Version: 23 July 2026

1. Parties, Conclusion and Precedence

This Data Processing Agreement ("DPA") is concluded between the user of the "SellerMagnet" software (the "Controller") and Hive Solutions GmbH, Gimbsheimer Str. 7, 67577 Alsheim, Germany (the "Processor"). It forms an integral part of the contract concluded on the basis of our General Terms and Conditions (GTC) and is concluded upon registration together with the GTC. In the event of a conflict between this DPA and the GTC with respect to the processing of personal data on behalf of the Controller, this DPA prevails.

2. Subject Matter and Duration

The subject matter of this DPA is the processing of personal data by the Processor on the Controller's behalf in the course of providing the SaaS software "SellerMagnet" and the associated services under the GTC. The duration of this DPA corresponds to the term of the main contract. It ends automatically upon termination of the main contract, without prejudice to the obligations under Section 10.

3. Nature and Purpose of the Processing, Categories of Data and Data Subjects

3.1 Nature and purpose: import, storage, organisation, analysis, aggregation and display of marketplace data from the Controller's connected seller accounts (in particular via the Amazon Selling Partner API and the Amazon Advertising API) for the purpose of providing analytics, repricing, advertising, alerting and automation features.

3.2 Categories of personal data: order-related data of the Controller's buyers to the extent it qualifies as personal data, namely order identifiers, order status and transaction details, ordered products and quantities, and order-level location data (country, region, city and postal code). The Processor does not receive or store names, e-mail addresses or street addresses of the Controller's buyers.

3.3 Categories of data subjects: customers (buyers) of the Controller on the connected marketplaces.

4. Instructions

The Processor processes personal data only on documented instructions from the Controller, unless required to do so by Union or Member State law to which the Processor is subject; in such a case, the Processor shall inform the Controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest. The GTC, this DPA and the configuration the Controller applies within the software (in particular the connection of seller accounts and the activation of individual features) constitute the Controller's complete instructions at the time of conclusion. Individual further instructions must be given in text form. If the Processor is of the opinion that an instruction infringes applicable data protection law, it shall inform the Controller without undue delay and may suspend the execution of the instruction until it is confirmed or changed.

5. Confidentiality

The Processor ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality, and that they process the data only on instructions and to the extent required for their tasks.

6. Technical and Organisational Measures (Art. 32 GDPR)

The Processor implements and maintains appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including in particular: encryption of personal data in transit and at rest; role-based access controls restricting access to authorised personnel; logging of relevant access; regular backups; regular security reviews and assessments; and procedures for regularly testing, assessing and evaluating the effectiveness of these measures. The measures may be adapted to technical progress, provided the agreed level of protection is not reduced.

7. Subprocessors

7.1 The Controller grants a general authorisation for the engagement of subprocessors. The Processor currently engages the following subprocessors:

- Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg — hosting and infrastructure services (including managed databases and e-mail dispatch); data centers in the EU (region Frankfurt, eu-central-1).

7.2 The Processor shall inform the Controller of any intended addition or replacement of subprocessors in text form (e-mail and/or user account) at least 30 days before the change takes effect. The Controller may object to the change on reasonable data protection grounds within 30 days of the notification. If no agreement on the objection can be reached, either party may terminate the main contract as of the date the change takes effect.

7.3 The Processor imposes on each subprocessor, by way of a contract, the same data protection obligations as set out in this DPA, in particular providing sufficient guarantees to implement appropriate technical and organisational measures. Where the subprocessor fails to fulfil its data protection obligations, the Processor remains fully liable to the Controller for the performance of that subprocessor's obligations.

8. Assistance Obligations; Personal Data Breaches

Taking into account the nature of the processing, the Processor assists the Controller by appropriate technical and organisational measures, insofar as this is possible, in fulfilling the Controller's obligation to respond to requests for exercising the data subject's rights (Chapter III GDPR). If a data subject contacts the Processor directly, the Processor shall forward the request to the Controller without undue delay.

The Processor further assists the Controller in ensuring compliance with the obligations pursuant to Art. 32 to 36 GDPR, taking into account the nature of processing and the information available to the Processor. The Processor shall notify the Controller without undue delay after becoming aware of a personal data breach concerning personal data processed on the Controller's behalf, providing the information required under Art. 33(3) GDPR to the extent available.

9. Information and Audit Rights

The Processor makes available to the Controller all information necessary to demonstrate compliance with the obligations laid down in Art. 28 GDPR and allows for and contributes to audits, including inspections, conducted by the Controller or another auditor mandated by the Controller. Audits shall be announced with reasonable notice, take place during regular business hours no more than once per calendar year (unless a specific incident gives cause for more), shall not unreasonably disrupt the Processor's operations, and the Controller bears its own costs. The Processor may satisfy audit requests by providing meaningful, current attestations, reports or certifications, unless these are insufficient in the individual case.

10. Deletion and Return

Upon termination of the main contract, the Processor shall delete the personal data processed on the Controller's behalf within 30 days, unless Union or Member State law requires storage of the personal data. Prior to the end of the contract, the Controller is responsible for exporting the data it requires, in accordance with the GTC.

11. Place of Processing; Third-Country Transfers

Processing under this DPA takes place in data centers within the EU. A transfer of personal data processed on the Controller's behalf to a third country requires the conditions of Chapter V GDPR to be met, in particular an adequacy decision of the European Commission or appropriate safeguards pursuant to Art. 46 GDPR.

