Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO in Verbindung mit dem österreichischen Datenschutzgesetz (DSG) – Beratung, Implementierungsbegleitung und interne Auditierung eines Informationssicherheitsmanagementsystems nach ISO/IEC 27001:2022.

Dokument-ID	AVV-01	Version	1.2
Eigner	Geschäftsführung clypeus. GmbH	Klassifizierung	TLP:AMBER
Erstellt von / am	Gunnar Kohl / 27.08.2026	Geprüft von / am	Gunnar Kohl / 27.08.2026
Rolle clypeus. GmbH	Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO)	Rolle Auftraggeber	Verantwortlicher (Art. 4 Nr. 7 DSGVO)
Anwendbares Recht	Österreichisches Recht; DSGVO und DSG	Review-Zyklus	jährlich, nächster Review: 27.08.2027
Gerichtsstand	Salzburg, Österreich (§ 104 JN)	Aufsichtsbehörde	Österreichische Datenschutzbehörde, Wien

Änderungshistorie

Version	Datum	Änderung	Durch
1.0	27.08.2026	Erstfassung.	Gunnar Kohl
1.1	27.08.2026	Elektronischer Vertragsschluss über die Auditplattform (neue Ziffer 15a, Ziffer 15 Abs. 1). Konkretisierung zu besonderen Kategorien und Strafdaten (Ziffer 2 Abs. 2). Haftung: Verweis auf die Allgemeinen Geschäftsbedingungen, Rangfolge klargestellt (Ziffer 14 Abs. 1 und 8). Anlage 1: ständige Weisung bei Plattformnutzung. Anlage 2: Azure Communication Services aufgenommen, Anschrift world4you berichtigt, Klarstellung zum Modellanbieter. Anlage 3: Gliederung in Teil A und Teil B (Auditplattform).	Gunnar Kohl
1.2	30.08.2026	Anlage 2: Die Protokollierung von Modellaufrufen darf zur Störungsbehebung vorübergehend aktiviert werden. Bedingungen: Entscheidung der Geschäftsführung, Beschränkung auf den erforderlichen Zeitraum, Dokumentation, Verbleib in eu-central-1, Zugriff nur durch die Geschäftsführung, Löschung spätestens nach 14 Tagen, Zweckbindung, Auskunft auf Anfrage.	Gunnar Kohl

Vertragsparteien

Dieser Vertrag wird geschlossen zwischen

[Firmenwortlaut]

[Straße und Hausnummer]

[PLZ, Ort, Land]

[Firmenbuchnummer und -gericht, falls vorhanden], [UID-Nummer, falls vorhanden]

vertreten durch [vertretungsbefugte Person, Funktion]

– nachstehend „Auftraggeber“ oder „Verantwortlicher“ genannt –

und

clypeus. GmbH

Rupprechterstraße 62, 5023 Salzburg, Österreich

FN 631188 v, Landesgericht Salzburg, UID ATU80898316

vertreten durch den Geschäftsführer Gunnar Kohl

office@clypeus.at, +43 676 4936665

– nachstehend „Auftragnehmer“ oder „Auftragsverarbeiter“ genannt –

– gemeinsam die „Parteien“ –

1 Präambel und Anwendungsbereich

(1) Der Auftragnehmer erbringt für den Auftraggeber auf Grundlage eines gesonderten Hauptvertrages Beratungs-, Implementierungs- und Auditleistungen im Zusammenhang mit einem Informationssicherheitsmanagementsystem nach ISO/IEC 27001:2022. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers im Sinne des Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

(2) Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien. Er gilt für alle Verarbeitungstätigkeiten, die der Auftragnehmer im Rahmen des Hauptvertrages für den Auftraggeber erbringt.

(3) Die Verarbeitung personenbezogener Daten ist nicht Hauptgegenstand der Leistung, sondern deren notwendige Begleiterscheinung. Der Auftraggeber ist gehalten, dem Auftragnehmer nur solche personenbezogenen Daten zu überlassen, die für die Leistungserbringung erforderlich sind, und Nachweise nach Möglichkeit pseudonymisiert oder anonymisiert bereitzustellen.

(4) Soweit in diesem Vertrag die Begriffe „Verarbeitung“, „personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ verwendet werden, gelten die Begriffsbestimmungen des Art. 4 DSGVO.

(5) Neben der DSGVO gilt ergänzend das österreichische Datenschutzgesetz (DSG), insbesondere das Grundrecht auf Datenschutz nach § 1 DSG und das Datengeheimnis nach § 6 DSG. Zuständige Aufsichtsbehörde im Sinne des Art. 4 Nr. 21 DSGVO ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

(6) Das österreichische Recht kennt keine gesetzlich definierte Textform. Für diesen Vertrag gilt daher: Textform ist jede lesbare, auf einem dauerhaften Datenträger abgegebene und die Person des Erklärenden nennende Erklärung, die keiner eigenhändigen Unterschrift bedarf, insbesondere E-Mail. Schriftform im Sinne des § 886 ABGB ist nur dort erforderlich, wo dieser Vertrag sie ausdrücklich anordnet.

2 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen sind in Anlage 1 abschließend festgelegt.

(2) Der Auftraggeber übermittelt dem Auftragnehmer keine personenbezogenen Daten besonderer Kategorien im Sinne des Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO. Der Auftraggeber trägt dafür Sorge, dass Nachweise vor der Übermittlung geschwärzt, aggregiert oder durch einen Nachweis ohne Personenbezug ersetzt werden. Dies betrifft insbesondere Nachweise zur Überprüfung von Beschäftigten und Bewerbern, zur Ersthelfer- und Notfallorganisation sowie zu Angelegenheiten der Belegschaftsvertretung. Als Nachweis genügt in diesen Fällen regelmäßig eine Bestätigung über die Durchführung des jeweiligen Verfahrens ohne Angabe des Ergebnisses im Einzelfall. Ist eine Übermittlung im Einzelfall unvermeidbar, ist sie zuvor in Textform anzukündigen und einvernehmlich zu regeln; der Auftragnehmer kann die Verarbeitung ablehnen, wenn die hierfür erforderlichen zusätzlichen Maßnahmen nicht mit vertretbarem Aufwand umsetzbar sind. Werden dem Auftragnehmer ohne vorherige Regelung dennoch solche Daten übermittelt, löscht er sie unverzüglich nach Kenntnis, verarbeitet sie nicht weiter und informiert den Auftraggeber. Ein Anspruch auf Auswertung solcher Nachweise besteht nicht; die betroffene Auditfrage gilt insoweit als nicht belegt.

(3) Die Verarbeitung erfolgt in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Europäischen Wirtschaftsraums. Übermittlungen in ein Drittland und Zugriffe aus einem Drittland erfolgen ausschließlich beim Vorliegen der Voraussetzungen der Art. 44 bis 49 DSGVO. Die für die Unterauftragsverarbeiter bestehenden Garantien sind in Anlage 2 ausgewiesen.

3 Rechte und Pflichten des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO und für die Wahrung der Rechte betroffener Personen.

(2) Der Auftraggeber stellt sicher, dass die dem Auftragnehmer überlassenen personenbezogenen Daten rechtmäßig erhoben wurden und dem Auftragnehmer rechtmäßig überlassen werden dürfen. Er stellt den Auftragnehmer von Ansprüchen Dritter frei, die daraus entstehen, dass diese Voraussetzung nicht vorlag, es sei denn, der Auftragnehmer hat die Rechtsverletzung zu vertreten.

(3) Der Auftraggeber ist berechtigt, ergänzende Weisungen nach Ziffer 4 zu erteilen.

(4) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer feststellt.

(5) Bestehen Meldepflichten nach Art. 33 und 34 DSGVO oder sonstige gesetzliche Meldepflichten, obliegt deren Erfüllung ausschließlich dem Auftraggeber. Der Auftragnehmer unterstützt nach Maßgabe der Ziffer 11.

