Auftragsverarbeitungsvertrag

Präambel

Dieser Vertrag ergänzt den Nutzungsvertrag über bms ERP und regelt ausschließlich die Verarbeitung personenbezogener Daten durch die bms future energy GmbH („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“). Er gilt mit Vertragsschluss nach § 8 AGB als vereinbart.

Nicht Gegenstand dieses Vertrags sind jene Verarbeitungen, die der Auftragsverarbeiter in eigener datenschutzrechtlicher Verantwortlichkeit vornimmt — insbesondere Registrierung, Abrechnung, Systemsicherheit und die Erfüllung eigener gesetzlicher Pflichten. Diese sind in der Datenschutzerklärung beschrieben.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten des Verantwortlichen sowie seiner Kunden, Mitarbeiter und Lieferanten im Rahmen der SaaS-Software bms ERP. Der Vertrag läuft parallel zum Nutzungsvertrag und endet mit dessen Beendigung.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der Software und der darin enthaltenen Funktionen, insbesondere zum Speichern, Auslesen, Verändern, Löschen und Übermitteln der vom Verantwortlichen eingegebenen Daten (Rechnungen, Belege, Kunden- und Lieferantendaten, Aufträge, Projekte, Zeiterfassung, Energie-Modul).

Zur Verarbeitung gehört auch der optionale KI-Assistent. Dieser wertet auf Anfrage des Benutzers Daten aus dem Mandanten aus und bereitet Vorgänge vor oder führt sie aus; Vorgänge mit Wirkung gegenüber Dritten führt er erst nach ausdrücklicher Bestätigung durch den Benutzer aus. Einzelheiten ergeben sich aus § 10 AGB und Punkt 5 der Datenschutzerklärung.

§ 3 Art der Daten

• Kontakt- und Firmendaten des Verantwortlichen.
• Kontaktdaten seiner Kunden und Lieferanten (Name, Anschrift, E-Mail-Adresse, USt-IdNr.).
• Rechnungs- und Zahlungsdaten.
• Optional Zeiterfassungs-, Projekt- und Energie-Modul-Daten.
• Bei Nutzung des KI-Assistenten: Chatverlauf sowie ein Protokoll der ausgeführten Aktionen (Werkzeug, übergebene Angaben, Ergebnis und auslösende Eingabe).
• Bei verbundenem Bankkonto: Kontostände und Umsätze (Datum, Betrag, Gegenpartei, IBAN, Verwendungszweck).
• Bei Online-Unterschrift unter Angeboten: Name, E-Mail-Adresse, Unterschriftsbild, Zeitpunkt, IP-Adresse und Browser- bzw. Gerätekennung der unterschreibenden Person.
• Per E-Mail eingesandte Belege samt Absenderangaben sowie ein Versandprotokoll der aus der Software verschickten Beleg-E-Mails.

§ 4 Kategorien betroffener Personen

• Mitarbeiter des Verantwortlichen als Benutzer im ERP.
• Kunden des Verantwortlichen.
• Lieferanten des Verantwortlichen.
• Kontaktpersonen aus Angeboten, Aufträgen und Projekten.
• Personen, die Angebote des Verantwortlichen online unterschreiben.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, sofern er nicht durch Unionsrecht oder das Recht der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;
• zu gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen umzusetzen (siehe Anhang TOM);
• keine weiteren Auftragsverarbeiter ohne die in diesem Vertrag vorgesehene Genehmigung einzusetzen und diesen dieselben Datenschutzpflichten aufzuerlegen, wie sie in diesem Vertrag festgelegt sind;
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in den Art. 15 bis 22 DSGVO genannten Betroffenenrechte nachzukommen;
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten zu unterstützen, insbesondere Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch 72 Stunden nach Kenntnis, zu melden;
• nach Vertragsende alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder zu löschen oder durch Bereitstellung einer Exportmöglichkeit zur Rückgabe verfügbar zu machen. Macht der Verantwortliche von der Exportmöglichkeit nicht innerhalb von 30 Tagen ab Vertragsende Gebrauch, werden die Daten vorbehaltlich gesetzlicher Aufbewahrungspflichten gelöscht;
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen einschließlich Inspektionen zu ermöglichen oder an diesen mitzuwirken;
• den Verantwortlichen unverzüglich zu informieren, falls er der Auffassung ist, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt.

§ 6 Unterauftragsverarbeiter

Der Auftragsverarbeiter ist berechtigt, die folgenden Unterauftragsverarbeiter einzusetzen. Der Verantwortliche stimmt diesen mit Vertragsschluss zu:

Vercel Inc. (USA), Verarbeitung in Frankfurt am Main

Hosting der Anwendung. Übermittelt: Zugriffsprotokolle und technische Betriebsdaten. Absicherung: EU-US Data Privacy Framework.

Vercel Blob (Vercel Inc., USA)

Dateiablage für Firmenlogos, Briefpapiervorlagen, Belege und Kontoauszüge, Unterschriften, Anhänge an den KI-Assistenten und Datenbanksicherungen (verschlüsselt). Übermittelt: hochgeladene Dateien und Sicherungen. Absicherung: EU-US Data Privacy Framework.

Neon Inc. (USA), Verarbeitung in Frankfurt am Main

Datenbank-Hosting. Übermittelt: alle im ERP eingegebenen Nutzungsdaten. Absicherung: Standardvertragsklauseln.

