Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien

1.1 Verantwortlicher ist der Kunde, wie im Hauptvertrag, in der Bestellung oder im Kundenkonto angegeben (nachfolgend „Kunde“).

1.2 Auftragsverarbeiter ist die SimpliServ GmbH, Gewerbepark West 2a, 8504 Preding, Österreich, FN 676594t, Landesgericht für ZRS Graz, UID ATU83276107, vertreten durch den Geschäftsführer Luca Malli (nachfolgend „SimpliServ“).

1.3 SimpliServ stellt dem Kunden die Software SimpliServ als Software-as-a-Service bereit (nachfolgend „Hauptvertrag“: AGB der SimpliServ GmbH samt Bestellung bzw. individuellem SaaS-Vertrag). Dabei verarbeitet SimpliServ personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag gilt für alle Tätigkeiten, bei denen SimpliServ, seine Beschäftigten oder Unterauftragsverarbeiter mit personenbezogenen Daten des Kunden in Berührung kommen.

2. Gegenstand und Dauer

2.1 SimpliServ verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Software SimpliServ bereitzustellen, zu betreiben, zu warten und den Kunden zu unterstützen (Support, Einrichtung, Datenimport, Schulung).

2.2 Der Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, bis SimpliServ alle Daten des Kunden nach Ziffer 12 gelöscht oder zurückgegeben hat.

3. Art, Zweck, Datenarten und Betroffene

3.1 Art der Verarbeitung: Erheben, Speichern, Ordnen, Verändern, Abfragen, Verwenden, Übermitteln (auf Veranlassung des Kunden), Einschränken und Löschen.

3.2 Zweck: Betrieb der vom Kunden genutzten Funktionen, insbesondere Kunden- und Fahrzeugverwaltung, Aufträge und Tickets, Termine, Angebote, Rechnungen und Kasse, Zahlungen, Lager und Einkauf, Kommunikation mit Endkunden (E-Mail, SMS, WhatsApp, Telefon), Dienstplan, Zeiterfassung und Personalunterlagen, Unterschriften, Auswertungen sowie KI-gestützte Funktionen, soweit der Kunde sie einschaltet.

3.3 Datenarten: Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon, Firma, UID); Vertrags-, Auftrags- und Fahrzeugdaten (z. B. Kennzeichen, Fahrgestellnummer, Reparaturhistorie); Rechnungs-, Zahlungs- und Bankdaten (IBAN, SEPA-Mandate, Zahlungsstatus); Kommunikationsinhalte (Nachrichten, E-Mails, Anrufaufzeichnungen und Transkripte, soweit eingeschaltet); Beschäftigtendaten des Kunden (Dienstplan, Arbeitszeiten, Abwesenheiten, Dienstverträge, Lohn- und Steuerdaten, soweit erfasst); Unterschriften, Fotos, Dokumente und Dateien, die der Kunde hochlädt; Zugangs- und Protokolldaten (Benutzerkonto, IP-Adresse, Zeitpunkt, Aktivitäten).

3.4 Betroffene: Endkunden und Interessenten des Kunden, Beschäftigte und Bewerber des Kunden, Lieferanten und Geschäftspartner des Kunden sowie deren Ansprechpartner, Nutzer der Software.

3.5 Besondere Kategorien nach Art. 9 DSGVO werden nicht planmäßig verarbeitet. Erfasst der Kunde solche Daten (z. B. Krankenstände), sorgt er für die Rechtsgrundlage.

4. Weisungen

4.1 SimpliServ verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, ein Gesetz der EU oder eines Mitgliedstaats verpflichtet dazu. In diesem Fall teilt SimpliServ dem Kunden diese Pflicht vorher mit, soweit das Gesetz es erlaubt.

4.2 Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Kunde in der Software vornimmt. Einzelweisungen erteilt der Kunde in Textform (E-Mail genügt).

4.3 Hält SimpliServ eine Weisung für rechtswidrig, informiert es den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

4.4 SimpliServ verwendet die Daten nicht für eigene Zwecke. Insbesondere werden sie nicht verkauft und nicht zum Training von KI-Modellen genutzt. Zulässig sind anonymisierte, nicht auf Personen beziehbare Nutzungsstatistiken zum Betrieb und zur Verbesserung der Software.

5. Ort der Verarbeitung

5.1 Server, Datenbanken und Datensicherungen liegen in Deutschland. Einzelne Dienste nach Anlage 1 können Daten auch außerhalb der EU bzw. des EWR verarbeiten; dafür gilt Ziffer 5.2.

5.2 Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln). Anlage 1 nennt die betroffenen Unterauftragsverarbeiter.

6. Vertraulichkeit

6.1 Alle Personen, die bei SimpliServ Zugang zu den Daten haben, sind schriftlich zur Vertraulichkeit verpflichtet (Datengeheimnis nach § 6 DSG). Diese Pflicht gilt auch nach Ende ihrer Tätigkeit.

