Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO

Stand: 13. Juli 2026 / Version 2026-07

Präambel

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen dem Kunden als Verantwortlichem und der ADFERENCE GmbH, Auf der Hude 74, 21339 Lüneburg, als Auftragsverarbeiter. Er wird mit Abschluss der Leistungsvereinbarung („Hauptvertrag") Vertragsbestandteil; einer gesonderten Unterzeichnung bedarf es nicht.

§ 1 Gegenstand, Dauer und Konkretisierung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der im Hauptvertrag vereinbarten ADFERENCE-Dienste, soweit der jeweils anwendbare Anhang der AGB eine Verarbeitung im Auftrag vorsieht (derzeit: CORTUA).

(2) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anhang 1.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags, sofern sich aus den Regelungen dieses Vertrags keine darüber hinausgehenden Pflichten ergeben.

(4) Die Verarbeitung erfolgt ausschließlich innerhalb der EU/des EWR oder in einem Drittland nur unter den Voraussetzungen des Kapitels V DSGVO; die eingesetzten Subprozessoren und deren Transfergrundlagen ergeben sich aus Anhang 3.

§ 2 Weisungsrecht des Verantwortlichen (Art. 28 Abs. 3 lit. a)

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich der Übermittlung in ein Drittland, es sei denn, er ist hierzu nach Unionsrecht oder mitgliedstaatlichem Recht verpflichtet.

Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informiert er den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(2) Weisungen werden grundsätzlich in Textform erteilt und dokumentiert. Der Inhalt dieses Vertrags und des Hauptvertrags gilt als Erst-Weisung.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder sonstige Datenschutzbestimmungen verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 3 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit (Art. 28 Abs. 3 lit. b): Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Datensicherheit (Art. 28 Abs. 3 lit. c, Art. 32): Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen gemäß Anhang 2. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

(3) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e): Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Kapitel III DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

(4) Unterstützung bei weiteren Pflichten (Art. 28 Abs. 3 lit. f): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(5) Meldung von Verletzungen (Art. 33 Abs. 2): Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar.

(6) Der Auftragsverarbeiter benennt auf Anfrage eine für den Datenschutz zuständige Kontaktstelle.

§ 4 Unterauftragsverhältnisse (Art. 28 Abs. 2 und 4)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anhang 3 aufgeführten Subprozessoren.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf Hinzuziehung oder Ersetzung von Subprozessoren mit einer Vorlauffrist von 14 Tagen. Der Verantwortliche kann innerhalb der Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird kein Widerspruch erhoben, gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch, der eine Leistungserbringung verhindert, steht den Parteien ein Sonderkündigungsrecht hinsichtlich des Hauptvertrags über den betroffenen Dienst zu.

(3) Ist der Wechsel eines Subprozessors zur Aufrechterhaltung der Leistung oder der Sicherheit der Verarbeitung dringend erforderlich (z.B. bei Ausfall, Sicherheitsvorfall oder rechtlicher Unmöglichkeit der weiteren Nutzung), kann der Auftragsverarbeiter den Wechsel sofort vollziehen; er informiert den Verantwortlichen unverzüglich nachträglich. Das Widerspruchsrecht nach Absatz 2 bleibt unberührt.

(4) Der Auftragsverarbeiter erlegt jedem Subprozessor durch Vertrag dieselben, soweit für die jeweilige Verarbeitung einschlägigen, Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind. Für Drittlandübermittlungen stellt er eine geeignete Transfergrundlage nach Kapitel V DSGVO sicher (siehe Anhang 3).

(5) Nicht als Unterauftragsverhältnisse im Sinne dieses Paragraphen gelten Nebenleistungen (z. B. Telekommunikation, Reinigung).

§ 5 Kontroll- und Nachweisrechte des Verantwortlichen (Art. 28 Abs. 3 lit. h)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Nachweis erfolgt vorrangig durch Vorlage geeigneter Dokumentation, insbesondere aktueller Zertifizierungen und Prüfberichte (z. B. ISO 27001, SOC 2) — eigener oder der eingesetzten Subprozessoren.

