Auftragsverarbeitung
Art. 28 DSGVO

VERTRAG ZUR AUFTRAGSVERARBEITUNG NACH ART. 28 DSGVO

abgeschlossen zwischen den folgenden Vertragsparteien

1. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand ist die Erbringung der im jeweiligen Einzelvertrag vereinbarten Leistungen, insbesondere der in Anlage A bezeichneten Tätigkeiten. Art und Zweck der Verarbeitung ergeben sich aus diesen Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

Personenbezogene Daten werden in den Systemen des Verantwortlichen, in den Diensten der Unterauftragsverarbeiter nach Anlage C und auf den vollverschlüsselten Endgeräten des Auftragsverarbeiters verarbeitet. Eine Übermittlung in ein Drittland erfolgt nur an die nach Punkt 7 genehmigten Unterauftragsverarbeiter oder auf dokumentierte Weisung des Verantwortlichen und jeweils nur bei Vorliegen der Voraussetzungen des Kapitels V der DSGVO. Die für den Auftragsverarbeiter tätigen Personen können ortsunabhängig auf diese Daten zugreifen, auch während Aufenthalten außerhalb der Europäischen Union; maßgeblich für den Ort der Speicherung sind die genannten Systeme und Dienste, nicht der Aufenthaltsort der zugreifenden Person.

2. Dauer

Dieser Vertrag beginnt mit der Unterfertigung und endet mit der Beendigung sämtlicher Leistungen, für die personenbezogene Daten verarbeitet werden. Die Pflichten aus den Punkten 5, 9 und 10 bestehen darüber hinaus fort.

Auftragsverarbeitung
Art. 28 DSGVO

3. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen werden in Textform erteilt. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zu dessen Bestätigung aussetzen.

4. Art der Daten und Kategorien betroffener Personen

Die Arten der verarbeiteten personenbezogenen Daten, die Kategorien betroffener Personen sowie die Zwecke der Verarbeitung sind in Anlage A festgelegt. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nur verarbeitet, soweit dies in Anlage A ausdrücklich vorgesehen ist.

5. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über die Beendigung der Tätigkeit hinaus fort. Der Auftragsverarbeiter stellt sicher, dass diese Personen die Daten nur auf Weisung des Verantwortlichen verarbeiten.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage B beschrieben. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind dem Verantwortlichen mitzuteilen.

Auftragsverarbeitung
Art. 28 DSGVO

7. Unterauftragsverarbeiter

Der Auftragsverarbeiter nimmt die Dienste weiterer Auftragsverarbeiter nur mit vorheriger Genehmigung des Verantwortlichen in Textform in Anspruch. Die bei Vertragsabschluss genehmigten Unterauftragsverarbeiter sind in Anlage C aufgeführt. Beabsichtigt der Auftragsverarbeiter die Hinzuziehung eines weiteren oder den Austausch eines bestehenden Unterauftragsverarbeiters, teilt er dies mindestens vier Wochen vorher mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt. Widerspricht er, kann jede Vertragspartei die betroffene Leistung ohne Einhaltung einer Frist beenden.

Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter dieselben Pflichten auf, die ihm aus diesem Vertrag obliegen, und haftet für dessen Verhalten wie für eigenes. Als Unterauftragsverarbeitung gelten nicht Nebenleistungen wie Telekommunikation, Postdienste, Wartung ohne Zugriff auf personenbezogene Daten des Verantwortlichen oder Reinigung.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III der DSGVO sowie bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst. Für Unterstützungsleistungen nach diesem Punkt kann der Auftragsverarbeiter eine Vergütung nach Aufwand verlangen, soweit der Aufwand nicht auf eine Pflichtverletzung des Auftragsverarbeiters zurückgeht.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis. Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Ansprechperson für Rückfragen. Die Frist ist so bemessen, dass der Verantwortliche seine Frist nach Art. 33 DSGVO einhalten kann. Der Auftragsverarbeiter dokumentiert Verletzungen und stellt die Dokumentation auf Verlangen zur Verfügung.

