Auftragsverarbeitungsvertrag

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO) Die Software Zimmerer, Matthias Gattringer e.U. Fassung 1. September 2026

Wozu dieses Dokument da ist, in einem Satz. Wenn wir für Sie Daten verarbeiten — etwa weil auf Ihren Bildschirmen Namen, Bilder oder Termine Ihrer Kundschaft laufen —, dann bleiben Sie dafür verantwortlich und wir arbeiten in Ihrem Auftrag. Dieser Vertrag hält fest, was wir damit tun dürfen und was nicht. Er wird auch Auftragsverarbeitungsvertrag genannt, abgekürzt AVV. Wie dieses Dokument aufgebaut ist. Die §§ 1 bis 16 sind bewusst leistungsneutral formuliert. Sie gelten unverändert für jede Leistung, bei der der Auftragnehmer personenbezogene Daten im Auftrag eines Kunden verarbeitet — für die Digital-Signage-Software ebenso wie für die Betreuung einer fremden Website oder für ein künftiges Produkt. Was im Einzelfall verarbeitet wird, steht ausschließlich in Anlage 1. Für einen neuen Anwendungsfall ist daher nur eine neue Anlage 1 zu schreiben, nicht ein neuer Vertrag. Diese Vereinbarung ist Anhang B zum Lizenzvertrag und Anlage 4 zum Installations- und Projektvertrag. Sie kann auch für sich allein geschlossen werden. Felder in eckigen Doppelklammern sind je Vertrag auszufüllen. Sie sind keine offenen Punkte, sondern Formularfelder. Bei Verträgen, die über das Dashboard geschlossen werden, werden sie aus dem Nutzerkonto befüllt.

Vertragsparteien

Verantwortlicher (im Folgenden „Auftraggeber")

Bei Verträgen, die über das Dashboard geschlossen werden, treten an die Stelle dieser Tabelle die im Nutzerkonto hinterlegten Angaben des Auftraggebers. Der Auftraggeber hält sie aktuell.

Auftragsverarbeiter (im Folgenden „Auftragnehmer")

Die Software Zimmerer, Matthias Gattringer e.U. Lobmeyrgasse 5/2/42, 1160 Wien, Österreich Telefon +43 676 83 112 796 · E-Mail office@software-zimmerer.at

Vertragspartner ist ausschließlich das vorstehend genannte Unternehmen. Produktbezeichnungen wie „BlickFänger", „B-CONNECT", „B-Alert", „shary" oder „Flugfunk Trainer" bezeichnen Leistungen dieses Unternehmens und sind keine eigenen Rechtsträger.

Die eintragungspflichtigen Angaben des Auftragnehmers — Firmenbuchnummer, Firmenbuchgericht, GISA-Zahl, Umsatzsteuer-Identifikationsnummer und zuständige Behörde — ergeben sich aus den zentral geführten Firmendaten der Software Zimmerer und aus dem Impressum unter www.software-zimmerer.at.

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO liegen nicht vor. Ansprechstelle für alle Fragen nach dieser Vereinbarung ist office@software-zimmerer.at.

§ 1 Gegenstand und Rangordnung

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen, die in der in Anlage 1 bezeichneten Hauptvereinbarung geregelt sind. Soweit er dabei personenbezogene Daten verarbeitet, für die der Auftraggeber Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO ist, geschieht dies ausschließlich auf Grundlage dieser Vereinbarung.

(2) Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Sie gilt für die Dauer der Hauptvereinbarung und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet oder aufbewahrt.

(3) Rangordnung. Bei Widersprüchen zwischen dieser Vereinbarung und der Hauptvereinbarung geht in datenschutzrechtlichen Fragen diese Vereinbarung vor. Bei Widersprüchen zwischen dem Hauptteil dieser Vereinbarung und Anlage 1 geht Anlage 1 vor, soweit sie die Verarbeitung näher beschreibt, und der Hauptteil, soweit er Pflichten begründet.

