Auftragsverarbeitungsvertrag

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien im Zusammenhang mit der Nutzung von Mein Ok und gilt in Ergänzung zu den Allgemeinen Geschäftsbedingungen.

Auftraggeber (Verantwortlicher):
Der Kunde, wie im Benutzerkonto hinterlegt.

Auftragsverarbeiter:
Mutig Echt GmbH, Am Winterhafen 13, 4020 Linz, Österreich
FN 604668v, UID ATU79463108
Kontakt in Datenschutzfragen: info@mein-ok.at

1 Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers zum Zweck des Einholens, Erzeugens, Speicherns und Bereitstellens digitaler Einverständniserklärungen.

1.2 Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet mit dessen Beendigung, unbeschadet der Pflichten aus Ziffer 10.

2 Art und Zweck der Verarbeitung

Erhebung, Speicherung, Verarbeitung und Übermittlung personenbezogener Daten zum Zweck der Erstellung, Verwaltung und Dokumentation von Einverständniserklärungen, einschließlich Erzeugung von PDF-Dokumenten und Versand per E-Mail an die vom Auftraggeber festgelegten Empfänger.

3 Art der personenbezogenen Daten

Abhängig von der Konfiguration durch den Auftraggeber, typischerweise:

• Vor- und Nachname der unterschreibenden Person
• Optional: Firma/Organisation, Funktion/Position
• Optional: E-Mail-Adresse, Telefonnummer, Anschrift, Geburtsdatum
• Optional: vom Auftraggeber selbst definierte Zusatzfelder
• Unterschriftsbild (grafische Darstellung der handschriftlichen Unterschrift)
• Zeitstempel der Unterschrift
• IP-Adresse zum Zeitpunkt der Unterschrift
• Fassungsnummer und Wortlaut des zugestimmten Erklärungstextes

Hinweis: Der Auftraggeber legt selbst fest, welche Felder erhoben werden, und ist für die Einhaltung der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verantwortlich.

4 Kategorien betroffener Personen

Personen, die gegenüber dem Auftraggeber eine Einverständniserklärung abgeben, insbesondere abgebildete oder aufgenommene Personen, Vertragspartner, Patient:innen oder Klient:innen des Auftraggebers — je nach dem vom Auftraggeber gewählten Verwendungszweck.

5 Weisungsgebundenheit

5.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Konfiguration im Benutzerkonto sowie dieser Vertrag samt AGB gelten als solche Weisung.

5.2 Weitere Weisungen sind in Textform an info@mein-ok.at zu richten und werden protokolliert.

5.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich und kann die Ausführung bis zur Klärung aussetzen.

6 Vertraulichkeit

6.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und über die einschlägigen datenschutzrechtlichen Vorgaben unterrichtet wurden.

6.2 Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

7 Technische und organisatorische Maßnahmen

7.1 Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.

7.2 Die Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

8 Unterauftragsverarbeiter

8.1 Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

8.2 Weitere Unterauftragsverarbeiter werden mindestens 14 Tage vor Beauftragung angekündigt. Der Auftraggeber kann innerhalb dieser Frist widersprechen; im Fall eines begründeten Widerspruchs steht ihm ein Kündigungsrecht zu.

8.3 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

9 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Auftraggeber angemessen bei:

• der Erfüllung von Betroffenenrechten nach Art. 12–23 DSGVO (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerruf)
• der Einhaltung der Pflichten nach Art. 32–36 DSGVO
• Meldungen von Datenschutzverletzungen; er informiert den Auftraggeber unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter.

10 Löschung und Rückgabe

10.1 Nach Beendigung des Vertrags stellt der Auftragsverarbeiter dem Auftraggeber für 30 Tage einen vollständigen Export
aller Daten in einem gängigen Format zur Verfügung.

10.2 Nach Ablauf dieser Frist werden die Daten für weitere 60 Tage ausschließlich gesperrt vorgehalten. In dieser Zeit findet keine Verarbeitung statt außer einer Wiederherstellung auf ausdrückliches Verlangen des Auftraggebers; der Zugang ist geschlossen. Die Sperrfrist besteht im Interesse des Auftraggebers: eine versehentlich oder übereilt ausgesprochene Kündigung bleibt damit umkehrbar.

10.3 Nach Ablauf der Sperrfrist werden die Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen bestätigt. Von der Löschung ausgenommen sind ausschließlich Angaben, die Teil einer Rechnung des Auftragsverarbeiters an den Auftraggeber sind (§ 132 BAO); personenbezogene Daten der betroffenen Personen sind davon nicht erfasst.

10.4 Der Auftraggeber ist selbst dafür verantwortlich zu prüfen, welche Aufbewahrungspflichten für ihn gelten.

11 Kontroll- und Nachweisrechte

11.1 Der Auftragsverarbeiter stellt auf Anfrage die Informationen zur Verfügung, die der Auftraggeber zum Nachweis der Einhaltung dieses Vertrags benötigt.

