Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

ShiftLab – Inhaber Edvin Camdzic, Sonnenweg 4/2, 7221 Marz, Österreich

UID: ATU77223229 · GISA: 39823977 · contact@shiftlab.at

(im Folgenden „Auftragsverarbeiter“ oder „ShiftLab“)

Stand: August 2026

Dieser Auftragsverarbeitungsvertrag wird zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Z 7 DSGVO und ShiftLab als Auftragsverarbeiter im Sinne des Art. 4 Z 8 DSGVO geschlossen. Er gilt für alle Leistungen, bei denen ShiftLab personenbezogene Daten im Auftrag und nach Weisung des Kunden verarbeitet – insbesondere bei Entwicklung, Hosting, Betrieb, Wartung und Betreuung von Websites, Web-Anwendungen, Datenbanken, E-Mail- und Marketing-Systemen.

Die nachstehende Fassung ist der von ShiftLab verwendete Vertragstext. Sie wird auf Anfrage unter contact@shiftlab.at als unterzeichnungsfähiges Dokument bereitgestellt.

§ 1 Gegenstand, Rangordnung, Dauer

1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen. Der zugrunde liegende Hauptvertrag (Angebot, Auftragsbestätigung, Wartungs- oder Betreuungsvereinbarung) bleibt unberührt.

1.2 Im Verhältnis zu den AGB des Auftragsverarbeiters geht dieser Vertrag in allen datenschutzrechtlichen Fragen vor. Ergänzend gilt § 16 der AGB.

1.3 Der Vertrag beginnt mit dem Beginn der Verarbeitungstätigkeit und läuft für die Dauer des Hauptvertrags. Er endet, sobald sämtliche im Auftrag verarbeiteten Daten nach § 13 zurückgegeben oder gelöscht sind.

1.4 Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24 DSGVO).

§ 2 Art, Umfang und Zweck der Verarbeitung

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vereinbarten Leistungen. Typische Verarbeitungstätigkeiten sind: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten.

2.2 Typische Zwecke sind: Bereitstellung und Betrieb von Websites und Web-Anwendungen, Betrieb von Datenbanken und Dateispeichern, Versand von Transaktions- und Newsletter-E-Mails, Bearbeitung von Kontakt- und Beratungsanfragen, Terminverwaltung, Erstellung und Veröffentlichung von Inhalten sowie technische Fehleranalyse, Wartung und Support.

2.3 Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt. Anonymisierte oder aggregierte Auswertungen zur Verbesserung der Betriebssicherheit bleiben zulässig, soweit kein Personenbezug herstellbar ist.

§ 3 Art der Daten und Kreis der betroffenen Personen

3.1 Je nach beauftragtem Projekt können folgende Datenarten verarbeitet werden: Stammdaten (Name, Anschrift, Kundennummer), Kontaktdaten (E-Mail, Telefon), Vertrags- und Abrechnungsdaten (Leistungen, Beträge, UID, Steuernummer, IBAN/BIC), Inhaltsdaten (Nachrichten, Kommentare, Dokumente, Belege, Bild-, Video- und Audiodateien), Zugangsdaten (Benutzerkennungen, Passwort-Hashes, Sitzungs- und Zugangstoken), Nutzungs- und Verbindungsdaten (IP-Adresse, Browserkennung, Zeitpunkt, aufgerufene Seiten, Herkunftsland) sowie Nachweisdaten zu Einwilligungen und elektronischen Unterschriften.

3.2 Betroffene Personengruppen sind insbesondere: Interessenten und Kunden des Verantwortlichen, Besucher seiner Websites, Newsletter-Empfänger, Beschäftigte und Ansprechpartner des Verantwortlichen, Lieferanten sowie Personen, die den Verantwortlichen über verbundene Kanäle kontaktieren.

3.3 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nur verarbeitet, wenn dies ausdrücklich und gesondert schriftlich vereinbart wurde.

§ 4 Weisungsrecht

4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Weisungen sind schriftlich oder in Textform (auch per E-Mail) zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Der Auftrag selbst gilt als Erstweisung.