(3) Soweit die Nachweise nach Absatz 2 im Einzelfall nicht ausreichen, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer Überprüfungen einschließlich Inspektionen. Diese erfolgen nach vorheriger Anmeldung mit angemessener Frist (mindestens 14 Tage), zu üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs, höchstens einmal pro Kalenderjahr sowie unter Wahrung der Vertraulichkeit der Daten anderer Kunden und der Geschäftsgeheimnisse des Auftragsverarbeiters. Prüfungen bei Subprozessoren richten sich nach den dort bestehenden Prüfmechanismen.

Die Begrenzung auf eine Prüfung pro Kalenderjahr und die Anmeldefrist von 14 Tagen gelten nicht bei einer Verletzung des Schutzes personenbezogener Daten, einem begründeten Verdacht auf einen Datenschutzverstoß, einer wesentlichen Änderung der Verarbeitung, auf Verlangen einer zuständigen Aufsichtsbehörde oder wenn die Dringlichkeit eine kürzere Frist erfordert.

(4) Die Bereitstellung der gesetzlich geschuldeten Nachweise sowie die Ermöglichung von und Mitwirkung an Überprüfungen nach den Absätzen 1 bis 3 erfolgen unentgeltlich. Für einen darüber hinausgehenden, kundenspezifischen Unterstützungs- oder Prüfaufwand außerhalb der gesetzlichen Pflichten kann der Auftragsverarbeiter nach vorheriger Abstimmung mit dem Verantwortlichen eine angemessene Vergütung verlangen. Dies gilt nicht, soweit die Prüfung durch eine vom Auftragsverarbeiter zu vertretende Verletzung des Schutzes personenbezogener Daten oder einen von ihm verursachten Vorfall veranlasst ist.

§ 6 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

(1) Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht.

(2) Die Löschung der aktiven Datenbestände erfolgt erst, nachdem

(a) die dem Verantwortlichen nach dem Hauptvertrag bzw. nach der Verordnung (EU) 2023/2854 (Data Act) zustehende Abruf- und Bereitstellungsphase abgelaufen ist und

(b) ein fristgerecht gestelltes Export- oder Rückgabeverlangen des Verantwortlichen vollständig erfüllt wurde.

Trifft der Verantwortliche innerhalb von 30 Kalendertagen nach Beendigung des Hauptvertrags keine Wahl und stellt er kein Abruf-, Export- oder Rückgabeverlangen, löscht der Auftragsverarbeiter die Daten nach Ablauf dieser Frist.

(3) Vorhandene Kopien in Sicherungskopien (Backups) werden anschließend nach Maßgabe der in Anhang 1 Nr. 5 dokumentierten Backup-Fristen gelöscht.

(4) Der Auftragsverarbeiter weist die Löschung bzw. Rückgabe auf Verlangen in geeigneter Weise nach.

§ 7 Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

§ 8 Schlussbestimmungen

(1) Rangfolge: Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Die Anhänge 1–3 sind Bestandteil dieses Vertrags.

(2) Form: Änderungen und Ergänzungen bedürfen der Textform.

(3) Salvatorische Klausel: Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Anwendbares Recht / Gerichtsstand: Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Lüneburg, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlagen:

Anhang 1 — Beschreibung der Verarbeitung

Anhang 2 — Technische und organisatorische Maßnahmen (TOMs)

Anhang 3 — Subprozessoren & Transfergrundlagen

Anhang 1 — Beschreibung der Verarbeitung

(Pflichtangaben nach Art. 28 Abs. 3 S. 1 DSGVO)

1. Gegenstand der Verarbeitung

Bereitstellung und Betrieb des Dienstes CORTUA sowie weiterer ADFERENCE-Dienste, soweit deren Anhang eine Auftragsverarbeitung vorsieht. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich, soweit sie zur Leistungserbringung technisch erforderlich ist.