4 Weisungen

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der vollständige Weisungsstand zum Zeitpunkt des Vertragsschlusses ergibt sich aus diesem Vertrag einschließlich seiner Anlagen sowie aus dem Hauptvertrag.

(2) Weisungen bedürfen zu ihrer Wirksamkeit der Textform (z. B. E-Mail). Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt und weisungsempfangsberechtigt sind ausschließlich die in Anlage 1 benannten Personen. Änderungen sind der jeweils anderen Partei in Textform mitzuteilen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis diese vom Auftraggeber bestätigt oder geändert wird. Bestätigt der Auftraggeber eine Weisung, deren Ausführung nach vertretbarer Auffassung des Auftragnehmers zu dessen Haftung nach Art. 82 DSGVO führen kann, ist der Auftragnehmer zur Aussetzung bis zur Klärung und im Übrigen zur außerordentlichen Kündigung nach Ziffer 15 Abs. 4 berechtigt.

(4) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen oder eine Änderung der vereinbarten technischen und organisatorischen Maßnahmen erfordern, führen zu einem Mehraufwand, der nach Ziffer 17 vergütet wird. Der Auftragnehmer weist auf die Vergütungspflicht vor Ausführung hin.

(5) Ist der Auftragnehmer aufgrund unionsrechtlicher oder mitgliedstaatlicher Rechtsvorschriften zu einer weitergehenden Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5 Allgemeine Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen dieses Vertrages und der erteilten Weisungen. Eine Verarbeitung zu eigenen Zwecken erfolgt nicht.

(2) Der Auftragnehmer verarbeitet die Daten des Auftraggebers logisch getrennt von Daten anderer Auftraggeber und von eigenen Daten. Eine physische Trennung ist nicht geschuldet.

(3) Der Auftragnehmer gestaltet seine internen Abläufe so, dass die im Auftrag verarbeiteten Daten im erforderlichen Maß gesichert und vor unbefugter Kenntnisnahme geschützt sind.

(4) Der Auftragnehmer hat keinen Datenschutzbeauftragten nach Art. 37 DSGVO benannt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen. Der Auftragnehmer verarbeitet personenbezogene Daten nicht als Kerntätigkeit, führt keine umfangreiche regelmäßige und systematische Überwachung betroffener Personen durch und verarbeitet keine besonderen Datenkategorien in großem Umfang. Ansprechpartner für alle Datenschutzbelange ist der Geschäftsführer, erreichbar unter office@clypeus.at. Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit, sobald ein Datenschutzbeauftragter benannt wird.

(5) Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Auftraggeber die ihn betreffenden Angaben auf Anforderung in Textform zur Verfügung.

6 Vertraulichkeit und Datengeheimnis nach § 6 DSG

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über die Beendigung der jeweiligen Tätigkeit hinaus.

(2) Der Auftragnehmer und die von ihm eingesetzten Personen unterliegen dem Datengeheimnis nach § 6 DSG. Der Auftragnehmer erfüllt insbesondere die folgenden Pflichten:

Er hält personenbezogene Daten, die ihm ausschließlich aufgrund seiner berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, geheim, soweit kein rechtlich zulässiger Grund für eine Übermittlung besteht (§ 6 Abs. 1 DSG).

Er verpflichtet seine Mitarbeiter vertraglich, personenbezogene Daten nur aufgrund ausdrücklicher Anordnung zu übermitteln und das Datengeheimnis auch nach Beendigung des Dienstverhältnisses und des Ausscheidens aus dem Unternehmen einzuhalten (§ 6 Abs. 2 DSG).

Er belehrt die eingesetzten Personen über die für sie geltenden Übermittlungsanordnungen und über die Folgen einer Verletzung des Datengeheimnisses (§ 6 Abs. 3 DSG).

Er stellt sicher, dass Mitarbeitern aus der begründeten Verweigerung der Befolgung einer Anordnung zur Datenübermittlung, die gegen das Datengeheimnis verstößt, kein Nachteil erwächst (§ 6 Abs. 4 DSG).

Er umgeht keine Aussageverweigerungsrechte des Auftraggebers und seiner Mitarbeiter (§ 6 Abs. 5 DSG).

(3) Der Auftragnehmer unterweist die eingesetzten Personen vor Aufnahme der Tätigkeit über die einschlägigen datenschutzrechtlichen Anforderungen und die Weisungsgebundenheit und wiederholt die Unterweisung in angemessenen Abständen.

(4) Die Vertraulichkeitsverpflichtungen und die Belehrungen nach § 6 Abs. 3 DSG sind dem Auftraggeber auf Anforderung in geeigneter Weise nachzuweisen. Ein Anspruch auf Vorlage der Verpflichtungserklärungen im Original oder auf Nennung der Namen einzelner Beschäftigter besteht nicht.

(5) Ergänzend gelten die Vertraulichkeitsregelungen des Hauptvertrages. Die dort vereinbarte Geheimhaltungsfrist von fünf Jahren über das Vertragsende hinaus bleibt unberührt; die Pflichten aus dem Datengeheimnis nach § 6 DSG gelten zeitlich unbegrenzt.

7 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der zum Zeitpunkt des Vertragsschlusses maßgebliche Stand ist in Anlage 3 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer ist berechtigt, sie anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen, die die Vertraulichkeit, Integrität oder Verfügbarkeit der Daten des Auftraggebers beeinträchtigen können, teilt der Auftragnehmer dem Auftraggeber vorab in Textform mit. Eine Zustimmung des Auftraggebers ist nicht erforderlich; widerspricht der Auftraggeber aus einem sachlichen datenschutzrechtlichen Grund binnen 14 Tagen, gilt Ziffer 8 Abs. 4 sinngemäß.

(3) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig sowie anlassbezogen.

(4) Der Auftraggeber hat sich vor Vertragsschluss von der Angemessenheit der in Anlage 3 beschriebenen Maßnahmen überzeugt und bestätigt deren Angemessenheit für die vertragsgegenständliche Verarbeitung.

8 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 abschließend aufgeführt und werden hiermit ausdrücklich genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Hinzuziehung eines weiteren oder Ersetzung eines bestehenden Unterauftragsverarbeiters mindestens 30 Kalendertage vor der beabsichtigten Beauftragung in Textform.

(3) Der Auftraggeber kann der Änderung binnen 14 Kalendertagen ab Zugang der Information in Textform widersprechen. Der Widerspruch ist zu begründen und nur zulässig, wenn ein sachlicher, datenschutzrechtlicher Grund vorliegt, der objektiv nachvollziehbar ist. Erfolgt kein fristgerechter, begründeter Widerspruch, gilt die Änderung als genehmigt. Auf diese Rechtsfolge weist der Auftragnehmer in seiner Mitteilung ausdrücklich hin.

(4) Widerspricht der Auftraggeber wirksam, bemühen sich die Parteien um eine einvernehmliche Lösung. Kann der Auftragnehmer die vertraglich geschuldete Leistung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Mehraufwand erbringen, ist jede Partei berechtigt, den Hauptvertrag und diesen Vertrag mit einer Frist von einem Monat zu kündigen. Bereits erbrachte Leistungen sind abzurechnen; weitergehende Ansprüche des Auftraggebers wegen der Kündigung bestehen nicht.

(5) Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus und prüft vor der Beauftragung sowie danach in angemessenen Abständen, ob diese die nach Art. 32 DSGVO erforderlichen Maßnahmen getroffen haben. Die Prüfung kann anhand von Zertifikaten, Testaten oder Selbstauskünften erfolgen und wird dokumentiert.

(6) Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der den Anforderungen des Art. 28 DSGVO genügt und diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, die dem Auftragnehmer nach diesem Vertrag obliegen. Auf Anforderung stellt der Auftragnehmer dem Auftraggeber die wesentlichen Regelungen dieser Verträge zur Verfügung; Angaben zu Preisen und sonstigen Geschäftsgeheimnissen dürfen geschwärzt werden.

