Loading…
Für Agenturen und Unternehmen, die Produktdaten Dritter über FeedOptimizer.AI verarbeiten. Der vollständige Vertragstext steht direkt hier, zum Lesen, Drucken und Gegenzeichnen.
Wenn du FeedOptimizer.AI nur für deinen eigenen Shop nutzt, bist du Verantwortlicher für deine eigenen Daten und brauchst in der Regel keinen AVV mit uns. Sobald du aber Feeds für Kunden prüfst oder optimierst, verarbeitest du Daten, für die dein Kunde der Verantwortliche ist. Nach Art. 28 DSGVO braucht es dann einen Auftragsverarbeitungsvertrag zwischen dir und jedem Dienstleister, den du dabei einsetzt, also auch mit uns.
So funktioniert der Abschluss: Vertrag unten lesen (oder drucken), dann per E-Mail an support@feedoptimizer.ai mit Firmenname, Anschrift und Konto-E-Mail die Gegenzeichnung anfordern. Du bekommst den unterschriebenen Vertrag als PDF zurück. Wenn dein Unternehmen eine eigene AVV-Vorlage verwendet, schick sie gern mit, wir prüfen sie.
zwischen dem Kunden (nachfolgend „Verantwortlicher“) und
Kunden Kraftwerk LLC, 1317 Edgewater Dr #2453, Orlando, Florida 32804, USA, vertreten durch Dennis Gerich (nachfolgend „Auftragsverarbeiter“)
1.1 Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen der KI-gestützten Analyse und Optimierung von Google-Shopping-Produktfeeds über den SaaS-Dienst FeedOptimizer.AI (app.feedoptimizer.ai). Gegenstand dieses Vertrags ist jede damit verbundene Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen.
1.2 Die Laufzeit dieses Vertrags entspricht der Laufzeit der Nutzungsvereinbarung über den Dienst. Er endet automatisch mit deren Beendigung.
2.1 Zweck: Bewertung der inhaltlichen Qualität von Produktdaten (Feed-Check/Quality Score), KI-gestützte Erstellung optimierter Produkttexte und -attribute, Upload freigegebener Optimierungen als Supplemental Feed in das Google Merchant Center des Verantwortlichen bzw. seiner Endkunden.
2.2 Kategorien von Daten:
2.3 Kategorien betroffener Personen: Produktdaten enthalten in der Regel keine personenbezogenen Daten von Endverbrauchern. Betroffene sind primär: Mitarbeiter und Kontoinhaber des Verantwortlichen bzw. seiner Endkunden (E-Mail-Adressen, Namen im Rahmen der Google-Konten), mittelbar Personen, deren Daten in Produkttexten auftauchen können (z. B. Designer-Namen).
2.4 Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Aggregierte, anonymisierte Auswertungen (z. B. Durchschnitts-Scores über alle geprüften Produkte) enthalten keinen Personen- oder Kundenbezug.
3.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen des Dienstes (Feed verbinden, Check starten, Optimierung freigeben, Upload auslösen) gilt als dokumentierte Weisung.
3.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.
6.1 Der Verantwortliche genehmigt die in Anlage 2 gelisteten Unterauftragsverarbeiter (Generalgenehmigung mit Widerspruchsrecht).
6.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens 30 Tage vorab (E-Mail an die Kontoadresse genügt). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.
6.3 Mit jedem Unterauftragsverarbeiter werden Pflichten vereinbart, die den Pflichten dieses Vertrags entsprechen.
7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO), soweit die Daten im Dienst verarbeitet werden. Löschung und Auskunft sind überwiegend als Selbstbedienung im Dienst verfügbar (Kontolöschung, Datenexport).
7.2 Der Auftragsverarbeiter unterstützt bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
7.3 Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, an die hinterlegte Kontoadresse.
8.1 Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten, spätestens innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht.
8.2 Der Verantwortliche kann die Löschung jederzeit selbst auslösen (Kontolöschung im Dienst) oder per E-Mail an support@feedoptimizer.ai verlangen. Der Entzug des Google-OAuth-Zugriffs beendet jeden weiteren Datenabruf sofort.