2. Art und Zweck der Verarbeitung

Authentifizierung und Zugriffsverwaltung der Nutzer des Verantwortlichen

Speicherung und Verarbeitung der vom Verantwortlichen in die Anwendung eingegebenen bzw. über angebundene Werbekonten bereitgestellten Daten

Asynchrone Verarbeitung (Jobs), Benachrichtigungen und Betrieb/Monitoring der Anwendung

KI-gestützte Auswertung und Optimierung im Rahmen der Leistung

3. Art der personenbezogenen Daten

Identifikations- und Kontaktdaten der Nutzer (Name, geschäftliche E-Mail-Adresse)

Authentifizierungsdaten (Login-Kennungen, Credentials, Session-Informationen)

Nutzungs-, Protokoll- und technische Daten (u. a. IP-Adressen, Zeitstempel, Geräte-/Browserinformationen)

Inzidentell in Job-Payloads oder KI-Prompts enthaltene personenbezogene Daten

Nicht Gegenstand der Auftragsverarbeitung: aggregierte Amazon-Performance-Daten (Impressions, Clicks, Spend, ASINs) ohne Personenbezug.

4. Kategorien betroffener Personen

Ansprechpartner des Verantwortlichen

Ggf. natürliche Personen, deren Daten inzidentell in den verarbeiteten Inhalten enthalten sind

5. Dauer der Verarbeitung

Für die Laufzeit des Hauptvertrags. Nach Vertragsende: Löschung oder Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO gemäß § 6 des AVV-Hauptteils. Speicher-/Löschfristen der Systeme: Point-in-Time-Recovery 1 Tag, Datenbank-Backups 14 Tage, Zugriffs-/Authentifizierungsprotokolle (Clerk) 30 Tage.

6. Pflichten und Rechte des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Rechte der betroffenen Personen verantwortlich und erteilt Weisungen nach Maßgabe des AVV-Hauptteils.

Anhang 2 — Technische und organisatorische Maßnahmen (TOMs)

(nach Art. 32 DSGVO)

Hinweis: ADFERENCE betreibt eine cloud-native Anwendung. Physische Sicherheit wird von den Infrastruktur-Subprozessoren erbracht und über deren Zertifizierungen nachgewiesen. Verarbeitungsorte überwiegend, aber nicht ausschließlich in der EU (Clerk: USA). Standorte je Subprozessor siehe Anhang 3.

0. Verantwortungsteilung (Shared Responsibility)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

1.1 Zutrittskontrolle (physisch)

An die jeweiligen Infrastruktur-Subprozessoren delegiert; Verarbeitungsorte gemäß Anhang 3. ADFERENCE unterhält keine eigenen Server-Standorte. Nachweis über die Zertifizierungen der Subprozessoren (Abschnitt 0). Die Standorte sind überwiegend in der EU (u. a. Frankfurt: Neon, Datadog, AWS); die Identitäts-/Authentifizierungsdaten werden bei Clerk in den USA verarbeitet — Transfergrundlage DPF + SCC, siehe Anhang 3.

1.2 Zugangskontrolle (Systemzugang / Authentifizierung)

Zentrale Authentifizierung über Clerk; keine Eigenimplementierung von Passwort-Hashing/Session-Handling.

Passwort-Policy: 8–72 Zeichen; schwache sowie kompromittierte Passwörter werden erkannt und abgelehnt.

Zugang zu Produktionssystemen (Neon, Vercel, Cloud-Konsolen) ist auf operativ notwendige Mitarbeiter beschränkt und per Google-SSO und MFA mit Hardware-Key abgesichert.

1.3 Zugriffskontrolle (Berechtigungen / Least Privilege)

Rollenbasiertes Berechtigungskonzept (RBAC): Rolle Admin / Member wird pro Kombination aus Benutzer und Organisationseinheit festgelegt.

Mitarbeitende greifen über eine Impersonifizierungs-Funktion auf Kundenkonten zu; Zugriffe werden protokolliert.

Zugriff wird beim Offboarding von Mitarbeitern über das unternehmensweite SSO automatisch entzogen.

1.4 Trennungskontrolle (Mandantentrennung)

Regelfall: logische Trennung auf Anwendungsebene.