(4) Abgrenzung. Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, bei denen der Auftragnehmer selbst Verantwortlicher ist. Das sind insbesondere die Daten des Nutzerkontos und der Vertragsabwicklung, die Rechnungslegung und Buchhaltung, die Abwehr von Missbrauch und Angriffen sowie die Erfüllung eigener gesetzlicher Pflichten des Auftragnehmers. Anlage 1 stellt für den jeweiligen Anwendungsfall klar, welche Verarbeitungen in welche der beiden Rollen fallen.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Anlage 1 ist Bestandteil dieser Vereinbarung.

(2) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt, soweit § 8 nichts anderes bestimmt und Anlage 3 nichts anderes ausweist.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers, insbesondere zur Erstellung von Profilen, zur Weitergabe an Dritte oder zu Werbezwecken, findet nicht statt.

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation (Art. 28 Abs. 3 lit. a DSGVO).

(2) Diese Vereinbarung samt Anlage 1 und die Hauptvereinbarung sind die Erstweisung. Als Weisung gilt außerdem jede Bedienhandlung, die der Auftraggeber oder eine von ihm berechtigte Person im Dashboard oder in einer sonstigen vom Auftragnehmer bereitgestellten Oberfläche vornimmt — insbesondere das Anlegen und Löschen von Konten und Geräten, das Hochladen, Zuordnen und Löschen von Inhalten, das Einrichten von Zeitplänen sowie das Ein- und Ausschalten von Aufzeichnungen.

(3) Weitere Weisungen sind in Textform zu erteilen. Mündlich erteilte Weisungen sind vom Auftraggeber unverzüglich in Textform zu bestätigen. Der Auftragnehmer dokumentiert die Weisungen.

(4) Weisungsberechtigt sind die in Anlage 1 genannten Personen sowie jede Person, die im Nutzerkonto des Auftraggebers als berechtigt geführt wird. Der Auftraggeber teilt Änderungen unverzüglich mit.

(5) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, so informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 letzter Satz DSGVO). Er ist berechtigt, die Ausführung der betroffenen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(6) Verarbeitet der Auftragnehmer Daten aufgrund einer rechtlichen Verpflichtung nach dem Recht der Union oder eines Mitgliedstaats, der er unterliegt, so unterrichtet er den Auftraggeber vor der Verarbeitung über diese Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wird vor Aufnahme der Tätigkeit erteilt, in Textform dokumentiert und besteht nach dem Ende der Tätigkeit fort.

(2) Der Auftragnehmer macht die eingesetzten Personen mit den für sie maßgeblichen Bestimmungen dieser Vereinbarung und mit den einschlägigen datenschutzrechtlichen Anforderungen vertraut.

(3) Der Auftragnehmer hält die Datengeheimnisverpflichtung nach § 6 DSG ein.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO). Der Stand dieser Maßnahmen bei Vertragsabschluss ergibt sich aus Anlage 2.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie fortentwickeln, darf dabei aber das in Anlage 2 beschriebene Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden dokumentiert; der Auftraggeber kann den jeweils aktuellen Stand jederzeit anfordern.

(3) Die Maßnahmen umfassen ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung ihrer Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO). Der Auftragnehmer führt diese Überprüfung mindestens jährlich durch und hält das Ergebnis schriftlich fest.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter heranzuziehen. Die bei Vertragsabschluss herangezogenen Unterauftragsverarbeiter sind in Anlage 3 namentlich mit Sitz und Leistung aufgeführt und damit genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb von 14 Tagen ab Zugang der Mitteilung aus datenschutzrechtlichen Gründen widersprechen.

(3) Widerspricht der Auftraggeber, so sucht der Auftragnehmer eine für beide Teile zumutbare Lösung. Ist eine solche nicht möglich und kann der Auftragnehmer die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht mehr vertragsgemäß erbringen, so ist jede Partei berechtigt, die Hauptvereinbarung hinsichtlich der betroffenen Leistung mit einer Frist von einem Monat zu kündigen. Bereits im Voraus gezahlte Entgelte werden für den nicht genutzten Zeitraum anteilig zurückerstattet.

(4) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Verhalten.

