Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien

1.1 Verantwortlicher

Der Verantwortliche ist die im jeweiligen Bestell- oder Plattformvorgang bezeichnete natürliche oder juristische Person bzw. sonstige Stelle. Maßgeblich sind die im Plattform-Konto hinterlegten Stammdaten einschließlich Firmenwortlaut, Anschrift, Firmenbuchnummer bzw. sonstiger Registerangaben, vertretungsberechtigter Person und Kontaktdaten.

1.2 Auftragsverarbeiter

Wagner IT-Solutions e.U.
Adelheid-Popp-Gasse 14/1/36, 1220 Wien, Österreich
FN 609574h, Handelsgericht Wien
GISA-Zahl 34399071
UID-Nummer: ATU83298959
E-Mail: datenschutz@instantpage.at
im Folgenden „der Auftragsverarbeiter”.

2. Gegenstand und Geltungsbereich

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung, dem Betrieb und der technischen Unterstützung der Plattform instantpage.at sowie der darüber betriebenen Website des Verantwortlichen.

(2) Der Vertrag gilt nur für Verarbeitungen, bei denen der Auftragsverarbeiter als Auftragsverarbeiter im Sinne des Art. 4 Z 8 DSGVO tätig wird. Die Einzelheiten der Verarbeitung ergeben sich aus Anlage 1.

(3) Der Auftragsverarbeiter darf personenbezogene Daten nicht für eigene Zwecke verwenden. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters — insbesondere Vertragsabwicklung, Plattformkonto- und Kundenverwaltung, Abrechnung, Zahlungsabwicklung, Support, gesetzliche Aufbewahrung und eigene IT-Sicherheit — ist nicht Gegenstand dieses AVV und erfolgt in eigener Verantwortlichkeit nach Maßgabe der Datenschutzerklärung des Auftragsverarbeiters (Anlage 4).

(4) Die bloße technische Durchleitung oder Bereitstellung von Daten begründet für sich allein keine eigene Verantwortlichkeit des Auftragsverarbeiters. Eine eigene oder gemeinsame Verantwortlichkeit entsteht jedoch, soweit der Auftragsverarbeiter tatsächlich eigene Zwecke oder gemeinsame Zwecke und Mittel der Verarbeitung bestimmt. In diesem Fall ist die jeweilige Verarbeitung gesondert rechtlich und organisatorisch zu dokumentieren.

(5) Individuell erstellte Websites. Dieser AVV gilt auch dann, wenn der Auftragsverarbeiter die Website des Verantwortlichen nicht über die Selbstbedienungs-Plattform, sondern als individuell erstelltes Website-Paket auf derselben Infrastruktur betreibt, mit oder ohne Plattform-Konto. Er gilt unabhängig davon, ob für Erstellung und Betrieb ein Entgelt vereinbart ist.

3. Dauer

(1) Dieser AVV beginnt mit seiner wirksamen Annahme und gilt für die Dauer der im Hauptvertrag vereinbarten Leistungserbringung. Besteht kein Hauptvertrag oder verarbeitet der Auftragsverarbeiter über dessen Ende hinaus Daten im Auftrag, gilt er, solange er das tut, längstens bis zur Löschung nach Ziffer 13 bzw. Anlage 1 Ziffer 7.

(2) Nach Beendigung der Auftragsverarbeitung werden personenbezogene Daten nach Maßgabe von Ziffer 13 Abs. 1 gelöscht oder zurückgegeben. Eine technisch erforderliche Übergangsfrist darf nur im in Anlage 1 Ziffer 7 festgelegten Umfang bestehen.

(3) Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters für Verarbeitungen in eigener Verantwortlichkeit bleiben unberührt; sie berechtigen ihn jedoch nicht zur weiteren Nutzung der im Auftrag verarbeiteten Daten für eigene Zwecke.

4. Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich Übermittlungen in ein Drittland oder an eine internationale Organisation, sofern er nicht durch Unionsrecht oder österreichisches Recht zur Verarbeitung verpflichtet ist.

(2) Der Verantwortliche kann Weisungen in Textform erteilen. Mündliche Weisungen sind unverzüglich zu dokumentieren.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und setzt die Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen aus, soweit keine zwingende gesetzliche Verpflichtung entgegensteht.

(4) Erweiterungen oder Änderungen der Verarbeitung, insbesondere die Aktivierung neuer Funktionen, Speichervorgänge, Analysefunktionen oder KI-Verarbeitungen, sind vor ihrer Umsetzung zu dokumentieren. Eine Anpassung von Anlage 1 und Anlage 2 ist erforderlich, soweit dadurch neue Zwecke, neue Arten der Verarbeitung oder neue Kategorien betroffener Personen oder personenbezogener Daten hinzukommen; neue Funktionen innerhalb der dort beschriebenen Kategorien erfordern keine Anpassung.

