B. Refresh-Token, API-Schlüssel). Diese werden zusätzlich verschlüsselt gespeichert (Anlage 1).

(3) Geschäftsdaten aus den verbundenen Kanälen und Werbekonten, insbesondere Bestellungen und Bestellpositionen (Bestell- und Positionsnummern, Artikel, Mengen, Preise, Status, Zeitpunkte), Gebühren, Belege, Auszahlungen, Retouren und Erstattungen, Sendungsdaten, Produkt- und Angebotsdaten sowie Werbedaten (Konto- und Kampagnennamen, Kosten, Klicks, Umsätze), ferner die vom Auftraggeber selbst erfassten Angaben (z. B. Einkaufspreise, Kosten, Einstellungen). Einen Personenbezug haben diese Daten, soweit sie sich auf den Auftraggeber als natürliche Person beziehen (z. B. Verkäuferangaben in Angeboten) oder einzelnen Käufern zugeordnet werden können (§ 3a).

(4) Nicht Gegenstand dieses AVV sind Daten, die der Auftragsverarbeiter als Verantwortlicher verarbeitet, insbesondere Benutzerkonten und Anmeldung (einschließlich Sitzungs- und Anmeldeprotokollen), E-Mails zu Registrierung, Passwort und Abrechnung, Vertragsabwicklung und Abrechnung, Produktanalyse und Nutzungsstatistiken, Rückmeldungen (Feedback), die Messung von Werbeerfolgen sowie Newsletter und Kundenliste. Hierfür gilt die Datenschutzerklärung.

§ 3a Daten der Käufer des Auftraggebers

(1) Die Schnittstellen einiger Verkaufskanäle liefern mit den Bestelldaten Angaben zu den Käufern des Auftraggebers mit (z. B. Name, Anschrift, E-Mail-Adresse, Telefonnummer, Benutzername). Der Auftragsverarbeiter behandelt diese Angaben wie folgt; Einzelheiten je Kanal enthält Anlage 2:

a) Datenbank: Es werden keine Namen, Straßen, E-Mail-Adressen, Telefonnummern oder Benutzernamen von Käufern gespeichert. Gespeichert werden je Bestellung die Bestell- und Positionsnummern, das Lieferland, bei einzelnen Kanälen die Postleitzahl der Lieferadresse, sowie Sendungsnummern (Anlage 2).

b) Rohdatenarchiv: Vor dem Speichern werden Käuferangaben aus den Schnittstellenantworten entfernt, soweit Anlage 2 nichts anderes nennt.

c) Verarbeitung während des Abrufs: Während eines Abrufs liegen die vollständigen Schnittstellenantworten einschließlich der Käuferangaben kurzzeitig im Arbeitsspeicher der Server für die Hintergrundverarbeitung (§ 7) und werden vor dem Speichern nach a) und b) gekürzt.

(2) Bewertungsanfragen bei Amazon: Schaltet der Auftraggeber diese Funktion ein, fordert der Auftragsverarbeiter über die Amazon-Schnittstelle für einzelne Bestellungen die von Amazon vorgesehene Bewertungsanfrage an. Die Nachricht an den Käufer erstellt und versendet Amazon. Der Auftragsverarbeiter erhält dabei keine Käuferdaten und speichert nur Bestellnummer, Status und Zeitpunkte.

(3) Anfragen von Käufern zu ihren Daten beantwortet der Auftraggeber als Verantwortlicher. Der Auftragsverarbeiter unterstützt ihn dabei nach § 6 Abs. 4.

§ 4 Kategorien betroffener Personen

Betroffene Personen sind:

• Beschäftigte und Beauftragte des Auftraggebers, die über einen Account in der profitkonsole verfügen, einschließlich eingeladener Teammitglieder und Agenturen oder Berater
• der Auftraggeber selbst, soweit er eine natürliche Person ist
• vom Auftraggeber eingeladene Personen und benannte Empfänger von Berichts-E-Mails
• Käufer des Auftraggebers auf den verbundenen Verkaufskanälen, im Umfang des § 3a
• Inhaber von Verkäuferkonten, die der Auftraggeber mit deren Befugnis verbindet (AGB § 3b Abs. 3)

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist als Verantwortlicher im Sinne der DSGVO für die Rechtmäßigkeit der Datenverarbeitung verantwortlich.

