Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

zwischen dem Kunden (nachfolgend „Verantwortlicher“) und

Kunden Kraftwerk LLC, 1317 Edgewater Dr #2453, Orlando, Florida 32804, USA, vertreten durch Dennis Gerich (nachfolgend „Auftragsverarbeiter“)

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen der KI-gestützten Analyse und Optimierung von Google-Shopping-Produktfeeds über den SaaS-Dienst FeedOptimizer.AI (app.feedoptimizer.ai). Gegenstand dieses Vertrags ist jede damit verbundene Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen.

1.2 Die Laufzeit dieses Vertrags entspricht der Laufzeit der Nutzungsvereinbarung über den Dienst. Er endet automatisch mit deren Beendigung.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Zweck: Bewertung der inhaltlichen Qualität von Produktdaten (Feed-Check/Quality Score), KI-gestützte Erstellung optimierter Produkttexte und -attribute, Upload freigegebener Optimierungen als Supplemental Feed in das Google Merchant Center des Verantwortlichen bzw. seiner Endkunden.

2.2 Kategorien von Daten:

• Produktdaten aus dem Google Merchant Center (Titel, Beschreibungen, Attribute, Preise, Verfügbarkeiten, Produkt-URLs, Bild-URLs, Kategorien)
• Merchant-Center-Kontometadaten (Konto-IDs, Kontonamen, Website-URLs)
• OAuth-Tokens für den Zugriff auf die Google-Konten
• Performance-Kennzahlen (Klicks, Impressionen, CTR) auf Produktebene

2.3 Kategorien betroffener Personen: Produktdaten enthalten in der Regel keine personenbezogenen Daten von Endverbrauchern. Betroffene sind primär: Mitarbeiter und Kontoinhaber des Verantwortlichen bzw. seiner Endkunden (E-Mail-Adressen, Namen im Rahmen der Google-Konten), mittelbar Personen, deren Daten in Produkttexten auftauchen können (z. B. Designer-Namen).

2.4 Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Aggregierte, anonymisierte Auswertungen (z. B. Durchschnitts-Scores über alle geprüften Produkte) enthalten keinen Personen- oder Kundenbezug.

3. Weisungsgebundenheit

3.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen des Dienstes (Feed verbinden, Check starten, Optimierung freigeben, Upload auslösen) gilt als dokumentierte Weisung.

3.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche genehmigt die in Anlage 2 gelisteten Unterauftragsverarbeiter (Generalgenehmigung mit Widerspruchsrecht).

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens 30 Tage vorab (E-Mail an die Kontoadresse genügt). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.

6.3 Mit jedem Unterauftragsverarbeiter werden Pflichten vereinbart, die den Pflichten dieses Vertrags entsprechen.

7. Unterstützungspflichten

7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO), soweit die Daten im Dienst verarbeitet werden. Löschung und Auskunft sind überwiegend als Selbstbedienung im Dienst verfügbar (Kontolöschung, Datenexport).

7.2 Der Auftragsverarbeiter unterstützt bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

7.3 Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, an die hinterlegte Kontoadresse.

8. Löschung und Rückgabe

8.1 Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten, spätestens innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht.

8.2 Der Verantwortliche kann die Löschung jederzeit selbst auslösen (Kontolöschung im Dienst) oder per E-Mail an support@feedoptimizer.ai verlangen. Der Entzug des Google-OAuth-Zugriffs beendet jeden weiteren Datenabruf sofort.

8.3 Verliert der Auftragsverarbeiter den Zugriff auf ein Merchant Center (Entfernung des Kontos im GMC), werden die zugehörigen Daten nach 30 Tagen automatisch gelöscht, sofern der Verantwortliche nicht widerspricht.

9. Nachweise und Kontrollen

9.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung (Dokumentation unter feedoptimizer.ai/security, Beantwortung schriftlicher Auskunftsersuchen innerhalb angemessener Frist).

9.2 Vor-Ort-Kontrollen sind nach Vorankündigung von mindestens 30 Tagen während üblicher Geschäftszeiten möglich, soweit schriftliche Auskünfte nachweislich nicht ausreichen. Jede Partei trägt die ihr im Zusammenhang mit einer Kontrolle entstehenden Kosten selbst.

10. Drittlandtransfer

10.1 Der Auftragsverarbeiter hat seinen Sitz in den USA; die Speicherung der Produkt- und Kontodaten erfolgt in der EU (AWS Frankfurt, eu-central-1) beim Unterauftragsverarbeiter Supabase. Einzelne Unterauftragsverarbeiter verarbeiten Daten in den USA (Anlage 2).

10.2 Für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), nach Maßgabe von Anlage 3.

11. Haftung, Schlussbestimmungen

11.1 Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags (Nutzungsbedingungen des Dienstes). Die Haftung nach Art. 82 DSGVO bleibt unberührt.

11.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser Vertrag vor.

11.3 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

Anlage 1: Technische und organisatorische Maßnahmen (Stand 23.07.2026)

Anlage 2: Unterauftragsverarbeiter (Stand 23.07.2026)

Anlage 3: EU-Standardvertragsklauseln

Die Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, Modul 2 (Übermittlung Verantwortlicher an Auftragsverarbeiter), gelten mit Abschluss dieses Vertrags als vereinbart. Dabei gilt: Annex I ergibt sich aus dem Rubrum und Ziffer 2 dieses Vertrags, Annex II aus Anlage 1, Annex III aus Anlage 2. Zu Klausel 9 gilt Option 2 (allgemeine Genehmigung) mit der 30-Tage-Frist aus Ziffer 6.2. Die Docking-Klausel (Klausel 7) findet keine Anwendung. Für die Zwecke der Klauseln 17 und 18 gelten deutsches Recht und die Zuständigkeit deutscher Gerichte.