Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen dem Kunden, der die Rechnungssoftware Facturo nutzt (nachfolgend „Auftraggeber" genannt), und

– Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO –
(nachfolgend „Auftragnehmer" genannt)

Hinweis: Dieser AVV ist gemäß den Allgemeinen Geschäftsbedingungen (AGB) Vertragsbestandteil und tritt mit Annahme der AGB durch den Auftraggeber in Kraft. Eine gesonderte Unterzeichnung ist nicht erforderlich.

§ 1 Gegenstand und Dauer der Auftragsverarbeitung

Der Auftrag umfasst die Bereitstellung der Rechnungssoftware „Facturo" (Software as a Service) durch den Auftragnehmer und ergibt sich aus der Leistungsvereinbarung. Die Dauer des Vertrags entspricht ebenfalls der Laufzeit der jeweiligen zugrundeliegenden Leistungsvereinbarung.

§ 2 Konkretisierung des Auftragsinhalts

Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber ergeben sich aus der Nutzungsvereinbarung (AGB) und diesem Vertrag. Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des EWR. Eine Verarbeitung in Drittländern erfolgt nur durch die in § 5 genannten Unterauftragnehmer und nur, sofern die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss wie das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln).

Art der Verarbeitung:

Erhebung, Speicherung, Anpassung, Auslesen, Verwendung, Übermittlung, Löschung und Vernichtung.

Zweck der Verarbeitung:

Vereinfachung der Rechnungs- und Angebotserstellung der Kunden mittels spezieller Rechnungssoftware.

Ort der Verarbeitung:

Grundsätzlich EU/EWR; Übermittlungen in Drittländer nur im Rahmen der in § 5 genannten Unterauftragsverhältnisse und gemäß Art. 44 ff. DSGVO.

Art der Daten:

Name, Adresse, Kontaktdaten, Vertrags- und Zahlungsdaten, Bestelldaten, Endkundendaten, Rechnungsdaten.

Betroffene:

Kunden, Endkunden, Interessenten, Beschäftigte, Lieferanten, sonstige Ansprechpartner.

§ 3 Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern der Auftragnehmer nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
• Unverzügliche Information des Auftraggebers, wenn der Auftragnehmer der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.
• Sicherstellung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO).
• Verpflichtung zur Vertraulichkeit für alle zur Verarbeitung befugten Personen (Art. 28 Abs. 3 lit. b DSGVO).
• Unterstützung des Auftraggebers mit geeigneten technischen und organisatorischen Maßnahmen bei der Wahrnehmung von Betroffenenrechten (Kapitel III DSGVO).
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO), damit dieser seine Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO erfüllen kann; die Meldung enthält, soweit verfügbar, zumindest die Angaben nach Art. 33 Abs. 3 DSGVO.
• Nach Abschluss der Verarbeitungsleistungen, nach Wahl des Auftraggebers, Löschung oder Rückgabe aller personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO, siehe § 9).

§ 4 Technische und organisatorische Maßnahmen

Der Auftragnehmer verpflichtet sich, angemessene Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung zu implementieren, einschließlich Zugriffskontrolle, Verschlüsselung, Backup und regelmäßiger Sicherheitsüberprüfungen.

Der Auftragnehmer informiert über die TOMs durch den Anhang dieses Vertrags sowie unter https://facturo.at/datenschutz/.

§ 5 Unterauftragsverhältnisse

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO, für die Verarbeitung Unterauftragnehmer heranzuziehen. Der Auftragnehmer verpflichtet jeden Unterauftragnehmer auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten verantwortlich.

Derzeit werden folgende Unterauftragnehmer eingesetzt:

Der Auftragnehmer informiert den Auftraggeber vorab über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragnehmern), idR per E-Mail. Der Auftraggeber kann einer Änderung aus wichtigem datenschutzrechtlichem Grund binnen 14 Tagen widersprechen. Im Fall eines Widerspruchs ist jede Partei berechtigt, die Nutzungsvereinbarung zum Ende der laufenden Abrechnungsperiode zu beenden.

§ 6 Kontrollrechte des Auftraggebers

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden.

Prüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Geschäftsbetriebs des Auftragnehmers.

§ 7 Unterstützungs- und Mitteilungspflichten des Auftragnehmers

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen.

§ 8 Weisungsbefugnis des Auftraggebers

Verarbeitung ausschließlich nach dokumentierter Weisung des Auftraggebers.

§ 9 Löschung und Rückgabe von Daten

Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

Nach Vertragsende: Herausgabe oder Löschung der Daten. Dokumentationen werden dabei gesetzeskonform aufbewahrt.

§ 10 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DSGVO sowie den AGB des Auftragnehmers.

§ 11 Sonstige Bestimmungen

Änderungen dieser Vereinbarung bedürfen zumindest der Textform; dies gilt auch für die Änderung dieses Textformerfordernisses. Für die Hinzuziehung oder Ersetzung von Unterauftragnehmern gilt das Verfahren nach § 5. Diese Vereinbarung untersteht österreichischem Recht. Für alle Streitigkeiten wird die ausschließliche Zuständigkeit des Gerichts am Sitz des Betreibers vereinbart.