{"id":1139,"date":"2026-07-02T10:57:43","date_gmt":"2026-07-02T10:57:43","guid":{"rendered":"https:\/\/scin.app\/?page_id=1139"},"modified":"2026-09-14T11:50:19","modified_gmt":"2026-09-14T11:50:19","slug":"dpa-avv","status":"publish","type":"page","link":"https:\/\/scin.app\/de\/dpa-avv\/","title":{"rendered":"Data Processing Agreement (DPA)"},"content":{"rendered":"
\n\t\t\t\t
\n \t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Data Processing Agreement (DPA)<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\tFlag of Germany<\/desc><\/rect><\/rect><\/rect><\/svg>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tAuftragsverarbeitungsvertrag (AVV)<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

AGREEMENT on order processing<\/h2>

to comply with\u00a0
data secrecy, data security and data protection<\/strong>\u00a0in accordance with the applicable national and international data protection regulations, as well as confidentiality regarding internal information.<\/p>

\u00a0<\/p>

1. \u00a0 \u00a0 Introduction<\/strong><\/p>

This agreement includes both the agreement on commissioned processing to be concluded in accordance with Art. 28 GDPR and the declaration of commitment to comply with data secrecy and data security.<\/p>

\u00a0<\/p>

2. \u00a0 \u00a0 Subject of the agreement<\/strong><\/p>

(1) \u00a0The subject of the contract is the execution of the following tasks:<\/p>

Provision of hardware, mobile apps and software for digital construction monitoring. In the form of a GNSS handheld incl. accessories. Also applies to all systems used by third-party providers.
A web app that enables data to be recorded, analyzed and made available internally and externally via dashboards. This web app can also be used to manage licensed access and thus control access on the client side.
The web app is secured via a login screen and can only be opened with the activated licenses. Access to non-company data is not possible.
Dashboards can be shared both internally and externally. Employees have been made aware that sharing dashboards means that they can be accessed permanently and therefore also access current project data. Sharing is therefore generally not desired, as these links could of course also be passed on.
In addition to the identification data, such as user name, password, name and e-mail address, photos of the edited environment are also taken. People, logos and other GDPR-relevant content are pixelated in these photos before they are sent.
Log data containing timestamps and descriptions of the content as well as coordinate systems, point clouds and correction data are stored in the Sodex cloud. External data (point clouds, images, files, reference terrain) can also be uploaded.
It is not possible to draw conclusions about employees and companies if the data is handled in the usual way.
(2) \u00a0The following categories of personal data are processed:\u00a0<\/p>

Identification data (user name, password, name and e-mail address)
Property data (property number, site plan, address, place of residence)
Photographs (photos of the edited environment; people)
Are pixelated before sending
Log data (timestamps and descriptions of the content)
External data (images, files)
(3) \u00a0The following categories of persons concerned are subject to processing:\u00a0<\/p>

Employees
Property owner
(4) \u00a0In the course of this activity, the contractor obtains knowledge of personal data and possibly also other internal information of the client, its customers or business partners and its employees. Internal information is above all documents and records relating to commercial and legal matters, trade secrets and technical knowledge that become accessible to the contractor directly or indirectly in the course of its work for the client. This applies to information in electronic, written or verbal form, regardless of whether it is marked as internal, confidential or similar or is only recognizable as internal from its content.<\/p>

\u00a0<\/p>

3. \u00a0 \u00a0 Duration of agreement<\/strong><\/p>

The agreement is open-ended. We reserve the right to update it at any time.\u00a0<\/p>

\u00a0<\/p>

4. \u00a0 \u00a0 \u00a0Scope of application and responsibility<\/strong><\/p>

(1) \u00a0The contractor processes personal data on behalf of the client. This includes activities that are described in the service agreements. Within the scope of this agreement, the client is solely responsible for compliance with the statutory provisions of the data protection regulations, in particular for the lawfulness of the transfer of data to the contractor and for the lawfulness of the data processing (\u201ccontroller\u201d within the meaning of Art. 4 para. 7 GDPR).<\/p>

(2) \u00a0With regard to the processing of the data provided by the client, the client shall be granted the right to inspect and control the data processing facilities at any time to the extent reasonable and necessary, including by third parties commissioned by the client. The contractor undertakes to provide the client with the information necessary to monitor compliance with the obligations specified in this agreement.<\/p>

(3) \u00a0In case of doubt, the client is entitled to contact the data protection officer \u00a0designated by the contractor.\u00a0<\/p>