5. Vertraulichkeit und befugte Personen

(1) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die personenbezogene Daten im Auftrag verarbeiten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Zugriffe werden nach dem Need-to-know-Prinzip vergeben, regelmäßig überprüft und bei Wegfall der Berechtigung unverzüglich entzogen.

(3) Der Auftragsverarbeiter schult und sensibilisiert die zur Verarbeitung befugten Personen angemessen und dokumentiert die erforderlichen Berechtigungen und Verpflichtungen.

6. Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter ergreift geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und des Risikos für die Rechte und Freiheiten natürlicher Personen.

(2) Die zum Zeitpunkt des Vertragsschlusses vereinbarten Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(3) Änderungen mit erheblicher Auswirkung auf das Schutzniveau werden dem Verantwortlichen vor ihrer Umsetzung mitgeteilt, soweit dies praktisch möglich ist.

7. Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen dabei, seine Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen nach Kapitel III DSGVO zu erfüllen.

(2) Gehen Anfragen betroffener Personen beim Auftragsverarbeiter ein, leitet er sie unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht eigenständig, sofern er hierzu nicht gesetzlich verpflichtet ist.

(3) Der Auftragsverarbeiter unterstützt insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

8. Unterstützung bei Sicherheit, Datenschutzverletzungen und Behördenkontakten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.

(2) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel spätestens innerhalb von 48 Stunden nach Kenntniserlangung, soweit dies nach den Umständen möglich ist.

(3) Die Meldung enthält, soweit bekannt, Art und Umfang des Vorfalls, betroffene Datenkategorien und Personengruppen, wahrscheinliche Folgen, bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen sowie eine Kontaktstelle.

(4) Der Auftragsverarbeiter unterstützt bei der Untersuchung, Eindämmung, Dokumentation und erforderlichen Meldung des Vorfalls. Er informiert den Verantwortlichen unverzüglich über behördliche Anfragen, soweit dies rechtlich zulässig ist.

9. Weitere Auftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung für die in Anlage 3 genannten weiteren Auftragsverarbeiter sowie für deren Hinzuziehung oder Ersetzung nach dem Verfahren der Abs. 2 und 3.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters mindestens 30 Tage vor dessen Einsatz in Textform. Die Mitteilung enthält zumindest dessen Identität, Leistung, Verarbeitungsort und einen allfälligen Drittlandbezug. Für den Zustellweg gilt Ziffer 14 Abs. 3 sinngemäß.

(2a) Eine wesentliche Zweckerweiterung bei einem bereits genannten weiteren Auftragsverarbeiter — eine neue Datenkategorie, ein neuer Verarbeitungsort oder eine neue Gruppe betroffener Personen — löst dieselbe Vorabinformation aus. Eine Erweiterung innerhalb einer bereits vereinbarten Kategorie löst sie nicht aus.

(3) Der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen innerhalb von 30 Tagen widersprechen. Die Parteien bemühen sich zunächst um eine zumutbare alternative Lösung. Wird keine Lösung gefunden, kann der Verantwortliche den betroffenen Leistungsteil oder, wenn dieser nicht abtrennbar ist, den Hauptvertrag außerordentlich kündigen.

(4) Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter durch Vertrag auf dieselben Datenschutzpflichten, die in diesem AVV festgelegt sind. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten verantwortlich.

(5) Der Auftragsverarbeiter schreibt die Liste nach Anlage 3 nach Ablauf der Frist des Abs. 3 fort und hält jede Änderung dort mit Datum fest. Eine Änderung der weiteren Auftragsverarbeiter nach dieser Ziffer ist keine Änderung dieses AVV im Sinne der Ziffer 14.

10. Übermittlungen in Drittländer

(1) Übermittlungen personenbezogener Daten in ein Drittland oder an eine internationale Organisation dürfen nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Der AVV nach Art. 28 DSGVO und die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915 ersetzen keine Transfergrundlage nach Kapitel V DSGVO.

(3) Soweit kein einschlägiger Angemessenheitsbeschluss nach Art. 45 DSGVO besteht, vereinbaren die Parteien die erforderlichen Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 in der jeweils einschlägigen Konstellation als gesonderte Anlage oder als Bestandteil des Vertrags mit dem jeweiligen Empfänger. Die erforderlichen Anlagen, insbesondere Beschreibung der Datenübermittlung und technische Zusatzmaßnahmen, sind vollständig auszufüllen. Die Transfergrundlage je weiterem Auftragsverarbeiter (etwa das EU-U.S. Data Privacy Framework nach Angemessenheitsbeschluss (EU) 2023/1795 oder Standardvertragsklauseln) ist in der Liste nach Anlage 3 angegeben.

