§ 1 Vertragsparteien

§ 2 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter stellt die SaaS-Plattform „AdLoop Cloud" bereit, eine Middleware, die die Werbe- und Analyseplattformen des Verantwortlichen über das Model Context Protocol (MCP) mit den vom Verantwortlichen gewählten KI-Werkzeugen verbindet. Derzeit unterstützt sind Google Ads, Google Analytics, Google Tag Manager, Google Search Console, Google Merchant Center und Reddit Ads; die jeweils aktuelle Liste mit der Art des Zugriffs (lesend oder schreibend) steht auf der Seite „Sicherheit und Datenschutz“ (getadloop.com/sicherheit). Kommen weitere Plattformen hinzu, gilt dieser Vertrag für sie entsprechend, sobald der Verantwortliche sie verbindet. In diesem Rahmen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

Welche Plattformen und Dienste tatsächlich erfasst sind, bestimmt der Verantwortliche selbst: Er verbindet jede Plattform einzeln und wählt dabei die Berechtigungen aus, und der Auftragsverarbeiter kann ausschließlich auf die tatsächlich erteilten Dienste zugreifen. Der Umfang der Verarbeitung folgt damit unmittelbar der Weisung des Verantwortlichen.

Die Verarbeitung beginnt mit der Registrierung und endet mit der Löschung des Kontos. Nach Beendigung werden personenbezogene Daten gemäß § 10 gelöscht.

§ 3 Art und Zweck der Verarbeitung

• Speicherung verschlüsselter OAuth-Zugangstoken der verbundenen Plattformen, des Benutzernamens bzw. der E-Mail-Adresse des jeweiligen Plattformkontos sowie der vom Verantwortlichen gewählten Konto-Kennungen und Kontonamen (z. B. Google-Ads-Kundennummer, Analytics-Property, Tag-Manager-Container, Search-Console-Property, Merchant-Center-Konto, Reddit-Werbekonto)
• Durchleitung der Daten der verbundenen Plattformen (z. B. Kampagnen-, Analyse-, Tag-Manager-, Search-Console-, Merchant-Center- und Reddit-Ads-Daten) zwischen deren Programmierschnittstellen und den vom Verantwortlichen verbundenen KI-Werkzeugen. Eine Speicherung dieser Inhaltsdaten beim Auftragsverarbeiter findet nicht statt; ausgenommen sind die nachfolgend genannten Uploads und gespeicherten Auswertungen
• Kurzzeitige Speicherung von Dateien, die der Verantwortliche hochlädt, um sie an eine verbundene Plattform zu übermitteln (über die Upload-Karte im KI-Werkzeug oder einen zeitlich begrenzten Upload-Link): derzeit Bilder für Werbeanzeigen in Google Ads und Reddit Ads sowie CSV-Dateien für Offline-Conversion-Uploads an Google Ads; soweit angeboten auch weitere Dateiarten wie Videos oder Kundenlisten für Zielgruppen. Die Verarbeitung findet nur statt, wenn der Verantwortliche diese Funktionen nutzt; die Nutzung ist die Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO. Jede hochgeladene Datei wird nur so lange gespeichert, wie der Upload es erfordert, höchstens 24 Stunden nach dem Upload. Bilder werden 24 Stunden nach dem Upload gelöscht. Conversion-CSV-Dateien werden gelöscht, sobald aus ihnen eine Änderungsvorschau erstellt wurde, spätestens 2 Stunden nach dem Upload. Die Vorschau mit den Upload-Zeilen wird mit der Ausführung gelöscht, spätestens 24 Stunden nach ihrer Erstellung. Namen, E-Mail-Adressen und Telefonnummern von Interessenten werden vor der Übermittlung an Google mit SHA-256 gehasht; Telefonnummern von Anrufern werden unverändert übermittelt, weil Google Anrufe über die Nummer zuordnet. Kontaktdaten in Kundenlisten werden gehasht übermittelt, soweit die Zielplattform das vorsieht
• Gespeicherte Auswertungen, nur wenn der Verantwortliche eine Funktion nutzt, die Ergebnisse über die einzelne Anfrage hinaus benötigt (z. B. geplante Tracking-Audits, Vergleiche mit früheren Ständen, Überwachungen mit Benachrichtigung): Ergebnisse und Momentaufnahmen solcher Auswertungen, die Kampagnen-, Analyse- und Konfigurationsdaten der verbundenen Plattformen enthalten können. Sie werden getrennt nach Workspace gespeichert und gelöscht, sobald der Verantwortliche die Funktion beendet oder die Ergebnisse löscht, spätestens 13 Monate nach ihrer Erstellung
• Übermittlung von Benachrichtigungen und Berichten an die vom Verantwortlichen eingerichteten Kanäle (z. B. E-Mail, Slack, Webhooks), soweit angeboten und nur auf seine Einrichtung hin
• Protokollierung schreibender Änderungen an den Werbe- und Analytics-Konten (Änderungsprotokoll/Audit-Log) zur Nachvollziehbarkeit
• Erfassung aggregierter Nutzungskennzahlen (Anzahl Werkzeug-Aufrufe pro Tag) zur Kapazitätssteuerung

Schreibende Zugriffe erfolgen nur auf Plattformen, für die der Verantwortliche Schreibberechtigungen erteilt hat, und nur nach Vorschau und Bestätigung; derzeit sind dies Google Ads, Google Analytics und Reddit Ads. Auf Google Tag Manager, Google Search Console und Google Merchant Center greift der Auftragsverarbeiter derzeit ausschließlich lesend zu.