Anthropic PBC (USA)

KI-Assistent und automatische Beleg-Erkennung. Übermittelt: Eingaben des Benutzers, die zur Beantwortung erforderlichen Geschäftsdaten sowie auszulesende Belegdateien. Aufbewahrung nach den kommerziellen Bedingungen 30 Tage, keine Verwendung zu Trainingszwecken. Absicherung: Standardvertragsklauseln.

Stripe Inc. (USA) / Stripe Payments Europe Ltd. (Irland)

Zahlungsabwicklung. Übermittelt: Zahlungsdaten, Firmenanschrift, USt-IdNr. Absicherung: EU-Vertragspartner in Irland, PCI-DSS Level 1, ergänzend Standardvertragsklauseln.

Functional Software, Inc. (Sentry, USA)

Fehlerüberwachung. Übermittelt: Fehlerberichte, die die aufgerufene Adresse, eine Benutzerkennung und den technischen Kontext enthalten können. Absicherung: Standardvertragsklauseln.

world4you Internet Services GmbH (Österreich)

Postausgangsserver für Transaktions-E-Mails wie Bestätigungscodes, Passwort-Zurücksetzung und Rechnungsversand sowie Postfach für per E-Mail eingesandte Belege. Übermittelt werden Absender- und Empfängeradresse und Inhalt der E-Mail samt Anhängen. Verarbeitung ausschließlich innerhalb der Europäischen Union.

Twilio SendGrid (Twilio Inc., USA)

Alternativer Versandweg für System-E-Mails wie Einladungen und Passwort-Zurücksetzung. Übermittelt werden Empfängeradresse und Inhalt der E-Mail. Absicherung: Standardvertragsklauseln der Europäischen Kommission.

Hinterlegt der Verantwortliche in seinem Mandanten einen eigenen Postausgangsserver, wird dieser vorrangig verwendet; dessen Anbieter ist dann nicht Unterauftragsverarbeiter des Auftragsverarbeiters, und für diese Übermittlung ist der Verantwortliche selbst verantwortlich. Andernfalls erfolgt der Versand über Twilio SendGrid; der Postausgang bei world4you wird für jene E-Mails verwendet, die über das eigene Absenderkonto des Auftragsverarbeiters laufen.

Der Austausch bestehender oder das Hinzufügen neuer Unterauftragsverarbeiter wird dem Verantwortlichen mindestens 30 Tage vorher in Textform mitgeteilt. Der Verantwortliche kann innerhalb dieser Frist widersprechen. Führt der Widerspruch dazu, dass dem Auftragsverarbeiter die Leistungserbringung ohne den betroffenen Unterauftragsverarbeiter nicht zumutbar möglich ist, steht dem Auftragsverarbeiter das Recht zu, den Vertrag zum Wirksamwerden der Änderung außerordentlich zu kündigen.

§ 7 Datenübermittlung in Drittländer

Soweit der Auftragsverarbeiter oder seine Unterauftragsverarbeiter personenbezogene Daten in Drittländer übermitteln, erfolgt dies ausschließlich nach Maßgabe der Art. 44 ff DSGVO. Der Auftragsverarbeiter stützt sich dabei je nach betroffenem Unterauftragsverarbeiter auf einen Angemessenheitsbeschluss der Europäischen Kommission, insbesondere das EU-US Data Privacy Framework, oder auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 DSGVO.

Die primär eingesetzten Verarbeitungsstandorte für Anwendung und Datenbank befinden sich in Frankfurt am Main, Deutschland. Der Versand von Transaktions-E-Mails erfolgt je nach Konfiguration innerhalb Österreichs oder über einen Anbieter in den Vereinigten Staaten; im letzteren Fall stützt sich die Übermittlung auf die Standardvertragsklauseln. Für den KI-Assistenten ist keine Verarbeitung innerhalb der Europäischen Union zugesichert; die Übermittlung an Anthropic PBC in den Vereinigten Staaten stützt sich ebenfalls auf die Standardvertragsklauseln.

Die Nachweise der eingesetzten Unterauftragsverarbeiter werden mindestens jährlich überprüft und dem Verantwortlichen auf Anfrage vorgelegt.

§ 8 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf schriftliche Anfrage zeitnah alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages und der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Nachweis kann insbesondere durch den TOM-Anhang, Beschreibungen der technischen und organisatorischen Maßnahmen, Informationen zu Unterauftragsverarbeitern sowie durch vorhandene Zertifizierungen oder Prüfberichte erbracht werden.

Vor-Ort-Kontrollen und Audits sind zulässig. Sie sind mindestens 14 Kalendertage im Voraus in Textform anzukündigen und dürfen nur während der üblichen Geschäftszeiten sowie ohne unangemessene Beeinträchtigung des Geschäftsbetriebs durchgeführt werden. Dabei sind Geschäfts- und Betriebsgeheimnisse des Auftragsverarbeiters, die Sicherheit seiner Systeme sowie die Rechte anderer Kunden zu wahren. Die damit verbundenen Kosten trägt der Verantwortliche.

§ 9 Haftung

Es gelten die Haftungsregelungen des Nutzungsvertrags (§ 13 AGB) sowie die gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82.

§ 10 Schlussbestimmungen

Änderungen bedürfen der Schriftform; E-Mail genügt. Für diesen Vertrag gilt österreichisches Recht. Als Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag wird — übereinstimmend mit § 16 AGB — das sachlich zuständige Gericht in Steyr, Österreich, vereinbart.