Dieser Vertrag zur Auftragsverarbeitung (im Folgenden „AVV") konkretisiert die Pflichten der Parteien gemäß Art. 28 DSGVO im Hinblick auf den Schutz personenbezogener Daten im Rahmen der Nutzung von ATM.
1.1. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch FCOM im Auftrag des Auftraggebers im Rahmen der Bereitstellung und des Betriebs der Software ATM gemäß den AGB für ATM.
1.2. Die Dauer dieses AVV entspricht der Dauer des zugrunde liegenden Nutzungsvertrags über ATM.
Die Verarbeitung umfasst insbesondere das Speichern, Anzeigen, Ändern, Übermitteln und Löschen von Daten, die der Auftraggeber im Rahmen der Nutzung von ATM einträgt oder verarbeiten lässt, zum Zweck der Bereitstellung der Auftrags-, Ticket- und Kundenverwaltungsfunktionen von ATM.
3.1. Art der Daten: Stammdaten (Name, Kontaktdaten), Auftrags- und Ticketdaten, Kommunikationsinhalte (z. B. E-Mail-Verkehr im Rahmen der Ticketbearbeitung), sowie sonstige vom Auftraggeber in ATM eingegebene Daten.
3.2. Kategorien betroffener Personen: Kunden des Auftraggebers, Mitarbeiter des Auftraggebers sowie sonstige Personen, deren Daten der Auftraggeber im Rahmen seiner Geschäftstätigkeit über ATM verarbeitet.
4.1. FCOM verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, FCOM ist gemäß Unionsrecht oder dem Recht der Mitgliedstaaten, dem FCOM unterliegt, zur Verarbeitung verpflichtet; in einem solchen Fall teilt FCOM dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
4.2. FCOM gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
4.3. FCOM trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anhang 1 – TOM).
4.4. FCOM unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte gemäß Kapitel III der DSGVO.
4.5. FCOM unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (u. a. Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), unter Berücksichtigung der Art der Verarbeitung und der FCOM zur Verfügung stehenden Informationen.
4.6. FCOM meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO unverzüglich, spätestens jedoch binnen 48 Stunden nach Kenntniserlangung.
4.7. Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht FCOM sämtliche personenbezogenen Daten, die im Auftrag des Auftraggebers verarbeitet wurden, oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Die Löschung bzw. Rückgabe erfolgt innerhalb von 30 Tagen nach Vertragsende, sofern der Auftraggeber nicht vorher eine Rückgabe der Daten in einem gängigen Format verlangt.
4.8. FCOM stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. FCOM informiert den Auftraggeber unverzüglich, wenn eine Weisung nach Auffassung von FCOM gegen die DSGVO oder sonstige Datenschutzbestimmungen verstößt.
5.1. Der Auftraggeber erteilt FCOM eine allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Leistung | Standort |
|---|---|---|
| Microsoft Ireland Operations Ltd. (Microsoft 365 / Graph API) | Versand von System- und Benachrichtigungs-E-Mails | EU, mit möglicher Verarbeitung außerhalb der EU/des EWR im Rahmen des Mailversands |
| Hetzner Online GmbH | Hosting der Server-Infrastruktur | Rechenzentrum Falkenstein, Deutschland (EU) |
5.2. FCOM informiert den Auftraggeber über die Absicht der Bestellung weiterer Unterauftragsverarbeiter oder deren Ersetzung mit angemessenem Vorlauf. Der Auftraggeber kann dieser Änderung innerhalb von 14 Tagen ab Mitteilung aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen.
5.3. FCOM legt jedem Unterauftragsverarbeiter im Wege eines Vertrags die gleichen Datenschutzpflichten auf, die in diesem AVV festgelegt sind.
Die von FCOM getroffenen technischen und organisatorischen Maßnahmen sind in Anhang 1 dargestellt. FCOM ist berechtigt, diese Maßnahmen anzupassen, solange das ursprüngliche Schutzniveau nicht unterschritten wird.
7.1. Der Auftraggeber ist im Verhältnis zu den von ihm über ATM verarbeiteten Daten Verantwortlicher im Sinne der DSGVO und für die Rechtmäßigkeit der Datenverarbeitung sowie die Wahrung der Rechte der betroffenen Personen verantwortlich.
7.2. Der Auftraggeber ist berechtigt, sich vor Beginn der Datenverarbeitung und danach regelmäßig von der Einhaltung der von FCOM getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
Es gelten die Haftungsregelungen der AGB für ATM (Punkt 11) entsprechend.
9.1. Es gilt ausschließlich österreichisches Recht.
9.2. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.