(5) Keine Unterauftragsverarbeitung im Sinn dieses Paragrafen sind Leistungen, die der Auftragnehmer als Nebenleistung in Anspruch nimmt, ohne dass ein Zugriff auf die Daten des Auftraggebers vorgesehen ist — etwa Telekommunikationsleistungen, Post- und Transportdienste, Wartung von Endgeräten oder die Entsorgung von Datenträgern. Der Auftragnehmer trifft auch dort angemessene Vorkehrungen zum Schutz der Daten.

(6) Empfänger, die für ihre Verarbeitung selbst Verantwortliche sind — insbesondere Zahlungsdienstleister und Zustelldienste — sind keine Unterauftragsverarbeiter. Anlage 3 weist sie gesondert aus. Ein Dienstleister kann für einen Teil seiner Verarbeitung Auftragsverarbeiter und für einen anderen Teil eigener Verantwortlicher sein; Anlage 3 ordnet ihn dann jener Rolle zu, in der er die Daten des Auftraggebers verarbeitet.

(7) Fortbestand bei Wegfall des Auftragnehmers. Wird der Auftragnehmer zahlungsunfähig oder besteht er aus tatsächlichen oder rechtlichen Gründen nicht mehr, so ist der Auftraggeber berechtigt, den Vertrag zwischen dem Auftragnehmer und einem Unterauftragsverarbeiter zu beenden und diesen unmittelbar anzuweisen, die Daten des Auftraggebers zu löschen oder zurückzugeben. Der Auftragnehmer räumt dem Auftraggeber dieses Recht als echten Vertrag zugunsten Dritter ein und verpflichtet seine Unterauftragsverarbeiter entsprechend.

§ 7 Unterstützung des Auftraggebers

(1) Rechte betroffener Personen. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Kapitel III der DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, so beantwortet dieser das Anliegen nicht selbst, sondern leitet es unverzüglich, längstens innerhalb von drei Werktagen, an den Auftraggeber weiter und weist die betroffene Person darauf hin, dass der Auftraggeber Verantwortlicher ist.

(3) Weitere Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung und Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

(4) Verletzung des Schutzes personenbezogener Daten. Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich, längstens binnen 24 Stunden ab Kenntnis. Die Meldung enthält, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Angaben; fehlende Angaben werden unverzüglich nachgereicht. Die Meldefrist des Auftraggebers gegenüber der Aufsichtsbehörde beträgt 72 Stunden (Art. 33 Abs. 1 DSGVO); die kürzere Frist des Auftragnehmers soll ihm ermöglichen, sie einzuhalten.

(5) Meldungen nach Abs. 4 gehen an die im Nutzerkonto hinterlegte E-Mail-Adresse des Auftraggebers und, sofern in Anlage 1 eine gesonderte Ansprechperson für den Datenschutz genannt ist, zusätzlich an diese.

(6) Der Auftragnehmer trifft unverzüglich die zur Sicherung der Daten und zur Minderung nachteiliger Folgen erforderlichen Maßnahmen und dokumentiert den Vorfall samt den ergriffenen Abhilfemaßnahmen.

(7) Die Unterstützungsleistungen nach diesem Paragrafen sind im Entgelt der Hauptvereinbarung enthalten, soweit sie auf einem Umstand beruhen, den der Auftragnehmer zu vertreten hat, oder soweit sie einen üblichen Umfang nicht überschreiten. Darüber hinausgehender Aufwand, insbesondere die Mitwirkung an umfangreichen Datenschutz-Folgenabschätzungen oder an Prüfungen nach § 9, wird nach den Sätzen der Hauptvereinbarung verrechnet; der Auftragnehmer weist den voraussichtlichen Aufwand vorher aus.

§ 8 Übermittlung in Drittländer

(1) Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums oder an eine internationale Organisation findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und die Übermittlung in Anlage 3 ausgewiesen ist.

(2) Der Auftragnehmer weist dem Auftraggeber auf Verlangen nach, auf welche Garantie er die jeweilige Übermittlung stützt — Angemessenheitsbeschluss der Europäischen Kommission, Standardvertragsklauseln oder eine andere Garantie nach Art. 46 DSGVO — und stellt ihm die einschlägigen Unterlagen zur Verfügung.

