Auftragsverarbeitungsvertrag

§ 1 Vertragsparteien und Gegenstand

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (nachfolgend "Verantwortlicher"), der über die Zwecke und Mittel der Verarbeitung der von ihm in den Dienst eingegebenen personenbezogenen Daten entscheidet.

(2) Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Christoph Mühlböck, Am Kreuzberg 20, 4724 Neukirchen am Walde, Österreich (nachfolgend "Auftragsverarbeiter"), als Betreiber der Plattform BannerTracker.

(3) Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung des Dienstes durch den Auftragsverarbeiter durchführen lässt.

(4) Für die Verarbeitung personenbezogener Daten des Kunden selbst (Bestandsdaten, Abrechnungsdaten, Zugangsdaten) ist der Auftragsverarbeiter eigener Verantwortlicher. Insoweit gilt die Datenschutzerklärung, nicht dieser AVV.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software-as-a-Service-Plattform BannerTracker zur Verwaltung von Werbematerialien, Sponsoring-Assets, Verträgen, Veranstaltungen und der zugehörigen Logistik.

(2) Die Verarbeitung erfolgt ausschließlich zum Zweck der Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbe-, Analyse- oder Trainingszwecken, findet nicht statt.

(3) Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Plattform, Einschränken, Löschen und Vernichten.

(4) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nicht.

§ 3 Dauer der Verarbeitung

(1) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages gemäß § 7 der AGB.

(2) Der AVV endet automatisch mit Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 13 dieses AVV bestehen darüber hinaus bis zur vollständigen Löschung der Daten fort.

§ 4 Art der Daten und Kategorien betroffener Personen

(1) Verarbeitet werden insbesondere folgende Arten personenbezogener Daten, soweit der Verantwortliche sie eingibt:

• Stammdaten (Name, Anschrift, Funktion, Organisationszugehörigkeit)
• Kontaktdaten (E-Mail-Adresse, Telefonnummer)
• Vertrags- und Sponsoringdaten (Laufzeiten, Leistungen, Konditionen)
• Übergabe- und Logistikdaten (Ausgabe, Rückgabe, Standort, Unterschriften)
• Nutzungs- und Protokolldaten innerhalb des Mandanten (Benutzerkonten, Aktivitäten)
• Bild- und Dokumentdaten, soweit vom Verantwortlichen hochgeladen

(2) Betroffene Kategorien von Personen sind insbesondere:

• Mitarbeiter, Funktionäre und Mitglieder des Verantwortlichen
• Ansprechpartner von Sponsoren, Partnern und Lieferanten
• Teilnehmer und Helfer von Veranstaltungen
• Benutzer, die der Verantwortliche im Dienst anlegt

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist nicht vorgesehen. Gibt der Verantwortliche dennoch solche Daten ein, trägt er dafür die alleinige Verantwortung und hat die erforderlichen zusätzlichen Schutzmaßnahmen eigenständig zu prüfen.

§ 5 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaates zur Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Als dokumentierte Weisung gelten dieser AVV, der Hauptvertrag sowie die Nutzung der Funktionen des Dienstes durch den Verantwortlichen und die von ihm autorisierten Benutzer.

(3) Einzelweisungen, die über den vereinbarten Leistungsumfang hinausgehen, sind in Textform an info@bannertracker.at zu richten. Mehraufwand aus solchen Weisungen kann nach Aufwand verrechnet werden.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter verarbeitet die Daten streng vertraulich und stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit oder dieses Vertrages fort.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung. Der aktuelle Stand umfasst insbesondere:

• Vertraulichkeit: Transportverschlüsselung sämtlicher Verbindungen (TLS/HTTPS), gehashte Passwortspeicherung, Zwei-Faktor-Authentifizierung und WebAuthn/Passkeys, rollenbasierte Zugriffskontrolle, strikte mandantenbezogene Datentrennung auf Datenbank- und Anwendungsebene
• Integrität: Schutz vor Cross-Site-Request-Forgery, Absicherung gegen SQL-Injection durch ausschließlich parametrisierte Abfragen, Eingabevalidierung, Protokollierung sicherheitsrelevanter Vorgänge
• Verfügbarkeit und Belastbarkeit: regelmäßige automatisierte Backups, Betrieb in einem zertifizierten Rechenzentrum in Deutschland, Firewall- und Angriffserkennungssysteme
• Zutrittskontrolle: physische Sicherung der Serverstandorte durch den Hosting-Dienstleister (Zutrittskontrollsysteme, Videoüberwachung, unterbrechungsfreie Stromversorgung)
• Verfahren zur Überprüfung: regelmäßige Aktualisierung der eingesetzten Software, Überprüfung der Berechtigungen, Trennung von Test- und Produktivumgebung

(2) Der Auftragsverarbeiter ist berechtigt, die Maßnahmen an den technischen Fortschritt anzupassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.

(2) Zum Zeitpunkt des Vertragsschlusses werden folgende Unterauftragsverarbeiter eingesetzt:

• Hosting und E-Mail-Versand: ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Rechenzentren in Deutschland. Ein Auftragsverarbeitungsvertrag liegt vor.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Im Fall eines berechtigten Einspruchs ist jede Partei berechtigt, den Hauptvertrag außerordentlich zu kündigen.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem AVV entsprechen.

(5) Nebenleistungen wie Telekommunikation, Reinigung oder Wartung ohne Bezug zur Verarbeitung personenbezogener Daten gelten nicht als Unterauftragsverarbeitung.

§ 9 Rechte betroffener Personen

(1) Für die Wahrung der Rechte betroffener Personen ist allein der Verantwortliche zuständig.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Der Dienst stellt hierfür Export-, Bearbeitungs- und Löschfunktionen bereit.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht eigenständig.

§ 10 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde.

(2) Über die vertraglich geschuldete Unterstützung hinausgehender Aufwand kann nach Aufwand verrechnet werden.

§ 11 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden ab Kenntnis, in Textform.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der betroffenen Kategorien und der ungefähren Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

(3) Die Meldung an die Aufsichtsbehörde gemäß Art. 33 DSGVO und die Benachrichtigung betroffener Personen gemäß Art. 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn dabei angemessen.

§ 12 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Verantwortliche ist berechtigt, sich von der Einhaltung dieses AVV zu überzeugen. Kontrollen erfolgen nach angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal jährlich, sofern kein besonderer Anlass vorliegt.

(3) Der Nachweis kann auch durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen sowie durch eine Selbstauskunft des Auftragsverarbeiters erbracht werden.

(4) Aufwand für Kontrollen, die über die gesetzlich vorgesehene Mitwirkung hinausgehen, kann nach Aufwand verrechnet werden.

§ 13 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrages kann der Verantwortliche seine Daten innerhalb von 30 Tagen über die Exportfunktionen des Dienstes selbst herunterladen (§ 7 Abs. 4 der AGB).

(2) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten unwiderruflich, einschließlich vorhandener Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(3) Backups werden im Rahmen der regulären Rotationszyklen überschrieben. Bis dahin bleiben die Daten in Backups gesperrt und werden nicht mehr aktiv verarbeitet.

(4) Die Löschung wird auf Anforderung in Textform bestätigt.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(4) Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Gerichtsstand ist das sachlich zuständige Gericht am Sitz des Auftragsverarbeiters.