Auftragsverarbeitungsvertrag (AVV) Smarketer GmbH — WaveMetrics Plattform Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen der Smarketer GmbH für WaveMetrics (der „Vertrag“) zwischen der Smarketer GmbH („Smarketer“, „Auftragsverarbeiter“) und dem Kunden („Verantwortlicher“) und wird durch Verweis in diese einbezogen. Dieser AVV regelt die Verarbeitung personenbezogener Daten durch Smarketer im Auftrag des Kunden im Zusammenhang mit der WaveMetrics-Plattform gemäß Artikel 28 der Verordnung (EU) 2016/679 („DSGVO“). Im Falle eines Widerspruchs zwischen diesem AVV und dem Vertrag in Bezug auf die Verarbeitung personenbezogener Daten hat dieser AVV gemäß § 6.8 und § 9.5 des Vertrags Vorrang.

1. Definitionen Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Unterauftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die ihnen in der DSGVO zugewiesene Bedeutung. „Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die Smarketer im Auftrag des Kunden im Rahmen der Bereitstellung der WaveMetrics-Plattform verarbeitet, wie in Anlage 1 näher beschrieben.
2. Gegenstand, Dauer und Umfang 2.1. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 festgelegt. 2.2. Dieser AVV gilt für die Laufzeit des Vertrags und gilt nach dessen Beendigung so lange fort, wie Smarketer personenbezogene Kundendaten verarbeitet, insbesondere während der in § 6.9 des Vertrags beschriebenen Datenexport- und Löschungsfrist.
3. Weisungen 3.1. Smarketer wird personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden verarbeiten, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, es sei denn, Smarketer ist durch das Recht der Union oder der Mitgliedstaaten, dem Smarketer unterliegt, hierzu verpflichtet. In einem solchen Fall teilt Smarketer dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. 3.2. Die Weisungen des Kunden erfolgen durch die Konfiguration und Nutzung des Dienstes durch den Kunden (einschließlich dessen Einstellungen, Funktionsauswahl und API-Nutzung), durch diesen AVV, durch den Vertrag sowie durch etwaige zusätzliche schriftliche Weisungen, die zwischen den Parteien vereinbart wurden. 3.3. Smarketer wird den Kunden unverzüglich informieren, wenn Smarketer der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzbestimmungen verstößt.
4. Vertraulichkeit Smarketer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
5. Sicherheit der Verarbeitung 5.1. Smarketer ergreift geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Anlage 2 („Technische und organisatorische Maßnahmen“ oder „TOMs“) beschrieben. 5.2. Smarketer kann die TOMs von Zeit zu Zeit aktualisieren, um technischen und organisatorischen Entwicklungen Rechnung zu tragen, vorausgesetzt, die aktualisierten Maßnahmen verringern das Gesamtschutzniveau während der Vertragslaufzeit nicht wesentlich.
6. Unterauftragsverarbeiter 6.1. Der Kunde erteilt Smarketer die allgemeine Genehmigung, Unterauftragsverarbeiter zur Unterstützung bei der Bereitstellung des Dienstes einzusetzen. Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage 3 aufgeführt. 6.2. Smarketer wird jedem Unterauftragsverarbeiter Datenschutzpflichten auferlegen, die im Wesentlichen denen in diesem AVV entsprechen, insbesondere durch eine schriftliche Vereinbarung, und bleibt gegenüber dem Kunden für die Erfüllung der Datenschutzpflichten des Unterauftragsverarbeiters haftbar. 6.3. Smarketer wird den Kunden über die Plattform, die Website oder per E-Mail mindestens fünfzehn (15) Tage im Voraus über die Hinzuziehung oder den Ersatz eines Unterauftragsverarbeiters informieren, es sei denn, aus dringenden sicherheitsrelevanten, rechtlichen oder betrieblichen Gründen ist eine kürzere Frist erforderlich. Der Kunde kann einem neuen Unterauftragsverarbeiter innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen durch Mitteilung gemäß § 9.12 des Vertrags widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Kunde als einziges Rechtsmittel den Teil des Dienstes, der ohne den abgelehnten Unterauftragsverarbeiter nicht erbracht werden kann, mit Wirkung zum Ende des dann laufenden Abrechnungszyklus kündigen. 6.4. Dieser Mechanismus zur Benachrichtigung über Unterauftragsverarbeiter regelt alle Änderungen bei Unterauftragsverarbeitern und stellt keine Änderung des Vertrags nach § 9.2 dar, in Übereinstimmung mit § 6.8a des Vertrags.
