Vertrag zur Auftragsverarbeitung

AVV personalisieren & herunterladen

Fülle die Felder aus, um deine Daten automatisch in den Vertrag einzufügen und ihn als PDF zu speichern.

1. Vertragsparteien

Auftraggeber (Verantwortlicher):

[Name des Kunden / Unternehmen]
[Straße, Hausnummer]
[PLZ, Ort, Land]
[UID / USt-IdNr.]
E-Mail: [Kontakt]

und

Auftragnehmer (Auftragsverarbeiter):

Spors GmbH & Co KG
Hofhaymer Allee 26/1
5020 Salzburg, Österreich
UID: ATU77720502
Geschäftsführer: Manuel Spors
E-Mail: support@chmanagement.io

2. Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der CRM- und Marketing-Plattform CHManagement für den Auftraggeber.

2.2 Die Verarbeitung umfasst insbesondere:

• Verwaltung von Kunden- und Kontaktdaten (Lead- und Kontaktmanagement)
• Marketing-Automatisierung (E-Mail-Kampagnen, Workflows, Follow-ups)
• Kommunikation mit Endkunden über E-Mail, SMS und WhatsApp
• Funnel-, Webseiten- und Conversion-Tracking
• Zahlungsabwicklung über angebundene Zahlungsdienstleister
• Reporting und Analyse von Kampagnen-Ergebnissen

2.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages und endet mit dessen Beendigung, vorbehaltlich der in Ziff. 12 geregelten Pflichten.

3. Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zu folgenden Zwecken:

• Verwaltung und Pflege von Kundenbeziehungen des Auftraggebers
• Organisation und Automatisierung von Vertriebsprozessen
• Durchführung von Marketing- und Kommunikationsmaßnahmen im Auftrag des Auftraggebers
• Kommunikation mit Endkunden, Interessenten und Leads des Auftraggebers
• Erfolgsmessung und Optimierung der vorgenannten Prozesse

Der Auftragnehmer verarbeitet die Daten ausschließlich für die im Hauptvertrag und in diesem AVV festgelegten Zwecke. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt.

4. Art der Daten und betroffene Personen

4.1 Kategorien personenbezogener Daten:

• Stammdaten: Name, Anrede, E-Mail-Adresse, Telefonnummer, Anschrift
• Kommunikationsdaten: E-Mail-Korrespondenz, Chat-Nachrichten, Telefonnotizen, Versandzeitpunkte
• Nutzungsdaten: Login-Daten, IP-Adressen, verwendete Funktionen, Geräteangaben
• Marketing-Daten: Öffnungsraten, Klickraten, Tags, Segmente, Kampagnenreaktionen
• Transaktionsdaten: Kaufhistorie, Rechnungsdaten, Zahlungsvorgänge
• Tracking-Daten: Conversion-Daten, Webseiten-Aktivität, Funnel-Schritte

4.2 Kategorien betroffener Personen:

• Kunden des Auftraggebers (Bestandskunden, Käufer)
• Interessenten und Leads des Auftraggebers
• Newsletter-Abonnenten und Webseiten-Besucher
• Mitarbeiter des Auftraggebers, soweit deren Daten in der Plattform verarbeitet werden

4.3 Besondere Kategorien personenbezogener Daten:

Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z.B. Gesundheitsdaten, religiöse Überzeugungen) ist grundsätzlich nicht vorgesehen. Sollte der Auftraggeber solche Daten dennoch in die Plattform einpflegen, geschieht dies in seiner alleinigen Verantwortung; er stellt sicher, dass die hierfür erforderlichen Rechtsgrundlagen vorliegen.

5. Pflichten des Auftragnehmers

5.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Dies gilt auch für die Übermittlung in ein Drittland oder an eine internationale Organisation, sofern eine solche Übermittlung nicht bereits durch das Unionsrecht oder das Recht eines Mitgliedstaates vorgeschrieben ist.

5.2 Hält der Auftragnehmer eine Weisung des Auftraggebers für rechtswidrig, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Ausführung einer offensichtlich rechtswidrigen Weisung bis zu deren Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

5.3 Der Auftragnehmer gewährleistet die Einhaltung der DSGVO, des DSG (Österreich), des BDSG (Deutschland) sowie aller weiteren anwendbaren Datenschutzvorschriften.

