Auftragsverarbeitungsvereinbarung

(1) Gegenstand

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen der Bereitstellung und Nutzung der SaaS-Lösung „Zimmerplan“.

(2) Art und Zweck der Verarbeitung

Die konkreten Verarbeitungstätigkeiten, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Zwecke der Verarbeitung sind in Anlage 1 dieser AVV näher beschrieben.

(3) Dauer

Die Laufzeit dieser AVV entspricht der Laufzeit des Hauptvertrags. Sie beginnt mit dessen Wirksamwerden und endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung dieser AVV bedarf. Eine isolierte Kündigung dieser AVV ohne gleichzeitige Beendigung des Hauptvertrags ist nicht möglich, da die AVV zwingende Voraussetzung für die rechtmäßige Erbringung der vertraglich geschuldeten Leistung ist.

(4) Verbleibende Pflichten nach Vertragsende

Pflichten, die nach Beendigung der AVV fortbestehen sollen (insbesondere Verschwiegenheitspflichten gemäß § 5 sowie Rückgabe- und Löschpflichten gemäß § 9), bleiben von der Beendigung unberührt.

(1) Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch das Recht der Europäischen Union oder das Recht eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Form der Weisungen

Weisungen werden grundsätzlich in Textform (z. B. per E-Mail an datenschutz@zimmerplan.at) erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Als dokumentierte Weisung gelten auch die im Hauptvertrag, in dieser AVV und in der bestimmungsgemäßen Nutzung der Software durch den Verantwortlichen zum Ausdruck gebrachten Weisungen.

(3) Hinweis bei rechtswidrigen Weisungen

Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(4) Weisungsbefugte Personen

Weisungsbefugt auf Seiten des Verantwortlichen ist die im SaaS-Konto als Kontoinhaber:in bzw. Administrator:in eingetragene Person sowie deren ausdrücklich bevollmächtigte Vertreter:innen. Auf Seiten des Auftragsverarbeiters ist Empfänger von Weisungen die unter datenschutz@zimmerplan.at erreichbare Stelle. Die Kontaktstellen der Parteien sind in Anlage 1 Nr. 7 zusammengefasst.

• Verarbeitung personenbezogener Daten ausschließlich im Rahmen des Hauptvertrags und der Weisungen des Verantwortlichen, sofern keine gesetzliche Pflicht zur Verarbeitung besteht.
• Einsatz nur solcher Personen zur Verarbeitung, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b und Art. 29 DSGVO).
• Umsetzung und Aufrechterhaltung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO, wie in Anlage 2 dieser AVV beschrieben.
• Beauftragung weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter) nur unter den in § 6 dieser AVV geregelten Voraussetzungen.
• Führung eines Verzeichnisses aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung gemäß Art. 30 Abs. 2 DSGVO.
• Unterstützung des Verantwortlichen bei der Erfüllung der Rechte betroffener Personen gemäß Art. 12 bis 23 DSGVO durch geeignete technische und organisatorische Maßnahmen, soweit möglich. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen innerhalb von drei (3) Werktagen an den Verantwortlichen weiter und beantwortet es nicht selbst, soweit ihn der Verantwortliche nicht in Textform dazu anweist.
• Unterstützung des Verantwortlichen bei der Einhaltung seiner Pflichten gemäß Art. 32 bis 36 DSGVO.
• Rückgabe oder Löschung sämtlicher personenbezogener Daten nach Abschluss der Erbringung der Verarbeitungsleistungen gemäß § 9 dieser AVV.
• Bereitstellung sämtlicher Informationen, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen, sowie Ermöglichung und Beitrag zu Überprüfungen gemäß § 7 dieser AVV.
• Unverzügliche Information des Verantwortlichen, falls eine Aufsichtsbehörde Maßnahmen gemäß Art. 58 DSGVO gegen den Auftragsverarbeiter ergreift, sofern diese die Verarbeitung der Daten des Verantwortlichen betreffen.

(1) Datenschutzrechtliche Verantwortung

Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Insbesondere obliegt es dem Verantwortlichen, eine Rechtsgrundlage für die Verarbeitung sicherzustellen (Art. 6, ggf. Art. 9 DSGVO), erforderliche Informationspflichten gegenüber betroffenen Personen zu erfüllen (Art. 13, 14 DSGVO) und – soweit erforderlich – Einwilligungen einzuholen.

(2) Mitwirkungspflichten

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Auftragsdurchführung feststellt.

(3) Weisungsdokumentation

Der Verantwortliche dokumentiert eigenverantwortlich seine Weisungen sowie deren Befolgung.