7. Internationale Datenübermittlungen 7.1. Sofern personenbezogene Kundendaten an einen Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums (EWR) in einem Land übermittelt werden, das von der Europäischen Kommission nicht als Land mit einem angemessenen Datenschutzniveau anerkannt wurde, stellt Smarketer sicher, dass diese Übermittlung angemessenen Garantien unterliegt, insbesondere den Standardvertragsklauseln (SCCs) der Europäischen Kommission, zusammen mit allen zusätzlichen ergänzenden Maßnahmen, die erforderlich sind, um ein im Wesentlichen gleichwertiges Schutzniveau zu gewährleisten. 7.2. Anlage 3 gibt für jeden Unterauftragsverarbeiter den/die Ort(e) an, an dem/denen personenbezogene Kundendaten verarbeitet werden können, sowie den zugrunde gelegten Übermittlungsmechanismus.
8. Unterstützung bei Rechten der betroffenen Personen Unter Berücksichtigung der Art der Verarbeitung unterstützt Smarketer den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflicht des Kunden zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (z. B. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wendet sich eine betroffene Person mit einem solchen Antrag bezüglich personenbezogener Kundendaten direkt an Smarketer, wird Smarketer den Antrag unverzüglich an den Kunden weiterleiten, ohne ihn inhaltlich zu beantworten, es sei denn, gesetzliche Vorschriften verlangen etwas anderes.
9. Unterstützung bei Sicherheit, Meldung von Datenschutzverletzungen und Folgenabschätzungen 9.1. Smarketer unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Smarketer zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten, einschließlich jener in Bezug auf die Sicherheit der Verarbeitung, die Meldung von Verletzungen des Schutzes personenbezogener Daten und Datenschutz-Folgenabschätzungen. 9.2. Smarketer wird den Kunden ohne unangemessene Verzögerung, in jedem Fall jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über eine Verletzung des Schutzes personenbezogener Kundendaten informieren. Die Benachrichtigung wird, soweit zu diesem Zeitpunkt verfügbar, die nach Artikel 33 Abs. 3 DSGVO erforderlichen Informationen enthalten und wird ergänzt, sobald weitere Informationen vorliegen.
10. Überprüfungen / Audits 10.1. Smarketer stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der in Artikel 28 DSGVO und diesem AVV festgelegten Pflichten nachzuweisen, und ermöglicht und trägt zu Überprüfungen, einschließlich Inspektionen, bei, die vom Kunden oder einem vom Kunden beauftragten Prüfer durchgeführt werden. 10.2. Anstelle eines Vor-Ort-Audits kann Smarketer diese Pflicht erfüllen, indem ein aktueller Auditbericht oder ein Zertifikat eines Dritten zur Verfügung gestellt wird, das die relevanten Kontrollen abdeckt (z. B. SOC 2, ISO 27001), sofern verfügbar. Jegliches Vor-Ort-Audit wird während der normalen Geschäftszeiten, mit angemessener Vorankündigung (mindestens 30 Tage, es sei denn, eine Aufsichtsbehörde verlangt eine kürzere Frist), nicht häufiger als einmal pro Kalenderjahr durchgeführt (es sei denn, ein spezifischer Vorfall gibt berechtigten Anlass zu einem zusätzlichen Audit) und unterliegt angemessenen Vertraulichkeitsbestimmungen sowie einer zwischen den Parteien zu vereinbarenden Kostenaufteilung.
11. Löschung und Rückgabe von Daten Nach Beendigung des Vertrags wird Smarketer dem Kunden die personenbezogenen Kundendaten für den in § 6.9 des Vertrags beschriebenen Datenexport zur Verfügung stellen und diese Daten im Anschluss löschen oder irreversibel anonymisieren, es sei denn, das Recht der Union oder der Mitgliedstaaten erfordert eine längere Speicherung.
