Auftrags­verarbeitungs­vertrag (AVV)

Hinweis zur Verwendung dieses Dokuments

Diese Online-Fassung gibt Ihnen einen Überblick über den Inhalt des Auftragsverarbeitungsvertrags. Die rechtsverbindliche, unterschrifts­reife Fassung erhalten Sie gemeinsam mit der Vertrags­bestätigung per E-Mail als PDF zur beidseitigen Unterzeichnung. Dort werden insbesondere die Vertragsparteien, das Vertragsdatum und die Unterschriften ergänzt; die nachfolgenden Bestimmungen sind dann unveränderter Vertragsbestandteil.

Verantwortlicher im Sinne der DSGVO ist der Kunde. Auftrags­verarbeiter ist die CloudNow GmbH, Kaiser-Josef-Platz 52, 4600 Wels, Österreich.

§ 1 — Gegenstand und Dauer der Verarbeitung

Gegenstand des Vertrages ist die Erbringung der CloudFiles-Dienstleistung (Cloud-Speicher, Zusammen­arbeit und die integrierte Office-Suite EuroOffice für Dokumente, Tabellen, Präsen­tationen und PDF) gemäß dem zugrunde liegenden Hauptvertrag einschließlich der AGB der CloudNow GmbH.

Die Dauer entspricht der Laufzeit des Hauptvertrags. Dieser Auftrags­verarbeitungs­vertrag gilt über das Ende des Hauptvertrags hinaus, bis die Daten nach Ablauf der Exportfrist gemäß § 12 gelöscht sind; für Daten, die aufgrund gesetzlicher Aufbewahrungspflichten weiter aufbewahrt werden, gilt er bis zu deren Löschung fort.

§ 2 — Art und Zweck der Verarbeitung

Verarbeitungstätigkeiten umfassen ausschließ­lich: Speicherung, Übertragung, Bereitstellung, Versio­nierung und Sicherung der vom Verantwortlichen eingestellten Daten sowie — im Rahmen der integrierten Office-Suite EuroOffice — das Öffnen, Erstellen, Bearbeiten, gemeinsame Bearbeiten, Konvertieren und Rendern der unterstützten Dateien im Browser; jeweils zum Zweck der Erbringung der vereinbarten CloudFiles-Dienstleistung.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, eine Auswertung der Inhalte oder ein Profiling findet ausdrücklich nicht statt.

§ 3 — Art der personenbezogenen Daten

Welche personenbezogenen Daten der Verantwortliche in die CloudFiles-Instanz einbringt, bestimmt er selbst. Typischerweise umfasst dies: Stammdaten, Kontaktdaten, Vertragsdaten, Inhalte aus Dokumenten sowie ggf. besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheits­daten bei Arztpraxen).

§ 4 — Kategorien betroffener Personen

Mitarbeiter:innen, Kund:innen, Mandant:innen, Patient:innen, Lieferant:innen, Geschäftspartner:innen und sonstige natürliche Personen, deren Daten der Verantwortliche im Rahmen seines Geschäftsbetriebs in CloudFiles verarbeitet.

§ 5 — Pflichten des Auftrags­verarbeiters

Der Auftrags­verarbeiter verarbeitet die Daten ausschließ­lich auf dokumentierte Weisung des Verantwortlichen. Diese Vereinbarung gilt als grundlegende Weisung; weitergehende Weisungen werden schriftlich (auch per E-Mail) erteilt. Ist der Auftrags­verarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 letzter Unterabsatz DSGVO).

Mitarbeiter:innen des Auftragsverarbeiters, die mit personenbezogenen Daten in Berührung kommen, sind nachweislich zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).

Der Auftrags­verarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) durch geeignete technische und organisatorische Maßnahmen.

Der Auftrags­verarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, spätestens innerhalb von 24 Stunden ab nachweislicher Kenntnisnahme. Die Meldung enthält Art der Verletzung, betroffene Datenkategorien, Anzahl der betroffenen Personen und ergriffene Gegenmaßnahmen.

Der Auftrags­verarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen mit der Datenschutz­behörde (Art. 36 DSGVO).

