angeschlossen zwischen
Geschäftskunden
(im Folgenden kurz "Auftraggeber")
und der
Vertical Codes GmbH, FN491122p
Bahnhofstraße 10
4050 Traun
im Folgenden kurz "Auftragnehmer"),
(einzeln jeweils als "Partei" und gemeinsam als "Parteien" bezeichnet)
wie folgt:
1. Präambel, Ziel der Vereinbarung
1.1 Für die Zwecke dieser Vereinbarung gelten die Begriffsdefinitionen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO).
1.2 Diese Vereinbarung ist integrierender Bestandteil der Allgemeinen Vertrags- und Geschäftsbedingungen für die Nutzung der Plattform "Bonder", welche vom Auftragnehmer angeboten und betrieben wird.
1.3 Gegenstand dieser Vereinbarung ist die Erbringung der in Anlage 1 näher dargestellten Dienstleistungen ("Basis-Dienstleistung") durch den Auftragnehmer, welche zur Gänze oder teilweise in der Verarbeitung personenbezogener Daten für den Auftraggeber bestehen. Diese Vereinbarung bildet die rechtsgeschäftliche Grundlage gemäß Art 28 Abs 3 DSGVO. Anlage 1 bildet einen integrierenden Bestandteil dieser Vereinbarung.
2. Datenverarbeitung und Beschränkungen
2.1 Der Auftraggeber erklärt ausdrücklich, Verantwortlicher iSd Art 4 Z 7 DSGVO in Bezug auf die von ihm bereitgestellten personenbezogenen Daten und die in dieser Vereinbarung geregelten Verarbeitungen/Verarbeitungszwecke zu sein. Der Auftraggeber entscheidet sohin im Rahmen dieser Vereinbarung allein über Zwecke und Mittel der Verarbeitung und/oder er wurde aufgrund gesetzlicher Bestimmungen als Verantwortlicher benannt. Der Auftraggeber hat demzufolge in seiner gesetzlichen Funktion als Verantwortlicher insbesondere auch die Rechtmäßigkeit der Verarbeitung sicherzustellen. Gleichermaßen erklärt der Auftragnehmer, Auftragsverarbeiter iSd Art 4 Z 8 DSGVO zu sein.
2.2 Der äußerste Rahmen der Datenverarbeitung ergibt sich aus dem Inhalt der Basis-Dienstleistung. Der Auftragnehmer verpflichtet sich, personenbezogene Daten ausschließlich im Rahmen der Basis-Dienstleistung und nur aufgrund dokumentierter Weisungen des Auftraggebers – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation – zu verarbeiten. Der Auftragnehmer ist zur vertragsgemäßen Auftragsdatenverarbeitung nach Maßgabe des geltenden Datenschutzrechtes verhalten.
2.3 Eine über Punkt 2.2 hinausgehende Verarbeitung ist zulässig, wenn der Auftragnehmer durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, dazu verpflichtet ist.
In einem solchen Fall ist der Auftragnehmer verpflichtet, dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung unverzüglich mitzuteilen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2.4 Der Auftragnehmer ist nicht berechtigt, die vom Auftraggeber erhaltenen Daten für eigene oder fremde Zwecke zu verwenden oder diese ohne schriftliche Genehmigung oder Weisung des Auftraggebers an Dritte weiterzugeben. Die Zulässigkeit der Verarbeitung (i) durch Sub-Auftragnehmer, die nach Maßgabe dieser Vereinbarung vom Auftragnehmer beigezogen werden, sowie (ii) einer Verarbeitung nach Maßgabe des Punktes 2.3 bleibt hiervon unbeschadet.
Der Auftragnehmer verpflichtet sich, Duplikate oder Kopien der Daten ohne gesonderte Zustimmung des Auftraggebers nur dann anzufertigen, wenn diese zur Gewährleistung einer ordnungsgemäßen Verarbeitung (im Sinne von Sicherungskopien) oder zur Erfüllung gesetzlicher Aufbewahrungspflichten zwingend notwendig sind.