12. Haftung Die Haftung jeder Partei unter diesem AVV unterliegt den Haftungsbestimmungen des Vertrags (§ 7), einschließlich der Haftungsobergrenze in § 7.5 und der Ausnahmen von der Haftungsbeschränkung in § 7.2, es sei denn, zwingendes Datenschutzrecht schreibt etwas anderes vor.
13. Rangfolge und Laufzeit 13.1. Dieser AVV ist Bestandteil des Vertrags. Es gilt § 9.5 des Vertrags (Rangfolge der Dokumente). 13.2. Dieser AVV endet automatisch mit Beendigung des Vertrags, vorbehaltlich des vorstehenden Abschnitts 2.2. Anlage 1 — Details der Verarbeitung Gegenstand: Die Bereitstellung der WaveMetrics SaaS/CSS-Plattform, einschließlich Produkt-Feed-Optimierung, KI-basierter Feed-Anreicherung, Leistungsanalysen und damit verbundener Funktionen, die im Vertrag beschrieben sind. Dauer: Für die Laufzeit des Vertrags und im Anschluss für die in § 6.9 des Vertrags beschriebene Datenexport- und Löschungsfrist. Art und Zweck der Verarbeitung: Hosting, Speicherung, Übertragung und Analyse von Produkt- und Kontodaten des Kunden zum Zweck der Bereitstellung des Dienstes, einschließlich: Einlesen von Produktkatalogdaten; Übermittlung von Daten an Google Ads und das Google Merchant Center über die API auf Weisung des Kunden; KI-basierte Verarbeitung von Produktbeschreibungen und zugehörigen Inhalten über Drittanbieter von LLMs zur Generierung angereicherter Feed-Attribute; Erstellung von Leistungsanalysen und Berichten; sowie Zahlungsabwicklung über Stripe. Kategorien betroffener Personen: Das eigene Personal und die Autorisierten Nutzer des Kunden (Name, geschäftliche E-Mail-Adresse, Login-/Kontodaten); Personen, die anhand von Produktdaten, Bewertungen oder Inhalten auf Landingpages, die der Kunde in den Dienst einspeist, identifizierbar sind; Endkunden des Kunden, soweit diese aus den verknüpften Google Ads-/Merchant Center-Daten identifizierbar sind. Kategorien personenbezogener Daten: Konto- und Kontaktdaten des Personals und der Autorisierten Nutzer des Kunden (Name, geschäftliche E-Mail-Adresse, Rolle); Rechnungskontakt- und zahlungsbezogene Daten, die über Stripe verarbeitet werden (siehe Anlage 3); soweit in den vom Kunden übermittelten Produktdaten oder Inhalten vorhanden, alle darin beiläufig enthaltenen personenbezogenen Daten (der Kunde ist gemäß § 6.2a des Vertrags vertraglich verpflichtet, keine besonderen Kategorien personenbezogener Daten über die KI-basierten Funktionen des Dienstes zu übermitteln). Besondere Kategorien von Daten: Es ist nicht beabsichtigt, solche Daten zu verarbeiten; siehe Einschränkung in § 6.2a des Vertrags. Smarketer verarbeitet wissentlich keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) über den Dienst. Anlage 2 — Technische und organisatorische Maßnahmen (TOMs) Zugriffskontrolle: Ein rollenbasiertes Zugriffssystem ist implementiert. Das Produkt-/Entwicklungsteam verfügt über administrativen Zugriff auf alle Systeme. Das Vertriebsteam hat einen reinen Lesezugriff, der auf den Anmelde-/Onboarding-Status beschränkt ist. Das Finanzteam hat zu Abrechnungszwecken reinen Lesezugriff auf Stripe. Kein anderes Team hat weitergehende Zugriffsrechte als hier beschrieben. Verschlüsselung bei der Übertragung: Alle Daten werden mittels TLS verschlüsselt übertragen. Verschlüsselung im Ruhezustand: Alle Daten werden bei AWS im Ruhezustand mithilfe von KMS-verwalteten Schlüsseln verschlüsselt. Backups: Datenbanken werden über tägliche Snapshots gesichert, die