1. Gegenstand der Verarbeitung
1.1. Der Auftragsverarbeiter verarbeitet die in Abschnitt 2 des Anhangs 1 genannten personenbezogenen Daten der betroffenen Personen („betroffene Personen“) für die vom Verantwortlichen festgelegten Zwecke. Die Verarbeitung erfolgt im Auftrag des Verantwortlichen und im Rahmen der in Abschnitt 1 des Anhangs 1 zu dieser Vereinbarung beschriebenen Tätigkeit(en).
1.2. Diese Verarbeitung basiert auf dem am 15. April 2026 abgeschlossenen Angebot, Bestellformular oder Einzelvertrag („Hauptvertrag“). Alle anderen Daten, die außerhalb des Rahmens der definierten Funktion erhoben oder in sonstiger Weise verarbeitet werden, sind vom Mandat des Verantwortlichen ausdrücklich ausgeschlossen.
2. Bedingungen für die Verarbeitung personenbezogener Daten
2.1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten im Auftrag des Verantwortlichen, solange:
(i) die Verarbeitung für die Durchführung der in Abschnitt 1 des Anhangs 1 beschriebenen und beauftragten Tätigkeiten erforderlich ist,
(ii) diese Vereinbarung nicht gemäß den Abschnitten 5.2. bis 5.4. beendet wurde oder
(iii) dieses Mandat oder ein Teil davon vom Verantwortlichen nicht widerrufen wurde.
3. Rechte und Pflichten des Verantwortlichen
3.1. Der Verantwortliche ist der Verantwortliche im Sinne von Artikel 4 Absatz 7 DSGVO in Bezug auf alle in Abschnitt 2 des Anhangs 1 dieser Vereinbarung genannten Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen im Sinne von Artikel 4 Absatz 1 DSGVO („personenbezogene Daten“) beziehen und dem Auftragsverarbeiter im Zuge der Durchführung der in Abschnitt 1 des Anhangs 1 genannten Tätigkeiten zur Verfügung gestellt werden.
3.2. Der Verantwortliche hat das Recht und die Pflicht, die Zwecke und Mittel der Verarbeitung personenbezogener Daten zu bestimmen.
3.3. Der Verantwortliche ist unter anderem dafür verantwortlich, dass eine ausreichende Rechtsgrundlage für die dem Auftragsverarbeiter anvertraute Verarbeitung personenbezogener Daten vorhanden ist.
4. Rechte und Pflichten des Auftragsverarbeiters
4.1. Allgemeines
4.1.1. Der Auftragsverarbeiter ist ein Auftragsverarbeiter im Sinne von Artikel 4 Absatz 8 DSGVO in Bezug auf die personenbezogenen Daten, die ihm im Zusammenhang mit der Durchführung der in Abschnitt 1 des Anhangs 1 genannten Tätigkeiten anvertraut werden. Er hat alle Handlungen zu unterlassen, die im Widerspruch zu seiner Rolle als Auftragsverarbeiter stehen, und ist verpflichtet, seine Pflichten nach geltendem Recht sorgfältig zu erfüllen.
4.1.2. Der Auftragsverarbeiter verpflichtet sich, die Verarbeitung personenbezogener Daten in nachprüfbarer Weise gemäß den Bestimmungen der DSGVO zu dokumentieren. Insbesondere führt er ein Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 Absatz 2 DSGVO.
4.2. Weisungsgebundenheit
4.2.1. Der Auftragsverarbeiter verpflichtet sich daher, personenbezogene Daten und Verarbeitungsergebnisse während der Durchführung der in Abschnitt 1 des Anhangs 1 zu dieser Vereinbarung beschriebenen Tätigkeiten ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen zu verwenden. Der Auftragsverarbeiter verpflichtet sich, diese personenbezogenen Daten und Verarbeitungsergebnisse ausschließlich an den Verantwortlichen zurückzugeben oder sie nur auf schriftliche Weisung des Verantwortlichen zu übertragen.
4.2.2. Nachträgliche Weisungen können vom Verantwortlichen während der gesamten Dauer der Verarbeitung personenbezogener Daten erteilt werden. Diese müssen stets schriftlich, auch in elektronischem Format, im Zusammenhang mit dieser Vereinbarung dokumentiert und aufbewahrt werden. Ebenso bedarf jede Nutzung der personenbezogenen Daten für eigene Zwecke des Auftragsverarbeiters einer schriftlichen Weisung. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung des Verantwortlichen nach Ansicht des Auftragsverarbeiters gegen die DSGVO oder andere geltende nationale Datenschutzvorschriften verstößt.
