Vereinbarung über die Auftragsverarbeitung (AVV)

Version 1 · Stand: 8. August 2026

Diese Vereinbarung über die Auftragsverarbeitung („AVV“) regelt die Verarbeitung personenbezogener Daten durch

Franz Josef Drexler
Silberbach 38
4230 Pregarten, Austria
contact@drefrajo.dev

– nachfolgend „Auftragsverarbeiter“ –

im Auftrag des jeweiligen Geschäftskunden, der diese AVV im Rahmen eines Vertrags, einer Bestellung, eines Angebots, einer Leistungsvereinbarung oder der Nutzungsbedingungen einbezieht

– nachfolgend „Verantwortlicher“ –

gemeinsam die „Parteien“.

Diese AVV soll die Anforderungen des Art. 28 Abs. 3 und 4 der Datenschutz-Grundverordnung („DSGVO“) erfüllen.

Sie gilt ausschließlich, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Verarbeitungen, bei denen der Auftragsverarbeiter selbst über Zwecke und wesentliche Mittel entscheidet – insbesondere eigene Vertrags-, Konto-, Abrechnungs-, Sicherheits- oder Kommunikationsdaten – fallen nicht unter diese AVV.

1. Einbeziehung und Verhältnis zum Hauptvertrag

  1. Diese AVV ergänzt den zwischen den Parteien bestehenden Vertrag über die jeweiligen Leistungen („Hauptvertrag“).

  2. Als Hauptvertrag gelten insbesondere Nutzungsbedingungen, Angebote, Auftragsbestätigungen, Leistungsbeschreibungen, Hosting- oder Wartungsvereinbarungen sowie sonstige Verträge, die diese AVV einbeziehen.

  3. Die AVV kann elektronisch abgeschlossen und durch Verweis in den Hauptvertrag einbezogen werden. Eine gesonderte handschriftliche Unterzeichnung ist nicht erforderlich.

  4. Soweit der Hauptvertrag und diese AVV datenschutzrechtliche Fragen unterschiedlich regeln, geht diese AVV hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen vor.

  5. Diese AVV gilt nur für Leistungen, bei denen der Auftragsverarbeiter tatsächlich als Auftragsverarbeiter tätig wird. Insbesondere begründen reine Beratung, Website-Entwicklung oder die Einrichtung eines vom Verantwortlichen selbst gehaltenen Drittanbieter-Kontos nicht automatisch eine Auftragsverarbeitung, wenn der Auftragsverarbeiter dabei keine personenbezogenen Daten im Auftrag verarbeitet.

  6. Die deutsche und die englische Fassung dieser AVV haben denselben Regelungsinhalt. Bei unbeabsichtigten Abweichungen ist die deutsche Fassung maßgeblich.

2. Rollen und Verantwortlichkeiten

  1. Der Verantwortliche bestimmt die Zwecke und, soweit nach der DSGVO vorgesehen, die wesentlichen Mittel der Verarbeitung.

  2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, soweit er nicht durch das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

  3. Der Verantwortliche ist insbesondere verantwortlich für:

    • die Rechtmäßigkeit der Verarbeitung;
    • das Vorliegen einer geeigneten Rechtsgrundlage;
    • die Erfüllung der Informationspflichten gegenüber betroffenen Personen;
    • die Rechtmäßigkeit der Erhebung und Übermittlung der Daten an den Auftragsverarbeiter;
    • die Festlegung angemessener Lösch- und Aufbewahrungsfristen, soweit diese nicht bereits durch den jeweiligen Dienst festgelegt sind;
    • die Rechtmäßigkeit seiner Weisungen;
    • die Bearbeitung von Betroffenenrechten, soweit diese in seine Verantwortlichkeit fallen.

  4. Der Auftragsverarbeiter bestimmt die technischen und organisatorischen Einzelheiten der Leistungserbringung, soweit diese nicht den vom Verantwortlichen festgelegten Zwecken oder dokumentierten Weisungen widersprechen.

  5. Bestimmt der Auftragsverarbeiter entgegen dieser AVV selbst Zwecke und Mittel einer Verarbeitung, gelten für diese Verarbeitung die gesetzlichen Regelungen über die Verantwortlichkeit.

