Vereinbarung zur Auftragsverarbeitung (AVV)
Gemaess Art. 28 Abs. 3 Datenschutz-Grundverordnung (DS-GVO)
Stand: Februar 2026
Diese Vereinbarung ist untrennbarer Bestandteil der Allgemeinen Geschaeftsbedingungen (AGB) der Solution4Tec GmbH.
Praeambel
Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus dem Hauptvertrag zur Leistungserbringung (Nutzungsvertrag fuer die Solution4Tec GmbH SaaS-Plattform) in ihren Einzelheiten beschriebenen Auftragsverarbeitung ergeben.
Sie findet Anwendung auf alle Taetigkeiten, die mit dem Hauptvertrag zur Leistungserbringung in Zusammenhang stehen und bei denen Beschaeftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte personenbezogene Daten des Auftraggebers verarbeiten.
§ 1 Gegenstand, Dauer und Spezifizierung
Aus dem Hauptvertrag zur Leistungserbringung (Nutzungsvertrag Solution4Tec GmbH SaaS-Plattform) ergeben sich Gegenstand und Dauer des Auftrags sowie Art und Zweck der Verarbeitung.
(1) Art der Daten
- a) Personenstammdaten: Name, Vorname, Adresse, Geburtsdatum, Geschlecht
- b) Kommunikationsdaten: E-Mail-Adresse, Telefonnummer
- c) Vertragsstammdaten: Kundennummer, Lieferantennummer, Vertragsnummer
- d) Vertragsabwicklungsdaten: Bestellungen, Angebote, Rechnungen, Lieferscheine, Zahlungen
- e) Kundenhistorie: Bestellhistorie, Kommunikationsverlaeufe
- f) Abrechnungs- und Zahlungsdaten: Bankverbindung, Zahlungsinformationen
- g) Planungs- und Steuerungsdaten: Arbeitsplaene, Urlaubstage, Schichtplaene
- h) Steuerdaten: USt-ID, Firmenbuchnummer, Steuernummer
- i) RKSV-Daten: Kassabons, Belege, Signatur-Erstellungseinheit, Daten-Erfassungs-Protokoll
- j) Dokumente: Hochgeladene Dateien (Produktbilder, Logos, Rechnungen, Angebote, Lieferscheine)
- k) Telekommunikationsdaten: SMS-Inhalte, WhatsApp-Nachrichten, Voice-Aufzeichnungen
- l) KI-Daten: Transkriptionen, KI-generierte Inhalte (sofern KI-Funktionen aktiviert)
- m) Authentifizierungsdaten: Passwoerter (gehasht), 2FA-Secrets, Passkeys, OAuth-Token
Wichtiger Hinweis: Es werden keine besonderen Kategorien personenbezogener Daten gemaess Art. 9 DSGVO planmaessig verarbeitet. Sollte der Auftraggeber dennoch solche Daten hochladen, geschieht dies auf eigene Verantwortung.
(2) Art und Zweck der Datenverarbeitung
- Bereitstellung der SaaS-Plattform als webbasierte Multi-Tenant-Anwendung (Software-as-a-Service)
- Speicherung und Verwaltung aller vom Auftraggeber eingegebenen Daten in der mandantenfaehigen Datenbank (PostgreSQL)
- Dateispeicherung von hochgeladenen Dokumenten, Bildern, Logos, Backups in Cloudflare R2 (EU)
- Zahlungsabwicklung ueber Stripe (Kreditkarte, SEPA, Apple Pay, Google Pay)
- Telekommunikation via Twilio (SMS, WhatsApp, Voice-Telefonie) - sofern vom Auftraggeber aktiviert
- KI-Funktionen via OpenAI (Voice AI, Text-KI, Bild-KI) - sofern vom Auftraggeber aktiviert
- E-Mail-Versand von Rechnungen, Angeboten, Lieferscheinen, Benachrichtigungen
- Authentifizierung inkl. Single Sign-On (Google, Apple, Microsoft, Facebook)
- RKSV-Compliance (Registrierkassensicherheitsverordnung) gemaess § 132a BAO
- Job-Scheduling ueber QStash (Upstash) fuer automatisierte Prozesse
- Backup und Wiederherstellung zur Datensicherung
- Support und Wartung per E-Mail, Chat, Fernzugriff (nur mit Einwilligung)
- Monitoring und Logging zur Sicherstellung der Verfuegbarkeit und IT-Sicherheit
(3) Kategorien betroffener Personen
- Kunden des Auftraggebers
- Interessenten des Auftraggebers
- Beschaeftigte / Mitarbeiter des Auftraggebers
- Lieferanten des Auftraggebers
- Ansprechpartner (Kontakte von Kunden, Lieferanten)
- Benutzer der Plattform (Mitarbeiter des Auftraggebers mit Zugang zur Plattform)
(4) Laufzeit
Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages zur Leistungserbringung (Nutzungsvertrag), sofern sich aus den Bestimmungen dieser Vereinbarung nicht darueber hinausgehende Verpflichtungen ergeben.
