Auftragsverarbeitungsvertrag Cloudfakt

zwischen

dem im Angebot oder in der Bestellung bezeichneten Kunden als Verantwortlichem, nachfolgend „Auftraggeber“,

und

MIKAS ISP Werbe GmbH, Stettnerstraße 20, 5301 Eugendorf, Österreich, als Auftragsverarbeiterin, nachfolgend „MIKAS“.

1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch MIKAS im Auftrag des Auftraggebers bei Bereitstellung, Betrieb, Wartung, Sicherung und Support von Cloudfakt.
2. Er gilt für alle Auftragsdaten, die der Auftraggeber oder von ihm berechtigte Personen in Cloudfakt eingeben, importieren, erzeugen oder über vom Auftraggeber aktivierte Schnittstellen verarbeiten lassen.
3. Für Verarbeitungen, bei denen MIKAS eigene Zwecke und Mittel bestimmt, insbesondere Vertragsverwaltung, Abrechnung, Missbrauchsabwehr und gesetzliche Nachweise, bleibt MIKAS selbst Verantwortliche. Diese Verarbeitungen sind nicht Gegenstand dieses Vertrags.
4. Bei Widersprüchen zu anderen Vertragsunterlagen geht dieser Vertrag in Fragen der Auftragsverarbeitung vor.

Dieser Vertrag gilt ab Beginn der Verarbeitung und für die Dauer des Cloudfakt-Vertrags. Pflichten, die ihrem Zweck nach über das Vertragsende hinausreichen, gelten bis zur vollständigen Rückgabe oder Löschung der Auftragsdaten fort.

MIKAS verarbeitet Auftragsdaten ausschließlich, um Cloudfakt vertragsgemäß bereitzustellen. Die Verarbeitung kann je nach gebuchten Funktionen insbesondere Erheben, Erfassen, Ordnen, Speichern, Abfragen, Verwenden, Anpassen, Übermitteln auf Weisung, Einschränken, Exportieren, Sichern und Löschen umfassen.

Zwecke sind insbesondere:

• Betrieb eines getrennten Cloudfakt-Mandanten;
• Speicherung und technische Verarbeitung der vom Auftraggeber verwalteten Geschäfts-, Kontakt-, Kommunikations-, Vertrags-, Abrechnungs- und Servicedaten;
• Erstellung von Dokumenten und Auswertungen nach Eingabe des Auftraggebers;
• Betrieb der vom Auftraggeber aktivierten Kommunikations- und Datenschnittstellen;
• Datensicherung, Wiederherstellung, Wartung, Fehlerbehebung und Sicherheit;
• Support auf dokumentierte Anforderung des Auftraggebers;
• Export und Löschung nach Weisung oder Vertragsende.

Je nach Nutzung können insbesondere folgende Datenarten verarbeitet werden:

• Stamm- und Kontaktdaten;
• Vertrags-, Auftrags-, Leistungs- und Abrechnungsdaten;
• Zahlungs- und Bankdaten;
• Kommunikations- und Inhaltsdaten einschließlich E-Mails und Dateien;
• Benutzer-, Rollen- und Berechtigungsdaten;
• Anmelde-, Zugriffs-, Geräte-, Protokoll- und Sicherheitsdaten;
• Support- und Vorgangsdaten;
• Daten von Beschäftigten, Lieferanten, Interessenten und sonstigen Geschäftskontakten;
• vom Auftraggeber angelegte Freifelder und Dokumentinhalte.

Besondere Kategorien personenbezogener Daten nach Art 9 DSGVO sind nicht für eine regelmäßige Verarbeitung vorgesehen. Nimmt der Auftraggeber solche Daten auf, muss er vorab prüfen, ob Cloudfakt und die vereinbarten Maßnahmen für seine Verarbeitung geeignet sind und eine ausreichende Rechtsgrundlage besteht.

Betroffen sein können insbesondere:

• Kunden, Interessenten und Ansprechpartner des Auftraggebers;
• Beschäftigte, Bewerber und freie Mitarbeiter des Auftraggebers;
• Lieferanten, Partner und deren Ansprechpartner;
• Benutzer und Administratoren;
• Empfänger, Absender und sonstige Kommunikationspartner;
• sonstige Personen, deren Daten der Auftraggeber rechtmäßig in Cloudfakt verarbeitet.