(3) Entfällt die Grundlage einer Übermittlung, insbesondere durch Aufhebung oder Ungültigerklärung eines Angemessenheitsbeschlusses, so setzt der Auftragnehmer die betroffene Übermittlung aus und verständigt den Auftraggeber unverzüglich.

§ 9 Nachweise und Überprüfungen

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Auftraggeber oder einen von diesem beauftragten Prüfer und trägt zu diesen Überprüfungen bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann in erster Linie durch aktuelle Selbstauskünfte, durch die Vorlage der Dokumentation nach Anlage 2, durch Testate oder durch Berichte unabhängiger Stellen geführt werden.

(3) Genügen diese Nachweise im Einzelfall nicht, so kann der Auftraggeber nach Ankündigung mit angemessener Frist, in der Regel zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Überprüfung vor Ort durchführen. Er nimmt dabei auf Betriebs- und Geschäftsgeheimnisse des Auftragnehmers und auf Daten anderer Kunden Rücksicht. Beauftragte Prüfer dürfen nicht Wettbewerber des Auftragnehmers sein und sind zur Verschwiegenheit zu verpflichten.

(4) Überprüfungen nach Abs. 3 finden höchstens einmal je Kalenderjahr statt. Häufiger sind sie zulässig, wenn ein besonderer Anlass besteht, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde.

(5) Der Auftragnehmer unterstützt die zuständige Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben und teilt dem Auftraggeber unverzüglich mit, wenn eine Aufsichtsbehörde bei ihm eine Maßnahme setzt, die dessen Daten betreffen könnte.

§ 10 Berichtigung, Einschränkung und Löschung während der Vertragsdauer

(1) Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der Daten nur auf Weisung des Auftraggebers ein.

(2) Soweit eine betroffene Person sich mit einem entsprechenden Verlangen an den Auftragnehmer wendet, gilt § 7 Abs. 2.

(3) Ein Recht des Auftragnehmers, Daten für eigene Zwecke aufzubewahren, besteht nur, soweit ihn eine gesetzliche Aufbewahrungspflicht trifft. In diesem Fall verarbeitet er die Daten ausschließlich zu diesem Zweck.

§ 11 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Auftraggeber teilt seine Wahl spätestens mit dem Ende der Hauptvereinbarung mit. Trifft er keine Wahl, so gilt die in Anlage 1 für den jeweiligen Anwendungsfall vorgesehene Vorgehensweise; hilfsweise ist zu löschen.

(3) Herausgabe. Der Auftraggeber kann seine Daten während der Vertragsdauer und während der in Anlage 1 genannten Nachlauffrist jederzeit selbst über die bereitgestellte Oberfläche herunterladen. Eine darüber hinausgehende Herausgabe in einem besonderen Format wird nach Aufwand verrechnet.

(4) Aufbewahrungspflichten. Unberührt bleiben gesetzliche Aufbewahrungspflichten, insbesondere die siebenjährige Frist des § 132 BAO und des § 212 UGB für Bücher, Aufzeichnungen und Belege. Diese Pflichten betreffen ausschließlich Rechnungs- und Buchhaltungsunterlagen, für die der Auftragnehmer selbst Verantwortlicher ist. Sie sind kein Grund, Inhalte, Nutzerkonten, Wiedergabenachweise oder sonstige im Auftrag verarbeitete Daten länger aufzubewahren. Diese unterliegen ausschließlich den Löschfristen nach Anlage 1.

(5) Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform. Sicherungen werden im Rahmen des üblichen Sicherungszyklus überschrieben; bis dahin bleiben die Daten in den Sicherungen gesperrt und werden nicht mehr verarbeitet.

§ 12 Verzeichnis der Verarbeitungstätigkeiten

(1) Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Tätigkeiten, die er im Auftrag eines Verantwortlichen durchführt (Art. 30 Abs. 2 DSGVO). Anlage 1 bildet den auf den Auftraggeber entfallenden Teil dieses Verzeichnisses.