(4) Für jeden eingesetzten weiteren Auftragsverarbeiter ist der tatsächliche Sitz, der Ort der Verarbeitung, die konkrete Empfängergesellschaft, der Transfermechanismus und die aktuelle Dokumentation zu prüfen. Eine pauschale Bezugnahme auf eine Zertifizierung oder einen Angemessenheitsbeschluss genügt nicht. Der Auftragsverarbeiter prüft regelmäßig den Fortbestand der Transfergrundlagen, insbesondere den Verzeichnis-Status der auf das EU-U.S. Data Privacy Framework gestützten Anbieter und den Fortbestand der vereinbarten Standardvertragsklauseln; das Datum der letzten Prüfung steht in der Liste nach Anlage 3.

(5) Entfällt eine Transfergrundlage oder bestehen begründete Zweifel an ihrer Anwendbarkeit, setzt der Auftragsverarbeiter die betreffende Übermittlung aus oder ergreift unverzüglich eine rechtlich geeignete Ersatzmaßnahme. Bei Wegfall eines Angemessenheitsbeschlusses (z. B. „Schrems-III”-Urteil) stellt er die bislang darauf gestützten Übermittlungen unverzüglich auf Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 um oder wechselt den Anbieter.

(6) Kopie der Garantien. Der amtliche Wortlaut der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021) ist frei abrufbar bei EUR-Lex: eur-lex.europa.eu — CELEX:32021D0914. Die je Anbieter vereinbarte Fassung ist Bestandteil des dortigen Auftragsverarbeitungsvertrags und wird dem Verantwortlichen auf Anfrage an datenschutz@instantpage.at zur Verfügung gestellt (Art. 13 Abs. 1 lit. f DSGVO).

11. Nachweise und Audits

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Verantwortliche ist berechtigt, Audits einschließlich Inspektionen selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchzuführen. Audits sind grundsätzlich mit angemessener Vorankündigung und während üblicher Geschäftszeiten durchzuführen.

(3) Bei konkreten Anhaltspunkten für einen Datenschutz- oder Sicherheitsverstoß sind auch kurzfristigere Prüfungen zulässig. Betriebs- und Geschäftsgeheimnisse sowie die Sicherheit anderer Kunden sind angemessen zu schützen.

(4) Soweit ein aktueller, aussagekräftiger Prüfbericht oder ein gleichwertiger Nachweis vorliegt, berücksichtigt der Verantwortliche diesen vorrangig. Die Prüfungsrechte werden dadurch nicht ausgeschlossen.

12. Unterstützung durch den Verantwortlichen

Der Verantwortliche stellt dem Auftragsverarbeiter die für die vertragsgemäße Verarbeitung erforderlichen Weisungen, Informationen und Ansprechpartner zur Verfügung, prüft die Rechtmäßigkeit der Verarbeitung und erfüllt seine eigenen Pflichten gegenüber betroffenen Personen und Aufsichtsbehörden.

13. Rückgabe und Löschung

(1) Nach Beendigung des Hauptvertrags beziehungsweise der Auftragsverarbeitung werden Kundendaten und die vom Verantwortlichen betriebene Website, soweit der Hauptvertrag keinen anderen Abwicklungszeitraum vorsieht, grundsätzlich für insgesamt 90 Tage in einem Grace-Status aufbewahrt. Dieser Zeitraum umfasst 30 Tage zur möglichen Reaktivierung und anschließend 60 Tage im Soft-Delete-Status. Der Grace-Status dient ausschließlich der Rückgabe, dem Export, der Reaktivierung und der technischen Abwicklung der Vertragsbeendigung.

(2) Während des Grace-Zeitraums kann der Verantwortliche die ihm zugeordneten Daten im Rahmen der technisch verfügbaren Exportfunktionen exportieren oder deren Rückgabe in einem verfügbaren technischen Format verlangen. Der Auftragsverarbeiter stellt die Daten nach Wahl des Verantwortlichen entweder über die vorhandene Exportfunktion bereit oder gibt sie in einem technisch verfügbaren Format zurück. Eine bestimmte Exportierbarkeit oder ein bestimmtes Dateiformat wird nur geschuldet, wenn dies im Hauptvertrag, in der Leistungsbeschreibung oder in einer individuellen Vereinbarung ausdrücklich zugesagt wurde.

(3) Nach Ablauf des Grace-Zeitraums löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten aus den für den laufenden Betrieb verwendeten Systemen, sofern keine unionsrechtliche oder österreichische Verpflichtung zur weiteren Speicherung besteht. Gesetzliche Aufbewahrungspflichten oder eigene gesetzliche Nachweis- und Abwicklungsinteressen des Auftragsverarbeiters betreffen nur Verarbeitungen, die er für eigene Zwecke als Verantwortlicher vornimmt, und berechtigen nicht zur weiteren Nutzung der im Auftrag verarbeiteten Daten für andere Zwecke.

