Auftragsverarbeitungsvertrag

Abgeschlossen zwischen

Linearis GmbH, Zirkusgasse 15/17, 1020 Wien, Österreich, vertreten durch Mag. Robert Lochner, im Folgenden als Auftragsverarbeiter bezeichnet

und dem

Vertragspartner [Kunde], vertreten durch [Kontaktperson laut Bestellung], im Folgenden als Verantwortlicher bezeichnet.

Zusammen werden sie als Parteien oder Vertragsparteien bezeichnet.

1. Einleitung

1.1 Der Verantwortliche hat den Auftragsverarbeiter mit der Erbringung von IT-Dienstleistungen beauftragt. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen durch den Auftragsverarbeiter.

1.2 Gemäß Artikel 28 Absatz 3 DSGVO ist der Verantwortliche verpflichtet, mit dem Auftragsverarbeiter einen schriftlichen Vertrag über die Verarbeitung personenbezogener Daten abzuschließen. Mit diesem Vertrag erfüllt der Verantwortliche diese Verpflichtung.

1.3 Der Auftragsverarbeiter verpflichtet sich, alle Bestimmungen der DSGVO sowie des österreichischen Datenschutzgesetzes in seiner jeweils gültigen Fassung und der sonstigen spezifischen Datenschutzgesetze und -verordnungen einzuhalten.

2. Beschreibung der Verarbeitung personenbezogener Daten

2.1 Die vom Auftragsverarbeiter durchgeführte Datenverarbeitung basiert auf dem zwischen den Parteien abgeschlossenen Software-as-a-Service-Vertrag (im Folgenden als SaaS-Vertrag bezeichnet), der Vorrang vor diesem Auftragsverarbeitungsvertrag hat.

2.2 Die Verarbeitung beginnt mit der Registrierung einer sogenannten Anwendung durch den Verantwortlichen im Cloud-Dienst data1.io und wird auf unbestimmte Zeit bis zur Beendigung dieses Vertrags fortgesetzt.

2.3 Die Verarbeitung der Daten erfüllt folgende Zwecke:

Die Software data1.io wird verwendet, um Unternehmensdaten im Rahmen kundenspezifischer Anwendungen zu erfassen, zu aggregieren und zu teilen, beispielsweise für Umsatzprognosen, Konzerncontrolling, Personalplanung (HR), Projektcontrolling, Finanzplanung und vieles mehr.

2.4 Folgende Daten werden verarbeitet

Benutzerstammdaten: E-Mail-Adresse und Name jedes Benutzers, Passwort (verschlüsselt), Rolle(n) und Rechte in den data1.io-Anwendungen des Unternehmens des Verantwortlichen.

Nutzungsmetriken: Protokollierung von Zeitpunkt und Art jeder Aktivität in der Software, Protokollierung sogenannter Sitzungsvariablen vom Client.

Vom Verantwortlichen bereitgestellte Daten: Alle personenbezogenen Daten, die der Verantwortliche im Rahmen der Software eingibt und verarbeitet.

2.5 Die Daten folgender Personen oder Personengruppen werden verarbeitet:

Alle aktiven (und bei data1.io registrierten) Benutzer in einer sogenannten Anwendung des Verantwortlichen.

3. Allgemeine Pflichten des Auftragsverarbeiters

3.1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf Grundlage dieses Vertrags oder gemäß gesonderten, dokumentierten Weisungen des Verantwortlichen, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats der Europäischen Union, dem der Auftragsverarbeiter unterliegt, verpflichtet den Auftragsverarbeiter zur Verarbeitung der Daten in anderer Weise. Besteht eine solche Verpflichtung, teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Die Verarbeitung personenbezogener Daten für eigene Zwecke des Auftragsverarbeiters bedarf eines schriftlichen Auftrags.

3.2. Der Auftragsverarbeiter ist berechtigt, die Nutzungsmetriken des Verantwortlichen zum Zweck der kontinuierlichen Verbesserung der Software auszuwerten und zu verarbeiten.

