Auftragsverarbeitungsvertrag

Diese Vereinbarung regelt, wie ioumi die personenbezogenen Daten deiner Endkunden in deinem Auftrag verarbeitet. Du schließt sie als Verkäufer mit der Zustimmung zu unseren AGB ab (§ 17 Abs 2 AGB).

‍

Vereinbarung zur Auftragsdatenverarbeitung

(im Folgenden die „Vereinbarung“)

Diese Vereinbarung wird abgeschlossen zwischen dem Verkäufer (im Folgenden auch der „Verantwortliche“) einerseits und der ioumi GmbH, FN 672206 p, Bahnhofstraße 8a, 6922 Wolfurt, Österreich (im Folgenden auch der „Auftragsverarbeiter“) andererseits. Der Verantwortliche und der Auftragsverarbeiter werden im Folgenden einzeln auch die „Partei“ und gemeinsam die „Parteien“ genannt:

‍

§ 1 Vertragsgegenstand

(1) Der Verantwortliche hat den Auftragsverarbeiter mit der Erbringung von Dienstleistungen, die in der Anlage ./1 zu dieser Vereinbarung beschrieben sind (im Folgenden die „Dienstleistungen“), beauftragt.

(2) Da der Auftragsverarbeiter im Rahmen der von ihm zu erbringenden Dienstleistungen auch Zugriff auf vom Verantwortlichen verarbeitete personenbezogene Daten, welche in der Anlage ./1 zu dieser Vereinbarung angeführt sind (im Folgenden die „Personenbezogenen Daten“), erhält bzw die Personenbezogenen Daten allenfalls in anderer Weise an den Auftragsverarbeiter überlassen werden, ist gemäß Art 28 Abs 3 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, im Folgenden die „DSGVO“) der Abschluss einer Vereinbarung über die Auftragsdatenverarbeitung erforderlich.

(3) Hinsichtlich der Personenbezogenen Daten unterwirft sich der Auftragsverarbeiter ausdrücklich den in § 2 dieser Vereinbarung angeführten datenschutzrechtlichen Verpflichtungen.

‍

§ 2 Datenschutzrechtliche Verpflichtungen des Auftragsverarbeiters

(1) Der Verantwortliche wird dem Auftragsverarbeiter zur Erbringung der Dienstleistungen allenfalls die Personenbezogenen Daten überlassen. Der Auftragsverarbeiter ist daher als datenschutzrechtlicher Auftragsverarbeiter im Sinne des Art 4 Z 8 DSGVO anzusehen. Der Verantwortliche ist datenschutzrechtlicher Verantwortlicher im Sinne des Art 4 Z 7 DSGVO.

(2) Der Auftragsverarbeiter verpflichtet sich, alle ihn nach den österreichischen und europäischen Datenschutzvorschriften als Auftragsverarbeiter treffenden Pflichten zu jedem Zeitpunkt nachzukommen. Ohne Einschränkung dieser allgemeinen Verpflichtung gilt dies insbesondere für die im Folgenden ausdrücklich angeführten Verpflichtungen.

(3) Der Auftragsverarbeiter verpflichtet sich, die Personenbezogenen Daten ausschließlich im Rahmen der Aufträge des Verantwortlichen zu verarbeiten. Grundsätzlich ergibt sich der zulässige Umfang der Verarbeitung der Personenbezogenen Daten aus den vertraglichen Vereinbarungen betreffend die Dienstleistungen. Änderungen in Bezug auf die vom Auftragsverarbeiter vorzunehmende Datenverarbeitung sind vom Verantwortlichen in schriftlicher Form oder in Textform zu erteilen.

(4) Jegliche sonstige Verarbeitung oder Übermittlung der Personenbezogenen Daten ohne ausdrücklichen Auftrag des Verantwortlichen, insbesondere jegliche Verarbeitung für eigene Zwecke, ist ausdrücklich untersagt. Der Auftragsverarbeiter wird die Personenbezogenen Daten nur im für die Erbringung der Dienstleistungen unbedingt erforderlichen Ausmaß verwenden. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass ein Auftrag des Verantwortlichen gegen die anwendbaren Datenschutzvorschriften verstößt.