3. Dokumentierte Weisungen

  1. Als dokumentierte Weisungen des Verantwortlichen gelten insbesondere:

    • diese AVV und der Hauptvertrag;
    • die jeweilige Leistungsbeschreibung;
    • Einstellungen und Konfigurationen, die der Verantwortliche innerhalb eines Dienstes vornimmt;
    • vom Verantwortlichen ausgelöste Funktionen und Verarbeitungsvorgänge;
    • schriftliche oder elektronisch dokumentierte Anweisungen per Support-Anfrage, E-Mail oder vergleichbarem Kommunikationsweg.

  2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur innerhalb dieser Weisungen.

  3. Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere anwendbare Datenschutzvorschriften der Europäischen Union oder eines Mitgliedstaats, informiert er den Verantwortlichen unverzüglich. Die Durchführung der betreffenden Weisung kann bis zur Klärung ausgesetzt werden.

  4. Zusätzliche Weisungen, die eine wesentliche Änderung des vereinbarten Leistungsumfangs verursachen, können einer gesonderten Vereinbarung und angemessenen Vergütung bedürfen.

4. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Die konkreten Verarbeitungstätigkeiten ergeben sich aus dem Hauptvertrag und den in Anhang 1 beschriebenen Dienstkategorien.

Die Verarbeitung kann insbesondere umfassen:

  • Erheben und Erfassen;
  • Speichern und Organisieren;
  • Abrufen und Anzeigen;
  • Übermitteln;
  • Bereitstellen und Hosten;
  • Verändern und Aktualisieren;
  • automatisierte Verarbeitung und Generierung von Inhalten;
  • Sicherung und Wiederherstellung, soweit vorgesehen;
  • Löschen und Vernichten.

Die Verarbeitung erfolgt für die Dauer der jeweils beauftragten Leistung sowie für den zur ordnungsgemäßen Rückgabe oder Löschung erforderlichen Zeitraum gemäß dieser AVV.

5. Vertraulichkeit und Zugriffsberechtigung

  1. Der Auftragsverarbeiter stellt sicher, dass Personen, die Zugang zu im Auftrag verarbeiteten personenbezogenen Daten erhalten, nur im erforderlichen Umfang auf diese Daten zugreifen.

  2. Personen mit entsprechender Zugriffsberechtigung werden zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.

  3. Dies gilt auch für zukünftige Mitarbeiter:innen, freie Mitarbeiter:innen und sonstige Personen, die unter der Verantwortung des Auftragsverarbeiters tätig werden.

  4. Ein manueller Zugriff auf Kunden- oder Interview-Inhalte erfolgt nur, soweit dies für Betrieb, Fehlerbehebung, Support, Sicherheit, Missbrauchsvermeidung oder die Erfüllung einer dokumentierten Weisung erforderlich ist.

  5. Personenbezogene Daten dürfen nicht für private, eigene kommerzielle oder sonstige mit den Weisungen des Verantwortlichen unvereinbare Zwecke verwendet werden.

6. Technische und organisatorische Maßnahmen

  1. Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

  2. Die aktuell vorgesehenen Maßnahmen sind in Anhang 2 beschrieben.

  3. Die Maßnahmen können entsprechend technischer Entwicklungen und geänderter Risiken weiterentwickelt werden, sofern das vereinbarte Schutzniveau dadurch insgesamt nicht unangemessen herabgesetzt wird.

  4. Die Maßnahmen werden risikobasiert angewendet. Nicht jede Maßnahme ist für jede einzelne Leistung oder jedes System technisch erforderlich.

7. Unterstützung bei Betroffenenrechten

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und soweit technisch und organisatorisch möglich bei der Erfüllung von Anträgen betroffener Personen gemäß Kapitel III DSGVO.

  2. Erhält der Auftragsverarbeiter einen Antrag einer betroffenen Person, der erkennbar eine vom Verantwortlichen verantwortete Verarbeitung betrifft, leitet er den Antrag grundsätzlich an den Verantwortlichen weiter oder weist die betroffene Person auf den Verantwortlichen hin.

  3. Der Auftragsverarbeiter beantwortet solche Anträge nicht im Namen des Verantwortlichen, sofern er hierzu nicht angewiesen oder gesetzlich verpflichtet ist.

  4. Funktionen zur Anzeige, zum Export, zur Berichtigung oder Löschung von Daten, die der Dienst dem Verantwortlichen unmittelbar zur Verfügung stellt, gelten als Teil dieser Unterstützung.

8. Unterstützung bei Datenschutzpflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen angemessen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere hinsichtlich:

  • Sicherheit der Verarbeitung;
  • Bewertung und Behandlung von Datenschutzverletzungen;
  • Datenschutz-Folgenabschätzungen;
  • erforderlichen vorherigen Konsultationen mit einer Aufsichtsbehörde.