(2) Der Auftragnehmer legt das Verzeichnis der Aufsichtsbehörde auf Anfrage vor (Art. 30 Abs. 4 DSGVO) und stellt dem Auftraggeber den ihn betreffenden Auszug auf Verlangen zur Verfügung.

(3) Auf die Ausnahme des Art. 30 Abs. 5 DSGVO beruft sich der Auftragnehmer nicht.

§ 13 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt sicher, dass für die von ihm veranlassten Verarbeitungen eine Rechtsgrundlage nach Art. 6 DSGVO und, soweit besondere Kategorien personenbezogener Daten betroffen sind, nach Art. 9 DSGVO besteht.

(2) Der Auftraggeber informiert die betroffenen Personen nach Art. 13 und 14 DSGVO.

(3) Der Auftraggeber übermittelt dem Auftragnehmer keine Daten, die für die vereinbarte Leistung nicht erforderlich sind. Er sieht insbesondere davon ab, ohne vorherige Abstimmung besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten von Kindern nach Art. 8 DSGVO in die Systeme des Auftragnehmers einzubringen; die technischen und organisatorischen Maßnahmen nach Anlage 2 sind auf solche Daten nicht ausgelegt.

(4) Der Auftraggeber unterrichtet den Auftragnehmer unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellt.

§ 14 Haftung

(1) Für die Haftung gilt Art. 82 DSGVO.

(2) Im Innenverhältnis tragen die Parteien den Schaden in dem Umfang, in dem sie ihn verursacht haben. Die Haftungsbeschränkungen der Hauptvereinbarung gelten für Ansprüche aus dieser Vereinbarung nur, soweit Art. 82 DSGVO und sonstiges zwingendes Recht dem nicht entgegenstehen.

§ 15 Laufzeit und Beendigung

(1) Diese Vereinbarung beginnt mit dem Wirksamwerden der Hauptvereinbarung und endet mit deren Beendigung, jedoch nicht vor der vollständigen Erfüllung der Pflichten nach § 11.

(2) Eine gesonderte Kündigung dieser Vereinbarung ist ausgeschlossen. Verletzt der Auftragnehmer seine Pflichten aus dieser Vereinbarung schwerwiegend, so kann der Auftraggeber die Hauptvereinbarung aus wichtigem Grund ohne Einhaltung einer Frist auflösen.

§ 16 Schlussbestimmungen

(1) Form. Diese Vereinbarung und ihre Änderungen bedürfen der Schriftform; dem Schriftformerfordernis wird auch durch ein elektronisches Format genügt (Art. 28 Abs. 9 DSGVO). Ein Austausch von E-Mails oder die Zustimmung im Dashboard mit anschließender Übermittlung des Vertragstexts auf einem dauerhaften Datenträger genügt.

(2) Anpassung. Ändern sich die datenschutzrechtlichen Anforderungen, so passen die Parteien diese Vereinbarung entsprechend an. Der Auftragnehmer kann Anlage 2 und Anlage 3 nach Maßgabe der §§ 5 und 6 fortschreiben.

(3) Verhältnis zu den Standardvertragsklauseln. Diese Vereinbarung ist an den Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO — Durchführungsbeschluss (EU) 2021/915 der Kommission vom

1. Juni 2021 — ausgerichtet, ohne sie zu übernehmen. Vereinbaren die Parteien

stattdessen die unveränderte Geltung jener Klauseln, so treten diese an die Stelle der §§ 2 bis 12; die Anlagen 1 bis 3 gelten als deren Anhänge II, III und IV weiter.

(3) Anwendbares Recht und Gerichtsstand. Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Für Streitigkeiten mit Unternehmern ist ausschließlich das sachlich zuständige Gericht in Wien zuständig; ist der Auftraggeber Verbraucher, gilt § 14 KSchG.

(4) Salvatorische Klausel. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(5) Anlagen. Bestandteil dieser Vereinbarung sind:

Unterschriften

Bei Verträgen, die über das Dashboard geschlossen werden, tritt an die Stelle der Unterschrift des Auftraggebers dessen ausdrückliche Zustimmung im Buchungsvorgang. Der Vertragstext wird ihm anschließend mit der Auftragsbestätigung als PDF übermittelt und im Dashboard dauerhaft bereitgehalten.