6.2 Zugriff auf Kundendaten erhalten nur Personen, die ihn für ihre Aufgabe brauchen, insbesondere für Support auf Anfrage des Kunden.

7. Technische und organisatorische Maßnahmen

7.1 SimpliServ trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.

7.2 SimpliServ darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen werden dokumentiert.

8. Unterauftragsverarbeiter

8.1 Der Kunde genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter. Dienste, die als optional gekennzeichnet sind, werden nur eingesetzt, wenn der Kunde die zugehörige Funktion einschaltet.

8.2 SimpliServ teilt neue oder ersetzte Unterauftragsverarbeiter mindestens 4 Wochen vorher in Textform mit (E-Mail, Hinweis in der Software oder Aktualisierung dieser Seite). Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag für die betroffene Leistung außerordentlich kündigen.

8.3 SimpliServ legt jedem Unterauftragsverarbeiter vertraglich die gleichen Datenschutzpflichten auf wie in diesem Vertrag und haftet für dessen Einhaltung.

8.4 Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf Kundendaten (z. B. Telekommunikation) sowie Dienste, mit denen der Kunde selbst einen Vertrag schließt und die er selbst anbindet. Für diese ist der Kunde selbst verantwortlich.

9. Unterstützung des Kunden

9.1 SimpliServ unterstützt den Kunden mit geeigneten Maßnahmen bei Anfragen Betroffener (Art. 12 bis 22 DSGVO). Die Software bietet dafür Funktionen zum Anzeigen, Exportieren, Berichtigen und Löschen. Wendet sich ein Betroffener direkt an SimpliServ, leitet SimpliServ die Anfrage unverzüglich an den Kunden weiter.

9.2 SimpliServ unterstützt den Kunden bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO).

9.3 Unterstützung, die über die Funktionen der Software und übliche Auskünfte hinausgeht, kann SimpliServ nach Aufwand verrechnen, außer sie beruht auf einem Verstoß von SimpliServ.

10. Datenschutzverletzungen

10.1 SimpliServ meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nachdem sie bekannt wird. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

10.2 SimpliServ ergreift sofort Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern.

11. Nachweise und Kontrollen

11.1 SimpliServ stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Dafür genügen in der Regel die Anlagen, schriftliche Auskünfte und Zertifikate der Rechenzentren.

11.2 Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Kontrollen vor Ort durchführen: nach Ankündigung von mindestens 14 Tagen, während der Geschäftszeiten, ohne den Betrieb zu stören, in der Regel höchstens einmal pro Jahr. Den eigenen Aufwand trägt jede Partei selbst.

12. Löschung und Rückgabe

12.1 Der Kunde kann seine Daten während der Laufzeit jederzeit selbst exportieren (z. B. CSV, PDF-Belege).

12.2 Nach Ende des Hauptvertrags löscht SimpliServ die Daten des Kunden innerhalb von 90 Tagen, außer der Kunde verlangt vorher die Herausgabe oder ein Gesetz verpflichtet zur Aufbewahrung. Daten in Datensicherungen werden mit Ablauf der Sicherungsfrist überschrieben, spätestens nach 90 weiteren Tagen. Kassendaten werden für die gesetzliche Aufbewahrungsfrist manipulationssicher archiviert und erst danach gelöscht.

12.3 Die Aufbewahrungspflichten des Kunden selbst (z. B. für Rechnungen und Kassendaten) erfüllt der Kunde durch rechtzeitigen Export. Auf Wunsch bestätigt SimpliServ die Löschung in Textform.

13. Haftung und Schlussbestimmungen

13.1 Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

13.2 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

13.3 Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.

13.4 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Gerichtsstand ist Graz, soweit gesetzlich zulässig.

13.5 Datenschutzkontakt von SimpliServ: Luca Malli, Geschäftsführer, datenschutz@simpliserv.com. Einen Datenschutzbeauftragten muss die SimpliServ GmbH derzeit nicht benennen.

Anlage 1: Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Dienstleister. „Immer“ heißt: Der Dienst ist für jeden Kunden im Einsatz. „Optional“ heißt: Der Dienst ist nur im Einsatz, wenn der Kunde die Funktion einschaltet.

Keine Unterauftragsverarbeiter

Dienste, die der Kunde selbst bucht und anbindet, sind keine Unterauftragsverarbeiter von SimpliServ. Dazu zählen Stripe, Mollie und SumUp (Zahlungen), Lexware, ZIR, VeloConnect, JTL-Wawi, WooCommerce, Shopify und Wix (Schnittstellen), DHL und Österreichische Post (Versand), JobRad und Leasingprüfungen, Bankabruf sowie Microsoft 365 (Postfach des Kunden). Für diese Dienste schließt der Kunde einen eigenen Vertrag mit dem Anbieter.

Selbst betrieben

PDF-Erzeugung, Suche, Echtzeit-Benachrichtigungen, Dokumentbearbeitung, Videotermine und das E-Mail-Hosting laufen auf den eigenen Servern von SimpliServ bei Hetzner in Deutschland.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)