Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") gilt für die Verarbeitung personenbezogener Daten durch Adbrains B.V. ("Auftragsverarbeiter") im Auftrag des Kunden ("Verantwortlicher") im Rahmen des Dienstleistungsvertrags.

Artikel 1, Definitionen

• DSGVO: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)
• Personenbezogene Daten: alle Informationen über eine identifizierte oder identifizierbare natürliche Person
• Verarbeitung: jeder Vorgang im Zusammenhang mit personenbezogenen Daten im Sinne der DSGVO
• Verletzung: eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO

Artikel 2, Zweck & Art der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck von:

• der Verwaltung und Optimierung von Google-Ads-Kampagnen im Auftrag des Verantwortlichen
• der Übermittlung von Conversion-Daten an Google Ads und gegebenenfalls Meta
• der Erstellung von Kampagnenberichten und KI-Analysen
• der Bereitstellung des Kundenportals und Dashboards

Kategorien betroffener Personen: Websitebesucher und Kunden des Verantwortlichen.

Kategorien personenbezogener Daten: IP-Adressen, Klick-Identifier (GCLID, fbclid), E-Mail-Adressen, Conversion-Daten.

Artikel 3, Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich zu:

• Verarbeitung ausschließlich nach schriftlichen Weisungen des Verantwortlichen
• Geheimhaltung personenbezogener Daten gegenüber Dritten
• geeigneten technischen und organisatorischen Sicherheitsmaßnahmen (Art. 32 DSGVO)
• keiner Hinzuziehung von Unterauftragsverarbeitern ohne vorherige Zustimmung des Verantwortlichen
• Mitwirkung bei der Wahrnehmung der Rechte betroffener Personen

Artikel 4, Unterauftragsverarbeiter

Der Verantwortliche stimmt der Hinzuziehung der folgenden Unterauftragsverarbeiter zu:

• Google LLC, Google Ads API, Google Analytics, Google Cloud
• Anthropic, PBC, Claude AI API (anonymisierte Kampagnendaten)
• Hosting-Anbieter, Serverinfrastruktur (EU-basiert)

Der Auftragsverarbeiter informiert den Verantwortlichen über Änderungen bei den Unterauftragsverarbeitern. Der Verantwortliche hat das Recht, Widerspruch einzulegen.

Artikel 5, Sicherheit (Art. 32 DSGVO)

Der Auftragsverarbeiter implementiert und unterhält geeignete technische und organisatorische Maßnahmen:

• Verschlüsselung personenbezogener Daten im Ruhezustand und bei der Übertragung (AES-256, TLS 1.2+)
• Zwei-Faktor-Authentifizierung für den Systemzugang
• Pseudonymisierung analytischer Daten, soweit möglich
• regelmäßige Sicherheitstests und Überprüfungen der Zugriffsrechte
• Verfahren zur Wiederherstellung nach Vorfällen

Artikel 6, Datenschutzverletzungen & Vorfälle

Bei einer Verletzung des Schutzes personenbezogener Daten informiert der Auftragsverarbeiter den Verantwortlichen so schnell wie möglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden. Die Meldung umfasst: Art der Verletzung, Kategorien und Anzahl der betroffenen Personen, voraussichtliche Folgen und ergriffene Maßnahmen.

Artikel 7, Übermittlung außerhalb des EWR

Der Auftragsverarbeiter übermittelt personenbezogene Daten nicht in Länder außerhalb des EWR, es sei denn, dies ist erforderlich (z. B. Google/Anthropic in den USA) und erfüllt Art. 46 DSGVO mittels Standardvertragsklauseln (SCC) der Europäischen Kommission.

Artikel 8, Rechte betroffener Personen

Der Auftragsverarbeiter wirkt bei der Bearbeitung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung etc.) so mit, dass der Verantwortliche die gesetzliche Frist von 30 Tagen einhalten kann.

Artikel 9, Audit & Kontrolle

Der Auftragsverarbeiter ermöglicht es dem Verantwortlichen, Audits durchzuführen oder durch einen unabhängigen Dritten durchführen zu lassen, unter Einhaltung einer Ankündigungsfrist von mindestens 30 Tagen und unter Geheimhaltungspflicht.

Artikel 10, Löschung & Rückgabe

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Anfrage stellt der Auftragsverarbeiter eine schriftliche Löschbestätigung aus.

Artikel 11, Anwendbares Recht

Auf diesen Auftragsverarbeitungsvertrag ist niederländisches Recht anwendbar. Streitigkeiten werden dem zuständigen Gericht in Rotterdam vorgelegt.