\u00a0<\/p>

5. \u00a0 \u00a0 Obligations of the contractor<\/strong><\/p>

(1) \u00a0The contractor is obliged to treat the internal information acquired in connection with its activities as a business secret, not to disclose it without the express written consent of the client, nor to publish it, use it commercially or provide it to unauthorized persons \u2013 who have not been entrusted with the order by the client \u2013 or make it accessible in any other way. This confidentiality obligation shall remain in force for the contractor even after termination of the order.<\/p>

(2) \u00a0When fulfilling the order, the contractor undertakes to comply with the provisions of international and national data protection regulations when processing personal data and otherwise to indemnify and hold the client fully harmless in the event of violations.\u00a0<\/p>

(3) \u00a0The contractor undertakes to process personal data, internal information and processing results exclusively within the scope of the client\u2018s written orders (earmarking). If the contractor receives an official order to disclose the client\u2018s data, it must \u2013 if legally permissible \u2013 inform the client immediately and refer the authority to the client. Similarly, processing of the data for the contractor’s own purposes requires a written order.<\/p>

(4) \u00a0The contractor is strictly prohibited from making records, copies or duplicates of personal data and internal information, in particular of business documents, and from removing business papers and documents from the client\u2018s premises for purposes unrelated to the order without the client\u2018s prior consent. Any business papers and documents taken away shall remain the property of the client. They may not be handed over to unauthorized persons and must be stored in such a way as to ensure compliance with this agreement.\u00a0<\/p>

(5) \u00a0The contractor declares in a legally binding manner that it has obligated all persons entrusted with data processing to maintain confidentiality before commencing work or that they are subject to an appropriate statutory confidentiality obligation. To this end, all authorized employees of the contractor must at least have read Annex .\/2 \u201cMandatory information for the contractor\u2018s authorized employees\u201d. This means that these employees are aware of the present obligation agreement and undertake to comply with it. In particular, the confidentiality obligation of the persons entrusted with data processing shall remain in force even after termination of their employment and departure from the contractor.\u00a0<\/p>

(6) \u00a0The contractor declares in a legally binding manner that it has taken all necessary measures to ensure the security of processing in accordance with Art 32 GDPR (details can be found in Annex .\/1).<\/p>

(7) \u00a0The contractor shall protect all information provided to it for the implementation of the order, whether in paper or electronic form, in accordance with the state of the art and shall take all necessary information security measures.<\/p>

(8) \u00a0The contractor shall take the technical and organizational measures to ensure that the client can fulfill the rights of the person concerned under chapter III of the GDPR (information, access, rectification and erasure, data portability, objection, and automated decision-making in individual cases) at any time within the statutory time limits and shall provide the client with all information necessary for this purpose. If a corresponding request is addressed to the contractor and the contractor reveals that the applicant mistakenly believes it to be the client of the data application operated by it, the contractor must forward the request to the client without delay and inform the applicant of this.<\/p>

(9) \u00a0The contractor shall support the client in complying with the obligations set out in Art. 32 to 36 GDPR (data security measures, notification of personal data breaches to the supervisory authority, notification of the person affected by a personal data breach, data protection impact assessment, prior consultation).<\/p>

(10) \u00a0The contractor is advised that it must set up a processing directory in accordance with Art. 30 GDPR for the present order processing.<\/p>

(11) \u00a0After termination of this agreement, the contractor shall be obliged to destroy all processing results and documents containing data in accordance with the statutory retention obligations. If the contractor processes the data in a special technical format, it shall be obliged to return the data after termination of this Agreement either in this format or, at the client\u2018s request, in the format in which it received the data from the client or in another common format.<\/p>

(12) \u00a0The contractor must inform the client immediately if it believes that an instruction from the client violates international or national data protection regulations.<\/p>

\u00a0<\/p>

6. \u00a0 \u00a0 Place of data processing<\/strong><\/p>

All data processing activities are carried out exclusively within the EU or the EEA. The data is processed by the company Amazon Web Services (aws) in Frankfurt, Germany. \u00a0The client must be informed immediately of any change of operator or place of data processing.<\/p>

\u00a0<\/p>

7. \u00a0 \u00a0 Sub-processors<\/strong><\/p>

In case that the contractor uses vicarious agents, the contractor undertakes to the client that these vicarious agents will also be presented with Annex .\/2 \u201cMandatory information to the contractor\u2018s authorized employees\u201d prior to the disclosure of information. The term \u201cemployees\u201d shall also include all other vicarious agents of the contractor.
The contractor guarantees compliance with the provisions of this agreement by these vicarious agents.\u00a0<\/p>

