Auftragsverarbeitungsvertrag (Art 28 DSGVO)

zwischen

dem Auftraggeber laut Angebot (im Folgenden "Verantwortlicher")

und

B-Software Bruno Moreira e.U., Wien, Österreich (Anschrift und Firmenbuchdaten siehe Impressum) (im Folgenden "Auftragsverarbeiter")

1. Gegenstand und Dauer

1.1. Der Auftragsverarbeiter verarbeitet im Rahmen des Hauptvertrags (Angebot samt AGB) personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die Pflichten beider Seiten nach Art 28 DSGVO.

1.2. Der Vertrag gilt für die Dauer des Hauptvertrags über Hosting, Formularversand oder Betreuung und endet mit ihm, soweit Punkt 9 nichts anderes bestimmt.

1.3. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags vor, soweit sie den Datenschutz betreffen.

2. Art, Zweck und Umfang der Verarbeitung

2.1. Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

2.2. Der Verantwortliche stellt sicher, dass er die Daten rechtmäßig verarbeiten lässt und seine Informationspflichten (Art 13 und 14 DSGVO) gegenüber den betroffenen Personen erfüllt.

2.3. Besondere Kategorien personenbezogener Daten (Art 9 DSGVO, etwa Gesundheitsdaten) sind von diesem Vertrag nicht umfasst. Will der Verantwortliche solche Daten über seine Website verarbeiten lassen, vereinbaren die Parteien das vorher in Textform.

3. Weisungen

3.1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vorab mit, sofern das Recht dies nicht verbietet.

3.2. Der Hauptvertrag und dieser Vertrag sind die ersten Weisungen. Weitere Weisungen erteilt der Verantwortliche in Textform (E-Mail genügt).

3.3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit und zur Einhaltung des Datengeheimnisses nach § 6 DSG, soweit sie nicht schon einer gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Sicherheit der Verarbeitung

5.1. Der Auftragsverarbeiter trifft die nach Art 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie ergeben sich aus Anlage 2 und werden dem Angebot für den jeweiligen Website-Typ beigelegt.

5.2. Der Auftragsverarbeiter entwickelt die Maßnahmen weiter. Er darf sie ändern, wenn das vereinbarte Schutzniveau dadurch nicht sinkt.

6. Unterauftragsverarbeiter

6.1. Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter allgemein zu. Für seine Website gelten die im Angebot genannten.

6.2. Der Auftragsverarbeiter kündigt jede beabsichtigte Hinzufügung oder Ersetzung mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann jede Seite den Hauptvertrag zum Ende des Folgemonats kündigen.

6.3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag. Er haftet dem Verantwortlichen für deren Einhaltung.

6.4. Der Auftragsverarbeiter verarbeitet Daten grundsätzlich nur innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Übermittlung in ein Drittland erfolgt nur nach Weisung und unter den Voraussetzungen der Art 44 ff DSGVO.

7. Rechte betroffener Personen

7.1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art 12 bis 22 DSGVO).

7.2. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

8. Weitere Unterstützungspflichten

8.1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, Konsultation der Behörde), soweit dies mit seinen Mitteln möglich ist.

8.2. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich in Textform mit den ihm bekannten Angaben nach Art 33 Abs 3 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen.

8.3. Der Auftragsverarbeiter führt ein Verzeichnis aller Verarbeitungstätigkeiten, die er im Auftrag durchführt (Art 30 Abs 2 DSGVO).

9. Löschung und Rückgabe

9.1. Nach Ende des Hauptvertrags kann der Verantwortliche innerhalb der Frist nach Punkt 11.4 der AGB einen Export seiner Daten beauftragen (Punkt 11.3 der AGB).

9.2. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die Daten und bestehende Kopien, es sei denn, eine Rechtsvorschrift verlangt ihre Speicherung. Datensicherungen werden im täglichen Sicherungszyklus überschrieben und enthalten die Daten längstens sieben Tage nach der Löschung. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

10. Nachweise und Kontrollen

10.1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind.

10.2. Der Verantwortliche darf die Einhaltung dieses Vertrags nach vorheriger Ankündigung von mindestens 14 Tagen einmal jährlich und während der üblichen Geschäftszeiten prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen. Der Auftragsverarbeiter darf die Prüfung durch aktuelle Nachweise (etwa Berichte oder Zertifikate seiner Unterauftragsverarbeiter) ersetzen, soweit sie den Zweck erfüllen. Der Aufwand des Auftragsverarbeiters wird nach Aufwand zum Stundensatz laut Angebot verrechnet.

11. Haftung

Für die Haftung gelten Punkt 7 der AGB und Art 82 DSGVO. Haftungsregelungen zwischen den Parteien berühren die Ansprüche betroffener Personen nicht.

12. Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Es gilt österreichisches Recht. Gerichtsstand ist der in Punkt 17.2 der AGB vereinbarte.

Anlage 1. Gegenstand der Verarbeitung

Welche Spalten für den Verantwortlichen gelten, ergibt sich aus dem Angebot. Die Dauer der Speicherung richtet sich nach Punkt 9. Der Verantwortliche legt Aufbewahrungsfristen für seine Daten fest.

Anlage 2. Technische und organisatorische Maßnahmen

Wird mit dem Angebot für den jeweiligen Website-Typ (statisch, WordPress, Backend) übermittelt, da sich die Maßnahmen je nach Typ unterscheiden.

Anlage 3. Unterauftragsverarbeiter

Je nach Website-Typ und Plan kommen folgende Anbieter zum Einsatz. Das Angebot nennt die für den Verantwortlichen tatsächlich eingesetzten.

Newsletter werden aus einem Konto beim Versandtool versendet, das dem Verantwortlichen gehört. Der Anbieter dieses Kontos ist ein eigener Auftragsverarbeiter des Verantwortlichen und steht nicht in dieser Liste.