Auftragsverarbeitung

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten bei der Nutzung von JOE — Jungle Optimization Engine. Er gilt zwischen dem Kunden als Verantwortlichem und der PPC JOE GmbH, Ludwig-Kirchner-Str. 5, 93133 Burglengenfeld, als Auftragsverarbeiter. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt mit deren Anerkennung; einer gesonderten Unterzeichnung bedarf es nicht. Bei Widersprüchen geht dieser AVV den Allgemeinen Geschäftsbedingungen vor.

§ 1 Gegenstand, Dauer und Weisungsbindung

Gegenstand der Verarbeitung ist die Erbringung der in den Allgemeinen Geschäftsbedingungen beschriebenen Leistung: die Auswertung des Amazon-Werbekontos des Kunden, die Berechnung von Optimierungsvorschlägen und deren Übertragung in das Werbekonto nach Freigabe durch den Kunden. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.

Verbindet der Kunde zusätzlich sein Amazon-Verkäuferkonto (Amazon Selling Partner API), umfasst der Gegenstand auch die Auswertung der Verkaufs-, Abrechnungs- und Bestelldaten des Kunden sowie — nach Aktivierung durch den Kunden in JOE — die Auslösung von Bewertungsanfragen an Käufer über die dafür von Amazon vorgesehene Schnittstelle. Den Versand der Anfrage sowie deren Zulässigkeit und Zeitpunkt bestimmt Amazon; der Auftragnehmer übermittelt Amazon dazu allein die Bestellnummer und erhält weder Namen noch Kontaktdaten der Käufer.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Als dokumentierte Weisung gelten dieser AVV, die Allgemeinen Geschäftsbedingungen sowie die Einstellungen, die der Kunde in JOE vornimmt. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

Mitarbeiter des Auftragnehmers greifen auf das Konto des Kunden in JOE nur zu, wenn der Inhaber des Kontos den Zugriff in JOE ausdrücklich freigeschaltet hat. Die Freigabe ist eine dokumentierte Weisung im Sinne des vorstehenden Absatzes; sie erlischt spätestens 30 Tage nach ihrer Erteilung von selbst und kann vom Kunden jederzeit vorher entzogen werden. Der Zugriff ist auf das Lesen beschränkt; der Auftragnehmer nimmt dabei keine Änderungen im Konto vor. Jeder Zugriff wird im Handlungsprotokoll des Kunden (§ 4) mit Zeitpunkt und zugreifender Person festgehalten. Unberührt bleibt der technische Zugriff, der zur Bereitstellung, Wartung und Absicherung des Dienstes erforderlich ist.

Bei der Erstellung von Werbekampagnen verarbeitet der Auftragnehmer Produktdaten des Kunden (insbesondere Angebotstitel und Produktmerkmale) sowie aggregierte Suchbegriffe des Werbekontos durch ein KI-Sprachmodell, um Keyword-Vorschläge zu erzeugen. Diese Verarbeitung findet ausschließlich innerhalb der Europäischen Union bei Amazon Web Services statt, das bereits als Unterauftragsverarbeiter beauftragt ist; ein zusätzlicher Auftragsverarbeiter wird dadurch nicht eingesetzt. Die Daten werden nicht zum Training von Modellen verwendet. Die Vorschläge sind unverbindlich; welche Keywords tatsächlich gebucht werden, entscheidet allein der Kunde.

§ 2 Art der Daten und Kreis der Betroffenen

Der überwiegende Teil der über die Amazon Ads API verarbeiteten Daten — Kampagnen-, Anzeigengruppen- und Keyword-Strukturen, Gebote, Budgets sowie aggregierte Leistungskennzahlen — ist nicht personenbezogen, sondern betriebswirtschaftliche Information des Kunden.

Personenbezogene Daten fallen insbesondere an bei: Stamm- und Kontaktdaten der Nutzer des Kunden (Name, E-Mail-Adresse, Telefonnummer); Zugangs- und Protokolldaten (Benutzerkennung, Zeitstempel, IP-Adresse, durchgeführte Aktionen); Kennungen des verbundenen Amazon-Werbekontos, soweit sie einer natürlichen Person zuzuordnen sind; sowie Freitextangaben, die der Kunde selbst einträgt. Betroffene Personen sind die Mitarbeiter, Beauftragten und sonstigen Nutzer des Kunden.