Auftragsverarbeitung
Art. 28 DSGVO

10. Löschung und Rückgabe

Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogene Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Ausgenommen sind ferner Kopien in automatisierten Sicherungssystemen, die nicht mit vertretbarem Aufwand gezielt gelöscht werden können; sie bleiben bis zu ihrer turnusmäßigen Löschung vertraulich und werden nicht wiederhergestellt, außer zur Wiederherstellung des Gesamtsystems. Der Verantwortliche teilt seine Wahl spätestens bei Beendigung mit. Der Auftragsverarbeiter bestätigt die Durchführung auf Verlangen in Textform.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen. Für das Verfahren gilt Punkt 9 der Vereinbarung zur Informationssicherheit bei Projekttätigkeiten, sofern diese abgeschlossen wurde; andernfalls gilt dessen Inhalt sinngemäß.

12. Haftung

Gegenüber betroffenen Personen haften die Vertragsparteien nach Art. 82 DSGVO. Im Verhältnis der Vertragsparteien zueinander gilt für die Haftung Punkt 8 der Allgemeinen Geschäftsbedingungen der secnetic GmbH, sofern diese vereinbart sind. Andernfalls haften die Vertragsparteien einander nur bei Vorsatz und grober Fahrlässigkeit, der Höhe nach begrenzt mit dem Honorar, das die secnetic GmbH in den zwölf Monaten vor dem schädigenden Ereignis von der anderen Vertragspartei vereinnahmt hat, mindestens jedoch mit EUR 5.000. Die Begrenzung gilt nicht bei Vorsatz, bei krass grober Fahrlässigkeit und für Personenschäden.

13. Rangfolge und Schlussbestimmungen

Dieser Vertrag geht in allen datenschutzrechtlichen Fragen der Geheimhaltungsvereinbarung und der Vereinbarung zur Informationssicherheit bei Projekttätigkeiten vor. Ergänzungen und Abänderungen bedürfen der Schriftform, ebenso ein Abgehen von diesem Formerfordernis. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und internationaler Verweisungsnormen. Als ausschließlicher Gerichtsstand wird das für Wien Innere Stadt sachlich zuständige Gericht vereinbart.

Auftragsverarbeitung
Art. 28 DSGVO

ANLAGE A: VERARBEITUNGSTÄTIGKEITEN, DATENARTEN UND BETROFFENE

A.1 Betroffene Leistungen

A.2 Kategorien betroffener Personen

A.3 Arten der personenbezogenen Daten

Besondere Kategorien nach Art. 9 DSGVO

Auftragsverarbeitung
Art. 28 DSGVO

A.4 Zweck der Verarbeitung

A.5 Ort der Verarbeitung

Ein fester Verarbeitungsort wird nicht vereinbart. Die Leistung wird ortsunabhängig erbracht, insbesondere in den Räumlichkeiten des Verantwortlichen, in den Räumlichkeiten der secnetic GmbH und mobil, auch während Aufenthalten außerhalb der Europäischen Union. Wo Daten gespeichert werden, bestimmen die Systeme des Verantwortlichen und die Dienste nach Anlage C, nicht der Aufenthaltsort der zugreifenden Person. Die eingesetzten Geräte sind vollverschlüsselt und gegen unbefugte Einsichtnahme gesichert, siehe Anlage B.

Tätigkeiten in Systemen des Verantwortlichen erfolgen über die dafür überlassenen, personenbezogenen Zugänge und für die Dauer des jeweiligen Projekts. Projektunterlagen und Beschreibungen bearbeitet der Auftragsverarbeiter zusätzlich in eigenen Cloud- und KI-Diensten in Geschäftstarifen, die in Anlage C aufgeführt sind. Zugangsdaten, Schlüssel und Sicherheitsbefunde werden dort nicht gespeichert.

