Auftragsverarbeitung (AVV)
VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG GEMÄSS ART. 28 DSGVO – Stand 27.10.2026
inovelop GmbH, Rading 47, 4575 Roßleithen, FN 468599 t, UID ATU72101012 („Auftragsverarbeiter“ bzw. „AN“)
und der jeweilige Auftraggeber („Verantwortlicher“ bzw. „AG“)
1. GEGENSTAND, GELTUNG UND DAUER
1.1 Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien, die sich aus den zwischen ihnen geschlossenen Verträgen über IT-Leistungen (insbesondere Wartung, Support und Fernwartung, Managed Services, Monitoring, Hosting, Datensicherung, Installation und Reparatur; „Hauptvertrag“) ergeben, soweit AN dabei personenbezogene Daten im Auftrag des AG verarbeitet.
1.2 Diese Vereinbarung ist gemäß Punkt 14.6 der Allgemeinen Geschäftsbedingungen des AN Bestandteil des Hauptvertrages. Sie gilt für die Dauer des Hauptvertrages und darüber hinaus, solange AN personenbezogene Daten des AG verarbeitet.
1.3 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Bestimmungen dieser Vereinbarung vor.
2. ART UND ZWECK DER VERARBEITUNG, DATENARTEN, BETROFFENE
2.1 Art und Zweck der Verarbeitung: Erbringung der im Hauptvertrag vereinbarten IT-Leistungen. Dabei kann AN Zugriff auf personenbezogene Daten erhalten, insbesondere durch Speichern (Hosting, Datensicherung), Einsicht (Fernwartung, Support, Fehleranalyse), Übertragen (Migration, Wiederherstellung) und Löschen (Datenträgervernichtung, Bereinigung).
2.2 Arten personenbezogener Daten: alle Daten, die AG auf den von AN betreuten Systemen speichert oder verarbeitet, insbesondere Stammdaten, Kontaktdaten, Kommunikationsdaten (z. B. E-Mails), Vertrags- und Abrechnungsdaten, Benutzerkonten und Zugangsdaten, Protokoll- und Nutzungsdaten sowie Inhaltsdaten in Dokumenten und Datenbanken. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, soweit AG solche Daten auf den betreuten Systemen speichert; AG hat AN darauf hinzuweisen.
2.3 Kategorien betroffener Personen: Mitarbeiter, Kunden, Interessenten, Lieferanten, Geschäftspartner und sonstige Kontaktpersonen des AG.
2.4 Die Verarbeitung erfolgt in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Verarbeitung in Drittländern erfolgt nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO.
3. WEISUNGEN DES AG
3.1 AN verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrages und auf dokumentierte Weisung des AG, sofern AN nicht durch das Recht der Union oder Österreichs zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt AN dem AG diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
3.2 Weisungen sind schriftlich oder per E-Mail zu erteilen. Mündliche Weisungen sind von AG unverzüglich schriftlich zu bestätigen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt und nach Aufwand verrechnet.
3.3 Ist AN der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er AG unverzüglich darauf hin. AN ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie von AG bestätigt oder geändert wird.
4. PFLICHTEN DES AN
4.1 AN gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (§ 6 DSG) und nur im erforderlichen Umfang Zugang zu den Daten erhalten.
4.2 AN trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1). AN ist berechtigt, die Maßnahmen an die technische Entwicklung anzupassen, sofern das Schutzniveau nicht unterschritten wird.
4.3 AN unterstützt AG unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an AN, leitet AN das Ersuchen unverzüglich an AG weiter.
4.4 AN informiert AG unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des AG betrifft, und stellt die ihm vorliegenden Informationen zur Verfügung, die AG für eine allfällige Meldung an die Datenschutzbehörde und die Benachrichtigung Betroffener benötigt.
4.5 AN stellt AG auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen durch AG oder einen von AG beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Mitbewerber des AN ist. Überprüfungen sind mindestens 14 Tage im Voraus anzukündigen, während der Geschäftszeiten durchzuführen und dürfen den Betrieb des AN nicht unverhältnismäßig stören.
5. UNTERAUFTRAGSVERARBEITER
5.1 AG erteilt AN die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) heranzuziehen, insbesondere Anbieter von Rechenzentrums-, Cloud-, Backup- und Softwaredienstleistungen (z. B. Microsoft). Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter stellt AN auf Anfrage zur Verfügung.
