abgeschlossen zwischen Ihnen als unserem Kunden,
– nachstehend als „Verantwortlicher" bezeichnet –
und
Adspresso GmbH
Geschäftsführer: Daniel Muftic, Marcus Schnellinger
Rablstraße 23
4600 Wels
Österreich
E-Mail: office@adspresso.at
– nachstehend als „Auftragsverarbeiter" bezeichnet –
– und gemeinsam als die „Parteien" bezeichnet –
schließen den folgenden Vertrag zur Auftragsverarbeitung („AVV"), der die Verarbeitung von personenbezogenen Daten des Verantwortlichen durch den Auftragsverarbeiter regelt.
Der Verantwortliche hat mit dem Auftragsverarbeiter einen Vertrag („Hauptvertrag") über die Erbringung von Performance-Marketing-Dienstleistungen geschlossen. Gegenstand des Hauptvertrags ist insbesondere die Konzeption, Erstellung, Schaltung, Betreuung und Optimierung von Werbekampagnen (Performance Ads) auf digitalen Werbeplattformen mit dem Ziel der Umsatzsteigerung von Online-Shops sowie der Gewinnung von Leads für den Verantwortlichen. Die Parteien schließen den vorliegenden AVV ab, um sicherzustellen, dass die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen nach Maßgabe der geltenden Datenschutzgesetze, insbesondere der DSGVO und des österreichischen DSG, erfolgt.
Sämtliche in dieser AVV verwendeten Begriffe sind im Sinne der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO") zu verstehen, sofern nicht ausdrücklich anders vereinbart.
Gegenstand der Verarbeitung ist die Erbringung von Performance-Marketing-Leistungen durch den Auftragsverarbeiter, insbesondere die Planung, Erstellung, Schaltung und Optimierung von Online-Werbekampagnen sowie das damit verbundene Tracking, Reporting und die Auswertung von Kampagnendaten.
Die Verarbeitung erfolgt zum Zweck der:
Verarbeitet werden je nach Auftrag insbesondere folgende Datenkategorien:
Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Nach dessen Beendigung gelten die Regelungen in § 8 dieses Vertrags.
Im Rahmen der Erbringung der Leistungen setzt der Auftragsverarbeiter folgende Sub-Auftragsverarbeiter ein. Diese gelten mit Abschluss dieser AVV als vom Verantwortlichen genehmigt:
Zur internen Speicherung, Bearbeitung und Übermittlung von Daten des Verantwortlichen (z. B. Briefings, Kampagnenkonzepte, Reports, Kommunikation) sowie zur E-Mail-Korrespondenz setzt der Auftragsverarbeiter Google Workspace (Google Drive, Gmail) ein:
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für EWR-Kunden), bzw. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Der Datentransfer in die USA erfolgt auf Grundlage des EU-US Data Privacy Frameworks (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Die Zertifizierung von Google ist abrufbar unter: dataprivacyframework.gov/s/participant-search
Der Verantwortliche ist Inhaber bzw. werbetreibendes Unternehmen auf Werbeplattformen (insbesondere Meta, Google, TikTok, LinkedIn) und damit aus datenschutzrechtlicher Sicht für die jeweils stattfindenden Verarbeitungsprozesse selbst Verantwortlicher. Gemäß der Rechtsprechung des Europäischen Gerichtshofs (insbesondere Fashion-ID, C-40/17; Wirtschaftsakademie, C-210/16) besteht eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO zwischen dem werbetreibenden Unternehmen und dem Betreiber der jeweiligen Werbeplattform.
