gemäß Art. 28 Abs. 3 DSGVO
Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen dem Kunden, der die Rechnungssoftware Facturo nutzt (nachfolgend „Auftraggeber" genannt), und
Facturo
Alexander Posztos BSc (Einzelunternehmen)
Triesterstraße 488
8055 Seiersberg-Pirka
Österreich
– Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO –
(nachfolgend „Auftragnehmer" genannt)
Hinweis: Dieser AVV ist gemäß den Allgemeinen Geschäftsbedingungen (AGB) Vertragsbestandteil und tritt mit Annahme der AGB durch den Auftraggeber in Kraft. Eine gesonderte Unterzeichnung ist nicht erforderlich.
Der Auftrag umfasst die Bereitstellung der Rechnungssoftware „Facturo" (Software as a Service) durch den Auftragnehmer und ergibt sich aus der Leistungsvereinbarung. Die Dauer des Vertrags entspricht ebenfalls der Laufzeit der jeweiligen zugrundeliegenden Leistungsvereinbarung.
Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret in der Leistungsvereinbarung beschrieben. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich innerhalb der Europäischen Union bzw. des EWR.
Art der Verarbeitung:
Erhebung, Speicherung, Anpassung, Auslesen, Verwendung, Übermittlung, Löschung und Vernichtung.
Zweck der Verarbeitung:
Vereinfachung der Rechnungs- und Angebotserstellung der Kunden mittels spezieller Rechnungssoftware.
Ort der Verarbeitung:
EU/EWR, außerhalb nur nach vorheriger Information und DSGVO-Konformität.
Art der Daten:
Name, Adresse, Kontaktdaten, Vertrags- und Zahlungsdaten, Bestelldaten, Endkundendaten, Rechnungsdaten.
Betroffene:
Kunden, Endkunden, Interessenten, Beschäftigte, Lieferanten, sonstige Ansprechpartner.
Der Auftragnehmer verpflichtet sich, angemessene Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung zu implementieren, einschließlich Zugriffskontrolle, Verschlüsselung, Backup und regelmäßiger Sicherheitsüberprüfungen.
Der Auftragnehmer informiert über die TOMs durch den Anhang dieses Vertrags sowie unter https://facturo.at/datenschutz/.
Der Einsatz von Unterauftragnehmern bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers. Unterauftragnehmer müssen ebenfalls die Anforderungen nach Art. 28 DSGVO erfüllen.
Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Vorgaben nach Vorankündigung beim Auftragnehmer zu prüfen.
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen.
Verarbeitung ausschließlich nach dokumentierter Weisung des Auftraggebers.
Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Nach Vertragsende: Herausgabe oder Löschung der Daten. Dokumentationen werden dabei gesetzeskonform aufbewahrt.
Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DSGVO sowie den AGB des Auftragnehmers.
Jede Änderung dieser Vereinbarung bedarf der Schriftform. Diese Vereinbarung untersteht österreichischem Recht. Für alle Streitigkeiten wird die ausschließliche Zuständigkeit des Gerichts am Sitz des Betreibers vereinbart.
Gemäß Art. 32 DSGVO verpflichtet sich der Auftragnehmer zur Umsetzung folgender Technischer und Organisatorischer Maßnahmen:
Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen (z. B. Zugangskontrollsysteme, Sicherheitsschlösser).
Sicherstellung, dass nur berechtigte Personen Zugriff auf Daten haben (z. B. Rollen- und Rechtekonzepte, Passwortschutz).
Verhinderung der unbefugten Weitergabe von Daten (z. B. Verschlüsselung bei Übertragung, VPN).
Nachvollziehbarkeit, welche Daten wann und von wem eingegeben, verändert oder entfernt wurden (z. B. Protokollierung, Audit-Logs).
Sicherstellung, dass Daten nur gemäß den Weisungen des Auftraggebers verarbeitet werden (z. B. vertragliche Regelungen, Schulungen).
Schutz vor zufälliger oder vorsätzlicher Zerstörung oder Verlust (z. B. Backup-Konzepte, USV-Systeme).
Getrennte Verarbeitung von Daten für unterschiedliche Zwecke (z. B. Mandantentrennung, Datenbanksegmentierung).
Einsatz von Verschlüsselungstechnologien für gespeicherte und übertragene Daten (z. B. AES, TLS).
Regelmäßige Datensicherungen und getestete Wiederherstellungsverfahren zur Sicherstellung der Datenintegrität.
Durchführung von Penetrationstests, Schwachstellenanalysen und Updates zur Sicherstellung der IT-Sicherheit.