Vereinbarung über die Auftrags­verarbeitung

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch FDM im Auftrag des Kunden im Rahmen der Leistung „Website as a Service“ (WaaS) gemäß Leistungsvereinbarung.

Die Dauer entspricht der Laufzeit der Leistungsvereinbarung einschließlich der Export- und Löschfristen nach Ziffer 12.

Bei Widersprüchen zwischen dieser Vereinbarung und der Leistungsvereinbarung geht diese Vereinbarung in datenschutzrechtlichen Fragen vor. Die Haftungsregelungen der Leistungsvereinbarung gelten auch für Ansprüche aus dieser Vereinbarung, soweit Art. 82 DSGVO dem nicht entgegensteht.

Zweck der Verarbeitung: Bereitstellung und Nutzung der Leistung „Website as a Service“ (WaaS) zur Unterstützung des Kunden bei der Konzeption, Erstellung, dem Hosting, der Wartung, Aktualisierung und dem Support seiner Website bzw. Web-Anwendung einschließlich der hierfür erforderlichen Verarbeitung personenbezogener Daten.

Art der Verarbeitung: Erhebung durch Eingabe und über die Website (insbesondere Formulare), Speicherung, Strukturierung, Bereitstellung und Anzeige im Internet, Übermittlung an berechtigte Nutzer des Kunden, Export, Protokollierung, Sicherung und Löschung.

Kategorien betroffener Personen:

• –Nutzer und Besucher der vom Kunden betriebenen Website bzw. Web-Anwendung;
• –Personen, die über Kontakt-, Anfrage- oder Registrierungsformulare der Website personenbezogene Daten übermitteln;
• –Beschäftigte und Beauftragte des Kunden, die die Website administrieren oder Inhalte pflegen.

Kategorien personenbezogener Daten:

• –Identifikations- und Kontaktdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Anschrift sowie weitere über Formulare der Website übermittelte Angaben;
• –Inhaltsdaten: von Nutzern über die Website übermittelte oder auf der Website eingestellte Inhalte (z. B. Nachrichten, Uploads, Kommentare);
• –Nutzer- und Zugangsdaten der Administratoren: E-Mail, Name, Rolle, Berechtigungen, Anmelde- und Zugriffszeitpunkte;
• –Technische Daten: IP-Adresse, Geräte- und Browserinformationen, Zugriffs- und Verbindungsdaten sowie Cookies und ähnliche Kennungen;
• –Protokolldaten: Audit- und Zugriffsereignisse mit handelnder Person, Rolle, Zeitpunkt und Ereignistyp, soweit für Nachvollziehbarkeit und Sicherheit erforderlich.

Besondere Kategorien personenbezogener Daten: Die Leistung ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO vorgesehen. Soweit der Kunde solche Daten dennoch verarbeitet, ist er für deren datenschutzrechtliche Zulässigkeit verantwortlich.

Der Kunde ist allein Verantwortlicher für die Rechtmäßigkeit der Verarbeitung. Er bestimmt und dokumentiert die jeweils einschlägige Rechtsgrundlage nach Art. 6 und – soweit tatsächlich besondere Kategorien personenbezogener Daten verarbeitet werden – Art. 9 DSGVO, erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO, prüft die Erforderlichkeit einer Datenschutz-Folgenabschätzung und wahrt die Betroffenenrechte.

FDM verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus der Leistungsvereinbarung, dieser Vereinbarung und der Nutzung der Funktionen durch berechtigte Nutzer des Kunden (Konfiguration, Import, Freigaben, Löschungen, Exporte). Weitere Weisungen sind in Textform an office@fdm-software.at zu richten. FDM darf für weisungsbedingte Mehraufwände außerhalb des Funktionsumfangs ein angemessenes Entgelt verlangen.

FDM informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen Datenschutzrecht verstößt, und darf die Ausführung bis zur Bestätigung aussetzen.

FDM stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

FDM trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und überprüft sie regelmäßig. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

FDM unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und soweit dies möglich ist bei der Erfüllung seiner Pflichten zur Bearbeitung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Die Unterstützung erfolgt vorrangig durch die im Rahmen der Leistung bereitgestellten Funktionen, insbesondere Export, Berichtigung und Löschung. Erhält FDM unmittelbar eine Betroffenenanfrage betreffend Kundendaten, informiert FDM den Kunden unverzüglich und beantwortet die Anfrage nicht selbst, sofern der Kunde FDM hierzu nicht ausdrücklich angewiesen hat.