Aus Sicht des Auftragsverarbeiters Adspresso GmbH sind die Betreiber der Werbeplattformen daher nicht Sub-Auftragsverarbeiter, sondern – aus Sicht des Verantwortlichen – gemeinsame Verantwortliche bzw. je nach konkretem Verarbeitungsprozess Empfänger. Die jeweiligen Joint-Controller-Vereinbarungen werden bereits mit den Nutzungsbedingungen der Plattformen wirksam und sind insbesondere abrufbar unter:
Der Auftragsverarbeiter ist berechtigt, zur Erbringung der Leistungen weitere Sub-Auftragsverarbeiter (z. B. Tracking-Tools, Reporting-Tools, Kommunikations-Tools) heranzuziehen. Die Heranziehung weiterer Sub-Auftragsverarbeiter, die nicht in dieser AVV ausdrücklich genannt sind, wird dem Verantwortlichen so rechtzeitig schriftlich oder per E-Mail mitgeteilt, dass dieser dagegen innerhalb von 14 Tagen Einspruch erheben kann. Erfolgt kein Einspruch innerhalb dieser Frist, gilt der Sub-Auftragsverarbeiter als genehmigt.
Der Auftragsverarbeiter verpflichtet sich, mit jedem Sub-Auftragsverarbeiter einen Vertrag abzuschließen, der diesem dieselben Datenschutzpflichten auferlegt wie sie in diesem AVV festgelegt sind. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten.
Der Verantwortliche ist im datenschutzrechtlichen Sinn für die Verarbeitung verantwortlich. Er ist verpflichtet:
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen können in Textform (auch per E-Mail) erteilt werden. Sollte der Auftragsverarbeiter aufgrund gesetzlicher Verpflichtungen zu einer Verarbeitung gezwungen sein, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern dies rechtlich zulässig ist.
Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht über die Beendigung des Beschäftigungs- oder Dienstverhältnisses hinaus fort.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über:
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO.
Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten. Eine Übersicht der konkret umgesetzten Maßnahmen ist in Anhang 1 zu dieser AVV festgehalten.
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Auftragsverarbeiter kann hierfür ein angemessenes Entgelt verlangen, sofern der Aufwand außerhalb der vertraglichen Leistungen liegt.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus dieser AVV erforderlich sind. Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer sind nach Voranmeldung von mindestens drei Wochen möglich. Der Auftragsverarbeiter ist berechtigt, für den hierdurch entstehenden Aufwand ein angemessenes Entgelt zu verrechnen.
Eine Übermittlung personenbezogener Daten in Drittländer außerhalb des EWR erfolgt nur, sofern für das Drittland ein Angemessenheitsbeschluss der EU-Kommission besteht (z. B. EU-US Data Privacy Framework für zertifizierte US-Anbieter) oder andere geeignete Garantien gemäß Kapitel V DSGVO (z. B. EU-Standardvertragsklauseln) vorliegen. Im Falle einer geplanten Übermittlung in ein Drittland ohne angemessenes Datenschutzniveau wird der Verantwortliche vorab informiert.
(1) Diese AVV gilt für die Dauer des Hauptvertrags. Sie bleibt darüber hinaus so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.
(2) Nach Beendigung der Verarbeitungsleistungen hat der Auftragsverarbeiter sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen entweder zurückzugeben oder zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Auftragsverarbeiter kann für die Rückgabe oder Übertragung der Daten ein angemessenes Entgelt verlangen.
(3) Die Vertraulichkeitspflicht des Auftragsverarbeiters bleibt auch nach Beendigung dieser AVV unbeschränkt aufrecht.
(1) Ergänzend gelten die Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters.
(2) Änderungen und Ergänzungen dieser AVV bedürfen der Schriftform (Textform ausreichend). Dies gilt auch für die Abweichung vom Schriftformerfordernis.
(3) Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine solche als vereinbart, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Auf diese AVV findet ausschließlich österreichisches Recht unter Ausschluss der Verweisungsnormen Anwendung.
(5) Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser AVV ist das sachlich zuständige Gericht in Wels, Österreich.
Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:
Diese Maßnahmen werden regelmäßig überprüft und bei Bedarf an den Stand der Technik angepasst.
Diese Auftragsverarbeitungsvereinbarung wurde auf Basis der DSGVO und des österreichischen DSG erstellt. Stand: 11.07.2026 · Adspresso GmbH