Vereinbarung zur Auftragsverarbeitung
In dieser Sprache liegt kein Vertragstext vor. Es gilt die deutsche Fassung.
Fassung 1.0 · gilt ab 8. September 2026
Diese Vereinbarung nach Art. 28 DSGVO ergänzt die Allgemeinen Geschäftsbedingungen. Sie gilt, sobald und soweit der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet. Im Umfang ihres Regelungsgegenstands geht sie den Allgemeinen Geschäftsbedingungen vor.
§ 1 Rollen
Der Kunde ist Verantwortlicher, der Anbieter — AS4 Holding GmbH, Reklewskigasse 19A/2, 1230 Wien, UID ATU82919512 — ist Auftragsverarbeiter.
Für die Verarbeitung öffentlicher Ladeinfrastrukturdaten ist der Anbieter selbst Verantwortlicher; diese Daten sind nicht personenbezogen und nicht Gegenstand dieser Vereinbarung. Was der Anbieter in eigener Verantwortung verarbeitet, steht in der Datenschutzerklärung.
§ 2 Gegenstand, Art und Zweck
| | | |---|---| | Gegenstand | Bereitstellung der im Vertrag vereinbarten Auswertungen, Schnittstellen und Portalfunktionen | | Art | Erheben, Speichern, Auslesen, Übermitteln an den Kunden, Löschen | | Zweck | Betrieb der Zugänge des Kunden und Erbringung der vertraglichen Leistung | | Dauer | für die Dauer des Hauptvertrags, zuzüglich der Fristen aus § 9 |
§ 3 Betroffene und Datenarten
Verarbeitet werden ausschließlich die Daten, die für Zugang und Abrechnung nötig sind:
- Beschäftigte des Kunden mit Portalzugang: Anmeldekennung, Name, dienstliche E-Mail-Adresse, Rolle, Zeitpunkte von Anmeldung und Handlung, Protokoll der Vorgänge im eigenen Zugang - Ansprechpartner für Abrechnung: Name, Rechnungsanschrift, UID
Keine besonderen Kategorien nach Art. 9 DSGVO. Keine Standortdaten natürlicher Personen. Keine Profilbildung über Beschäftigte.
§ 4 Weisungen
Der Anbieter verarbeitet nur auf dokumentierte Weisung des Kunden. Als Weisung gelten der Hauptvertrag, diese Vereinbarung und die Einstellungen, die der Kunde im Portal vornimmt. Weitere Weisungen bedürfen der Textform.
Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung bis zur Klärung aussetzen.
Verarbeitet der Anbieter aufgrund einer Rechtspflicht der Union oder eines Mitgliedstaats, unterrichtet er den Kunden vorher — es sei denn, dieselbe Vorschrift verbietet die Unterrichtung.
§ 5 Vertraulichkeit
Alle mit den Daten befassten Personen sind zur Vertraulichkeit verpflichtet; die Verpflichtung wirkt über das Ende ihrer Tätigkeit hinaus. Der Zugriff ist auf die Personen beschränkt, die ihn für ihre Aufgabe brauchen.
Impersonation — der Zugriff auf einen Kundenzugang zu Unterstützungszwecken — ist nur mit Ticketnummer, Zeitbegrenzung und Protokolleintrag möglich. Der Kunde sieht diese Einträge in seinem eigenen Protokoll.
§ 6 Technische und organisatorische Maßnahmen
Die Maßnahmen nach Art. 32 DSGVO sind in einem eigenen Dokument beschrieben und auf Anfrage erhältlich. Der Stand zum Zeitpunkt dieser Fassung umfasst insbesondere:
- Verschlüsselung in der Übertragung (TLS 1.2+) und im Ruhezustand - Mandantentrennung auf Datenbankebene (Row-Level Security), geprüft durch automatisierte Tests bei jeder Auslieferung - Mehr-Faktor-Pflicht für alle Verwaltungszugänge - Protokollierung ohne personenbezogene Inhalte; ein automatischer Prüflauf durchsucht die Protokolle auf Namen, Adressen und Kennungen - Fortlaufende Messung der Erreichbarkeit, tägliche Sicherung, geprüfte Wiederherstellung - Verarbeitung ausschließlich in der Europäischen Union
Der Anbieter darf die Maßnahmen weiterentwickeln; das Schutzniveau darf dabei nicht sinken.
§ 7 Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz von Unterauftragsverarbeitern allgemein zu. Der Anbieter führt eine aktuelle Liste mit Name, Sitz, Leistung und Verarbeitungsort und stellt sie auf Anfrage bereit.
Vor einem Wechsel oder einer Erweiterung wird der Kunde mindestens 30 Tage vorher in Textform unterrichtet. Er kann binnen 14 Tagen widersprechen; lässt sich der Widerspruch nicht auflösen, darf er den Hauptvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.
Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Pflichten und haftet für ihn wie für eigenes Handeln.
§ 8 Unterstützung des Kunden
Der Anbieter unterstützt den Kunden bei
- Anfragen betroffener Personen (Art. 15 bis 22) — im Portal stehen Auskunft und Export als Selbstbedienung bereit, - der Datenschutz-Folgenabschätzung und der vorherigen Konsultation (Art. 35, 36), - der Meldung von Verletzungen des Schutzes personenbezogener Daten.
Eine Verletzung meldet der Anbieter dem Kunden unverzüglich, spätestens binnen 24 Stunden nach Kenntnis — mit Art des Vorfalls, betroffenen Datenarten, geschätztem Umfang, ergriffenen Maßnahmen und Ansprechpartner. Die Frist ist kürzer als die 72 Stunden aus Art. 33, weil der Kunde diese Frist selbst einhalten muss.
§ 9 Löschung und Rückgabe
Nach Ende des Hauptvertrags bleiben die Daten 30 Tage zum Export abrufbar. Danach werden sie gelöscht, einschließlich der Kopien in den Sicherungen nach deren Aufbewahrungsfrist.
Ausgenommen ist, was gesetzlich aufzubewahren ist — insbesondere Rechnungen für sieben Jahre nach § 132 BAO. Diese Daten werden gesperrt und nur noch zur Erfüllung der Aufbewahrungspflicht verarbeitet.
Die Löschung wird protokolliert; das Protokoll wird auf Anfrage bereitgestellt.
§ 10 Nachweis und Überprüfung
Der Anbieter weist die Einhaltung auf Anfrage nach, vorrangig durch Selbstauskunft, aktuelle Dokumentation und vorliegende Prüfberichte.
Genügt das nicht, darf der Kunde einmal jährlich — und anlassbezogen bei einer konkreten Verletzung — eine Überprüfung vornehmen oder durch einen zur Verschwiegenheit verpflichteten Prüfer vornehmen lassen, der kein Wettbewerber des Anbieters ist. Die Überprüfung wird mit angemessenem Vorlauf angekündigt und darf den Betrieb nicht beeinträchtigen.
§ 11 Drittland
Eine Verarbeitung außerhalb der Europäischen Union findet nicht statt. Sollte sie künftig nötig werden, erfolgt sie nur auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln samt Übermittlungs-Folgenabschätzung, und der Kunde wird nach § 7 vorher unterrichtet.
§ 12 Haftung
Es gilt Art. 82 DSGVO. Die Haftungsbeschränkungen des Hauptvertrags gelten nicht für Ansprüche betroffener Personen und nicht für Geldbußen nach Art. 83.
Allgemeine Geschäftsbedingungen · Verbraucherinformationen · Service-Level-Vereinbarung · Siegel-Nutzungsbedingungen · Impressum