Sicherheit und Datenschutz
Was der AdLoop-Server erzwingt, bevor eine KI etwas an deinen Werbekonten ändert, wo deine Daten liegen, wer sie verarbeitet und wann wir sie löschen.
Was der Server erzwingt
Diese Regeln stehen nicht in einer Anweisung an die KI, die sie überlesen könnte. Der AdLoop-Server setzt sie bei jedem Aufruf durch, egal welcher KI-Assistent fragt.
Erst die Vorschau, dann die Änderung
Jede Änderung beginnt als Vorschau. Angewendet wird sie erst, wenn du sie im Chat bestätigst. Ohne diese Bestätigung ändert sich nichts.
Testlauf ist Pflicht
Der Server lehnt eine echte Änderung ab, solange dieselbe Vorschau nicht einmal als Testlauf gelaufen ist. Bei Google Ads prüft Google den Testlauf über seine Prüfschnittstelle und führt dabei nichts aus.
Neue Workspaces starten im Testmodus
Solange „Nur Testlauf (Dry-Run) erlauben“ aktiv ist, wird nichts real angewendet. Wer den Testmodus abschaltet, bestätigt das ausdrücklich, und wir protokollieren Zeitpunkt und Person.
Budgetgrenze
Tagesbudgets über deiner Grenze lehnt der Server ab, egal was die KI vorschlägt. Agenturen können pro Kunde eine eigene Grenze setzen.
Gebote steigen nicht unbemerkt
Eine einzelne Änderung kann ein bestehendes Gebot höchstens verdoppeln.
Neues startet pausiert
Neue Kampagnen und Anzeigen bei Google Ads und alles Neue bei Reddit Ads wird pausiert angelegt. Live geht es erst, wenn du es aktivierst.
Bekannte Budgetfallen gesperrt
Neue Kampagnen mit weitgehend passenden Keywords und manuellen Geboten lehnt der Server ab, ebenso Anzeigen und Sitelinks, deren Zielseite nicht erreichbar ist.
Löschen nur mit doppelter Bestätigung
Endgültiges Entfernen braucht eine zweite Bestätigung. Pausieren ist immer der empfohlene Weg.
Schlüssel mit begrenzten Rechten
API-Keys lassen sich auf Nur-Lesen, auf einzelne Kunden und auf bestimmte Werkzeuggruppen beschränken. Ein Nur-Lesen-Key kann nicht einmal eine Vorschau anlegen.
Änderungsprotokoll
Jede schreibende Aktion wird protokolliert: was, wann, für welchen Kunden und mit welchem Ergebnis. So kannst du deinen Kunden jederzeit zeigen, was geändert wurde.
Die Sicherheitsschicht ist Open Source (MIT). Du kannst jede dieser Regeln im Code nachlesen. Zum Code auf GitHub
Wo deine Daten liegen
AdLoop betreibt selbst kein KI-Modell. Deine Daten gehen an den KI-Assistenten, den du selbst verbindest, und an keinen weiteren KI-Anbieter.
| MCP-Server | Hetzner, Rechenzentrum Falkenstein (Deutschland) |
|---|---|
| Dashboard und Datenbank | Laravel Cloud, AWS-Region Frankfurt (EU) |
| Kampagnen- und Analysedaten | Werden durchgeleitet, nicht gespeichert |
| Google- und Reddit-Zugangstoken | Verschlüsselt mit authentifizierter Verschlüsselung (libsodium) |
| Anmeldung von KI-Apps | OAuth 2.1 mit PKCE. Erneuerungstoken speichern wir nur als Hash. |
| Konto | Zwei-Faktor-Anmeldung verfügbar, Rollen für Teammitglieder |
Unterauftragsverarbeiter
Die vollständige und verbindliche Liste steht in § 7 des AVV. Über Änderungen informieren wir vorab.
Hetzner Online GmbH
Betrieb des MCP-Servers
Deutschland
Laravel Cloud (Laravel LLC, inkl. Cloudflare-Edge)
Hosting von Dashboard und Datenbank
USA, Verarbeitung in der EU (Frankfurt)
Plus Five Five, Inc. (Resend)
Versand von Transaktions-E-Mails
USA, EU-US Data Privacy Framework und Standardvertragsklauseln
Google Ireland Limited
Website-Analyse auf den Marketing-Seiten, nur mit Einwilligung
Irland (EU)
Google und Reddit sind keine Unterauftragsverarbeiter: Du verbindest deine Konten mit deiner eigenen Autorisierung. Zahlungen wickelt Link (Stripe) als eigener Händler ab. Kartendaten erreichen uns nie.
Wann wir löschen
| Daten | Gelöscht nach |
|---|---|
| Änderungsprotokoll | 24 Monate |
| Nutzungszähler (nur Anzahl der Aufrufe, keine Inhalte) | 24 Monate |
| Nicht ausgeführte Vorschauen | 7 Tage |
| Widerrufene oder abgelaufene Verbindungen von KI-Apps | 30 Tage |
| Kampagnen- und Analysedaten | Nie gespeichert |
| Beim Löschen deines Kontos | Zugangstoken sofort gelöscht und der Zugriff bei Google und Reddit widerrufen. Backups laufen spätestens nach 30 Tagen aus. |
Gelöscht wird automatisch, jede Nacht. Alle Fristen im Detail stehen in der Datenschutzerklärung. Zur Datenschutzerklärung
Verträge
Auftragsverarbeitungsvertrag (AVV)
Nach Art. 28 DSGVO, Version 1.3. Er gilt mit der Registrierung, ohne Unterschrift, und lässt sich als PDF für deine Unterlagen und die deiner Kunden speichern.
AVV ansehen und als PDF speichern →Fragen zur Sicherheit
Für Fragen aus deiner Datenschutzprüfung oder um eine Sicherheitslücke zu melden, schreib direkt an den Gründer.
daniel@getadloop.com