(2) Der Auftraggeber erteilt dem Auftragsverarbeiter Weisungen in Bezug auf die Verarbeitung personenbezogener Daten. Der Hauptvertrag (AGB), dieser AVV sowie die Einstellungen, die der Auftraggeber in der Anwendung vornimmt (z. B. verbundene Kanäle, Freigaben, Berichtsempfänger), gelten als dokumentierte Weisung.

(3) Der Auftraggeber ist verpflichtet, seine eigenen Beschäftigten über die Datenverarbeitung im Rahmen der Plattformnutzung zu informieren.

(4) Die Meldepflicht bei Datenschutzvorfällen gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) obliegt dem Auftraggeber als Verantwortlichem.

(5) Der Auftraggeber kann innerhalb der Plattform weitere Nutzer (Teammitglieder, Administratoren, externe Berater/Agenturen) einladen und ihnen Zugriff auf seine Daten gewähren. Agenturen erhalten Zugriff auf die Kanäle, die ihnen nach AGB § 8a Abs. 2 freigegeben sind. Die Auswahl dieser Personen, die Vergabe ihrer Berechtigungen sowie deren Einhaltung datenschutzrechtlicher Vorgaben liegen in der alleinigen Verantwortung des Auftraggebers. Der Auftragsverarbeiter stellt lediglich die technische Infrastruktur zur Verwaltung dieser Zugriffe bereit.

(6) Ob Berichts-E-Mails an Dritte versandt, KI-Anwendungen über die MCP-Schnittstelle verbunden oder Bewertungsanfragen bei Amazon angefordert werden, entscheidet der Auftraggeber. Er stellt sicher, dass er hierzu berechtigt ist und die Bedingungen der jeweiligen Plattform sowie der gewählten KI-Anwendung einhält.

(7) Der Auftraggeber erteilt die Freigaben bzw. stellt die Zugangsdaten für die Schnittstellen der Plattformen selbst bereit. Er kann eine Verbindung jederzeit in der Anwendung trennen oder die Freigabe beim jeweiligen Anbieter widerrufen.

§ 6 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich und darf die Ausführung der Weisung bis zu ihrer Bestätigung aussetzen.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben.

(3) Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (Anlage 1).

(4) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde, bei Benachrichtigungen betroffener Personen und bei Datenschutz-Folgenabschätzungen, soweit dies erforderlich und zumutbar ist.

(5) Der Auftragsverarbeiter informiert den Auftraggeber über Verletzungen des Schutzes personenbezogener Daten nach Maßgabe von § 10.

(6) Nach Beendigung des Hauptvertrags verfährt der Auftragsverarbeiter mit den personenbezogenen Daten nach § 6a.

(7) Der Auftragsverarbeiter verwendet die Daten aus den verbundenen Kanälen und Werbekonten ausschließlich zur Erbringung seiner Leistungen gegenüber dem Auftraggeber. Er verkauft diese Daten nicht und gibt sie nicht an Dritte weiter, ausgenommen an Unterauftragsverarbeiter nach § 7, an die vom Auftraggeber bestimmten Empfänger nach § 7c und an Plattformbetreiber nach § 7b Abs. 3 und § 10 Abs. 2. Er nutzt die Daten nicht zum Training oder zur Verbesserung von Modellen der künstlichen Intelligenz oder des maschinellen Lernens und führt Daten mehrerer Auftraggeber nicht zusammen, um sie Dritten bereitzustellen.

(8) Beim Auftragsverarbeiter hat nur der Inhaber Zugriff auf die Daten des Auftraggebers. Er sieht sie ein, um den Betrieb sicherzustellen, Fehler zu beheben, Anfragen zu bearbeiten und zu prüfen, ob die Auswertungen für den Auftraggeber richtig berechnet werden; diese Einsicht ist Teil des Auftrags. Daten aus verbundenen Google-Werbekonten sieht er nur ein, wenn der Auftraggeber ein Problem meldet oder zustimmt. Angaben des Auftraggebers (zum Beispiel Einkaufspreise) ändert er nur auf dessen Anfrage oder nach Zustimmung in Textform und dokumentiert die Änderung.