(4) Daten in technisch getrennten Sicherungskopien werden nicht für den laufenden Betrieb oder neue Verarbeitungszwecke verwendet und spätestens nach Ablauf der jeweils vereinbarten Backup-Rotation überschrieben. Für die im gegenständlichen Leistungsmodell vorgesehenen Backups gelten die in Anlage 2 ausgewiesenen Aufbewahrungsfristen. Soweit eine vollständige Löschung aus einer Sicherungskopie vor Ablauf der technischen Rotation nicht möglich ist, bleibt die Sicherungskopie bis zur Überschreibung gesperrt und wird danach endgültig gelöscht oder überschrieben.

(5) Die Rückgabe und Löschung lassen Daten unberührt, die der Verantwortliche selbst in seinem eigenen Postfach, eigenen Systemen oder bei von ihm selbst beauftragten Empfängern gespeichert hat. Für die Aufbewahrung solcher Daten ist der Verantwortliche selbst verantwortlich. Dies gilt insbesondere für Kontaktanfragen, die als Pure Forwarder über den E-Mail-Versanddienstleister an die vom Verantwortlichen hinterlegte Mailbox weitergeleitet wurden und nicht in der eigenen Datenbank von instantpage.at gespeichert werden. Eine Erweiterung um eine eigene Speicherung dieser Anfragen (z. B. Portal-Posteingang) erfolgt nur nach vorheriger Anpassung dieses AVV nach Ziffer 14.

(6) Auf Verlangen bestätigt der Auftragsverarbeiter die Durchführung der Löschung oder Rückgabe in Textform. Die Bestätigung kann sich auf die aktiven Systeme und die jeweils abgelaufenen Backup-Rotationen beziehen.

14. Rangordnung und Änderungen

(1) Rangordnung der Vertragsunterlagen. Bei Widersprüchen gilt folgende Rangordnung: zwingende Bestimmungen der DSGVO und sonstigen anwendbaren Rechts; sodann die besonderen Regelungen dieses AVV; sodann die Anlagen als konkrete Beschreibung der Verarbeitung und Maßnahmen; sodann sonstige Vertragsunterlagen. Speziellere Regelungen konkretisieren die allgemeineren Regelungen, dürfen deren zwingenden Inhalt jedoch nicht unterschreiten.

(2) Redaktionelle und klarstellende Änderungen. Redaktionelle Änderungen, Berichtigungen, Umnummerierungen und sonstige Klarstellungen bedürfen keiner ausdrücklichen Zustimmung, sofern sie weder den Zweck, die Art oder den Umfang der Verarbeitung, die Kategorien personenbezogener Daten, die Kategorien betroffener Personen, die Empfänger, die Verarbeitungsorte noch das vereinbarte Schutzniveau materiell verändern. Der Auftragsverarbeiter stellt die aktualisierte Fassung einschließlich einer Versionshistorie dauerhaft abrufbar bereit und informiert den Verantwortlichen über die Änderung in geeigneter Weise; einer erneuten Annahme bedarf es nicht.

(3) Geringfügige oder technisch erforderliche materielle Änderungen. Geringfügige oder technisch erforderliche Anpassungen der bereits vereinbarten Verarbeitung, insbesondere Konkretisierungen bestehender Verarbeitungsvorgänge sowie die Ergänzung technisch erforderlicher Empfänger oder Verarbeitungsorte, werden dem Verantwortlichen vor ihrer Umsetzung in Textform mitgeteilt, mindestens sechs Wochen vor Inkrafttreten. Die Mitteilung geht an die vom Verantwortlichen benannte Mitteilungsadresse, sonst an die im Plattform-Konto hinterlegte Adresse bzw., ohne Plattform-Konto, an die Absenderadresse seiner Annahmeerklärung (Ziffer 15 Abs. 1a). Sie enthält zumindest die Änderung, den Änderungsgrund, den Zeitpunkt des Inkrafttretens, die betroffenen Datenkategorien, die Empfänger, die Verarbeitungsorte und einen allfälligen Drittlandbezug. Der Verantwortliche kann innerhalb von 30 Tagen aus wichtigen datenschutzrechtlichen Gründen widersprechen; die Änderung tritt ihm gegenüber dann nicht in Kraft, und er kann die Auftragsverarbeitung zum Wirksamwerden der Änderung beenden. Macht er davon Gebrauch, werden die Daten nach Ziffer 13 Abs. 2 und 3 bzw. Anlage 1 Ziffer 7 herausgegeben und gelöscht. Widerspricht er nicht, wird die Änderung zum mitgeteilten Zeitpunkt wirksam, ohne dass es einer erneuten Annahme bedarf. Für Änderungen weiterer Auftragsverarbeiter gilt vorrangig Ziffer 9.

