Auftragsverarbeitungsvertrag

Dieses Dokument ist eine Vertragsvorlage für die Verarbeitung personenbezogener Daten im Auftrag eines Kunden. Es wird erst wirksam, wenn der Kunde und Benjamin Mader es in Textform vereinbaren. Die bloße Registrierung, Rollenwahl oder Einladung im Dienst ersetzt keine Vereinbarung dieses Vertrags.

Der Vertrag ist erforderlich, wenn der Kunde bestimmt, welche personenbezogenen Daten seiner Beschäftigten oder anderer Personen in den Dienst gelangen und der Anbieter diese Daten für den Kunden verarbeitet. Für Kontodaten, Sicherheit, Missbrauchsabwehr und die eigene Kommunikation des Anbieters ist der Anbieter selbst Verantwortlicher. Die Einzelheiten stehen in der Datenschutzerklärung.

Verantwortlicher ist der Kunde, der diese Vorlage mit seinem Namen, seiner Anschrift und einer zuständigen Kontaktperson annimmt. Auftragsverarbeiter ist Benjamin Mader, Josef-Schraffl-Straße 5, 6020 Innsbruck, Österreich, erreichbar unter info@outforge.at.

Der Verantwortliche entscheidet über Zweck und Umfang der Daten, die er über den Dienst verarbeitet. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich nach diesem Vertrag und den dokumentierten Weisungen des Verantwortlichen.

Gegenstand ist die Bereitstellung und der Betrieb von NIS2Meter für die Selbstbewertung einer Organisation. Die Verarbeitung beginnt mit der wirksamen Vereinbarung dieses Vertrags und endet mit der Beendigung der Verarbeitungsleistungen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Der Auftragsverarbeiter erhebt, speichert, ordnet, sichert, wiederherstellt, löscht und stellt Daten im Dienst bereit. Er verarbeitet sie nur, um die Selbstbewertung zu ermöglichen, den Dienst sicher zu betreiben, Fehler zu beheben und dokumentierte Weisungen auszuführen.

Daten besonderer Kategorien nach Art 9 DSGVO und Daten nach Art 10 DSGVO sind nicht für den Dienst vorgesehen. Der Verantwortliche darf sie nicht eingeben, außer die Parteien vereinbaren vorab in Textform die nötigen Schutzmaßnahmen und eine passende Rechtsgrundlage.

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Die vertragsgemäße Nutzung der Funktionen und Einstellungen des Dienstes gilt als dokumentierte Weisung. Weitergehende Weisungen sind in Textform an info@outforge.at zu senden.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung bis zur Klärung aussetzen. Gesetzliche Verarbeitungspflichten bleiben unberührt. Soweit zulässig, informiert er den Verantwortlichen vor einer gesetzlich verpflichteten Verarbeitung.

Der Auftragsverarbeiter stellt sicher, dass Personen mit Zugriff auf personenbezogene Daten zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht gilt auch nach Ende ihrer Tätigkeit.

Der Auftragsverarbeiter trifft Maßnahmen nach Art 32 DSGVO, die dem Risiko der Verarbeitung angemessen sind. Dazu gehören insbesondere Zugangsbeschränkungen, Verschlüsselung bei der Übertragung, Schutz von Zugangsdaten, getrennte Datenbestände für öffentliche Statistik und Produktivdaten sowie Verfahren für Sicherheitsvorfälle.

Der Auftragsverarbeiter darf Maßnahmen anpassen, wenn das vereinbarte Schutzniveau erhalten bleibt. Auf begründete Anfrage stellt er dem Verantwortlichen Informationen über die relevanten Maßnahmen zur Verfügung. Sicherheitsdetails werden nur soweit mitgeteilt, wie dies den Schutz anderer Kunden und des Dienstes nicht gefährdet.

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für Unterauftragsverarbeiter, die vor Beginn der Verarbeitung nach Name, Sitz, Leistung, Verarbeitungsort und Rolle mitgeteilt wurden. Der Verantwortliche kann aus wichtigem datenschutzbezogenem Grund widersprechen.

Derzeit sind für den Betrieb der Anwendung Hetzner Online GmbH in Deutschland und für den Versand von Systemnachrichten Amazon SES in der Region Frankfurt vorgesehen. Sicherungen werden in Österreich aufbewahrt. Der Anbieter teilt den konkret eingesetzten Sicherungsdienst vor dessen Zugriff auf Daten des Verantwortlichen mit.

Der Auftragsverarbeiter informiert den Verantwortlichen vor einer beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Bei dringenden Sicherheitsmaßnahmen informiert er unverzüglich nach der Änderung. Er verpflichtet Unterauftragsverarbeiter vertraglich auf Pflichten, die diesen Vertrag inhaltlich entsprechen, und bleibt gegenüber dem Verantwortlichen verantwortlich.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Anfragen betroffener Personen sowie bei Pflichten nach Art 32 bis 36 DSGVO. Eine betroffene Person, die sich unmittelbar an den Auftragsverarbeiter wendet, wird an den Verantwortlichen verwiesen, soweit die Anfrage die Verarbeitung im Auftrag betrifft.

Der Dienst bietet derzeit einen PDF Export einzelner Auswertungen. Er ersetzt keine vollständige Herausgabe aller Daten. Die Parteien vereinbaren bei Bedarf Umfang, Format und Aufwand einer weiteren Unterstützung in Textform.

Der Auftragsverarbeiter informiert den Verantwortlichen ohne unangemessene Verzögerung über eine Verletzung des Schutzes personenbezogener Daten, die die Verarbeitung im Auftrag betrifft. Die Information enthält die verfügbaren Angaben zur Art des Vorfalls, zu betroffenen Daten und Personen, zu wahrscheinlichen Folgen und zu ergriffenen oder geplanten Maßnahmen. Fehlende Angaben werden nachgereicht.

Nach Ende der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die konkrete Übergabeform und der Umfang werden vor Ende der Verarbeitung in Textform festgelegt.

Eine Selbstbedienungsfunktion bietet derzeit nur einen PDF Export einzelner Auswertungen. Die bestätigte Löschung eines Unternehmens entfernt Daten aus dem aktiven Datenbestand. Für Sicherungen besteht derzeit keine zugesagte Wiederherstellung gelöschter Daten. Der Verantwortliche sichert erforderliche Daten deshalb vor einer Löschung und stimmt einen weitergehenden Rückgabeumfang mit dem Auftragsverarbeiter ab.

Der Auftragsverarbeiter stellt die Informationen bereit, die erforderlich sind, um die Einhaltung dieses Vertrags nachzuweisen. Der Verantwortliche darf nach angemessener Vorankündigung während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen.

Die Überprüfung schützt Daten anderer Kunden und beeinträchtigt den Betrieb nicht unangemessen. Der Verantwortliche trägt die Kosten seines Prüfers. Eine Vergütung des tatsächlichen Aufwands des Auftragsverarbeiters wird vorher abgestimmt. Ein konkreter Anlass kann eine zusätzliche Überprüfung rechtfertigen.

Der Auftragsverarbeiter übermittelt Daten nur in ein Drittland oder erlaubt einen Zugriff aus einem Drittland, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind. Er dokumentiert die passende Grundlage und stellt sie dem Verantwortlichen auf Anfrage zur Verfügung. Der Verantwortliche erhält die Information vor einer beabsichtigten neuen Übermittlung, soweit nicht eine dringende Sicherheitsmaßnahme entgegensteht.

Bei Widersprüchen geht dieser Vertrag für die Verarbeitung im Auftrag den Nutzungsbedingungen vor. Änderungen, die Rechte des Verantwortlichen nach Art 28 DSGVO einschränken, brauchen seine ausdrückliche Zustimmung. Es gilt österreichisches Recht. Zwingende gesetzliche Vorschriften und Zuständigkeiten bleiben unberührt.