Anlage 1 — Verzeichnis der Verarbeitungen

Für jeden Anwendungsfall ist genau einer der nachstehenden Abschnitte maßgeblich. Nicht zutreffende Abschnitte sind zu streichen. Anlage 1 ist zugleich der auf diesen Auftraggeber entfallende Auszug aus dem Verzeichnis nach Art. 30 Abs. 2 DSGVO.

1.A Digital-Signage-Software (Produktlinie BlickFänger)

Hauptvereinbarung: Lizenzvertrag (Weg A) und, soweit vereinbart, Installations- und Projektvertrag (Weg B).

Gegenstand: Bereitstellung einer über das Internet nutzbaren Software zur Verwaltung, zeitlichen Planung und Wiedergabe digitaler Inhalte auf Anzeigegeräten des Auftraggebers, einschließlich Speicherung der Inhalte und Übertragung an die Geräte.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an die Anzeigegeräte des Auftraggebers, Einschränken, Löschen und Vernichten.

Zweck: Erfüllung des Lizenzvertrags — Betrieb der Anzeigegeräte des Auftraggebers, Verwaltung der Zugänge seiner Mitarbeiter, auf seine Anweisung hin Aufzeichnung der tatsächlichen Wiedergabe und Bereitstellung eines Standbildes des angezeigten Inhalts.

Dauer: für die Dauer des Lizenzvertrags. Nach dessen Ende wird die Lizenz ruhend gestellt; die Daten bleiben zwölf Monate abrufbar und werden danach nach Vorankündigung mit einer Frist von 30 Tagen gelöscht.

Kategorien betroffener Personen

Kategorien personenbezogener Daten

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber ist nach § 13 Abs. 3 gehalten, solche Daten nicht einzubringen.

Löschfristen

Vorgehen bei Vertragsende, wenn der Auftraggeber keine Wahl trifft: Löschung nach Ablauf der zwölfmonatigen Nachlauffrist.

Weisungsberechtigte Personen des Auftraggebers: die im Nutzerkonto als Administrator geführten Personen sowie [[Name, Funktion, falls abweichend]].

Ansprechperson für den Datenschutz beim Auftraggeber: [[Name, E-Mail]] oder „entfällt".

Rollenabgrenzung für diesen Anwendungsfall

1.B Betreuung und Wartung fremder Websites und Systeme (Produktlinie Software Zimmerer / Webdesign)

Hauptvereinbarung: Werk- oder Wartungsvertrag über Erstellung, Betreuung, Wartung oder Fehlerbehebung an Systemen des Auftraggebers.

Gegenstand: Zugriff auf Systeme des Auftraggebers und die darin gespeicherten personenbezogenen Daten, soweit dies zur vereinbarten Leistung erforderlich ist. Eine eigenständige Auswertung findet nicht statt.

Art der Verarbeitung: Auslesen, Verwenden, Verändern, Speichern in Sicherungen, Löschen. Ein Zugriff erfolgt anlassbezogen und nur für die Dauer der jeweiligen Arbeit.

Zweck: Erstellung, Pflege, Aktualisierung, Fehlersuche und Wiederherstellung.

Dauer: für die Dauer des Wartungsvertrags, bei Einzelaufträgen für die Dauer der Arbeiten.

Kategorien betroffener Personen: Beschäftigte des Auftraggebers, Kunden und Interessenten des Auftraggebers, Besucher der betreuten Website, Absender von Nachrichten über Formulare.

Kategorien personenbezogener Daten: Bestands- und Kontaktdaten, Inhalte von Formularnachrichten, Nutzerkonten der betreuten Systeme, Protokolldaten der betreuten Systeme einschließlich IP-Adressen, Inhalte von Datensicherungen.

