Nach Art. 28 Abs 3 DSGVO · zwischen dem Anbieter und Vermittco · gültig ab 28.08.2026
Diese Vereinbarung gilt zwischen dem Anbieter („Verantwortlicher") und Dominik Starzengruber, Einzelunternehmen „Vermittco", Heliosallee 106, 4030 Linz, Österreich („Auftragsverarbeiter") und regelt die Verarbeitung personenbezogener Daten nach Art. 28 Abs 3 DSGVO.
Sie greift nur dort, wo Vermittco Daten ausschließlich nach Weisung des Anbieters verarbeitet — insbesondere:
Nicht erfasst ist alles, wofür Vermittco selbst Verantwortlicher ist — Betrieb der Plattform, eigenes Nutzerkonto des Anbieters, Zahlungsabwicklung, Belege, Provisionsabrechnung, Sicherheit, gesetzliche Meldepflichten. Dafür gilt die Datenschutzerklärung. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO wird nicht begründet.
Die Vereinbarung kommt zustande, sobald der Anbieter ihr bei der Registrierung oder beim Einrichten einer Anbindung zustimmt. Die Zustimmung wird mit Datum und Fassung protokolliert.
(1) Gegenstand und Zweck: Bereitstellung und Betrieb der Schnittstellen und Funktionen, mit denen der Anbieter seine Daten auf die Plattform überträgt, dort verwaltet und wieder ausleitet.
(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Anbieter benannten Empfänger, Einschränken, Löschen und Vernichten.
(3) Kategorien betroffener Personen: Kunden und Interessenten des Anbieters, seine Mitarbeiter und Ansprechpartner, seine Lieferanten.
(4) Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, Kontaktdaten), Bestell- und Vertragsdaten, Kommunikationsdaten, Zahlungs- und Abrechnungsinformationen ohne vollständige Kartendaten. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand und dürfen nicht übertragen werden.
(5) Dauer: Die Vereinbarung läuft, solange die Anbindung besteht oder Daten des Anbieters bei Vermittco verarbeitet werden, und endet mit der Beendigung des Nutzungsverhältnisses.
(1) Vermittco verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Anbieters. Als dokumentierte Weisung gelten diese Vereinbarung, die Einstellungen, die der Anbieter in seinem Konto vornimmt, und die Funktionen, die er aktiv nutzt.
(2) Einzelweisungen sind in Textform an support@vermittco.com zu richten. Vermittco setzt sie unverzüglich um, soweit sie technisch möglich und vom Leistungsumfang gedeckt sind; ein Mehraufwand kann nach Ankündigung gesondert vergütet werden.
(3) Vermittco informiert den Anbieter unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt (Art. 28 Abs 3 letzter Satz DSGVO) und darf deren Ausführung bis zur Klärung aussetzen.
(4) Eine Verarbeitung außerhalb der Weisung findet nur statt, wenn Vermittco nach Unionsrecht oder österreichischem Recht dazu verpflichtet ist; in diesem Fall wird der Anbieter vor der Verarbeitung informiert, sofern das Gesetz die Mitteilung nicht verbietet.
(1) Vermittco setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs 3 lit. b DSGVO).
(2) Diese Personen werden vor der Aufnahme der Tätigkeit über die Anforderungen des Datenschutzes unterrichtet; die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
Vermittco trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen und weist sie auf Verlangen nach. Umgesetzt sind insbesondere:
Vermittco darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.
(1) Der Anbieter erteilt eine allgemeine schriftliche Genehmigung für den Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs 2 DSGVO). Zum Zeitpunkt dieser Fassung sind das:
(2) Vermittco schließt mit jedem dieser Dienstleister einen Vertrag, der die Pflichten dieser Vereinbarung im Wesentlichen abbildet, und haftet für deren Verhalten wie für eigenes.
(3) Änderungen werden dem Anbieter mindestens 30 Tage vorher in Textform oder über eine im Konto abrufbare, mit Datum versehene Liste mitgeteilt. Der Anbieter kann innerhalb dieser Frist aus einem sachlichen, datenschutzbezogenen Grund widersprechen. Wird der Widerspruch nicht ausgeräumt, kann jede Seite die betroffene Anbindung mit sofortiger Wirkung beenden.