5.4 Der Auftragnehmer verpflichtet alle mit der Verarbeitung personenbezogener Daten betrauten Personen zur Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO. Diese Verpflichtung gilt auch nach Beendigung des Beschäftigungsverhältnisses fort.

5.5 Der Auftragnehmer setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Diese sind in Anlage 1 (TOMs) zu diesem Vertrag dokumentiert.

5.6 Der Auftragnehmer hat keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG nicht erfüllt sind. Als zentrale Kontaktstelle für Datenschutzanfragen dient: support@chmanagement.io.

6. Weisungsrecht des Auftraggebers

6.1 Weisungen werden grundsätzlich in Textform (z.B. per E-Mail) erteilt und vom Auftragnehmer dokumentiert. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

6.2 Weisungsberechtigt auf Seiten des Auftraggebers ist die im Hauptvertrag benannte Kontaktperson. Änderungen sind dem Auftragnehmer schriftlich mitzuteilen.

6.3 Weisungsempfänger auf Seiten des Auftragnehmers ist: Manuel Spors, support@chmanagement.io.

7. Unterauftragsverhältnisse

7.1 Der Auftraggeber erteilt mit Abschluss dieses AVV seine ausdrückliche Zustimmung zum Einsatz der in Anlage 2 (Liste der Unterauftragsverarbeiter) genannten Subunternehmer.

7.2 Der Auftragnehmer wird den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter mindestens vier (4) Wochen im Voraus in Textform informieren. Der Auftraggeber kann der Änderung innerhalb von zwei (2) Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen.

7.3 Im Falle eines berechtigten Widerspruchs des Auftraggebers ist jede Partei berechtigt, den Hauptvertrag mit angemessener Frist außerordentlich zu kündigen, sofern keine einvernehmliche Lösung gefunden werden kann.

7.4 Der Auftragnehmer wählt seine Unterauftragsverarbeiter sorgfältig nach deren Eignung und Zuverlässigkeit aus und schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragnehmer aus diesem AVV gelten.

7.5 Reine Nebenleistungen (Reinigungs-, Wartungs-, Telekommunikations- oder Transportleistungen) gelten nicht als Unterauftragsverarbeitung im Sinne dieses Vertrages.

8. Drittlandtransfer

8.1 Der Auftragnehmer setzt Subunternehmer ein, die personenbezogene Daten in den USA verarbeiten oder Muttergesellschaften in den USA haben (insbesondere GoHighLevel LLC, Stripe Inc., Meta Platforms, Google LLC).

8.2 Eine Übermittlung personenbezogener Daten in Drittländer im Sinne von Art. 44 ff. DSGVO erfolgt ausschließlich auf einer der folgenden Rechtsgrundlagen:

• Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO (insbesondere EU-US Data Privacy Framework für zertifizierte US-Unternehmen)
• EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO
• Verbindliche interne Datenschutzvorschriften (BCR) gemäß Art. 47 DSGVO

8.3 Für jeden in Anlage 2 genannten Subunternehmer mit Drittlandbezug ist die jeweilige Rechtsgrundlage des Transfers dort dokumentiert.

8.4 Der Auftragnehmer hat – soweit erforderlich – eine Bewertung der Übermittlungsfolgen (Transfer Impact Assessment, TIA) durchgeführt bzw. sich auf die TIAs der jeweiligen Subunternehmer gestützt.

8.5 Der Auftraggeber stimmt diesen Datenübermittlungen ausdrücklich zu.

9. Kontroll- und Auditrechte des Auftraggebers

9.1 Der Auftraggeber ist berechtigt, sich von der Einhaltung der datenschutzrechtlichen Pflichten durch den Auftragnehmer zu überzeugen.

