Auftragsverarbeitungsvereinbarung

1. Geltung und Vertragsschluss

1.1 Diese Auftragsverarbeitungsvereinbarung (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO). Verantwortlicher ist der Auftraggeber, Auftragsverarbeiter ist SARF-IT e.U., Inhaber Andreas Schimek (Auftragnehmer).

1.2 Die AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit jeder Beauftragung, gleich in welcher Form (Punkt 1.3 AGB), in elektronischer Form vereinbart (Art. 28 Abs. 9 DSGVO). Sie gilt für alle Aufträge, bei denen der Auftragnehmer Zugriff auf personenbezogene Daten des Auftraggebers erhält, insbesondere bei Arbeiten in dessen Microsoft-365-Tenant, Azure-Umgebung, SharePoint, Teams oder Website.

1.3 Die Parteien können eine individuell unterzeichnete AVV abschließen, etwa auf Basis der Vorlage des Auftraggebers; diese geht der vorliegenden AVV vor. Bei Widersprüchen zwischen AGB und AVV geht in datenschutzrechtlichen Fragen die AVV vor.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

2.1 Gegenstand ist die Erbringung der beauftragten IT-Dienstleistungen (Beratung, Einrichtung, Konfiguration, Migration, Programmierung, Support, Schulung, Webdesign). Personenbezogene Daten werden dabei nur verarbeitet, soweit dies für die jeweilige Leistung erforderlich ist; der Zugriff ist in der Regel nicht Hauptzweck, sondern eine unvermeidliche Begleiterscheinung der Arbeiten an den Systemen des Auftraggebers.

2.2 Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen ergeben sich aus dem Auftrag und aus Anlage 1.

2.3 Die Dauer der Verarbeitung entspricht der Dauer des jeweiligen Auftrags bzw. einer laufenden Betreuungsvereinbarung.

3. Weisungsgebundenheit

3.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder österreichischem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

3.2 Als Weisung gelten der Auftrag selbst, die AGB sowie Anweisungen des Auftraggebers per E-Mail oder in einem anderen dokumentierten Format. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Leistungsänderung behandelt und gesondert vergütet.

3.3 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

4. Vertraulichkeit

Der Auftragnehmer wahrt das Datengeheimnis gemäß § 6 Datenschutzgesetz (DSG). Setzt er Personen zur Verarbeitung ein, verpflichtet er sie vorab schriftlich zur Vertraulichkeit, soweit sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht auch nach Ende des Auftrags fort.

5. Sicherheit der Verarbeitung

5.1 Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

5.2 Für die Sicherheit seiner eigenen Systeme, Konten und Daten bleibt der Auftraggeber verantwortlich (Punkt 4.4 AGB). Der Auftragnehmer verarbeitet Daten des Auftraggebers nach Möglichkeit direkt in dessen Systemen und speichert sie nur dann in eigenen Systemen, wenn dies für den Auftrag erforderlich ist.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber erteilt die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.

6.2 Über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter informiert der Auftragnehmer den Auftraggeber vorab per E-Mail. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, sind beide Parteien berechtigt, den betroffenen Auftrag zu beenden; bis dahin erbrachte Leistungen sind zu vergüten.

6.3 Der Auftragnehmer erlegt Unterauftragsverarbeitern vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in dieser AVV festgelegt sind. Bei Anbietern standardisierter Cloud-Dienste gelten deren Auftragsverarbeitungsbedingungen, sofern sie ein gleichwertiges Schutzniveau gewährleisten.

6.4 Keine Unterauftragsverhältnisse sind Nebenleistungen wie Telekommunikation, Post- und Transportdienste oder die Wartung eigener Hardware, soweit dabei nicht gezielt auf Daten des Auftraggebers zugegriffen wird.

7. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln der EU-Kommission.

8. Unterstützungspflichten

8.1 Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Wenden sich betroffene Personen direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

8.2 Unterstützungsleistungen, die nicht auf einem Verstoß des Auftragnehmers beruhen, werden nach Aufwand zu den vereinbarten Stundensätzen vergütet.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten aus seinem Verantwortungsbereich unverzüglich, möglichst innerhalb von 24 Stunden, und stellt die ihm verfügbaren Informationen bereit, die der Auftraggeber für seine Meldung an die Datenschutzbehörde (Art. 33 DSGVO) und gegebenenfalls an betroffene Personen (Art. 34 DSGVO) benötigt. Die Meldepflichten gegenüber Behörde und Betroffenen obliegen dem Auftraggeber.

10. Nachweise und Kontrollen

10.1 Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser AVV erforderlich sind, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.

10.2 Darüber hinausgehende Überprüfungen, einschließlich Inspektionen, ermöglicht der Auftragnehmer nach rechtzeitiger Ankündigung (mindestens 14 Tage), während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Prüfer, die im Wettbewerb zum Auftragnehmer stehen, können abgelehnt werden. Der Aufwand des Auftragnehmers wird nach Aufwand vergütet, sofern die Prüfung keinen wesentlichen Verstoß ergibt.