(7) Der Auftragnehmer stellt dem Auftraggeber auf Anforderung in Textform eine Aufstellung der eingesetzten Unterauftragsverarbeiter mit Identität, Art der Tätigkeit und Ort der Verarbeitung zur Verfügung. Hinsichtlich der von den Unterauftragsverarbeitern ihrerseits eingesetzten weiteren Verarbeiter verweist der Auftragnehmer auf die von diesen veröffentlichten und laufend aktualisierten Verzeichnisse; eine eigene Führung dieser Verzeichnisse durch den Auftragnehmer ist nicht geschuldet. Bestehende Übermittlungen in Drittländer und die hierfür maßgeblichen Garantien nach Art. 44 ff. DSGVO werden in Anlage 2 ausgewiesen.

(8) Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Nebenleistungen Dritter, die der Auftragnehmer zur Ausübung seiner Geschäftstätigkeit in Anspruch nimmt, insbesondere Reinigungs-, Post- und Kurierdienste, reine Telekommunikationsleistungen ohne konkreten Bezug zu den Leistungen für den Auftraggeber sowie Bewachungs- und Transportleistungen. Der Auftragnehmer stellt auch hier angemessene Schutzvorkehrungen sicher. Die Wartung und Pflege von IT-Systemen, bei der ein Zugriff auf im Auftrag verarbeitete personenbezogene Daten nicht ausgeschlossen werden kann, gilt als Unterauftragsverarbeitung.

9 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO nachzukommen.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser den Antrag unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst. Der Auftragnehmer ist berechtigt, die betroffene Person darauf hinzuweisen, dass der Auftraggeber Verantwortlicher ist, und ihr dessen Kontaktdaten mitzuteilen.

(3) Berichtigungen, Löschungen und Einschränkungen der Verarbeitung nimmt der Auftragnehmer ausschließlich auf Weisung des Auftraggebers vor.

(4) Der Aufwand für Unterstützungsleistungen nach dieser Ziffer wird nach Ziffer 17 vergütet, es sei denn, der Antrag der betroffenen Person beruht auf einem Umstand, den der Auftragnehmer zu vertreten hat.

10 Weitere Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.

(2) Der Auftragnehmer stellt dem Auftraggeber auf Anforderung die Angaben zur Verfügung, die dieser für sein Verzeichnis von Verarbeitungstätigkeiten hinsichtlich der vertragsgegenständlichen Verarbeitung benötigt.

(3) Wird eine Aufsichtsbehörde nach Art. 58 DSGVO gegenüber dem Auftragnehmer tätig und kann dies auch die für den Auftraggeber erbrachte Verarbeitung betreffen, informiert der Auftragnehmer den Auftraggeber unverzüglich, soweit dies rechtlich zulässig ist.

(4) Für den Aufwand gilt Ziffer 17.

11 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Auftraggebers verarbeitet werden, unverzüglich nach Feststellung (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit dem Auftragnehmer zum Zeitpunkt der Meldung bekannt und verfügbar:

eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Kategorien und der ungefähren Zahl der betroffenen Datensätze;

den Namen und die Kontaktdaten der für Rückfragen zuständigen Stelle beim Auftragnehmer;

eine Beschreibung der wahrscheinlichen Folgen der Verletzung;

eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur Abmilderung ihrer nachteiligen Auswirkungen.

(3) Sind zum Zeitpunkt der Meldung nicht alle Angaben verfügbar, erfolgt eine vorläufige Meldung; die weiteren Angaben werden schrittweise nachgereicht, sobald sie vorliegen. Die Meldung an den Auftraggeber stellt kein Anerkenntnis eines Verschuldens oder einer Haftung des Auftragnehmers dar.

(4) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen ausschließlich dem Auftraggeber. Der Auftragnehmer nimmt eine solche Meldung nicht selbst vor, es sei denn, er ist hierzu gesetzlich verpflichtet oder vom Auftraggeber ausdrücklich angewiesen.

(5) Der Aufwand für Unterstützungsleistungen nach dieser Ziffer wird nach Ziffer 17 vergütet, es sei denn, die Verletzung beruht auf einem Umstand, den der Auftragnehmer zu vertreten hat.

12 Nachweise und Kontrollrechte

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt vorrangig durch:

die Vorlage der jeweils aktuellen Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 3);

eine vom Auftragnehmer ausgefüllte Selbstauskunft oder einen ausgefüllten Prüffragebogen des Auftraggebers;

geeignete Zertifikate, Testate oder Berichte unabhängiger Stellen, insbesondere ein Zertifikat nach ISO/IEC 27001, sofern vorhanden;

die Vorlage von Nachweisen über die Kontrolle der Unterauftragsverarbeiter nach Ziffer 8 Abs. 5;

die Aufstellung der gesamten Verarbeitungskette nach Ziffer 8 Abs. 7.

(3) Genügen die Nachweise nach Absatz 2 im Einzelfall nicht, ist der Auftraggeber berechtigt, eine Überprüfung in den Geschäftsräumen des Auftragnehmers durchzuführen. Hierfür gilt:

Die Überprüfung ist mit einer Frist von mindestens 30 Kalendertagen in Textform anzukündigen und findet zu den üblichen Geschäftszeiten statt.

Sie erfolgt höchstens einmal je Kalenderjahr; darüber hinaus nur anlassbezogen, wenn konkrete Anhaltspunkte für einen Verstoß des Auftragnehmers vorliegen oder eine Aufsichtsbehörde dies gegenüber dem Auftraggeber anordnet.

Die Überprüfung ist auf das erforderliche Maß zu beschränken und darf den Geschäftsbetrieb des Auftragnehmers nicht unverhältnismäßig stören.

Der Auftraggeber setzt keine Personen ein, die mit dem Auftragnehmer im Wettbewerb stehen. Alle Prüfpersonen sind vor der Prüfung zur Verschwiegenheit zu verpflichten.

Schutzrechte Dritter, Geschäftsgeheimnisse sowie Daten anderer Auftraggeber des Auftragnehmers sind zu wahren; insoweit besteht kein Einsichtsrecht.

Der Auftraggeber trägt die Kosten der Überprüfung selbst. Der Aufwand des Auftragnehmers wird ab einer Dauer von vier Stunden je Kalenderjahr nach Ziffer 17 vergütet; das gilt nicht, wenn die Überprüfung einen vom Auftragnehmer zu vertretenden Verstoß bestätigt.

(4) Der Auftragnehmer ermöglicht der zuständigen Aufsichtsbehörde, für ihn der Österreichischen Datenschutzbehörde, die Ausübung ihrer Befugnisse nach Art. 58 DSGVO und erteilt die erforderlichen Auskünfte. Der Auftraggeber wird über entsprechende Maßnahmen informiert, soweit dies rechtlich zulässig ist.

13 Mobiles Arbeiten und Verarbeitung außerhalb der Geschäftsräume

(1) Der Auftraggeber stimmt zu, dass der Auftragnehmer und die von ihm eingesetzten Personen personenbezogene Daten auch außerhalb der Geschäftsräume des Auftragnehmers verarbeiten, insbesondere im mobilen Arbeiten und in Privatwohnungen. Eine gesonderte Zustimmung im Einzelfall ist nicht erforderlich. Diese Regelung trägt dem Umstand Rechnung, dass die Leistungserbringung typischerweise beim Auftraggeber vor Ort, auf Reisen und ortsunabhängig erfolgt.

(2) Der Auftragnehmer stellt sicher, dass die nach Anlage 3 vereinbarten technischen und organisatorischen Maßnahmen auch außerhalb der Geschäftsräume eingehalten werden. Ein darüber hinausgehender Maßnahmenkatalog wird nicht vereinbart.

(3) Kontrollmaßnahmen des Auftraggebers erfolgen zur Wahrung der Persönlichkeitsrechte der eingesetzten Personen und der weiteren im jeweiligen Haushalt lebenden Personen ausschließlich mittelbar über die Nachweise nach Ziffer 12 Abs. 2. Ein Zutrittsrecht zu Privatwohnungen besteht nicht.

