Allgemeine Vereinbarung über eine Auftragsverarbeitung

nach Art. 28 DSGVO

Der Verantwortliche ist der jeweilige Lizenznehmer der Software der Kamio GmbH, im Folgenden Auftraggeber genannt.

Der Auftragsverarbeiter ist die Kamio GmbH, Griesgasse 1, 8020 Graz, im Folgenden Auftragnehmer genannt.

1. GEGENSTAND DER VEREINBARUNG

(1) Gegenstand dieses Auftrages ist die Durchführung folgender Aufgaben:

a. Bereitstellung der vereinbarten Funktionalität der Software,

b. Bereitstellung des Hostings der Software.

Diese Vereinbarung ist als Ergänzung zur Lizenzvereinbarung, den allgemeinen Geschäftsbedingungen und des abgeschlossenen Werkvertrages in der jeweilig geltenden Version zu verstehen.

(2) Folgende Datenkategorien werden möglicherweise verarbeitet: Folgende Datenkategorien werden verarbeitet: Identifikations- und Stammdaten (Name, UID-Nummer), Kontaktdaten (Anschriften der Kehrobjekte, Telefon, E-Mail), Finanzdaten (Rechnungen, Zahlungen, Bankdaten), Objekt- und Infrastrukturdaten (Feuerungsanlagen, Abgasanlagen, Kehrintervalle) sowie behördliche Dokumentationsdaten (digitale Kehrbucheinträge, Mängelberichte) und Kommunikation (E-Mail, Telefonate).

(3) Der Auftraggeber verpflichtet sich ausdrücklich, weder sensible Daten gemäß Art. 9 Abs. 1 DSGVO noch strafrechtlich relevante Daten gemäß Art. 10 DSGVO in die Software der Kamio GmbH einzugeben und/oder der Verarbeitung zu übergeben. Eine Verarbeitung sensibler Daten benötigt weitergehende Schutzmaßnahmen und muss daher gesondert schriftlich vereinbart werden.

(4) Folgende Kategorien betroffener Personen unterliegen möglicherweise der Verarbeitung: Die übergebenen Daten aller Personen, die die Software benutzen, Kunden und Lieferanten des Auftraggebers und deren Kontaktpersonen, sowie Dritte (z. B. Bewohner, Liegenschaftseigentümer, Hausverwaltungen, anwesende Personen während der Dokumentationsvorhaben), deren Daten durch den Auftraggeber in die Software eingegeben werden.

(5) Welche Kategorie und Art an Daten in die Software eingegeben wird, kann durch den Auftragnehmer nicht beeinflusst werden, daher sind die Auflistungen in (2) und (4), sowie andere Listen in diesem Dokument nicht abschließend.

2. DAUER DER VEREINBARUNG

Die Vereinbarung wird auf unbestimmte Zeit geschlossen und kann von beiden Parteien durch die Beendigung des Lizenzabkommens jederzeit gekündigt werden. Die Möglichkeit zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Die Vereinbarung wird automatisch gelöst, falls keine Lizenz zur Benutzung der Software mehr vorhanden ist.

3. PFLICHTEN DES AUFTRAGNEHMERS

(1) Der Auftragnehmer verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich im Rahmen der schriftlichen Aufträge des Auftraggebers zu verarbeiten. Erhält der Auftragnehmer einen behördlichen Auftrag, Daten des Auftraggebers herauszugeben, so hat er – sofern gesetzlich zulässig – den Auftraggeber unverzüglich darüber zu informieren und die Behörde an diesen zu verweisen. Desgleichen bedarf eine Verarbeitung von persönlichen Daten, die zur Verarbeitung übergeben wurden, für eigene Zwecke des Auftragnehmers eines schriftlichen Auftrages.

(2) Der Auftragnehmer erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung beauftragten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat und diese regelmäßig hinsichtlich Datenschutz, Datensicherheit und dem rechtskonformen Umgang mit IT-Systemen geschult werden. Insbesondere unterliegen diese Personen

(3) Der Auftragnehmer erklärt rechtsverbindlich, dass er alle erforderlichen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DSGVO ergriffen hat (Einzelheiten sind der Anlage 1 zu entnehmen).