(5) Sofern der Auftragsverarbeiter aufgrund zwingender gesetzlicher Bestimmungen zur Übermittlung oder sonstigen Offenlegung Personenbezogener Daten gegenüber Dritten verpflichtet ist, wird er den Verantwortlichen, soweit zulässig, vor Vornahme der jeweiligen Übermittlung informieren.

(6) Der Auftragsverarbeiter verpflichtet sich, hinsichtlich der vom Auftragsverarbeiter betriebenen Systeme, auf denen die Personenbezogenen Daten verwendet werden, die gemäß Art 32 DSGVO erforderlichen Datensicherheitsmaßnahmen zu ergreifen und die ergriffenen Datensicherheitsmaßnahmen periodisch im Hinblick auf den jeweiligen Stand der Technik zu überprüfen und gegebenenfalls an den aktuellen Stand der Technik anzupassen. Der Auftragsverarbeiter wird die getroffenen Sicherheitsmaßnahmen dokumentieren und diese Dokumentation während der Laufzeit dieser Vereinbarung und für 12 Monate nach Außerkrafttreten dieser Vereinbarung aufbewahren. Die konkret vom Auftragsverarbeiter ergriffenen technischen und organisatorischen Datensicherheitsmaßnahmen sind in Anlage ./2 zu dieser Vereinbarung angeführt.

(7) Der Auftragsverarbeiter wird im Zusammenhang mit der Verwendung der Personenbezogenen Daten nur Dienstnehmer oder sonstige Mitarbeiter heranziehen, die sich gegenüber dem Auftragsverarbeiter zur Vertraulichkeit und zur Einhaltung des Datengeheimnisses (insbesondere gemäß § 6 DSG) verpflichtet haben. Die Verpflichtung zur Einhaltung des Datengeheimnisses muss auch nach Beendigung des jeweiligen Beschäftigungsverhältnisses und/oder dieser Vereinbarung aufrecht bleiben.

(8) Die Heranziehung der in Anlage ./3 angeführten (Sub-)Auftragsverarbeiter wird seitens des Verantwortlichen die Zustimmung erteilt. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über die Heranziehung von (Sub-)Auftragsverarbeitern, welche nicht in Anlage ./3 angeführt sind, vorab zu informieren. Der Verantwortliche kann der Heranziehung eines Subauftragsverarbeiters innerhalb von 14 Tagen nach Zugang der Information aus wichtigem Grund widersprechen. Im Fall eines Widerspruchs wird sich der Auftragsverarbeiter um eine zumutbare Alternative bemühen. Ist eine solche nicht möglich oder dem Auftragsverarbeiter nicht zumutbar, ist jede Partei berechtigt, das Nutzungsverhältnis über die Plattform mit einer Frist von 30 Tagen zu kündigen.

(9) In den jeweiligen Vereinbarungen mit allenfalls beauftragten (Sub-)Auftragsverarbeitern sind die in diesem § 2 für den Auftragsverarbeiter vorgesehenen Verpflichtungen gegenüber dem (Sub-)Auftragsverarbeiter ebenfalls zu vereinbaren. Auf Verlangen ist dem Verantwortlichen in die den Datenschutz betreffenden Teile solcher Vereinbarungen mit (Sub-)Auftragsverarbeitern Einblick zu gewähren. Der Auftragsverarbeiter verpflichtet sich, die Einhaltung der Verpflichtungen nach diesem § 2 durch allenfalls herangezogene (Sub-)Auftragsverarbeiter regelmäßig und zumindest einmal jährlich zu überprüfen und den Verantwortlichen auf Verlangen über die Ergebnisse einer solchen Überprüfung zu informieren.