4.3 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 letzter Satz DSGVO). Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

§ 5 Vertraulichkeit

5.1 Der Auftragsverarbeiter verpflichtet sämtliche zur Verarbeitung befugten Personen vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

5.2 Der Auftragsverarbeiter macht die betroffenen Personen mit den für sie maßgeblichen datenschutzrechtlichen Bestimmungen vertraut.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

6.1 Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die folgenden Maßnahmen:

Zutrittskontrolle. Es werden keine eigenen Serverräume betrieben. Die Verarbeitung erfolgt ausschließlich in den zertifizierten Rechenzentren der in § 7 genannten Unterauftragsverarbeiter. Arbeitsplatzgeräte sind vollverschlüsselt (Festplattenverschlüsselung), mit automatischer Bildschirmsperre versehen und werden nicht an Dritte weitergegeben.

Zugangskontrolle. Individuelle, personenbezogene Benutzerkonten ohne Sammelzugänge. Passwörter werden ausschließlich als gesalzener Hash nach dem Verfahren PBKDF2-HMAC-SHA256 mit hoher Iterationszahl gespeichert; eine Rückrechnung auf das Klartextpasswort ist nicht möglich. Ergänzend bzw. alternativ kommen Passkeys nach dem WebAuthn/FIDO2-Standard zum Einsatz. Nach mehreren Fehlversuchen wird die Kennung zeitlich gesperrt. Sitzungen laufen über befristete Token mit automatischem Ablauf.

Zugriffskontrolle. Rollen- und Berechtigungskonzept nach dem Grundsatz der Erforderlichkeit („need to know“). Trennung von Entwicklungs-, Test- und Produktivumgebungen. Zugangsdaten und API-Schlüssel werden verschlüsselt in einer Schlüsselverwaltung (z. B. Google Cloud KMS) bzw. in der Secret-Verwaltung der jeweiligen Plattform abgelegt und niemals im Quelltext oder im ausgelieferten Browser-Code hinterlegt.

Weitergabe- und Transportkontrolle. Sämtliche Verbindungen sind transportverschlüsselt (TLS ab Version 1.2) und über HSTS abgesichert. Ruhende Daten werden durch die Plattformbetreiber verschlüsselt gespeichert. Datenträger werden nicht versendet.

Eingabe- und Nachvollziehbarkeitskontrolle. Anlage, Änderung und Löschung von Datensätzen werden mit Zeitstempel und Benutzerkennung protokolliert. Gelöschte Datensätze durchlaufen einen Papierkorb mit nachvollziehbarer endgültiger Löschung.

Verfügbarkeits- und Wiederherstellbarkeitskontrolle. Georedundante Speicherung und regelmäßige Sicherungen durch die Plattformbetreiber, Wiederherstellbarkeit auf einen Zeitpunkt („Point in Time Recovery“), Schutz vor Überlastungsangriffen und Angriffen auf Anwendungsebene durch vorgeschaltete Firewall- und DDoS-Abwehr auf Netzwerkebene.

Datenminimierung und Pseudonymisierung. IP-Adressen werden dort, wo der Zweck es zulässt, nicht im Klartext, sondern als gesalzener, nicht rückrechenbarer Hashwert gespeichert. Die dafür verwendeten geheimen Schlüssel liegen ausschließlich in der serverseitigen Umgebung und sind weder im Quelltext noch im Browser enthalten.

Trennungskontrolle. Daten unterschiedlicher Auftraggeber werden durch getrennte Projekte, Datenbanken bzw. verbindlich durchgesetzte Zugriffsregeln voneinander getrennt verarbeitet.

Überprüfung und Aktualisierung. Die Maßnahmen werden regelmäßig sowie anlassbezogen überprüft; eingesetzte Abhängigkeiten und Laufzeitumgebungen werden auf einem gepflegten Sicherheitsstand gehalten.

6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 7 Unterauftragsverarbeiter

7.1 Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO für die Heranziehung der nachstehend genannten Unterauftragsverarbeiter. Welche davon im konkreten Projekt tatsächlich eingesetzt werden, richtet sich nach der vereinbarten technischen Umsetzung; nicht jedes Projekt nutzt alle Dienste.