Auftragsverarbeitung
Art. 28 DSGVO

ANLAGE B: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

Maßnahmen des Auftragsverarbeiters nach Art. 32 DSGVO. Die Gliederung folgt den Schutzzielen der Verordnung.

B.1 Pseudonymisierung und Verschlüsselung

• Vollverschlüsselung sämtlicher eingesetzter Endgeräte und Datenträger
• Übertragung von Daten ausschließlich über verschlüsselte Verbindungen
• Versand vertraulicher Unterlagen verschlüsselt oder über gesicherte Übergabewege
• Verwendung von Testdaten ohne Personenbezug, soweit dies möglich ist

B.2 Vertraulichkeit

• Zutritt: versperrbare Räumlichkeiten, Aufbewahrung von Unterlagen in verschlossenen Behältnissen
• mobiles Arbeiten: Bildschirmsperre bei Abwesenheit, kein Zugriff über fremde oder private Geräte, kein Arbeiten mit vertraulichen Inhalten in öffentlich einsehbaren Situationen
• Zugang: persönliche Benutzerkonten, Mehrfaktor-Authentifizierung, automatische Bildschirmsperre, Kennwortspeicher für Zugangsdaten
• Zugriff: Rechtevergabe nach dem Prinzip der geringsten Berechtigung, getrennte Konten für administrative Tätigkeiten
• Trennung: logische Trennung der Daten verschiedener Auftraggeber, getrennte Ablagen je Projekt

B.3 Integrität

• Protokollierung administrativer Tätigkeiten und Nachvollziehbarkeit von Änderungen
• Schutz der Endgeräte gegen Schadsoftware, zeitnahe Einspielung von Sicherheitsaktualisierungen

B.4 Verfügbarkeit und Belastbarkeit

• regelmäßige Sicherung der eigenen Systeme, Prüfung der Wiederherstellbarkeit
• Datenhaltung innerhalb der Europäischen Union oder bei Unterauftragsverarbeitern nach Anlage C auf Grundlage der Standardvertragsklauseln der Europäischen Kommission
• Cloud- und KI-Dienste nur in Geschäftstarifen mit Auftragsverarbeitungsvertrag und ohne Verwendung der Inhalte zum Training
• definierte Vorgehensweise bei Störungen und Sicherheitsvorfällen

Auftragsverarbeitung
Art. 28 DSGVO

B.5 Verfahren zur regelmäßigen Überprüfung

• anlassbezogene Überprüfung der Maßnahmen, insbesondere nach Sicherheitsvorfällen und bei Änderungen der eingesetzten Dienste
• Rückgabe sämtlicher überlassener Berechtigungen spätestens mit Projektende
• Verpflichtung und Einweisung der eingesetzten Personen vor Tätigkeitsbeginn
• Überprüfung beigezogener Unterauftragsverarbeiter vor deren Einsatz
• Behandlung von Sicherheitsvorfällen nach einem festgelegten Meldeweg

B.6 Ergänzende Maßnahmen für dieses Projekt

Auftragsverarbeitung
Art. 28 DSGVO

ANLAGE C: GENEHMIGTE UNTERAUFTRAGSVERARBEITER

Die in dieser Tabelle aufgeführten Unterauftragsverarbeiter gelten mit Unterfertigung als genehmigt. Sie werden in Geschäftstarifen eingesetzt, sind vertraglich zur Vertraulichkeit verpflichtet und verwenden die Inhalte nicht zum Training. Grundlage für eine Verarbeitung außerhalb der Europäischen Union sind die Standardvertragsklauseln der Europäischen Kommission im Vertrag des jeweiligen Anbieters (Art. 46 Abs. 2 lit. c DSGVO). Nicht benötigte Zeilen können gestrichen werden, der Einsatz von KI-Diensten kann nach Punkt 3 durch Weisung ausgeschlossen werden.

Änderungen an dieser Anlage erfolgen nach Punkt 7 des Vertrags. Der Verantwortliche wird mindestens vier Wochen vor einer Änderung informiert und kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen; Schweigen gilt als Genehmigung.