(10) Unbeschadet der mit allfälligen (Sub-)Auftragsverarbeitern abgeschlossenen Vereinbarungen bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen vollumfänglich für die Einhaltung der Verpflichtungen nach diesem § 2 verantwortlich. Die Haftung des Auftragsverarbeiters wird allerdings, soweit gesetzlich zulässig, auf grobe Fahrlässigkeit oder Vorsatz eingeschränkt und ist betraglich mit der Summe der Grundgebühren (ohne Transaktionsgebühren) beschränkt, die der Verantwortliche in den letzten zwölf Monaten vor dem schadensbegründenden Ereignis an den Auftragsverarbeiter bezahlt hat. Im Falle einer solidarischen Haftung des Auftragsverarbeiters und des Verantwortlichen gegenüber Dritten werden die Parteien im Innenverhältnis einen Ausgleich nach dem die Parteien jeweils treffenden Verschulden vornehmen. Die Haftung nach zwingenden gesetzlichen Bestimmungen, insbesondere gegenüber betroffenen Personen nach Art 82 DSGVO, bleibt unberührt.

(11) Soweit die Verarbeitung Personenbezogener Daten außerhalb von Mitgliedsstaaten der EU oder des EWR erfolgt, wird der Auftragsverarbeiter sicherstellen, dass entweder ein Angemessenheitsbeschluss im Sinne von Art 45 DSGVO vorliegt oder geeignete Garantien gemäß Art 46 DSGVO eingehalten werden.

(12) Der Auftragsverarbeiter wird den Verantwortlichen im Falle der Geltendmachung von Betroffenenrechten (zB Auskunftsverlangen, Antrag auf Löschung) in technischer und organisatorischer Hinsicht unterstützen. Weiters wird der Auftragsverarbeiter den Verantwortlichen gegebenenfalls bei der Durchführung einer Datenschutz-Folgeabschätzung gemäß Art 35 und 36 DSGVO unterstützen.

(13) Der Auftragsverarbeiter wird die Personenbezogenen Daten (einschließlich allfälliger Verarbeitungsergebnisse und etwaiger Kopien der Personenbezogenen Daten) auf Weisung des Verantwortlichen bzw spätestens nach Beendigung dieser Vereinbarung unwiederbringlich löschen. Der Auftragsverarbeiter räumt dem Verkäufer vor der Löschung während eines Zeitraums von dreißig (30) Tagen die Möglichkeit zum Export der Personenbezogenen Daten ein. Abweichend davon weist der Verantwortliche den Auftragsverarbeiter hiermit an, Unterlagen, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Verträge, Rechnungen, Gutschriften, Zahlungsbelege und den Audit-Trail elektronischer Signaturen), samt der dafür erforderlichen Stamm- und Kontaktdaten der Endkunden für die Dauer der gesetzlichen Aufbewahrungsfrist (derzeit sieben Jahre gemäß § 132 BAO) zu archivieren. Während der Archivierung werden diese Daten gesperrt und ausschließlich gespeichert; der Verantwortliche erhält sie auf Anfrage. Nach Ablauf der Frist werden sie gelöscht. Klargestellt wird, dass die Verpflichtungen nach diesem § 2, unabhängig von der Geltung dieser Vereinbarung, bis zur endgültigen Löschung der Personenbezogenen Daten beim Auftragsverarbeiter vollumfänglich aufrecht bleiben.

(14) Der Auftragsverarbeiter wird dem Verantwortlichen unverzüglich, aber spätestens innerhalb von 24 Stunden, über jeglichen unbefugten Zugriff auf die Personenbezogenen Daten und jegliche Verletzung oder Einschränkung der Datensicherheit informieren. Diesfalls wird der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art 33 DSGVO und Art 34 DSGVO unterstützen.

(15) Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Aufforderung alle Informationen (insbesondere Berichte und Zertifikate) zur Verfügung zu stellen, die für die Kontrolle der Einhaltung der Verpflichtungen nach diesem § 2 erforderlich sind. Eine Vor-Ort-Prüfung durch den Verkäufer ist nur nach vorheriger Ankündigung mit einer Frist von zumindest 30 Tagen zulässig. Die Kosten für einen Vor-Ort-Audit werden vom Verkäufer getragen.