7.2 Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag (Art. 28 Abs. 4 DSGVO), und wählt ihn sorgfältig unter besonderer Berücksichtigung der Eignung seiner technischen und organisatorischen Maßnahmen aus.

A. Infrastruktur, Hosting und Datenbanken

B. Weitere Dienste von Google

Verantwortliche Stelle ist jeweils Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, gemeinsam mit Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln, ergänzend das EU-U.S. Data Privacy Framework. Für die Nutzung der YouTube API Services gelten zusätzlich die YouTube Terms of Service sowie die Google Datenschutzerklärung; ein erteilter Zugriff auf ein Google-Konto kann jederzeit unter myaccount.google.com/permissions widerrufen werden.

C. E-Mail-Versand und -Empfang

Der Verantwortliche wird darauf hingewiesen, dass Resend Text- und HTML-Fassung versendeter Nachrichten im Kontoprotokoll vorhält und Zustell-, Öffnungs- und Klickereignisse zurückmeldet.

D. KI-Dienste

Der Auftragsverarbeiter übergibt an KI-Dienste nur solche Inhalte, die für die beauftragte Leistung erforderlich sind. Die Übermittlung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO an KI-Dienste findet nicht statt.

E. Suchmaschinenbenachrichtigung

Über das IndexNow-Protokoll werden veröffentlichte Adressen an Microsoft Corporation (Bing) und daran angeschlossene Suchmaschinen gemeldet. Übermittelt werden ausschließlich Internetadressen, keine personenbezogenen Daten.

7.3 Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig in Textform über die beabsichtigte Hinzuziehung eines weiteren oder die Ersetzung eines bestehenden Unterauftragsverarbeiters. Der Verantwortliche kann binnen 14 Tagen ab Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, ist der Auftragsverarbeiter berechtigt, die betroffene Leistung mit angemessener Frist zu kündigen, wenn eine gleichwertige Umsetzung ohne den Unterauftragsverarbeiter nicht mit zumutbarem Aufwand möglich ist.

7.4 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen Dritter, die der Auftragsverarbeiter zur Ausübung seiner Geschäftstätigkeit in Anspruch nimmt (etwa Telekommunikation, Post, Reinigung, Wartung oder Steuerberatung). Für diese Leistungen trifft der Auftragsverarbeiter angemessene Vorkehrungen zur Wahrung der Vertraulichkeit.

§ 8 Plattformen mit eigener Verantwortlichkeit

8.1 Soweit im Auftrag des Verantwortlichen Inhalte auf Social-Media-, Video- und Publikationsplattformen veröffentlicht oder von dort abgerufen werden, handeln diese Plattformen für die Verarbeitung auf ihren eigenen Systemen als eigenständig Verantwortliche, nicht als Unterauftragsverarbeiter von ShiftLab. Für diese Verarbeitung gelten die Datenschutzbestimmungen und Nutzungsbedingungen der jeweiligen Plattform. Der Verantwortliche entscheidet, welche Kanäle angebunden werden, und erteilt die dafür erforderlichen Zugriffsfreigaben selbst.

8.2 ShiftLab verarbeitet in diesem Zusammenhang als Auftragsverarbeiter: die Zugangsdaten der jeweiligen Verbindung (Zugangs- und Erneuerungstoken, Konto- und Kanalkennungen), die zu veröffentlichenden Inhalte samt Bild-, Video- und Audiomaterial sowie – bei Plattformen mit eingehendem Kanal – die über diesen Kanal empfangenen Nachrichten und Kommentare Dritter einschließlich ihrer Absenderkennungen.

8.3 Für X (vormals Twitter) besteht keine Schnittstellenanbindung. Auf Websites werden lediglich Vorschau-Angaben im Seitenkopf hinterlegt, die beim Aufruf der Website keine Daten an X übermitteln.

8.4 Bei Plattformen mit Sitz oder Muttergesellschaft außerhalb der EU kann eine Übermittlung in Drittländer, insbesondere in die USA und – im Fall von TikTok – auch in andere Drittstaaten, nicht ausgeschlossen werden. Der Verantwortliche entscheidet über die Anbindung dieser Kanäle eigenverantwortlich und informiert die betroffenen Personen darüber in seiner eigenen Datenschutzerklärung.