§ 6a Löschung und Rückgabe

(1) Während der Vertragslaufzeit gilt:

a) Trennt der Auftraggeber einen Verkaufskanal oder ein Werbekonto in der Anwendung, löscht der Auftragsverarbeiter die gespeicherten Zugangsdaten. Bei Google Ads wird die Freigabe zusätzlich bei Google widerrufen. Bei OTTO wird die Verbindung deaktiviert; für OTTO speichert der Auftragsverarbeiter keine Zugangsdaten des Auftraggebers. Für die abgerufenen Daten des Kanals und die Angaben des Auftraggebers dazu gilt Absatz 2.

b) Die Löschung bereits abgerufener Daten einzelner Kanäle oder aller Daten kann der Auftraggeber jederzeit in Textform an datenschutz@profitkonsole.de verlangen. Der Auftragsverarbeiter bestätigt den Antrag und führt die Löschung innerhalb von 30 Tagen durch. Bei einer Löschung des gesamten Kontos beendet er einen über Stripe laufenden Plan zum Löschzeitpunkt; einen über Shopify abgerechneten Plan beendet der Auftraggeber durch Deinstallation der App.

c) Protokolle von Cortex- und MCP-Abrufen werden nach 90 Tagen automatisch gelöscht. Protokolle der Synchronisationsläufe werden nach 90 Tagen gelöscht.

(2) Kanäle, die nicht mehr verbunden oder nicht mehr im Plan sind. Trennt der Auftraggeber bei laufendem Vertrag einen Kanal, ein Verkaufskonto oder ein Werbekonto, widerruft er die Freigabe beim Plattformbetreiber oder umfasst sein Plan den Kanal nicht mehr (zum Beispiel nach Ablauf eines Plan-Tests), stoppt der Auftragsverarbeiter den Abruf und löscht 30 Tage danach alle Daten dieses Kanals: die abgerufenen Daten, das Rohdatenarchiv, die Zugangsdaten und die Angaben, die der Auftraggeber dazu erfasst hat (z. B. Einkaufspreise und Versandkosten). Mindestens sieben Tage vorher erinnert er den Auftraggeber per E-Mail; bis zur Löschung kann der Auftraggeber die Angaben exportieren oder einen Export nach Absatz 7 verlangen. Läuft eine Freigabe beim Plattformbetreiber ab oder wird sie ungültig, gilt das nicht als Trennen. Wird der Kanal vor der Löschung wieder verbunden oder in den Plan aufgenommen, entfällt sie. Die aus Amazon abgerufenen Daten löscht er bereits nach 28 Tagen, spätestens 30 Tage nach einem Widerruf bei Amazon.

(3) Ende des Vertrags. Endet der Testzeitraum ohne Buchung eines Plans oder endet ein Plan (Abrechnung über Stripe oder über den Shopify App Store) mit Ablauf der bezahlten Laufzeit, endet der Zugang und der Abruf wird gestoppt. Etwa eine Woche vor der Löschung erhält der Auftraggeber einen Hinweis per E-Mail. 30 Tage nach Ende des Testzeitraums bzw. der Laufzeit, frühestens sieben Tage nach dem Hinweis, löscht der Auftragsverarbeiter automatisch die Verkaufs-, Werbe- und Rohdaten aller verbundenen Kanäle, die Zugangsdaten, die vom Auftraggeber selbst erfassten Angaben, die Cortex- und MCP-Protokolle und die Synchronisationsprotokolle. Die aus Amazon abgerufenen Daten löscht er spätestens 30 Tage nach Ende des Zugangs. Erhalten bleiben das Benutzerkonto und die Team-Zugänge, die der Auftragsverarbeiter als Verantwortlicher verarbeitet (§ 3 Abs. 4), damit der Auftraggeber die Nutzung fortsetzen kann; ihre Löschung richtet sich nach der Datenschutzerklärung und Absatz 1 lit. b.

(4) Nach Beendigung der Leistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten des Auftraggebers nach Absatz 3, soweit keine gesetzliche Aufbewahrungspflicht besteht. Verlangt der Auftraggeber stattdessen die Rückgabe, stellt der Auftragsverarbeiter ihm die Daten nach Absatz 7 bereit und löscht sie danach; die Löschung nach Absatz 3 verschiebt sich in diesem Fall bis 30 Tage nach der Bereitstellung. Die Wahl erklärt der Auftraggeber in Textform an datenschutz@profitkonsole.de.