(4) Für Unterauftragsverarbeiter gelten die Absätze 1 bis 3 sinngemäß.

14 Haftung

(1) Für Schäden, die dem Auftraggeber aus einer Verletzung dieses Vertrages entstehen, haftet der Auftragnehmer nur bei Vorsatz und grober Fahrlässigkeit. Die Haftung für leichte Fahrlässigkeit ist ausgeschlossen. Diese Beschränkung gilt nicht für Personenschäden, für Schäden aus der Verletzung von Leben, Körper oder Gesundheit und für Ansprüche nach dem Produkthaftungsgesetz (PHG). Diese Regelung entspricht den Haftungsbestimmungen der Allgemeinen Geschäftsbedingungen des Auftragnehmers; maßgeblich sind diese in der bei Vertragsschluss geltenden Fassung.

(2) Die Haftung des Auftragnehmers ist der Höhe nach auf das Nettoentgelt begrenzt, das der Auftraggeber in den zwölf Monaten vor dem schadensauslösenden Ereignis für die Leistungen nach dem Hauptvertrag gezahlt hat. Die Haftung für entgangenen Gewinn, für mittelbare Schäden, für Folgeschäden und für Schäden aus dem Verlust von Daten, deren Wiederherstellung aus vom Auftraggeber vorzuhaltenden Sicherungen möglich ist, ist ausgeschlossen. Absatz 1 Satz 3 bleibt unberührt.

(3) Der Auftraggeber hat den Eintritt des Schadens, dessen Höhe und den ursächlichen Zusammenhang mit einer Pflichtverletzung des Auftragnehmers zu beweisen. Die Verschuldensvermutung des § 1298 ABGB bleibt unberührt.

(4) Schadenersatzansprüche des Auftraggebers aus diesem Vertrag sind bei sonstigem Verfall binnen zwölf Monaten ab Kenntnis von Schaden und Schädiger gerichtlich geltend zu machen. Die Verjährungsbestimmungen der §§ 1489 ff. ABGB bleiben im Übrigen unberührt.

(5) Die unmittelbare Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt von den vorstehenden Absätzen unberührt; sie kann vertraglich nicht beschränkt werden. Im Innenverhältnis der Parteien richtet sich der Ausgleich nach Art. 82 Abs. 5 DSGVO nach dem jeweiligen Verantwortungsanteil; im Übrigen gelten die Absätze 1 bis 4.

(6) Geldbußen, die gegen eine Partei nach Art. 83 DSGVO verhängt werden, trägt diese selbst. Ein Ausgleichsanspruch besteht nur, soweit die Geldbuße nachweislich auf einer schuldhaften Pflichtverletzung der anderen Partei beruht und die verhängende Behörde oder das Gericht dies festgestellt hat.

(7) Der Auftragnehmer haftet nicht für Schäden, die darauf beruhen, dass er eine Weisung des Auftraggebers befolgt hat, sofern er auf eine mögliche Rechtswidrigkeit nach Ziffer 4 Abs. 3 hingewiesen hat oder die Rechtswidrigkeit für ihn nicht erkennbar war.

(8) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen des Auftragnehmers gehen hinsichtlich der Haftung die Allgemeinen Geschäftsbedingungen vor. Im Übrigen geht dieser Vertrag vor, soweit er datenschutzrechtliche Pflichten regelt.

15 Laufzeit und Kündigung

(1) Dieser Vertrag kommt wahlweise zustande durch Unterzeichnung durch beide Parteien oder im elektronischen Verfahren nach Ziffer 15a, sofern der Auftraggeber Leistungen über die Auditplattform des Auftragnehmers in Anspruch nimmt. Art. 28 Abs. 9 DSGVO bleibt unberührt.

(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrages. Der Vertrag endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Regelungen der Ziffern 6 und 16 gelten über das Vertragsende hinaus fort.

(3) Eine isolierte ordentliche Kündigung dieses Vertrages ohne gleichzeitige Kündigung des Hauptvertrages ist ausgeschlossen, da die Verarbeitung untrennbar mit der Leistungserbringung verbunden ist.

(4) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt beiden Parteien vorbehalten. Ein wichtiger Grund liegt für den Auftraggeber insbesondere vor, wenn der Auftragnehmer schwerwiegend gegen Datenschutzvorschriften oder gegen wesentliche Pflichten aus diesem Vertrag verstößt, eine Weisung trotz Aufforderung nicht ausführt oder eine berechtigte Überprüfung nach Ziffer 12 vertragswidrig verweigert. Für den Auftragnehmer liegt ein wichtiger Grund insbesondere in den Fällen der Ziffer 4 Abs. 3 und der Ziffer 8 Abs. 4 vor. Der Kündigung hat eine Abmahnung mit angemessener Abhilfefrist von mindestens 14 Kalendertagen vorauszugehen, sofern die Abhilfe möglich und dem kündigenden Teil ein Zuwarten zumutbar ist.

15a Elektronischer Vertragsschluss über die Auditplattform

(1) Nutzt der Auftraggeber die Auditplattform des Auftragnehmers unter audit.clypeus.at, kommt dieser Vertrag im Registrierungsvorgang zustande. Der Auftraggeber stimmt der jeweils vorgelegten Fassung durch eine gesonderte, ausdrückliche Handlung zu; die Zustimmung ist getrennt von der Zustimmung zu anderen Bedingungen zu erklären.

(2) Der Auftragnehmer speichert revisionssicher, welche Fassung dieses Vertrages der Auftraggeber zu welchem Zeitpunkt angenommen hat. Die angenommene Fassung wird dem Auftraggeber im Kundenkonto dauerhaft zum Abruf und zum Herunterladen bereitgestellt. Die Textform nach Ziffer 1 Abs. 6 ist damit gewahrt.

(3) Die Angaben zum Auftraggeber nach dem Rubrum ergeben sich aus den bei der Registrierung erhobenen Daten, insbesondere Firmenwortlaut, Anschrift, Firmenbuchnummer, Umsatzsteuer-Identifikationsnummer und vertretungsbefugte Person. Der Auftraggeber hält diese Angaben aktuell.

(4) Weisungsberechtigt nach Ziffer 4 sind die im Kundenkonto hinterlegten administrativen Benutzer des Auftraggebers. Die Angaben in Anlage 2 zu den weisungsberechtigten Personen des Auftraggebers werden insoweit durch die Angaben im Kundenkonto ersetzt.

(5) Der Auftragnehmer kann diesen Vertrag ändern, soweit dies aufgrund geänderter Rechtslage, Rechtsprechung, behördlicher Vorgaben oder geänderter technischer Verhältnisse erforderlich ist. Die geänderte Fassung wird dem Auftraggeber mindestens 30 Kalendertage vor Inkrafttreten in Textform mitgeteilt. Der Auftraggeber stimmt der neuen Fassung bei der nächsten Anmeldung ausdrücklich zu. Stimmt er nicht zu, kann jede Partei den Vertrag zum Zeitpunkt des Inkrafttretens der neuen Fassung beenden.

(6) Der wirksame Abschluss dieses Vertrages ist Voraussetzung für die Freischaltung des Kundenkontos. Ohne wirksamen Vertragsschluss werden keine Nachweise verarbeitet.

16 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück. Die Wahl ist dem Auftragnehmer spätestens einen Monat nach Beendigung in Textform mitzuteilen; erfolgt keine Mitteilung, löscht der Auftragnehmer die Daten.

(2) Die Löschung erfolgt spätestens sechs Monate nach Abschluss des jeweiligen Auditdurchlaufs bzw. nach Abschluss des Projekts. Diese Frist dient der Beantwortung von Rückfragen des Auftraggebers, der Zertifizierungsstelle und der Aufsichtsbehörden im Nachgang zum Audit sowie der Nachweisführung des Auftragnehmers während des laufenden Zertifizierungszyklus.