FDM unterstützt den Kunden bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

FDM informiert den Kunden unverzüglich, nachdem FDM eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist, und stellt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen zur Verfügung, soweit diese FDM vorliegen. Noch nicht verfügbare Informationen werden nachgereicht.

FDM stellt dem Kunden alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen nach Ziffer 9.

Der Kunde übermittelt und erfasst nur Daten, die für die Zwecke nach Ziffer 2 erforderlich sind, und prüft die an FDM übermittelten Daten auf Datenminimierung und Richtigkeit. Datenfelder, die für die genutzten Funktionen nicht erforderlich sind, sollen nicht an FDM übermittelt werden.

Der Kunde vergibt Rollen und Berechtigungen (sofern anwendbar) nach dem Need-to-know-Prinzip, entfernt ausgeschiedene Nutzer unverzüglich, stellt sicher, dass über die Website veröffentlichte oder verarbeitete personenbezogene Daten nur berechtigten Personen zugänglich gemacht werden.

Der Kunde ist für die Rechtmäßigkeit der Übermittlung personenbezogener Daten an FDM verantwortlich und stellt sicher, dass seine Nutzer die für sie geltenden Rollen-, Berechtigungs-, Vertraulichkeits- und Datenminimierungsvorgaben einhalten.

Der Kunde stellt sicher, dass seine Nutzer personenbezogene Daten nur im Rahmen ihrer jeweiligen Berechtigungen und der geltenden Datenschutzvorgaben verarbeiten.

Der Kunde genehmigt allgemein den Einsatz der in Anlage 2 genannten Subunternehmer.

FDM informiert den Kunden über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter und gibt ihm Gelegenheit, aus wichtigem datenschutzrechtlichem Grund zu widersprechen. Die Information erfolgt grundsätzlich vor deren Einsatz; in dringenden Fällen kann sie kurzfristig erfolgen. Kann einem berechtigten Widerspruch nicht durch eine für FDM zumutbare Alternative Rechnung getragen werden, ist FDM berechtigt, die betroffene Leistung oder die Leistungsvereinbarung zu kündigen.

FDM verpflichtet Subunternehmer vertraglich zu Datenschutzpflichten, die den Pflichten aus dieser Vereinbarung entsprechen, und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich.

Dienstleister, die keine personenbezogenen Kundendaten im Auftrag des Kunden verarbeiten, sind keine weiteren Auftragsverarbeiter im Sinne dieser Vereinbarung.

FDM behandelt alle Kundendaten vertraulich, auch über das Vertragsende hinaus, und gibt sie nur auf Weisung des Kunden, aufgrund gesetzlicher Verpflichtung oder an genehmigte Subunternehmer weiter. Bei gesetzlicher Verpflichtung informiert FDM den Kunden vor der Offenlegung, soweit rechtlich zulässig.

Die Verarbeitungsorte der von FDM eingesetzten weiteren Auftragsverarbeiter ergeben sich aus Anlage 2.

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur unter den Voraussetzungen des Kapitels V DSGVO.

FDM stellt dem Kunden die gemäß Art. 28 DSGVO erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung. Kontrollen erfolgen vorrangig anhand geeigneter Dokumentationen, Sicherheitsinformationen, Zertifizierungen, Prüfberichte oder angemessener Fragebögen.

Soweit dies zur Erfüllung der gesetzlichen Kontrollpflichten des Kunden erforderlich ist und diese Nachweise nicht ausreichen, ermöglicht FDM eine ergänzende Prüfung, vorrangig remote. Vor-Ort-Prüfungen sind nur zulässig, wenn eine gleich geeignete Dokumenten- oder Remote-Prüfung nicht ausreicht. Prüfungen sind außer bei dringendem Anlass mindestens vierzehn (14) Kalendertage vorher anzukündigen und so durchzuführen, dass Geschäftsbetrieb, Geschäftsgeheimnisse und Daten anderer Kunden geschützt bleiben.

Für Prüfungen, die über die übliche Bereitstellung von Nachweisen hinausgehen, kann FDM angemessenen Aufwand verrechnen, sofern kein von FDM zu vertretender wesentlicher Datenschutzverstoß festgestellt wird.

Die Parteien unterstützen einander im gesetzlich erforderlichen Umfang bei Datenschutzverletzungen und aufsichtsbehördlichen Verfahren, soweit die jeweilige Verarbeitung betroffen ist.