The Contractor is authorized to engage the following company as a sub-processor:\u00a0<\/p>

Amazon Web Services (aws) in Frankfurt, Germany Microsoft Azure Germany as a cloud provider.<\/p>

The client shall be notified in writing of any intended changes to the sub-processor in good time so that it can prohibit them if necessary. The contractor shall conclude the necessary agreements within the meaning of Art. 28 (4) GDPR with the sub-processor. It must be ensured that the sub-processor enters into the same obligations that are incumbent on the contractor on the basis of this agreement. If the sub-processor does not comply with its data protection obligations, the contractor shall be liable to the client for compliance with the obligations of the sub-processor.<\/p>

\u00a0<\/p>

8. \u00a0 \u00a0 Other<\/strong><\/p>

(1) \u00a0This obligation agreement is subject to Austrian law. The applicability of the UN Convention on Contracts for the International Sale of Goods and international conflict of laws rules is excluded. The contractual language is German. All disputes arising from this declaration shall be settled by the competent court in Vorarlberg.<\/p>

(2) \u00a0Amendments and supplements to this agreement must be made in writing.<\/p>

(3) \u00a0The signed agreement must be kept by the client on paper or electronically, and a copy must be given to the contractor.\u00a0<\/p>

\u00a0<\/p>

Annex .\/1 – Technical and organizational measures<\/strong>
Confidentiality<\/strong><\/h3>

Access control: Protection against unauthorized access to data processing systems, e.g. keys: Keys, magnetic or chip cards, electric door openers, doormen, security personnel, alarm systems, video systems;
Access control: Protection against unauthorized system use, e.g: Passwords (including corresponding policy), automatic locking mechanisms, two-factor authentication, encryption of data carriers;
Access control: No unauthorized reading, copying, modification or removal within the system, e.g: Standard authorization profiles on a \u201cneed to know basis\u201d, standard process for assigning authorizations, logging of access, periodic review of assigned authorizations, especially of administrative user accounts;
\u00a0<\/p>

Integrity<\/strong><\/p>

Transmission control: No unauthorized reading, copying, modification or removal during electronic transmission or transport, e.g. encryption, virtual private networks (VPN), electronic signature: Encryption, Virtual Private Networks (VPN), electronic signature;
\u00a0<\/p>

Availability and resilience<\/strong><\/p>

Availability control: Protection against accidental or willful destruction or loss, e.g: Backup strategy (online\/offline; on-site\/off-site), uninterruptible power supply (UPS, diesel generator), virus protection, firewall, reporting channels and emergency plans; security checks at infrastructure and application level, multi-level backup concept with encrypted outsourcing of backups to a backup data center, standard processes when employees change\/leave;
Rapid recoverability;
\u00a0<\/p>

Procedures for regular review, assessment and evaluation<\/strong><\/p>

Privacy-friendly default settings;
Order control: No commissioned data processing within the meaning of Art. 28 GDPR without corresponding instructions from the client, e.g.: clear contract design, formalized order management, strict selection of the processor (ISO certification, ISMS), obligation to convince in advance, follow-up checks.
\u00a0<\/p>

Annex .\/2 – Mandatory information to the Contractor’s authorized employees<\/strong><\/h3>

Annex to the agreement on compliance with data secrecy, data security and data protection in accordance with the applicable national and international data protection regulations, as well as confidentiality regarding internal information.<\/p>

\u00a0<\/p>

1. \u00a0 \u00a0 \u00a0 In general<\/strong><\/p>

1.1. \u00a0 This mandatory information shall be presented by the contractor to all persons (employees) entrusted with data processing prior to commencing work. All authorized employees of the contractor must have read this information. A copy of this information must be given to the employee.\u00a0<\/p>

1.2. \u00a0 Through this information, the employees receive knowledge of the present agreement on commissioned processing and undertake to comply with it. In particular, the confidentiality obligation of the persons entrusted with data processing shall remain in force even after termination of their employment and departure from the contractor.<\/p>

1.3. \u00a0 The employee was informed in full of the agreement signed by his employer on compliance with data secrecy, data security and data protection.\u00a0<\/p>

