abgeschlossen zwischen Ihnen als unserem Kunden,
– nachstehend als „Verantwortlicher" bezeichnet –
und
Adspresso GmbH
Geschäftsführer: Daniel Muftic, Marcus Schnellinger
Rablstraße 23
4600 Wels
Österreich
E-Mail: office@adspresso.at
– nachstehend als „Auftragsverarbeiter" bezeichnet –
– und gemeinsam als die „Parteien" bezeichnet –
schließen den folgenden Vertrag zur Auftragsverarbeitung („AVV"), der die Verarbeitung von personenbezogenen Daten des Verantwortlichen durch den Auftragsverarbeiter regelt.
Der Verantwortliche hat mit dem Auftragsverarbeiter einen Vertrag („Hauptvertrag") über die Erbringung von Performance-Marketing-Dienstleistungen geschlossen. Gegenstand des Hauptvertrags ist insbesondere die Konzeption, Erstellung, Schaltung, Betreuung und Optimierung von Werbekampagnen (Performance Ads) auf digitalen Werbeplattformen mit dem Ziel der Umsatzsteigerung von Online-Shops sowie der Gewinnung von Leads für den Verantwortlichen. Umfasst der Hauptvertrag Recruiting-Leistungen (insbesondere Karrierecafé bzw. TalentBlend™), gilt ergänzend Anhang 2. Bei Widersprüchen geht Anhang 2 für diese Leistungen vor. Die Parteien schließen den vorliegenden AVV ab, um sicherzustellen, dass die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen nach Maßgabe der geltenden Datenschutzgesetze, insbesondere der DSGVO und des österreichischen DSG, erfolgt.
Sämtliche in dieser AVV verwendeten Begriffe sind im Sinne der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO") zu verstehen, sofern nicht ausdrücklich anders vereinbart.
Gegenstand der Verarbeitung ist die Erbringung von Performance-Marketing-Leistungen durch den Auftragsverarbeiter, insbesondere die Planung, Erstellung, Schaltung und Optimierung von Online-Werbekampagnen sowie das damit verbundene Tracking, Reporting und die Auswertung von Kampagnendaten.
Die Verarbeitung erfolgt zum Zweck der:
Verarbeitet werden je nach Auftrag insbesondere folgende Datenkategorien:
Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Nach dessen Beendigung gelten die Regelungen in § 8 dieses Vertrags.
Im Rahmen der Erbringung der Leistungen setzt der Auftragsverarbeiter folgende Sub-Auftragsverarbeiter ein. Diese gelten mit Abschluss dieser AVV als vom Verantwortlichen genehmigt:
Zur internen Speicherung, Bearbeitung und Übermittlung von Daten des Verantwortlichen (z. B. Briefings, Kampagnenkonzepte, Reports, Kommunikation) sowie zur E-Mail-Korrespondenz setzt der Auftragsverarbeiter Google Workspace (Google Drive, Gmail) ein:
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für EWR-Kunden), bzw. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Der Datentransfer in die USA erfolgt auf Grundlage des EU-US Data Privacy Frameworks (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Die Zertifizierung von Google ist abrufbar unter: dataprivacyframework.gov/s/participant-search
Der Verantwortliche ist Inhaber bzw. werbetreibendes Unternehmen auf Werbeplattformen (insbesondere Meta, Google, TikTok, LinkedIn) und damit aus datenschutzrechtlicher Sicht für die jeweils stattfindenden Verarbeitungsprozesse selbst Verantwortlicher. Gemäß der Rechtsprechung des Europäischen Gerichtshofs (insbesondere Fashion-ID, C-40/17; Wirtschaftsakademie, C-210/16) besteht eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO zwischen dem werbetreibenden Unternehmen und dem Betreiber der jeweiligen Werbeplattform.