(3) Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, insbesondere nach § 132 BAO und § 212 UGB. Die Frist beträgt sieben Jahre und beginnt mit dem Schluss des Kalenderjahres, für das die Aufzeichnung vorgenommen wurde oder auf das sich der Beleg bezieht. Sie verlängert sich, solange die Unterlagen für ein anhängiges Abgaben- oder Gerichtsverfahren von Bedeutung sind. Diese Daten werden bis zum Ablauf der Aufbewahrungsfrist ausschließlich zum Zweck der Erfüllung der jeweiligen Pflicht verarbeitet, in der Verarbeitung nach Art. 18 DSGVO eingeschränkt und danach unverzüglich gelöscht.

(4) In Datensicherungen enthaltene Daten werden im Rahmen der regulären Sicherungszyklen überschrieben. Eine gezielte Löschung aus Datensicherungen ist technisch nicht geschuldet; die Daten unterliegen bis zum Überschreiben einer Verarbeitungseinschränkung. Der maßgebliche Sicherungszyklus ist in Anlage 3 beschrieben.

(5) Papierunterlagen mit personenbezogenen Daten werden mindestens nach Sicherheitsstufe P-4 der ÖNORM EN ISO/IEC 21964 vernichtet; Datenträger werden mindestens nach der jeweils entsprechenden Stufe derselben Norm vernichtet oder nach dem Stand der Technik sicher gelöscht.

(6) Der Auftragnehmer bestätigt die Löschung auf Anforderung des Auftraggebers in Textform. Eine über die Bestätigung hinausgehende Dokumentation, insbesondere ein Löschprotokoll je Datensatz, ist nicht geschuldet.

17 Vergütung von Mitwirkungsleistungen

(1) Die Erfüllung der gesetzlichen Grundpflichten des Auftragnehmers nach Art. 28 DSGVO ist mit der Vergütung nach dem Hauptvertrag abgegolten.

(2) Darüber hinausgehende Leistungen, insbesondere nach Ziffer 4 Abs. 4, Ziffer 9 Abs. 4, Ziffer 10 Abs. 4, Ziffer 11 Abs. 5 und Ziffer 12 Abs. 3, werden nach Aufwand vergütet. Es gilt der Tagsatz nach den Allgemeinen Geschäftsbedingungen des Auftragnehmers in Höhe von derzeit EUR 1.400,00 netto je Beratertag zu acht Stunden; angefangene Stunden werden anteilig in Viertelstunden verrechnet.

(3) Der Auftragnehmer weist den Auftraggeber vor Ausführung auf die Vergütungspflicht hin und erbringt die Leistung erst nach Freigabe in Textform, sofern nicht Gefahr im Verzug besteht.

(4) Keine Vergütungspflicht besteht, soweit die Mitwirkungsleistung auf einem Umstand beruht, den der Auftragnehmer zu vertreten hat.

(5) Das Zahlungsziel beträgt 14 Tage ab Rechnungserhalt. Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen nach § 456 UGB sowie der Anspruch auf Ersatz der Betreibungskosten nach § 458 UGB.

18 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses. Ausgenommen sind Weisungen nach Ziffer 4 und Mitteilungen nach Ziffer 7 Abs. 2 und Ziffer 8 Abs. 2.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag einschließlich der Allgemeinen Geschäftsbedingungen des Auftragnehmers gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrages vor. Im Übrigen gilt der Hauptvertrag. Allgemeine Geschäftsbedingungen des Auftraggebers finden keine Anwendung, auch wenn ihnen nicht ausdrücklich widersprochen wurde.

(3) Ein Zurückbehaltungsrecht nach § 471 ABGB und ein kaufmännisches Zurückbehaltungsrecht nach § 369 UGB an den im Auftrag verarbeiteten personenbezogenen Daten und den zugehörigen Datenträgern sind ausgeschlossen. Zurückbehaltungsrechte an eigenen Arbeitsergebnissen des Auftragnehmers, die keine personenbezogenen Daten des Auftraggebers enthalten, sowie an Lizenzgegenständen bleiben unberührt.

(4) Wird das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter, ein Insolvenzverfahren oder sonstige Ereignisse gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich und weist die Gläubiger darauf hin, dass es sich um im Auftrag verarbeitete Daten handelt.

(5) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt jene wirksame Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt; die Parteien vereinbaren insoweit ausdrücklich die geltungserhaltende Reduktion.

(6) Dieser Vertrag wird nach österreichischem Recht geschlossen. Es gilt materielles österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts, insbesondere der Rom I-Verordnung, sowie unter Ausschluss des UN-Kaufrechts. Die unmittelbar anwendbaren Bestimmungen der DSGVO und die zwingenden Bestimmungen des DSG bleiben unberührt.

(7) Für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag, einschließlich der Frage seines gültigen Zustandekommens, wird gemäß § 104 JN die ausschließliche Zuständigkeit des sachlich zuständigen Gerichts in 5020 Salzburg, Österreich, vereinbart. Unberührt bleiben die zwingenden Gerichtsstände, insbesondere das Wahlrecht betroffener Personen nach Art. 79 Abs. 2 DSGVO und die Zuständigkeit der Landesgerichte nach § 29 DSG.

(8) Dieser Vertrag kann auch elektronisch unterzeichnet werden. Die Unterzeichnung mittels qualifizierter elektronischer Signatur im Sinne der Verordnung (EU) Nr. 910/2014 (eIDAS-VO), insbesondere mittels ID Austria, ist der eigenhändigen Unterschrift gleichgestellt und erfüllt das Schriftformerfordernis des Art. 28 Abs. 9 DSGVO.

(9) Bestandteil dieses Vertrages sind die Anlagen 1 bis 3. Bei Widersprüchen zwischen dem Vertragstext und einer Anlage geht der Vertragstext vor, mit Ausnahme der Anlage 3, die für die technischen und organisatorischen Maßnahmen abschließend maßgeblich ist.

Für den Auftraggeber: [Firmenwortlaut], vertreten durch [vertretungsbefugte Person, Funktion]

Für den Auftragnehmer: clypeus. GmbH, vertreten durch Gunnar Kohl, Geschäftsführer

Bei Abschluss im elektronischen Verfahren nach Ziffer 15a tritt an die Stelle der Unterschriften die im Kundenkonto gespeicherte Zustimmung des Auftraggebers unter Angabe der angenommenen Fassung und des Zeitpunkts der Annahme.

Anlage 1 – Gegenstand und Umfang der Verarbeitung

1 Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Erbringung von Beratungs-, Implementierungs- und Auditleistungen zur Einführung, Aufrechterhaltung und Verbesserung eines Informationssicherheitsmanagementsystems nach ISO/IEC 27001:2022. Dies umfasst insbesondere:

Anpassung und Erstellung der ISMS-Dokumentation (Richtlinien, Managementhandbuch, Anwendbarkeitserklärung, Risiko- und Chancenanalyse);

Durchführung von Interviews, Begehungen und Stichproben zur Erhebung des Ist-Zustands;

Durchführung interner Audits nach Kapitel 9.2 sowie Vorbereitung der Managementbewertung;

Begleitung des Zertifizierungsaudits (Stufe 1 und 2) und Koordination mit der Zertifizierungsstelle;

Bereitstellung und Betrieb der Auditplattform zur Erfassung von Nachweisen und Feststellungen;

projektbegleitende Kommunikation, Terminvereinbarung und Berichtswesen.

2 Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen nach Ziffer 1, insbesondere zur Nachweisführung gegenüber dem Auftraggeber, der internen Auditfunktion und der Zertifizierungsstelle. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers, insbesondere zu Werbe-, Analyse- oder Trainingszwecken für KI-Modelle, findet nicht statt.

3 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die in Anlage 2 genannten Unterauftragsverarbeiter, Abgleichen, Einschränken, Löschen und Vernichten.