‍

§ 3 Datenschutzrechtliche Verpflichtungen des Verantwortlichen

(1) Der Verantwortliche ist für die Festlegung der Verarbeitungszwecke und die Rechtsgrundlagen der Verarbeitung (einschließlich der Einholung allfälliger Einwilligung) verantwortlich und hat die Rechtmäßigkeit der Verarbeitung der Personenbezogenen Daten gegenüber den Endkunden sicherzustellen.

(2) Der Verkäufer wird seine Informationspflichten, insbesondere gemäß Art 13 und 14 DSGVO gegenüber den Endkunden erfüllen. Weiters ist der Verkäufer für die Erfüllung sonstiger Anfragen von Endkunden verantwortlich. Der Auftragsverarbeiter wird den Verantwortlichen gemäß § 2 dieser Vereinbarung bei der Beantwortung von Anfragen von Endkunden unterstützen.

‍

§ 4 Schlussbestimmungen

(1) Diese Vereinbarung unterliegt österreichischem materiellem Recht.

(2) Alle Streitigkeiten, die sich aus dieser Vereinbarung ergeben oder sich auf deren Verletzung oder Ungültigkeit beziehen, sind ausschließlich von den für den Sitz des Auftragsverarbeiters sachlich zuständigen Gerichten zu entscheiden.

(3) Diese Vereinbarung stellt die gesamte Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter bezüglich des Vertragsgegenstands dar. Die Bestimmungen dieser Vereinbarung gehen allenfalls abweichenden Bestimmungen in den Anlagen zu dieser Vereinbarung und Bestimmungen in anderen Vereinbarungen zwischen den Parteien vor.

(4) Sollte eine Bestimmung dieser Vereinbarung ganz oder teilweise nichtig, unwirksam oder nicht durchsetzbar sein oder werden, wird die Gültigkeit, Wirksamkeit und Durchsetzbarkeit aller übrigen verbleibenden Bestimmungen davon nicht berührt. Die nichtige, unwirksame oder nicht durchsetzbare Bestimmung ist als durch diejenige wirksame und durchsetzbare Bestimmung ersetzt anzusehen, die dem mit der nichtigen, unwirksamen oder nicht durchsetzbaren Bestimmung verfolgten wirtschaftlichen Zweck nach Gegenstand, Maß, Zeit, Ort und Geltungsbereich am nächsten kommt. Entsprechendes gilt für die Füllung etwaiger Lücken in dieser Vereinbarung.

‍

Anlage ./1: Beschreibung der Dienstleistungen und der personenbezogenen Daten

Erbrachte Dienstleistungen

Bereitstellung der ioumi-Plattform-Funktionen für den Verkäufer, insbesondere:

• Erstellung und Verwaltung von Verträgen mit Endkunden
• Zustellung und Signatur-Erfassung mit Audit-Trail
• Zahlungsabwicklung über den externen Zahlungsdienstleister
• Rechnungserstellung und automatischer Zahlungseinzug
• Bereitstellung des Kundenportals für Endkunden
• E-Mail-Kommunikation an Endkunden im Namen des Verkäufers

Verarbeitungszweck

Erfüllung der Vertragsbeziehung zwischen Verkäufer und Endkunden über die ioumi-Plattform, von der Vertragserstellung über Signatur und Zahlung bis zur Rechnungsabwicklung.

Dauer der Verarbeitung

• für die Dauer des Vertragsverhältnisses zwischen dem Verkäufer und ioumi
• nach Beendigung: Exportmöglichkeit für 30 Tage, anschließend Löschung gemäß § 2 Abs 13 dieser Vereinbarung
• ausgenommen sind Unterlagen mit gesetzlicher Aufbewahrungspflicht (Verträge, Rechnungen, Gutschriften, Zahlungsbelege, Audit-Trail): gesperrte Archivierung für sieben Jahre gemäß § 2 Abs 13, danach Löschung
• Löschungsanträge von Endkunden leitet ioumi an den Verkäufer als Verantwortlichen weiter