2.5 Der Auftraggeber verpflichtet sich, die Basis-Dienstleistung oder einzelne Module davon betroffenen Personen in seinem Verantwortungsbereich nicht zugänglich zu machen, wenn eine solche Nutzung nach den gesetzlichen Bestimmungen, denen der Auftraggeber unterliegt, unzulässig ist. In einem solchen Fall hat der Auftraggeber die jeweils betroffenen Personen anzuweisen, die Basis-Dienstleistung bzw. die betreffenden Module und Funktionen nicht zu nutzen und Nutzungsberechtigungen für eine solche Nutzung nach Möglichkeit zu unterbinden. Ist eine solche Einschränkung innerhalb der Basis-Dienstleistung nicht möglich, hat der Auftraggeber unverzüglich den Auftragnehmer über diesen Umstand in Kenntnis zu setzen. Der Auftraggeber hält den Auftragnehmer von allen Ansprüchen betroffener Personen, die im Verantwortungsbereich des Auftraggebers liegen, schad- und klaglos, die aus der Verletzung dieser Pflicht durch den Auftraggeber resultieren.
2.6 Der Auftragnehmer stellt dem Auftraggeber innerhalb der Basis-Dienstleistung eine Funktion zur Verfügung, in welcher der Auftraggeber seine Datenschutzerklärung in Bezug auf die Basis-Dienstleistung einfügen kann. Der Auftraggeber verpflichtet sich, in seiner so zur Verfügung gestellten Datenschutzerklärung ausdrücklich darauf hinzuweisen, dass der Auftraggeber alleiniger datenschutzrechtlicher Verantwortlicher im Sinne des Art 4 Z 7 DSGVO und der Auftragnehmer Auftragsverarbeiter im Sinne des Art 4 Z 8 DSGVO in Bezug auf die Bereitstellung der Basis-Dienstleistung ist. Der Auftraggeber hält den Auftragnehmer von allen Ansprüchen betroffener Personen, die im Verantwortungsbereich des Auftraggebers liegen, schad- und klaglos, die aus der Verletzung dieser Pflicht durch den Auftraggeber resultieren.
2.7 Wenn der Auftragnehmer in Verstoß gegen diese Vereinbarung und/oder die DSGVO die Zwecke und Mittel der Verarbeitung bestimmt, gilt er – unbeschadet der Art 82-84 DSGVO – in Bezug auf diese Verarbeitung selbst als Verantwortlicher (Art 28 Abs 10 DSGVO).
3. Weisungsrecht
3.1 Dem Auftraggeber steht gegenüber dem Auftragnehmer ein umfassendes Weisungsrecht hinsichtlich Art und Umfang der Datenverarbeitung zu. Die Weisungen sind zumindest elektronisch zu erteilen und vom Auftragnehmer zu dokumentieren.
3.2 Als Weisung im Sinne des Punktes 3.1 gilt, wenn
3.3 Wenn der Auftragnehmer der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, hat er den Auftraggeber unverzüglich zu warnen. Eine Verpflichtung zur Einholung von Rechtsrat in diesem Fall trifft den Auftragnehmer jedoch nicht. Der Auftragnehmer kann in diesem Fall die Durchführung der Verarbeitung bis zur Bestätigung oder Abänderung der Weisung aussetzen. Der Auftragnehmer ist nicht verpflichtet, offensichtlich rechtswidrige Weisungen zu befolgen.
4. Vertraulichkeit und Informationspflichten, Unterstützung
4.1 Der Auftragnehmer gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung der Vereinbarung unbedingt erforderlich ist. Der Auftragnehmer gewährleistet, dass sämtliche Personen, die zur beauftragten Datenverarbeitung eingesetzt bzw. befugt sind, entsprechend geeignet sind und zur Vertraulichkeit verpflichtet wurden, sofern sie nicht ohnedies einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Diese Verschwiegenheitspflicht beginnt bereits vor Aufnahme der Verarbeitungstätigkeiten und wirkt über die Beendigung der Verarbeitungstätigkeiten unbefristet fort.