Zweck ist ausschließlich die Erbringung des AdLoop-Cloud-Dienstes.

§ 4 Arten personenbezogener Daten

§ 5 Kategorien betroffener Personen

• Nutzer des Verantwortlichen (Mitarbeitende, die den Workspace bedienen)
• Website-Besucher und Endkunden des Verantwortlichen, soweit sie in Kampagnen- oder Analytics-Daten erscheinen
• Personen, deren Angaben in Suchbegriffen (Google Ads) oder Suchanfragen (Search Console) enthalten sind
• Nutzer der verbundenen Werbeplattformen (z. B. Reddit), soweit sie in Leistungsdaten, Kommentaren oder Zielgruppen von Werbekampagnen erscheinen
• Kunden, Anrufer und Interessenten des Verantwortlichen, deren Daten der Verantwortliche in Uploads übermittelt (z. B. Offline-Conversions, Kundenlisten)
• Personen, die auf vom Verantwortlichen hochgeladenen Bildern zu sehen sind

§ 6 Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen — Weisungen erfolgen regelmäßig durch die Bedienung der Plattform und der verbundenen KI-Werkzeuge
• Vertraulichkeitsverpflichtung aller zur Verarbeitung befugten Personen
• Umsetzung der Maßnahmen nach Art. 32 DSGVO (§ 8)
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 15–22 DSGVO) und ggf. bei Datenschutz-Folgenabschätzungen
• Meldung von Verletzungen des Schutzes personenbezogener Daten ohne unangemessene Verzögerung
• Löschung oder Rückgabe aller personenbezogenen Daten nach Ende der Leistung (§ 10)
• Bereitstellung aller zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen
• Unverzügliche Information, falls eine Weisung nach Einschätzung des Auftragsverarbeiters gegen Datenschutzrecht verstößt

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die in Uploads enthaltenen personenbezogenen Daten erheben und an Google übermitteln darf (Rechtsgrundlage, Information der Betroffenen, erforderliche Einwilligungen) und die Richtlinien von Google für Kundendaten einhält.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Derzeit werden eingesetzt:

Hinweis: Der Zugriff auf die in § 2 genannten Google-Dienste erfolgt im Google-Konto des Verantwortlichen über dessen eigene Autorisierung — Google ist insoweit kein Unterauftragsverarbeiter von AdLoop, sondern direkter Vertragspartner des Verantwortlichen. Dasselbe gilt für Reddit, Inc. (USA) bei einem verbundenen Reddit-Werbekonto: der Zugriff erfolgt über die eigene Autorisierung des Verantwortlichen im Rahmen der Ads-API-Bedingungen von Reddit. Für jede weitere Plattform, die der Verantwortliche verbindet, gilt dies entsprechend. Gleiches gilt für die vom Verantwortlichen verbundenen KI-Werkzeuge (z. B. Anthropic, OpenAI, Cursor) und für von ihm eingerichtete Benachrichtigungskanäle (z. B. Slack, Empfänger von Webhooks): deren Einsatz wählt und verantwortet der Verantwortliche.

Über beabsichtigte Änderungen der Unterauftragsverarbeiter wird der Verantwortliche vorab informiert und kann Einspruch erheben.

§ 8 Technische und organisatorische Maßnahmen

§ 9 Kontrollrechte

Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen: durch Einholung von Informationen und Nachweisen zu den Maßnahmen nach § 8, durch Inspektionen mit angemessener Vorankündigung sowie durch unabhängige Prüfer. Der Auftragsverarbeiter kooperiert und stellt erforderliche Informationen bereit. Kosten trägt der Verantwortliche, sofern die Prüfung keine erheblichen Verstöße aufdeckt.

§ 10 Beendigung und Löschung

• Mit Löschung des Kontos werden das gespeicherte Google-Zugangstoken entfernt und die Autorisierung bei Google widerrufen — der Datenzugriff endet sofort
• Uploads werden unabhängig davon nach den Fristen in § 3 gelöscht, spätestens 24 Stunden nach dem Upload; gespeicherte Auswertungen spätestens mit der Löschung des Kontos
• Übrige personenbezogene Daten (Bestandsdaten, Protokolle, Nutzungsdaten) werden innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen
• Backups rotieren automatisch aus (max. 30 Tage)
• Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform

§ 11 Änderungen dieses Vertrags

Der Auftragsverarbeiter kann diesen Vertrag mit Wirkung für die Zukunft ändern, insbesondere wenn sich der Leistungsumfang oder die eingesetzten Unterauftragsverarbeiter ändern. Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail angekündigt. Widerspricht der Verantwortliche nicht bis zum Inkrafttreten, gelten die Änderungen als angenommen; hierauf wird in der Ankündigung hingewiesen. Bei Widerspruch kann jede Partei den Vertrag zum Zeitpunkt des Inkrafttretens beenden. Änderungen, die nur Funktionen betreffen, die der Verantwortliche nicht nutzt, berühren die Verarbeitung seiner Daten nicht.