8.3 Verliert der Auftragsverarbeiter den Zugriff auf ein Merchant Center (Entfernung des Kontos im GMC), werden die zugehörigen Daten nach 30 Tagen automatisch gelöscht, sofern der Verantwortliche nicht widerspricht.
9.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung (Dokumentation unter feedoptimizer.ai/security, Beantwortung schriftlicher Auskunftsersuchen innerhalb angemessener Frist).
9.2 Vor-Ort-Kontrollen sind nach Vorankündigung von mindestens 30 Tagen während üblicher Geschäftszeiten möglich, soweit schriftliche Auskünfte nachweislich nicht ausreichen. Jede Partei trägt die ihr im Zusammenhang mit einer Kontrolle entstehenden Kosten selbst.
10.1 Der Auftragsverarbeiter hat seinen Sitz in den USA; die Speicherung der Produkt- und Kontodaten erfolgt in der EU (AWS Frankfurt, eu-central-1) beim Unterauftragsverarbeiter Supabase. Einzelne Unterauftragsverarbeiter verarbeiten Daten in den USA (Anlage 2).
10.2 Für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), nach Maßgabe von Anlage 3.
11.1 Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags (Nutzungsbedingungen des Dienstes). Die Haftung nach Art. 82 DSGVO bleibt unberührt.
11.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser Vertrag vor.
11.3 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
| Bereich | Maßnahme |
|---|---|
| Transportverschlüsselung | TLS für sämtliche Verbindungen (Browser, Google APIs, Subprozessoren) |
| Verschlüsselung at rest | Datenbank- und Objektspeicher verschlüsselt (AWS-Infrastruktur, Supabase) |
| Token-Schutz | Google-OAuth-Tokens zusätzlich anwendungsseitig verschlüsselt; Passwörter werden nie erhoben |
| Zugriffskontrolle | Row Level Security: jedes Konto liest ausschließlich eigene Feeds, Produkte und Scores |
| Mandantentrennung | Logische Trennung pro Benutzerkonto in allen Tabellen und Speicherpfaden |
| Schreibschutz Primärdaten | Der Primary Feed wird nie beschrieben; Optimierungen nur in separatem Supplemental Feed nach expliziter Freigabe |
| Protokollierung | Fehler-Monitoring (Sentry) mit technischen Fehlerdaten; Server-Logs max. 30 Tage |
| Löschkonzept | Kontolöschung im Dienst, 30-Tage-Automatik bei GMC-Zugriffsverlust, Löschung auf Anfrage |
| Verfügbarkeit | Gemanagte Infrastruktur (Supabase/AWS, Vercel) mit Backups durch den Plattformbetreiber |
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Supabase, Inc. | Datenbank, Authentifizierung, Datei-Speicher | EU (Frankfurt, AWS eu-central-1) |
| Google LLC (Gemini API) | KI-Optimierung von Produkttexten | USA / EU |
| Google LLC (Merchant API) | Lesen des Feeds, Upload des Supplemental Feeds | USA / EU |
| Vercel, Inc. | Hosting der Website | USA |
| Stripe, Inc. | Zahlungsabwicklung (nur bezahlte Pläne) | USA |
| Resend (Plus Five Five, Inc.) | Transaktionale E-Mails | USA |
| Functional Software, Inc. (Sentry) | Fehler-Monitoring | USA / EU |
Die Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, Modul 2 (Übermittlung Verantwortlicher an Auftragsverarbeiter), gelten mit Abschluss dieses Vertrags als vereinbart. Dabei gilt: Annex I ergibt sich aus dem Rubrum und Ziffer 2 dieses Vertrags, Annex II aus Anlage 1, Annex III aus Anlage 2. Zu Klausel 9 gilt Option 2 (allgemeine Genehmigung) mit der 30-Tage-Frist aus Ziffer 6.2. Die Docking-Klausel (Klausel 7) findet keine Anwendung. Für die Zwecke der Klauseln 17 und 18 gelten deutsches Recht und die Zuständigkeit deutscher Gerichte.