Auftragsverarbeitungsvertrag

Parteien und Anwendbarkeit

Diese Auftragsverarbeitungsbedingungen sind für den Vertrag zwischen dem Onlineshop, der CookieROAS nutzt, nachfolgend Auftraggeber, und WSV Commerce B.V., nachfolgend Auftragsverarbeiter, bestimmt. Der Auftraggeber wird im vereinbarten Auftrag oder in der Auftragsbestätigung bezeichnet.

Die Bedingungen werden Bestandteil der Dienstleistung, wenn die Parteien sie für anwendbar erklären und annehmen. Der bloße Besuch dieser Seite, eine Anfrage oder ein bestehendes Konto gilt nicht als Annahme. Die Parteien können die geltende Fassung speichern und ihre konkreten Weisungen und Vereinbarungen zum Auftrag hinzufügen. Zwingendes Datenschutzrecht geht widersprechenden Vereinbarungen vor.

Der Auftraggeber ist Verantwortlicher für die Daten seines eigenen Onlineshops. Handelt er selbst als Auftragsverarbeiter, etwa für einen Kundenshop, setzt er WSV Commerce B.V. mit der erforderlichen Genehmigung und innerhalb der Weisungen dieses Verantwortlichen als Unterauftragsverarbeiter ein. Unsere eigene Kontakt-, Konto- und Geschäftsverwaltung wird in unseren Datenschutzhinweisen behandelt und gehört nicht automatisch zu diesem Auftrag.

Gegenstand, Zweck und Dauer

Der Auftrag betrifft den Empfang und die Verarbeitung von Shopmessungen und verfügbaren Kaufdaten für den vereinbarten Trackingdienst. Die Verarbeitung umfasst Erhebung oder Import, Validierung, Normalisierung, Verknüpfung, Speicherung, Auswertung für die Bestellübersicht, Ergänzung geeigneter Conversion-Messungen und Übermittlung an die vom Auftraggeber angebundenen Ziele. Optionales Monitoring umfasst Prüfungen und konfigurierte Benachrichtigungen.

Die Zwecke sind Einblick in Kaufmessungen, Beträge, dokumentierte Einwilligung und Versandstatus sowie die Unterstützung der vereinbarten Conversion-Messungen. Dies ist kein Auftrag, Einwilligungen zu umgehen oder unbegrenzt personenbezogene Daten zu erheben. Die tatsächliche Verarbeitung hängt vom angebundenen Shop, verfügbaren Daten, aktivierten Funktionen und eingegangenen Einwilligungssignalen ab.

Die Verarbeitung erfolgt während der vereinbarten Dienstleistung und danach ausschließlich zur notwendigen Abwicklung, Rückgabe oder Löschung nach diesen Bedingungen und den geltenden Aufbewahrungsfristen. Der Auftraggeber bestimmt den vorgesehenen Einsatz; der Auftragsverarbeiter verwendet die anvertrauten Daten nicht für eigene Werbung, den Verkauf an Dritte oder eigenes Modelltraining.

Daten und betroffene Personen

Betroffene Personen sind Besucher und Kunden des angebundenen Onlineshops, einschließlich Personen, die einkaufen oder mit dem Shop interagieren. Befugte Kontaktpersonen können betroffen sein, soweit ihre Daten Teil der Verarbeitung im Auftrag sind.

• Bestellreferenzen, bereitgestellte Bestellpositionen oder Produktreferenzen, Beträge, Währungen und Zeitpunkte.
• Seiten-, Sitzungs-, Browser-, Klick- und Kampagnendaten sowie technische Mess- und Fehlerinformationen, soweit die aktivierte Funktion sie verarbeitet.
• Dokumentierte Einwilligungssignale, Quelle und Zeitpunkt, einschließlich abgelehnt, unbekannt oder nicht beobachtet.
• Bereitgestellte Kunden- oder Abgleichdaten, etwa E-Mail-Daten oder daraus abgeleitete Hashes, soweit die konfigurierte Verarbeitung dies zulässt.
• Website- und Integrationsreferenzen, Kontokennungen und gesicherte Zugangsdaten, die für die vereinbarten Anbindungen benötigt werden.

