Auftragsverarbeitungsvertrag (AVV)
Version 2026-08-18 — diese Fassung gilt ab dem 18. August 2026.
Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten, die AIProCraft im Auftrag seiner Kundinnen und Kunden (»Verantwortlicher«) bei der Erbringung von Leistungen durchführt, die Daten aus angebundenen Shop-Systemen analysieren — derzeit der Revenue-Recovery-Dienst für Shopify-Shops. Er gilt ergänzend zu unseren AGB; bei Widersprüchen in Bezug auf die Auftragsverarbeitung geht dieser Vertrag vor. Der Vertrag wird elektronisch geschlossen: Vor der Anbindung eines Shops erklärt der Verantwortliche die Annahme dieses Vertrags über die dafür vorgesehene Funktion im Kundenportal; die Annahme wird serverseitig mit Konto, annehmendem Nutzer, Zeitpunkt und Vertragsversion protokolliert. Maßgeblich ist die deutsche Fassung; Übersetzungen dienen nur der Verständlichkeit.
Parteien und Rollen
Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde, der die Leistung nutzt. Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist M. Amin Sayegh, handelnd als AIProCraft, Paul-Bertz-Str. 38, 09120 Chemnitz, Deutschland. Der Auftragsverarbeiter verarbeitet die von diesem Vertrag erfassten personenbezogenen Daten ausschließlich im Auftrag und zu Zwecken des Verantwortlichen.
Gegenstand und Dauer
Gegenstand der Verarbeitung ist die Analyse von Handelsdaten aus den angebundenen Shop-Systemen des Verantwortlichen zur Erkennung von Umsatzverlust-Mustern und zur Bereitstellung belegbasierter Ergebnisse (Revenue Recovery). Die Verarbeitung beginnt mit der Anbindung eines Shops und endet mit der Trennung der Verbindung bzw. der Deinstallation der App; verbleibende abgeleitete Ergebnisse werden nach den im Abschnitt »Löschung und Rückgabe« genannten Fristen gelöscht.
Art und Zweck der Verarbeitung
Lesender Abruf von Handelsdaten über die API der Shop-Plattform (für Shopify: Scopes read_products, read_orders, read_all_orders), flüchtige Analyse dieser Daten im Arbeitsspeicher durch Erkennungslogik sowie Speicherung abgeleiteter Scan-Ergebnisse und Findings. Es werden keine Daten in das Shop-System zurückgeschrieben; personenbezogene Daten werden nicht für Werbung, kein Profiling betroffener Personen und keinen anderen Zweck als die Leistungserbringung gegenüber dem Verantwortlichen verwendet.
Kategorien personenbezogener Daten
Aus dem angebundenen Shop abgerufene Bestell-, Erstattungs- und Versanddatensätze: Bestellkennungen, Daten, Beträge, Rabattcodes, Bestellpositionen sowie die interne Kundenreferenznummer der Plattform. Kundennamen, E-Mail-Adressen, Telefonnummern oder Postanschriften werden nicht abgerufen. Gespeicherte abgeleitete Ergebnisse enthalten höchstens Bestell-/Erstattungsreferenzen als Beleg.
Kategorien betroffener Personen
Kundinnen und Kunden (Käufer) des Shops des Verantwortlichen, deren Bestellungen in den abgerufenen Handelsdaten enthalten sind.
Dokumentierte Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Das Anbinden eines Shops, das Auslösen oder Planen von Scans, das Trennen der Verbindung und die Deinstallation der App gelten als über den Dienst erteilte Weisungen; weitere Weisungen können in Textform erteilt werden. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt.
Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).
Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Transportverschlüsselung (HTTPS/TLS) für alle Verbindungen zur Shop-Plattform, zur Anwendung und zur Datenbank-Infrastruktur; verschlüsselte Speicherung auf der Datenbank-Infrastruktur; zusätzliche anwendungsseitige AES-256-GCM-Verschlüsselung der Shop-Zugangsdaten mit separat verwaltetem Schlüssel; strikte Mandantentrennung über Row-Level-Security der Datenbank; ausschließlich serverseitige Verarbeitung mit Least-Privilege-Zugriffsgrenzen; keine Speicherung roher Bestell- oder Kundendatensätze; automatische Löschung nach festen Aufbewahrungsfristen. Die Maßnahmen werden dem Stand der Technik entsprechend fortgeschrieben, ohne das vereinbarte Schutzniveau zu unterschreiten.
Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der für den Betrieb des Dienstes genutzten Unterauftragsverarbeiter; die aktuell eingesetzten Unterauftragsverarbeiter sind im Abschnitt »Verzeichnis der Unterauftragsverarbeiter« aufgeführt. Beabsichtigte Ergänzungen oder Ersetzungen kündigt der Auftragsverarbeiter mindestens 30 Tage vor Wirksamwerden in Textform an (per E-Mail an die beim Konto hinterlegte Adresse) und aktualisiert das Verzeichnis auf dieser Seite, sodass der Verantwortliche aus berechtigten Gründen widersprechen kann (Art. 28 Abs. 2 DSGVO). Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen; kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen in vollem Umfang für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO).