Die Verantwortlichkeit für die rechtliche Bewertung und Entscheidung verbleibt beim Verantwortlichen.

9. Datenschutzverletzungen

  1. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die personenbezogene Daten betrifft, die im Auftrag des Verantwortlichen verarbeitet werden, informiert er den Verantwortlichen ohne unangemessene Verzögerung.

  2. Die Information enthält, soweit zum jeweiligen Zeitpunkt verfügbar:

    • eine Beschreibung der Art der Verletzung;
    • die betroffenen Daten- und Personenkategorien;
    • soweit möglich eine ungefähre Einschätzung des Umfangs;
    • bekannte oder wahrscheinliche Folgen;
    • bereits ergriffene oder vorgesehene Maßnahmen;
    • eine Kontaktmöglichkeit für weitere Informationen.

  3. Sind noch nicht alle Informationen verfügbar, können diese schrittweise nachgereicht werden.

  4. Der Auftragsverarbeiter trifft angemessene Maßnahmen zur Eindämmung und Behebung des Vorfalls.

  5. Die Entscheidung, ob eine Meldung an eine Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, obliegt grundsätzlich dem Verantwortlichen.

10. Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen.

  2. Die aktuelle Liste der Unterauftragsverarbeiter ist unter

/subprocessors

verfügbar.

  1. Die Liste soll insbesondere enthalten:

    • Name des Unterauftragsverarbeiters;
    • Funktion bzw. Verarbeitungszweck;
    • wesentlichen Verarbeitungsort bzw. relevante Region;
    • soweit erforderlich den für Drittlandübermittlungen eingesetzten Übermittlungsmechanismus.

  2. Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er betroffene Verantwortliche grundsätzlich mindestens 14 Tage vor der Änderung.

  3. Eine kürzere Vorankündigung ist zulässig, wenn dies aus dringenden Sicherheitsgründen, aufgrund einer gesetzlichen Verpflichtung, wegen einer kurzfristigen Einstellung eines Dienstes durch einen bestehenden Anbieter oder aufgrund vergleichbarer zwingender Umstände erforderlich ist. Der Auftragsverarbeiter informiert den Verantwortlichen in diesem Fall so früh wie vernünftigerweise möglich.

  4. Der Verantwortliche kann innerhalb der Ankündigungsfrist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen.

  5. Die Parteien versuchen in diesem Fall zunächst, eine angemessene Lösung zu finden. Kann keine zumutbare Alternative bereitgestellt werden, kann der Auftragsverarbeiter die von dem betreffenden Unterauftragsverarbeiter abhängige Leistung einstellen oder den betroffenen Teil des Hauptvertrags kündigen.

  6. Der Auftragsverarbeiter auferlegt seinen Unterauftragsverarbeitern durch Vertrag oder ein anderes Rechtsinstrument dieselben Datenschutzpflichten, die in dieser AVV zwischen dem Verantwortlichen und dem Auftragsverarbeiter festgelegt sind. Dabei müssen insbesondere hinreichende Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht.

  7. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass seine Unterauftragsverarbeiter ihre Datenschutzpflichten erfüllen.

Vom Verantwortlichen direkt beauftragte Anbieter

  1. Dienste, Konten oder Infrastruktur, die unmittelbar vom Verantwortlichen beauftragt und unter dessen eigenem Vertrags- oder Benutzerkonto betrieben werden, gelten nicht allein deshalb als Unterauftragsverarbeiter des Auftragsverarbeiters, weil der Auftragsverarbeiter diese im Auftrag des Verantwortlichen einrichtet oder administriert.

  2. Dies betrifft beispielsweise ein Cloud-, Hosting-, Analytics-, Formular- oder CMS-Konto, das vertraglich unmittelbar dem Verantwortlichen zugeordnet ist.

  3. Soweit der Auftragsverarbeiter innerhalb eines solchen Systems im Auftrag des Verantwortlichen auf personenbezogene Daten zugreift, unterliegt dieser Zugriff weiterhin dieser AVV.

11. Internationale Datenübermittlungen

  1. Der Verantwortliche weist den Auftragsverarbeiter an und ermächtigt ihn, personenbezogene Daten an den in der aktuellen Unterauftragsverarbeiterliste genannten Verarbeitungsorten verarbeiten zu lassen.