Diese Aufzählung verpflichtet den Auftraggeber nicht, sämtliche genannten Daten bereitzustellen. Besondere Kategorien personenbezogener Daten und Daten über Straftaten sind nicht als Eingaben für den Dienst vorgesehen. Der Auftraggeber übermittelt nur für seinen Einsatz erforderliche und zulässige Angaben. Hashes und andere pseudonymisierte Angaben sind nicht automatisch anonym.

Dokumentierte Weisungen und Verantwortung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisungen des Auftraggebers, einschließlich des angenommenen Auftrags, dieser Bedingungen sowie der Einstellungen und Handlungen befugter Nutzer. Dies umfasst Weisungen zu Übermittlungen außerhalb des EWR. Wir informieren den Auftraggeber, wenn eine Weisung unseres Erachtens gegen geltendes Datenschutzrecht verstößt, und stimmen das weitere Vorgehen ab.

Verpflichtet uns anwendbares Unionsrecht oder Recht eines Mitgliedstaats zu einer anderen Verarbeitung, informieren wir den Auftraggeber vorab darüber, sofern dieses Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Der Auftraggeber sorgt für seine Rechtsgrundlage, Informationen für Besucher und Kunden, erforderliche Einwilligungen und die Befugnis für angebundene Domains und Werbekonten. Unbekannte Einwilligung ist keine Einwilligung. Einstellungen oder ein kostenpflichtiges Abonnement ersetzen diese Verantwortung nicht. Bei unzureichend klarem Auftrag oder Einwilligungsstatus bitten wir um Klärung.

Vertraulichkeit und Sicherheitsmaßnahmen

Wir beschränken den Zugang auf Personen, die ihn für ihre Tätigkeit benötigen, und stellen deren Verpflichtung zur Vertraulichkeit sicher. Befugte Nutzer und Administratoren verwenden Zugänge innerhalb ihrer Aufgaben. Der Auftraggeber sichert seine eigenen Konten, Geräte und Berechtigungen und meldet unberechtigten Zugriff oder Missbrauch.

Zu den technischen Maßnahmen gehören organisations- und websitespezifische Zugriffskontrollen, Authentifizierung, sichere Websiteverbindungen, Eingabebegrenzung und -validierung, Filterung sensibler Messfelder und Schutz von Integrationsgeheimnissen. Hashing oder Feldverschlüsselung wird eingesetzt, soweit die betreffende Funktion dafür eingerichtet ist. Das bedeutet nicht, dass jedes Feld anonym oder die gesamte Datenbank automatisch verschlüsselt ist.

Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO. Dabei prüfen wir Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellung und regelmäßige Überprüfung unter Berücksichtigung des Stands der Technik, der Kosten, der Art, des Umfangs, der Umstände, der Zwecke und der Risiken. Wiederherstellungskopien, Zugangsverwaltung, Updates und Vorfallbearbeitung gehören dazu. Diese Bedingungen enthalten keine unbestätigte Zertifizierung, absolute Sicherheitsgarantie oder gesonderte Verfügbarkeits-SLA.

Dienstleister und Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung für die Unterauftragsverarbeiter, die für seinen Auftrag in der folgenden Übersicht und im angenommenen Auftrag genannt sind. Nur Dienste, die tatsächlich personenbezogene Daten für diesen Auftrag verarbeiten, sind dafür Unterauftragsverarbeiter. Anbieter für unsere eigene Verwaltung und vom Shop selbst gewählte Empfänger können eine andere Rolle haben.