Verzeichnis der Unterauftragsverarbeiter
Stand: 18. August 2026. Für den Revenue-Recovery-Dienst werden die folgenden Unterauftragsverarbeiter eingesetzt:
| Unterauftragsverarbeiter | Funktion | Verarbeitungsort | Übermittlungsgrundlage |
|---|---|---|---|
| Supabase | Datenbank- und Authentifizierungs-Infrastruktur; Speicherung der gespeicherten Revenue-Recovery-Daten | AWS-Region eu-central-1 (Frankfurt, Deutschland) | Auftragsverarbeitungsvertrag von Supabase (in dessen Nutzungsbedingungen einbezogen), einschließlich EU-Standardvertragsklauseln, soweit anwendbar |
| Vercel | Anwendungs-Hosting und serverseitige Verarbeitung (Serverless Functions) | derzeit einschließlich der Region iad1 (USA) | Vercel Pro Data Processing Addendum einschließlich der EU-Standardvertragsklauseln (2021) |
Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen (Art. 12–23 DSGVO) zu beantworten. Für Shopify-Shops werden Lösch- und Auskunftsanfragen, die Shopify über seine Datenschutz-Webhooks (customers/data_request, customers/redact, shop/redact) übermittelt, automatisiert verarbeitet.
Löschung und Rückgabe
Rohe Bestell- und Kundendatensätze werden nicht gespeichert und bedürfen daher keiner Löschung oder Rückgabe. Der kostenlose Retouren-Kosten-Check speichert darüber hinaus kein Ergebnis — weder Scan-Ergebnisse noch Findings —, sodass für ihn nichts zu löschen oder zurückzugeben ist; die nachfolgenden Löschfristen gelten ausschließlich für die abgeleiteten Ergebnisse der Product-Intelligence-Prüfungen und Revenue-Recovery-Scans. Abgeleitete Scan-Ergebnisse werden automatisch gelöscht: Scan-Historie spätestens nach 180 Tagen; durch neuere Scans nicht mehr bestätigte Findings spätestens nach 90 Tagen; nach Trennung der Verbindung oder Deinstallation sämtliche verbleibenden Ergebnisse spätestens nach 30 Tagen, wobei verschlüsselte Zugangsdaten sofort entfernt werden. Nach Beendigung der Erbringung der Verarbeitungsleistungen wird der Auftragsverarbeiter — nach Wahl des Verantwortlichen — die noch gespeicherten personenbezogenen Daten (die abgeleiteten Scan-Ergebnisse und Findings) entweder löschen oder in einem gängigen, maschinenlesbaren Format an den Verantwortlichen herausgeben und anschließend vorhandene Kopien löschen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Speicherung verlangt (Art. 28 Abs. 3 lit. g DSGVO). Übt der Verantwortliche die Wahl nicht innerhalb der oben genannten Fristen aus, werden die Daten gelöscht.
Informations- und Prüfrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von ihm beauftragten Prüfer in angemessenen Abständen und nach angemessener Vorankündigung (Art. 28 Abs. 3 lit. h DSGVO).
Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Rahmen der Auftragsverarbeitung bekannt geworden ist, und unterstützt ihn unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Art. 33 und 34 DSGVO.
Unterstützung des Verantwortlichen (Art. 32–36 DSGVO)
Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. f DSGVO): bei der Sicherheit der Verarbeitung (Art. 32), bei den Melde- und Benachrichtigungspflichten bei Verletzungen des Schutzes personenbezogener Daten (Art. 33 und 34 — siehe Abschnitt »Verletzungen des Schutzes personenbezogener Daten«), bei Datenschutz-Folgenabschätzungen (Art. 35) sowie bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36), insbesondere durch Bereitstellung der in diesem Vertrag beschriebenen Informationen über Art, Umfang und Sicherheitsmaßnahmen der Verarbeitung.
Internationale Datenübermittlungen
Die Verarbeitung erfolgt innerhalb der Infrastruktur der im Verzeichnis der Unterauftragsverarbeiter genannten Anbieter. Die dauerhafte Speicherung der Revenue-Recovery-Daten erfolgt bei Supabase in der AWS-Region eu-central-1 (Frankfurt, Deutschland). Die serverseitige Verarbeitung durch die Anwendung erfolgt auf der Infrastruktur von Vercel und schließt derzeit die Region iad1 (USA) ein; insoweit findet eine Übermittlung in ein Drittland statt, die auf das Vercel Pro Data Processing Addendum einschließlich der EU-Standardvertragsklauseln (2021) gestützt wird. Darüber hinaus erfolgt eine Übermittlung personenbezogener Daten in ein Drittland nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.
Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Information seiner eigenen Kundinnen und Kunden und eine geeignete Rechtsgrundlage für die dem Auftragsverarbeiter zugänglich gemachten Shopdaten verantwortlich. Er bindet nur Shops an, zu deren Anbindung er berechtigt ist.