(4) Der Auftragnehmer ergreift die technischen und organisatorischen Maßnahmen, damit der Auftraggeber die Rechte der betroffenen Personen nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann und überlässt dem Auftraggeber alle dafür notwendigen Informationen. Wird ein entsprechender Antrag an den Auftragnehmer gerichtet und lässt dieser erkennen, dass der Antragsteller ihn irrtümlich für den Auftraggeber der von ihm betriebenen Datenverarbeitung hält, hat der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiterzuleiten und dies dem Antragsteller mitzuteilen.

(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgeabschätzung, vorherige Konsultation).
Sofern die vertraglich und gesetzlich geschuldeten Unterstützungsleistungen des Auftragnehmers (insbesondere bei der Beantwortung von Betroffenenanfragen, der Durchführung von Datenschutz-Folgeabschätzungen oder der Begleitung von Vor-Ort-Audits) über das vertraglich vereinbarte Basis-Leistungsspektrum der reinen Software-Bereitstellung hinausgehen, ist der Auftragnehmer berechtigt, den hierfür entstehenden angemessenen Personal- und Zeitaufwand nach dem jeweils aktuell gültigen Stundensatz der Kamio GmbH in Rechnung zu stellen

(6) Der Auftraggeber wird darauf hingewiesen, dass er für die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art. 30 DSGVO zu errichten hat. Aufgrund der Vielfältigkeit und Konfigurierbarkeit der Nutzung der Software kann das Verarbeitungsverzeichnis nicht durch den Auftragnehmer erstellt werden.

(7) Dem Auftraggeber wird das Recht eingeräumt, die Einhaltung der gesetzlichen und vertraglichen Bestimmungen zum Datenschutz zu kontrollieren. Der Kontrollanspruch des Auftraggebers ist primär durch die Bereitstellung von aussagekräftigen Informationen, internen Dokumentationen und das Zurverfügungstellen von Zertifikaten unabhängiger Dritter (z. B. ISO 27001, SOC-Reports der eingesetzten Cloud-Provider) abzugelten. Physische Vor-Ort-Kontrollen (Audits) in den Geschäftsräumlichkeiten des Auftragnehmers dürfen nur bei einem begründeten, dokumentierten Verdacht auf einen Datenschutzverstoß stattfinden. Derartige Inspektionen sind dem Auftragnehmer mit einer Frist von mindestens 30 Tagen im Voraus schriftlich anzukündigen, dürfen ausschließlich während der üblichen Geschäftszeiten erfolgen und den regulären Betriebsablauf des Auftragnehmers nicht unverhältnismäßig stören. Die Verschwiegenheit über Geschäftsgeheimnisse des Auftragnehmers sowie der Schutz der Daten anderer Mandanten (Mandantentrennung) ist bei jeder Kontrolle zwingend zu gewährleisten.

(8) Nach Abschluss der Erbringung der Verarbeitungsleistungen hat der Auftraggeber gemäß Art. 28 Abs. 3 lit. g DSGVO das Wahlrecht, ob die personenbezogenen Daten gelöscht oder zurückgegeben (exportiert) werden sollen. Der Auftragnehmer verweist den Auftraggeber hierzu auf die Möglichkeit des eigenständigen Datenexports über die entsprechenden Funktionen innerhalb der Software. Sofern der Auftraggeber nicht innerhalb von 30 Tagen nach Wirksamwerden der Vertragsbeendigung (analog zu § 9 der AGB) den Datenexport durchführt oder explizit schriftlich eine anderweitige Anweisung erteilt, wird diese Inaktivität als unwiderrufliche Weisung des Auftraggebers zur datenschutzkonformen und endgültigen Löschung aller Mandantendaten gewertet. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben hiervon unberührt.

(9) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen der Union oder der Mitgliedstaaten.

4. ORT DER DURCHFÜHRUNG DER DATENVERARBEITUNG

(1) Die Verarbeitung der Daten findet grundsätzlich innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) statt.