(5) Deinstalliert der Auftraggeber die App im Shopify-Admin, stoppt der Abruf der Shopify-Daten sofort; die Deinstallation gilt als Trennen dieses Shops. Nach dem Löschauftrag, den Shopify 48 Stunden nach der Deinstallation übermittelt, löscht der Auftragsverarbeiter nach weiteren sieben Tagen die aus Shopify abgerufenen Bestell-, Erstattungs-, Sendungs-, Zahlungs-, Auszahlungs- und Produktdaten, das Shopify-Rohdatenarchiv und das Zugangs-Token, sofern die App bis dahin nicht erneut verbunden wurde. Die übrigen Daten und die vom Auftraggeber zu diesem Shop erfassten Angaben (z. B. Einkaufspreise, Kosten, Werbeeinstellungen) löscht er nach Absatz 2; endet mit der Deinstallation zugleich ein über Shopify abgerechneter Plan, gilt Absatz 3. Daten anderer Kanäle und Werbekonten bleiben erhalten.

(6) Verlangt ein Plattformbetreiber nach seinen Bedingungen die Löschung von Daten, die über seine Schnittstelle abgerufen wurden (z. B. Löschaufträge von Shopify), setzt der Auftragsverarbeiter dies um, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(7) Vor Vertragsende kann der Auftraggeber Auswertungen und Berichte in der Anwendung als CSV- oder Excel-Datei herunterladen. Darüber hinaus stellt der Auftragsverarbeiter auf Verlangen in Textform an datenschutz@profitkonsole.de innerhalb von 30 Tagen eine Kopie der gespeicherten Daten in einem gängigen maschinenlesbaren Format bereit, auch nach Vertragsende bis zur Löschung nach Absatz 3.

(8) Gelöschte Daten können bis zu sieben Tage in den täglichen Datenbank-Sicherungen des Hosting-Anbieters enthalten bleiben; danach werden die Sicherungen überschrieben.

(9) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 7 Unterauftragsverarbeitung

(1) Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeitern vertraglich (schriftlich oder in einem elektronischen Format) mindestens die gleichen Datenschutzpflichten auferlegt werden wie in diesem AVV. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Auftraggeber für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

(3) Der Auftragsverarbeiter informiert den Auftraggeber per E-Mail mindestens 30 Tage vor dem Einsatz über beabsichtigte Änderungen bei Unterauftragsverarbeitern. Der Auftraggeber kann innerhalb von 14 Tagen nach Mitteilung Widerspruch einlegen. Im Falle eines berechtigten Widerspruchs steht dem Auftraggeber ein Sonderkündigungsrecht zu.

(4) Die derzeit eingesetzten Unterauftragsverarbeiter nennt Anlage 3.

(5) Keine Unterauftragsverarbeiter im Sinne dieses AVV sind die Betreiber der verbundenen Plattformen (§ 7b), die vom Auftraggeber bestimmten Empfänger (§ 7c) sowie Dienste, die der Auftragsverarbeiter ausschließlich für eigene Zwecke nutzt, insbesondere Stripe und Shopify für die Abrechnung des Hauptvertrags. Einzelheiten hierzu stehen in der Datenschutzerklärung.

§ 7a KI-Assistent „Cortex“

(1) Cortex ist Bestandteil der Pläne (AGB § 9a). Daten werden an den KI-Dienstleister nur für Nutzer des Auftraggebers übermittelt, die in die Nutzung eingewilligt haben; ohne Einwilligung findet keine Übermittlung statt.

(2) Bei Nutzung von Cortex werden die vom Nutzer eingegebene Frage, daraus abgeleitete aggregierte Kennzahlen (z. B. Umsätze, Margen, Retouren – keine personenbezogenen Käuferdaten) sowie die erzeugte Antwort an Mistral AI SAS (Frankreich, EU) übermittelt, um die Antwort zu generieren. Daten aus verbundenen Google-Werbekonten werden nicht übermittelt.

(3) Mistral verarbeitet diese Daten ausschließlich zur Erbringung der Antwort, nicht zum Training eigener Modelle, und löscht sie nach maximal 30 Tagen (Missbrauchserkennung). Die Verarbeitung erfolgt in der EU.

