Auftragsverarbeitung
Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten bei der Nutzung von JOE — Jungle Optimization Engine. Er gilt zwischen dem Kunden als Verantwortlichem und AMZ Jungle Guide, Paul Scheuber, Ludwig-Kirchner-Str. 5, 93133 Burglengenfeld, als Auftragsverarbeiter. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt mit deren Anerkennung; einer gesonderten Unterzeichnung bedarf es nicht. Bei Widersprüchen geht dieser AVV den Allgemeinen Geschäftsbedingungen vor.
§ 1 Gegenstand, Dauer und Weisungsbindung
Gegenstand der Verarbeitung ist die Erbringung der in den Allgemeinen Geschäftsbedingungen beschriebenen Leistung: die Auswertung des Amazon-Werbekontos des Kunden, die Berechnung von Optimierungsvorschlägen und deren Übertragung in das Werbekonto nach Freigabe durch den Kunden. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Als dokumentierte Weisung gelten dieser AVV, die Allgemeinen Geschäftsbedingungen sowie die Einstellungen, die der Kunde in JOE vornimmt. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
§ 2 Art der Daten und Kreis der Betroffenen
Der überwiegende Teil der über die Amazon Ads API verarbeiteten Daten — Kampagnen-, Anzeigengruppen- und Keyword-Strukturen, Gebote, Budgets sowie aggregierte Leistungskennzahlen — ist nicht personenbezogen, sondern betriebswirtschaftliche Information des Kunden.
Personenbezogene Daten fallen insbesondere an bei: Stamm- und Kontaktdaten der Nutzer des Kunden (Name, E-Mail-Adresse, Telefonnummer); Zugangs- und Protokolldaten (Benutzerkennung, Zeitstempel, IP-Adresse, durchgeführte Aktionen); Kennungen des verbundenen Amazon-Werbekontos, soweit sie einer natürlichen Person zuzuordnen sind; sowie Freitextangaben, die der Kunde selbst einträgt. Betroffene Personen sind die Mitarbeiter, Beauftragten und sonstigen Nutzer des Kunden.
§ 3 Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit oder stellt sicher, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff wird auf die Personen beschränkt, die ihn zur Erbringung der Leistung benötigen.
Die Verarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union, im Wesentlichen in der Region Frankfurt am Main. Einzelne Teilverarbeitungen — insbesondere die Entgegennahme von Amazon-Marketing-Stream-Nachrichten — erfolgen in der Region Irland. Für die Auslieferung der Weboberfläche wird ein Content Delivery Network eingesetzt, das Inhalte über weltweit verteilte Standorte bereitstellt; soweit dabei eine Übermittlung in ein Drittland stattfindet, ist sie durch die Standardvertragsklauseln der EU-Kommission abgesichert. Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
§ 4 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere: Verschlüsselung bei Übertragung und Speicherung, Zugangs- und Rechtekontrollen nach dem Need-to-know-Prinzip, Protokollierung der Zugriffe, Trennung der Daten verschiedener Kunden, regelmäßige Datensicherung sowie ein dokumentiertes Verfahren zur Meldung und Behandlung von Sicherheitsvorfällen. Der Auftragnehmer darf die Maßnahmen fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
§ 5 Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht.
Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter stellt der Auftragnehmer auf Anfrage zur Verfügung. Über beabsichtigte Änderungen informiert er den Kunden mindestens vier Wochen im Voraus in Textform. Der Kunde kann der Änderung innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
§ 6 Unterstützung des Verantwortlichen
Der Auftragnehmer unterstützt den Kunden mit angemessenen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Kunden weiter und wird nicht selbst tätig.
§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis. Die Meldung enthält die verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Kunden als Verantwortlichem.
Sind Daten aus einem verbundenen Amazon-Werbekonto betroffen, informiert der Auftragnehmer zusätzlich Amazon innerhalb der dort vorgesehenen Frist.
§ 8 Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung dieses AVV auf Anfrage in geeigneter Form nach, insbesondere durch Auskunft und Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen. Der Kunde ist berechtigt, sich von der Einhaltung zu überzeugen. Vor-Ort-Kontrollen sind mit angemessenem Vorlauf anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durchzuführen. Für Kontrollen, die über eine Prüfung je Kalenderjahr hinausgehen, kann der Auftragnehmer den angemessenen Aufwand berechnen.
§ 9 Löschung und Rückgabe
Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten, die aufgrund einer gesetzlichen Pflicht aufbewahrt werden, werden gesperrt und nach Ablauf der Frist gelöscht. Die Löschung wird auf Anfrage bestätigt.
§ 10 Schlussbestimmungen
Änderungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Stand dieses Auftragsverarbeitungsvertrags: 10. August 2026.