Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand, Art, Umfang und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Bereitstellung der Software Nexavio für Dienstplanung, Zeiterfassung und Abwesenheitsverwaltung).

2. Dauer

Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über die Beendigung hinaus fortbestehen (insbesondere zur Vertraulichkeit, Löschung und Rückgabe), bleiben unberührt.

3. Verantwortlichkeit und Weisungsrecht

Der Verantwortliche ist im Verhältnis der Parteien für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Weisungen erfolgen grundsätzlich durch die Nutzung der Funktionen der Anwendung sowie ergänzend in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich; er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen und der vertraglich vereinbarten Zwecke zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
• sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO);
• die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen und einzuhalten; diese sind in Anlage 2 beschrieben (Art. 28 Abs. 3 lit. c DSGVO);
• die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter gemäß Punkt 5 einzuhalten (Art. 28 Abs. 3 lit. d DSGVO);
• den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen nach Möglichkeit dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nachzukommen (Art. 28 Abs. 3 lit. e DSGVO);
• den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO);
• dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden mitzuteilen und ihn bei der Erfüllung seiner Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) zu unterstützen;
• ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO zu führen;
• eine Ansprechstelle für Datenschutzanfragen bereitzustellen (erreichbar unter office@nexavio.at).

5. Weitere Auftragsverarbeiter (Subprozessoren)

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Subprozessoren) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subprozessoren ergeben sich aus Anlage 3. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter und räumt dem Verantwortlichen die Möglichkeit ein, gegen derartige Änderungen Einspruch zu erheben. Der Auftragsverarbeiter erlegt jedem Subprozessor durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Erfüllt ein Subprozessor seine Datenschutzpflichten nicht, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Subprozessors.

6. Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und hält sie während der Vertragslaufzeit ein. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter ist berechtigt, sie weiterzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7. Kontrollrechte und Nachweise

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO). Kontrollen erfolgen nach angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. Der Nachweis kann auch durch geeignete Bestätigungen, Berichte oder Zertifizierungen erbracht werden.

8. Löschung und Rückgabe nach Beendigung

Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Anwendung selbst ausleiten.

9. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Bestimmungen des Hauptvertrags. Im Außenverhältnis gegenüber betroffenen Personen bleibt die gesetzliche Haftungsverteilung unberührt.

10. Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Im Falle von Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.