1.4. \u00a0 The obligations arising from this information shall also apply after termination of the activity for the client or its affiliated companies or after termination of the respective employment relationship.<\/p>

\u00a0<\/p>

2. \u00a0 \u00a0 \u00a0 Obligations of the service provider<\/strong><\/p>

2.1. \u00a0 The service provider must comply with the relevant statutory national and international data protection regulations as amended from time to time.\u00a0<\/p>

2.2. \u00a0 The service provider is prohibited from processing information, access and access authorizations received in the course of his work for the client or its affiliated companies in any way that is not in accordance with the order. This also includes the unauthorized transfer of access or access authorizations within the contractor\u2018s company.<\/p>

2.3. \u00a0 The use of the client\u2018s IT infrastructure is only permitted for business use within the scope of the order. The hardware and software may only be used as intended. The use of external data carriers is prohibited. The commissioning of own hardware or software in the client’s data network is prohibited unless expressly permitted by the client.<\/p>

2.4. \u00a0 Work on the client\u2018s IT systems must be agreed with the client in advance, otherwise the use of the hardware or software will not be considered as intended or as permitted for business use and the contractor will be liable for any damage incurred.<\/p>

2.5. \u00a0Passwords must be kept secret and may not be passed on either verbally or in writing.<\/p>

2.6. \u00a0 The service provider must be introduced to the client’s premises by a supervisor nominated by the client if required. The employee may only enter and leave the premises during the client’s office hours and only through the main entrance and must go directly to his assigned workplace and keep all other exits closed.<\/p>

2.7. \u00a0 For security reasons, every entry to and exit from the premises must be properly recorded at the access controls (if provided for at the location in question, an access card will be organized by the person responsible (e.g. client project manager) or must be collected from the porter as a visitor card).<\/p>

2.8. \u00a0 If the service provider works as a system or network administrator, the situation may arise in which he obtains knowledge of content data due to scheduled work on systems or networks or as part of error analyses on servers, clients or network components. The declarant is aware that under no circumstances may such information be passed on or used in any other way. Furthermore, the declarant is expressly prohibited from gaining unauthorized access to systems, data or information.
The client\u2018s responsible administrator shall provide the contractor\u2018s employee with the administration guideline containing the detailed specifications for work at the client. This guideline is an integral part of this agreement.<\/p>

2.9. \u00a0 Remote maintenance activities may only be carried out from work devices that have up-to-date antivirus software installed and an up-to-date security patch level and only via the central remote access solution provided by the client. Furthermore, the employee is hereby informed that all remote access is logged.<\/p>

\u00a0<\/p>

3. \u00a0 \u00a0 \u00a0 Rights of the client<\/strong><\/p>

The client may have areas under video surveillance for the protection of its property and employees. The service provider is hereby informed of such video surveillance.<\/p>

If the service provider has any questions about video surveillance, he can contact the client.\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n

\n
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t

Auftragsverarbeitungs-vertrag (AVV)<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

VEREINBARUNG \u00fcber die Auftragsverarbeitung<\/h2>

zur Einhaltung\u00a0
des\u00a0Datengeheimnisses, der Datensicherheit und des Datenschutzes<\/strong>\u00a0gem\u00e4\u00df den geltenden nationalen und internationalen Datenschutzvorschriften, sowie der Verschwiegenheit betreffend interner Informationen.<\/p>

\u00a0<\/p>

1. \u00a0 \u00a0 Einleitung<\/strong><\/p>

Diese Vereinbarung beinhaltet sowohl die nach Art 28 DSGVO abzuschlie\u00dfende Vereinbarung einer Auftragsverarbeitung als auch die Verpflichtungserkl\u00e4rung zur Einhaltung des Datengeheimnisses und der Datensicherheit.<\/p>

\u00a0<\/p>

2. \u00a0 \u00a0 Gegenstand der Vereinbarung<\/strong><\/p>

(1) \u00a0Gegenstand des Auftrages ist die Durchf\u00fchrung folgender Aufgaben:<\/p>