4 Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages. Nach dessen Beendigung gilt Ziffer 16 des Vertrages; die Löschung erfolgt spätestens sechs Monate nach Abschluss des jeweiligen Auditdurchlaufs bzw. des Projekts, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

5 Art der personenbezogenen Daten

Regelmäßig Gegenstand der Verarbeitung sind:

Datenkategorie	Konkrete Datenfelder
Kontakt- und Stammdaten	Vor- und Nachname, dienstliche E-Mail-Adresse, dienstliche Telefonnummer, Organisationseinheit, Funktion und Rolle im ISMS, Vorgesetzte
Projekt- und Kommunikationsdaten	E-Mail-Korrespondenz, Terminvereinbarungen, Teilnahmelisten, Gesprächs- und Interviewnotizen, Aufgabenzuordnungen, Kommentare in Arbeitsdokumenten
Auditnachweise	Auditfeststellungen mit Personenbezug, Stichprobenergebnisse, Schulungs- und Unterweisungsnachweise, Verpflichtungserklärungen, Berechtigungs- und Rollenlisten, Onboarding-/Offboarding-Nachweise, Screenshots aus Systemen des Auftraggebers
Protokoll- und Metadaten	Benutzerkennungen, Zeitstempel, Zugriffs- und Änderungsprotokolle der eingesetzten Systeme
Nicht Gegenstand	Besondere Kategorien nach Art. 9 DSGVO, Daten nach Art. 10 DSGVO, Gesundheits- und Leistungsdaten, Gehalts- und Sozialdaten. Vgl. Ziffer 2 Abs. 2 des Vertrages.

6 Kategorien betroffener Personen

Beschäftigte des Auftraggebers, insbesondere Führungskräfte, IT-Verantwortliche, Informationssicherheitsbeauftragte, Datenschutzbeauftragte, Prozess- und Werteeigner;

Organe und Geschäftsführung des Auftraggebers;

Ansprechpartner externer Dienstleister und Lieferanten des Auftraggebers, soweit sie im Rahmen der Lieferantensteuerung nach A.5.19 bis A.5.22 auditiert werden;

Bewerber und ausgeschiedene Beschäftigte, soweit sie in Stichproben zu Onboarding- und Offboarding-Prozessen enthalten sind;

Kunden und sonstige Geschäftspartner des Auftraggebers, soweit sie in Stichproben aus dessen Systemen enthalten sind.

7 Weisungsberechtigte Personen des Auftraggebers

Name	Funktion	E-Mail	Telefon
[Name]	[Funktion]	[dienstliche E-Mail-Adresse]	[dienstliche Telefonnummer]
[Name, falls eine zweite Person benannt wird]	[Funktion]	[dienstliche E-Mail-Adresse]	[dienstliche Telefonnummer]

8 Weisungsempfangsberechtigte Personen des Auftragnehmers

Name	Funktion	E-Mail	Telefon
Gunnar Kohl	Geschäftsführer	office@clypeus.at	+43 676 4936665

9 Ständige Weisung bei Nutzung der Auditplattform

Mit dem Hochladen eines Nachweises in einen Auditdurchlauf auf der Auditplattform erteilt der Auftraggeber die Weisung, diesen Nachweis zum Zweck der Durchführung des jeweiligen internen Audits zu verarbeiten, einschließlich der KI-gestützten Auswertung und der Prüfung und Freigabe durch eine qualifizierte Person des Auftragnehmers. Diese Weisung gilt als in Textform dokumentiert im Sinne der Ziffer 4 Abs. 2. Sie endet mit Abschluss des Auditdurchlaufs; die Löschfrist nach Ziffer 16 Abs. 2 bleibt unberührt.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Der Auftraggeber genehmigt gemäß Ziffer 8 Abs. 1 des Vertrages den Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Alle Verarbeitungen finden innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Die Angaben zu den von den Unterauftragsverarbeitern ihrerseits eingesetzten Verarbeitern beruhen auf den von diesen veröffentlichten Verzeichnissen; es gilt Ziffer 8 Abs. 7.

UAV 1 – Microsoft Ireland Operations Limited
Rechtsform / Sitz	Limited Company, Irland
Anschrift	One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland (Vertragspartner für Microsoft 365 und Azure-Dienste; maßgeblich ist die im jeweiligen Vertragswerk ausgewiesene Microsoft-Gesellschaft)
Art der Leistung	Bereitstellung von Microsoft 365: Exchange Online (E-Mail), SharePoint Online und OneDrive (Dokumentenablage), Microsoft Teams (Besprechungen, Chat), Microsoft Forms (Erhebungen), Microsoft Bookings (Terminvereinbarung). Ferner Azure Communication Services (Email) zum Versand anlassbezogener Systemnachrichten der Auditplattform; verarbeitet werden dabei Empfängeradresse, Betreff, Inhalt der Systemnachricht und Zustellstatus.
Verarbeitete Daten	Sämtliche in Anlage 1 Ziffer 5 genannten Datenkategorien, soweit sie per E-Mail übermittelt, in der Dokumentenablage gespeichert oder in Besprechungen erörtert werden
Verarbeitungsort	Rechenzentren innerhalb der EU; Microsoft EU Data Boundary aktiviert. Für Azure Communication Services: Datenstandort Deutschland (Germany West Central).
Garantien	Microsoft Products and Services Data Protection Addendum (DPA) einschließlich EU-Standardvertragsklauseln für etwaige Support- und Fernzugriffe; ISO/IEC 27001, ISO/IEC 27018, SOC 2 Type II
Unter-UAV	Microsoft führt eine öffentliche Liste eigener Unterauftragsverarbeiter; diese ist dem Auftraggeber auf Anforderung nach Ziffer 8 Abs. 7 zugänglich zu machen.

UAV 2 – Amazon Web Services EMEA SARL
Rechtsform / Sitz	Société à responsabilité limitée, RCS Luxembourg B186284
Anschrift	38 Avenue John F. Kennedy, L-1855 Luxemburg
Art der Leistung	Amazon Bedrock – Bereitstellung generativer KI-Modelle zur Unterstützung bei der Erstellung, Prüfung und Auswertung von ISMS-Dokumenten und Auditnachweisen
Verarbeitete Daten	Inhalte, die zur Verarbeitung an das Modell übergeben werden (Eingaben und Ausgaben), einschließlich darin enthaltener personenbezogener Daten nach Anlage 1 Ziffer 5
Verarbeitungsort	Region eu-central-1 (Frankfurt am Main, Deutschland). Der Auftragnehmer stellt durch Konfiguration sicher, dass Anfragen nicht in andere Regionen geroutet werden (kein regionenübergreifendes Inferenz-Routing).
Garantien	AWS Data Processing Addendum (Bestandteil des AWS Customer Agreement) einschließlich EU-Standardvertragsklauseln; ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1/2/3, C5-Testat des BSI
Unter-UAV	Amazon Web Services, Inc. und verbundene Unternehmen nach Maßgabe der von AWS geführten Subprocessor-Liste; diese ist dem Auftraggeber auf Anforderung nach Ziffer 8 Abs. 7 zugänglich zu machen.
Besonderheiten	Eingaben und Ausgaben werden nach den vertraglichen Zusicherungen von AWS nicht zum Training oder zur Verbesserung der Basismodelle verwendet und nicht an Modellanbieter weitergegeben. Der Anbieter des eingesetzten Sprachmodells erhält im Rahmen von Amazon Bedrock keinen Zugriff auf die verarbeiteten Inhalte und ist daher nicht Unterauftragsverarbeiter. Die Protokollierung von Modellaufrufen (model invocation logging) ist im Regelbetrieb deaktiviert; Inhalte von Ein- und Ausgaben werden nicht gespeichert. Die Nachvollziehbarkeit der Aufrufe erfolgt über AWS CloudTrail ohne Inhaltsdaten. Zur Eingrenzung und Behebung einer Störung der KI-gestützten Auswertung kann der Auftragnehmer die Protokollierung vorübergehend aktivieren. Dies ist nur unter den folgenden Bedingungen zulässig: Die Aktivierung erfolgt durch die Geschäftsführung, ist auf den zur Fehlerbehebung erforderlichen Zeitraum beschränkt und wird mit Anlass, Zeitpunkt, Dauer und betroffenen Auditdurchläufen dokumentiert. Die Protokolle verbleiben in der Region eu-central-1, sind ausschließlich der Geschäftsführung zugänglich und werden unverzüglich nach Abschluss der Fehlerbehebung, spätestens jedoch nach 14 Tagen, gelöscht. Eine Verwendung zu anderen Zwecken, insbesondere zur Auswertung oder zum Training von Modellen, findet nicht statt. Der Auftragnehmer erteilt dem Auftraggeber auf Anfrage Auskunft darüber, ob Auditdurchläufe des Auftraggebers von einer solchen Aktivierung betroffen waren.