Wir informieren den Auftraggeber rechtzeitig vor dem Einsatz eines neuen oder ersetzenden Unterauftragsverarbeiters für seine Daten und geben ihm Gelegenheit, vor der neuen Nutzung begründete datenschutzrechtliche Einwände zu erheben. Die Parteien besprechen eine geeignete Lösung oder die Beendigung der betroffenen Verarbeitung, wenn keine Lösung möglich ist. Über dringende Sicherheitsmaßnahmen informieren wir so bald wie möglich; gesetzliche Genehmigungs- und Informationspflichten bleiben bestehen.

Wir verpflichten den Unterauftragsverarbeiter für die anvertraute Verarbeitung auf dieselben relevanten Datenschutzpflichten und bleiben gegenüber dem Auftraggeber für deren Erfüllung verantwortlich. Die Übersicht und Links zu Anbieterunterlagen erklären nicht, dass jeder mögliche Anbietervertrag bereits im Namen des Auftraggebers geschlossen wurde.

Werbeplattformen und internationale Übermittlungen

Google Ads, Meta und andere vom Auftraggeber gewählte Ziele erhalten Daten nur innerhalb der aktivierten Anbindung und des Auftrags. Die Rolle einer Plattform hängt vom Dienst, seinen Bedingungen und der betreffenden Verarbeitung ab. Die Erwähnung einer gewählten Werbeplattform auf dieser Seite macht sie nicht automatisch zum Unterauftragsverarbeiter von WSV Commerce B.V. Der Auftraggeber sorgt für erforderliche Kontoberechtigungen und Plattformvereinbarungen.

Unsere eigene Google-Analytics-Websiteanalyse und unser geschäftliches E-Mail-Postfach sind getrennte Verarbeitungen für unsere eigene Organisation. Sie werden durch diesen Auftrag nicht automatisch für Besucher des Kundenshops aktiviert. Die Verfügbarkeit einer Anbindung oder ein Logo belegt keine aktive Datenübermittlung.

Bei Übermittlungen außerhalb des EWR wenden die Parteien Kapitel V DSGVO an. Soweit erforderlich, wird die einschlägige Grundlage, etwa ein gültiger Angemessenheitsbeschluss oder Standardvertragsklauseln mit notwendiger Prüfung und ergänzenden Maßnahmen, festgestellt und dokumentiert. Eine EU-Region für einen Server oder den E-Mail-Versand beweist nicht, dass sämtliche Speicherung, Unterstützung und weitere Verarbeitung ausschließlich in der EU erfolgen.

Betroffenenrechte und weitere Unterstützung

Der Auftraggeber bearbeitet Anträge seiner Besucher und Kunden. Erhalten wir unmittelbar einen Antrag zu Daten, die wir für den Auftraggeber verarbeiten, verweisen wir die betroffene Person an ihn und informieren ihn, soweit angemessen. Wir entscheiden nicht eigenständig außerhalb des Auftrags oder einer gesetzlichen Pflicht über einen solchen Antrag.

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Wahrung der Datenschutzrechte. Soweit unsere Verarbeitung und verfügbaren Informationen relevant sind, unterstützen wir auch bei Sicherheitspflichten, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen gemäß den Artikeln 32 bis 36 DSGVO.

Datenschutzverletzungen und Vorfallinformationen

Wenn uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die wir für den Auftraggeber verarbeiten, melden wir sie ihm unverzüglich über den vereinbarten Kontaktweg. Wir warten mit einer ersten Meldung nicht auf den Abschluss der gesamten Untersuchung.

Die Informationen umfassen, soweit verfügbar, Art der Verletzung, betroffene Daten und Personenkategorien, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Fehlende Informationen werden schrittweise nachgereicht, sobald sie vorliegen. Wir unterstützen die Untersuchung, Eindämmung und erforderlichen Informationen für die Bewertung durch den Auftraggeber.

Der Auftraggeber bewertet seine Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen. Eine gesetzliche Frist, die für eine Meldung durch einen Verantwortlichen gelten kann, ist keine allgemeine Wartefrist für unsere Meldung als Auftragsverarbeiter. Melde einen Verdacht an info@cookieroas.eu, ohne Passwörter, Zugangstoken oder unnötige Kundendaten mitzuschicken.