Bei Nutzung der auf Bestelldaten beruhenden Funktionen verarbeitet der Auftragnehmer zusätzlich Bestelldaten aus dem Amazon-Verkäuferkonto des Kunden: Bestellnummer, Bestell- und Aktualisierungsdatum, Bestellstatus, bestellte Artikel, Mengen und Beträge, Versandart sowie den Lieferort (Ort, Postleitzahl, Land). Name, Anschrift, E-Mail-Adresse und Telefonnummer der Käufer werden nicht abgerufen. Betroffene Personen sind insoweit auch die Käufer des Kunden.

§ 3 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit oder stellt sicher, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff wird auf die Personen beschränkt, die ihn zur Erbringung der Leistung benötigen.

Die Verarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union, im Wesentlichen in der Region Frankfurt am Main. Einzelne Teilverarbeitungen erfolgen in weiteren Rechenzentren innerhalb der Europäischen Union: die Entgegennahme von Amazon-Marketing-Stream-Nachrichten in der Region Irland, die Erzeugung von Keyword-Vorschlägen durch ein KI-Sprachmodell in den Regionen Frankfurt am Main, Irland, Paris, Stockholm, Mailand und Spanien. Für die Auslieferung der Weboberfläche wird ein Content Delivery Network eingesetzt, das Inhalte über weltweit verteilte Standorte bereitstellt; soweit dabei eine Übermittlung in ein Drittland stattfindet, ist sie durch die Standardvertragsklauseln der EU-Kommission abgesichert. Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 4 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere: Verschlüsselung bei Übertragung und Speicherung, Zugangs- und Rechtekontrollen nach dem Need-to-know-Prinzip, Protokollierung der Zugriffe, Trennung der Daten verschiedener Kunden, regelmäßige Datensicherung sowie ein dokumentiertes Verfahren zur Meldung und Behandlung von Sicherheitsvorfällen. Der Auftragnehmer darf die Maßnahmen fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Zur Protokollierung gehört ein Handlungsprotokoll je Konto: Jede schreibende Handlung eines Nutzers des Kunden in JOE, insbesondere Produktpflege, Gebotsfreigaben, Benutzerverwaltung, Amazon-Verbindungen und Abo-Vorgänge, wird mit Zeitpunkt, Benutzer (E-Mail-Adresse und Rolle), Aktion und Ergebnis gespeichert, auch wenn die Handlung abgelehnt wurde. Eingegebene Inhalte, Zugangsdaten und hochgeladene Dateien werden nicht protokolliert. Das Protokoll ist für Inhaber und Verwalter des Kontos in JOE einsehbar. Einträge werden nach 12 Monaten automatisch gelöscht; mit der Löschung des Kontos wird das Protokoll sofort gelöscht.

§ 5 Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht.

Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter stellt der Auftragnehmer auf Anfrage zur Verfügung. Über beabsichtigte Änderungen informiert er den Kunden mindestens vier Wochen im Voraus in Textform. Der Kunde kann der Änderung innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

§ 6 Unterstützung des Verantwortlichen

Der Auftragnehmer unterstützt den Kunden mit angemessenen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Kunden weiter und wird nicht selbst tätig.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis. Die Meldung enthält die verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Kunden als Verantwortlichem.

Sind Daten aus einem verbundenen Amazon-Werbekonto betroffen, informiert der Auftragnehmer zusätzlich Amazon innerhalb der dort vorgesehenen Frist.

§ 8 Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung dieses AVV auf Anfrage in geeigneter Form nach, insbesondere durch Auskunft und Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen. Der Kunde ist berechtigt, sich von der Einhaltung zu überzeugen. Vor-Ort-Kontrollen sind mit angemessenem Vorlauf anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durchzuführen. Für Kontrollen, die über eine Prüfung je Kalenderjahr hinausgehen, kann der Auftragnehmer den angemessenen Aufwand berechnen.

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten, die aufgrund einer gesetzlichen Pflicht aufbewahrt werden, werden gesperrt und nach Ablauf der Frist gelöscht. Die Löschung wird auf Anfrage bestätigt.

§ 10 Schlussbestimmungen

Änderungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Stand dieses Auftragsverarbeitungsvertrags: 15. September 2026.