UAV 3 – World4You Internet Services GmbH
Rechtsform / Sitz	Gesellschaft mit beschränkter Haftung, FN 232485s, Landesgericht Linz
Anschrift	Wolfgang-Pauli-Straße 2/BT3/2/2.OIG, 4020 Linz, Österreich
Art der Leistung	Webhosting der Domain clypeus.at einschließlich der Subdomain audit.clypeus.at (Auditplattform), Speicherung der Serverprotokolle, Betrieb der Kontakt- und Formularfunktionen
Verarbeitete Daten	Über die Website und die Auditplattform übermittelte Daten, Serverprotokolle (IP-Adresse, Zeitstempel, aufgerufene Ressource), in der Auditplattform gespeicherte Nachweise und Feststellungen
Verarbeitungsort	Rechenzentrum innerhalb der EU (Deutschland)
Garantien	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit World4You
Unter-UAV	IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland (Infrastruktur- und Rechenzentrumsleistungen)

UAV 4 – Stripe Payments Europe, Limited
Rechtsform / Sitz	Private Company Limited by Shares, Irland
Anschrift	The One Building, 1 Grand Canal Street Lower, Dublin 2, D02 H210, Irland
Art der Leistung	Abwicklung von Zahlungen im Zusammenhang mit den Leistungen nach dem Hauptvertrag
Verarbeitete Daten	Name und Kontaktdaten der zahlungsauslösenden Person, Rechnungs- und Transaktionsdaten, Zahlungsmittelangaben
Verarbeitungsort	EU/EWR; Übermittlungen an Stripe, Inc. (USA) auf Grundlage der EU-Standardvertragsklauseln und ergänzender Maßnahmen
Garantien	Stripe Data Processing Agreement einschließlich EU-Standardvertragsklauseln; PCI-DSS Level 1
Unter-UAV	Stripe, Inc. (USA) und weitere Konzerngesellschaften nach Maßgabe der von Stripe geführten Subprocessor-Liste.
Rollenabgrenzung	Stripe verarbeitet Zahlungsdaten teilweise als eigenständig Verantwortlicher, soweit eigene gesetzliche Pflichten als Zahlungsdienstleister bestehen (Zahlungsdienstegesetz, Geldwäscheprävention, Betrugsprävention). Insoweit liegt keine Auftragsverarbeitung, sondern eine Übermittlung an einen eigenen Verantwortlichen vor. Die Aufführung an dieser Stelle erfolgt zu Transparenzzwecken.

Anlage 3 – Technische und organisatorische Maßnahmen

Teil A – Beratungs- und Auditleistungen außerhalb der Plattform

Der Auftragnehmer trifft die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen zur Datensicherheit im Sinne des Art. 32 DSGVO. Die Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten natürlicher Personen.