1. MIKAS verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers, einschließlich Weisungen zu Übermittlungen in Drittländer, außer eine gesetzliche Verpflichtung verlangt die Verarbeitung. In diesem Fall informiert MIKAS den Auftraggeber vor der Verarbeitung, soweit dies rechtlich zulässig ist.
2. Der Vertrag, die Bestellung, die Einstellungen des Mandanten und dokumentierte Supportaufträge bilden die anfänglichen Weisungen.
3. Zusätzliche Weisungen werden über die vorgesehenen Administrations- oder Supportkanäle erteilt. Mündliche Weisungen sind vom Auftraggeber unverzüglich elektronisch zu bestätigen.
4. Hält MIKAS eine Weisung für datenschutzwidrig, informiert MIKAS den Auftraggeber unverzüglich und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.
5. Leistungen, die durch zusätzliche Weisungen über den vereinbarten Umfang hinausgehen, können nach vorheriger Mitteilung des Aufwands gesondert verrechnet werden.

MIKAS verpflichtet sich:

1. Auftragsdaten nur im vereinbarten Umfang und nur für die dokumentierten Zwecke zu verarbeiten;
2. zur Verarbeitung befugte Personen auf Vertraulichkeit zu verpflichten oder einer gesetzlichen Verschwiegenheitspflicht zu unterstellen;
3. die in der Anlage beschriebenen technischen und organisatorischen Maßnahmen aufrechtzuerhalten;
4. den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit bei der Erfüllung von Betroffenenrechten zu unterstützen;
5. den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Pflichten nach Art 32 bis 36 DSGVO zu unterstützen;
6. dem Auftraggeber die zum Nachweis der Einhaltung von Art 28 DSGVO erforderlichen Informationen bereitzustellen;
7. Verzeichnisse und Nachweise zu führen, soweit MIKAS dazu gesetzlich verpflichtet ist;
8. dem Auftraggeber Änderungen mitzuteilen, die die vereinbarte Verarbeitung wesentlich betreffen.

1. MIKAS trifft die in der Anlage „Technische und organisatorische Maßnahmen“ beschriebenen Maßnahmen. Sie berücksichtigen Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken.
2. MIKAS darf Maßnahmen weiterentwickeln oder durch gleichwertige oder wirksamere Maßnahmen ersetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. Der Auftraggeber ist für die sichere Konfiguration seiner Benutzer, Rollen, Zugangsdaten, Endgeräte, Exporte und eigenen Schnittstellen verantwortlich.

1. MIKAS informiert den Auftraggeber unverzüglich, nachdem MIKAS eine Verletzung des Schutzes von Auftragsdaten festgestellt hat.
2. Die Mitteilung enthält die verfügbaren Angaben zu Art des Vorfalls, betroffenen Daten und Personen, wahrscheinlichen Folgen, ergriffenen oder vorgeschlagenen Maßnahmen und einer Kontaktstelle. Noch nicht verfügbare Angaben werden ohne unangemessene Verzögerung nachgereicht.
3. MIKAS dokumentiert den Vorfall und unterstützt den Auftraggeber im angemessenen, gesetzlich erforderlichen Umfang. Die Entscheidung über Meldungen an Behörden oder betroffene Personen trifft der Auftraggeber, soweit MIKAS nicht selbst gesetzlich verpflichtet ist.

1. Erhält MIKAS ein Begehren einer betroffenen Person, das Auftragsdaten betrifft, leitet MIKAS es an den Auftraggeber weiter und beantwortet es nicht selbst, außer der Auftraggeber weist MIKAS dazu an oder eine gesetzliche Pflicht besteht.
2. Der Auftraggeber nutzt vorrangig die in Cloudfakt verfügbaren Such-, Berichtigungs-, Export-, Einschränkungs- und Löschfunktionen. Soweit diese nicht ausreichen, unterstützt MIKAS nach dokumentierter Weisung und gegen Ersatz eines angekündigten Zusatzaufwands, sofern die Unterstützung nicht bereits zur vereinbarten Leistung gehört.

1. Der Auftraggeber erteilt MIKAS die allgemeine Genehmigung, die in der aktuellen Unterauftragsverarbeiterliste genannten Unternehmen einzusetzen.
2. MIKAS informiert den Auftraggeber mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters. Der Auftraggeber kann aus nachweisbaren datenschutzrechtlichen Gründen innerhalb von 14 Tagen widersprechen.
3. Können die Parteien den Einwand nicht angemessen lösen, kann jede Partei den von der Änderung betroffenen Dienst zum Zeitpunkt des vorgesehenen Einsatzes kündigen. Bis dahin wird der beanstandete Unterauftragsverarbeiter für den Auftraggeber nicht eingesetzt, soweit dies technisch und wirtschaftlich zumutbar ist.
4. MIKAS verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen denselben Datenschutzpflichten. MIKAS bleibt gegenüber dem Auftraggeber für deren Pflichterfüllung verantwortlich.