  2. Soweit personenbezogene Daten aus dem Europäischen Wirtschaftsraum in ein Drittland übermittelt werden und hierfür nach Kapitel V DSGVO eine besondere Übermittlungsgrundlage erforderlich ist, sorgt der Auftragsverarbeiter im Rahmen seiner Verantwortlichkeit für einen geeigneten Übermittlungsmechanismus.

  3. Dies kann insbesondere erfolgen aufgrund:

    • eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO;
    • des EU-US Data Privacy Framework, soweit dieses auf den jeweiligen Empfänger und die Verarbeitung anwendbar ist;
    • der Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 DSGVO;
    • anderer gesetzlich zulässiger Garantien.

  4. Soweit erforderlich, werden ergänzende technische und organisatorische Maßnahmen berücksichtigt.

  5. Diese AVV stellt für sich allein keine Standardvertragsklausel für Drittlandübermittlungen nach Kapitel V DSGVO dar.

  6. Soweit für eine konkrete Übermittlung zusätzliche Standardvertragsklauseln oder andere Dokumente erforderlich werden, arbeiten die Parteien bei deren Abschluss angemessen zusammen.

12. Rückgabe und Löschung

  1. Nach Beendigung der jeweiligen Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht.

  2. Die Wahl kann vor oder spätestens bei Beendigung der Leistung ausgeübt werden.

  3. Soweit der Verantwortliche keine abweichende Weisung erteilt, gilt die Löschung als dokumentierte Standardweisung.

  4. Der Auftragsverarbeiter löscht aktive, von ihm kontrollierte Kopien nach Beendigung der Verarbeitung ohne unangemessene Verzögerung und grundsätzlich spätestens innerhalb von 30 Tagen, soweit die jeweilige Leistungsbeschreibung keine frühere Löschung vorsieht.

  5. Die 30-Tage-Frist ist keine zugesicherte Wiederherstellungs- oder Aufbewahrungsfrist. Nach einer vom Verantwortlichen veranlassten oder aufgrund einer vereinbarten Aufbewahrungsfrist erfolgten Löschung besteht kein Anspruch darauf, dass die Daten noch wiederhergestellt werden können.

  6. Soweit ein Dienst Exportfunktionen bereitstellt, kann der Verantwortliche diese zur Rückgabe seiner Daten verwenden.

  7. Auf Wunsch kann der Auftragsverarbeiter, soweit technisch möglich und vom vereinbarten Leistungsumfang umfasst, eine angemessene elektronische Rückgabe unterstützen.

  8. Daten können vorübergehend in Sicherungskopien von Unterauftragsverarbeitern verbleiben, bis diese im Rahmen des regulären Backup- oder Überschreibungszyklus entfernt werden. Solche Kopien dürfen nicht für andere Zwecke verwendet werden und bleiben bis zu ihrer Löschung geschützt.

  9. Gesetzlich erforderliche Aufbewahrungen bleiben unberührt.

13. Nachweise und Audits

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO und dieser AVV nachzuweisen.

  2. Soweit angemessen, sollen zunächst vorhandene Unterlagen, Beschreibungen der technischen und organisatorischen Maßnahmen, Anbieter-Dokumentationen, Vertragsnachweise und schriftliche Auskünfte verwendet werden.

  3. Der Verantwortliche kann selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer Audits durchführen.

  4. Audits sollen:

    • in angemessenen Abständen erfolgen;
    • grundsätzlich mit angemessener vorheriger Ankündigung durchgeführt werden;
    • den Geschäftsbetrieb nicht unnötig beeinträchtigen;
    • auf die für die Auftragsverarbeitung relevanten Systeme und Informationen beschränkt bleiben;
    • Vertraulichkeits-, Sicherheits- und Geheimhaltungsinteressen des Auftragsverarbeiters und anderer Kunden berücksichtigen.

  5. Ohne besonderen Anlass sollen umfassende kundenseitige Audits grundsätzlich nicht häufiger als einmal innerhalb von zwölf Monaten verlangt werden.

  6. Diese Einschränkung gilt nicht, soweit:

    • konkrete Anhaltspunkte für eine wesentliche Datenschutzverletzung oder Nichtkonformität bestehen;
    • ein relevanter Datenschutzvorfall eingetreten ist;
    • eine zuständige Aufsichtsbehörde ein Audit oder entsprechende Informationen verlangt;
    • zwingendes Datenschutzrecht etwas anderes erfordert.

  7. Der Verantwortliche trägt die Kosten eines von ihm beauftragten externen Prüfers sowie seine eigenen internen Auditkosten.