(4) Der Auftragsverarbeiter protokolliert Anfrage und Antwort zur Fehlerbehebung und Nachvollziehbarkeit der Antworten im Auftrag des Auftraggebers. Diese Protokolle werden nach 90 Tagen automatisch gelöscht; bei Widerruf der Einwilligung werden die Protokolle des jeweiligen Nutzers unverzüglich gelöscht.

(5) Die Einwilligung erfolgt pro Nutzer und ist jederzeit widerrufbar. Im Übrigen gelten die Pflichten dieses AVV (insbesondere § 7) für Mistral AI SAS als Unterauftragsverarbeiter entsprechend.

§ 7b Plattformbetreiber als eigenständige Verantwortliche

(1) Die Betreiber der Verkaufskanäle und Werbeplattformen, die der Auftraggeber verbindet (Anlage 2), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Sie verarbeiten die Daten in ihren eigenen Systemen in eigener Verantwortung bzw. auf Grundlage ihrer Verträge mit dem Auftraggeber. Der Auftragsverarbeiter ruft die Daten im Auftrag des Auftraggebers über deren Schnittstellen ab, und zwar mit den Freigaben, die der Auftraggeber erteilt. Die Verarbeitung durch die Plattformbetreiber einschließlich etwaiger Übermittlungen in Drittländer ist nicht Gegenstand dieses AVV.

(2) Bei den Bewertungsanfragen (§ 3a Abs. 2) erstellt und versendet Amazon die Nachricht an den Käufer in eigener Verantwortung.

(3) Die Plattformbetreiber binden den Auftragsverarbeiter über ihre Entwickler- und Lizenzbedingungen zusätzlich, etwa zu Löschung, Zweckbindung, Sicherheit und Meldung von Vorfällen. Einzelne Plattformbetreiber behalten sich vor, die Einhaltung ihrer Bedingungen zu überwachen und zu prüfen, eBay etwa auch durch Zugriff auf die Systeme des Auftragsverarbeiters. Dabei kann der Plattformbetreiber Einblick in Daten erhalten, die über seine Schnittstelle abgerufen wurden.

§ 7c Vom Auftraggeber bestimmte Empfänger

(1) Auf Weisung des Auftraggebers übermittelt der Auftragsverarbeiter Daten an folgende Empfänger, die keine Unterauftragsverarbeiter sind:

a) KI-Anwendungen über die MCP-Schnittstelle: Verbindet ein Inhaber, Administrator oder Moderator des Auftraggebers eine KI-Anwendung (z. B. ChatGPT oder Claude), gilt dies als Weisung des Auftraggebers zur Übermittlung. Die Anwendung ruft nach Anmeldung des Nutzers Kennzahlen, einzelne Bestellungen (Bestellnummer, Status, Artikel, Beträge, Kosten und Deckungsbeitrag, ohne Namen, Anschriften, Kontaktdaten und Kundennummern der Käufer), Artikel- und Werbedaten der Kanäle ab, die der Auftragsverarbeiter für die Schnittstelle freigeschaltet hat. Die Schnittstelle erlaubt nur Lesezugriffe. Die weitere Verarbeitung erfolgt beim Anbieter der KI-Anwendung nach dessen Bedingungen und im Verhältnis zwischen dem Auftraggeber bzw. Nutzer und diesem Anbieter. Der Auftragsverarbeiter protokolliert jeden Abruf; die Protokolle werden nach 90 Tagen gelöscht. Der Auftraggeber kann die Schnittstelle für sein Konto abschalten; der Auftragsverarbeiter kann sie je Konto sperren; nach Ende des Testzeitraums oder des Plans ist sie gesperrt.

b) Berichts-E-Mails an die vom Auftraggeber eingetragenen Empfänger, auch mit Anhängen (z. B. Bestell- und Produktlisten).

c) Teammitglieder und Agenturen nach § 5 Abs. 5.

(2) Für die Auswahl dieser Empfänger und die Rechtsgrundlage der Übermittlung ist der Auftraggeber verantwortlich.

§ 8 Kontrollrechte

(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorgaben zu überprüfen.

(2) Der Nachweis erfolgt in der Regel durch Vorlage geeigneter Nachweise wie aktueller Zertifizierungen, Auditberichte oder Selbstauskünfte des Auftragsverarbeiters.