(4) Eingegebene Daten

Der Verantwortliche stellt sicher, dass er nur solche personenbezogenen Daten in das SaaS „Zimmerplan“ eingibt, deren Verarbeitung rechtmäßig ist. Die Eingabe besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist im Rahmen der bestimmungsgemäßen Nutzung der Software nicht vorgesehen.

(1) Verschwiegenheitsverpflichtung

Der Auftragsverarbeiter verpflichtet sich, alle ihm im Rahmen der Auftragsverarbeitung zur Kenntnis gelangten personenbezogenen Daten und sonstigen vertraulichen Informationen streng vertraulich zu behandeln.

(2) Belehrung

Der Auftragsverarbeiter stellt sicher, dass die mit der Verarbeitung befassten Personen mit den einschlägigen datenschutzrechtlichen Bestimmungen vertraut gemacht und in Bezug auf das Datengeheimnis (§ 6 DSG iVm Art. 28 Abs. 3 lit. b DSGVO) belehrt worden sind.

(3) Fortgeltung

Die Verschwiegenheitsverpflichtung besteht auch nach Beendigung dieser AVV fort.

(1) Genehmigung weiterer Auftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 1 DSGVO) zur Heranziehung weiterer Auftragsverarbeiter. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Die bei Annahme dieser AVV eingesetzten Sub-Auftragsverarbeiter sind in Anlage 3 dieser AVV namentlich aufgeführt.

(2) Information über Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter mit einer Vorlauffrist von mindestens 30 Kalendertagen. Die Information erfolgt per E-Mail an die im SaaS-Konto hinterlegte E-Mail-Adresse der Administrator:in.

(3) Widerspruchsrecht

Der Verantwortliche kann der Beauftragung des neuen oder geänderten Sub-Auftragsverarbeiters innerhalb von 14 Kalendertagen aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Änderung als genehmigt.

(4) Folgen eines Widerspruchs

Im Falle eines berechtigten Widerspruchs ist der Auftragsverarbeiter berechtigt, dem Verantwortlichen eine alternative Lösung anzubieten oder das Vertragsverhältnis mit einer Frist von 30 Kalendertagen zum Monatsende ordentlich zu kündigen. Bereits vorausbezahlte Beträge werden anteilig zurückerstattet.

(5) Vertragliche Verpflichtungen

Der Auftragsverarbeiter erlegt jedem von ihm beauftragten Sub-Auftragsverarbeiter im Wege eines Vertrags dieselben datenschutzrechtlichen Pflichten auf, die in dieser AVV festgelegt sind. Bei Anbietern standardisierter Cloud-Dienste genügt deren Auftragsverarbeitungsvertrag (Data Processing Addendum), sofern er ein gleichwertiges Schutzniveau gewährleistet.

(6) Drittlandtransfers durch Sub-Auftragsverarbeiter

Soweit Sub-Auftragsverarbeiter personenbezogene Daten in einem Drittland verarbeiten, stellt der Auftragsverarbeiter sicher, dass geeignete Garantien gemäß Art. 44 ff. DSGVO vorliegen, insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) oder Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 (Art. 46 DSGVO). Die jeweilige Garantie ist in Anlage 3 ausgewiesen.

(7) Haftung

Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Sub-Auftragsverarbeiters.

(8) Keine Auftragsverarbeitung

Nicht als Sub-Auftragsverarbeiter gelten Dienstleistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung in Anspruch nimmt, ohne dass diese personenbezogene Daten des Verantwortlichen verarbeiten, sowie Anbieter, die als eigenständig Verantwortliche tätig werden (insbesondere Stripe Payments Europe Ltd. im Rahmen der Zahlungsabwicklung).

(9) Weitere Unterauftragnehmer der Sub-Auftragsverarbeiter

Die Informationspflicht nach Abs. 2 bezieht sich auf die vom Auftragsverarbeiter unmittelbar beauftragten Sub-Auftragsverarbeiter. Deren weitere Unterauftragnehmer (z. B. Amazon Web Services als Infrastrukturanbieter von Supabase und Resend) ergeben sich aus den von den jeweiligen Anbietern veröffentlichten Listen; der Auftragsverarbeiter stellt dem Verantwortlichen diese auf Anfrage zur Verfügung.

(10) Ersetzung in dringenden Fällen

Ist die sofortige Ersetzung eines Sub-Auftragsverarbeiters zur Aufrechterhaltung des Betriebs oder aus Gründen der Datensicherheit erforderlich (z. B. Ausfall, Insolvenz oder Sicherheitsvorfall beim bisherigen Anbieter), kann der Auftragsverarbeiter die Ersetzung abweichend von Abs. 2 sofort vornehmen. Er informiert den Verantwortlichen in diesem Fall unverzüglich nachträglich; das Widerspruchsrecht nach Abs. 3 und 4 bleibt unberührt und beginnt mit Zugang dieser Information.

