Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Krocker & Tütünen GbR, Bobziner Weg 12, 19386 Lübz (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag über die Nutzung der mcpwerk-Dienste.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt gehostete MCP-Server bereit, über die der Verantwortliche Daten aus seinen Google-Konten (Search Console, Google Analytics 4, Google Ads, Google Tag Manager) abruft und in seinen KI-Client überträgt. Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

• Zweck: Bereitstellung der MCP-Funktion (Durchleitung von Marketing-Daten auf Anforderung des Verantwortlichen).
• Datenarten: Konto-Stammdaten (Name, E-Mail), OAuth-Zugriffstoken, Web-Analyse- und Marketing-Daten aus den verbundenen Google-Diensten (können personenbezogene Daten wie Such-/Nutzungsdaten enthalten), Nutzungs-Logs.
• Kreis der Betroffenen: Der Verantwortliche selbst, seine Mitarbeitenden sowie Besucher/Nutzer der vom Verantwortlichen betriebenen Websites und Werbekampagnen.

§ 3 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats die Verarbeitung verlangt (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Dienste über die bereitgestellten Schnittstellen gilt als Weisung.
• Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit.
• Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO).
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23 DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO.
• Unverzügliche Information bei Verletzungen des Schutzes personenbezogener Daten.
• Löschung oder Rückgabe aller personenbezogenen Daten nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Bereitstellung aller zum Nachweis erforderlichen Informationen; Ermöglichung und Duldung von Überprüfungen.

§ 4 Unterauftragsverhältnisse

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter:

• Hetzner Online GmbH, Deutschland – Server-Infrastruktur
• Stripe Payments Europe Ltd., Irland/USA – Zahlungsabwicklung

Hinweis: Google ist kein Unterauftragsverarbeiter von mcpwerk, sondern eigenständiger Verantwortlicher bzw. Auftragsverarbeiter des Kunden aus dessen eigenem Google-Vertragsverhältnis.

Über beabsichtigte Änderungen informieren wir mindestens vier Wochen vorab; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 5 Drittlandtransfers

Die Verarbeitung durch den Auftragsverarbeiter erfolgt ausschließlich in Deutschland. Soweit über Stripe Daten in die USA gelangen, stützt sich der Transfer auf das EU-US Data Privacy Framework. Ein Transfer Impact Assessment stellt der Auftragsverarbeiter unter mcpwerk.com/tia bereit.

§ 6 Weisungsrecht des Verantwortlichen

Weisungen erfolgen in der Regel durch die Nutzung der Dienste selbst (Tool-Aufrufe, Portal-Einstellungen wie Berechtigungsstufen oder das Trennen der Google-Verbindung). Darüber hinausgehende Einzelweisungen richtet der Verantwortliche in Textform an support@mcpwerk.com. Weisungen, die den vereinbarten Leistungsumfang überschreiten, gelten als Änderungsantrag zum Hauptvertrag.

§ 7 Löschung und Rückgabe

• Google-Zugriffstokens werden beim Trennen der Verbindung sofort gelöscht und bei Google widerrufen; spätestens mit Vertragsende.
• Durchgeleitete Marketing-Dateninhalte werden zu keinem Zeitpunkt gespeichert.
• Nutzungs-Logs werden automatisch nach 90 Tagen gelöscht.
• Konto-Stammdaten werden nach Vertragsende gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO) entgegenstehen; solche Daten werden bis zum Fristablauf gesperrt verarbeitet.

Anlage 1: Technische und organisatorische Maßnahmen (Auszug)

• Serverstandort Deutschland (Hetzner Nürnberg), Zutrittskontrolle durch RZ-Betreiber
• Transportverschlüsselung TLS 1.2+, HSTS
• Verschlüsselung der Google-Refresh-Tokens at rest (AES-256-GCM)
• Rollen- und Rechtekonzept, kurzlebige signierte Zugriffstoken (RS256, 15 Min)
• Rate-Limiting, Protokollierung sicherheitsrelevanter Ereignisse
• Automatisierte Löschläufe (Nutzungs-Logs 90 Tage, Server-Logs 14 Tage)
• Tägliche Backups mit 14-tägiger Aufbewahrung, Wiederherstellungstests
• Keine Speicherung der durchgeleiteten Marketing-Dateninhalte