(4) Wesentliche Änderungen dieses AVV oder seiner Anlagen bedürfen der ausdrücklichen Zustimmung des Verantwortlichen in Textform oder einer neuen Vereinbarung; ein Bestätigungs-Klick im Kundenbereich genügt. Wesentlich sind insbesondere: eine wesentliche Erweiterung des Zwecks oder Umfangs der Verarbeitung; die Einführung eines neuen, bisher nicht vereinbarten Verarbeitungsvorgangs; die Verarbeitung besonderer Kategorien personenbezogener Daten als regulärer Bestandteil der Leistung; eine wesentliche Verschlechterung des vereinbarten Schutzniveaus; eine wesentliche Änderung der Empfänger, Verarbeitungsorte oder Drittlandübermittlungen; eine wesentliche Änderung der datenschutzrechtlichen Rollen oder Verantwortlichkeiten. Bis zur Zustimmung bleibt die bisherige Regelung in Kraft, soweit dies technisch und rechtlich möglich ist.

(5) Vorrang der Spezialregelungen. Besondere Änderungs- und Informationsregelungen dieses AVV gehen dem allgemeinen Änderungsverfahren vor. Dies gilt insbesondere für Ziffer 9 zu weiteren Auftragsverarbeitern sowie für Ziffer 6 zu technischen und organisatorischen Maßnahmen.

(6) Dokumentation. Jede Änderung wird mit Versionsnummer, Änderungsdatum, Änderungsgrund und einer kurzen Beschreibung der betroffenen Regelungen dokumentiert. Der Verantwortliche erhält oder kann jederzeit eine speicherbare Fassung des für ihn geltenden AVV einschließlich der zugehörigen Anlagen abrufen.

(7) Keine Änderung durch bloße Aktualisierung der Datenschutzerklärung. Eine Änderung der Datenschutzerklärung ersetzt keine nach diesem AVV erforderliche Vereinbarung oder Zustimmung. Die Datenschutzerklärung kann aktualisiert werden, um die tatsächlich vereinbarte Verarbeitung transparent zu beschreiben. Für die Wirksamkeit einer Änderung des AVV gelten ausschließlich die vorstehenden Bestimmungen.

15. Vertragsschluss und Nachweis

(1) Der AVV kann schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9 DSGVO) geschlossen werden. Bei elektronischem Vertragsschluss werden Zeitpunkt, Vertragsversion, Identität des annehmenden Kontos und die abgegebene Zustimmung dokumentiert. Die Annahme erfolgt durch ausdrücklichen Bestätigungs-Klick im Bestellprozess oder im Kundenbereich, spätestens vor der erstmaligen Veröffentlichung der Website, oder schriftlich in elektronischer Form nach Abs. 1a. Bei einer Annahme per Klick werden Zeitstempel, IP-Adresse, User-Agent, akzeptierte AVV-Version und deren Stand-Datum im Aktivitätenprotokoll des Verantwortlichen festgehalten (Audit-Trail).

(1a) Annahme in elektronischer Form. Wird dieser AVV nicht per Klick angenommen, insbesondere bei individuell erstellten Websites (Ziffer 2 Abs. 5), erfolgt die Annahme schriftlich in elektronischer Form (Art. 28 Abs. 9 DSGVO); eine E-Mail des Verantwortlichen oder seine Annahme eines Angebots, die den angenommenen Stand dieses AVV, die für seine Website aktivierten Funktionen und eine Adresse für Mitteilungen nach diesem AVV benennt, genügt. Benennt die Erklärung keine Mitteilungsadresse, gilt ihre Absenderadresse als Mitteilungsadresse; der Verantwortliche kann sie jederzeit in Textform ändern. Fehlt die Angabe der aktivierten Funktionen, berührt das weder die Wirksamkeit der Annahme noch den Umfang dieses AVV (Schlusssatz der Anlage 2). An die Stelle des Aktivitätenprotokolls tritt die aufbewahrte Erklärung; der Auftragsverarbeiter führt darüber ein Verzeichnis, das je Website den angenommenen Stand, die aktivierten Funktionen und die Mitteilungsadresse festhält. Besteht ein Plattform-Konto, kann er diese Angaben stattdessen im Aktivitätenprotokoll dieses Kontos festhalten.

(2) Der Verantwortliche erhält oder kann jederzeit eine speicherbare Fassung dieses AVV einschließlich der zum Vertragsschluss geltenden Anlagen abrufen.

(3) Ein bloßer Verweis auf eine externe Website ersetzt nicht die dauerhafte Dokumentation der vereinbarten Vertragsfassung. Der Auftragsverarbeiter hält deshalb je Fassung einen unveränderlichen Abzug bereit und verweist im Nachweis der Annahme auf den Abzug, der zum Zeitpunkt der Annahme galt, samt dessen Prüfsumme.