§ 2 Anwendungsbereich und Verantwortlichkeit
(1) Verantwortlichkeit
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO und traegt die alleinige Verantwortung fuer:
- Die Rechtmaessigkeit der Datenweitergabe an den Auftragnehmer
- Die Rechtmaessigkeit der Datenverarbeitung
- Die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze (DSGVO, DSG)
- Die Erfuellung der Informationspflichten gegenueber betroffenen Personen
- Die Einholung erforderlicher Einwilligungen
- Die Einhaltung der Rechte betroffener Personen
Der Auftragnehmer ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DS-GVO und verarbeitet personenbezogene Daten ausschliesslich im Auftrag und nach Weisung des Auftraggebers.
(2) Weisungen
Die Weisungen werden anfaenglich durch den Hauptvertrag zur Leistungserbringung (Nutzungsvertrag) sowie die AGB festgelegt und koennen vom Auftraggeber danach in schriftlicher Form oder in Textform (E-Mail ausreichend) an die vom Auftragnehmer bezeichnete Stelle ([email protected]) durch einzelne Weisungen geaendert, ergaenzt oder ersetzt werden.
Muendliche Weisungen sind unverzueglich schriftlich oder in Textform zu bestaetigen.
§ 3 Pflichten des Auftragnehmers
(1) Weisungsgebundenheit
Der Auftragnehmer darf Daten von betroffenen Personen nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten, ausser es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 lit. a) DS-GVO vor (gesetzliche Verpflichtung zur Verarbeitung).
Der Auftragnehmer informiert den Auftraggeber unverzueglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstoesst. Er darf die Umsetzung solange aussetzen, bis sie bestaetigt oder abgeaendert wurde.
(2) Technische und organisatorische Massnahmen (TOM)
Der Auftragnehmer trifft technische und organisatorische Massnahmen zum angemessenen Schutz der Daten gemaess Art. 32 DS-GVO, die Vertraulichkeit, Integritaet, Verfuegbarkeit und Belastbarkeit der Systeme sicherstellen. Details siehe Anlage 1 weiter unten.
(3) Unterstuetzung bei Betroffenenrechten
Der Auftragnehmer unterstuetzt den Auftraggeber bei der Erfuellung der Rechte betroffener Personen gemaess Kapitel III der DS-GVO (Art. 15-22 DSGVO):
- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Loeschung (Art. 17 DSGVO)
- Recht auf Einschraenkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenuebertragbarkeit (Art. 20 DSGVO)
- Widerspruchsrecht (Art. 21 DSGVO)
(4) Unterstuetzung bei Compliance-Pflichten
- Sicherheit der Verarbeitung (Art. 32 DSGVO)
- Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO)
- Benachrichtigung betroffener Personen (Art. 34 DSGVO)
- Datenschutz-Folgenabschaetzung (Art. 35 DSGVO)
- Vorherige Konsultation (Art. 36 DSGVO)
(5) Vertraulichkeitsverpflichtung
Alle mit der Verarbeitung befassten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Die Vertraulichkeit besteht auch nach Beendigung des Auftrages fort.
