1. Parteien und Gegenstand

Diese Vereinbarung wird geschlossen zwischen dem Kunden der Haustechnik-Tafel als Verantwortlichem im Sinne des Art. 4 Z 7 DSGVO (nachfolgend „Verantwortlicher“) und Mark Pucher, STRUKTURWERK GASTRO®, Einzelunternehmen, Feldgasse 56, 8750 Judenburg, Österreich, E-Mail: info@strukturwerk-gastro.at, Telefon: +43 660 7727919, UID-Nummer: ATU83286668 als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter“).

Gegenstand ist die Verarbeitung personenbezogener Daten bei der Bereitstellung der Haustechnik-Tafel nach den AGB der Haustechnik-Tafel (Hauptvertrag). Die Vereinbarung gilt für die Laufzeit des Hauptvertrags und darüber hinaus, bis die Daten nach Punkt 10 gelöscht sind.

2. Art, Zweck und Umfang der Verarbeitung

Zweck ist die Erfassung und Bearbeitung von Schadens- und Störungsmeldungen im Betrieb des Verantwortlichen: Meldung mit Foto anlegen, Bearbeitungsstand führen, Vermerke festhalten, Beteiligte auf Wunsch per Benachrichtigung auf dem Gerät informieren, offene Meldungen als PDF ausgeben. Dazu kommt die Verwaltung der Zugänge des Betriebs.

Die Verarbeitung umfasst Erheben, Speichern, Verändern, Auslesen, Übermitteln an die Nutzer des Betriebs und Löschen. Eine Auswertung zu anderen Zwecken, eine Weitergabe an Dritte zu Werbezwecken oder ein Verkauf der Daten findet nicht statt.

3. Kategorien betroffener Personen und Datenarten

• Betroffene Personen: Mitarbeitende des Verantwortlichen mit Zugang zur Tafel; Personen, die in Meldungen oder Vermerken als Melder oder Ansprechpartner genannt werden.
• Zugangsdaten: Name, E-Mail-Adresse, Abteilung, Rolle (Nutzer, Verantwortlicher, Inhaber), Passwort ausschließlich als kryptografischer Hash, Anmeldezeitpunkte.
• Meldungen: Titel, Ort, Melder, Bearbeitungsstand, Vermerk, Zeitpunkt der Anlage und der letzten Änderung, anlegendes und zuletzt bearbeitendes Konto. Das Feld Melder und der Vermerk sind frei beschreibbar und können Namen oder Telefonnummern enthalten. Was dort eingetragen wird, legt der Verantwortliche fest.
• Fotos: Aufnahmen des gemeldeten Schadens. Die Tafel ist nicht dafür bestimmt, Personen zu fotografieren. Der Verantwortliche weist seine Mitarbeitenden entsprechend an.
• Gerätedaten für Benachrichtigungen: Zustelladresse des Push-Dienstes und die zugehörigen Schlüssel je Gerät, nur wenn ein Nutzer Benachrichtigungen einschaltet.
• Betriebsdaten: Betriebsname, Farben und Logo des Betriebs.
• Keine besonderen Kategorien: Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung und dürfen nicht eingegeben werden.
• Keine Zahlungsdaten: Zahlungsdaten verarbeitet ausschließlich Stripe. Der Auftragsverarbeiter erhält davon nur Name, E-Mail-Adresse, Rechnungsanschrift, UID-Nummer und Betriebsname aus der Bestellung. Diese Daten verarbeitet er als eigener Verantwortlicher für Vertrag und Rechnung, nicht im Auftrag.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen der Tafel durch den Verantwortlichen und seine Nutzer gilt als Weisung. Weitere Weisungen erteilt der Inhaber des Betriebskontos in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs 3 lit b DSGVO). Derzeit erfolgt die Verarbeitung ausschließlich durch den Inhaber des Einzelunternehmens. Er greift auf Inhalte eines Betriebs nur zu, soweit das für Betrieb, Fehlerbehebung oder eine Anfrage des Verantwortlichen nötig ist.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er auf dieser Seite.

7. Subunternehmer

Der Verantwortliche erteilt nach Art. 28 Abs 2 und 4 DSGVO die allgemeine Genehmigung zur Einschaltung folgender Subunternehmer:

Über beabsichtigte Änderungen, also die Hinzuziehung oder Ersetzung eines Subunternehmers, informiert der Auftragsverarbeiter vorab in Textform. Der Verantwortliche kann aus wichtigem Grund binnen 14 Tagen widersprechen. Mit Subunternehmern bestehen Verträge nach Art. 28 DSGVO. Bei Verarbeitung außerhalb der EU oder des EWR gelten geeignete Garantien nach Kapitel V DSGVO, insbesondere Standardvertragsklauseln.

Stripe Payments Europe Ltd., Dublin, wickelt die Zahlungen ab. Stripe ist dabei eigener Verantwortlicher und kein Subunternehmer im Sinne dieser Vereinbarung.

8. Benachrichtigungen auf Geräte

Schaltet ein Nutzer Benachrichtigungen ein, wird eine neue Meldung über den Push-Dienst des jeweiligen Browser- oder Geräteherstellers zugestellt (Apple, Google oder Mozilla, je nach Gerät). Der Inhalt der Nachricht (Titel, Ort und Melder der Meldung) ist Ende-zu-Ende verschlüsselt und kann vom Push-Dienst nicht gelesen werden. Der Push-Dienst sieht nur, dass an ein bestimmtes Gerät eine Nachricht geht. Benachrichtigungen sind freiwillig und können je Gerät jederzeit abgeschaltet werden. Beim Abschalten und beim Abmelden wird die Zustelladresse gelöscht.

9. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen nach Art. 12 bis 23 DSGVO sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Inhaberkontos.

Viele Anfragen kann der Verantwortliche selbst erledigen: Verantwortliche und Inhaber können Meldungen samt Foto löschen und Zugänge sperren.

10. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter auf Anfrage einen vollständigen Export der Daten in einem gängigen, maschinenlesbaren Format bereit, die Fotos als Bilddateien. 90 Tage nach Vertragsende löscht er sämtliche personenbezogenen Daten des Verantwortlichen einschließlich der Fotos und Zugänge, soweit keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen des Hosting-Anbieters laufen danach binnen weiterer 7 Tage aus.

Meldungen mit dem Stand „erledigt“ werden sechs Monate nach der Erledigung samt Foto automatisch gelöscht. Wird eine Meldung vorher wieder geöffnet, beginnt die Frist mit der nächsten Erledigung neu. Fotos, zu denen keine Meldung gehört, etwa nach einem abgebrochenen Anlegen, werden nach einem Tag gelöscht. Die Löschung läuft täglich automatisch und wird ohne personenbezogene Angaben protokolliert.

11. Nachweis und Kontrolle

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung, insbesondere diese Vereinbarung samt Anlage 1 und die Auskünfte für Lieferanten-Fragebögen der IT. Kontrollen erfolgen vorrangig durch Auskünfte und geeignete Nachweise. Vor-Ort-Kontrollen erfolgen nur nach Ankündigung zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

12. Schlussbestimmungen

Es gilt österreichisches Recht. Im Übrigen gelten die Bestimmungen des Hauptvertrags. Diese Vereinbarung geht bei Widersprüchen den AGB in datenschutzrechtlichen Fragen vor.