4.2.3. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nach dem Grundsatz der Datenminimierung gemäß Artikel 5 Absatz 1 Buchstabe c DSGVO und daher nur in dem Umfang, der für die Durchführung der in dieser Vereinbarung festgelegten Tätigkeiten oder Anwendungen erforderlich ist. Der Auftragsverarbeiter hat daher insbesondere sicherzustellen, dass personenbezogene Daten und andere geschützte Daten des Auftragsverarbeiters oder seiner Kunden getrennt verarbeitet werden („Mandantenfähigkeit“).
4.3. Datengeheimnis
4.3.1. Der Auftragsverarbeiter gewährt Zugriffsrechte an Personen nur auf einer „Need-to-know“-Basis. Der Auftragsverarbeiter erklärt, dass er alle mit der Datenverarbeitung betrauten Personen vor Aufnahme ihrer Tätigkeit zur Wahrung des Datengeheimnisses gemäß Artikel 28 Absatz 3 Buchstabe b DSGVO und § 6 DSG verpflichtet hat. Insbesondere bleibt die Verschwiegenheitspflicht der mit der Datenverarbeitung betrauten Personen auch nach Beendigung ihrer Tätigkeit und ihrem Ausscheiden aus dem Unternehmen des Auftragsverarbeiters bestehen.
4.4. Sicherheit der Verarbeitung
4.4.1. Der Auftragsverarbeiter erklärt, dass er angemessene Sicherheitsmaßnahmen im Sinne des Artikels 32 DSGVO implementiert hat, um zu verhindern, dass Daten missbräuchlich verwendet werden oder unbefugten Dritten zugänglich werden. In diesem Zusammenhang bestätigt der Verantwortliche, dass die in Anhang 2 festgelegten technischen und organisatorischen Maßnahmen geeignet sind, um zu gewährleisten, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet ist.
4.4.2. Betrifft die Verarbeitung personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder genetische oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Orientierung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten, so hat der Auftragsverarbeiter spezifische technische und organisatorische Einschränkungen und/oder zusätzliche Schutzmaßnahmen zu implementieren.
4.4.3. Der Auftragsverarbeiter stellt sicher, dass alle personenbezogenen Daten ausschließlich auf Servern in Frankfurt (Digital Ocean) gespeichert und verarbeitet werden. Die Daten werden nicht in den USA oder anderen Drittländern außerhalb der EU gespeichert, verarbeitet oder dorthin übermittelt, sofern die Verarbeitung durch den Auftragsverarbeiter selbst erfolgt. Werden Unterauftragsverarbeiter herangezogen, so gelten für diese die Bestimmungen des Abschnitts 4.4.6 bezüglich der Übermittlung in Drittländer. Der Auftragsverarbeiter stellt sicher, dass auch beim Einsatz von Unterauftragsverarbeitern ein angemessenes Schutzniveau gewährleistet ist und die Infrastruktur und Datenverarbeitung den Anforderungen der DSGVO entsprechen.
4.4.4. Ist im Rahmen der Verarbeitung eine Anonymisierung erforderlich, führt der Auftragsverarbeiter diese ausschließlich auf seinen Servern in Frankfurt durch. Die Anonymisierung erfolgt unter Verwendung von Microsoft Presidio, einer Open-Source-Lösung. Die Verarbeitung und Durchführung der Anonymisierung erfolgen völlig unabhängig von Microsoft und unterliegen keinem Datenzugriff durch US-Unternehmen oder -Behörden. Alle anonymisierten Daten verbleiben auf den Servern des Auftragsverarbeiters in Frankfurt.
4.4.5. Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine schriftliche Genehmigung gemäß Artikel 28 Absatz 2 DSGVO, andere Unternehmen mit der Durchführung von Verarbeitungstätigkeiten zu beauftragen („Unterauftragsverarbeiter“). Diese sind im Anhang 3 aufgeführt und wurden vom Verantwortlichen genehmigt. Der Auftragsverarbeiter muss den Verantwortlichen jedoch rechtzeitig über jede beabsichtigte Beauftragung oder Ersetzung eines Unterauftragsverarbeiters informieren, damit der Verantwortliche dies gegebenenfalls gemäß Artikel 28 Absatz 2 DSGVO untersagen kann. Der Verantwortliche wird eine solche Beauftragung jedoch nur aus wichtigem Grund untersagen. Darüber hinaus ist zwischen dem Auftragsverarbeiter und dem Unterauftragsverarbeiter ein Vertrag gemäß Artikel 28 Absatz 4 DSGVO abzuschließen, der sicherstellt, dass der Unterauftragsverarbeiter dieselben Pflichten übernimmt, denen der Auftragsverarbeiter im Rahmen dieser Vereinbarung unterliegt. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen weiterhin für die Erfüllung der Pflichten des Unterauftragsverarbeiters. Der Auftragsverarbeiter hat den Verantwortlichen zu benachrichtigen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.