(6) Meldung von Datenschutzverletzungen (Data Breach)
Der Auftragnehmer unterrichtet den Auftraggeber unverzueglich, spaetestens jedoch innerhalb von 48 Stunden, wenn ihm Verletzungen des Schutzes personenbezogener Daten bekannt werden.
Die Meldung umfasst mindestens:
- Beschreibung der Art der Verletzung
- Kategorien und ungefaehre Zahl betroffener Personen
- Kategorien und ungefaehre Zahl betroffener Datensaetze
- Wahrscheinliche Folgen der Verletzung
- Ergriffene oder vorgeschlagene Massnahmen zur Behebung und Minderung
Wichtig: Der Auftraggeber ist selbst verantwortlich fuer die Meldung an die Datenschutzbehoerde (72 Stunden gemaess Art. 33 DSGVO) und ggf. Benachrichtigung der betroffenen Personen (Art. 34 DSGVO).
(7) Ansprechpartner Datenschutz
E-Mail: [email protected]
(8) Regelmaessige Ueberpruefung
- Regelmaessige interne Audits
- Penetrationstests (empfohlen: jaehrlich)
- Ueberpruefung der Zugriffsrechte
- Review der Subprozessoren
- Aktualisierung der TOM bei Bedarf
(9) Berichtigung und Loeschung
Der Auftragnehmer berichtigt oder loescht die vertragsgegenstaendlichen Daten auf Weisung des Auftraggebers. Nach Vertragsende gewaehrt der Auftragnehmer dem Auftraggeber eine Frist von 30 Tagen zum Export seiner Daten (CSV/JSON-Format). Nach Ablauf werden alle Daten unwiderruflich geloescht, mit Ausnahme gesetzlicher Aufbewahrungspflichten (7 Jahre gemaess § 132 BAO).
(10) Unterstuetzung bei Schadensersatzanspruechen
Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprueche nach Art. 82 DS-GVO, verpflichtet sich der Auftragnehmer, den Auftraggeber bei der Abwehr des Anspruches im Rahmen seiner Moeglichkeiten zu unterstuetzen.
§ 4 Pflichten des Auftraggebers
- Der Auftraggeber hat den Auftragnehmer unverzueglich und vollstaendig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmaessigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
- Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person hinsichtlich etwaiger Ansprueche nach Art. 82 DS-GVO, verpflichtet sich der Auftraggeber, den Auftragnehmer bei der Abwehr des Anspruches zu unterstuetzen.
- Der Auftraggeber benennt einen Ansprechpartner fuer Datenschutzfragen.
- Der Auftraggeber bestaetigt, dass er ueber die erforderlichen Rechtsgrundlagen fuer die Verarbeitung der Daten verfuegt, seine Informationspflichten gegenueber betroffenen Personen erfuellt hat, erforderliche Einwilligungen eingeholt hat und keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) ohne entsprechende Rechtsgrundlage hochlaedt.
§ 5 Anfragen betroffener Personen
Wendet sich eine betroffene Person mit Forderungen zur Berichtigung, Loeschung oder Auskunft an den Auftragnehmer, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung moeglich ist. Der Auftragnehmer leitet den Antrag unverzueglich an den Auftraggeber weiter und unterstuetzt im Rahmen seiner Moeglichkeiten.
Wichtig: Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird.
§ 6 Subunternehmer (weitere Auftragsverarbeiter)
(1) Genehmigung
Der Einsatz von Subunternehmern als weitere Auftragsverarbeiter ist nur zulaessig, wenn der Auftraggeber vorher zugestimmt hat. Mit Abschluss dieser Vereinbarung erteilt der Auftraggeber seine generelle Zustimmung zur Beauftragung der unten aufgefuehrten Subunternehmer.
