Auftragsverarbeitungsvertrag (AVV)
Hinweis zur Verwendung dieses Dokuments
Diese Online-Fassung gibt Ihnen einen Überblick über den Inhalt des Auftragsverarbeitungsvertrags. Die rechtsverbindliche, unterschriftsreife Fassung erhalten Sie im Bestellprozess als PDF zur beidseitigen Unterzeichnung. Dort werden insbesondere die Vertragsparteien, das Vertragsdatum und die Unterschriften ergänzt; die nachfolgenden Bestimmungen sind dann unveränderter Vertragsbestandteil.
Verantwortlicher im Sinne der DSGVO ist der Kunde. Auftragsverarbeiter ist die CloudNow GmbH, Kaiser-Josef-Platz 7, 4600 Wels, Österreich.
§ 1 — Gegenstand und Dauer der Verarbeitung
Gegenstand des Vertrages ist die Erbringung der Cloud-Files-Dienstleistung gemäß dem zugrunde liegenden Hauptvertrag (AGB der CloudNow GmbH).
Die Dauer entspricht der Laufzeit des Hauptvertrags. Mit dessen Beendigung endet auch dieser Auftragsverarbeitungsvertrag automatisch.
§ 2 — Art und Zweck der Verarbeitung
Verarbeitungstätigkeiten umfassen ausschließlich: Speicherung, Übertragung, Bereitstellung, Versionierung und Sicherung der vom Verantwortlichen eingestellten Daten — jeweils zum Zweck der Erbringung der vereinbarten Cloud-Files-Dienstleistung.
Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, eine Auswertung der Inhalte oder ein Profiling findet ausdrücklich nicht statt.
§ 3 — Art der personenbezogenen Daten
Welche personenbezogenen Daten der Verantwortliche in die Cloud Files Instanz einbringt, bestimmt er selbst. Typischerweise umfasst dies: Stammdaten, Kontaktdaten, Vertragsdaten, Inhalte aus Dokumenten, sowie ggf. besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten bei Arztpraxen).
§ 4 — Kategorien betroffener Personen
Mitarbeiter:innen, Kund:innen, Mandant:innen, Patient:innen, Lieferant:innen, Geschäftspartner:innen und sonstige natürliche Personen, deren Daten der Verantwortliche im Rahmen seines Geschäftsbetriebs in Cloud Files verarbeitet.
§ 5 — Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Diese Vereinbarung gilt als grundlegende Weisung; weitergehende Weisungen werden schriftlich (auch per E-Mail) erteilt.
Mitarbeiter:innen des Auftragsverarbeiters, die mit personenbezogenen Daten in Berührung kommen, sind nachweislich zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) durch geeignete technische und organisatorische Maßnahmen.
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, spätestens innerhalb von 24 Stunden nach Kenntnisnahme. Die Meldung enthält Art der Verletzung, betroffene Datenkategorien, Anzahl der betroffenen Personen und ergriffene Gegenmaßnahmen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen mit der Datenschutzbehörde (Art. 36 DSGVO).
Nach Vertragsende werden die Daten nach Wahl des Verantwortlichen entweder zurückgegeben oder gelöscht. Die Löschung erfolgt nachweislich nach dem im Hauptvertrag geregelten Verfahren.
§ 6 — Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:
a) Vertraulichkeit — Zutrittskontrolle zum Rechenzentrum (biometrisch, 24/7 Sicherheitspersonal, Videoüberwachung). Zugangskontrolle zu Systemen durch Mehrfaktor-Authentifizierung und rollenbasierte Berechtigungen. Zugriffskontrolle auf Datenebene durch granulare Rechtevergabe und Audit-Log.
b) Integrität — Datenübertragung verschlüsselt mit TLS 1.3 (AES 256 Bit). Speicherung verschlüsselt mit AES 256 Bit. Eingabe- und Veränderungsprotokollierung über Audit-Log. Optional Ende-zu-Ende-Verschlüsselung (Business / Enterprise).
c) Verfügbarkeit und Belastbarkeit — Redundante Hardware auf Netz-, Server- und Speicherebene. Tägliche Off-site-Backups, stündliche Snapshots. Disaster-Recovery-Plan mit dokumentierten Wiederherstellungs-Verfahren. SLA-zugesicherte Verfügbarkeit 99,9 % bis 99,985 % je nach Paket.
d) Verfahren zur regelmäßigen Überprüfung — ISO-27001-Rezertifizierung jährlich durch akkreditierten Auditor. Interne Penetrationstests halbjährlich. Schwachstellen-Scans wöchentlich. Datenschutz-Audits durch den internen Datenschutzbeauftragten quartalsweise.
e) Pseudonymisierung und Verschlüsselung — Speicherung erfolgt verschlüsselt; Backups werden ebenfalls verschlüsselt aufbewahrt. Eine Pseudonymisierung der Inhaltsdaten ist im Standardbetrieb nicht erforderlich, da Inhalte vom Auftragsverarbeiter weder ausgelesen noch ausgewertet werden.