Der Auftragnehmer ist ein Kleinstunternehmen ohne eigenen Serverbetrieb. Die Verarbeitung erfolgt auf verwalteten Endgeräten und in den in Anlage 2 genannten Cloud-Diensten. Angaben zur physischen Sicherheit von Rechenzentren beziehen sich daher auf die Zusicherungen und Zertifizierungen der jeweiligen Unterauftragsverarbeiter.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Zutrittskontrolle	Geschäftsräume am Firmensitz Rupprechterstraße 62, 5023 Salzburg: versperrbare Räumlichkeiten, Zutritt ausschließlich für den Geschäftsführer; weitere Personen haben keinen Zutritt.Besucher werden ausschließlich in Begleitung empfangen; Arbeitsplätze sind während des Besuchs geräumt (Clear Desk).Unterlagen mit Personenbezug werden in versperrbaren Schränken aufbewahrt.Rechenzentren: kein eigener Betrieb. Physische Sicherheit wird durch die Zertifizierungen der Unterauftragsverarbeiter nachgewiesen (ISO/IEC 27001, SOC 2, C5).Beim Auftraggeber vor Ort gelten dessen Zutrittsregelungen.
Zugangskontrolle	Zugang zu Systemen ausschließlich über personalisierte Benutzerkonten; gemeinsam genutzte Konten bestehen nicht.Mehr-Faktor-Authentifizierung ist für alle Microsoft-365-Konten und für den Zugang zur AWS-Konsole verpflichtend aktiviert.Passwortrichtlinie: mindestens 14 Zeichen, technisch erzwungen über Microsoft Entra ID; kein turnusmäßiger Wechselzwang, dafür Sperrung kompromittierter Kennwörter über Entra Password Protection.Kennwörter werden ausschließlich in einem Passwortmanager verwaltet (Apple Passwörter/Schlüsselbund, geräteseitig verschlüsselt, Entsperrung biometrisch oder über Gerätecode).Alle Endgeräte sind vollverschlüsselt (BitLocker bzw. FileVault) und mit automatischer Bildschirmsperre nach kurzer Inaktivität konfiguriert.Mobile Datenträger werden nur verschlüsselt eingesetzt; der Einsatz privater Datenträger ist untersagt.Schutz vor Schadsoftware durch Microsoft Defender mit automatischer Aktualisierung; Betriebssystem- und Anwendungsupdates werden zentral gesteuert.Anmeldevorgänge werden im einheitlichen Überwachungsprotokoll von Microsoft 365 protokolliert.Externe Schnittstellen: Wechseldatenträger werden nicht eingesetzt. Kundendaten werden ausschließlich in den freigegebenen Cloud-Diensten verarbeitet und nicht auf USB-Massenspeicher kopiert
Zugriffskontrolle	Berechtigungen werden nach dem Prinzip der geringsten Rechte und ausschließlich rollenbasiert vergeben.Je Auftraggeber besteht eine getrennte Ablagestruktur in SharePoint Online mit eigenem Berechtigungssatz.Die Anzahl administrativer Konten ist auf das Notwendigste beschränkt; administrative Tätigkeiten erfolgen über ein gesondertes Administratorkonto.Berechtigungen werden in angemessenen Abständen sowie bei jeder Rollenänderung überprüft und dokumentiert.Beim Ausscheiden von Beschäftigten werden sämtliche Berechtigungen am letzten Arbeitstag entzogen und Geräte eingezogen.Zugriffe auf Postfächer, Dokumentenablagen und die AWS-Umgebung werden protokolliert (Microsoft Purview Audit, AWS CloudTrail).Datenträger werden vor Aussonderung sicher gelöscht bzw. physisch vernichtet; Papierunterlagen mindestens nach Sicherheitsstufe P-4 der ÖNORM EN ISO/IEC 21964. Die Vernichtung durch Dritte erfolgt nur gegen Nachweis.
Trennungskontrolle	Daten verschiedener Auftraggeber werden in getrennten Bibliotheken bzw. Teamstrukturen abgelegt; ein übergreifender Zugriff ist technisch ausgeschlossen.Daten des Auftragnehmers und Auftragsdaten werden getrennt abgelegt.Test- und Demonstrationsumgebungen enthalten ausschließlich anonymisierte oder synthetische Daten.Eine Zweckänderung findet nicht statt; Verarbeitungen erfolgen ausschließlich im Rahmen des jeweiligen Auftrags.
Pseudonymisierung und Verschlüsselung	Auditfeststellungen werden nach Möglichkeit ohne Personenbezug oder mit Rollen- statt Namensbezug dokumentiert.Transportverschlüsselung: TLS 1.2 oder höher für sämtliche Verbindungen.Speicherverschlüsselung: Verschlüsselung ruhender Daten in Microsoft 365 und AWS sowie auf allen Endgeräten.Der Versand personenbezogener Nachweise per E-Mail erfolgt nur verschlüsselt oder über einen geschützten Freigabelink mit Ablaufdatum.
Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Eingabekontrolle	Änderungen an Dokumenten in SharePoint Online werden versioniert; Urheber und Zeitpunkt sind nachvollziehbar.Anmelde-, Zugriffs- und Änderungsvorgänge werden im einheitlichen Überwachungsprotokoll von Microsoft 365 erfasst.Aufbewahrungsdauer der Protokolle: 180 Tage.Zugriff auf Protokolldaten ausschließlich durch den Geschäftsführer.
Weitergabekontrolle	Die Übermittlung personenbezogener Daten zwischen Auftraggeber und Auftragnehmer erfolgt über die Auditplattform, über geschützte SharePoint-Freigaben oder verschlüsselte E-Mail.Der Versand personenbezogener Daten über unverschlüsselte Kanäle sowie über private Messengerdienste ist untersagt.Freigabelinks werden zeitlich befristet und auf benannte Empfänger beschränkt vergeben.Datenträgertransporte finden nicht statt.Nach Auftragsende gilt das Löschverfahren nach Ziffer 16 des Vertrages; die Löschung wird auf Anforderung in Textform bestätigt.
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)
Verfügbarkeit	Kein eigener Serverbetrieb; unterbrechungsfreie Stromversorgung, Klimatisierung, Brandfrüherkennung und Redundanz werden durch die Rechenzentren der Unterauftragsverarbeiter sichergestellt und über deren Zertifizierungen nachgewiesen.Datensicherung: Microsoft 365 führt eine geografisch redundante Speicherung innerhalb der EU. Ergänzend erstellt der Auftragnehmer eine lokale, verschlüsselte Sicherung seiner Endgeräte mittels Apple Time Machine auf einem dauerhaft angeschlossenen Sicherungsmedium. Diese Sicherung umfasst ausschließlich eigene Geschäftsdaten des Auftragnehmers, etwa Korrespondenz und Verrechnung. Auditnachweise der Auftraggeber werden nicht auf Endgeräten des Auftragnehmers gespeichert und sind daher von dieser Sicherung nicht erfasst; sie werden ausschließlich in der Auditplattform verarbeitet.Aufbewahrungsdauer der Sicherungen und maßgeblicher Sicherungszyklus im Sinne der Ziffer 16 Abs. 4: nach dem Verfahren von Time Machine, also stündliche Sicherungen für 24 Stunden, tägliche für einen Monat und wöchentliche bis zur Kapazitätsgrenze des Sicherungsmediums.Sicherungen sind verschlüsselt und vom Produktivsystem getrennt gespeichert.Wiederherstellbarkeit: Die Wiederherstellung wird regelmäßig getestet; das Ergebnis wird dokumentiert.Endgeräteausfall: Arbeitsstände liegen in den eingesetzten Cloud-Diensten und nicht ausschließlich lokal vor, sodass die Arbeitsfähigkeit auf einem Ersatzgerät wiederhergestellt werden kann. Eine bestimmte Wiederherstellungszeit wird nicht zugesichert.
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)
Datenschutz-management	Die Geschäftsführung hat die Verantwortung für Datenschutz und Informationssicherheit übernommen und in der Informationssicherheitspolitik dokumentiert.Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen; die Begründung ist dokumentiert. Eine über Art. 37 DSGVO hinausgehende Bestellpflicht sieht das österreichische DSG nicht vor.Ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO wird geführt und in angemessenen Abständen überprüft.Alle eingesetzten Personen sind schriftlich auf das Datengeheimnis nach § 6 DSG verpflichtet, über die geltenden Übermittlungsanordnungen und die Folgen einer Verletzung belehrt und in angemessenen Abständen zu Datenschutz und Informationssicherheit unterwiesen; Nachweise werden aufbewahrt.Richtlinien für den Umgang mit personenbezogenen Daten, für mobiles Arbeiten und für den Einsatz von KI-Werkzeugen bestehen und sind den eingesetzten Personen bekannt.Ein Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen ist eingerichtet; Meldewege und Fristen sind dokumentiert.Ein Prozess zur Bearbeitung von Betroffenenanfragen innerhalb der Frist des Art. 12 Abs. 3 DSGVO ist eingerichtet.Ein Verfahren zur Durchführung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO besteht.Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Datenminimierung bei der Nachweiserhebung, Vorrang pseudonymisierter Feststellungen, restriktive Standardberechtigungen, definierte Löschfristen.Unterauftragsverarbeiter werden vor Beauftragung und danach in angemessenen Abständen überprüft; die Prüfung wird dokumentiert.Die technischen und organisatorischen Maßnahmen werden regelmäßig sowie anlassbezogen auf Wirksamkeit überprüft.Ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 ist eingeführt und wird gelebt; eine Zertifizierung durch eine akkreditierte Stelle besteht nicht.

Teil B – Auditplattform audit.clypeus.at

Die nachstehenden Maßnahmen gelten für die Verarbeitung über die Auditplattform. Sie treten mit deren Inbetriebnahme in Kraft. Angaben in eckigen Klammern werden vor Inbetriebnahme ergänzt.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Zugangskontrolle	Persönliche Benutzerkonten; Zwei-Faktor-Authentisierung verpflichtend und ohne Möglichkeit der Abwahl; Passwörter ausschließlich als Hashwert nach dem Verfahren argon2id gespeichert; Wiederherstellungscodes ausschließlich als Prüfwert.
Sitzungssicherheit	Technisch notwendiges Sitzungs-Cookie; Übersicht der aktiven Sitzungen im Kundenkonto; Abmeldung einzelner Sitzungen möglich.
Zugriffskontrolle	Zugriff auf Nachweise ausschließlich für den jeweiligen Auditdurchlauf und die damit befasste qualifizierte Person; Prinzip der geringsten Rechte.
Trennungskontrolle	Nachweise und Auditdaten sind je Auftraggeber logisch getrennt gespeichert.
Verschlüsselung	Transportverschlüsselung nach dem Stand der Technik; Speicherung verschlüsselt [Verfahren vor Inbetriebnahme ergänzen].
Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Eingabekontrolle	Protokollierung der Zugriffe auf Nachweise mit Zuordnung zu Benutzer und Zeitpunkt [Ereignisarten vor Inbetriebnahme ergänzen].
Schadsoftwareprüfung	Jede hochgeladene Datei wird vor der Verarbeitung auf Schadsoftware geprüft.
Menschliche Freigabe	Kein Auditbericht wird ohne Prüfung und Freigabe durch eine qualifizierte Person bereitgestellt; der Freigabeschritt ist technisch nicht überspringbar.
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)
Betrieb	Betrieb in Rechenzentren innerhalb der Europäischen Union, Region Frankfurt am Main, Deutschland; kein eigener Serverbetrieb des Auftragnehmers.
Datensicherung	[Sicherungsintervall, Aufbewahrungsdauer und Wiederherstellungstest vor Inbetriebnahme ergänzen.]
Löschung
Regellöschung	Hochgeladene Nachweise werden spätestens sechs Monate nach Abschluss des Auditdurchlaufs unwiderruflich gelöscht; die Löschung wird protokolliert.
Reihenfolge	Die Löschung des gespeicherten Objekts erfolgt vor dem Vermerk in der Datenbank.