Vereinbarung zur Auftragsverarbeitung

1. Vertragsparteien und Geltung

1.1 Diese Vereinbarung gilt zwischen dem Kunden als Verantwortlichem und Nico Massimiliano Schrittesser, Einzelunternehmer, handelnd unter der Bezeichnung „Lerchbacher-Systems“, Linderwaldsiedlung 28, 8740 Zeltweg (im Folgenden „Auftragnehmer“), als Auftragsverarbeiter. Sie wird mit Abschluss eines Vertrags über ein Monatspaket nach den Allgemeinen Geschäftsbedingungen des Auftragnehmers (AGB) Bestandteil dieses Vertrags (im Folgenden „Hauptvertrag“), ohne dass es einer gesonderten Unterschrift bedarf.

1.2 Begriffe wie „personenbezogene Daten“, „Verarbeitung“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art 4 DSGVO.

1.3 Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

2.1 Gegenstand ist die Verarbeitung personenbezogener Daten, die bei der Bereitstellung der Website, des KI-Assistenten und der Automatisierungen des Kunden nach dem Hauptvertrag anfallen.

2.2 Die Verarbeitung dient folgenden Zwecken:

• Bereitstellung und technischer Betrieb der Website (Hosting)
• Entgegennahme von Anfragen über Formulare und Weiterleitung an den Kunden
• Beantwortung von Fragen der Website-Besucher durch den KI-Assistenten
• automatisierte Vorsortierung und Vorqualifizierung von Anfragen
• Benachrichtigung des Kunden über neue Anfragen per E-Mail
• Fehlerbehebung, Wartung und Nachbesserung von Website, KI-Assistent und Automatisierungen

2.3 Verarbeitet werden insbesondere folgende Arten von Daten:

• Kontaktdaten, etwa Name, E-Mail-Adresse, Telefonnummer und Anschrift
• Inhalte von Anfragen und Chatverläufen samt den darin enthaltenen Angaben
• technische Daten, etwa IP-Adresse, Zeitpunkt des Zugriffs sowie Browser- und Geräteinformationen

2.4 Betroffen sind Besucher der Website des Kunden, insbesondere Interessenten und Kunden des Kunden, die Formulare oder den KI-Assistenten nutzen.

2.5 Besondere Kategorien personenbezogener Daten nach Art 9 DSGVO sollen nicht verarbeitet werden (Punkt 13.4 AGB). Geben Besucher solche Daten von sich aus ein, verarbeitet der Auftragnehmer sie nur im Rahmen dieser Vereinbarung.

2.6 Diese Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer noch personenbezogene Daten im Auftrag des Kunden verarbeitet.

3. Speicherung

3.1 Anfragen werden an die vom Kunden bekanntgegebene E-Mail-Adresse weitergeleitet. Darüber hinaus speichert der Auftragnehmer Anfragen und Chatverläufe nur, soweit das für die vereinbarten Leistungen nötig ist, etwa zur Fehlerbehebung oder zur Nachbesserung des KI-Assistenten.

3.2 Gespeicherte Anfragen und Chatverläufe löscht der Auftragnehmer, sobald sie für diese Zwecke nicht mehr nötig sind, spätestens nach Punkt 10. Der Kunde kann eine kürzere Speicherdauer schriftlich vorgeben.

3.3 Technische Protokolle der Unterauftragsverarbeiter werden nach deren Löschfristen gelöscht.

4. Weisungen

4.1 Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder Österreichs zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

4.2 Der Hauptvertrag und diese Vereinbarung sind die Weisungen des Kunden. Weitere Weisungen erteilt der Kunde schriftlich; eine E-Mail genügt (Punkt 1.6 AGB). Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, sind Zusatzleistungen nach Punkt 2.6 AGB.

4.3 Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Kunden unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

5. Vertraulichkeit

5.1 Der Auftragnehmer gewährleistet, dass sich alle Personen, die zur Verarbeitung befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (§ 6 DSG). Diese Verpflichtung besteht auch nach Ende ihrer Tätigkeit fort.

6. Sicherheit der Verarbeitung

6.1 Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art 32 DSGVO, die in Anlage 2 beschrieben sind.

6.2 Er darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

7.1 Der Kunde erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsabschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 1 genannt und gelten als genehmigt.

7.2 Der Auftragnehmer informiert den Kunden mindestens 14 Tage im Voraus schriftlich, bevor er einen Unterauftragsverarbeiter hinzunimmt oder ersetzt. Der Kunde kann der Änderung innerhalb dieser Frist aus datenschutzrechtlichen Gründen schriftlich widersprechen. Kommt keine Lösung zustande, kann jede Partei den Hauptvertrag zum Ende des Abrechnungsmonats kündigen (Punkt 13.2 AGB).

7.3 Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung im Wesentlichen entsprechen (Art 28 Abs 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer dem Kunden gegenüber dafür nach Art 28 Abs 4 DSGVO.

7.4 Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des EWR, stellt der Auftragnehmer sicher, dass die Übermittlung nach Art 44 ff DSGVO zulässig ist, etwa durch einen Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder durch Standardvertragsklauseln.

