Vertrag zur Auftragsverarbeitung
Stand: 18. September 2026
Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO. Er wird mit dem Abschluss des Hauptvertrages Bestandteil der Vereinbarung zwischen dem Kunden („Verantwortlicher“) und Prociro LLC („Auftragsverarbeiter“) und bedarf keiner gesonderten Unterzeichnung. Eine unterschriebene Ausfertigung stellen wir auf Anfrage an datenschutz@splicemule.com bereit.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung von SpliceMule anfällt. Die Dauer entspricht der Laufzeit des Hauptvertrages.
2. Art, Zweck und Umfang der Verarbeitung
Der Auftragsverarbeiter ruft im Auftrag des Verantwortlichen Auswertungen aus den vom Verantwortlichen verbundenen Werbeplattformen ab und schreibt sie in die vom Verantwortlichen bestimmten Google-Tabellen. Die abgerufenen Daten werden nicht dauerhaft gespeichert; gespeichert werden die Konfiguration der Datenflüsse, die verschlüsselten Zugriffstoken und ein Lauf-Protokoll.
3. Art der Daten und Kategorien betroffener Personen
| Kategorie | Daten |
|---|---|
| Nutzerinnen und Nutzer des Verantwortlichen | Name, E-Mail-Adresse, Firmenzugehörigkeit, Zugangsdaten als Hash, IP-Adresse |
| Inhaber der verbundenen Werbekonten | Kontobezeichnung, Name oder E-Mail-Adresse, Plattform-Nutzerkennung, Zugriffstoken |
| Gegebenenfalls Dritte | Personennamen, soweit der Verantwortliche sie in Kampagnen- oder Anzeigenbezeichnungen verwendet |
4. Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Einrichtung eines Datenflusses in der Anwendung gilt als Weisung. Weitere Weisungen erfolgen in Textform an datenschutz@splicemule.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.
5. Vertraulichkeit
Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselung: Transport durchgängig über TLS 1.2 oder höher; Zugriffstoken der Plattformen ruhen mit AES-256-GCM verschlüsselt; Passwörter ausschließlich als bcrypt-Hash.
- Zugangskontrolle: Anmeldung mit E-Mail und Passwort, davor Bot-Schutz, optional zweiter Faktor über eine Authenticator-App; Anmeldeversuche je Adresse begrenzt.
- Mandantentrennung: Jeder Datensatz ist genau einem Mandanten zugeordnet; sämtliche Abfragen filtern nach dem Mandanten des angemeldeten Zugangs.
- Zugriffskontrolle: Serverzugang ausschließlich über Schlüsselauthentifizierung, kein Passwortzugang; administrative Zugriffe auf den erforderlichen Kreis beschränkt.
- Datenminimierung: Abgerufene Werbedaten werden geschrieben und verworfen, nicht gespeichert. Es werden ausschließlich lesende Berechtigungen angefragt.
- Verfügbarkeit: tägliche Sicherung der Datenbank; Wiederherstellung dokumentiert und erprobt.
- Nachvollziehbarkeit: Jeder Lauf wird mit Zeitpunkt, Dauer, Zeilenzahl und Ergebnis protokolliert.
7. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der unter Unterauftragsverarbeiter genannten Dienstleister zu. Wechsel oder Hinzunahme teilen wir mindestens 30 Tage vorher in Textform mit; der Verantwortliche kann innerhalb dieser Frist aus wichtigem Grund widersprechen und bei fortbestehendem Dissens den Hauptvertrag kündigen.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 33 und 34 DSGVO. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir sie an den Verantwortlichen weiter.
9. Meldung von Verletzungen
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen zur Erfüllung der Meldepflicht erforderlichen Angaben.
10. Kontroll- und Auskunftsrechte
Der Verantwortliche kann sich von der Einhaltung dieser Pflichten überzeugen. Der Auftragsverarbeiter erteilt dazu Auskunft und stellt Nachweise bereit. Vor-Ort-Prüfungen sind nach angemessener Ankündigung während der Geschäftszeiten und ohne Störung des Betriebs zulässig.
11. Drittlandübermittlung
Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nur, soweit der Verantwortliche Plattformen verbindet, die dort betrieben werden, sowie im Rahmen der Abrechnung. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission und – soweit einschlägig – das EU-US Data Privacy Framework.
12. Löschung nach Vertragsende
Nach Beendigung löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten einschließlich der Zugriffstoken innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen des Sicherungsturnus überschrieben. Auf Verlangen bestätigen wir die Löschung in Textform.