Aus Sicht des Auftragsverarbeiters Adspresso GmbH sind die Betreiber der Werbeplattformen daher nicht Sub-Auftragsverarbeiter, sondern – aus Sicht des Verantwortlichen – gemeinsame Verantwortliche bzw. je nach konkretem Verarbeitungsprozess Empfänger. Die jeweiligen Joint-Controller-Vereinbarungen werden bereits mit den Nutzungsbedingungen der Plattformen wirksam und sind insbesondere abrufbar unter:
Der Auftragsverarbeiter ist berechtigt, zur Erbringung der Leistungen weitere Sub-Auftragsverarbeiter (z. B. Tracking-Tools, Reporting-Tools, Kommunikations-Tools) heranzuziehen. Die Heranziehung weiterer Sub-Auftragsverarbeiter, die nicht in dieser AVV ausdrücklich genannt sind, wird dem Verantwortlichen so rechtzeitig schriftlich oder per E-Mail mitgeteilt, dass dieser dagegen innerhalb von 14 Tagen Einspruch erheben kann. Erfolgt kein Einspruch innerhalb dieser Frist, gilt der Sub-Auftragsverarbeiter als genehmigt.
Der Auftragsverarbeiter verpflichtet sich, mit jedem Sub-Auftragsverarbeiter einen Vertrag abzuschließen, der diesem dieselben Datenschutzpflichten auferlegt wie sie in diesem AVV festgelegt sind. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten.
Der Verantwortliche ist im datenschutzrechtlichen Sinn für die Verarbeitung verantwortlich. Er ist verpflichtet:
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen können in Textform (auch per E-Mail) erteilt werden. Sollte der Auftragsverarbeiter aufgrund gesetzlicher Verpflichtungen zu einer Verarbeitung gezwungen sein, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern dies rechtlich zulässig ist.
Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht über die Beendigung des Beschäftigungs- oder Dienstverhältnisses hinaus fort.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über:
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO.
Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten. Eine Übersicht der konkret umgesetzten Maßnahmen ist in Anhang 1 zu dieser AVV festgehalten.
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Auftragsverarbeiter kann hierfür ein angemessenes Entgelt verlangen, sofern der Aufwand außerhalb der vertraglichen Leistungen liegt.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus dieser AVV erforderlich sind. Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer sind nach Voranmeldung von mindestens drei Wochen möglich. Der Auftragsverarbeiter ist berechtigt, für den hierdurch entstehenden Aufwand ein angemessenes Entgelt zu verrechnen.
Eine Übermittlung personenbezogener Daten in Drittländer außerhalb des EWR erfolgt nur, sofern für das Drittland ein Angemessenheitsbeschluss der EU-Kommission besteht (z. B. EU-US Data Privacy Framework für zertifizierte US-Anbieter) oder andere geeignete Garantien gemäß Kapitel V DSGVO (z. B. EU-Standardvertragsklauseln) vorliegen. Im Falle einer geplanten Übermittlung in ein Drittland ohne angemessenes Datenschutzniveau wird der Verantwortliche vorab informiert.
(1) Diese AVV gilt für die Dauer des Hauptvertrags. Sie bleibt darüber hinaus so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.
(2) Nach Beendigung der Verarbeitungsleistungen hat der Auftragsverarbeiter sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen entweder zurückzugeben oder zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Auftragsverarbeiter kann für die Rückgabe oder Übertragung der Daten ein angemessenes Entgelt verlangen.
(3) Die Vertraulichkeitspflicht des Auftragsverarbeiters bleibt auch nach Beendigung dieser AVV unbeschränkt aufrecht.
(1) Ergänzend gelten die Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters.
(2) Änderungen und Ergänzungen dieser AVV bedürfen der Schriftform (Textform ausreichend). Dies gilt auch für die Abweichung vom Schriftformerfordernis.
(3) Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine solche als vereinbart, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Auf diese AVV findet ausschließlich österreichisches Recht unter Ausschluss der Verweisungsnormen Anwendung.
(5) Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser AVV ist das sachlich zuständige Gericht in Wels, Österreich.
Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:
Diese Maßnahmen werden regelmäßig überprüft und bei Bedarf an den Stand der Technik angepasst.
Umfasst der Hauptvertrag Recruiting-Leistungen, verarbeitet der Auftragsverarbeiter personenbezogene Daten von Bewerberinnen und Bewerbern im Auftrag des Verantwortlichen zu folgenden Zwecken:
Bewerberinnen und Bewerber auf Stellen des Verantwortlichen.