(2) Aktuelle Subprozessoren
| Anbieter | Sitz | Leistung | Transfermechanismus |
|---|---|---|---|
| Alwyzon (Hohl IT-Services e.U.) | Wien, Österreich | VPS-Hosting, Datenbanken, Backups – Bereitstellung der Server-Infrastruktur | n/a (EU) |
| Twilio Inc. / Twilio Ireland Ltd. | Dublin, Irland / San Francisco, USA | Telefonie-Gateway (Voice), SMS-Versand, WhatsApp Business API | EU-US Data Privacy Framework (DPF), Binding Corporate Rules (BCR) |
| OpenAI, L.L.C. | San Francisco, CA, USA | LLM (Large Language Model) für KI-Antworten, Transkription und Textanalyse | EU-US Data Privacy Framework (DPF), Standardvertragsklauseln (SCC) |
| Stripe Payments Europe, Ltd. | Dublin, Irland | Zahlungsabwicklung, Kreditkarten-Clearing, SEPA-Lastschriften | n/a (EU) / Mutterkonzern: DPF |
| Twilio SendGrid | Denver, CO, USA | Versand von Transaktions-E-Mails (Rechnungen, Passwort-Reset, Systemmeldungen) | EU-US Data Privacy Framework (DPF) |
| Cloudflare R2 (Cloudflare Inc.) | San Francisco, CA, USA / EU-Rechenzentren | Dateispeicher (Dokumente, Bilder, Logos, Voice-Recordings, Backups) | n/a (EU-Speicherung) |
| Upstash / QStash | San Francisco, CA, USA / EU-Rechenzentren | Job-Scheduling, automatisierte Hintergrundprozesse (Cron-Jobs, Warteschlangen) | n/a (EU-Speicherung) |
| GitHub (Microsoft Corp.) | San Francisco, CA, USA | Code-Hosting, CI/CD-Pipeline (keine personenbezogenen Plattform-Nutzerdaten) | Standardvertragsklauseln (SCC), EU-US Data Privacy Framework (DPF) |
(3) Informations- und Widerspruchsrecht
Vor der Hinzuziehung weiterer oder der Ersetzung aufgefuehrter Subunternehmer informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage im Voraus per E-Mail. Der Auftraggeber kann der Aenderung innerhalb von 14 Tagen aus wichtigem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Zustimmung als gegeben. Bei begruendetem Widerspruch hat der Auftraggeber ein ausserordentliches Kuendigungsrecht mit einer Frist von 30 Tagen.
(4) Weitergabe der Pflichten
Erteilt der Auftragnehmer Auftraege an Subunternehmer, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus dieser Vereinbarung dem Subunternehmer zu uebertragen.
§ 7 Nachweismoeglichkeiten (Kontrollrechte)
(1) Nachweismittel
Der Auftragnehmer weist die Einhaltung der vereinbarten Pflichten mit geeigneten Mitteln nach, insbesondere:
- Durchfuehrung eines Selbstaudits
- Unternehmensinterne Verhaltensregeln einschliesslich eines externen Nachweises ueber deren Einhaltung
- Zertifikat zu Datenschutz und/oder Informationssicherheit (z.B. ISO 27001, SOC 2)
- Genehmigte Verhaltensregeln nach Art. 40 DS-GVO
- Zertifikate nach Art. 42 DS-GVO
- Dokumentation der technischen und organisatorischen Massnahmen (Anlage 1)
(2) Inspektionen vor Ort
Inspektionen werden zu ueblichen Geschaeftszeiten ohne Stoerung des Betriebsablaufs nach Anmeldung mit mindestens 14 Tagen Vorlaufzeit durchgefuehrt. Der Aufwand einer Inspektion ist grundsaetzlich auf einen Tag pro Kalenderjahr begrenzt.
(3) Inspektionen durch Aufsichtsbehoerden
Sollte eine Datenschutzaufsichtsbehoerde eine Inspektion vornehmen, gilt Absatz 2 entsprechend. Eine Verschwiegenheitsverpflichtung ist bei gesetzlicher Verschwiegenheitspflicht der Behoerde nicht erforderlich.