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen der Leistungsvereinbarung. Die Haftungsbeschränkungen der Leistungsvereinbarung gelten nicht, soweit sie gegenüber betroffenen Personen nach Art. 82 DSGVO unwirksam wären; im Innenverhältnis der Parteien bleiben sie anwendbar.

Nach einer Löschweisung werden personenbezogene Kundendaten entsprechend dem bei FDM eingesetzten Lösch- und Sicherungskonzept aus den Produktivsystemen entfernt. In Sicherungskopien enthaltene Daten werden im Rahmen der regulären Sicherungszyklen gelöscht oder überschrieben und bis dahin nicht erneut produktiv verarbeitet, sofern keine gesetzliche Verpflichtung hierzu besteht.

Ausgenommen sind Daten, die FDM aufgrund gesetzlicher Aufbewahrungspflichten speichern muss; diese werden gesperrt und ausschließlich für diesen Zweck aufbewahrt. Vertrags- und Abrechnungsdaten, die FDM als eigener Verantwortlicher verarbeitet, unterliegen den hierfür geltenden gesetzlichen Aufbewahrungsfristen und nicht der Löschweisung des Kunden im AVV.

Soweit Audit- und Protokolldaten personenbezogene Kundendaten enthalten, werden sie nur so lange gespeichert, wie dies für Sicherheits-, Nachweis- und Dokumentationszwecke erforderlich ist. Nach Wegfall dieser Zwecke werden personenbezogene Inhalte nach Maßgabe des jeweils geltenden Lösch- und Aufbewahrungskonzepts gelöscht oder anonymisiert. Nach Vertragsende gelten ergänzend die Ziffern 12.1 und 12.2.

Änderungen bedürfen der Textform.

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Wien. Die sachliche Zuständigkeit richtet sich nach den gesetzlichen Vorschriften.

Die Anlagen 1 und 2 sind Bestandteil dieser Vereinbarung. Diese Vereinbarung wird mit Abschluss der Leistungsvereinbarung wirksam und bedarf keiner gesonderten Unterfertigung; eine solche, auch in elektronischer Form, ist zulässig.

FDM trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

Zugriffsschutz Der Zugriff auf personenbezogene Kundendaten ist auf autorisierte Personen beschränkt. FDM setzt geeignete Authentifizierungs- und Berechtigungsverfahren ein und beschränkt privilegierte Zugriffe nach dem Need-to-know-Prinzip.

Mandanten- und Berechtigungstrennung Kundendaten werden durch geeignete technische Zugriffskontrollen logisch voneinander getrennt. Nutzer erhalten nur Zugriff auf die ihnen jeweils zugewiesenen Daten und Funktionen.

Übertragung und Speicherung Personenbezogene Daten werden bei der Übertragung durch geeignete Verschlüsselungsverfahren geschützt. Für die Speicherung werden angemessene Sicherheitsmaßnahmen der eingesetzten Infrastruktur- und Hostinganbieter genutzt.

Protokollierung Sicherheitsrelevante und wesentliche administrative Vorgänge werden in angemessenem Umfang protokolliert, soweit dies für Sicherheit, Nachvollziehbarkeit und Fehleranalyse erforderlich ist.

Verfügbarkeit und Wiederherstellung FDM trifft angemessene Maßnahmen zur Sicherung der Verfügbarkeit und Wiederherstellbarkeit der Leistung und der darin verarbeiteten Daten.

Entwicklungs- und Betriebssicherheit FDM setzt angemessene Verfahren für Entwicklung, Änderung und Betrieb der Leistung ein und überprüft sicherheitsrelevante Konfigurationen und Berechtigungen regelmäßig.

Organisatorische Maßnahmen Personen mit Zugriff auf personenbezogene Kundendaten werden zur Vertraulichkeit verpflichtet. Zugriffsberechtigungen werden nach Erforderlichkeit vergeben und angepasst. Für Datenschutz- und Sicherheitsvorfälle bestehen geeignete interne Verfahren.

Weiterentwicklung der Maßnahmen FDM darf einzelne technische und organisatorische Maßnahmen ändern oder durch gleichwertige Maßnahmen ersetzen, sofern dadurch das Schutzniveau insgesamt nicht wesentlich herabgesetzt wird.

Der Kunde genehmigt die nachstehenden weiteren Auftragsverarbeiter. Änderungen folgen dem Verfahren nach Ziffer 6.2.