Name, Kontaktdaten (E-Mail, Telefon), bevorzugte Erreichbarkeit, Antworten auf Fragen zu Qualifikation und Erfahrung, Notizen aus dem telefonischen Erstgespräch, Lebenslauf und sonstige übermittelte Unterlagen.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Lichtbilder werden nicht angefordert. Werden solche Daten unaufgefordert übermittelt, werden sie nur verarbeitet, soweit dies für die Weiterleitung der Bewerbung unvermeidbar ist; Lichtbilder werden nicht in das einheitliche Format übernommen.
Zusätzlich zu § 4 lit. a gelten folgende Sub-Auftragsverarbeiter mit Abschluss dieser AVV als genehmigt:
Der Auftragsverarbeiter setzt KI-gestützte Software ausschließlich zur formalen Vereinheitlichung (Layout, Struktur, bei Bedarf Übersetzung) von Lebensläufen ein. Die Software bewertet, reiht oder filtert Bewerbungen nicht und trifft keine Entscheidungen. Jedes Ergebnis wird vor der Übermittlung von einer Mitarbeiterin oder einem Mitarbeiter mit dem Original abgeglichen. Der Anbieter verwendet die Daten vertraglich nicht zum Training seiner Modelle.
Die K.-o.-Kriterien des Bewerbungs-Quiz legt der Verantwortliche fest bzw. gibt sie frei. Der Verantwortliche sichert zu, dass diese Kriterien sachlich mit der Stelle zusammenhängen und nicht gegen das Gleichbehandlungsgesetz verstoßen. Bewerberinnen und Bewerber, die ein K.-o.-Kriterium nicht erfüllen, scheiden vor der Eingabe personenbezogener Daten aus; ihre Antworten werden nicht gespeichert.
(1) Der Verantwortliche teilt dem Auftragsverarbeiter mit, ob eine Bewerbung abgelehnt oder die Stelle besetzt wurde.
(2) Der Auftragsverarbeiter löscht Bewerberdaten in seinen Systemen spätestens 7 Monate nach Mitteilung der Absage bzw. nach Abschluss des Besetzungsverfahrens. Ist eine Einstellungsgarantie vereinbart, beginnt die Frist für die im Rahmen der Garantie benötigten Daten erst mit deren Ablauf.
(3) Für die an ihn übermittelten Daten ist der Verantwortliche selbst verantwortlich, einschließlich der Löschfristen in seinen eigenen Systemen.
(4) Ziff. 7 gilt nicht für Daten, die nach Ziff. 8 in den Talentpool übernommen wurden.
(1) Der Verantwortliche nimmt zur Kenntnis und ist damit einverstanden, dass der Auftragsverarbeiter im Bewerbungsformular eine gesonderte, freiwillige Einwilligung der Bewerberinnen und Bewerber in eigenem Namen einholt. Mit dieser Einwilligung dürfen ihre Daten nach Abschluss des Verfahrens für 12 Monate gespeichert und für Vorschläge zu Stellen bei anderen Kunden genutzt werden.
(2) Für Daten im Talentpool ist der Auftragsverarbeiter ab Abschluss des Verfahrens selbst Verantwortlicher im Sinne der DSGVO.
(3) Interne Bewertungen, Notizen und Absagegründe des Verantwortlichen werden nicht in den Talentpool übernommen.
(4) Ohne Einwilligung verwendet der Auftragsverarbeiter Bewerberdaten ausschließlich für den Verantwortlichen.
Abweichend von § 4 lit. b und § 5 dritter Spiegelstrich gilt für Karrierecafé:
Formulardaten und Quiz-Antworten von Bewerberinnen und Bewerbern werden nicht an Werbeplattformen übermittelt.
(1) Der Auftragsverarbeiter stellt auf der Karriereseite die Datenschutzinformation für Bewerberinnen und Bewerber im Namen des Verantwortlichen bereit.
(2) Der Verantwortliche stellt dafür seine Firma, Anschrift und Kontaktdaten zur Verfügung und informiert über Änderungen.
(3) Anfragen von Bewerberinnen und Bewerbern leitet der Auftragsverarbeiter gemäß § 6 lit. c unverzüglich weiter. Anfragen, die nur den Talentpool betreffen, beantwortet er selbst.
Diese Auftragsverarbeitungsvereinbarung wurde auf Basis der DSGVO und des österreichischen DSG erstellt. Stand: 01.10.2026 · Adspresso GmbH