(3) Vor-Ort-Prüfungen sind nur nach vorheriger Vereinbarung mit angemessener Vorlaufzeit und auf Kosten des Auftraggebers möglich, sofern die Vorlage von Nachweisen gemäß Absatz 2 nicht ausreichend ist.

§ 9 Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Er passt sie dem Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.

§ 10 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Auftraggebers betrifft. Die Meldung umfasst, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl der Betroffenen, die voraussichtlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Fehlende Angaben werden nachgereicht.

(2) Betrifft ein Vorfall Daten, die über die Schnittstelle einer Plattform abgerufen wurden, meldet der Auftragsverarbeiter ihn zusätzlich dem Plattformbetreiber, soweit dessen Bedingungen dies vorsehen (z. B. Amazon und Shopify innerhalb von 24 Stunden, bol.com und OTTO unverzüglich). Der Auftraggeber ist damit einverstanden.

(3) Hinweise auf Sicherheitslücken und Sicherheitsvorfälle nimmt der Auftragsverarbeiter unter datenschutz@profitkonsole.de entgegen.

§ 11 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Beide Parteien haften nur im Rahmen ihrer jeweiligen Verantwortlichkeit für Schäden, die aus einer unrechtmäßigen Verarbeitung entstehen. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags (AGB § 9), soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 12 Drittlandübermittlung

(1) Die Datenbank und das Rohdatenarchiv liegen in einem EU-Rechenzentrum (Stockholm, Schweden). Die Programmfunktionen der Anwendung und die Hintergrundverarbeitung laufen in der EU (Frankfurt), ausgenommen einzelne Hilfsfunktionen für den E-Mail-Versand und die Programmfunktionen der Website (Anlage 3).

(2) Soweit Unterauftragsverarbeiter personenbezogene Daten in Drittländer übermitteln oder aus Drittländern auf sie zugreifen können (insbesondere beim E-Mail-Versand, bei der Fehleranalyse, bei der geschäftlichen E-Mail, beim Hosting der Website einschließlich des Empfangs von eBay-Löschmitteilungen sowie bei Zugriffen der Anbieter mit Sitz in den USA und im Vereinigten Königreich), erfolgt dies unter Einhaltung von Kapitel V DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Frameworks (DPF), von Standardvertragsklauseln (SCC) oder eines Angemessenheitsbeschlusses.

(3) Übermittlungen durch die Plattformbetreiber (§ 7b) und durch die vom Auftraggeber bestimmten Empfänger (§ 7c) sind nicht Gegenstand dieser Bestimmung.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform; ein elektronisches Format genügt.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Dieser AVV ergänzt die AGB der profitkonsole und geht in datenschutzrechtlichen Belangen im Zweifelsfall vor.

(5) Änderungen dieses AVV teilt der Auftragsverarbeiter dem Auftraggeber mindestens 30 Tage vor ihrem Inkrafttreten in Textform mit. Widerspricht der Auftraggeber nicht innerhalb dieser Frist, gelten die Änderungen als vereinbart; auf diese Folge wird in der Mitteilung hingewiesen. Das Widerspruchsrecht nach § 7 Abs. 3 bleibt unberührt.

(6) Geht der Hauptvertrag nach AGB § 12 Abs. 4 auf einen Rechtsnachfolger über, tritt dieser als Auftragsverarbeiter in diesen AVV ein. Der Auftragsverarbeiter teilt den Übergang mit der Mitteilung nach AGB § 12 Abs. 4 mit; der Auftraggeber kann ihm wie einer Änderung bei Unterauftragsverarbeitern widersprechen (§ 7 Abs. 3) oder den Hauptvertrag nach AGB § 12 Abs. 4 kündigen.