Betroffene Personen

• Endkunden des Verkäufers
• Ansprechpartner und unterzeichnende Personen bei Endkunden, die Unternehmen sind

Verarbeitete Datenkategorien

• Stamm- und Kontaktdaten (Name, Adresse, E-Mail, Telefonnummer, Firma, UID)
• Vertragsdaten (Vertragsinhalt, Positionen, Leistungen, Bedingungen, Zahlungsplan)
• Kommunikationsdaten (E-Mail-Inhalte, Dokumente)
• Zahlungsdaten (Zahlungsmethode, Beträge, Status; vollständige Kartennummern und Kontodaten liegen beim externen Zahlungsdienstleister, nicht bei ioumi)
• Signatur- und Audit-Trail-Daten (IP-Adresse, Zeitstempel, akzeptierte Dokumente, Signatur-Bild oder -Text)
• Nutzungsdaten (Login-Verhalten im Kundenportal, technische Logs)

‍

Anlage ./2: Technische und organisatorische Datensicherheitsmaßnahmen

Vertraulichkeit

• Verschlüsselung bei der Übertragung: TLS 1.2 oder höher für alle Verbindungen zur Plattform
• Mandantentrennung: Daten sind je Verkäufer-Account getrennt, rollenbasierte Berechtigungen innerhalb eines Accounts
• Dokumente und Dateien liegen in einem nicht öffentlichen Speicher und sind nur über signierte, zeitlich begrenzte Links abrufbar
• Mitarbeiter-Zugriff: nur für berechtigte Mitarbeiter und nur im für die jeweilige Aufgabe nötigen Umfang
• Passwörter: Speicherung ausschließlich als Hash mit sicherem Hashing-Verfahren, keine Klartext-Speicherung
• Zwei-Faktor-Authentifizierung für Nutzer der Plattform verfügbar
• Endkunden melden sich im Kundenportal ohne Passwort über einmalig gültige, zeitlich begrenzte Magic-Links an
• Zugangs-Token werden nicht im Klartext protokolliert

Integrität

• Übertragungskontrolle: verschlüsselte Übertragung (TLS)
• Eingabekontrolle: Audit-Trail für alle Vertragsereignisse (Erstellung, Versand, Signatur, Änderung)
• Versionierung: unveränderliche Vertragsversionen mit Zeitstempel, Hash-Wert des signierten Dokuments

Verfügbarkeit und Belastbarkeit

• Betrieb ausschließlich in Rechenzentren in der Europäischen Union
• Datenbank und Anwendung: tägliche automatische Sicherung, Aufbewahrung der Sicherungen für sieben Tage
• Dokumente und Dateien: zweimal täglich automatische Sicherung in einen getrennten Speicher in der Europäischen Union
• Wiederherstellung aus jeder verfügbaren Sicherung
• Überwachung der Erreichbarkeit der Plattform rund um die Uhr sowie der Gültigkeit der TLS-Zertifikate
• Überwachung der Systemauslastung und automatische Erfassung von Anwendungsfehlern

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Updates der Plattform und ihrer Abhängigkeiten
• Prüfung von Änderungen vor der Veröffentlichung (Code-Review, automatisierte Tests)
• Überprüfung der (Sub-)Auftragsverarbeiter mindestens einmal jährlich (§ 2 Abs 9)
• Datenschutz-Folgenabschätzung bei wesentlichen Änderungen

‍

Anlage ./3: (Sub-)Auftragsverarbeiter

ioumi setzt (Sub-)Auftragsverarbeiter insbesondere für Hosting, Zahlungsabwicklung, E-Mail-Versand sowie Wartung, technischen Betrieb und Support der Plattform ein. Die vollständige und jeweils aktuelle Liste aller (Sub-)Auftragsverarbeiter mit Name, Anschrift, Zweck und Ort der Verarbeitung erhält der Verkäufer jederzeit auf Anfrage an datenschutz@ioumi.com. Über neue oder geänderte (Sub-)Auftragsverarbeiter informiert ioumi den Verkäufer gemäß § 2 Abs 8 vorab per E-Mail.