4.4.6. Der Auftragsverarbeiter darf Unterauftragsverarbeiter außerhalb des EWR nur beauftragen, wenn (i) sie in einem Drittland niedergelassen sind, für das ein von der Europäischen Kommission durch Beschluss anerkanntes angemessenes Datenschutzniveau besteht (Angemessenheitsbeschluss) oder (ii) die EU-Standardvertragsklauseln oder diesen gleichwertige, von der EU-Kommission erlassene Vertragsvorlagen mit diesen Unterauftragsverarbeitern als geeignete Garantien im Sinne des Artikels 46 Absatz 2 Buchstaben c und d DSGVO vereinbart wurden. Zu den geeigneten Garantien gehört, sofern erforderlich, auch die Vereinbarung zusätzlicher Maßnahmen („ergänzende Maßnahmen“) sowie in jedem Fall die Durchführung einer Transfer-Folgenabschätzung (Transfer Impact Assessment).
4.5. Rechte der betroffenen Personen
4.5.1. Der Auftragsverarbeiter stellt die erforderlichen technischen und organisatorischen Maßnahmen sicher, damit der Verantwortliche insbesondere den Bestimmungen der Artikel 13 und 14 DSGVO (Informationspflicht), Artikel 15 DSGVO (Auskunftsrecht), Artikel 16 und 17 DSGVO (Recht auf Berichtigung und Löschung), Artikel 18 DSGVO (Recht auf Einschränkung der Verarbeitung) und Artikel 20 DSGVO (Recht auf Datenübertragbarkeit) gegenüber einer betroffenen Person jederzeit innerhalb der gesetzlichen Fristen nachkommen kann, und stellt dem Verantwortlichen alle hierfür erforderlichen Informationen zur Verfügung.
4.5.2. Der Auftragsverarbeiter informiert den Verantwortlichen innerhalb einer angemessenen Frist über jede Anfrage, die er von einer betroffenen Person erhalten hat. Er beantwortet die Anfrage nicht selbst, es sei denn, er wurde vom Verantwortlichen ausdrücklich dazu angewiesen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen. Dabei befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.
4.6. Verletzungen des Schutzes personenbezogener Daten
4.6.1. Im Falle einer Verletzung des Schutzes personenbezogener Daten, die die im Auftrag des Verantwortlichen verarbeiteten Daten betrifft, unterstützt der Auftragsverarbeiter den Verantwortlichen bei:
a) der unverzüglichen Meldung der Verletzung an die zuständige Aufsichtsbehörde, nachdem der Verantwortliche davon Kenntnis erlangt hat, sofern relevant;
b) der Einholung der Informationen, die gemäß Artikel 33 Absatz 3 DSGVO in die Meldung des Verantwortlichen aufzunehmen sind;
c) der Einhaltung der Verpflichtung gemäß Artikel 34 DSGVO, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu unterrichten, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat.
4.6.2. Der Auftragsverarbeiter erklärt, dass er den Verantwortlichen unverzüglich informiert, wenn eine Datenverletzung auftritt. Die Benachrichtigung muss mindestens folgende Informationen enthalten:
a) eine Beschreibung der Art der Verletzung (sofern möglich unter Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der ungefähren Anzahl der betroffenen Datensätze);
b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;
c) die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Sofern und soweit nicht alle diese Informationen gleichzeitig bereitgestellt werden können, enthält die erste Meldung die zu diesem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden unverzüglich bereitgestellt, sobald sie verfügbar sind.
4.6.3. Der Auftragsverarbeiter stellt daher sicher, dass die erforderlichen technischen und organisatorischen Maßnahmen vorhanden sind, damit der Verantwortliche seinen Meldepflichten gemäß den Artikeln 33 und 34 DSGVO gegenüber der Aufsichtsbehörde und/oder der betroffenen Person innerhalb der gesetzlichen Frist nachkommen kann.
4.7. Löschung und Rückgabe von Daten
4.7.1. Nach Beendigung der Tätigkeiten im Rahmen dieser Vereinbarung ist der Auftragsverarbeiter verpflichtet, dem Verantwortlichen alle Verarbeitungsergebnisse und Dokumente, die personenbezogene Daten enthalten, zu übergeben, und ist nicht berechtigt, personenbezogene Daten, Dokumente oder Teile oder Kopien davon zurückzubehalten. Dementsprechend hat der Auftragsverarbeiter alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten zu löschen oder zu vernichten und dies dem Verantwortlichen zu bestätigen. Alternativ kann der Auftragsverarbeiter auf der Grundlage einer dokumentierten Weisung des Verantwortlichen die personenbezogenen Daten weiterhin für den Verantwortlichen in einer Weise speichern, die sie vor unbefugtem Zugriff schützt.