9.2 Der Nachweis der Einhaltung erfolgt regelmäßig durch:

• Vorlage der dokumentierten technischen und organisatorischen Maßnahmen (TOMs)
• Selbstauskünfte des Auftragnehmers
• Aktuelle Prüfberichte unabhängiger Stellen

9.3 Vor-Ort-Kontrollen sind nur zulässig bei berechtigtem Anlass und nach vorheriger Ankündigung mit einer Frist von mindestens dreißig (30) Werktagen. Sie haben unter angemessener Berücksichtigung der betrieblichen Abläufe des Auftragnehmers zu erfolgen und dürfen nicht häufiger als einmal pro Kalenderjahr stattfinden, sofern kein konkreter Anlass eine häufigere Prüfung erfordert.

9.4 Die Kosten einer Vor-Ort-Kontrolle trägt der Auftraggeber, es sei denn, die Kontrolle ergibt einen erheblichen Verstoß des Auftragnehmers gegen seine Pflichten aus diesem AVV.

9.5 Der Auftraggeber kann einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer beauftragen. Wettbewerber des Auftragnehmers sind als Prüfer ausgeschlossen.

10. Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten gemäß Art. 32 bis 36 DSGVO, insbesondere bei:

• der Wahrung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO)
• der Sicherheit der Verarbeitung (Art. 32 DSGVO)
• der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO)
• der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)
• vorherigen Konsultationen mit der Aufsichtsbehörde (Art. 36 DSGVO)

Der Auftragnehmer ist berechtigt, dem Auftraggeber den hierfür entstehenden Aufwand zu marktüblichen Sätzen in Rechnung zu stellen, sofern die Unterstützungsleistung über das gesetzlich geschuldete Maß hinausgeht.

11. Meldung von Datenschutzverletzungen

11.1 Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Zusammenhang mit der Auftragsverarbeitung steht, unverzüglich, spätestens jedoch innerhalb von vierundzwanzig (24) Stunden nach Bekanntwerden, in Textform.

11.2 Die Meldung enthält gemäß Art. 33 Abs. 3 DSGVO mindestens folgende Angaben:

• Beschreibung der Art der Verletzung, soweit möglich mit Angabe der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze
• Name und Kontaktdaten der zentralen Anlaufstelle für weitere Informationen
• Beschreibung der wahrscheinlichen Folgen der Verletzung
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung sowie zur Abmilderung möglicher nachteiliger Auswirkungen

11.3 Können nicht alle Informationen gleichzeitig bereitgestellt werden, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen. Weitere Informationen werden ohne unangemessene Verzögerung nachgereicht.

11.4 Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und betroffenen Personen.

12. Löschung und Rückgabe von Daten

12.1 Nach Beendigung des Hauptvertrages werden alle personenbezogenen Daten des Auftraggebers nach dessen Wahl gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12.2 Der Auftraggeber hat seine Wahl innerhalb von dreißig (30) Tagen nach Vertragsende mitzuteilen. Erfolgt keine Mitteilung, werden die Daten nach Ablauf dieser Frist gelöscht.

12.3 Der Auftragnehmer bestätigt die Löschung gegenüber dem Auftraggeber in Textform.

12.4 Daten, die aufgrund gesetzlicher Aufbewahrungspflichten weiter gespeichert werden müssen, werden bis zum Ablauf der Aufbewahrungsfrist gesperrt und anschließend gelöscht.

13. Vertraulichkeit

13.1 Alle personenbezogenen Daten und vertraulichen Informationen des Auftraggebers werden vom Auftragnehmer streng vertraulich behandelt.

13.2 Diese Verpflichtung gilt zeitlich unbegrenzt und besteht auch nach Beendigung des Vertrages fort.

14. Schlussbestimmungen

14.1 Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und der Kollisionsnormen. Bei deutschen Auftraggebern, die Verbraucher sind, bleiben zwingende verbraucherschützende Bestimmungen ihres Heimatrechts unberührt.

14.2 Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Salzburg, sofern der Auftraggeber Unternehmer im Sinne des UGB / HGB ist.

14.3 Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Änderung dieser Textformklausel.

