Auftrags­verarbeitungs­vertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Anwendung „PLD Pro“ gemäß den zwischen den Parteien bestehenden AGB. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags an.

2. Art und Zweck der Verarbeitung

Speicherung, Kategorisierung, Durchsuchung, Aufbewahrung und kontrollierte Löschung von Dokumenten, die der Verantwortliche in die Anwendung hochlädt, zum Zweck der digitalen Dokumentenablage.

3. Art der personenbezogenen Daten

Die in den hochgeladenen Dokumenten enthaltenen personenbezogenen Daten, z. B. Namen, Adressen, Kontaktdaten, Vertrags- und Rechnungsdaten, gegebenenfalls Personalunterlagen mit besonderen Datenkategorien, je nach Inhalt der vom Verantwortlichen hochgeladenen Dokumente.

4. Kategorien betroffener Personen

Kunden, Lieferanten, Mitarbeiter und sonstige Geschäftspartner des Verantwortlichen, deren Daten in den hochgeladenen Dokumenten enthalten sind.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet.

6. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.

7. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, insbesondere Mandanten-Isolation je Kunde, verschlüsselte Übertragung, rollenbasierte Zugriffskontrolle und ein Audit-Protokoll für Zugriffe und Löschungen. Details sind in der internen TOM-Dokumentation des Auftragsverarbeiters festgehalten und werden auf Anfrage zur Verfügung gestellt.

8. Sub-Auftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz folgender Sub-Auftragsverarbeiter:

• OneProvider Inc., 3275 Av Francis-Hughes, Laval, QC H7L 5A5, Kanada – Serverhardware (physischer Standort der genutzten Server: Lille, Frankreich, und Amsterdam, Niederlande, beide EU). Übermittlungen im Zusammenhang mit Wartung/Support sind über den Angemessenheitsbeschluss der EU-Kommission für PIPEDA-pflichtige kommerzielle Organisationen in Kanada gedeckt (Art. 45 DSGVO).
• ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, D-02742 Friedersdorf, Deutschland – E-Mail-Versand.

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Sub-Auftragsverarbeitern; der Verantwortliche kann gegen solche Änderungen Einspruch erheben.

9. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich, bei der Erfüllung von Betroffenenanfragen (Art. 12–23), bei der Gewährleistung der Sicherheit der Verarbeitung (Art. 32–36) sowie bei der unverzüglichen Meldung von Datenschutzverletzungen an den Verantwortlichen.

10. Löschung und Rückgabe

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück und löscht bestehende Kopien, soweit nicht eine gesetzliche Aufbewahrungspflicht (z. B. § 132 BAO) entgegensteht.

11. Nachweis- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.