Löschfristen: Sicherungen, die der Auftragnehmer im Zuge der Arbeiten anlegt, werden 30 Tage nach Abschluss der jeweiligen Arbeit gelöscht, sofern keine laufende Sicherungsvereinbarung besteht. Zugänge zu Systemen des Auftraggebers werden nach Abschluss der Arbeiten zurückgegeben oder deaktiviert.

Vorgehen bei Vertragsende, wenn der Auftraggeber keine Wahl trifft: Rückgabe der Datenbestände in einem gängigen Format, anschließend Löschung.

1.C Weitere Produktlinien

Für Leistungen, bei denen der Auftragnehmer eine eigene Anwendung an Endnutzer abgibt — insbesondere Anwendungen, die über die Vertriebsplattformen der Betriebssystemhersteller verkauft werden —, ist der Auftragnehmer in der Regel selbst Verantwortlicher und nicht Auftragsverarbeiter. Diese Vereinbarung ist in solchen Fällen nicht anwendbar; maßgeblich ist die Datenschutzerklärung der jeweiligen Anwendung.

Sie wird erst anwendbar, wenn der Auftragnehmer für einen Auftraggeber Daten verarbeitet, über deren Zweck und Mittel dieser Auftraggeber entscheidet. In diesem Fall ist ein eigener Abschnitt 1.D nach dem Muster der Abschnitte 1.A und 1.B zu erstellen.

>

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt den Stand der Maßnahmen. Sie ist mindestens jährlich zu überprüfen und fortzuschreiben. Maßnahmen, die noch nicht umgesetzt sind, sind als solche gekennzeichnet und dürfen dem Auftraggeber gegenüber nicht als bestehend dargestellt werden.

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)

• Die Übertragung zwischen Endgerät, Anzeigegerät und Server erfolgt durchgehend

über HTTPS mit TLS. Unverschlüsselte Aufrufe werden auf die verschlüsselte Adresse umgeleitet.

• Kennwörter werden ausschließlich als kryptografischer Hash nach dem

bcrypt-Verfahren gespeichert. Ein Rückschluss auf das Kennwort ist nicht möglich.

• Anzeigegeräte werden über eine zufällig erzeugte Kennung geführt. Hardware-

Kennungen wie Seriennummer, Geräte-Kennung des Betriebssystems oder MAC-Adresse werden nicht ausgelesen.

• Zahlungsdaten werden nicht beim Auftragnehmer gespeichert, sondern

ausschließlich beim Zahlungsdienstleister.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

Zutrittskontrolle. Die Server stehen in Rechenzentren des in Anlage 3 genannten Betreibers. Für den physischen Zutritt gelten dessen Maßnahmen; sie sind Teil der mit ihm geschlossenen Vereinbarung nach Art. 28 DSGVO. Arbeitsplatzgeräte des Auftragnehmers werden versperrt aufbewahrt und sind verschlüsselt.

Zugangskontrolle. Der Zugang zu den Systemen erfolgt über persönliche Benutzerkonten mit Kennwort. Der Verwaltungszugang zum Server erfolgt über SSH mit Schlüsselpaar. Anmeldenachweise (JSON Web Token) sind zeitlich befristet und werden bei der Abmeldung ungültig gemacht.

Zugriffskontrolle. Die Daten der Kunden sind nach Kundengruppen getrennt. Abfragen über das Dashboard prüfen die Zugehörigkeit des anfragenden Kontos zur jeweiligen Kundengruppe. Rechte werden nach Rollen vergeben; jede Rolle erhält nur die für ihre Aufgabe erforderlichen Rechte.

Noch nicht umgesetzt (Stand 27.08.2026). Einzelne Schnittstellen einer älteren, weiterhin betriebenen Programmfassung führen diese Prüfung nicht durch. Die Umstellung ist eingeleitet. Bis zu ihrem Abschluss gilt die Zusage des vorstehenden Absatzes für diese Schnittstellen nicht.

Trennungskontrolle. Produktiv- und Entwicklungsumgebung sind getrennt: eigene Datenbank, eigene Ablage, eigene Zugangsdaten.