4.2 Der Auftragnehmer ergreift technische und organisatorische Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt. Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung. Der Auftragnehmer ist berechtigt diese Maßnahmen jederzeit unter Berücksichtigung aktueller Entwicklungen insbesondere betreffend den Stand der Technik anzupassen.
4.3 Überdies verpflichtet sich der Auftragnehmer, den Auftraggeber bei dessen Verpflichtungen gemäß Art 32-36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffene Person, Datenschutz-Folgenabschätzung) sowie bei der Bearbeitung im Zusammenhang mit Betroffenenrechten (Kapitel III DSGVO), insbesondere durch die Setzung geeigneter technisch-organisatorischer Maßnahmen, zu unterstützen. Der Auftragnehmer erfüllt diese Verpflichtung insbesondere auch durch Zurverfügungstellung dieser Vereinbarung. Hält der Auftraggeber eine zusätzliche Unterstützung durch den Auftragnehmer für erforderlich, erklärt sich der Auftragnehmer bereit, diese zu leisten, wobei der Auftragnehmer berechtigt ist, vom Auftraggeber für die Erbringung dieser zusätzlichen nachgewiesenen Unterstützungsleistungen eine angemessene Vergütung nach einem marktüblichen Stundensatz zu verlangen.
Insbesondere verpflichtet sich der Auftragnehmer, im Falle des Einlangens der Anfrage einer Aufsichtsbehörde oder einer betroffenen Person diese Anfrage unverzüglich an den Auftraggeber weiterzuleiten und die weiteren Schritte mit ihm abzustimmen; eine eigenmächtige Beantwortung der Anfrage ohne vorherige Abstimmung mit dem Auftraggeber ist dem Auftragnehmer untersagt.
4.4 Der Auftragnehmer verpflichtet sich, den Auftraggeber im Wege dessen allfällig namhaft gemachten Datenschutzbeauftragten oder Kontaktstelle über jede auch nur potenzielle Verletzung des Schutzes bzw. der Sicherheit der vertragsgegenständlichen Daten in seinem Verantwortungsbereich als Auftragsverarbeiter unverzüglich, jedenfalls aber binnen 24 Stunden ab Kenntnis, zu informieren.
Der Auftragnehmer hat in einem solchen Fall insbesondere das Ausmaß der betroffenen Personen, Datensätze bzw. -kategorien, die ergriffenen bzw. geplanten Gegenmaßnahmen, die wahrscheinlichen Folgen der Datenschutzverletzung sowie die Kontaktdaten einer verantwortlichen Person oder einer sonstigen Anlaufstelle des Auftragnehmers für weitere Informationen/Abstimmungen anzugeben.
5. Sub-Auftragsverarbeitung
5.1 Will der Auftragnehmer auf Dritte bzw. Subunternehmer (im Folgenden gemeinsam als "Sub-Auftragnehmer" bezeichnet) zurückgreifen, um diese Vereinbarung zur Gänze oder in Teilen zu erfüllen, hat er den Auftraggeber zuvor schriftlich zu informieren. Der Auftraggeber hat die Möglichkeit, einen begründeten Einspruch zu erheben und die Hinzuziehung des Sub-Auftragnehmers zu untersagen. Erhebt der Auftraggeber innerhalb von vier Wochen ab Einlangen einer derartigen Mitteilung keinen Einspruch, so gilt die Hinzuziehung als genehmigt. Erhebt der Auftraggeber binnen vorgenannter Frist einen Einspruch, so ist der Auftragnehmer berechtigt, diese Vereinbarung sowie das dieser Vereinbarung zugrundeliegende Vertragsverhältnis zum Zeitpunkt der Hinzuziehung dieses zusätzlichen Sub-Auftragnehmers vorzeitig aus wichtigem Grund aufzulösen. Der Auftraggeber erteilt bereits jetzt für die in Anlage 2 genannten Sub-Auftragnehmer vorweg seine Zustimmung gemäß Punkt 5.1.