(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die Vermittco als eigene Leistungen Dritter in Anspruch nimmt — etwa Telekommunikation, Post, Wartung oder Zahlungsdienstleistungen, für die der Dienstleister selbst Verantwortlicher ist (insbesondere Stripe und PayPal).
(1) Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.
(2) Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, andernfalls die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 samt ergänzender Maßnahmen wie Verschlüsselung und Datenminimierung.
(3) Eine Kopie der jeweils herangezogenen Garantien wird auf Anfrage zur Verfügung gestellt.
(1) Betroffenenrechte. Wendet sich eine betroffene Person mit einem Antrag nach den Art. 15 bis 22 DSGVO unmittelbar an Vermittco, wird der Antrag nicht selbst beantwortet, sondern unverzüglich an den Anbieter weitergeleitet. Vermittco unterstützt den Anbieter mit geeigneten technischen Mitteln — Auskunft, Berichtigung, Löschung, Einschränkung und Export der Daten sind über die Funktionen im Konto möglich.
(2) Verletzung des Schutzes personenbezogener Daten. Vermittco meldet dem Anbieter jede Verletzung, die dessen Daten betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, in Textform. Die Meldung beschreibt Art und Umfang, betroffene Datenkategorien und Personengruppen, wahrscheinliche Folgen und ergriffene Maßnahmen. Damit kann der Anbieter seine Fristen nach Art. 33 und 34 DSGVO einhalten.
(3) Vermittco unterstützt den Anbieter bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen (Art. 32 bis 36 DSGVO), soweit die benötigten Informationen nur bei Vermittco vorliegen.
(1) Vermittco weist die Einhaltung dieser Vereinbarung auf Anfrage in Textform nach — durch eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, durch Selbstauskunft oder durch Bescheinigungen der eingesetzten Dienstleister.
(2) Reicht das nicht aus, kann der Anbieter nach Ankündigung mit angemessener Frist, mindestens 14 Tagen, während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit Vermittco im Wettbewerb stehenden Prüfer durchführen lassen. Die Überprüfung darf den Betrieb nicht unangemessen stören und findet höchstens einmal jährlich statt, es sei denn, es besteht ein konkreter Anlass.
(3) Für den Aufwand einer Vor-Ort-Überprüfung kann Vermittco eine angemessene Vergütung verlangen, es sei denn, die Überprüfung deckt einen Verstoß auf.
(1) Nach Beendigung der Anbindung löscht Vermittco die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Anbieters zurück. Der Anbieter teilt seine Wahl innerhalb von 30 Tagen nach Beendigung mit; ohne Mitteilung wird gelöscht.
(2) Für die Rückgabe stehen die Export-Funktionen im Konto in einem gängigen, maschinenlesbaren Format zur Verfügung.
(3) Ausgenommen von der Löschung sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere Belege nach § 132 BAO und § 212 UGB (sieben Jahre) — sowie Daten, die Vermittco als eigener Verantwortlicher benötigt. Diese Daten werden für die laufende Nutzung gesperrt und nach Ablauf der Fristen gelöscht.
(4) Aus verschlüsselten Sicherungskopien verschwinden gelöschte Daten mit dem Ablauf der Sicherungskopie, spätestens nach 30 Tagen.
(1) Für die Haftung im Verhältnis zwischen den Parteien gilt § 10 der AGB; im Außenverhältnis gegenüber betroffenen Personen und Aufsichtsbehörden gilt Art. 82 DSGVO.
(2) Der Anbieter bleibt als Verantwortlicher dafür zuständig, dass er die Daten rechtmäßig erhebt und übermittelt, seine Kunden nach Art. 13 und 14 DSGVO informiert und eine gegebenenfalls erforderliche Einwilligung einholt.
(3) Änderungen dieser Vereinbarung werden nach dem Verfahren in § 13 der AGB angekündigt; für Anbieter, die Unternehmer sind, gilt zusätzlich die Frist nach Art. 3 Abs 2 der Verordnung (EU) 2019/1150.
(4) Widersprechen sich diese Vereinbarung und die AGB, geht in Fragen der Auftragsverarbeitung diese Vereinbarung vor.
(5) Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
(6) Es gilt österreichisches Recht. Gerichtsstand ist Linz, soweit der Anbieter Unternehmer ist.