Anlage: Aufbewahrung und Löschung

Die folgende Übersicht beschreibt die getrennten Datenkategorien und technischen Aufbewahrungsregelungen. Eine vereinbarte sichtbare Bestellhistorie ist nicht die Aufbewahrungsfrist sämtlicher zugrunde liegender Messungen, Prüfprotokolle oder Wiederherstellungskopien. Abweichende Einstellungen und Weisungen werden für den Auftrag dokumentiert.

Diese Übersicht beschreibt die am 5. November 2026 geprüfte Einrichtung und die festgelegten Richtlinien. Einstellungen, Zweckbindung, laufende Verarbeitung und gesetzliche Aufbewahrungspflichten können abweichen. Die kommerziellen 7/90 Tage sichtbarer Historie sind keine allgemeine Löschfrist. Dienstleister können eigene Verarbeitungs- und Sicherungsfristen haben.

Geplante Löschungen erfolgen über die jeweiligen Bereinigungsprozesse und können von Verarbeitung, Warteschlangen oder einer gültigen Aufbewahrungspflicht abhängen. Der Auftraggeber kann Erläuterungen zu den geltenden Einstellungen und zur Bearbeitung seiner Löschweisung anfordern. Eine konfigurierte Frist oder eine leere Dashboardansicht beweist für sich allein nicht, dass jede Kopie bereits entfernt wurde.

Rückgabe und Löschung nach Verarbeitungsende

Nach Ende der Verarbeitungsleistungen löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück und löscht bestehende Kopien, sofern anwendbares Recht keine Aufbewahrung verlangt. Die Parteien dokumentieren die Wahl, das erforderliche Exportformat, die Beendigung von Anbindungen und die Durchführung der Löschung. Anträge können über info@cookieroas.eu gestellt werden.

Wiederherstellungskopien und frühere Migrations-, Export- oder Testkopien werden dabei berücksichtigt, soweit sie anvertraute personenbezogene Daten enthalten. Sie fallen nicht deshalb aus diesen Bedingungen heraus, weil sie außerhalb der Live-Datenbank liegen. Für Kopien, die nicht sofort einzeln gelöscht werden können, werden Zugriffsbeschränkung, Verbot anderer Nutzung und die geltende Ausphasung oder Löschung festgelegt. Bei einer Wiederherstellung sind frühere Löschweisungen zu beachten.

Wir erläutern relevante verbleibende Kopien und gesetzliche Ausnahmen und bestätigen die ausgeführte Bearbeitung anhand verfügbarer Prüfinformationen. Diese Bestimmung führt keine unbestätigte allgemeine Löschfrist für Backups ein und verändert keine bestehenden Aufbewahrungspflichten für unsere eigene Geschäftsverwaltung.

Kontrolle, Audits und Änderungen

Wir stellen die zum Nachweis der Einhaltung dieser Auftragsverarbeitungsbedingungen erforderlichen Informationen bereit und wirken bei Audits, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten Prüfer mit. Die Parteien stimmen eine angemessene Durchführung unter Schutz vertraulicher Informationen, der Sicherheit und der Daten anderer Kunden ab. Diese praktischen Vereinbarungen beschränken keine gesetzlichen Untersuchungsbefugnisse einer Aufsichtsbehörde.

Die Parteien prüfen relevante Änderungen des Auftrags, der Datenkategorien, Maßnahmen, Dienstleister oder Übermittlungen und dokumentieren notwendige Anpassungen. Neuer Webseitentext ist nicht automatisch eine neue Weisung oder ein Ersatz zuvor angenommener Vereinbarungen. Diese Bedingungen enthalten keine gesonderte Beschränkung gesetzlicher Rechte oder Haftung nach der DSGVO.

Lies auch unsere Datenschutzhinweise für unsere eigenen Verarbeitungen und die allgemeinen Bedingungen für den Dienst.