5.2 Der Auftragnehmer informiert den Auftraggeber im Wege der Aktualisierung der Allgemeinen Vertrags- und Geschäftsbedingungen für die Nutzung der Plattform "Bonder", deren Anlage diese Vereinbarung ist, über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Sub-Auftragnehmer. Der Auftraggeber ist berechtigt, gegen eine derartige Änderung in sinngemäßer Anwendung des Punktes 5.1 Einspruch zu erheben.
5.3 Nimmt der Auftragnehmer die Dienste eines Sub-Auftragnehmers in Anspruch, um bestimmte Verarbeitungstätigkeiten im Rahmen der Basis-Dienstleistung für den Auftraggeber durchzuführen, so hat er ihm in einem Subdienstleistungsvertrag dieselben Pflichten aufzuerlegen, die in dieser Vereinbarung festgelegt sind, insbesondere auch im Hinblick auf die Umsetzung geeigneter technischer und organisatorischer Maßnahmen.
5.4 Der Auftragnehmer haftet gegenüber dem Auftraggeber in vollem Umfang dafür, dass der Sub-Auftragnehmer seinen Pflichten gemäß dem mit dem Auftragnehmer geschlossenen Subdienstleistungsvertrag nachkommt.
6. Compliance
6.1 Der Auftragnehmer ist verpflichtet, dem Auftraggeber während der Laufzeit dieser Vereinbarung jederzeit die Erfüllung der übernommenen Pflichten nachzuweisen.
6.2 Überdies ist der Auftraggeber berechtigt, nach Abstimmung mit dem Auftragnehmer selbst oder durch beauftragte fachlich geeignete Dritte auf eigene Kosten Überprüfungen – auch in Form von Stichprobenkontrollen und Inspektionen – durchzuführen. Eine solche Überprüfung hat innerhalb der üblichen Geschäftszeiten des Auftragnehmers zu erfolgen, wobei sich Auftragnehmer und Auftraggeber über die konkreten Modalitäten so abstimmen werden, dass der Geschäftsbetrieb des Auftragnehmers im Zuge dieser Inspektion so gering als möglich beeinträchtigt wird. Der dem Auftragnehmer hierdurch nachweislich entstandene Aufwand ist ihm vom Auftraggeber nach einem marktüblichen Stundensatz zu vergüten. Der Auftragnehmer ist insbesondere verpflichtet, dem Auftraggeber sämtliche Informationen zum Nachweis der ihm nach dieser Vereinbarung obliegenden Pflichten zu erteilen, insbesondere im Hinblick auf die von ihm getroffenen technischen und organisatorischen Maßnahmen.
7. Internationale Datenübermittlungen
7.1 Jede Übermittlung von Daten durch den Auftragnehmer an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Auftraggebers oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragnehmer unterliegt, und muss mit Kapitel V DSGVO im Einklang stehen.
7.2 Der Auftraggeber erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragnehmer einen Sub-Auftragnehmer gemäß Punkt 5 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V DSGVO beinhalten, der Auftragnehmer und der Sub-Auftragnehmer die Einhaltung von Kapitel V DSGVO sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Art 46 Abs 2 DSGVO erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.
8. Beginn, Dauer und Beendigung der Vereinbarung
8.1 Der Beginn und die Dauer dieser Vereinbarung sind akzessorisch zu jener des zugrunde liegenden Vertrags zwischen dem Auftraggeber und dem Auftragnehmer über die Nutzung der Plattform "Bonder", sodass mit Beendigung des zugrunde liegenden Vertragsverhältnisses auch diese Vereinbarung automatisch endet. Eine gesonderte ordentliche Kündigungsmöglichkeit ist ausgeschlossen.
8.2 Jede Partei ist berechtigt, diese Vereinbarung vorzeitig mit sofortiger Wirkung aus wichtigem Grund aufzulösen, der der ausscheidenden Partei den Verbleib in dieser Vereinbarung unzumutbar macht. Auf Seiten des Auftragnehmers liegt ein solcher wichtiger Grund insbesondere dann vor, wenn der Auftraggeber der Beiziehung eines Sub-Auftragnehmers durch den Auftragnehmer widerspricht. In einem solchen Fall endet auch das zugrunde liegende Nutzungsverhältnis zwischen dem Auftraggeber und dem Auftragnehmer betreffend die Plattform "Bonder".