  8. Soweit ein Audit oder eine zusätzliche Nachweisanforderung einen erheblichen Aufwand verursacht, der über die übliche Bereitstellung vorhandener Compliance-Unterlagen und angemessener Auskünfte hinausgeht, kann der Auftragsverarbeiter angemessene und vorab offengelegte Kosten für diese zusätzliche Unterstützung berechnen.

  9. Eine solche Vergütung wird nicht verlangt, soweit der zusätzliche Prüfaufwand unmittelbar durch eine wesentliche, dem Auftragsverarbeiter zurechenbare Verletzung dieser AVV oder anwendbarer Datenschutzvorschriften erforderlich geworden ist.

  10. Gesetzliche Prüf- und Untersuchungsbefugnisse einer Datenschutzaufsichtsbehörde werden durch diesen Abschnitt nicht eingeschränkt.

14. Dokumentation und Zusammenarbeit mit Aufsichtsbehörden

  1. Der Auftragsverarbeiter führt die gesetzlich erforderlichen Aufzeichnungen über die Kategorien der von ihm im Auftrag durchgeführten Verarbeitungstätigkeiten.

  2. Der Auftragsverarbeiter arbeitet im gesetzlich erforderlichen Umfang mit zuständigen Datenschutzaufsichtsbehörden zusammen.

  3. Der Verantwortliche stellt dem Auftragsverarbeiter die Informationen zur Verfügung, die dieser vernünftigerweise benötigt, um seine eigenen gesetzlichen Dokumentationspflichten zu erfüllen.

15. Besondere Kategorien und besonders sensible Daten

  1. Soweit in einem Dienstanhang nichts anderes ausdrücklich vereinbart wurde, sind die Leistungen nicht für die planmäßige Verarbeitung folgender Daten bestimmt:

    • besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO;
    • Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO;
    • Passwörter oder Authentifizierungsgeheimnisse von Endnutzer:innen im Klartext;
    • private kryptografische Schlüssel;
    • sonstige vergleichbar hochsensible Geheimnisse.

  2. Der Verantwortliche wird solche Daten nicht bewusst in die betreffenden Dienste einstellen oder durch diese verarbeiten lassen, sofern die Parteien nicht zuvor schriftlich zusätzliche Anforderungen und Schutzmaßnahmen vereinbart haben.

  3. Davon unberührt bleiben administrative Zugangsdaten, API-Schlüssel, Zugangstoken oder vergleichbare Geheimnisse, die technisch erforderlich sind, damit der Auftragsverarbeiter im Auftrag des Verantwortlichen dessen Infrastruktur oder Systeme verwalten kann. Solche Zugangsdaten sind angemessen zu schützen und ausschließlich für den vereinbarten Zweck zu verwenden.

16. Kosten der Unterstützung

Die gewöhnliche Erfüllung der gesetzlichen Pflichten des Auftragsverarbeiters nach dieser AVV ist Bestandteil der vereinbarten Leistung.

Soweit der Verantwortliche darüber hinaus außergewöhnliche, individuell aufwendige Unterstützungsleistungen verlangt – beispielsweise umfangreiche individuelle Datenexporte, Sonderaudits, besondere Dokumentation oder technische Maßnahmen außerhalb des vereinbarten Leistungsumfangs –, können diese nach vorheriger Information gesondert vergütet werden, soweit dadurch zwingende gesetzliche Rechte des Verantwortlichen nicht unangemessen eingeschränkt werden.

17. Haftung

  1. Die gesetzliche Haftung der Parteien nach der DSGVO, insbesondere gegenüber betroffenen Personen und Aufsichtsbehörden, bleibt unberührt.

  2. Soweit gesetzlich zulässig, gelten im Innenverhältnis der Parteien ergänzend die Haftungsregelungen des Hauptvertrags auch für Ansprüche aus dieser AVV.

  3. Fehlt eine entsprechende Regelung im Hauptvertrag, gelten die gesetzlichen Bestimmungen.

18. Laufzeit und Beendigung

  1. Diese AVV tritt mit ihrer wirksamen Einbeziehung in den Hauptvertrag in Kraft.

  2. Sie gilt solange, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

  3. Verpflichtungen, die ihrem Zweck nach über die Beendigung hinauswirken – insbesondere Vertraulichkeit, Löschung, Rückgabe und Nachweispflichten – bleiben im erforderlichen Umfang bestehen.