11.2 Der Auftraggeber kann Kontrollen durchführen oder durchführen lassen. Diese sind mit angemessener Vorlaufzeit anzukündigen, dürfen den Betrieb nicht unverhältnismäßig beeinträchtigen und finden zu üblichen Geschäftszeiten statt.

12 Ort der Verarbeitung

12.1 Die Verarbeitung der Daten der betroffenen Personen — Erklärungen, Unterschriften, Dokumente — findet ausschließlich innerhalb Europas statt: Serverbetrieb und E-Mail-Versand in der Schweiz. Die Schweiz gilt der Europäischen Kommission als Land mit angemessenem Datenschutzniveau.

12.2 Ausschließlich im Rahmen der Zahlungsabwicklung — also für Daten des Auftraggebers selbst, nicht für Daten der betroffenen Personen — kann es konzernintern zu einer Verarbeitung in den Vereinigten Staaten kommen. Sie erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission und des EU-US-Datenschutzrahmens (Art. 44 ff. DSGVO).

12.3 Eine darüber hinausgehende Übermittlung in Drittländer findet nicht statt.

13 Schlussbestimmungen

13.1 Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

13.2 Es gilt österreichisches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutrittskontrolle: Serverbetrieb in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum des Hosting-Anbieters in der Schweiz, mit mehrstufigen Zutrittsschleusen, biometrischer Identifikation und Videoüberwachung
• Zugangskontrolle: Individuelle Benutzerkonten, Passwörter mit Mindestlänge 12 Zeichen, Speicherung ausschließlich als Argon2id-Hash, Zwei-Faktor-Authentifizierung verfügbar und für administrative Zugänge verpflichtend, Sperre nach mehrfachen Fehlversuchen, Ratenbegrenzung
• Zugriffskontrolle: Strikte Mandantentrennung — jeder Datenzugriff wird serverseitig gegen die Mandantenzugehörigkeit geprüft; Dateien liegen außerhalb des öffentlich erreichbaren Verzeichnisses und werden nur über ein berechtigungsprüfendes Skript ausgeliefert
• Trennungskontrolle: Logische Trennung der Mandantendaten in der Datenbank und getrennte Dateiverzeichnisse je Mandant
• Pseudonymisierung/Verschlüsselung: Transportverschlüsselung durchgehend per HTTPS/TLS mit HSTS; Backups verschlüsselt

Integrität

• Eingabekontrolle: Änderungsprotokoll über alle relevanten Vorgänge (wer, wann, was, alter und neuer Wert, IP-Adresse)
• Weitergabekontrolle: Verschlüsselte Übertragung, Zugriff auf Dokumente ausschließlich über zeitlich befristete, kryptografisch zufällige Tokenlinks (mindestens 32 Byte Entropie), die nach Einlösung entwertet werden
• Schutz gegen SQL-Injection durch ausschließliche Verwendung vorbereiteter Datenbankabfragen, gegen Cross-Site-Scripting durch konsequentes Ausgabe-Escaping und Content-Security-Policy, gegen Cross-Site-Request- Forgery durch Tokenprüfung bei jeder schreibenden Aktion

Verfügbarkeit und Belastbarkeit

• Tägliche, verschlüsselte Datensicherung mit dokumentierter und automatisiert geprüfter Wiederherstellung. Der Wiederherstellungsweg wird bei jedem Testlauf der Anwendung vollständig durchgespielt: sichern, Datenbestand leeren, zurückspielen, vergleichen
• Aufbewahrungsdauer der Sicherungen: 7 Tage rollierend beim Hosting-Anbieter, zusätzlich 30 Tage rollierend und 12 Monate monatlich eingefroren in einer eigenen, mit AES-256 verschlüsselten und mit HMAC-SHA256 beglaubigten Sicherung
• Überwachung der Systemverfügbarkeit; ein fehlgeschlagener Sicherungslauf löst eine Meldung aus

Verfahren zur Überprüfung

• Automatisierte Tests der sicherheitsrelevanten Logik, insbesondere der Mandantentrennung
• Regelmäßige Aktualisierung der eingesetzten Software
• Überprüfung dieser Maßnahmen mindestens einmal jährlich

Anlage 2: Unterauftragsverarbeiter

Stripe verarbeitet ausschließlich Daten des Auftraggebers (Firmenname, E-Mail-Adresse der Kontoinhaberin, Rechnungsbetrag) — keine Daten der betroffenen Personen. Zahlungsmitteldaten wie Kartennummern erreichen die Systeme des Auftragsverarbeiters zu keinem Zeitpunkt.