12. Final Provisions

The liability of the parties is governed by the statutory provisions, in particular Art. 82 GDPR, and, to the extent permissible, by Section 9 of the GTC. Should individual provisions of this DPA be or become invalid, this shall not affect the validity of the remaining provisions. This DPA is governed by the law of the Federal Republic of Germany. In the event of discrepancies between the German and the English version of this DPA, the German version prevails.

Stand: 23. Juli 2026

1. Parteien, Zustandekommen und Vorrang

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen dem Nutzer der Software „SellerMagnet" (der „Verantwortliche") und der Hive Solutions GmbH, Gimbsheimer Str. 7, 67577 Alsheim, Deutschland (der „Auftragsverarbeiter"). Er ist integraler Bestandteil des auf Grundlage unserer Allgemeinen Geschäftsbedingungen (AGB) geschlossenen Vertrages und kommt mit der Registrierung zusammen mit den AGB zustande. Bei Widersprüchen zwischen diesem AVV und den AGB in Bezug auf die Verarbeitung personenbezogener Daten im Auftrag geht dieser AVV vor.

2. Gegenstand und Dauer

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Software „SellerMagnet" und der zugehörigen Leistungen nach den AGB. Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung; die Pflichten nach Ziffer 10 bleiben unberührt.

3. Art und Zweck der Verarbeitung, Datenkategorien und betroffene Personen

3.1 Art und Zweck: Import, Speicherung, Organisation, Analyse, Aggregation und Anzeige von Marktplatzdaten aus den verbundenen Verkäuferkonten des Verantwortlichen (insbesondere über die Amazon Selling Partner API und die Amazon Advertising API) zum Zweck der Bereitstellung von Analyse-, Repricing-, Werbe-, Benachrichtigungs- und Automatisierungsfunktionen.

3.2 Kategorien personenbezogener Daten: bestellbezogene Daten der Käufer des Verantwortlichen, soweit sie personenbezogen sind, namentlich Bestellkennungen, Bestellstatus und Transaktionsdetails, bestellte Produkte und Mengen sowie bestellbezogene Standortdaten (Land, Region, Stadt und Postleitzahl). Der Auftragsverarbeiter erhält und speichert keine Namen, E-Mail-Adressen oder Straßenanschriften der Käufer des Verantwortlichen.

3.3 Kategorien betroffener Personen: Kunden (Käufer) des Verantwortlichen auf den verbundenen Marktplätzen.

4. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die AGB, dieser AVV sowie die vom Verantwortlichen in der Software vorgenommene Konfiguration (insbesondere die Verbindung von Verkäuferkonten und die Aktivierung einzelner Funktionen) bilden die vollständige Weisung zum Zeitpunkt des Vertragsschlusses. Einzelweisungen bedürfen der Textform. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung auszusetzen, bis die Weisung bestätigt oder geändert wird.

5. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die Daten nur weisungsgebunden und im für ihre Aufgaben erforderlichen Umfang verarbeiten.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft und unterhält geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere: Verschlüsselung personenbezogener Daten bei der Übertragung und im Ruhezustand; rollenbasierte Zugriffskontrollen, die den Zugriff auf befugtes Personal beschränken; Protokollierung relevanter Zugriffe; regelmäßige Datensicherungen; regelmäßige Sicherheitsüberprüfungen und -bewertungen; sowie Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen. Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

7.1 Der Verantwortliche erteilt eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Der Auftragsverarbeiter setzt derzeit folgende Unterauftragsverarbeiter ein:

- Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg — Hosting- und Infrastrukturleistungen (einschließlich verwalteter Datenbanken und E-Mail-Versand); Rechenzentren in der EU (Region Frankfurt, eu-central-1).

7.2 Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in Textform (E-Mail und/oder Nutzerkonto) mindestens 30 Tage vor Wirksamwerden der Änderung. Der Verantwortliche kann der Änderung aus nachvollziehbaren datenschutzrechtlichen Gründen innerhalb von 30 Tagen nach Zugang der Mitteilung widersprechen. Kommt eine Einigung über den Widerspruch nicht zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

7.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters in vollem Umfang.

8. Unterstützungspflichten; Verletzungen des Schutzes personenbezogener Daten

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Kapitel III DSGVO) nachzukommen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen. Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag verarbeitete personenbezogene Daten betrifft, und stellt dabei die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen zur Verfügung, soweit verfügbar.

9. Informations- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Überprüfungen sind mit angemessener Frist anzukündigen, finden während der üblichen Geschäftszeiten und höchstens einmal pro Kalenderjahr statt (sofern nicht ein konkreter Vorfall Anlass zu weiteren gibt), dürfen den Betrieb des Auftragsverarbeiters nicht unangemessen stören, und der Verantwortliche trägt seine eigenen Kosten. Der Auftragsverarbeiter kann Prüfersuchen auch durch Vorlage aussagekräftiger, aktueller Testate, Berichte oder Zertifizierungen erfüllen, soweit diese im Einzelfall nicht unzureichend sind.

10. Löschung und Rückgabe

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Der Verantwortliche ist dafür verantwortlich, die von ihm benötigten Daten vor Vertragsende gemäß den AGB zu exportieren.

11. Ort der Verarbeitung; Drittlandübermittlungen

Die Verarbeitung nach diesem AVV erfolgt in Rechenzentren innerhalb der EU. Eine Übermittlung im Auftrag verarbeiteter personenbezogener Daten in ein Drittland setzt die Einhaltung der Voraussetzungen des Kapitels V DSGVO voraus, insbesondere einen Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien gemäß Art. 46 DSGVO.

12. Schlussbestimmungen

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, sowie, soweit zulässig, nach Ziffer 9 der AGB. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen der deutschen und der englischen Fassung dieses AVV gilt die deutsche Fassung.