Nach Vertragsende stehen die Daten dem Verantwortlichen 30 Tage lang zum Export zur Verfügung; anschließend löscht der Auftrags­verarbeiter sie nach dem dokumentierten Löschkonzept und bestätigt die Löschung schriftlich (§ 12).

§ 6 — Technische und organisatorische Maßnahmen (TOM)

Der Auftrags­verarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:

a) Vertraulichkeit — Zutrittskontrolle zu den Rechen­zentren (personen­bezogene Zutrittsberechtigungen, Zutrittsprotokollierung, Videoüberwachung). Zugangskontrolle zu Systemen durch Mehrfaktor-Authenti­fizierung und rollenbasierte Berechtigungen. Zugriffs­kontrolle auf Datenebene durch granulare Rechtevergabe; Audit-Log in den Paketen Business und Enterprise.

b) Integrität — Daten­übertragung verschlüsselt mit TLS 1.3; Speicherung verschlüsselt mit AES‑256. Eingabe- und Veränderungsprotokollierung über das Audit-Log in den Paketen Business und Enterprise. Zusätzliche Ende-zu-Ende-Ver­schlüsselung ist in den Paketen Business und Enterprise verfügbar.

c) Verfüg­barkeit und Belastbarkeit — Redundante Hardware auf Netz-, Server- und Speicherebene. Tägliche Off-site-Backups, stündliche Snapshots. Disaster-Recovery-Plan mit dokumentierten Wiederherstellungsverfahren. SLA-zugesicherte Verfüg­barkeit 99,9 % bis 99,985 % je nach Paket.

d) Verfahren zur regelmäßigen Überprüfung — regelmäßige Überprüfung des Informations­sicherheits-Managementsystems (Orientierung an ISO 27001), regelmäßige Schwachstellen-Scans und Penetrationstests sowie regelmäßige Datenschutz-Audits; Intervalle und Nachweise stellt der Auftrags­verarbeiter dem Verantwortlichen auf Anfrage bereit.

e) Pseudonymisierung und Ver­schlüsselung — Speicherung erfolgt verschlüsselt; Backups werden ebenfalls verschlüsselt aufbewahrt. Eine Pseudonymisierung der Inhaltsdaten ist im Standardbetrieb nicht erforderlich, da Inhalte vom Auftrags­verarbeiter weder ausgelesen noch ausgewertet werden.

§ 7 — Unterauftrags­verarbeiter

Der Auftrags­verarbeiter erbringt Hosting, Storage, Netzwerk und Backup im Eigenbetrieb in den CloudNow-Rechen­zentren an den Datenstandorten Wien und Innsbruck (Österreich); insoweit besteht keine Unterauftragsverarbeitung. Für die Verarbeitung von Kundeninhalten werden derzeit keine externen Unterauftragsverarbeiter eingesetzt.

Hinweis: Die Zahlungs­abwicklung über Stripe Payments Europe Limited (Dublin, Irland) betrifft ausschließ­lich Stamm-, Rechnungs- und Zahlungsdaten des Verantwortlichen im Rahmen des Hauptvertrags, nicht die in CloudFiles gespeicherten Inhalte betroffener Personen; sie ist nicht Gegenstand dieser Auftrags­verarbeitung und wird in der Datenschutz­erklärung beschrieben.

Der Auftrags­verarbeiter informiert den Verantwortlichen über jede beabsichtigte Veränderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftrags­verarbeiter rechtzeitig per E-Mail. Der Verantwortliche kann der Veränderung innerhalb von 30 Tagen widersprechen. Setzt der Auftrags­verarbeiter künftig weitere Auftrags­verarbeiter ein, erlegt er ihnen vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 8 — Daten­standort und Drittland­transfer

Kundendateien und die zugehörigen Inhaltsdaten werden ausschließ­lich an den CloudFiles-Datenstandorten Wien und Innsbruck (Republik Österreich) verarbeitet. Für die Zahlungs­abwicklung verarbeitet Stripe Payments Europe Limited die hierfür erforderlichen Vertrags-, Abrechnungs- und Zahlungsdaten des Verantwortlichen nach Maßgabe der Datenschutz­erklärung; Kundeninhalte sind davon nicht betroffen.