(4) Vertragsübergang. Der Auftragsverarbeiter darf diesen AVV zusammen mit dem Hauptvertrag auf ein Unternehmen übertragen, an dem sein Inhaber maßgeblich beteiligt ist oder das sein Unternehmen fortführt, etwa im Wege der Einbringung oder Gesamtrechtsnachfolge in eine Gesellschaft. Der Übernehmer tritt in alle Rechte und Pflichten aus diesem AVV ein; das vereinbarte Schutzniveau bleibt unberührt. Der Auftragsverarbeiter teilt den Übergang vorab in Textform mit; der Verantwortliche kann den Hauptvertrag und diesen AVV zum Zeitpunkt des Übergangs kündigen. Der Übergang ist keine Änderung nach Ziffer 14. Geht der Hauptvertrag auf Seiten des Verantwortlichen auf einen Rechtsnachfolger über, geht dieser AVV mit.

Anlage 1 — Beschreibung der Auftragsverarbeitung

1. Gegenstand

Die folgende Aufstellung beschreibt den vollen Funktionsumfang. Funktionen, die für die Website eines Verantwortlichen nicht aktiviert sind, lösen dort keine Verarbeitung aus; der Umfang dieses AVV wird dadurch nicht verengt (Schlusssatz der Anlage 2).

• Technischer Betrieb und Hosting der vom Verantwortlichen betriebenen Website.
• Bereitstellung und Auslieferung von Website-Inhalten, einschließlich Bilder und Dokumente, die der Verantwortliche hochlädt, im Kundenbereich pflegt oder aus von ihm benannten Quellen (etwa seiner bisherigen Website) übernehmen lässt, soweit die jeweilige Funktion aktiviert ist.
• Einsatz von KI bei Erstellung, Pflege und Betrieb der Website auf Weisung des Verantwortlichen.
• Technische Verarbeitung von Formularen (etwa Kontakt- oder Anfrageformularen) und Weiterleitung der Anfragen an das vom Verantwortlichen bestimmte Postfach, soweit diese Funktion aktiviert ist.
• Speicherung und öffentliche Bereitstellung von Inhalten, die der Verantwortliche selbst einträgt, im Kundenbereich pflegt oder aus von ihm benannten Quellen übernehmen lässt, insbesondere Bewertungen.
• Bereitstellung technischer Sicherheits- und Bot-Schutzfunktionen.
• Cookielose Reichweitenmessung der Website-Nutzung als Regelbestandteil; Bereitstellung der Auswertung je nach vereinbarter Leistung, etwa im Kundenbereich oder als Bericht.
• Technische Domain- und SSL-Konfiguration, soweit sie auf Weisung des Verantwortlichen für dessen Website erfolgt, einschließlich der Übermittlung des verbundenen Domainnamens an den Hosting-Anbieter zur Einrichtung des Custom-Hostname-Routings und zur SSL-Zertifikatsausstellung, soweit eine eigene Domain gebucht oder vereinbart ist.

2. Art der Verarbeitung

Erheben, Übermitteln, Speichern, Strukturieren, Verändern (durch Endnutzer- oder Verantwortlichen-Eingaben), Auslesen, Abfragen, Verwenden, Bereitstellen, Löschen und Vernichten, jeweils nur im für die vereinbarten Leistungen erforderlichen Umfang.

3. Zwecke

Betrieb und Absicherung der Website, technische Bereitstellung der vom Verantwortlichen gewünschten Funktionen, Erstellung und Pflege der Website-Inhalte aus den Angaben des Verantwortlichen, Unterstützung des Betriebs, jeweils auch unter Einsatz von KI-Sprachmodellen, Zustellung von Kontaktanfragen, statistische Auswertung der Website-Nutzung und Bereitstellung der vom Verantwortlichen veröffentlichten Inhalte.

4. Kategorien betroffener Personen

• Besucher und sonstige Nutzer der Website.
• Personen, die über ein Kontaktformular Kontakt aufnehmen.
• Personen, die in vom Verantwortlichen veröffentlichten Inhalten, Bewertungen oder Bildern genannt oder abgebildet werden.
• Ansprechpersonen, Mitarbeiter und sonstige Vertreter des Verantwortlichen, soweit deren Daten im Rahmen der Website-Inhalte verarbeitet werden.
• Externe Geschäftspartner des Verantwortlichen, soweit auf der Website namentlich genannt.
• Sonstige Personen, die in den vom Verantwortlichen bereitgestellten oder aus seiner bisherigen Website übernommenen Texten namentlich genannt werden.