  • Bereitstellung von Hardware, mobilen Apps und Software zur digitalen Baubegleitung. In Form eines GNSS Handheld inkl. Zubeh\u00f6r. Bezieht sich auch auf alle von Drittanbietern eingesetzten Systeme.<\/li>
  • Eine Webapp, welche es erm\u00f6glicht Daten zu erfassen, auszuwerten und \u00fcber Dashboards intern, wie extern zur Verf\u00fcgung zu stellen. \u00dcber diese Webapp k\u00f6nnen auch die lizenzierten Zug\u00e4nge verwaltet und somit der Zugriff auf Auftraggeberseite gelenkt werden.<\/li>
  • Die Webapp ist \u00fcber einen Anmeldebildschirm gesichert und kann nur mit den freigeschalteten Lizenzen ge\u00f6ffnet werden. Ein Zugriff auf unternehmensfremde Daten ist nicht m\u00f6glich.<\/li>
  • Es k\u00f6nnen Dashboards sowohl intern als auch extern geteilt werden. Es wurden die Mitarbeiter darauf aufmerksam gemacht, dass beim Teilen der Dashboards ein permanente Zugriffsm\u00f6glichkeit auf diese erfolgt und somit auch auf aktuelle Daten des Projekts. Ein Teilen ist somit grunds\u00e4tzlich nicht erw\u00fcnscht, da diese Links nat\u00fcrlich auch weitergeteilt werden k\u00f6nnten.<\/li>
  • Es werden neben den Identifikationsdaten, wie Benutzername, Passwort, Name und E-Mail-Adresse, auch Fotos von der bearbeiten Umgebung gemacht. In diesen Fotos werden Menschen, Logos und andere DSGVO relevante Inhalte vor Absenden verpixelt.<\/li>
  • In der Sodex-Cloud werden Log-Daten angelegt, welche Timestamps und Beschreibung der Inhalte enthalten, sowie Koordinatensysteme, Punktewolken, Korrekturdaten abgelegt. Ebenfalls k\u00f6nnen externe Daten (Punktwolken, Bilder, Dateien, Referenzgel\u00e4nde) hochgeladen werden.<\/li>
  • Ein R\u00fcckschluss auf Mitarbeiter und Unternehmen ist bei g\u00e4ngiger Handhabung nicht m\u00f6glich.<\/li><\/ul>

    (2) \u00a0Folgende personenbezogenen Datenkategorien werden verarbeitet:\u00a0<\/p>

    • Identifikationsdaten (Benutzername, Passwort, Name und E-Mail-Adresse)<\/li>
    • Grundst\u00fccksdaten (Grundst\u00fccksnummer, Lageplan, Adresse, Wohnort)<\/li>
    • Bildaufnahmen (Fotos von der bearbeiten Umgebung; Personen)Werden vor dem Absenden verpixelt<\/li>
    • Log-Daten (Timestamps und Beschreibungen der Inhalte)
      Externe Daten (Bilder, Dateien)<\/li><\/ul>

      (3) \u00a0Folgende Kategorien betroffener Personen unterliegen der Verarbeitung:\u00a0<\/p>

      • Mitarbeiter<\/li>
      • Grundst\u00fcckseigent\u00fcmer<\/li><\/ul>

        (4) \u00a0Im Zuge dieser T\u00e4tigkeit erh\u00e4lt der Auftragnehmer Kenntnis \u00fcber personenbezogenen Daten und eventuell auch sonstige interne Informationen des Auftraggebers, dessen Kunden oder Gesch\u00e4ftspartner sowie \u00fcber dessen Mitarbeiter. Interne Informationen sind vor allem Dokumente und Unterlagen betreffend kaufm\u00e4nnischer und rechtlicher Angelegenheiten, Betriebsgeheimnissen und technischem Wissen, die dem Auftragnehmer direkt oder indirekt im Zuge seiner T\u00e4tigkeit f\u00fcr den Auftraggeber zug\u00e4nglich werden. Dies betrifft sowohl Informationen in elektronischer, schriftlicher, aber auch m\u00fcndlicher Form, gleichg\u00fcltig ob sie als intern, vertraulich oder \u00c4hnliches gekennzeichnet oder nur vom Inhalt her als firmenintern erkennbar sind.<\/p>

        \u00a0<\/p>

        3. \u00a0 \u00a0 Dauer der Vereinbarung<\/strong><\/p>

        Die Vereinbarung ist unbefristet. Wir behalten uns vor diese jederzeit zu aktualisieren.\u00a0<\/p>