zwei Wochen lang aufbewahrt werden. Die Wiederherstellung aus Snapshots wird regelmäßig getestet. Protokollierung und Aufbewahrung: Anwendungsprotokolle (Logs) werden über AWS CloudWatch mit einer Aufbewahrungsfrist von 90 Tagen gespeichert. Datentrennung: Kundendaten werden im Datenmodell der Plattform logisch nach Account-ID, Kunde und Workspace getrennt. Personalsicherheit: Die Mitarbeiter erhalten eine jährliche Schulung zu Sicherheit und Datenschutz. Infrastruktur-Hosting: Die primäre Anwendungsinfrastruktur wird auf AWS in Frankfurt am Main, Deutschland (eu-central-1), gemäß § 6.8a des Vertrags gehostet. Incident Response (Vorfallreaktion): Ein dokumentierter Prozess zur Erkennung von und Reaktion auf Vorfälle ist implementiert, um Sicherheitsvorfälle im Einklang mit den geltenden Meldepflichten zu identifizieren, einzudämmen und zu melden. Anlage 3 — Unterauftragsverarbeiter Stripe Zweck: Zahlungsabwicklung Vertragspartner / Verarbeitungsort: Stripe Payments Europe, Limited („SPEL“) Übermittlungsmechanismus: SCCs, gemäß dem AVV von Stripe Eigene Liste des Unterauftragsverarbeiters: stripe.com/legal/service-providers (Stripe gewährt 30 Tage Vorankündigung bei Änderungen; Widerspruchsfrist 30 Tage) OpenAI Zweck: KI-basierte Generierung und Anreicherung von Feed-Inhalten Vertragspartner / Verarbeitungsort: OpenAI Ireland Ltd (für Kunden im EWR/Schweiz). Per API übermittelte Daten werden maximal 30 Tage gespeichert und dann gelöscht. Übermittlungsmechanismus: SCCs, gemäß dem AVV von OpenAI Eigene Liste des Unterauftragsverarbeiters: platform.openai.com/subprocessors (15 Tage Widerspruchsfrist für neue Unterauftragsverarbeiter) Anthropic Zweck: KI-basierte Generierung und Anreicherung von Feed-Inhalten Vertragspartner / Verarbeitungsort: Anthropic PBC Übermittlungsmechanismus: SCCs (Modul 2/3), gemäß dem AVV von Anthropic Eigene Liste des Unterauftragsverarbeiters: anthropic.com/subprocessors (15 Tage Vorankündigung für neue Unterauftragsverarbeiter; 48-Stunden-Frist für die Meldung von Verletzungen; Daten werden innerhalb von 30 Tagen nach Vertragsende gelöscht/zurückgegeben) Google (Vertex AI / Gemini Enterprise) Zweck: KI-basierte Generierung und Anreicherung von Feed-Inhalten Vertragspartner / Verarbeitungsort: Google Ireland Limited (Verarbeitung in der EU; Kundendaten werden nicht für das Modelltraining verwendet). Übermittlungsmechanismus: SCCs, gemäß dem AVV der Google Cloud Eigene Liste des Unterauftragsverarbeiters: cloud.google.com/terms/subprocessors Google (Google Ads / Google Merchant Center APIs) Zweck: Übermittlung von Feed- und Kampagnendaten an die eigenen, verknüpften Google-Konten des Kunden, auf Weisung des Kunden. Vertragspartner / Verarbeitungsort: Der eigene direkte Vertrag des Kunden mit Google für seine Ads-/Merchant Center-Konten regelt diese Beziehung unabhängig. Smarketer fungiert hierbei lediglich als Übertragungskanal (Conduit), der die Daten über die API auf Weisung des Kunden übermittelt. Übermittlungsmechanismus: N/A (Nicht anwendbar) Eigene Liste des Unterauftragsverarbeiters: — Amazon Web Services (AWS) Zweck: Anwendungs-Hosting und primäre Datenbanken Vertragspartner / Verarbeitungsort: Frankfurt am Main, Deutschland (eu-central-1) Übermittlungsmechanismus: Nicht anwendbar (EU) Eigene Liste des Unterauftragsverarbeiters: — Smarketer wird im Einklang mit dem vorstehenden Abschnitt 6 eine aktuelle Version dieser Liste pflegen.