11. Ende der Verarbeitung

Nach Abschluss der Leistungen löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, die sich in seinen eigenen Systemen befinden, oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Übergibt der Auftraggeber keine abweichende Weisung innerhalb von 30 Tagen nach Auftragsende, werden die Daten gelöscht. Dokumentationen, die keine personenbezogenen Daten Betroffener enthalten, sowie Geschäftskorrespondenz und Rechnungsunterlagen sind davon nicht erfasst. Zugänge des Auftragnehmers zu den Systemen des Auftraggebers sind vom Auftraggeber nach Auftragsende zu entziehen.

12. Haftung und Vergütung

12.1 Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen der AGB (Punkt 9), soweit dies gesetzlich zulässig ist.

12.2 Für die Erfüllung dieser AVV besteht kein gesonderter Vergütungsanspruch, soweit in dieser AVV nicht ausdrücklich eine Vergütung nach Aufwand vorgesehen ist.

13. Schlussbestimmungen

Diese AVV gilt, solange der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Im Übrigen gelten die Schlussbestimmungen der AGB (Punkt 16).

Anlage 1: Art der Daten und Kategorien betroffener Personen

Soweit im Auftrag nicht näher bestimmt, können je nach Leistung folgende Daten betroffen sein:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Sind solche Daten in den Systemen des Auftraggebers gespeichert, kann der Auftragnehmer bei seinen Arbeiten unvermeidbar Zugriff darauf erhalten. In Betracht kommen:

Gleiches gilt für Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO, § 4 Abs. 3 DSG), etwa Strafregisterbescheinigungen in Personalunterlagen.

Für diese Daten gilt zusätzlich:

• Der Auftragnehmer greift darauf nur zu, soweit dies für die beauftragte Leistung unvermeidbar ist. Er sieht sie nicht gezielt ein und wertet sie nicht aus.
• Er speichert sie nicht in eigenen Systemen und verwendet sie nicht in Dokumentationen, Screenshots oder Testdaten.
• Er gibt sie in keine KI-Werkzeuge ein, auch nicht in die in Anlage 3 genehmigten.
• Der Auftraggeber teilt dem Auftragnehmer vor Beginn der Arbeiten mit, in welchen Systemen, Bereichen oder Anwendungen solche Daten gespeichert sind, und nimmt diese Bereiche von den Berechtigungen des Auftragnehmers aus, soweit es die Leistung zulässt.
• Sollen solche Daten gezielt verarbeitet werden, etwa bei der Migration einer Personalablage, vereinbaren die Parteien dies vorab in Textform (z. B. per E-Mail) samt der erforderlichen zusätzlichen Schutzmaßnahmen.
• Die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO und eine allenfalls erforderliche Datenschutz-Folgenabschätzung (Art. 35 DSGVO) liegen in der Verantwortung des Auftraggebers. Der Auftragnehmer unterstützt ihn dabei gemäß Punkt 8.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritts- und Zugangskontrolle

• Arbeitsgeräte mit vollständiger Datenträgerverschlüsselung, automatischer Bildschirmsperre und aktuellem Schutz vor Schadsoftware
• Mehrfaktor-Authentifizierung für alle geschäftlichen Konten; Passwörter ausschließlich in einem verschlüsselten Passwortmanager
• Zugriff auf Systeme des Auftraggebers nur über von ihm bereitgestellte, personalisierte Konten

Zugriffs- und Weitergabekontrolle

• Rechtevergabe nach dem Prinzip der minimalen Berechtigung; administrative Rechte nur für die Dauer der Tätigkeit
• Übertragung von Daten ausschließlich verschlüsselt (z. B. TLS, verschlüsselte Freigaben); keine Nutzung privater Speichermedien
• Personenbezogene Daten des Auftraggebers nur in KI-Werkzeuge, die in Anlage 3 als Unterauftragsverarbeiter genehmigt sind; besondere Kategorien (Anlage 1) und Zugangsdaten nie in KI-Werkzeuge (Punkt 11 AGB)

Verfügbarkeit, Belastbarkeit und Wiederherstellung

• Eigene Geschäftsdaten in Microsoft 365 mit den Sicherheits- und Redundanzmechanismen des Anbieters
• Regelmäßige Sicherheitsupdates von Betriebssystemen und Anwendungen

Organisatorische Maßnahmen

• Verpflichtung zum Datengeheimnis (§ 6 DSG) und laufende Weiterbildung zu Datenschutz und Informationssicherheit
• Dokumentation der Tätigkeiten in den Systemen des Auftraggebers
• Löschung von Kundendaten in eigenen Systemen nach Auftragsende (Punkt 11)
• Verfahren zur unverzüglichen Meldung von Datenschutzverletzungen (Punkt 9)

Anlage 3: Genehmigte Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter werden gemäß Punkt 6.2 vorab bekanntgegeben. Die aktuelle Fassung dieser Liste ist unter https://www.sarf-it.com/avv/ abrufbar.

Stand: 28.09.2026