Anlage 1 – Technisch-organisatorische Maßnahmen

Vertraulichkeit

• Verschlüsselung: TLS 1.2+ (Transport), AES-256 (Encryption at Rest durch den Datenbank-Anbieter)
• Zusätzliche Verschlüsselung der Zugangsdaten zu Verkaufskanälen und Werbekonten in der Anwendung mit AES-256-GCM. Der Schlüssel liegt außerhalb der Datenbank in der Serverumgebung; für eine Entschlüsselung müssten also zwei voneinander unabhängige Geheimnisse bekannt sein. Angezeigt werden höchstens die letzten vier Zeichen. Die Tabelle ist nur für die Serverfunktionen lesbar, nicht für Nutzerkonten.
• Für OTTO werden keine Zugangsdaten des Auftraggebers gespeichert; Zugriffstoken werden bei Bedarf abgerufen und nur im Arbeitsspeicher gehalten.
• Datenminimierung beim Abruf (§ 3a, Anlage 2)
• Mandantentrennung: separate PostgreSQL-Schemas pro Kunde; Datenbankfunktionen prüfen die Berechtigung für den jeweiligen Mandanten
• Zugriffssteuerung: JWT-basierte Authentifizierung; kein direkter Zugriff der Nutzerkonten auf die Mandantentabellen, Zugriff nur über Datenbankfunktionen mit Berechtigungsprüfung; Row-Level Security (RLS) auf den gemeinsamen Tabellen
• Rollenkonzept: Inhaber, Administrator, Moderator und Berater (Agentur) mit Least-Privilege-Prinzip; Agenturen sehen nur die ihnen freigegebenen Kanäle, das wird serverseitig geprüft
• Rohdatenarchiv in nicht öffentlichen Speicherbereichen
• Externe KI-Anwendungen (MCP): Anmeldung über OAuth 2.1, Sperrmöglichkeit je Konto, Begrenzung der Abrufe je Tag und je Minute, Protokollierung jedes Abrufs
• Feste ausgehende IP-Adressen für Plattformen, die Aufrufe nur von hinterlegten Adressen annehmen (Hintergrundverarbeitung in Frankfurt)
• Mehr-Faktor-Authentifizierung für alle administrativen Zugänge zu den eingesetzten Diensten (unter anderem Hosting, Datenbank, Code-Verwaltung, Hintergrundverarbeitung, Zahlungsdienst, E-Mail); in der Anwendung kann jeder Nutzer eine Zwei-Faktor-Anmeldung einrichten
• Passwörter für neue Benutzerkonten mit mindestens 12 Zeichen; Abgleich mit bekannten geleakten Passwörtern
• Secrets in Umgebungsvariablen, keine Hardcodierung im Quellcode; automatische Prüfung auf versehentlich eingecheckte Geheimnisse (gitleaks)
• Rotation langlebiger Zugangsschlüssel mindestens alle 12 Monate

Integrität

• Signaturprüfung eingehender Webhooks (Stripe, Shopify)
• serverseitige Validierung der API-Eingaben
• Protokollierung von Cortex- und MCP-Abrufen, der Synchronisationsläufe und der Eingriffe über die Verwaltungsoberfläche der Anwendung

Verfügbarkeit und Wiederherstellung

• Serverless-Hosting mit Auto-Scaling und DDoS-Schutz
• automatische tägliche Datenbank-Sicherungen mit einer Aufbewahrung von sieben Tagen
• Rohdatenarchiv, aus dem Auswertungen ohne erneuten Abruf neu berechnet werden können
• Code-Versionierung via Git; Deployment-Rollback jederzeit möglich

Regelmäßige Überprüfung

• automatischer Schwachstellenscan der laufenden Anwendung wöchentlich (OWASP ZAP Baseline)
• bei jeder Codeänderung automatische Prüfung auf eingecheckte Geheimnisse (gitleaks) und bekannte Schwachstellen (Trivy, npm audit) sowie statische Code-Analyse (Semgrep)
• automatische Hinweise auf Schwachstellen in Abhängigkeiten; Bewertung und Aktualisierung nach Risiko
• Vorfallsreaktionsplan (Erkennen, Eindämmen, Bewerten, Melden, Beheben, Dokumentieren), Überprüfung halbjährlich und nach jedem Vorfall

Anlage 2 – Plattformen und Käuferdaten je Kanal

Stand: 12. November 2026. Diese Anlage nennt die Plattformen, die der Auftraggeber derzeit verbinden kann, und wie mit Käuferangaben umgegangen wird. Neue Plattformen ergänzt der Auftragsverarbeiter nach § 13 Abs. 5; eine Plattform wird erst Teil der Leistung, wenn sie in der Anwendung freigeschaltet ist (AGB § 3b Abs. 1).

Anlage 3 – Unterauftragsverarbeiter