19. Anwendbares Recht und Gerichtsstand

  1. Diese AVV unterliegt österreichischem Recht unter Ausschluss seiner Kollisionsnormen, soweit zwingendes Recht nichts anderes bestimmt.

  2. Für Streitigkeiten aus dieser AVV sind, soweit zwischen Unternehmen rechtlich zulässig, die sachlich zuständigen Gerichte am Sitz des Auftragsverarbeiters zuständig.

  3. Zwingende Zuständigkeiten, Rechte betroffener Personen sowie Befugnisse zuständiger Datenschutzaufsichtsbehörden bleiben unberührt.

Anhang 1 – Beschreibung der Verarbeitung

A. Interview-Service

Gegenstand und Zweck

Bereitstellung eines webbasierten, KI-gestützten Interview-Service, über den der Verantwortliche Interviews mit von ihm eingeladenen Personen („Clients“) durchführen und daraus Projektunterlagen und visuelle Konzepte erstellen lassen kann.

Kategorien betroffener Personen

  • vom Verantwortlichen eingeladene Clients;
  • gegebenenfalls Dritte, die von Clients oder dem Verantwortlichen in Freitexten erwähnt werden.

Creator-Konto-, Vertrags-, Abrechnungs- und eigene Sicherheitsdaten, die der Auftragsverarbeiter für eigene Zwecke verarbeitet, fallen nicht unter diesen Anhang.

Kategorien personenbezogener Daten

Insbesondere:

  • technische Zugriffsdaten;
  • Interview-Eingaben und Chat-Nachrichten;
  • Zeitstempel und Bearbeitungsstatus;
  • vom Verantwortlichen bereitgestellte Projektinformationen und Anweisungen;
  • Änderungswünsche;
  • Inspirationslinks und Angaben zur visuellen Ausrichtung;
  • generierte Interview-Pläne;
  • KI-Antworten;
  • Projektdokumente;
  • Bild-Prompts;
  • visuelle Konzepte;
  • Projektabgaben;
  • sonstige personenbezogene Informationen, die in Freitexten enthalten sein können.

Art der Verarbeitung

  • Erheben und Speichern von Eingaben;
  • Bereitstellen und Abrufen des Interviewverlaufs;
  • Weiterleitung erforderlicher Inhalte an KI-Unterauftragsverarbeiter;
  • automatisierte Generierung und Überarbeitung von Texten und Bildern;
  • Bereitstellung der Ergebnisse an den Verantwortlichen;
  • Speicherung, Export und Löschung.

Aufbewahrung

Soweit der Verantwortliche keine frühere Löschung veranlasst:

  • abgeschlossene Interviews: Löschung spätestens 24 Monate nach Abgabe;
  • nicht abgeschlossene Interviews: Löschung spätestens 24 Monate nach der letzten Aktivität.

Der Verantwortliche kann verfügbare Interview-Ergebnisse während der Aufbewahrungsdauer exportieren bzw. herunterladen.

Der Dienst kann vor einer planmäßigen automatischen Löschung eine Benachrichtigung an den Verantwortlichen senden. Eine solche Benachrichtigung verlängert die Aufbewahrungsfrist nicht.

Besondere Daten

Der Interview-Service ist nicht zur Verarbeitung von Daten gemäß Abschnitt 15 Abs. 1 dieser AVV vorgesehen.

B. Website-, Hosting-, CMS- und Infrastrukturleistungen

Dieser Abschnitt gilt nur, soweit der Auftragsverarbeiter im Rahmen einer Kundenwebsite oder der zugehörigen Infrastruktur tatsächlich personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Mögliche Leistungen

Je nach Hauptvertrag insbesondere:

  • Entwicklung und technische Bereitstellung von Websites;
  • Betrieb oder Verwaltung von Hosting-Infrastruktur;
  • Einrichtung und Verwaltung von Cloud- und CDN-Diensten;
  • Verwaltung technischer Backends;
  • CMS-Betrieb oder CMS-Administration;
  • Verwaltung von Datenbanken oder Dateispeichern;
  • Deployment und technische Wartung;
  • Sicherheits- und Fehlerbehebung;
  • Verwaltung von Domains, DNS und ähnlicher Web-Infrastruktur;
  • Integration und technische Konfiguration von Formular-, Analytics-, Storage- oder sonstigen Webdiensten.

Nicht alle genannten Leistungen werden bei jedem Projekt erbracht.