1. MIKAS speichert und verarbeitet die Daten der Cloudfakt-Kernsysteme auf Servern der MIKAS ISP Werbe GmbH im Rechenzentrum der Alpenhost e.U. in Wien, Österreich. Setzt MIKAS zusätzlich Dienste von Amazon Web Services ein, werden diese in ausgewählten AWS-Regionen innerhalb der Europäischen Union betrieben und so konfiguriert, dass Auftragsdaten die gewählten EU-Regionen nicht planmäßig verlassen.
2. Soweit Alpenhost e.U. oder Vautron Rechenzentrum AG für gebuchte Hosting-, E-Mail- oder VPS-Leistungen eingesetzt werden, erfolgt die Verarbeitung an den in der Unterauftragsverarbeiterliste genannten Standorten innerhalb des Europäischen Wirtschaftsraums.
3. Eine planmäßige Übermittlung von Auftragsdaten in die Vereinigten Staaten findet nicht statt.
4. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung des Auftraggebers, aufgrund einer für MIKAS verbindlichen gesetzlichen Anordnung oder unter Einhaltung der Art 44 bis 49 DSGVO. Soweit rechtlich zulässig, informiert MIKAS den Auftraggeber vor einer gesetzlich verlangten Offenlegung.
5. Vom Auftraggeber selbst ausgewählte und aktivierte externe Dienste sind keine Unterauftragsverarbeiter von MIKAS, soweit der Auftraggeber den Anbieter bestimmt, dessen Vertrag hält und die Übermittlung veranlasst. Der Auftraggeber ist für die datenschutzrechtliche Zulässigkeit dieser Anbindung verantwortlich.

1. Während der Vertragsdauer kann der Auftraggeber die vorgesehenen Exportfunktionen nutzen.
2. Nach Vertragsende stellt MIKAS die exportierbaren Daten während der vertraglichen Abruffrist bereit. Danach löscht MIKAS die Auftragsdaten, sofern der Auftraggeber nicht zuvor eine andere rechtmäßige Weisung erteilt hat und keine gesetzliche Aufbewahrungspflicht entgegensteht.
3. Sicherungskopien werden nicht einzeln verändert, sondern im regulären Sicherungszyklus überschrieben. Bis dahin bleiben sie geschützt und werden nicht für andere Zwecke verarbeitet.
4. MIKAS bestätigt die Löschung auf Anfrage elektronisch.

1. MIKAS stellt dem Auftraggeber auf Anfrage geeignete Nachweise zur Verfügung. Kontrollen erfolgen vorrangig durch Prüfung der bereitgestellten Dokumentation und Antworten auf angemessene Fragen.
2. Reichen diese Nachweise nicht aus, darf der Auftraggeber selbst oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer eine erforderliche Kontrolle durchführen. Die Kontrolle ist mit angemessener Frist anzukündigen, auf Geschäftszeiten zu beschränken und so durchzuführen, dass Betrieb, Sicherheit, Geheimnisse und Daten anderer Kunden nicht beeinträchtigt werden.
3. Kontrollen ohne konkreten Anlass sind höchstens einmal pro Kalenderjahr zulässig. Der Auftraggeber trägt die angemessenen Kosten, außer die Kontrolle weist einen von MIKAS zu vertretenden wesentlichen Verstoß nach.
4. Gesetzliche Prüf- und Zutrittsrechte von Aufsichtsbehörden bleiben unberührt.

Der Auftraggeber ist insbesondere verantwortlich für:

1. Rechtmäßigkeit, Transparenz, Zweckbindung und Richtigkeit seiner Verarbeitung;
2. Erteilung zulässiger Weisungen;
3. Erfüllung von Informations-, Auskunfts-, Lösch-, Melde- und sonstigen Pflichten als Verantwortlicher;
4. angemessene Rollen, Benutzerverwaltung und Endgerätesicherheit;
5. Prüfung seiner aktivierten Schnittstellen und Empfänger;
6. unverzügliche Meldung erkannter Sicherheitsrisiken und unbefugter Zugriffe.

1. Änderungen dieses Vertrags und seiner Anlagen werden elektronisch dokumentiert.
2. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art 82 DSGVO oder andere zwingende Vorschriften keine abweichende Haftung vorsehen.
3. Es gilt österreichisches Recht. Die Gerichtsstandsvereinbarung des Hauptvertrags gilt auch für diesen Vertrag, soweit gesetzlich zulässig.

1. Technische und organisatorische Maßnahmen
2. Liste der Unterauftragsverarbeiter