8. Unterstützung des Kunden

8.1 Der Auftragnehmer unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten, etwa auf Auskunft, Berichtigung oder Löschung. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

8.2 Er unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

8.3 Unterstützung, die über einen geringen Aufwand hinausgeht und nicht auf einen Verstoß des Auftragnehmers zurückgeht, verrechnet der Auftragnehmer nach vorheriger Ankündigung als Zusatzleistung.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Der Auftragnehmer meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist.

9.2 Die Meldung enthält, soweit bekannt, die Angaben nach Art 33 Abs 3 DSGVO. Angaben, die noch nicht vorliegen, reicht der Auftragnehmer nach, sobald sie verfügbar sind.

9.3 Der Auftragnehmer ergreift unverzüglich angemessene Maßnahmen, um die Verletzung einzudämmen und mögliche nachteilige Folgen zu mindern. Die Meldung an die Datenschutzbehörde und die Benachrichtigung betroffener Personen obliegen dem Kunden.

10. Rückgabe und Löschung bei Vertragsende

10.1 Verlangt der Kunde das bis zum Vertragsende, übergibt ihm der Auftragnehmer die noch gespeicherten Anfragen und Chatverläufe in einem gängigen Format (Punkt 14.4 AGB).

10.2 Danach löscht der Auftragnehmer alle personenbezogenen Daten, die er im Auftrag des Kunden verarbeitet, innerhalb von 30 Tagen nach Vertragsende, sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Verlangen bestätigt er die Löschung schriftlich.

11. Nachweise und Kontrollen

11.1 Der Auftragnehmer stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art 28 DSGVO nötig sind, etwa eine aktuelle Beschreibung der Maßnahmen nach Anlage 2 und die Datenschutzvereinbarungen der Unterauftragsverarbeiter.

11.2 Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit dem Auftragnehmer steht. Inspektionen sind mindestens 14 Tage vorher schriftlich anzukündigen, finden während üblicher Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Kosten der Überprüfung trägt der Kunde; seinen eigenen Aufwand kann der Auftragnehmer als Zusatzleistung verrechnen, außer die Überprüfung ergibt einen Verstoß des Auftragnehmers.

11.3 Der Auftragnehmer informiert den Kunden unverzüglich über Kontrollen und Maßnahmen der Datenschutzbehörde, soweit sie die Verarbeitung nach dieser Vereinbarung betreffen.

12. Haftung und Schlussbestimmungen

12.1 Für die Haftung gegenüber betroffenen Personen gilt Art 82 DSGVO. Im Verhältnis zwischen den Parteien gelten im Übrigen die Haftungsregeln der AGB (Punkt 11 AGB), soweit zwingendes Recht nicht entgegensteht.

12.2 Änderungen dieser Vereinbarung erfolgen nach Punkt 16.5 AGB. Für Rechtswahl, Erfüllungsort und Gerichtsstand gilt Punkt 16 AGB.

12.3 Sind einzelne Bestimmungen unwirksam oder undurchführbar, bleibt der Rest dieser Vereinbarung wirksam; Punkt 16.6 AGB gilt sinngemäß.

Anlage 1 – Unterauftragsverarbeiter

Stand: 8. Oktober 2026. Änderungen kündigt der Auftragnehmer nach Punkt 7.2 an.

Anlage 2 – Technische und organisatorische Maßnahmen (Art 32 DSGVO)

Vertraulichkeit

• Zugang zu allen Konten, über die Daten des Kunden laufen (Hosting, KI-Anbieter, E-Mail-Dienst, E-Mail-Postfach, Code-Repository), hat nur der Auftragnehmer persönlich.
• Alle Konten sind mit individuellen, starken Passwörtern aus einem Passwortmanager und, wo verfügbar, mit Zwei-Faktor-Authentifizierung gesichert.
• Die Geräte des Auftragnehmers haben einen verschlüsselten Datenträger, eine automatische Bildschirmsperre und aktuelle Sicherheitsupdates.
• Zugangsschlüssel zu Schnittstellen (API-Schlüssel) werden nur serverseitig gespeichert und nicht im Quellcode veröffentlicht.
• Die physische Sicherheit der Rechenzentren gewährleisten die Unterauftragsverarbeiter nach ihren eigenen Nachweisen.

Integrität

• Alle Daten werden ausschließlich verschlüsselt übertragen (HTTPS/TLS).
• Änderungen an Code und Konfiguration sind über ein versioniertes Code-Repository nachvollziehbar.

Verfügbarkeit und Belastbarkeit

• Die Website läuft auf der redundanten Infrastruktur des Hosting-Anbieters.
• Der Quellcode ist im Code-Repository gesichert und kann jederzeit neu ausgeliefert werden.
• Anfragen an den KI-Assistenten werden zum Schutz vor Missbrauch technisch begrenzt.

Datenminimierung und Zweckbindung

• Formulare und KI-Assistent fragen nur die Daten ab, die für die Bearbeitung einer Anfrage nötig sind.
• Eingaben der Website-Besucher werden vom KI-Anbieter nach dessen Vertragsbedingungen nicht zum Training seiner Modelle verwendet.
• Daten werden an niemanden außer den Unterauftragsverarbeitern nach Anlage 1 weitergegeben.

Überprüfung

• Der Auftragnehmer überprüft diese Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen der Verarbeitung.