(1) Nachweispflicht

Der Auftragsverarbeiter weist die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten dem Verantwortlichen auf Anforderung in geeigneter Weise nach.

(2) Form der Überprüfung

Überprüfungen erfolgen primär durch: Vorlage schriftlicher Erklärungen zu den getroffenen technischen und organisatorischen Maßnahmen; Vorlage relevanter Zertifikate oder Prüfberichte der Sub-Auftragsverarbeiter; Vorlage von Auszügen aus dem Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO; schriftliche Beantwortung eines Fragenkatalogs innerhalb von 30 Kalendertagen.

(3) Überprüfungen vor Ort

Da der Auftragsverarbeiter seine Tätigkeit ausschließlich im Homeoffice erbringt, erfolgen Überprüfungen vorrangig durch Nachweise gemäß Abs. 2 oder per Videokonferenz. Eine Überprüfung vor Ort findet nur statt, soweit diese Formen nicht ausreichen; sie ist mit einer Vorlaufzeit von mindestens zwei (2) Wochen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und beschränkt auf die dienstlich genutzten Räumlichkeiten durchzuführen. Vor-Ort-Überprüfungen sind auf eine (1) pro Kalenderjahr beschränkt; nach einer Verletzung des Schutzes personenbezogener Daten oder auf behördliche Anordnung ist eine anlassbezogene Überprüfung jederzeit zulässig.

(4) Prüfung durch Dritte

Der Verantwortliche kann Überprüfungen auch durch einen von ihm beauftragten Dritten durchführen lassen, sofern dieser zur Vertraulichkeit verpflichtet ist und nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht.

(5) Wahrung von Geschäftsgeheimnissen

Bei Überprüfungen sind die Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie die Vertraulichkeit der Daten anderer Kund:innen zu wahren. Einsicht in Daten anderer Verantwortlicher wird nicht gewährt.

(6) Kosten

Soweit die Überprüfung über die Vorlage standardmäßig vorhandener Unterlagen hinausgeht, ist der Auftragsverarbeiter berechtigt, hierfür einen angemessenen Aufwand in Rechnung zu stellen, sofern der Anlass nicht durch ein Verschulden des Auftragsverarbeiters begründet ist. Eine Überprüfung pro Kalenderjahr ist kostenfrei.

(1) Meldepflicht und Zustellweg

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung erfolgt per E-Mail an die im SaaS-Konto hinterlegte E-Mail-Adresse der Administrator:in.

(2) Inhalt der Meldung

Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; den Zeitpunkt des Vorfalls und der Kenntniserlangung; Name und Kontaktdaten der Anlaufstelle für weitere Informationen; eine Beschreibung der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und gegebenenfalls zur Abmilderung möglicher nachteiliger Auswirkungen.

(3) Schrittweise Meldung

Soweit nicht alle Angaben gleichzeitig vorliegen, erfolgt eine Erstmeldung mit den verfügbaren Angaben; fehlende Angaben werden unverzüglich nachgereicht, sobald sie vorliegen.

(4) Unterstützung

Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Eindämmung möglicher nachteiliger Folgen und unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 33 und 34 DSGVO.

(5) Meldungen an Behörden und Betroffene

Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt ausschließlich der Verantwortliche vor. Der Auftragsverarbeiter wird hierzu nur auf dokumentierte Weisung des Verantwortlichen tätig.

(1) Wahlrecht des Verantwortlichen

Nach Beendigung des Hauptvertrags hat der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen entweder zurückzugeben oder zu löschen sowie vorhandene Kopien zu vernichten, sofern nicht eine Pflicht zur Speicherung nach dem Recht der Union oder der Mitgliedstaaten besteht.

(2) Datenexport

Während der Vertragslaufzeit und für einen Zeitraum von 30 Kalendertagen nach Beendigung des Hauptvertrags hat der Verantwortliche die Möglichkeit, seine Daten über die in der Software bereitgestellten Exportfunktionen (Einstellungen → Datenexport: CSV; Rechnungen und Gästeblätter zusätzlich einzeln als PDF) selbständig zu sichern. Nach Vertragsende weist der Auftragsverarbeiter den Verantwortlichen vor der Löschung per E-Mail an die im SaaS-Konto hinterlegte E-Mail-Adresse der Administrator:in auf die Exportmöglichkeit und den Ablauf der Frist nach Abs. 3 hin.

(3) Löschung

Sofern der Verantwortliche nicht innerhalb von 30 Kalendertagen nach Beendigung ausdrücklich die Rückgabe verlangt, werden sämtliche personenbezogenen Daten aus den produktiven Systemen gelöscht. Backups werden im Rahmen des regulären Backup-Zyklus überschrieben, spätestens innerhalb von 90 Kalendertagen.