8.3 Nach Beendigung dieser Vereinbarung löscht der Auftragnehmer nach Wahl des Auftraggebers alle im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten oder gibt diese zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Dies gilt gleichermaßen für allfällig bestehende Kopien der personenbezogenen Daten. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragnehmer weiterhin die Einhaltung dieser Vereinbarung.
8.4 Zur Klarstellung wird festgehalten, dass die Verschwiegenheitspflicht gemäß Punkt 4.1 sowie die Compliance-Verpflichtungen gemäß Punkt 6 nach Maßgabe der dort geregelten Pflichten über die Vertragslaufzeit unabhängig von der Art der Beendigung hinaus fortwirken.
9. Schlussbestimmungen, Battle of Forms
9.1 Sonstige vertragliche Regelungen zur Basis-Dienstleistung bleiben durch diese Vereinbarung unberührt, soweit diese ihr nicht widersprechen. Im Falle einer Kollision vertraglicher Regelungen gehen die Bestimmungen dieser Vereinbarung ausdrücklich vor.
9.2 Sollten einzelne Teile dieser Vereinbarung ungültig sein oder werden, so wird die Wirksamkeit der übrigen Teile dieser Vereinbarung nicht berührt. Eine weggefallene Bestimmung ist durch diejenige zulässige bzw. gültige zu ersetzen, welche dem wirtschaftlichen Gehalt bzw. dem verfolgten Zweck am nächsten kommt. Gleichermaßen ist bei Vertragslücken vorzugehen. Eine Auslegung von Bestimmungen hat geltungserhaltend im Sinne der DSGVO und begleitender nationaler Normen, insbesondere des österreichischen Datenschutzgesetzes (DSG) in der jeweils gültigen Fassung, zu erfolgen.
9.3 Diese Vereinbarung unterliegt österreichischem materiellen Recht sowie sachlich relevantem Unionsrecht, insbesondere der DSGVO, unter Ausschluss des UN-Kaufrechts sowie des internationalen Privatrechts einschließlich sämtlicher Verweisungsnormen.
9.4 Als Gerichtsstand für Streitigkeiten aus dieser Vereinbarung wird das sachlich zuständige Gericht für 4050 Traun als ausschließlicher Gerichtsstand vereinbart.
9.5 Im Übrigen gelten die Schlussbestimmungen gemäß Punkt 13 der Allgemeinen Vertrags- und Geschäftsbedingungen für die Nutzung der Plattform "Bonder" auch für diese Vereinbarung.
| Anlage 1 | Details der erbrachten Datenverarbeitungen |
| Anlage 2 | Sub-Auftragsverarbeiter |
Die Basis-Dienstleistung ergibt sich aus den zwischen dem Auftraggeber und dem Auftragnehmer abgeschlossenen Vertrag sowie den Allgemeinen Vertrags- und Geschäftsbedingungen für die Nutzung der Plattform "Bonder", deren Anhang A diese Vereinbarung ist.
(I) Kunden des Auftraggebers (Endnutzer)
(II) Mitarbeiter des Auftraggebers
Der Einsatz der nachfolgenden Sub-Auftragnehmer gilt vom Auftraggeber bereits jetzt als genehmigt:
| Name | Kategorie | Übermittlung in Drittland |
|---|---|---|
|
Microsoft Ireland Operations Ltd |
Hosting | Ja (Niederlande) |
|
Elastic N.V. |
Überwachung und Analyse von Anwendungen | Ja (Niederlande) |
Wir informieren Sie über spannende Updates und exklusive Infos.
Profitieren Sie von neuen Funktionen, Aktionen und Insider-Infos für einen einfacheren, effizienteren Service-Alltag.
Adresse
Vertical Codes GmbH
Bahnhofstraße 10
4050 Traun
Austria
Kontakt
Servicemanagement
Rechtliches
Copyright © 2018– Vertical Codes GmbH, Traun