Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO · Version 1.0

§ 1 Gegenstand und Dauer

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung von portalexporte.de durch den Kunden (nachfolgend „Verantwortlicher"). Auftragnehmer ist die proffiliate GbR, Am Sattelbach 21, 08547 Plauen OT Jößnitz (nachfolgend „Auftragnehmer"). Der Vertrag gilt für die Dauer der Nutzung des Händler-Accounts einschließlich aller gebuchten Leistungen und endet mit der Löschung der zugehörigen Daten.

§ 2 Art, Zweck und Umfang der Verarbeitung

Der Auftragnehmer verarbeitet Daten ausschließlich, um die vom Verantwortlichen genutzten Leistungen zu erbringen:

• Produkt-Feed — Abruf (HTTP, Datei-Upload, FTP oder Google Merchant Center), Prüfung, Aufbereitung und Auslieferung der Produktdaten an die gebuchten Kanäle; Preis- und Datenanalysen.
• Google Merchant Center — lesender Abruf von Produkt-, Feed- und Preisdaten (Feed-Quelle, Google-Insights).
• Google Ads — Abruf von Kampagnen-, Performance- und Suchbegriffsdaten; bei gebuchter Betreuung auch schreibende Änderungen (z. B. Ausschluss-Keywords, Ziel-ROAS, Budgets, Kampagnenstruktur). Jede Schreib-Operation wird protokolliert und ist im Händlerbereich nachvollziehbar.
• Google Analytics 4 — lesender Abruf aggregierter Umsatz- und Conversion-Daten pro Artikel.

§ 3 Kategorien betroffener Personen und Daten

• Kontakt- und Zugangsdaten der Mitarbeitenden des Verantwortlichen (Name, E-Mail, Telefon, Benutzer-Kennungen in den verknüpften Google-Konten).
• Suchbegriffe von Website-Besuchern aus Google Ads (können im Einzelfall personenbezogen sein).
• Aggregierte, nicht identifizierende Nutzungs-, Conversion- und Geodaten (Regionsebene).
• Produktdaten sind in der Regel nicht personenbezogen. Klardaten von Endkunden (Namen, Adressen, Bestellungen) werden weder gezielt abgerufen noch gespeichert.

Betroffene sind Mitarbeitende des Verantwortlichen sowie Besucher und potenzielle Kunden seines Shops.

§ 4 Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; die Buchung bzw. Nutzung einer Leistung im Händlerbereich gilt als Weisung.
• Verpflichtung der befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
• Technische und organisatorische Maßnahmen nach § 7.
• Unterstützung bei Betroffenenrechten sowie bei Pflichten nach Art. 32–36 DSGVO.
• Unverzügliche Information bei Datenschutzverletzungen.
• Löschung bzw. Rückgabe der Daten nach § 8; Nachweis der Pflichten und Ermöglichung von Überprüfungen.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland — als Anbieter der verknüpften Dienste (Merchant Center, Google Ads, Google Analytics 4). Der Zugriff erfolgt auf die bestehenden Konten des Verantwortlichen.
• Hosting: Die Verarbeitung erfolgt auf Servern des Auftragnehmers innerhalb der Europäischen Union.

Über beabsichtigte Änderungen informiert der Auftragnehmer vorab; der Verantwortliche kann widersprechen.

§ 6 Drittlandtransfer

Soweit Google im Rahmen seiner Dienste Daten in Drittländer (insb. USA) übermittelt, stützt sich dies auf die Garantien von Google (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework). Eine eigene Übermittlung in Drittländer durch den Auftragnehmer findet nicht statt.

§ 7 Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS/HTTPS) für alle Zugriffe und Abrufe.
• Zugriff auf Google-Konten nur über autorisierte Service-Konten mit minimalem Berechtigungsumfang; die Verknüpfung ist vom Verantwortlichen jederzeit widerrufbar.
• FTP-Zugangsdaten werden verschlüsselt (AES-256) gespeichert.
• Rollenbasierter Zugang, individuelle Zugangsdaten, Passwörter nur als Hash.
• Protokollierung von Importen, Schreib-Operationen und sicherheitsrelevanten Zugriffen.
• Regelmäßige Löschung nicht mehr benötigter Daten (§ 8).

§ 8 Löschung und Rückgabe

Nach Beendigung der Geschäftsbeziehung bzw. Löschung des Accounts werden die Daten des Verantwortlichen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO für Rechnungsdaten) entgegenstehen. Auf Wunsch stellt der Auftragnehmer vorher einen Export der Produktdaten bereit.

§ 9 Rechte des Verantwortlichen

Der Verantwortliche bleibt datenschutzrechtlich verantwortlich. Er kann die Einhaltung dieses Vertrags überprüfen und ergänzende Weisungen erteilen — per E-Mail an service@portalexporte.de.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Die Haftung richtet sich nach Art. 82 DSGVO. Sind einzelne Bestimmungen unwirksam, bleibt der Vertrag im Übrigen wirksam. Ergänzend gelten die AGB und die Datenschutzerklärung der proffiliate GbR.