Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO, zwischen der Kundin bzw. dem Kunden als Verantwortlichem und der web-crossing GmbH, Eduard-Bodem-Gasse 9, 6020 Innsbruck (FN 331547w, Landesgericht Innsbruck), als Auftragsverarbeiterin. Sie ist Bestandteil des Vertrags über die Nutzung von KIM bzw. kim4web und gilt mit dessen Abschluss als vereinbart.

1. Gegenstand und Dauer

1.1. Gegenstand ist die Verarbeitung personenbezogener Daten, die die Auftragsverarbeiterin im Rahmen der Analyse- und Beratungsleistung für den Verantwortlichen durchführt. Einzelheiten zu Art, Zweck, Datenarten und betroffenen Personen regelt Anlage 1.

1.2. Die Vereinbarung läuft so lange wie der Hauptvertrag. Sie endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf; die Pflichten nach Punkt 8 bestehen darüber hinaus fort.

2. Weisungsrecht

2.1. Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag samt Leistungsbeschreibung und die Einstellungen, die der Verantwortliche in der Anwendung vornimmt, sind seine Weisungen; Einzelweisungen sind in Textform an info@web-crossing.com zu richten.

2.2. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

2.3. Eine Verarbeitung für eigene Zwecke findet nicht statt. Davon ausgenommen sind Kennzahlen, die keinen Personenbezug mehr aufweisen (Punkt 9.3 der AGB).

3. Vertraulichkeit

Die Auftragsverarbeiterin setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

4. Technische und organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft die Maßnahmen nach Art. 32 DSGVO; der Stand zum Zeitpunkt des Vertragsabschlusses ist in Anlage 2 beschrieben. Sie darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

5. Unterauftragsverarbeiter

5.1. Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.

5.2. Ein Wechsel oder eine Erweiterung wird mindestens vier Wochen vorher in Textform angekündigt. Der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund widersprechen; lässt sich der Einwand nicht ausräumen, kann er den Vertrag zum Zeitpunkt des Wechsels kündigen.

5.3. Die Auftragsverarbeiterin verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die denen dieser Vereinbarung entsprechen, und prüft die Einhaltung.

5.4. Leistungen ohne Bezug zur Verarbeitung der Auftragsdaten, etwa Telekommunikation oder Reinigung, sind keine Unterauftragsverarbeitung.

6. Drittlandtransfer

Eine Verarbeitung außerhalb der EU bzw. des EWR findet nur im Rahmen der in Anlage 3 genannten KI-Dienste statt. Sie wird auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder auf einen Angemessenheitsbeschluss (Art. 45 DSGVO) gestützt; ergänzende Maßnahmen werden nach Bedarf getroffen.

7. Unterstützung des Verantwortlichen

7.1. Die Auftragsverarbeiterin unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen sowie bei seinen Pflichten aus den Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person unmittelbar an sie, leitet sie das Anliegen unverzüglich weiter und beantwortet es nicht selbst.

7.2. Eine Verletzung des Schutzes personenbezogener Daten meldet sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, mit den ihr bekannten Angaben nach Art. 33 Abs. 3 DSGVO.

8. Löschung und Rückgabe

8.1. Nach Ende des Hauptvertrags löscht die Auftragsverarbeiterin die Auftragsdaten spätestens innerhalb von 60 Tagen endgültig. Dieser Zeitraum ist zugleich das Fenster, in dem der Verantwortliche seine Berichte noch exportieren kann; auf Wunsch werden sie vorher herausgegeben.

8.2. Unberührt bleibt die Aufbewahrung, zu der die Auftragsverarbeiterin gesetzlich verpflichtet ist, insbesondere von Rechnungsunterlagen nach § 132 BAO. Solche Daten werden gesperrt und nicht weiterverarbeitet.

9. Nachweis und Kontrolle

9.1. Die Auftragsverarbeiterin weist die Einhaltung ihrer Pflichten auf Anfrage nach, in der Regel durch Auskunft und aktuelle Dokumentation der Maßnahmen nach Anlage 2.