4.8. Zusammenarbeit und Unterstützung
4.8.1. Im Zusammenhang mit den in dieser Vereinbarung festgelegten Tätigkeiten oder Anwendungen arbeitet der Auftragsverarbeiter mit den zuständigen Behörden und dem Verantwortlichen zusammen, insbesondere im Hinblick auf eventuelle Melde- oder Genehmigungsverfahren sowie insbesondere im Hinblick auf eventuelle Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherige Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO).
4.8.2. Werden Daten betroffener Personen in einem Drittland verarbeitet, das nicht über ein von der EU-Kommission durch einen Angemessenheitsbeschluss anerkanntes angemessenes Datenschutzniveau verfügt,
so schließt der Auftragsverarbeiter mit dem Verantwortlichen Standardvertragsklauseln gemäß Artikel 46 Absatz 2 Buchstabe c DSGVO ab, die von der Europäischen Kommission gemäß dem Prüfverfahren nach Artikel 93 Absatz 2 DSGVO erlassen wurden, um geeignete Garantien zu gewährleisten, und vereinbart – sofern erforderlich – ergänzende Maßnahmen.
4.9. Inspektion und Audit
4.9.1. Dem Verantwortlichen wird das Recht eingeräumt, die Datenverarbeitungseinrichtungen mindestens einmal jährlich im Hinblick auf die Verarbeitung der vom Verantwortlichen bereitgestellten personenbezogenen Daten zu inspizieren und zu prüfen. Der Verantwortliche muss eine solche Prüfung, einschließlich der Inspektion, mindestens 90 Tage im Voraus ankündigen und sie unter größtmöglicher Rücksichtnahme auf den Geschäftsbetrieb des Auftragsverarbeiters durchführen. Bei der Entscheidung über eine Inspektion hat der Verantwortliche relevante Zertifizierungen des Auftragsverarbeiters zu berücksichtigen.
4.9.2. Der Auftragsverarbeiter verpflichtet sich gemäß Artikel 28 Absatz 3 Buchstabe h DSGVO, dem Verantwortlichen die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung festgelegten Pflichten erforderlich sind.
4.9.3. Die Parteien stellen die Ergebnisse der Audits der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.
5. Schlussbestimmungen
5.1. Diese Vereinbarung unterliegt dem materiellen Recht Österreichs unter Ausschluss der Kollisionsnormen.
5.2. Diese Vereinbarung tritt mit ihrer Unterzeichnung durch beide Parteien in Kraft und wird für die Dauer der jeweiligen Zusammenarbeit geschlossen. Angesichts der Art und des Zwecks dieser Vereinbarung vereinbaren die Parteien, dass jede Beendigung oder jeder Ablauf der Zusammenarbeit auch zur Beendigung dieser Vereinbarung führt und ähnliche Auswirkungen hat. Dies gilt nicht für Bestimmungen, deren Inhalt oder Natur darauf hindeutet, dass sie auch nach Beendigung dieser Vereinbarung in Kraft bleiben sollen. Das Recht zur fristlosen Kündigung der Vereinbarung aus wichtigem Grund bleibt unberührt.
5.3. Kommt der Auftragsverarbeiter seinen Pflichten aus dieser Vereinbarung nicht nach, kann der Verantwortliche den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis der Auftragsverarbeiter die Bestimmungen dieser Vereinbarung einhält oder der Vertrag beendet wird. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er aus irgendeinem Grund nicht in der Lage ist, die Bestimmungen dieser Vereinbarung einzuhalten.
5.4. Der Auftragsverarbeiter ist zur Kündigung des Vertrages berechtigt, wenn der Verantwortliche auf der Erfüllung seiner Weisungen besteht, nachdem er vom Auftragsverarbeiter gemäß Ziffer 4.2.2. darüber informiert wurde, dass seine Weisungen gegen geltende rechtliche Anforderungen verstoßen. In jedem Fall hat jede im Auftrag des Verantwortlichen durchgeführte Verarbeitung personenbezogener Daten mit dem Wirksamwerden der Kündigung unverzüglich einzustellen.
5.5. Änderungen oder Ergänzungen dieser Vereinbarung bedürfen, vorbehaltlich der nachfolgenden Ausnahmen, der Schriftform, die auch in elektronischem Format vorliegen kann. Die Vereinbarung einschließlich ihrer Anhänge ist von beiden Parteien schriftlich, auch in elektronischer Form, aufzubewahren.
5.6. Im Falle von Widersprüchen gehen die Bestimmungen dieser Vereinbarung oder anderer vorheriger Vereinbarungen zwischen dem Verantwortlichen und dem Auftragsverarbeiter bezüglich der in Abschnitt 1, Anhang 1 dieser Vereinbarung aufgeführten Tätigkeiten vor.