14.4 Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit des übrigen Vertrages nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt eine wirksame Bestimmung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

14.5 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

14.6 Anlagen zu diesem Vertrag:

• Anlage 1: Technische und organisatorische Maßnahmen (TOMs)
• Anlage 2: Liste der Unterauftragsverarbeiter

Anlage 1
Technische und organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO

Der Auftragnehmer trifft die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. Da die Verarbeitung der Daten ganz überwiegend bei den in Anlage 2 genannten Unterauftragsverarbeitern stattfindet, beziehen sich die nachfolgenden Maßnahmen sowohl auf die Tätigkeit des Auftragnehmers selbst als auch ergänzend auf die TOMs der Unterauftragsverarbeiter.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten physischen Zutritts zu Datenverarbeitungsanlagen:

• Geschäftsräume des Auftragnehmers werden außerhalb der Geschäftszeiten verschlossen
• Zutritt zu Geschäftsräumen nur für berechtigte Personen mit Schlüssel
• Besucher werden nur in Begleitung empfangen
• Keine eigenen Server in den Geschäftsräumen; alle Verarbeitungssysteme werden über zertifizierte Cloud-Anbieter (siehe Anlage 2) betrieben
• Mitarbeiter sind verpflichtet, mobile Geräte beim Verlassen des Arbeitsplatzes zu sperren

1.2 Zugangskontrolle

Maßnahmen zur Verhinderung der unbefugten Nutzung von Datenverarbeitungssystemen:

• Sämtliche Endgeräte sind passwortgeschützt
• Einsatz einer Passwort-Management-Software
• Zwei-Faktor-Authentifizierung (2FA) für den Zugang zu allen kritischen Systemen, insbesondere zur CRM-Plattform
• Individuelle Benutzerkonten; keine Sammelaccounts
• Automatische Bildschirmsperre nach Inaktivität
• Verschlüsselung der Festplatten aller mobilen Endgeräte

1.3 Zugriffskontrolle

Maßnahmen, die gewährleisten, dass Berechtigte ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können:

• Rollen- und Rechtekonzept nach dem Need-to-know-Prinzip
• Regelmäßige Überprüfung und Aktualisierung der Berechtigungen
• Sofortiger Entzug von Berechtigungen bei Ausscheiden eines Mitarbeiters
• Protokollierung administrativer Tätigkeiten

1.4 Trennungskontrolle

Maßnahmen zur getrennten Verarbeitung von Daten unterschiedlicher Auftraggeber:

• Mandantenfähige Architektur der CRM-Plattform; Daten verschiedener Auftraggeber sind logisch voneinander getrennt
• Separate Sub-Accounts pro Auftraggeber innerhalb der Plattform
• Getrennte Test- und Produktivumgebungen

1.5 Pseudonymisierung und Verschlüsselung

• Verschlüsselung der Datenübertragung mittels TLS/SSL nach aktuellem Stand der Technik
• Verschlüsselung gespeicherter Daten (Encryption at Rest) durch die eingesetzten Cloud-Anbieter
• Pseudonymisierung wo technisch sinnvoll und möglich

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Übertragung personenbezogener Daten ausschließlich über verschlüsselte Verbindungen
• Sichere Authentifizierung der Empfänger vor Datenweitergabe
• Dokumentation der Datenweitergaben
• Keine Datenweitergabe an Dritte ohne vertragliche Grundlage

2.2 Eingabekontrolle

• Protokollierung von Dateneingaben, -änderungen und -löschungen durch die CRM-Plattform
• Eindeutige Zuordnung der Eingaben zu Benutzerkonten
• Revisionssichere Speicherung der Protokolldaten

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Regelmäßige automatisierte Backups durch die eingesetzten Cloud-Anbieter
• Redundante Serverarchitektur und Hochverfügbarkeit
• Notfall- und Wiederherstellungspläne (Disaster Recovery)
• Schutz vor Schadsoftware durch aktuelle Antivirenlösungen und Firewalls
• Regelmäßige Sicherheitsupdates für eingesetzte Software und Betriebssysteme
• Monitoring der Systemverfügbarkeit