9.2. Der Verantwortliche kann sich nach rechtzeitiger Ankündigung zu den Geschäftszeiten selbst oder durch eine zur Verschwiegenheit verpflichtete, nicht im Wettbewerb stehende Person vor Ort überzeugen. Prüfungen erfolgen so, dass der Betrieb nicht unangemessen beeinträchtigt wird.

10. Schlussbestimmungen

10.1. Bei Widersprüchen geht diese Vereinbarung dem übrigen Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

10.2. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen, insbesondere zu anwendbarem Recht und Gerichtsstand.

Anlage 1 - Gegenstand der Verarbeitung

Art der Verarbeitung

Erheben, Speichern, Auswerten, Zusammenführen, Anzeigen und Löschen von Daten zur Online-Sichtbarkeit des Betriebs; Erzeugen von Berichten und Textentwürfen mit Hilfe von KI-Systemen.

Zweck

Erbringung der vertraglich vereinbarten Analyse- und Beratungsleistung.

Kategorien betroffener Personen

Beschäftigte und Ansprechpartner:innen des Verantwortlichen (Nutzer:innen des Portals); Verfasser:innen öffentlicher Bewertungen zum Betrieb; Besucher:innen der Website des Verantwortlichen, soweit deren Daten aggregiert in den Reichweitenkennzahlen enthalten sind.

Kategorien von Daten

Kontakt- und Anmeldedaten der Nutzer:innen (Name, E-Mail-Adresse, Telefonnummer, Rolle, Passwort als Hash-Wert, Anmeldezeitpunkte); Inhalte und Kennzahlen der Website; aggregierte Reichweiten- und Suchkennzahlen aus den Konten des Verantwortlichen; öffentliche Bewertungsinhalte samt der von der Plattform veröffentlichten Angaben zu den Verfasser:innen; Inhalte, die Nutzer:innen in Freitextfeldern oder im Chat eingeben.

Besondere Kategorien

Nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass keine Daten nach Art. 9 DSGVO eingegeben werden.

Ort der Verarbeitung

Server der Auftragsverarbeiterin in Österreich; ergänzend die in Anlage 3 genannten Dienste.

Anlage 2 - Technische und organisatorische Maßnahmen

• Vertraulichkeit: Zutritt zum Rechenzentrum nur für berechtigte Personen; Zugang zur Anwendung über persönliche Konten mit Passwort, Passwörter ausschließlich als Hash-Wert gespeichert; rollenbasierte Berechtigungen, die jeden Betrieb auf seine eigenen Daten beschränken; getrennte Mandanten je Betrieb.
• Integrität: durchgehende Transportverschlüsselung (TLS); Schutz vor automatisierten Zugriffen durch Ratenbegrenzung und temporäre Sperren; Protokollierung der Analyseläufe samt der zugrunde liegenden Belege.
• Verfügbarkeit: automatisierte Sicherung von Datenbank und Dateien mit getrennter Aufbewahrung; externe Überwachung der Erreichbarkeit mit Alarmierung; dokumentiertes Wiederherstellungsverfahren.
• Belastbarkeit und Trennung: getrennte Umgebungen für Entwicklung und Betrieb; keine Echtdaten in Testumgebungen; keine Einbindung fremder Inhalte in die ausgelieferten Seiten.
• Verfahren zur Überprüfung: automatisierte Tests vor jeder Änderung; Aufbewahrungsfristen technisch umgesetzt (Anfragen 365 Tage, Kundendaten 60 Tage nach Vertragsende, Zugriffsprotokolle 60 Tage, Anwendungsprotokolle 14 Tage).

Anlage 3 - Unterauftragsverarbeiter

Der Betrieb der Server, der Datenbank und des Mailversands erfolgt durch die Auftragsverarbeiterin selbst; ein externer Hosting- oder Cloud-Anbieter ist nicht eingebunden.

Weitere Dienste, die im Betrieb abgefragt werden

Diese Dienste erhalten ausschließlich öffentliche Kennungen des Betriebs - Domain, Adresse oder eigene Seitenadressen - und keine Daten betroffener Personen. Sie werden hier der Vollständigkeit halber ausgewiesen; eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO liegt insoweit nicht vor.

Stand: 20.09.2026