Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Stand 08.10.2026, Fassung 1.0

Zwischen dem Kunden (Verantwortlicher) und Jarz Gerhard BEd e.U., Waldweg 4b, 8410 Weitendorf, Österreich (Auftragsverarbeiter). Der Vertrag gilt als Anlage zu den AGB und kommt mit der Registrierung zustande.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen den Dienst Screvia zur Verwaltung und Ausspielung von Inhalten auf Infodisplays (Digital Signage). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Der Vertrag gilt für die Dauer des Hauptvertrags.

2. Art, Zweck und Betroffene

• Zweck: Bereitstellung des Dienstes, Speicherung und Auslieferung der Inhalte des Verantwortlichen, Benutzerverwaltung, Protokollierung von Änderungen, Benachrichtigungen per E-Mail.
• Arten von Daten: Stammdaten der Benutzer des Verantwortlichen (Name, E-Mail-Adresse, Rolle, verschlüsselt gespeichertes Passwort), Protokolldaten (Zeitpunkt, Benutzer, IP-Adresse, Änderung), Inhalte, die der Verantwortliche hochlädt, soweit sie personenbezogene Daten enthalten (zum Beispiel Bilder von Personen), Gerätedaten der Displays (Name, Standort, Status, Zeitpunkt der letzten Verbindung).
• Betroffene: Benutzer des Verantwortlichen sowie Personen, die in den Inhalten des Verantwortlichen erkennbar sind.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO darf der Verantwortliche nicht hochladen, außer er hat die Rechtsgrundlage dafür geklärt und uns vorab schriftlich informiert.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind der Hauptvertrag, dieser Vertrag und die Nutzung des Dienstes durch den Verantwortlichen. Weitere Weisungen erteilt der Verantwortliche in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen darauf hin und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

• verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit,
• trifft die technischen und organisatorischen Maßnahmen nach Punkt 6,
• unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei der Datenschutz-Folgenabschätzung und bei der Meldung von Datenschutzverletzungen, soweit das angemessen und üblich ist,
• meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden, an die im Konto hinterlegte E-Mail-Adresse des Verantwortlichen,
• führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO,
• stellt dem Verantwortlichen die Informationen zur Verfügung, die er für den Nachweis der Pflichten nach Art. 28 DSGVO braucht, und ermöglicht Überprüfungen. Prüfungen vor Ort kündigt der Verantwortliche mit angemessener Frist an, sie finden während der Geschäftszeiten statt, stören den Betrieb nicht unverhältnismäßig und werden vom Verantwortlichen bezahlt.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• netCup GmbH, Nürnberg: Rechenzentrum und Betrieb der Server
• All-inkl.com, D-02742 Friedersdorf: Versand von E-Mails

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten. Beabsichtigte Änderungen teilt er mindestens 30 Tage vorher per E-Mail mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Dann suchen die Parteien eine Lösung, andernfalls können beide den Vertrag zum Zeitpunkt der Änderung beenden.

Die Verarbeitung findet innerhalb der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nicht.

6. Technische und organisatorische Maßnahmen

• Vertraulichkeit: Anmeldung mit Benutzername und Passwort, Passwörter werden mit bcrypt gespeichert. Sitzungen laufen über ein verschlüsseltes Cookie, das für Skripte nicht lesbar ist. Rollen begrenzen den Zugriff. Die Übertragung läuft ausschließlich über HTTPS.
• Mandantentrennung: Die Daten jedes Kunden sind in der Datenbank getrennt. Verweise zwischen Datensätzen sind technisch auf denselben Kunden beschränkt.
• Zugriffskontrolle der Displays: Jedes Display hat ein eigenes Zugangstoken, das nur für dieses Display gilt.
• Integrität: Änderungen an Inhalten, Playlists, Geräten, Benutzern und Lizenz werden mit Zeitpunkt, Benutzer und IP-Adresse protokolliert. Das Protokoll ist im Kundenbereich einsehbar.
• Verfügbarkeit: Die Daten werden täglich gesichert. Die Sicherungen werden 14 Tage aufbewahrt und liegen auch auf einem zweiten System. Die Wiederherstellung wird geübt.
• Schutz vor Missbrauch: Begrenzung der Anmeldeversuche, Bestätigung der E-Mail-Adresse bei der Registrierung, Prüfung der Herkunft von Anfragen.
• Betrieb: Der Server wird regelmäßig mit Sicherheitsupdates versorgt. Zugriff auf den Server haben nur Personen, die ihn für den Betrieb brauchen.
• Datenminimierung: Die Zugriffsprotokolle des Servers enthalten keine Inhalte und keine Passwörter und werden nach spätestens 30 Tagen gelöscht.

Der Auftragsverarbeiter entwickelt die Maßnahmen weiter. Er darf sie ändern, wenn das Schutzniveau nicht sinkt.

7. Rückgabe und Löschung

Nach Ende des Hauptvertrags stellt der Auftragsverarbeiter die Daten auf Anfrage des Verantwortlichen innerhalb von 30 Tagen bereit und löscht sie danach. Sicherungskopien werden nach spätestens 14 weiteren Tagen überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Der Verantwortliche kann Inhalte und Benutzer jederzeit selbst löschen.

8. Haftung und Schlussbestimmungen

Für die Haftung gelten die AGB. Es gilt österreichisches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.