Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Abschluss elektronisch (Klick im Kundenportal) — zulässig nach Art. 28 Abs. 9 DSGVO („schriftlich … auch in einem elektronischen Format“). Der Vertrag gilt ab Annahme und für die Dauer des Hauptvertrags (Hosting-/Domain-Vertrag).

1. Parteien

• Verantwortlicher (Kunde): [Firma/Name, Anschrift, FN/UID], nachfolgend „Kunde“.
• Auftragsverarbeiter: [Firma], [Anschrift], FN [●], UID [●], nachfolgend „Anbieter“.

2. Gegenstand, Dauer, Art und Zweck

3. Weisungsgebundenheit (Art. 28 Abs. 3 lit. a)

• Verarbeitung nur auf dokumentierte Weisung des Kunden. Weisungen erfolgen durch den Hauptvertrag, Konfiguration im Kundenportal und Support-Tickets.
• Hält der Anbieter eine Weisung für rechtswidrig, informiert er unverzüglich (Art. 28 Abs. 3 UAbs. 2).
• Gesetzliche Offenlegungspflichten (z. B. behördliche Anordnungen) teilt der Anbieter vorab mit, soweit rechtlich zulässig.

4. Vertraulichkeit (lit. b)

Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet (auch § 6 DSG). Administrativer Zugriff ist personengebunden (Mehrbenutzer-Konten, Passkey/TOTP, Protokollierung jeder Aktion im manipulationssicheren Ops-Journal).

5. Technische und organisatorische Maßnahmen (lit. c, Art. 32)

Siehe Anlage 1 (TOMs). Der Anbieter darf TOMs weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.

6. Unterauftragsverarbeiter (lit. d, Art. 28 Abs. 2 und 4)

• Allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter.
• Neue/ersetzte Unterauftragsverarbeiter werden mind. [30] Tage vorher per E-Mail und im Portal angekündigt; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall außerordentlich kündigen (kein Wechselentgelt, vgl. EU Data Act).
• Gleiche Datenschutzpflichten werden vertraglich weitergegeben.

7. Drittlandübermittlung (Kapitel V DSGVO)

Standard: Verarbeitung ausschließlich in der EU/im EWR. Übermittlungen in Drittländer nur mit Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework, soweit zertifiziert) oder Standardvertragsklauseln + Transfer-Folgenabschätzung, und nur nach Ankündigung gemäß Punkt 6. KI-Funktionen (Support-Bot) verarbeiten keine Kundendaten, außer der Kunde aktiviert sie ausdrücklich [Anbieter/Region eintragen].

8. Unterstützungspflichten (lit. e, f)

• Betroffenenrechte (Art. 15–22): Weiterleitung eingehender Anfragen unverzüglich; technische Unterstützung (Export, Löschung) über Portal/Support.
• Art. 32–36: Unterstützung bei Sicherheit, Datenschutz-Folgenabschätzung, Konsultation.
• Datenschutzverletzungen: Meldung an den Kunden unverzüglich, spätestens binnen [24] Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 (soweit bekannt), damit der Kunde die 72-h-Frist einhalten kann.

9. Kontrollrechte (lit. h)

Nachweise über TOMs (Selbstauskunft, Berichte, ggf. Zertifikate) auf Anfrage. Vor-Ort-Prüfungen nach Voranmeldung von [14] Tagen, zu Geschäftszeiten, max. 1× jährlich (außer bei Anlass), Kosten trägt [●]. Rechte von Aufsichtsbehörden bleiben unberührt.

10. Rückgabe und Löschung (lit. g)

Nach Vertragsende: Export der Kundendaten in gängigem, maschinenlesbarem Format (Data-Act-konform, ohne Wechselentgelt) für [30] Tage; danach Löschung inkl. Backups spätestens nach Ablauf der Backup-Retention ([bis zu 12 Monate — mit Retention in Anlage 1 abstimmen]), sofern keine gesetzliche Aufbewahrungspflicht besteht. Löschung wird auf Anfrage bestätigt.

11. Haftung

Es gilt Art. 82 DSGVO; im Übrigen die Haftungsregeln des Hauptvertrags [prüfen: Verhältnis zu AGB-Haftungsbegrenzungen, KSchG bei Verbrauchern].

12. Schlussbestimmungen

Bei Widersprüchen geht dieser AVV dem Hauptvertrag vor, soweit es um Datenschutz geht. Österreichisches Recht; Gerichtsstand [●] (bei Verbrauchern gesetzlicher Gerichtsstand).

Anlage 1 — TOMs (Kurzfassung, Detailfassung im Verzeichnis nach Art. 30)

Anlage 2 — Unterauftragsverarbeiter