Vertrag zur Auftragsverarbeitung

Gegenstand ist der Betrieb des Agency HUB für den Verantwortlichen: Bereitstellung, Wartung, Sicherung und Weiterentwicklung der Anwendung samt der darin verarbeiteten Daten.

Der Vertrag läuft, solange das Abonnement besteht, und endet mit dessen Beendigung. Er endet nicht vor Rückgabe oder Löschung der Daten nach § 10.

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt auch die Nutzung der Funktionen der Anwendung. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen ihre Ausführung aussetzen.

Speicherung, Organisation, Auswertung und Übermittlung von Daten im Rahmen der gebuchten Module: Kunden- und Kontaktverwaltung, Content-Planung und Veröffentlichung auf verbundenen Social-Media-Konten, KI-gestützte Erstellung von Texten, Bildern und Videos, Kommunikation über verbundene Postfächer und Messenger, Zeiterfassung, Dokumentenablage samt elektronischer Signatur sowie das Kundenportal.

Datenarten: Stamm- und Kontaktdaten, Kommunikationsinhalte, Vertrags- und Abrechnungsdaten, Zeiterfassungsdaten, hochgeladene und erzeugte Inhalte einschließlich Bild- und Videomaterial, Nutzungs- und Protokolldaten.

Betroffene Personen: Mitarbeiterinnen und Mitarbeiter des Verantwortlichen, dessen Kundinnen und Kunden und deren Ansprechpersonen, Interessentinnen und Interessenten sowie Personen, die über verbundene Kanäle mit dem Verantwortlichen kommunizieren.

Wir verpflichten die mit der Verarbeitung befassten Personen auf Vertraulichkeit, setzen die Maßnahmen nach § 5 um, unterstützen den Verantwortlichen bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde, und verarbeiten die Daten nicht für eigene Zwecke. Ein Datenschutzbeauftragter ist nicht bestellt; Ansprechstelle ist die in § 12 genannte Adresse.

Die Maßnahmen nach Art. 32 DSGVO umfassen insbesondere:

• Eine eigene Datenbank je Mandant; keine gemeinsam genutzten Tabellen zwischen Kunden.
• Verschlüsselung in der Übertragung (TLS) und Verschlüsselung besonders schutzwürdiger Felder im Ruhezustand.
• Rollen- und Rechtesystem, personengebundene Zugänge, protokollierte Anmeldungen.
• Tägliche Sicherung der Datenbank mit begrenzter Aufbewahrung.
• Getrennte Umgebungen für Betrieb und Entwicklung; kein Echtdatenbestand in der Entwicklung.
• Protokollierung sicherheitsrelevanter Vorgänge und ein Aktivitätsprotokoll je Mandant.

Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst; das Schutzniveau wird dabei nicht unterschritten.

Der Verantwortliche stimmt dem Einsatz der in der Liste der Unterauftragsverarbeiter genannten Dienste zu. Die Liste ist Bestandteil dieses Vertrags.

Wir informieren über die Aufnahme weiterer Unterauftragsverarbeiter vorab. Der Verantwortliche kann binnen 14 Tagen widersprechen; kann der Widerspruch nicht ausgeräumt werden, darf er das Abonnement zum Wirksamwerden der Änderung beenden.

Bei Verarbeitungen außerhalb der EU stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission oder auf einen Angemessenheitsbeschluss. Welche Dienste betroffen sind, ist in der Liste gekennzeichnet.

Anfragen betroffener Personen beantwortet der Verantwortliche. Wir unterstützen ihn dabei mit den Mitteln der Anwendung, insbesondere durch Auskunfts-, Export- und Löschfunktionen, und leiten an uns gerichtete Anfragen unverzüglich weiter.

Wir melden dem Verantwortlichen jede uns bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den uns bekannten Angaben nach Art. 33 Abs. 3 DSGVO, und unterstützen ihn bei seinen Melde- und Benachrichtigungspflichten.

Wir stellen die zum Nachweis der Einhaltung erforderlichen Informationen bereit. Der Verantwortliche kann Kontrollen nach angemessener Vorankündigung während der Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, der kein Wettbewerber ist. Der laufende Betrieb und die Rechte anderer Kunden dürfen dadurch nicht beeinträchtigt werden.

Nach Beendigung stellen wir auf Wunsch einen vollständigen Export bereit. Danach löschen wir die Daten einschließlich der Sicherungen innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Für die Dauer einer solchen Pflicht bleiben die Daten gesperrt.

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Bedingungen des Abonnements. Bei Widersprüchen geht dieser Vertrag für Fragen der Auftragsverarbeitung vor. Es gilt österreichisches Recht; Gerichtsstand ist Ried im Innkreis.

Auftragsverarbeiter: PPY Solutions, Peter Sigmond, Pfaffstätt, Oberösterreich, [email protected].
Verantwortlicher: die im Abonnement genannte Agentur, vertreten durch die Person, die das Abonnement abgeschlossen hat.