5. Kategorien personenbezogener Daten

• Kontaktdaten und sonstige Angaben aus Kontaktanfragen.
• Inhalte von Nachrichten und sonstigen Eingaben.
• Vom Verantwortlichen veröffentlichte Bewertungs- und Inhaltsdaten; sie können Angaben zu Dritten enthalten.
• Freitexte des Verantwortlichen (z. B. Unternehmensbeschreibung, Über-uns-Text, häufige Fragen), eingegeben, im Kundenbereich gepflegt oder aus von ihm benannten Quellen (etwa seiner bisherigen Website) übernommen, soweit die jeweilige Funktion aktiviert ist, die Namen oder andere Angaben zu Dritten enthalten können.
• Bilddaten mit möglichen Personenabbildungen sowie hochgeladene Dokumente (z. B. Speisekarte, Katalog, Preisliste, Patienteninformation), die Namen, Abbildungen oder Kontaktdaten Dritter enthalten können.
• Technische Daten wie IP-Adresse, Zeitpunkt, User-Agent, Referrer und Sicherheitsprotokolldaten, soweit diese durch die aktivierten Dienste verarbeitet werden, sowie vom Hosting-Anbieter abgeleitete Standortdaten (Land, Region, Stadt, Postleitzahl, ungefähre Koordinaten) in den Protokollen der Auslieferung (Frist: Anlage 5).
• Die vorstehenden Inhalte einschließlich Bilddaten und Bewertungstexten können zur KI-gestützten Erstellung, Pflege und Prüfung der Website an die KI-Anbieter der Liste nach Anlage 3 übermittelt werden; Verarbeitungsort und Transfergrundlage stehen dort.
• Messdaten der Reichweitenmessung: Seitenaufruf, Referrer, Geräte- und Browserklasse sowie technische Performance-Werte, cookielos erhoben, ohne Speicherung der IP-Adresse und ohne Wiedererkennung einzelner Besucher.

6. Besondere Kategorien

Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht als regulärer Bestandteil der Leistung vorgesehen. Werden solche Daten dennoch durch Eingaben oder Inhalte verarbeitet, bleibt der Verantwortliche für die Rechtmäßigkeit seiner Weisung und die erforderlichen Rechtsgrundlagen verantwortlich; der Auftragsverarbeiter verarbeitet sie ausschließlich nach dokumentierter Weisung und im Rahmen der vereinbarten technischen Leistung. Formulare sehen grundsätzlich keine Felder für besondere Datenkategorien vor; Abweichungen werden für die jeweilige Website vereinbart.

7. Dauer der Verarbeitung

Bei Websites auf der Selbstbedienungs-Plattform: für die Laufzeit des Hauptvertrags zuzüglich des Grace-Zeitraums nach Ziffer 13 Abs. 1.

Bei individuell erstellten Websites (Ziffer 2 Abs. 5), mit oder ohne Plattform-Konto: für die Dauer, in der der Auftragsverarbeiter die Website betreibt. Wird der Betrieb eingestellt — auf Verlangen des Verantwortlichen, mit Beendigung des zugrunde liegenden Vertrags oder nach Ziffer 14 —, gibt der Auftragsverarbeiter die vom Verantwortlichen bereitgestellten Inhalte innerhalb des im zugrunde liegenden Vertrag vereinbarten Zeitraums, mangels Vereinbarung binnen 30 Tagen heraus und löscht danach alle verbleibenden Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Für Protokolle der Auslieferung und Zugriffsdaten beim Hosting-Anbieter gilt Anlage 5.

Anlage 2 — Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle:

• Physische und logische Zugriffsbeschränkungen nach dem Berechtigungskonzept.
• Individuelle Konten und rollenbasierte Berechtigungen.
• Mehrfaktor-Authentifizierung für privilegierte Administrationszugänge, soweit technisch unterstützt. Die Anmeldung an der Betreiber-Oberfläche der Plattform setzt eine zweite Authentifizierungsstufe voraus.
• Sichere Passwortspeicherung: Passwörter ausschließlich gesalzen und kryptografisch gehasht, niemals im Klartext.

Zugriffskontrolle und Vertraulichkeit:

• Need-to-know-Prinzip und regelmäßige Berechtigungsüberprüfung.
• Vertraulichkeitsverpflichtung und Sensibilisierung befugter Personen.
• Transportverschlüsselung (TLS) nach dem Stand der Technik bei der Übertragung, soweit vom jeweiligen Dienst unterstützt.
• Verschlüsselung gespeicherter Daten nach den Möglichkeiten der eingesetzten Dienste (Datenbank und Dateispeicher serverseitig verschlüsselt); Zugriffsbeschränkung auf Datenbankebene (Row-Level-Security).

Integrität und Eingabekontrolle:

• Validierung und Bereinigung von Eingaben.
• Schutz vor unbefugter Veränderung durch rollenbasierte Zugriffe und Sicherheitskontrollen.
• Protokollierung sicherheitsrelevanter Administrations- und Systemereignisse, soweit erforderlich; Aufbewahrung der Aktivitätsprotokolle nach Anlage 4.

Verfügbarkeit und Belastbarkeit:

• Regelmäßige Sicherungen von Datenbank und Dateispeicher in der EU mit rollierender Aufbewahrung; Fristen nach Anlage 5 Abschnitt 5.2.
• Überwachung der Verfügbarkeit und technische Schutzmaßnahmen gegen missbräuchliche Anfragen.
• Ratenbegrenzung auf Anwendungsebene für Anmeldung und rechenintensive Funktionen im Regelbetrieb sowie ein Budget je Auftrag für ressourcenintensive Generierung.
• Dokumentierter Wiederanlauf- und Notfallprozess im angemessenen Umfang.