3.3. Der Auftragsverarbeiter gewährleistet, dass sich Personen, die Kenntnis von den im Auftrag verarbeiteten Daten haben oder haben können, vor der Verarbeitung oder Kenntnisnahme solcher Daten schriftlich zur Wahrung der Vertraulichkeit verpflichten, sofern sie nicht bereits einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

3.4. Der Auftragsverarbeiter wird den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen (TOM) bei der Beantwortung und Erfüllung von Anträgen betroffener Personen gemäß Kapitel III der DSGVO (transparente Information, Kommunikation und Modalitäten; Informationspflichten und Auskunftsrechte; Datenberichtigung und -löschung; Verarbeitungseinschränkungen; Benachrichtigungspflichten; Datenübertragung; Widerspruch; automatisierte Entscheidungen und Profiling) unterstützen, damit der Verantwortliche seinen diesbezüglichen Verpflichtungen nachkommen kann. Der Auftragsverarbeiter erhält für den Zeitaufwand seiner Mitarbeiter für solche Unterstützungsleistungen eine Vergütung auf Grundlage der Supportbedingungen.

3.5. Der Auftragsverarbeiter unterstützt den Verantwortlichen und ergreift alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO, damit beide Parteien gemeinsam geeignete technische und organisatorische Maßnahmen (TOM) treffen, um ein dem jeweiligen Risiko angemessenes Schutzniveau zu gewährleisten.

3.6. Die Beurteilung des Schutzniveaus basiert insbesondere auf den mit der Datenverarbeitung verbundenen Risiken, wie Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bzw. unbefugter Zugang zu verarbeiteten personenbezogenen Daten.

3.7. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO festgelegten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgenabschätzung, vorherige Konsultation).

3.8. Nach Abschluss der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten innerhalb der gesetzlichen Fristen zurück, sofern keine Verpflichtung zur Speicherung personenbezogener Daten nach dem Recht der Europäischen Union oder nationalem Recht besteht.

4. Unterauftragsverhältnisse

4.1. Die Beauftragung oder Nutzung von Subunternehmern (im Folgenden als Unterauftragsverarbeiter bezeichnet) ist dem Auftragsverarbeiter grundsätzlich gestattet, sofern er den Verantwortlichen vorab über jede beabsichtigte Beauftragung oder Nutzung von Unterauftragsverarbeitern informiert und der Verantwortliche berechtigt ist, einer solchen Beauftragung oder Nutzung ohne Angabe von Gründen zu widersprechen. Im Falle eines solchen Widerspruchs wird der Auftragsverarbeiter den Unterauftragsverarbeiter nicht beauftragen oder nutzen.

4.2. Punkt 4.1 gilt auch für Fälle der Änderung oder des Austauschs von bereits durch den Verantwortlichen genehmigten Unterauftragsverarbeitern.

4.3. Der Auftragsverarbeiter ist im Rahmen dieser Vereinbarung berechtigt, folgendes Unternehmen (einschließlich seiner Tochtergesellschaften) als Unterauftragsverarbeiter einzusetzen:

Microsoft Corporation
One Microsoft Way
Redmond, WA 98052-6399
USA

4.4. Der Auftragsverarbeiter wählt nur solche Unterauftragsverarbeiter aus, die aufgrund der von ihnen getroffenen und dem Auftragsverarbeiter dokumentierten technischen und organisatorischen Maßnahmen geeignet und verpflichtet sind, die Verarbeitung personenbezogener Daten gemäß den Anforderungen der DSGVO durchzuführen.

4.5. Der Auftragsverarbeiter schließt mit dem Unterauftragsverarbeiter die erforderlichen Vereinbarungen gemäß Art. 28 Abs. 4 DSGVO ab.

4.6. Kommt der Unterauftragsverarbeiter seinen (datenschutzrechtlichen) Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen.