§ 9 Übermittlung in Drittländer

9.1 Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, der Standardvertragsklauseln der EU-Kommission oder verbindlicher interner Datenschutzvorschriften.

9.2 Für Anbieter mit Sitz in den Vereinigten Staaten stützt sich die Übermittlung auf die Standardvertragsklauseln, ergänzend – soweit der jeweilige Anbieter zertifiziert ist – auf das EU-U.S. Data Privacy Framework. Der Auftragsverarbeiter führt für diese Übermittlungen die erforderliche Dokumentation und stellt sie dem Verantwortlichen auf Anfrage zur Verfügung.

§ 10 Unterstützung des Verantwortlichen, Betroffenenrechte

10.1 Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

10.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte nach Art. 12 bis 23 DSGVO nachzukommen – insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

10.3 Er unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Datenschutz-Folgenabschätzung und einer allfälligen vorherigen Konsultation der Aufsichtsbehörde.

10.4 Aufwand, der über die reine Bereitstellung technischer Auskünfte hinausgeht und nicht auf einem Verschulden des Auftragsverarbeiters beruht, wird nach den jeweils gültigen Stundensätzen verrechnet.

§ 11 Verletzung des Schutzes personenbezogener Daten

11.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel binnen 24 Stunden ab Kenntnis (Art. 33 Abs. 2 DSGVO).

11.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle für Rückfragen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

11.3 Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und dokumentiert den Vorfall.

11.4 Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem Verantwortlichen.

§ 12 Nachweis- und Kontrollrechte

12.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

12.2 Der Nachweis kann durch aktuelle Testate, Zertifizierungen oder Prüfberichte unabhängiger Stellen – auch solcher der Unterauftragsverarbeiter – oder durch eine geeignete Selbstauskunft erbracht werden.

12.3 Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal jährlich durchzuführen; bei begründetem Anlass auch anlassbezogen. Prüfer dürfen keine Wettbewerber des Auftragsverarbeiters sein und sind zur Verschwiegenheit zu verpflichten. Der Aufwand des Auftragsverarbeiters wird nach den jeweils gültigen Stundensätzen verrechnet, sofern die Prüfung keinen von ihm zu vertretenden Verstoß aufdeckt.

12.4 Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 13 Löschung und Rückgabe

13.1 Nach Abschluss der Verarbeitungsleistung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

13.2 Die Wahl ist spätestens 30 Tage nach Ende des Hauptvertrags in Textform mitzuteilen. Trifft der Verantwortliche keine Wahl, werden die Daten nach Ablauf weiterer 30 Tage gelöscht.

13.3 Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format. Der Aufwand für Export und Übergabe wird nach den jeweils gültigen Stundensätzen verrechnet.

13.4 Gesetzliche Aufbewahrungspflichten – insbesondere nach § 132 BAO und § 212 UGB – bleiben unberührt. Für diese Dauer wird die Verarbeitung auf die reine Aufbewahrung eingeschränkt.

13.5 Sicherungskopien werden im Zuge des üblichen Sicherungszyklus der eingesetzten Plattformen überschrieben; eine gezielte Einzellöschung aus Sicherungsbeständen ist technisch nicht möglich und wird durch Zugriffssperren ersetzt.

§ 14 Haftung

14.1 Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die auf einer von ihr zu vertretenden Verletzung dieses Vertrags oder der DSGVO beruhen.

14.2 Ergänzend gelten die Haftungsbestimmungen des § 11 der AGB des Auftragsverarbeiters, soweit sie zwingenden datenschutzrechtlichen Vorschriften nicht entgegenstehen.

§ 15 Schlussbestimmungen

15.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform oder Textform; dies gilt auch für ein Abgehen von diesem Formerfordernis.

15.2 Sollten einzelne Bestimmungen unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die dem verfolgten Zweck am nächsten kommt.

15.3 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit zwingende Vorschriften nicht entgegenstehen.

15.4 Zuständige Aufsichtsbehörde für den Auftragsverarbeiter ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien (dsb.gv.at).

15.5 Anfragen zu diesem Vertrag sowie die Anforderung einer unterzeichnungsfähigen Fassung richten Sie an contact@shiftlab.at.