Kundenkonten bei Drittanbietern

Soweit ein Drittanbieter-Konto unmittelbar für den Verantwortlichen eingerichtet wird und der Verantwortliche selbst Vertragspartner und Kontoinhaber des betreffenden Anbieters ist, gilt dieser Anbieter nicht allein aufgrund der Einrichtung oder Administration durch den Auftragsverarbeiter als dessen Unterauftragsverarbeiter.

Nach Übergabe solcher Konten liegt die weitere Vertrags- und Konfigurationsverantwortung grundsätzlich beim Verantwortlichen, soweit keine laufende Verwaltung durch den Auftragsverarbeiter vereinbart wurde.

Kategorien betroffener Personen

Je nach Website und Kundenprojekt insbesondere:

  • Besucher:innen und Nutzer:innen der Website;
  • Interessent:innen und Personen, die Formulare absenden;
  • Kund:innen des Verantwortlichen;
  • Geschäftspartner und Lieferanten;
  • Mitarbeiter:innen und Auftragnehmer:innen des Verantwortlichen;
  • CMS- oder Administrationsnutzer:innen;
  • sonstige Personen, deren Daten der Verantwortliche über die Website oder zugehörige Systeme verarbeitet.

Kategorien personenbezogener Daten

Je nach Projekt insbesondere:

  • IP-Adressen und Online-Kennungen;
  • Browser-, Geräte- und technische Protokolldaten;
  • Kontakt- und Identifikationsdaten;
  • Kommunikations- und Formularinhalte;
  • CMS-Konto- und Benutzerinformationen;
  • vom Verantwortlichen bereitgestellte Inhalte;
  • hochgeladene Dateien und Medien;
  • Kunden-, Interessenten- und Geschäftspartnerdaten;
  • Nutzungs- und Betriebsdaten;
  • sonstige gewöhnliche personenbezogene Daten, die für die jeweilige Website erforderlich sind.

Art und Zweck der Verarbeitung

Insbesondere:

  • Hosting und Auslieferung der Website;
  • Speichern und Abrufen von Daten;
  • technische Administration;
  • Deployment;
  • Wartung und Fehlerbehebung;
  • Sicherheitsmaßnahmen;
  • Verwaltung von CMS, Datenbanken und Dateispeichern;
  • technische Übermittlung an die vom Verantwortlichen vorgesehenen Empfänger oder Dienste.

Dauer und Aufbewahrung

Die Verarbeitung erfolgt grundsätzlich für die Dauer der beauftragten Hosting-, Verwaltungs- oder Wartungsleistung.

Soweit der Verantwortliche die Löschung oder Aufbewahrung innerhalb eines von ihm kontrollierten Systems selbst steuern kann, ist er für die entsprechende Konfiguration verantwortlich.

Nach Ende der Auftragsverarbeitung gilt Abschnitt 12 dieser AVV.

Besondere Daten

Die Standardleistungen sind nicht für die planmäßige Verarbeitung der in Abschnitt 15 Abs. 1 genannten besonders sensiblen Daten ausgelegt.

Eine solche Verarbeitung bedarf einer vorherigen schriftlichen Vereinbarung über Zweck, Umfang und gegebenenfalls zusätzliche Schutzmaßnahmen.

Anhang 2 – Technische und organisatorische Maßnahmen (TOMs)

Die nachfolgenden Maßnahmen beschreiben das grundlegende Sicherheitsniveau des Auftragsverarbeiters. Sie werden entsprechend dem Risiko und der konkret eingesetzten technischen Infrastruktur angewendet.

1. Zugriffskontrolle

  • Zugriff auf Kundendaten nur, soweit dies für Betrieb, Entwicklung, Support, Wartung, Sicherheit oder eine dokumentierte Weisung erforderlich ist.
  • Vergabe individueller und eindeutiger Zugangsdaten.
  • Verwendung eines Passwortmanagers für administrative Zugangsdaten.
  • Beschränkung von Zugriffsrechten nach dem Need-to-know- und, soweit sinnvoll, Least-Privilege-Prinzip.
  • Entzug nicht mehr benötigter Zugriffsberechtigungen.
  • Verpflichtung zukünftiger Mitarbeiter:innen oder Auftragnehmer:innen mit Datenzugriff auf Vertraulichkeit.

2. Schutz administrativer Endgeräte

  • Verwendung verschlüsselter lokaler Datenträger bzw. vollständiger Geräteverschlüsselung auf administrativen Arbeitsgeräten.
  • Schutz der Geräte durch Benutzeranmeldung und Betriebssystem-Sicherheitsfunktionen.
  • Regelmäßige Installation relevanter Sicherheitsupdates.

