§ 1 Vertragsparteien

§ 2 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter stellt die SaaS-Plattform „AdLoop Cloud" bereit, eine Middleware, die die Google-Konten und optional das Reddit-Werbekonto des Verantwortlichen über das Model Context Protocol (MCP) mit den vom Verantwortlichen gewählten KI-Werkzeugen verbindet. Erfasst sind Google Ads, Google Analytics, Google Tag Manager, Google Search Console, Google Merchant Center und Reddit Ads. In diesem Rahmen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

Welche dieser Dienste tatsächlich erfasst sind, bestimmt der Verantwortliche selbst: Bei der Verbindung seines Google-Kontos wählt er die Berechtigungen einzeln aus, und der Auftragsverarbeiter kann ausschließlich auf die tatsächlich erteilten Dienste zugreifen. Der Umfang der Verarbeitung folgt damit unmittelbar der Weisung des Verantwortlichen.

Die Verarbeitung beginnt mit der Registrierung und endet mit der Löschung des Kontos. Nach Beendigung werden personenbezogene Daten gemäß § 10 gelöscht.

§ 3 Art und Zweck der Verarbeitung

• Speicherung eines verschlüsselten Google-OAuth-Zugangstokens sowie der vom Verantwortlichen gewählten Konto-Kennungen (Google-Ads-Kundennummer, Analytics-Property, Tag-Manager-Container, Search-Console-Property, Merchant-Center-Konto, Kontonamen); bei verbundenem Reddit-Werbekonto zusätzlich eines verschlüsselten Reddit-OAuth-Zugangstokens, des Reddit-Benutzernamens und der gewählten Reddit-Werbekonto-Kennung
• Durchleitung von Kampagnen-, Analyse-, Tag-Manager-, Search-Console-, Merchant-Center- und Reddit-Ads-Daten zwischen den Google- bzw. Reddit-APIs und den vom Verantwortlichen verbundenen KI-Werkzeugen. Eine Speicherung dieser Inhaltsdaten beim Auftragsverarbeiter findet nicht statt
• Protokollierung schreibender Änderungen an den Werbe- und Analytics-Konten (Änderungsprotokoll/Audit-Log) zur Nachvollziehbarkeit
• Erfassung aggregierter Nutzungskennzahlen (Anzahl Werkzeug-Aufrufe pro Tag) zur Kapazitätssteuerung

Schreibende Zugriffe sind auf Google Ads, Google Analytics und Reddit Ads beschränkt. Auf Google Tag Manager, Google Search Console und Google Merchant Center greift der Auftragsverarbeiter ausschließlich lesend zu.

Zweck ist ausschließlich die Erbringung des AdLoop-Cloud-Dienstes.

§ 4 Arten personenbezogener Daten

§ 5 Kategorien betroffener Personen

• Nutzer des Verantwortlichen (Mitarbeitende, die den Workspace bedienen)
• Website-Besucher und Endkunden des Verantwortlichen, soweit sie in Kampagnen- oder Analytics-Daten erscheinen
• Personen, deren Angaben in Suchbegriffen (Google Ads) oder Suchanfragen (Search Console) enthalten sind
• Reddit-Nutzer, soweit sie in Leistungsdaten, Kommentaren oder Zielgruppen von Reddit-Werbekampagnen erscheinen

§ 6 Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen — Weisungen erfolgen regelmäßig durch die Bedienung der Plattform und der verbundenen KI-Werkzeuge
• Vertraulichkeitsverpflichtung aller zur Verarbeitung befugten Personen
• Umsetzung der Maßnahmen nach Art. 32 DSGVO (§ 8)
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 15–22 DSGVO) und ggf. bei Datenschutz-Folgenabschätzungen
• Meldung von Verletzungen des Schutzes personenbezogener Daten ohne unangemessene Verzögerung
• Löschung oder Rückgabe aller personenbezogenen Daten nach Ende der Leistung (§ 10)
• Bereitstellung aller zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen
• Unverzügliche Information, falls eine Weisung nach Einschätzung des Auftragsverarbeiters gegen Datenschutzrecht verstößt

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Derzeit werden eingesetzt:

Hinweis: Der Zugriff auf die in § 2 genannten Google-Dienste erfolgt im Google-Konto des Verantwortlichen über dessen eigene Autorisierung — Google ist insoweit kein Unterauftragsverarbeiter von AdLoop, sondern direkter Vertragspartner des Verantwortlichen. Dasselbe gilt für Reddit, Inc. (USA) bei einem verbundenen Reddit-Werbekonto: der Zugriff erfolgt über die eigene Autorisierung des Verantwortlichen im Rahmen der Ads-API-Bedingungen von Reddit. Gleiches gilt für die vom Verantwortlichen verbundenen KI-Werkzeuge (z. B. Anthropic, OpenAI, Cursor): deren Einsatz wählt und verantwortet der Verantwortliche.

Über beabsichtigte Änderungen der Unterauftragsverarbeiter wird der Verantwortliche vorab informiert und kann Einspruch erheben.

§ 8 Technische und organisatorische Maßnahmen

§ 9 Kontrollrechte

Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen: durch Einholung von Informationen und Nachweisen zu den Maßnahmen nach § 8, durch Inspektionen mit angemessener Vorankündigung sowie durch unabhängige Prüfer. Der Auftragsverarbeiter kooperiert und stellt erforderliche Informationen bereit. Kosten trägt der Verantwortliche, sofern die Prüfung keine erheblichen Verstöße aufdeckt.

§ 10 Beendigung und Löschung

• Mit Löschung des Kontos werden das gespeicherte Google-Zugangstoken entfernt und die Autorisierung bei Google widerrufen — der Datenzugriff endet sofort
• Übrige personenbezogene Daten (Bestandsdaten, Protokolle, Nutzungsdaten) werden innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen
• Backups rotieren automatisch aus (max. 30 Tage)
• Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform