Auftragsverarbeitungsvereinbarung
Vereinbarung gemäß Art. 28 DSGVO einschließlich Sicherheitsmaßnahmen und Unterauftragnehmerliste
1. Vertragsparteien und Abschluss
Diese Vereinbarung wird zwischen dem im Nutzungsvertrag bezeichneten Kunden von papierlos.at als Auftraggeber und Mag. Harald Mikula, Rosegger Straße 5, 9220 Velden, Österreich, als Auftragsverarbeiter geschlossen. Kontakt für Weisungen und Datenschutzfragen: office@stb-mikula.at.
Die Vereinbarung wird durch ausdrückliche elektronische Annahme oder gesonderte Vereinbarung Bestandteil des Nutzungsvertrags. Die bloße Veröffentlichung dieses Dokuments bewirkt keinen Vertragsabschluss.
Der Kunde bleibt für seine Verarbeitung verantwortlich. Soweit er selbst im Auftrag anderer Verantwortlicher handelt, stellt er seine Berechtigung zur Weiterbeauftragung sicher; diese Vereinbarung gilt dann entsprechend als Unterauftragsverarbeitungsvereinbarung.
Verarbeitungen für eigene Zwecke des Anbieters, insbesondere Vertragsverwaltung und Abrechnung, richten sich nach der Datenschutzerklärung und sind nicht Gegenstand dieser Auftragsverarbeitung.
2. Gegenstand, Zweck und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung der vereinbarten Funktionen von papierlos.at: Entgegennahme, Speicherung und maschinelle Auslesung von Belegen, Zuordnung zu Bankbewegungen, Nutzerverwaltung, Bereitstellung von Exporten und Freigaben sowie erforderlicher technischer Betrieb, Support und Datensicherung. Die Verarbeitung umfasst insbesondere Erfassen, Ordnen, Auslesen, Speichern, Übermitteln an angewiesene Empfänger, Sichern, Wiederherstellen und Löschen.
Die Vereinbarung gilt für die Dauer der Plattformnutzung und darüber hinaus, solange noch personenbezogene Daten aus dem Auftrag verwahrt werden.
3. Daten und betroffene Personen
Verarbeitet werden Benutzer- und Kontaktdaten, Berechtigungen, Rechnungen und sonstige Belege einschließlich ihrer Inhalte und ausgelesenen Angaben, Bankverbindungen und Kontobewegungen, Zahlungsdaten, Kommentare, Kommunikationsdaten sowie erforderliche Nutzungs-, Sicherheits- und Fehlerprotokolle.
Betroffen sind Nutzer des Kunden, dessen Kunden, Lieferanten, Beschäftigte, Ansprechpartner, Zahlungsbeteiligte und sonstige in den Unterlagen genannte Personen. Dokumente und Kontobewegungen können besondere Kategorien personenbezogener Daten enthalten, insbesondere Gesundheitsdaten und Angaben zu Patienten. Der Kunde stellt die erforderliche Rechtsgrundlage nach Art. 6 und gegebenenfalls Art. 9 DSGVO sicher. Solche Daten werden ausschließlich für die vereinbarten Funktionen auf Weisung verarbeitet und ihrem Risiko entsprechend geschützt.
4. Weisungen und Vertraulichkeit
Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Kunden, auch hinsichtlich Übermittlungen an Drittländer oder internationale Organisationen. Die vereinbarten Plattformfunktionen und die vom Kunden veranlassten Vorgänge bilden die ursprünglichen Weisungen. Weitere Weisungen können per E-Mail erfolgen. Die Nutzung der Auftragsdaten für eigene Zwecke, insbesondere Werbung oder eigenes Modelltraining, ist ausgeschlossen.
Ist eine abweichende Verarbeitung gesetzlich vorgeschrieben, wird der Kunde vorher informiert, soweit das betreffende Recht eine Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Auf eine nach Auffassung des Auftragsverarbeiters datenschutzrechtswidrige Weisung wird unverzüglich hingewiesen; ihre Ausführung wird bis zur rechtmäßigen Klärung ausgesetzt.
Befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verschwiegenheitspflicht. Zugriffe erfolgen nur im erforderlichen Umfang, insbesondere für Betrieb, Fehlerbehebung und Support.
5. Sicherheit der Verarbeitung
Der Auftragsverarbeiter gewährleistet geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Vertragsbestandteil sind insbesondere:
- Verschlüsselte Übertragung über HTTPS/TLS; geschützte Mailverbindungen sowie SFTP über SSH beziehungsweise FTPS für die jeweiligen Dateiübertragungen.
- Abgesicherte Administrationszugänge, beschränkte Zugriffsrechte und getrennte Kundenberechtigungen.
- Firewall und regelmäßige Sicherheitsupdates.
- Tägliche Sicherung von Datenbank und Originalbelegen auf dem vServer und zusätzlich auf einem eigenen NAS von Basic4Web in Österreich.
- Verschlüsselte Backups und verschlüsselte Übertragung zum NAS; Aufbewahrung der Sicherungen für 14 Tage.
- Schutz der Systeme und des NAS gegen unberechtigte physische und elektronische Zugriffe.
- Gewährleistung der erforderlichen Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie zeitnaher Wiederherstellung; regelmäßige Wirksamkeitsprüfung einschließlich Wiederherstellungstests.
Die Maßnahmen werden erforderlichenfalls angepasst, ohne das vereinbarte Schutzniveau zu unterschreiten.
6. Unterauftragnehmer und Verarbeitungsorte
Der Kunde genehmigt die folgende Unterauftragnehmerkette:
| Dienstleister | Leistung | Verarbeitungsorte |
|---|---|---|
| Ing. Dipl.-Ing. Thomas Kohlweiss / Basic4Web St. Margarethen 24 9071 Köttmannsdorf, Österreich | Hosting, Administration, Updates, Wartung, Support, E-Mail-Betrieb und Datensicherung | Server und Mailserver in Deutschland; Administration und eigenes Backup-NAS in Österreich |
| IONOS SE Elgendorfer Straße 57 56410 Montabaur, Deutschland | vServer- und Mailserver-Infrastruktur; weiterer Unterauftragnehmer von Basic4Web | Deutschland |
Die Unterauftragnehmer werden vertraglich an entsprechende Datenschutzpflichten gebunden. Der Auftragsverarbeiter bleibt dem Kunden gegenüber für die Einhaltung ihrer Pflichten verantwortlich.
Weitere Unterauftragnehmer und der Austausch benannter Unterauftragnehmer bedürfen der vorherigen dokumentierten Genehmigung des Kunden. Beabsichtigte Änderungen werden vorab mitgeteilt. Verarbeitungen außerhalb des EWR sind durch diese Vereinbarung nicht genehmigt; hierfür sind eine gesonderte dokumentierte Vereinbarung und die Erfüllung der gesetzlichen Voraussetzungen erforderlich.
7. Unterstützung und Datenschutzvorfälle
Der Auftragsverarbeiter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen mit geeigneten Maßnahmen bei Betroffenenanfragen und seinen Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde.
Datenschutzverletzungen werden dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden, nach Bekanntwerden mit den verfügbaren Informationen zu Art, Umfang, möglichen Folgen und Gegenmaßnahmen gemeldet, damit dieser die gesetzliche Meldefrist von 72 Stunden gemäß Art. 33 DSGVO einhalten kann; fehlende Angaben werden nachgereicht. Direkt eingehende Betroffenenanfragen werden unverzüglich an den Kunden weitergeleitet.
8. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen bereit und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Dies umfasst erforderliche Nachweise und Kontrollen innerhalb der Unterauftragnehmerkette.
9. Rückgabe und Löschung
Der Kunde kann die Rückgabe seiner Auftragsdaten in einem gängigen, maschinenlesbaren Format verlangen; die Bereitstellung kann über den Support erfolgen. Berechtigte Löschungsweisungen werden auch dann umgesetzt, wenn die Selbstbedienungsfunktion eine Löschung bereits exportierter Belege nicht zulässt.
Die Kontolöschung löst die Löschung der zugehörigen produktiven Beleg- und Bankdaten sowie erzeugter Archive und die Sperrung bestehender Downloadfreigaben aus. Ein benötigter Datenexport ist vor Kontolöschung anzufordern. Bereitgestellte Downloadarchive werden nach einem Tag gelöscht; danach ist über die zugehörigen Freigabelinks kein Zugriff mehr möglich.
Nach Ende der Leistungen werden die Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht. Nach Rückgabe werden verbleibende Kopien gelöscht, soweit keine gesetzliche Speicherungspflicht besteht.
Gelöschte Daten können in geschützten Sicherungen noch bis zu 14 Tage fortbestehen und werden anschließend gelöscht oder überschrieben. Sie werden bis dahin nur für erforderliche Wiederherstellungen verwendet; bestehende Löschungsweisungen werden nach einer Wiederherstellung erneut umgesetzt.
App-Protokolle, Beleg-E-Mails, Support-E-Mails und Mailserver-Protokolle werden, soweit für ihren jeweiligen Zweck erforderlich, längstens sechs Monate aufbewahrt und anschließend gelöscht. Frühere erforderliche Löschungen bleiben unberührt. Gesetzlich aufzubewahrende Daten werden ausschließlich für den betreffenden gesetzlichen Zweck verarbeitet.
10. Schlussbestimmungen
Es gilt österreichisches Recht unter Beachtung der unmittelbar anwendbaren DSGVO und des österreichischen Datenschutzgesetzes. Gesetzlich zwingende Rechte und Zuständigkeiten bleiben unberührt. Bei Widersprüchen zu anderen Vereinbarungen gehen die Datenschutzregelungen dieser Vereinbarung vor. Änderungen sind zu dokumentieren und wirksam zu vereinbaren; elektronische Form ist zulässig. Bereits angenommene Fassungen werden durch die bloße Veröffentlichung einer neuen Version nicht ersetzt.