3. Verschlüsselung bei der Übertragung

  • Nutzung von TLS/HTTPS für öffentlich erreichbare Webdienste und API-Verbindungen, soweit technisch anwendbar.
  • Verwendung verschlüsselter administrativer Verbindungen und sicherer Schnittstellen.

4. Schutz gespeicherter Daten

  • Nutzung der durch eingesetzte Managed-Cloud- und Datenbankdienste angebotenen Verschlüsselung gespeicherter Daten, soweit diese Bestandteil des jeweiligen Dienstes ist.
  • Keine allgemeine Zusage einer eigenständig implementierten Ende-zu-Ende-Verschlüsselung oder einer zusätzlichen Datenträgerverschlüsselung für jede eingesetzte Hosting-Plattform.
  • Auswahl und Konfiguration der Infrastruktur unter Berücksichtigung des jeweiligen Schutzbedarfs.

5. Umgang mit Geheimnissen

  • Zugangstoken, API-Schlüssel und sonstige technische Geheimnisse werden nicht absichtlich in öffentlich zugänglichem Quellcode gespeichert.
  • Nutzung geeigneter Secret-/Environment-Mechanismen der jeweiligen Plattform oder eines geeigneten Passwortmanagers.
  • Beschränkung des Zugriffs auf Personen und Systeme, die diese Geheimnisse tatsächlich benötigen.

6. Anwendungs- und Netzwerksicherheit

Je nach Risiko und technischer Eignung insbesondere:

  • Zugriffskontrollen;
  • nicht erratbare Zugriffstoken oder Links für geschützte Ressourcen;
  • Rate-Limits;
  • Eingabe- und Größenbeschränkungen;
  • Sicherheitsfunktionen eingesetzter Hosting- und Infrastrukturplattformen;
  • Firewalls oder vergleichbare Netzwerkfilter, soweit für die konkrete Infrastruktur relevant.

7. Wartung und Schwachstellenmanagement

  • Regelmäßige Aktualisierung relevanter Softwareabhängigkeiten und Systeme.
  • Zeitnahe Bewertung sicherheitsrelevanter Updates und bekannt gewordener Schwachstellen.
  • Anpassung technischer Maßnahmen bei wesentlichen Änderungen des Risikos oder der eingesetzten Infrastruktur.

8. Verfügbarkeit und Wiederherstellung

  • Nutzung der Redundanz-, Replikations-, Backup- oder Wiederherstellungsmechanismen eingesetzter Managed-Infrastruktur, soweit diese Bestandteil des jeweiligen Dienstes sind.
  • Zusätzliche projektbezogene Sicherungen können nach Risiko und technischer Möglichkeit eingerichtet werden.
  • Soweit im Hauptvertrag nicht ausdrücklich anders vereinbart, wird kein bestimmtes Backup-, Recovery-Point-, Recovery-Time- oder Verfügbarkeits-SLA zugesichert.
  • Trotz angemessener Sicherheits- und Wiederherstellungsmaßnahmen kann ein vollständiger Schutz vor Datenverlust nicht garantiert werden.

9. Datenminimierung und Löschung

  • Verarbeitung nur der für die jeweilige Leistung benötigten Daten.
  • Beschränkung von Protokollierung und Benachrichtigungsinhalten auf den erforderlichen Umfang.
  • Löschmöglichkeiten entsprechend der jeweiligen Servicefunktion.
  • Entfernung nicht mehr benötigter aktiver Daten nach den vereinbarten Aufbewahrungs- und Löschregeln.

10. Sicherheitsvorfälle

  • Bewertung bekannt gewordener Sicherheitsvorfälle.
  • Maßnahmen zur Eindämmung und Behebung.
  • Benachrichtigung betroffener Verantwortlicher ohne unangemessene Verzögerung, soweit personenbezogene Daten betroffen sind.
  • angemessene Dokumentation relevanter Datenschutzverletzungen.

Anhang 3 – Unterauftragsverarbeiter

Die aktuelle Liste der vom Auftragsverarbeiter eingesetzten Unterauftragsverarbeiter wird unter:

/subprocessors

bereitgestellt und gemäß Abschnitt 10 dieser AVV aktualisiert.

Anbieter, mit denen der Verantwortliche selbst unmittelbar einen Vertrag schließt und deren Konto dem Verantwortlichen gehört, sind nicht allein aufgrund einer technischen Einrichtung oder Administration durch den Auftragsverarbeiter Bestandteil dieser Liste.