§ 7 — Unterauftragsverarbeiter
Der Auftragsverarbeiter beauftragt folgende Unterauftragsverarbeiter im Rahmen der Erbringung der Cloud-Files-Dienstleistung:
1. CloudNow GmbH (Eigenbetrieb der Rechenzentren in Wien und Innsbruck, Österreich) — Hosting, Storage, Netzwerk, Backup. Keine externe Unterauftragsverarbeitung im Bereich Hosting.
2. Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland — ausschließlich für die Zahlungsabwicklung. Stripe verarbeitet nur Stammdaten, Rechnungsdaten und Zahlungsdaten des Verantwortlichen selbst, nicht jedoch Daten der in Cloud Files gespeicherten Endkund:innen / betroffenen Personen.
Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Veränderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter rechtzeitig per E-Mail. Der Verantwortliche kann der Veränderung innerhalb von 30 Tagen widersprechen.
§ 8 — Datenstandort und Drittlandtransfer
Die Verarbeitung personenbezogener Daten erfolgt ausschließlich in der Republik Österreich (Datenstandorte Wien und Innsbruck). Eine Übermittlung in Drittstaaten findet im Standardbetrieb nicht statt.
Eine etwaige Datenübermittlung in Drittländer (z. B. im Rahmen der Zahlungsabwicklung mit Stripe) erfolgt ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO. Die EU-Standardvertragsklauseln (SCC) sind hierzu mit dem Subunternehmer abgeschlossen.
Eine Übermittlung an US-Behörden (US CLOUD Act, FISA) findet aufgrund der österreichischen Rechtspersönlichkeit der CloudNow GmbH und der ausschließlich österreichischen Infrastruktur nicht statt; entsprechende Anfragen werden grundsätzlich abgewiesen.
§ 9 — Kontroll- und Auditrechte
Der Verantwortliche hat das Recht, die Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen durch den Auftragsverarbeiter zu überprüfen. Dies erfolgt regelmäßig durch:
a) jährlich aktualisierte Selbstauskünfte des Auftragsverarbeiters (Bestätigung der TOM und ISO-27001-Rezertifizierung), und
b) auf gesonderten Wunsch Vor-Ort-Audits in den Räumlichkeiten der CloudNow GmbH. Diese sind mit angemessener Frist (mindestens 14 Tage) anzukündigen und während der Geschäftszeiten durchzuführen. Eingriffe in den laufenden Betrieb sind dabei zu vermeiden.
Audits können auch durch unabhängige sachverständige Dritte durchgeführt werden, die jeweils zur Verschwiegenheit verpflichtet sind und nicht in Konkurrenz zum Auftragsverarbeiter stehen.
§ 10 — Datenpannen-Meldepflicht
Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, von jeder Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO).
Die Meldung erfolgt schriftlich an die vom Verantwortlichen benannte Datenschutz-Kontaktstelle und enthält mindestens: Beschreibung der Art der Verletzung, betroffene Kategorien von Daten und Personen, betroffene Datensätze (geschätzt), wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen zur Eindämmung.
§ 11 — Haftung
Die Haftung des Auftragsverarbeiters richtet sich nach Art. 82 DSGVO sowie den ergänzenden Bestimmungen des Hauptvertrags (AGB).
Der Auftragsverarbeiter haftet insbesondere für Schäden, die durch eine nicht den DSGVO-Vorgaben entsprechende Verarbeitung oder durch Verletzung seiner Pflichten nach diesem Vertrag entstehen.
§ 12 — Beendigung und Datenrückgabe
Nach Beendigung des Hauptvertrages wird der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder zurückgeben oder löschen. Der Verantwortliche hat seine Wahl spätestens 30 Tage vor Vertragsende mitzuteilen.
Die Löschung erfolgt nach dokumentiertem Verfahren (mehrfaches Überschreiben gemäß ISO 27001). Die Löschung wird dem Verantwortlichen schriftlich bestätigt (Löschprotokoll).
Eine über die Vertragsbeendigung hinausgehende Aufbewahrung durch den Auftragsverarbeiter erfolgt nur dann, wenn diese aufgrund gesetzlicher Aufbewahrungspflichten (z. B. handels- oder steuerrechtlich) zwingend erforderlich ist. Diese Daten bleiben gegen Zugriff geschützt.
§ 13 — Schlussbestimmungen
Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform (auch per E-Mail). Mündliche Nebenabreden bestehen nicht.
Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung wird durch eine wirksame ersetzt, die dem wirtschaftlichen Zweck der ursprünglichen Regelung am nächsten kommt.
Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Wels, Österreich.