Vereinbarung zur Auftragsverarbeitung
Diese Vereinbarung wird zwischen dem FindTime-Kunden als Verantwortlichem und Philipp Obentraut als Betreiber von FindTime und Auftragsverarbeiter geschlossen. Sie gilt ergänzend zum Vertrag über die Nutzung von FindTime.
1. Vertragsparteien und Geltungsbereich
Auftragsverarbeiter:
Philipp Obentraut, Rosenweg 3/1, 2486 Pottendorf, Österreich, E-Mail: office@find-time.at, UID: ATU83492445.
Verantwortlicher: der im FindTime-Kundenkonto bezeichnete Vertragspartner. Die im Kundenkonto hinterlegten Unternehmens- und Rechnungsdaten bilden die Parteibezeichnung des Verantwortlichen.
2. Gegenstand, Zweck und Dauer
Gegenstand ist die technische Bereitstellung und der Betrieb der Online-Terminbuchungsplattform FindTime. Die Verarbeitung erfolgt ausschließlich zur Erbringung der vereinbarten Funktionen, insbesondere Mandantenverwaltung, Online-Terminbuchung, Termin- und Kundenverwaltung, Ressourcen- und Standortverwaltung, Benachrichtigungen, Kundenportal, Protokollierung, Datensicherung und Support.
Die Verarbeitung dauert für die Laufzeit des FindTime-Vertrags und bis zur vertragsgemäßen Rückgabe oder Löschung der Auftragsdaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
3. Art der Verarbeitung
Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln im Rahmen vereinbarter Benachrichtigungen, Einschränken, Sichern, Wiederherstellen und Löschen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet hinsichtlich der Kundendaten nicht statt.
4. Kategorien betroffener Personen und Daten
| Betroffene Personen | Datenkategorien |
|---|---|
| Kunden und Interessenten des Verantwortlichen | Stamm-, Kontakt-, Termin-, Buchungs-, Kommunikations- und gegebenenfalls Notizdaten |
| Beschäftigte, Mitarbeiter und Ressourcen des Verantwortlichen | Stamm-, Kontakt-, Rollen-, Berechtigungs-, Verfügbarkeits- und Terminzuordnungsdaten |
| Benutzer des Kundenkontos | Kontodaten, Rollen, Berechtigungen, Anmelde- und Protokolldaten |
| Je nach Einsatzbereich | Besondere Kategorien nach Art. 9 DSGVO können nur dann betroffen sein, wenn der Verantwortliche solche Daten in frei befüllbare Felder oder Buchungsinformationen eingibt. Der Verantwortliche entscheidet über Zulässigkeit und Umfang. |
5. Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung besteht. Die Nutzung und Konfiguration der Plattform sowie schriftliche Weisungen an office@find-time.at gelten als dokumentierte Weisungen. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und kann die Ausführung bis zur Klärung aussetzen.
6. Pflichten des Auftragsverarbeiters
- Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen;
- Umsetzung und laufende Überprüfung angemessener technischer und organisatorischer Maßnahmen;
- Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Konsultationen, soweit die Verarbeitung betroffen ist;
- unverzügliche Information über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, damit der Verantwortliche seine gesetzlichen Fristen erfüllen kann;
- Führung der erforderlichen Aufzeichnungen und Mitwirkung gegenüber Aufsichtsbehörden;
- keine Weitergabe an weitere Auftragsverarbeiter außerhalb der vereinbarten Regelungen.
7. Sicherheit der Verarbeitung
Die geltenden technischen und organisatorischen Maßnahmen sind in der Anlage TOMs beschrieben. Sie können unter Berücksichtigung des Stands der Technik weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
8. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die in der aktuellen Liste der Unterauftragsverarbeiter angeführten Anbieter. Wesentliche Änderungen oder geplante neue Unterauftragsverarbeiter werden über den Kundenbereich, per E-Mail oder auf der Liste angekündigt. Der Verantwortliche kann aus sachlich begründeten datenschutzrechtlichen Gründen widersprechen.
9. Drittlandübermittlungen
Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Verantwortliche entsprechend informiert wurde. Die aktuelle Unterauftragsverarbeiterliste weist den vorgesehenen Verarbeitungsort aus.
10. Betroffenenrechte
An den Auftragsverarbeiter gerichtete Anträge betroffener Personen, die Kundendaten betreffen, werden grundsätzlich an den Verantwortlichen weitergeleitet. Der Auftragsverarbeiter unterstützt den Verantwortlichen im technisch möglichen und angemessenen Umfang. Er beantwortet solche Anträge nicht eigenständig, sofern keine gesetzliche Verpflichtung besteht.
11. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten ohne unangemessene Verzögerung und stellt die verfügbaren Informationen zu Art, Umfang, möglichen Folgen und ergriffenen Maßnahmen bereit.
12. Kontrollen und Nachweise
Der Auftragsverarbeiter stellt erforderliche Informationen zum Nachweis der Einhaltung bereit. Kontrollen sind unter Wahrung von Betriebs- und Geschäftsgeheimnissen, Vertraulichkeit, Sicherheit anderer Mandanten und angemessener Vorankündigung durchzuführen. Vorrangig können Dokumentationen, Nachweise und Remote-Prüfungen verwendet werden.
13. Löschung und Rückgabe
Nach Vertragsende wird der Zugang gesperrt. Kundendaten werden nach dem dokumentierten Löschkonzept gelöscht oder auf Weisung exportiert, soweit technisch möglich und keine gesetzlichen Pflichten entgegenstehen. Daten in Sicherungskopien werden im Rahmen des regulären Überschreibungszyklus entfernt und bis dahin nicht produktiv verwendet.
14. Verantwortlichkeit des Kunden
Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung, die Erfüllung von Informationspflichten, die Festlegung von Löschfristen, die Konfiguration der abgefragten Daten sowie die Bearbeitung von Betroffenenrechten verantwortlich. Er darf FindTime nur im Rahmen zulässiger Zwecke einsetzen.
15. Abschluss in elektronischer Form
Die Vereinbarung wird elektronisch abgeschlossen. Die Zustimmung wird mit Dokumentversion, Mandant, Benutzer, Zeitpunkt, technischem Nachweiswert der IP-Adresse und User-Agent protokolliert. Individuelle schriftliche Ergänzungen bleiben möglich.
16. Rangfolge und Schlussbestimmungen
Bei Widersprüchen gehen zwingende datenschutzrechtliche Bestimmungen und diese AVV hinsichtlich der Auftragsverarbeitung vor. Im Übrigen gelten die vereinbarten FindTime-Vertragsbedingungen. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.