Wiederherstellung:

• Verfahren zur Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall.
• Regelmäßige Überprüfung der Wiederherstellbarkeit nach dem internen Prüfplan, einschließlich Wiederherstellungstests.

Löschung und Trennung:

• Löschung beziehungsweise Überschreibung nach den vereinbarten Fristen; bis dahin technische Trennung und keine Nutzung für den laufenden Betrieb.
• Trennung von Kundenumgebungen und Zugriffen, soweit die Architektur dies vorsieht.
• Keine Nutzung von Auftragsdaten für eigene Zwecke ohne gesonderte Rechtsgrundlage und Rollenprüfung.

Regelmäßige Evaluierung:

• Regelmäßige Überprüfung und Aktualisierung der Maßnahmen nach dem Stand der Technik.
• Dokumentation wesentlicher Sicherheitsvorfälle und Abhilfemaßnahmen.
• Angemessene Prüfung eingesetzter weiterer Auftragsverarbeiter; kein Einsatz ohne dokumentierten Vertrag.

Schlusssatz. Speicherfristen sind in Anlage 5, die eingesetzten Dienste in der Liste nach Anlage 3 festgehalten. Funktionen, die für die Website eines Verantwortlichen nicht aktiviert sind, lösen dort keine Verarbeitung aus; der Umfang dieses AVV wird dadurch nicht verengt.

Anlage 3 — Weitere Auftragsverarbeiter

Weitere Auftragsverarbeiter dieses AVV sind die Anbieter im Abschnitt „Weitere Auftragsverarbeiter nach dem AVV“ der Liste der Unterauftragsverarbeiter unter instantpage.at/subprozessoren, und zwar in der bei Annahme dieses AVV geltenden Fassung, fortgeschrieben nach Ziffer 9. Die Liste nennt je Anbieter die Identität, die Leistung, den Verarbeitungsort und einen allfälligen Drittlandbezug samt Transfergrundlage. Jede Änderung wird dort mit Datum festgehalten; den zu einem bestimmten Zeitpunkt geltenden Stand stellt der Auftragsverarbeiter auf Anfrage in Textform zur Verfügung.

Die Liste ist nur wirksam, soweit der jeweilige Anbieter tatsächlich eingesetzt wird. Anbieter für eigene Verantwortlichkeitsbereiche des Auftragsverarbeiters, insbesondere Zahlungsdienstleister für dessen eigene Vertrags- und Zahlungsabwicklung, sind nicht automatisch weitere Auftragsverarbeiter dieses AVV; sie stehen in Anlage 4 und auf der Seite unter „Weitere Empfänger“.

Anlage 4 — Eigene Verantwortlichkeit des Auftragsverarbeiters

Diese Anlage beschreibt Verarbeitungen, die nicht im Auftrag des Verantwortlichen erfolgen, sondern eigenen Zwecken des Auftragsverarbeiters dienen:

• Vertragsabschluss und Vertragsabwicklung.
• Verwaltung des Plattformkontos und der Kundenbeziehung.
• Abrechnung und Buchhaltung.
• Zahlungsabwicklung über Zahlungsdienstleister oder per Überweisung für eigene Forderungen des Auftragsverarbeiters.
• Kundensupport und Kommunikation.
• Versand von Konto- und Vertrags-Mails an den Verantwortlichen (insbesondere Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzen, E-Mail-Wechsel, Willkommen, Erinnerungen) über einen E-Mail-Versanddienstleister.
• Gesetzliche Aufbewahrung und Nachweisführung.
• Missbrauchsverhinderung sowie eigene IT- und Informationssicherheit.

Für diese Verarbeitungen gelten folgende Speicherorte und Fristen:

Für diese Verarbeitungen ist der Auftragsverarbeiter eigener Verantwortlicher; Einzelheiten in der Datenschutzerklärung.

Anlage 5 — Datenkategorien, Speicherorte und Fristen (Endnutzer-Daten auf Kundenseiten)

Pure-Forwarder-Prinzip: Die Anfragen aus Formularen auf Kundenseiten werden als Pure Forwarder über den E-Mail-Versanddienstleister direkt an die vom Verantwortlichen hinterlegte Mailbox weitergeleitet. instantpage.at speichert die Inhalte dieser Anfragen NICHT in der eigenen Datenbank. Eine Erweiterung um eine eigene Speicherung (z. B. Portal-Posteingang) erfolgt nur nach vorheriger Anpassung dieses AVV nach Ziffer 14.

5.1 Endnutzer-Daten (auf Kundenseiten)

5.2 Backup-Aufbewahrung

Weitere Sicherungen derselben Art dürfen hinzukommen, sofern sie in der EU liegen und nicht länger aufbewahrt werden als die vorstehenden.