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz-Management ist Bestandteil der Geschäftsführungsverantwortung
• Regelmäßige Überprüfung und Anpassung der TOMs (mindestens jährlich oder anlassbezogen)
• Schulung und Sensibilisierung der Mitarbeiter zum Datenschutz
• Verpflichtung der Mitarbeiter auf das Datengeheimnis
• Auswahl der Unterauftragsverarbeiter nach datenschutzrechtlichen Eignungskriterien
• Führung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO

5. Auftragskontrolle

• Datenverarbeitung erfolgt ausschließlich im Rahmen der vertraglichen Vereinbarungen und auf Weisung des Auftraggebers
• Sorgfältige Auswahl und Überprüfung der Unterauftragsverarbeiter
• Vertragliche Verpflichtung der Unterauftragsverarbeiter auf entsprechende TOMs
• Regelmäßige Kontrolle der Einhaltung der vertraglichen Verpflichtungen

Anlage 2
Liste der Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter ausdrücklich zu:

1. Plattformbetrieb – Hauptdienstleister

Anbieter: HighLevel Inc.
Anschrift: 400 North Saint Paul Street, Suite 920, Dallas, TX 75201, USA
Verarbeitungstätigkeit: Bereitstellung der CRM- und Marketing-Plattform; Speicherung und Verarbeitung sämtlicher Kontakt-, Kommunikations-, Marketing- und Transaktionsdaten; Versand von E-Mails, SMS und WhatsApp-Nachrichten; Workflow-Automatisierung; Funnel- und Webseiten-Hosting
Datenstandort: USA (mit Infrastruktur teilweise in der EU über AWS)
Rechtsgrundlage des Drittlandtransfers: EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) bzw. EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO
DPA / AVV: https://www.gohighlevel.com/dpa

2. Amazon Web Services (Hosting-Infrastruktur)

Anbieter: Amazon Web Services EMEA SARL
Anschrift: 38 Avenue John F. Kennedy, L-1855 Luxemburg
Verarbeitungstätigkeit: Bereitstellung von Cloud-Infrastruktur (Server, Speicher, Datenbanken) als Sub-Subunternehmer
Datenstandort: EU (Luxemburg, Irland, Frankfurt) bzw. USA, je nach Konfiguration
Rechtsgrundlage des Drittlandtransfers: EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln
DPA / AVV: https://aws.amazon.com/de/compliance/gdpr-center/

3. Stripe (Zahlungsabwicklung)

Anbieter: Stripe Payments Europe Ltd. (für EU-Kunden) bzw. Stripe Inc.
Anschrift: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland; Stripe Inc., 510 Townsend Street, San Francisco, CA 94103, USA
Verarbeitungstätigkeit: Abwicklung von Online-Zahlungen, Verarbeitung von Zahlungs- und Rechnungsdaten
Datenstandort: EU (Irland) bzw. USA
Rechtsgrundlage des Drittlandtransfers: EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln (SCC)
DPA / AVV: https://stripe.com/de/legal/dpa

4. Meta Pixel (Conversion-Tracking)

Anbieter: Meta Platforms Ireland Limited
Anschrift: Merrion Road, Dublin 4, D04 X2K5, Irland
Verarbeitungstätigkeit: Conversion-Tracking, Erstellung von Custom Audiences, Messung von Werbekampagnen
Datenstandort: EU (Irland) und USA
Rechtsgrundlage des Drittlandtransfers: EU-US Data Privacy Framework (Meta ist DPF-zertifiziert) bzw. EU-Standardvertragsklauseln
DPA / AVV: https://www.facebook.com/legal/terms/dataprocessing

5. Google Analytics (Webseiten-Analyse)

Anbieter: Google Ireland Limited
Anschrift: Gordon House, Barrow Street, Dublin 4, Irland
Verarbeitungstätigkeit: Analyse des Nutzerverhaltens auf Webseiten, Reichweitenmessung, Conversion-Tracking
Datenstandort: EU und USA
Rechtsgrundlage des Drittlandtransfers: EU-US Data Privacy Framework (Google LLC ist DPF-zertifiziert) bzw. EU-Standardvertragsklauseln
Sicherheitsmaßnahmen: IP-Anonymisierung aktiviert
DPA / AVV: https://business.safety.google/adsprocessorterms/