Eine Übermittlung von Kundeninhalten in Drittländer findet nicht statt. Sollte künftig ein Unterauftragsverarbeiter in einem Drittland eingesetzt werden, erfolgt dies nur nach § 7 und auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

Die CloudNow GmbH ist nach eigener rechtlicher Einordnung nicht unmittelbar dem US CLOUD Act unterworfen. Anfragen von Dritt­staaten-Behörden werden nach öster­reichischem und europäischem Recht geprüft; rechtlich unzulässige Anfragen werden abgewiesen. Gesetzlich verbindliche Anordnungen zuständiger öster­reichischer oder europäischer Behörden bleiben unberührt.

§ 9 — Kontroll- und Auditrechte

Der Verantwortliche hat das Recht, die Einhaltung der vereinbarten technischen und organisa­torischen Maßnahmen durch den Auftrags­verarbeiter zu überprüfen. Dies erfolgt regelmäßig durch:

a) jährlich aktualisierte Selbstauskünfte des Auftragsverarbeiters (Bestätigung der TOM und ISO-27001-Rezertifizierung), und

b) auf gesonderten Wunsch Vor-Ort-Audits in den Räumlichkeiten der CloudNow GmbH. Diese sind mit angemessener Frist (mindestens 14 Tage) anzukündigen und während der Geschäftszeiten durchzuführen. Eingriffe in den laufenden Betrieb sind dabei zu vermeiden.

Audits können auch durch unabhängige sachverständige Dritte durchgeführt werden, die jeweils zur Verschwiegen­heit verpflichtet sind und nicht in Konkurrenz zum Auftrags­verarbeiter stehen.

§ 10 — Datenpannen-Meldepflicht

Der Auftrags­verarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden ab nachweislicher Kenntniserlangung, von jeder Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO).

Die Meldung erfolgt schriftlich an die vom Verantwortlichen benannte Datenschutz-Kontaktstelle und enthält mindestens: Beschreibung der Art der Verletzung, betroffene Kategorien von Daten und Personen, betroffene Datensätze (geschätzt), wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen zur Eindämmung.

§ 11 — Haftung

Die Haftung des Auftragsverarbeiters richtet sich nach Art. 82 DSGVO sowie den ergänzenden Bestimmungen des Hauptvertrags einschließlich der AGB der CloudNow GmbH.

Der Auftrags­verarbeiter haftet insbesondere für Schäden, die durch eine nicht den DSGVO-Vorgaben entsprechende Verarbeitung oder durch Verletzung seiner Pflichten nach diesem Vertrag entstehen.

§ 12 — Beendigung und Daten­rückgabe

Nach Beendigung des Hauptvertrages wird der Auftrags­verarbeiter alle personenbezogenen Daten dem Verantwortlichen 30 Tage lang auf Anfrage an office@cloudnow.at zum Export zur Verfügung stellen. Mit Vertragsende sperrt der Auftrags­verarbeiter das Benutzerkonto. Eine frühere Löschung kann der Verantwortliche jederzeit verlangen. Eine Export-Anfrage kann bereits vor Vertragsende gestellt werden, ist aber nicht erforderlich.

Nach Ablauf der Exportfrist erfolgt die Löschung nach dem dokumentierten Löschkonzept, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung wird dem Verantwortlichen schriftlich bestätigt.

Eine über die Vertragsbeendigung hinausgehende Aufbewahrung durch den Auftrags­verarbeiter erfolgt nur dann, wenn diese aufgrund gesetzlicher Aufbewahrungspflichten (z. B. handels- oder steuerrechtlich) zwingend erforderlich ist. Diese Daten bleiben gegen Zugriff geschützt.

§ 13 — Schluss­bestimmungen

Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform (auch per E-Mail). Mündliche Nebenabreden bestehen nicht.

Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung wird durch eine wirksame ersetzt, die dem wirtschaftlichen Zweck der ursprünglichen Regelung am nächsten kommt.

Es gilt öster­reichisches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Wels, Österreich.