        \u00a0<\/p>

        4. \u00a0 \u00a0 \u00a0Anwendungsbereich und Verantwortlichkeit<\/strong><\/p>

        (1) \u00a0Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst T\u00e4tigkeiten, die in den Leistungsvereinbarungen beschrieben sind. Der Auftraggeber ist im Rahmen dieser Vereinbarung f\u00fcr die Einhaltung der gesetzlichen Bestimmungen der Datenschutzvorschriften, insbesondere f\u00fcr die Rechtm\u00e4\u00dfigkeit der Datenweitergabe an den Auftragnehmer sowie f\u00fcr die Rechtm\u00e4\u00dfigkeit der Datenverarbeitung allein verantwortlich (\u201eVerantwortlicher\u201c iSd Art 4 Abs 7 DSGVO).<\/p>

        (2) \u00a0Dem Auftraggeber wird hinsichtlich der Verarbeitung der von ihm \u00fcberlassenen Daten das Recht jederzeitiger Einsichtnahme und Kontrolle im angemessenen und notwendigen Ausma\u00df, sei es auch durch ihn beauftragte Dritte, der Datenverarbeitungseinrichtungen einger\u00e4umt. Der Auftragnehmer verpflichtet sich, dem Auftraggeber jene Informationen zur Verf\u00fcgung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind.<\/p>

        (3) \u00a0Der Auftraggeber ist dazu berechtigt, sich im Zweifel an den vom Auftragnehmer bekanntgegebenen Datenschutzverantwortlichen oder Datenschutzbeauftragten zu wenden.\u00a0<\/p>

        \u00a0<\/p>

        5. \u00a0 \u00a0 Pflichten des Auftragnehmers<\/strong><\/p>

        (1) \u00a0Der Auftragnehmer ist verpflichtet, die im Zusammenhang mit seiner T\u00e4tigkeit erworbenen internen Informationen als Gesch\u00e4ftsgeheimnis zu behandeln, sie ohne ausdr\u00fcckliche schriftliche Zustimmung des Auftraggebers weder offenzulegen, noch zu ver\u00f6ffentlichen, kommerziell zu verwenden oder Unbefugten \u2013 die nicht vom Auftraggeber mit dem Auftrag betraut wurden \u2013 zu \u00fcberlassen oder auf sonstige Art und Weise zug\u00e4nglich zu machen. Diese Geheimhaltungspflicht bleibt auch nach Beendigung des Auftrags f\u00fcr den Auftragnehmer aufrecht.<\/p>

        (2) \u00a0Bei der Erf\u00fcllung des Auftrages verpflichtet sich der Auftragnehmer, bei der Verarbeitung der personenbezogenen Daten die Bestimmungen der internationalen und nationalen Datenschutzvorschriften zu beachten und widrigenfalls den Auftraggeber im Fall von Verletzungen in voller H\u00f6he schad- und klaglos zu halten.\u00a0<\/p>

        (3) \u00a0Der Auftragnehmer verpflichtet sich, personenbezogene Daten, interne Informationen und Verarbeitungsergebnisse ausschlie\u00dflich im Rahmen der schriftlichen Auftr\u00e4ge des Auftraggebers zu verarbeiten (Zweckgebundenheit). Erh\u00e4lt der Auftragnehmer einen beh\u00f6rdlichen Auftrag, Daten des Auftraggebers herauszugeben, so hat er \u2013 sofern gesetzlich zul\u00e4ssig \u2013 den Auftraggeber unverz\u00fcglich dar\u00fcber zu informieren und die Beh\u00f6rde an diesen zu verweisen. Desgleichen bedarf eine Verarbeitung der Daten f\u00fcr eigene Zwecke des Auftragnehmers eines schriftlichen Auftrages.<\/p>

        (4) \u00a0Das Anfertigen von Aufzeichnungen, Abschriften oder Kopien von personenbezogenen Daten und internen Informationen, insbesondere von gesch\u00e4ftlichen Unterlagen sowie das Entfernen von Gesch\u00e4ftspapier und -unterlagen aus den R\u00e4umlichkeiten des Auftraggebers f\u00fcr Zwecke, die keinen Zusammenhang mit dem Auftrag aufweisen, ist dem Auftragnehmer ohne vorherige Zustimmung des Auftraggebers streng untersagt. Mitgenommene Gesch\u00e4ftspapiere und \u2013unterlagen bleiben im Eigentum des Auftraggebers. Sie d\u00fcrfen Unbefugten nicht \u00fcberlassen werden und m\u00fcssen so aufbewahrt werden, dass die Einhaltung dieser Vereinbarung gew\u00e4hrleistet ist.\u00a0<\/p>