5. Informationspflichten des Auftragsverarbeiters und Kontrollrechte des Verantwortlichen

Der Auftragsverarbeiter ist verpflichtet, dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis erforderlich sind, dass der Auftragsverarbeiter die ihm in diesem Vertrag auferlegten Pflichten erfüllt hat. Ist der Auftragsverarbeiter der Auffassung, dass eine vom Verantwortlichen erteilte Weisung gegen die DSGVO oder andere Datenschutzvorschriften der EU oder ihrer Mitgliedstaaten verstößt, muss er den Verantwortlichen unverzüglich und mit Begründung informieren. Der Verantwortliche ist berechtigt, die Einhaltung aller relevanten Datenschutzvorschriften und die Beachtung – einschließlich Inspektionen – der vertraglichen Bestimmungen selbst oder durch Dritte beim Auftragsverarbeiter und bei etwaigen Unterauftragsverarbeitern zu überprüfen.

6. Kosten der Mitwirkung

Die im Zusammenhang mit der Ausübung der erforderlichen Mitwirkungsrechte des Auftragsverarbeiters anfallenden Kosten (insbesondere, aber nicht ausschließlich im Zusammenhang mit einer Inspektion und der Ausübung von Betroffenenrechten) trägt der Verantwortliche. In diesen Fällen gilt der im SaaS-Vertrag vereinbarte Stundensatz.

7. Haftungsbeschränkung

Im Falle einer gesamtschuldnerischen Haftung aufgrund der Verletzung von Datenschutzvorschriften (dies umfasst beispielsweise Geldbußen im Sinne von Art. 83 DSGVO, Schadenersatzpflichten im Sinne von Art. 82 DSGVO sowie Abmahnungen im Sinne des UWG „Bundesgesetz gegen den unlauteren Wettbewerb“), ist die Haftung des Auftragsverarbeiters auf das Zwölffache des monatlichen Entgelts begrenzt, das vom Verantwortlichen an den Auftragsverarbeiter zu zahlen ist. Diese Haftungsbeschränkung gilt nicht bei vorsätzlich vom Auftragsverarbeiter verursachten Schäden. Im Falle einer Inanspruchnahme des Auftragsverarbeiters im Außenverhältnis stellt der Verantwortliche den Auftragsverarbeiter hinsichtlich des die Beschränkung im Sinne dieses Punktes übersteigenden Betrags frei.

8. Vertragsbeendigung

8.1. Die Laufzeit dieses Vertrags ist abhängig vom und verknüpft mit dem zugrunde liegenden SaaS-Vertrag (Anlage ./A).

8.2. Bei Beendigung des Vertrags (oder jederzeit zuvor auf Verlangen des Verantwortlichen) wird der Auftragsverarbeiter die im Auftrag verarbeiteten Daten (einschließlich etwaiger Kopien) nach freiem Ermessen des Verantwortlichen entweder vernichten oder dem Verantwortlichen vollständig übergeben.

9. Schlussbestimmungen

9.1. Änderungen und/oder Ergänzungen dieses Vertrags bedürfen zu ihrer Rechtswirksamkeit der Schriftform und der Unterzeichnung durch beide Vertragsparteien; die Schriftform ist auch für den Verzicht auf dieses Formerfordernis erforderlich.

9.2. Auf alle Rechtsfragen, die sich aus oder im Zusammenhang mit diesem Vertrag ergeben, einschließlich der Frage seines wirksamen Zustandekommens und seiner Vor- und Nachwirkungen, findet österreichisches Recht unter Ausschluss seiner Verweisungsnormen Anwendung.

9.3. Für alle Streitigkeiten, die sich aus oder im Zusammenhang mit diesem Vertrag ergeben, einschließlich der Frage seines wirksamen Bestands und seiner Vor- und Nachwirkungen, vereinbaren die Vertragsparteien die ausschließliche Zuständigkeit des jeweils sachlich zuständigen Gerichts in Wien.

9.4. Sollte eine Bestimmung dieses Vertrags nichtig, undurchsetzbar und/oder unwirksam sein oder werden, führt dies nicht zur Nichtigkeit, Undurchsetzbarkeit und/oder Unwirksamkeit des gesamten Vertrags. In einem solchen Fall verpflichten sich die Parteien, die nichtige, undurchsetzbare und/oder unwirksame Bestimmung durch eine Bestimmung zu ersetzen, die dem wirtschaftlichen Zweck der nichtigen, undurchsetzbaren und/oder unwirksamen Bestimmung am nächsten kommt.