Noch nicht umgesetzt (Stand 27.08.2026). Eine Vorführinstallation wird derzeit aus der Entwicklungsumgebung betrieben und verarbeitet dabei echte Inhalte eines Auftraggebers. Sie wird mit der Inbetriebnahme auf die Produktivumgebung umgestellt. Bis dahin gilt die Zusage des vorstehenden Absatzes für diese Installation nicht.

Weitergabekontrolle. Eine Weitergabe an Dritte findet nur an die in Anlage 3 genannten Stellen statt.

3. Integrität (Art. 32 Abs. 1 lit. b)

• Eingaben werden serverseitig auf Form und Berechtigung geprüft; eine Prüfung

allein im Browser genügt nicht.

• Sicherheitsrelevante Vorgänge werden protokolliert: Anmeldungen, Abmeldungen,

Änderungen an Konten und Rechten, Hochladen und Löschen von Inhalten, jeweils mit Benutzername, Rolle, Kundengruppe, Zeitpunkt und IP-Adresse.

• Änderungen am System erfolgen über eine Versionsverwaltung; jede Änderung ist

einem Zeitpunkt und einer Person zuordenbar.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b)

• Regelmäßige Sicherung der Datenbank und der hochgeladenen Inhalte.
• Überwachung der Erreichbarkeit; Benachrichtigung bei Ausfall eines Geräts.
• Der Dienst wird mit der Sorgfalt eines ordentlichen Unternehmers betrieben;

eine bestimmte Verfügbarkeit wird nicht zugesagt. Störungen werden nach Kenntnis unverzüglich behoben.

>

• Fällt die Internetverbindung eines Anzeigegeräts aus, gibt dieses die zuletzt

übertragenen Inhalte weiter wieder, soweit technisch möglich.

5. Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c)

• Die Sicherungen werden so geführt, dass der Datenbestand nach einem Zwischenfall

wiederhergestellt werden kann.

• Die Wiederherstellung wird in angemessenen Abständen erprobt; das Ergebnis wird

festgehalten.

6. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

• Jährliche Durchsicht dieser Anlage und der tatsächlichen Einstellungen.
• Durchsicht der Zugriffsrechte bei jeder Änderung im Kreis der berechtigten

Personen, mindestens jährlich.

• Sicherheitsaktualisierungen des Betriebssystems und der eingesetzten

Programmbibliotheken werden zeitnah eingespielt.

7. Auftragskontrolle

• Unterauftragsverarbeiter werden nur nach Maßgabe des § 6 herangezogen und

vertraglich nach Art. 28 DSGVO verpflichtet.

• Weisungen des Auftraggebers werden dokumentiert.

Anlage 3 — Unterauftragsverarbeiter und sonstige Empfänger

3.1 Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO

Übermittelt werden an den Betreiber des Push-Dienstes die Registrierungskennung des Mobilgeräts sowie der Inhalt der Meldung; dieser enthält die vom Auftraggeber vergebene Gerätebezeichnung und Standortbezeichnung im Klartext. Der Auftraggeber wird darauf hingewiesen, dass er die Bezeichnungen selbst wählt und neutrale Bezeichnungen vergeben kann.

3.2 Empfänger, die eigene Verantwortliche sind

Diese Empfänger erhalten ausschließlich Daten, für die der Auftragnehmer selbst Verantwortlicher ist. Daten, die der Auftragnehmer im Auftrag des Auftraggebers verarbeitet, werden ihnen nicht übermittelt.

3.3 Aufrufe fremder Server aus der Oberfläche

Die Gestaltungsansicht des Dashboards lädt einen Inhaltseditor von einem Server außerhalb der Europäischen Union. Dabei werden die IP-Adresse und technische Angaben zum Browser der aufrufenden Person an den Betreiber dieses Servers übermittelt.

>

3.4 Änderungen

Der Auftragnehmer führt diese Anlage fort. Änderungen werden dem Auftraggeber nach § 6 Abs. 2 mindestens 30 Tage vorher in Textform angezeigt. Der jeweils aktuelle Stand ist unter www.blickfaenger.at/legal abrufbar und wird auf Verlangen übermittelt.