        (5) \u00a0Der Auftragnehmer erkl\u00e4rt rechtsverbindlich, dass er alle mit der Datenverarbeitung beauftragten Personen vor Aufnahme der T\u00e4tigkeit zur Vertraulichkeit verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen. Daf\u00fcr m\u00fcssen alle befugten Dienstnehmer des Auftragnehmers zumindest die Anlage .\/2 \u201everpflichtende Information an die befugten Dienstnehmer des Auftragnehmers\u201c gelesen haben. Dadurch erhalten diese Dienstnehmer Kenntnis der gegenst\u00e4ndlichen Verpflichtungsvereinbarung und verpflichten sich zur Einhaltung dieser. Insbesondere bleibt die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung beauftragten Personen auch nach Beendigung ihrer T\u00e4tigkeit und Ausscheiden beim Auftragnehmer aufrecht.\u00a0<\/p>

        (6) \u00a0Der Auftragnehmer erkl\u00e4rt rechtsverbindlich, dass er alle erforderlichen Ma\u00dfnahmen zur Gew\u00e4hrleistung der Sicherheit der Verarbeitung nach Art 32 DSGVO ergriffen hat (Einzelheiten sind der Anlage .\/1 zu entnehmen).<\/p>

        (7) \u00a0Der Auftragnehmer hat s\u00e4mtliche Informationen, die ihm zur Umsetzung des Auftrages \u00fcbergeben wurden, unabh\u00e4ngig ob in Papier oder elektronischer Form nach dem Stand der Technik zu sch\u00fctzen und alle erforderlichen Informationssicherheitsma\u00dfnahmen zu treffen.<\/p>

        (8) \u00a0Der Auftragnehmer ergreift die technischen und organisatorischen Ma\u00dfnahmen, damit der Auftraggeber die Rechte der betroffenen Person nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und L\u00f6schung, Daten\u00fcbertragbarkeit, Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erf\u00fcllen kann und \u00fcberl\u00e4sst dem Auftraggeber alle daf\u00fcr notwendigen Informationen. Wird ein entsprechender Antrag an den Auftragnehmer gerichtet und l\u00e4sst dieser erkennen, dass der Antragsteller ihn irrt\u00fcmlich f\u00fcr den Auftraggeber der von ihm betriebenen Datenanwendung h\u00e4lt, hat der Auftragnehmer den Antrag unverz\u00fcglich an den Auftraggeber weiterzuleiten und dies dem Antragsteller mitzuteilen.<\/p>

        (9) \u00a0Der Auftragnehmer unterst\u00fctzt den Auftraggeber bei der Einhaltung der in den Art 32 bis 36 DSGVO genannten Pflichten (Datensicherheitsma\u00dfnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbeh\u00f6rde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgeabsch\u00e4tzung, vorherige Konsultation).<\/p>

        (10) \u00a0Der Auftragnehmer wird darauf hingewiesen, dass er f\u00fcr die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art 30 DSGVO zu errichten hat.<\/p>

        (11) \u00a0Der Auftragnehmer ist nach Beendigung dieser Vereinbarung verpflichtet, alle Verarbeitungsergebnisse und Unterlagen, die Daten enthalten, nach den gesetzlichen Aufbewahrungspflichten zu vernichten. Wenn der Auftragnehmer die Daten in einem speziellen technischen Format verarbeitet, ist er verpflichtet, die Daten nach Beendigung dieser Vereinbarung entweder in diesem Format oder nach Wunsch des Auftraggebers in dem Format, in dem er die Daten vom Auftraggeber erhalten hat oder in einem anderen, g\u00e4ngigen Format herauszugeben.<\/p>

        (12) \u00a0Der Auftragnehmer hat den Auftraggeber unverz\u00fcglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verst\u00f6\u00dft gegen internationale oder nationale Datenschutzbestimmungen.<\/p>

        \u00a0<\/p>

        6. \u00a0 \u00a0 Ort der Durchf\u00fchrung der Datenverarbeitung<\/strong><\/p>

        Alle Datenverarbeitungst\u00e4tigkeiten werden ausschlie\u00dflich innerhalb der EU bzw. des EWR durchgef\u00fchrt. Die Daten werden bei dem Unternehmen Amazon Web Services (aws) in Frankfurt, Deutschland verarbeitet. \u00a0Ein Wechsel des Betreibers oder Orts der Datenverarbeitung ist dem Auftraggeber unverz\u00fcglich mitzuteilen.<\/p>