KI-/LLM-Funktion — verstärkte, strukturelle Trennung: Das LLM kann SQL-Queries ausschließlich innerhalb einer mandantenspezifischen Sandbox ausführen. Die Sandbox ist als separate Analyse-Datenbank konstruiert, in die nur mandanteneigene Daten importiert werden können; der Import erfolgt über Funktionsaufrufe, die dem Aufrufer nicht erlauben, den Mandanten zu spezifizieren. Damit ist die Verarbeitung durch technische und organisatorische Mandantentrennung isoliert.

Produktions-, Test- und Entwicklungsumgebungen sind voneinander getrennt; keine Produktions-PII in Test/Dev.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)

Verschlüsselung at rest: Neon-Datenbank (Frankfurt) mit AES-256.

Verschlüsselung in transit: durchgängig TLS 1.2+ / HTTPS für alle Verbindungen (Client↔App, App↔DB, App↔Subprozessoren).

Scraping öffentlicher Marktdaten: Autoren-/Verfasserangaben aus Produkt-Reviews werden zum Erfassungszeitpunkt per Feld-Whitelist verworfen und nicht persistiert.

KI-Infrastruktur (Anthropic): Zero Data Retention aktiv, kein Training auf API-Daten.

2 Integrität (Art. 32 Abs. 1 lit. b)

2.1 Weitergabe- / Transportkontrolle

Verschlüsselte Übertragung an alle Subprozessoren (TLS).

Drittlandtransfers ausschließlich auf dokumentierter Grundlage (DPF + SCC-Fallback), siehe Anhang 3.

Keine Übertragung personenbezogener Daten auf Wechseldatenträger.

2.2 Eingabekontrolle (Nachvollziehbarkeit)

Protokollierung sicherheitsrelevanter Ereignisse und administrativer Zugriffe: Anmeldungen, Änderungen von Zugangsdaten sowie Benutzerrollen werden von Clerk protokolliert und 30 Tage aufbewahrt.

Logs sind gegen unbefugte Änderung geschützt und werden PII-minimiert geführt.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

3.1 Verfügbarkeits- / Belastbarkeitskontrolle

Redundanz/Ausfallsicherheit auf Infrastrukturebene über Cloud-Subprozessoren.

3.2 Backup und Wiederherstellbarkeit

Point-in-Time-Recovery 1 Tag; tägliche Datenbank-Backups, Aufbewahrung 14 Tage.

Backup-Speicherort (EU): AWS Frankfurt (eigener Account, pg_dump).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d)

4.1 Überprüfung der Wirksamkeit

Statische Sicherheitsanalyse des Codes: zum Release durchgeführt, künftig mindestens jährlich.

Dependency-/Supply-Chain-Monitoring: GitHub Dependabot, kontinuierlich.

Regelmäßige Überprüfung der TOMs selbst: jährlich.

4.2 Incident- / Data-Breach-Prozess

Definierter, intern dokumentierter Prozess zur Erkennung, Meldung und Behandlung von Sicherheitsvorfällen.

Meldung an den Verantwortlichen unverzüglich nach Bekanntwerden einer Datenpanne (Art. 33 Abs. 2).

4.3 Auftragskontrolle (Subprozessor-Management)

Auswahl der Subprozessoren nach Datenschutz-/Sicherheitskriterien; AVV/DPA mit jedem Subprozessor.

Führung und Aktualisierung der Subprozessorenliste, siehe Anhang 3.

Es findet keine Übertragung personenbezogener Daten aus der Primärdatenbank in nachgelagerte Analysesysteme statt; vor jeder Änderung dieser Architektur erfolgt eine datenschutzrechtliche Prüfung.

Anhang 3 — Subprozessoren & Transfergrundlagen

(nach Art. 28 Abs. 2 und 4 DSGVO)

Hinweis Clerk: Die im Kundenauftrag verwalteten Endnutzerkonten verarbeitet Clerk als Auftragsverarbeiter. Für die Account-Daten des ADFERENCE-eigenen Kontos beansprucht Clerk nach seinem DPA eine eigene Verantwortlichenrolle; diese Verarbeitung ist nicht Gegenstand dieses AVV.

Der Mechanismus für die Genehmigung, Änderung und Ersetzung von Subprozessoren richtet sich nach § 4 des AVV-Hauptteils.

‍