(4) Gesetzliche Aufbewahrungspflichten

Aufbewahrungspflichten hinsichtlich der in der Software erstellten Rechnungen und Gästeblätter (insbesondere § 132 BAO, § 10 Meldegesetz) treffen den Verantwortlichen. Er hat die Daten vor Ablauf der Frist nach Abs. 3 über die Exportfunktionen zu sichern. Eigene Aufbewahrungspflichten des Auftragsverarbeiters bezüglich der Vertrags- und Abrechnungsdaten des Verantwortlichen (SaaS-Abonnement) bleiben unberührt; diese Daten sind nicht Gegenstand dieser AVV.

(1) Grundsatz

Die Verarbeitung personenbezogener Daten findet grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt (Anwendungsserver bei netcup in Wien, Datenbank bei Supabase in Frankfurt am Main, Backups bei Hetzner in Falkenstein, E-Mail-Versand aus Irland). Eine Verarbeitung in der Schweiz (Proton AG) erfolgt auf Grundlage des Angemessenheitsbeschlusses. Verarbeitungen außerhalb des EWR (insbesondere Cloudflare als weltweites Netzwerk für DNS, Proxy und DDoS-Schutz sowie Zugriffe aus den USA) sind in Anlage 3 ausgewiesen.

(2) Zulässige Drittlandtransfers und Garantien

Eine Verarbeitung in einem Drittland findet nur statt, sofern die besonderen Voraussetzungen der Art. 44 ff. DSGVO vorliegen. Der Auftragsverarbeiter stützt sich auf Angemessenheitsbeschlüsse der Europäischen Kommission (Art. 45 DSGVO; insbesondere für die Schweiz sowie das EU-US Data Privacy Framework für dort zertifizierte Empfänger) oder auf Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 (Art. 46 DSGVO), jeweils ergänzt um erforderliche zusätzliche Maßnahmen.

(3) Ersuchen von Behörden und Gerichten

Erhält der Auftragsverarbeiter ein Ersuchen einer Behörde oder eines Gerichts auf Herausgabe von oder Zugang zu personenbezogenen Daten des Verantwortlichen, informiert er den Verantwortlichen unverzüglich, soweit dies rechtlich zulässig ist. Er erteilt keine Auskunft, ohne den Verantwortlichen zuvor informiert zu haben, es sei denn, dies ist rechtlich untersagt.

(1) Haftung im Außenverhältnis

Im Außenverhältnis gegenüber betroffenen Personen haften Verantwortlicher und Auftragsverarbeiter nach den Maßgaben des Art. 82 DSGVO.

(2) Innenverhältnis – Haftungsbegrenzung der Höhe nach

Im Innenverhältnis gilt die Haftungsregelung des § 11 AGB: Bei leichter Fahrlässigkeit ist die Haftung des Auftragsverarbeiters der Höhe nach auf den vorhersehbaren, vertragstypischen Schaden begrenzt, höchstens jedoch auf die vom Verantwortlichen in den letzten 12 Monaten vor Schadenseintritt entrichteten Netto-Abonnementgebühren. Eine Haftung für entgangenen Gewinn, mittelbare Schäden und Folgeschäden ist bei leichter Fahrlässigkeit ausgeschlossen.

(3) Ausnahmen

Die Haftungsbegrenzung gilt nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit; für Schäden aus Vorsatz oder grober Fahrlässigkeit; sowie soweit eine Haftung gesetzlich nicht abdingbar ist.

(1) Form

Änderungen und Ergänzungen dieser AVV bedürfen der Textform.

(2) Vorrang der AVV

Im Falle eines Widerspruchs zwischen Bestimmungen dieser AVV und Bestimmungen des Hauptvertrags gehen in datenschutzrechtlichen Fragen die Bestimmungen dieser AVV vor.

(3) Salvatorische Klausel

Sollten einzelne Bestimmungen dieser AVV ganz oder teilweise unwirksam sein, wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt.

(4) Anwendbares Recht und Gerichtsstand

Diese AVV unterliegt dem Recht der Republik Österreich. Ausschließlicher Gerichtsstand ist das sachlich zuständige Gericht am Sitz des Auftragsverarbeiters (Villach, Österreich), sofern der Verantwortliche Unternehmer im Sinne des § 1 UGB ist. Zwingende Verbrauchergerichtsstände bleiben unberührt.

(5) Neue Fassungen

Änderungen der Sub-Auftragsverarbeiter erfolgen nach § 6. Sonstige wesentliche Änderungen dieser AVV werden dem Verantwortlichen im Kundenkonto zur erneuten Annahme vorgelegt; bis zur Annahme gilt die zuletzt angenommene Fassung fort.