        \u00a0<\/p>

        7. \u00a0 \u00a0 Sub-Auftragsverarbeiter<\/strong><\/p>

        F\u00fcr den Fall, dass sich der Auftragnehmer Erf\u00fcllungsgehilfen bedient, verpflichtet sich der Auftragnehmer gegen\u00fcber dem Auftraggeber, dass diesen Erf\u00fcllungsgehilfen vor Offenlegung von Informationen ebenfalls die Anlage .\/2 \u00a0\u201everpflichtende Information an die befugten Dienstnehmer des Auftragnehmers\u201c vorgelegt wird. Dabei sind unter dem Begriff \u201eDienstnehmer\u201c auch alle anderen Erf\u00fcllungsgehilfen des Auftragnehmers zu verstehen.
        Der Auftragnehmer garantiert die Einhaltung der Bestimmungen dieser Vereinbarung durch diese Erf\u00fcllungsgehilfen.\u00a0<\/p>

        Der Auftragnehmer ist befugt folgendes Unternehmen als Sub-Auftragsverarbeiter hinzuziehen:\u00a0<\/p>

        Amazon Web Services (aws) in Frankfurt, Deutschland Microsoft Azure Deutschland als Cloudanbieter.<\/p>

        Beabsichtigte \u00c4nderungen des Sub-Auftragsverarbeiters sind dem Auftraggeber so rechtzeitig schriftlich bekannt zu geben, dass er dies allenfalls untersagen kann. Der Auftragnehmer schlie\u00dft die erforderlichen Vereinbarungen im Sinne des Art 28 Abs 4 DSGVO mit dem Sub-Auftragsverarbeiter ab. Dabei ist sicherzustellen, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Auftragnehmer auf Grund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegen\u00fcber dem Auftraggeber f\u00fcr die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.<\/p>

        \u00a0<\/p>

        8. \u00a0 \u00a0 Sonstiges<\/strong><\/p>

        (1) \u00a0Diese Verpflichtungsvereinbarung unterliegt \u00f6sterreichischem Recht. Die Anwendbarkeit des UN-Kaufrechtes sowie internationaler Verweisungsnormen wird ausgeschlossen. Die Vertragssprache ist deutsch. Zur Entscheidung aller aus dieser Erkl\u00e4rung entstehenden Streitigkeiten wird das sachlich in Betracht kommende Gericht in Vorarlberg vereinbart.<\/p>

        (2) \u00a0\u00c4nderungen und Erg\u00e4nzungen dieser Vereinbarung bed\u00fcrfen der Schriftform.<\/p>

        (3) \u00a0Die unterschriebene Vereinbarung ist vom Auftraggeber in Papier oder elektronisch aufzubewahren, eine Kopie ist dem Auftragnehmer zu \u00fcbergeben.\u00a0<\/p>

        \u00a0<\/p>

        Anlage .\/1 \u00ad\u2013 Technisch-organisatorische Ma\u00dfnahmen<\/h3>

        Vertraulichkeit<\/strong><\/p>

        • Zutrittskontrolle: Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen, z.B.: Schl\u00fcssel, Magnet- oder Chipkarten, elektrische T\u00fcr\u00f6ffner, Portier, Sicherheitspersonal, Alarmanlagen, Videoanlagen;<\/li>
        • Zugangskontrolle: Schutz vor unbefugter Systembenutzung, z.B.: Kennw\u00f6rter (einschlie\u00dflich entsprechender Policy), automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschl\u00fcsselung von Datentr\u00e4gern;<\/li>
        • Zugriffskontrolle: Kein unbefugtes Lesen, Kopieren, Ver\u00e4ndern oder Entfernen innerhalb des Systems, z.B.: Standard-Berechtigungsprofile auf \u201eneed to know-Basis\u201c, Standardprozess f\u00fcr Berechtigungsvergabe, Protokollierung von Zugriffen, periodische \u00dcberpr\u00fcfung der vergebenen Berechtigungen, insbesondere von administrativen Benutzerkonten;
          \u00a0<\/li><\/ul>

          Integrit\u00e4t<\/strong><\/p>

          Weitergabekontrolle: Kein unbefugtes Lesen, Kopieren, Ver\u00e4ndern oder Entfernen bei elektronischer \u00dcbertragung oder Transport, z.B.: Verschl\u00fcsselung, Virtual Private Networks (VPN), elektronische Signatur;
          \u00a0<\/p>

          Verf\u00fcgbarkeit und Belastbarkeit<\/strong><\/p>