5.2 AN informiert AG über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters; die Information kann per E-Mail erfolgen. AG kann binnen 14 Tagen ab Zugang aus wichtigem datenschutzrechtlichem Grund schriftlich widersprechen. Kann AN den Unterauftragsverarbeiter nicht mit zumutbarem Aufwand ersetzen, sind beide Parteien berechtigt, die betroffene Leistung zu kündigen.
5.3 AN erlegt Unterauftragsverarbeitern vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind.
5.4 Nimmt AG Leistungen Dritter (z. B. Microsoft 365) aufgrund eines direkten Vertrages mit dem jeweiligen Anbieter in Anspruch, ist dieser Anbieter kein Unterauftragsverarbeiter des AN; es gelten die Bedingungen zwischen AG und dem Anbieter.
6. PFLICHTEN DES AG
6.1 AG ist Verantwortlicher im Sinne der DSGVO und für die Rechtmäßigkeit der Verarbeitung, insbesondere das Vorliegen einer Rechtsgrundlage und die Wahrung der Betroffenenrechte, allein verantwortlich.
6.2 AG informiert AN unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
6.3 AG ist für die Datensicherung der eigenen Systeme verantwortlich, soweit diese nicht ausdrücklich als Leistung des AN vereinbart ist.
7. BEENDIGUNG, RÜCKGABE UND LÖSCHUNG
7.1 Nach Beendigung des Hauptvertrages löscht AN sämtliche personenbezogenen Daten des AG oder gibt sie nach Wahl des AG zurück, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Für Rückgabe und Löschung gilt Punkt 16.5 der AGB.
7.2 Datensicherungen werden im Rahmen der regulären Sicherungszyklen gelöscht.
8. KOSTEN UND HAFTUNG
8.1 Unterstützungsleistungen des AN nach den Punkten 3.2, 4.3, 4.5 und 7 werden – soweit sie nicht auf einem Verstoß des AN gegen diese Vereinbarung beruhen und soweit gesetzlich zulässig – nach Aufwand zu den vereinbarten Stundensätzen verrechnet.
8.2 Für die Haftung im Verhältnis zwischen AG und AN gelten die Bestimmungen der AGB des AN, soweit gesetzlich zulässig. Art. 82 DSGVO bleibt gegenüber betroffenen Personen unberührt.
9. SCHLUSSBESTIMMUNGEN
9.1 Änderungen dieser Vereinbarung erfolgen nach Punkt 1.4 der AGB des AN. Es gilt österreichisches Recht; Gerichtsstand ist das sachlich zuständige Gericht für 4575 Roßleithen.
9.2 Sollte eine Bestimmung dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
ANLAGE 1 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN (ART. 32 DSGVO)
Vertraulichkeit: Zugriff auf Systeme und Daten nur für berechtigte Mitarbeiter nach dem Erforderlichkeitsprinzip; persönliche Benutzerkonten mit sicheren Passwörtern und – soweit technisch möglich – Mehrfaktor-Authentifizierung; Sperre der Arbeitsplätze bei Abwesenheit; verschlossene Büroräume; Verpflichtung aller Mitarbeiter zur Vertraulichkeit (Datengeheimnis gemäß § 6 DSG).
Integrität: Verschlüsselte Übertragung bei Fernwartung und Datenübermittlung (z. B. TLS, VPN); Fernwartungszugriffe nur nach Freigabe bzw. im Rahmen des vereinbarten Leistungsumfangs; Protokollierung administrativer Zugriffe, soweit technisch vorgesehen.
Verfügbarkeit und Belastbarkeit: Regelmäßige Datensicherung der eigenen Systeme und – soweit beauftragt – der Systeme des AG; Virenschutz und Firewall; zeitnahes Einspielen von Sicherheitsupdates auf den eigenen Systemen des AN; unterbrechungsfreie Stromversorgung für Serversysteme.
Verfahren zur regelmäßigen Überprüfung: Regelmäßige Überprüfung und Anpassung der Maßnahmen; sorgfältige Auswahl von Unterauftragsverarbeitern; Löschung bzw. Vernichtung von Datenträgern nach dem Stand der Technik.