Auftragsverarbeitungsvertrag (AVV)

Gemäß Art. 28 DSGVO. Stand: 7. Oktober 2026. Dieser Vertrag wird mit der Registrierung bei MetricPort geschlossen; auf Wunsch stellen wir eine unterschriebene Fassung als PDF aus (hello@simongrimm.at).

1. Parteien

Verantwortlicher: der Kunde (Inhaber des MetricPort-Workspaces). Auftragsverarbeiter: Simon Grimm, Achstraße 47, 6844 Altach, Österreich (siehe Impressum).

2. Gegenstand und Dauer

Bereitstellung eines gehosteten MCP-Servers und Dashboards, das im Auftrag des Kunden Daten aus Google Search Console, Google Ads und AdSense liest, analysiert und dem Kunden sowie von ihm autorisierten KI-Clients bereitstellt. Dauer: solange das Kundenkonto besteht.

3. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

Abruf, Zwischenspeicherung (max. 5 Minuten), Analyse und Anzeige von Leistungsdaten (Suchanfragen, Seiten, Klicks, Impressionen, Kampagnen, Kosten, Einnahmen). Speicherung von OAuth-Refresh-Tokens (verschlüsselt), Property-Listen, Nutzungsprotokollen, erzeugten Reports und Alerts. Betroffene: Nutzer des Kunden, Website-Besucher des Kunden (nur aggregiert, keine Einzelpersonen), Google-Kontoinhaber.

4. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden (Nutzung des Dienstes gilt als Weisung).
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen.
• Technische und organisatorische Maßnahmen: Verschlüsselung der Tokens (AES-256-GCM), TLS, Zugriff nur über authentifizierte Konten, Hosting in Frankfurt (Vercel, Supabase), Protokollierung, 90-Tage-Löschung der Protokolle.
• Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzungen im zumutbaren Umfang.
• Meldung von Verletzungen des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, spätestens 48 Stunden nach Kenntnis.
• Löschung aller Daten bei Beendigung: Verbindung trennen widerruft den Google-Token sofort, Kontolöschung entfernt alle Daten innerhalb von 24 Stunden, Backups innerhalb von 30 Tagen.

5. Unterauftragsverarbeiter

Vercel Inc. (Hosting), Supabase Inc. (Datenbank), Clerk Inc. (Authentifizierung), Stripe Payments Europe Ltd. (Zahlungen), Resend Inc. (E-Mail, optional), OpenAI LLC (KI-Zusammenfassungen, optional, abschaltbar). Änderungen werden 30 Tage vorab per E-Mail angekündigt; der Kunde kann widersprechen und kündigen.

6. Drittlandübermittlung

Übermittlungen in die USA (Vercel, Clerk, Resend, OpenAI) erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Die Übermittlung an OpenAI kann der Kunde in den Einstellungen deaktivieren.

7. Kontrollrechte

Der Kunde kann einmal jährlich Auskunft über die technischen und organisatorischen Maßnahmen verlangen; wir beantworten Fragen schriftlich innerhalb von 14 Tagen.

Siehe auch Datenschutzerklärung und AGB.