(2) Soweit für die Leistungserbringung hochspezialisierte Unterauftragsverarbeiter (insbesondere Cloud-Infrastruktur-Anbieter) eingesetzt werden, die eine Verarbeitung in einem Drittland (wie beispielsweise den USA) vornehmen oder von dort administrativen Zugriff haben könnten, garantiert der Auftragnehmer, dass die strengen Voraussetzungen der Art. 44 ff. DSGVO stets gewahrt bleiben. Dies wird datenschutzrechtlich sichergestellt durch:

  • die Inanspruchnahme von Unternehmen, die nach dem offiziellen EU-US Data Privacy Framework (DPF) zertifiziert sind, sowie
  • durch den parallelen Abschluss der von der EU-Kommission genehmigten Standardvertragsklauseln (SCCs).

5. SUB-AUFTRAGSVERARBEITER

(1) Der Auftragnehmer ist berechtigt, zur Erbringung der vertraglichen Leistungen Unterauftragsverarbeiter in Anspruch zu nehmen. Der Auftraggeber stimmt der Inanspruchnahme der in der Anlage 2 „Genehmigte Unterauftragsverarbeiter“ aufgelisteten Dienstleister vollumfänglich zu.

(2) Beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder des Wechsels von Sub-Auftragsverarbeitern werden dem Auftraggeber spätestens 30 Tage im Voraus schriftlich (E-Mail genügt) bekannt gegeben. Der Auftraggeber kann dieser Änderung aus einem nachgewiesenen, wichtigen datenschutzrechtlichen Grund innerhalb von 14 Tagen nach Zugang der Information schriftlich widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt. Erhebt der Auftraggeber fristgerecht einen berechtigten Widerspruch und ist eine für beide Parteien zumutbare technische oder kommerzielle Einigung nicht möglich, steht dem Auftragnehmer ein außerordentliches Kündigungsrecht für den Hauptvertrag (SaaS-Vertrag) unter Einhaltung einer Frist von 14 Tagen zu.

(3) Der Auftragnehmer schließt die erforderlichen Vereinbarungen im Sinne des Art. 28 Abs. 4 DSGVO mit dem Sub-Auftragsverarbeiter ab. Dabei ist sicherzustellen, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Auftragnehmer auf Grund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.

6. HAFTUNG

Für Haftungs- und Schadensersatzansprüche zwischen den Parteien aus diesem Auftragsverarbeitungsvertrag gelten vollumfänglich die Haftungsbeschränkungen gemäß § 8 der Allgemeinen Geschäftsbedingungen (AGB) der Kamio GmbH.

7. ANLAGE 1 – TECHNISCH-ORGANISATORISCHE MASSNAHMEN

A. VERTRAULICHKEIT

Zutrittskontrolle: Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen durch:

  • Videoanlage
  • Elektrische Türöffner
  • Schlüssel
  • Einbruchshemmende Fenster und/oder Sicherheitstüren
  • Begleitung von Besuchern im Unternehmensgebäude

Zugangskontrolle: Schutz vor unbefugter Systembenutzung durch:

  • Kennwörter (einschließlich entsprechender Policy)
  • Automatische Sperrmechanismen
  • Zwei-Faktor-Authentifizierung
  • Verschlüsselung von Datenträgern
  • Least-Privilege-System, Zugriff aufs Live-System auf Datenbankebene nur für einzelne Benutzer

Zugriffskontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems durch:

  • Standard-Berechtigungsprofile auf „need to know“-Basis
  • Periodische Überprüfung der vergebenen Berechtigungen, insbesondere von administrativen Benutzerkonten
  • Datenschutzgerechte Entsorgung nicht mehr benötigter Datenträger
  • Sichere Aufbewahrung von Speichermedien
  • Datenschutzgerechte Wiederverwendung von Datenträgern
  • Clear-Desk/Clear-Screen Policy

B. DATENINTEGRITÄT

Weitergabekontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport durch:

  • Verschlüsselung von Datenträgern, u. a. Zwang für Verschlüsselung der System- & Datenplatten
  • Verschlüsselung von Dateien
  • Verschlüsselung der Kommunikation, auch im Produkt (Frontend-Backend-Verbindung)
  • Virtual Private Networks (VPN), unternehmensinterne Zugänge nur über VPN möglich
  • Elektronische Signatur
  • Two-Factor-Authentifikation für Zugänge inkl. Datenspeicherung und Kommunikationskanäle

Eingabekontrolle: Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind durch:

  • Protokollierung
  • Dokumentenmanagement

C. VERFÜGBARKEIT UND BELASTBARKEIT

Verfügbarkeitskontrolle: Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust durch:

  • Backup-Strategie (online/offline; on-site/off-site)
  • Unterbrechungsfreie Stromversorgung (USV)
  • Virenschutz
  • Firewall
  • Mehrstufiges Sicherungskonzept mit verschlüsselter Auslagerung der Sicherungen in ein Ausweichrechenzentrum
  • Security Checks auf Infrastruktur- und Applikationsebene
  • Standardprozesse bei Wechsel/Ausscheiden von Mitarbeitern
  • Rasche Wiederherstellbarkeit der Daten

D. VERFAHREN ZUR REGELMÄSSIGEN ÜBERPRÜFUNG, BEWERTUNG UND EVALUIERUNG

  • Datenschutz-Management, einschließlich regelmäßiger Mitarbeiter-Schulungen
  • Datenschutzfreundliche Voreinstellungen

Auftragskontrolle: Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DSGVO ohne entsprechende Weisung des Auftraggebers durch eindeutige Vertragsgestaltung und Verpflichtung der Subunternehmer zu ebendiesen Pflichten.

E. ERGÄNZENDE MASSNAHMEN FÜR SPEZIFISCHE SUB-AUFTRAGSVERARBEITER

AWS-Infrastruktur:

  • Kryptografische Verschlüsselung der Daten im Ruhezustand (Data at Rest) und bei der Übertragung (strikte Vorgabe auf TLS 1.2/1.3)
  • Umsetzung restriktiver IAM-Zugriffsrichtlinien
  • Umfassendes Logging sämtlicher API-Zugriffe via AWS CloudTrail

BulkGate SMS-Gateway:

  • Ausschließlich verschlüsselte HTTPS-API-Kommunikation zwischen dem SaaS-Backend und BulkGate

8. ANLAGE 2 – GENEHMIGTE UNTERAUFTRAGSVERARBEITER

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
    • Dienstleistung: Bereitstellung der primären Webhosting- und Server-Infrastruktur
    • Verarbeitungsort: EU
  • Amazon Web Services EMEA SARL („AWS Europe“), 38 Avenue John F. Kennedy, L-1855 Luxemburg
    • Dienstleistung: Skalierbares Cloud-Hosting, Datenspeicherung (AWS S3) und Transaktions-E-Mail-Versand (AWS SES)
    • Verarbeitungsort: Primär Rechenzentren in der EU (z. B. Irland/Frankfurt); potenzieller administrativer Drittlandtransfer in die USA
    • Rechtsgrundlage bei Transfer: EU-US Data Privacy Framework (DPF) und verbindliche EU-Standardvertragsklauseln
  • TOPefekt s.r.o. / BulkGate, B. Němcové 767/13, 787 01 Šumperk, Tschechische Republik
    • Dienstleistung: Bereitstellung des SMS-Gateways für Systembenachrichtigungen und Kundenkommunikation per Kurznachricht
    • Verarbeitungsort: EU
  • Sub-Net e.U., Obertiefenbach 6, 8224 Hartl, Österreich
    • Dienstleistung: Bereitstellung von IT-Infrastruktur und Managed Services
    • Verarbeitungsort: EU / Österreich
  • Midlight GmbH (chax.at), Griesgasse 1, 8020 Graz, Österreich
    • Dienstleistung: Individualsoftwareentwicklung, Webapplikationen und technischer Support, Bereitstellung von IT-Infrastruktur und Managed Services
    • Verarbeitungsort: EU / Österreich