§ 8 Informationspflichten, Schriftform, Rechtswahl
- Informationspflicht bei Gefaehrdung: Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfaendung, Beschlagnahme, Insolvenzverfahren oder sonstige Ereignisse Dritter gefaehrdet werden, hat der Auftragnehmer den Auftraggeber unverzueglich zu informieren.
- Schriftformklausel: Aenderungen und Ergaenzungen dieser Vereinbarung beduerfen der Schriftform (Textform, E-Mail genuegt). Dies gilt auch fuer den Verzicht auf dieses Formerfordernis.
- Vorrang: Bei Widerspruechen gehen Regelungen dieser Vereinbarung den Regelungen des Hauptvertrages vor. Sollten einzelne Teile unwirksam sein, beruehrt dies die Wirksamkeit der Vereinbarung im Uebrigen nicht.
- Rechtswahl: Es gilt oesterreichisches Recht unter Ausschluss des UN-Kaufrechts (CISG).
- Gerichtsstand: Gerichtsstand fuer alle Streitigkeiten ist Wien, Oesterreich, soweit gesetzlich zulaessig.
§ 9 Haftung und Schadensersatz
(1) Haftungsregelung aus Hauptvertrag
Eine zwischen den Parteien im Leistungsvertrag (Hauptvertrag / AGB) vereinbarte Haftungsregelung gilt auch fuer die Auftragsverarbeitung, ausser soweit ausdruecklich etwas anderes vereinbart wurde.
(2) Haftung gemaess Art. 82 DSGVO
- Jede Person, der wegen eines Verstosses gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadensersatz gegen den Verantwortlichen oder Auftragsverarbeiter.
- Der Auftragsverarbeiter haftet nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder gegen die rechtmaessig erteilten Anweisungen des Verantwortlichen gehandelt hat.
- Ist mehr als ein Verantwortlicher oder Auftragsverarbeiter an derselben Verarbeitung beteiligt, so haftet jeder fuer den gesamten Schaden.
(3) Beweislastumkehr
Der Auftragnehmer bzw. Auftraggeber ist von der Haftung befreit, wenn er nachweist, dass er in keinerlei Hinsicht fuer den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
§ 10 Uebermittlung in Drittstaaten
(1) Drittlanduebermittlung
Fuer den Fall, dass eine Uebermittlung personenbezogener Daten in einen Drittstaat (ausserhalb EU/EWR) erfolgt, stellt der Auftragnehmer sicher, dass die Voraussetzungen nach Art. 44 ff. DSGVO erfuellt sind.
(2) Aktuelle Drittlanduebermittlungen
Stripe (USA)
Garantien: Standardvertragsklauseln (SCC) gemaess Art. 46 Abs. 2 lit. c DSGVO. Zusaetzliche Massnahmen: Verschluesselung, TOM.
Twilio (USA)
Garantien: Standardvertragsklauseln (SCC) gemaess Art. 46 Abs. 2 lit. c DSGVO. Zusaetzliche Massnahmen: Verschluesselung, TOM.
OpenAI (USA)
Garantien: SCC. Besonderheit: OpenAI verwendet Kundendaten NICHT zum Training ihrer KI-Modelle. Zusaetzliche Massnahmen: Verschluesselung, TOM.
GitHub (USA)
Garantien: SCC, EU-US Data Privacy Framework. Hinweis: Keine personenbezogenen Daten von Plattform-Nutzern, nur Source Code.
(3) Dokumentation
Die Standardvertragsklauseln (SCC) sowie Data Processing Addenda (DPA) der Subprozessoren werden beim Auftragnehmer dokumentiert und koennen auf Anfrage eingesehen werden.
Anlage 1: Technische und organisatorische Massnahmen (TOM)
Gemaess Art. 32 DS-GVO
Der Auftragnehmer hat folgende technische und organisatorische Massnahmen zur Gewaehrleistung der Sicherheit der Verarbeitung implementiert:
1. Zutrittskontrolle (Physischer Zugang)
Ziel: Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen
- Physische Sicherung der Rechenzentren (VPS-Provider)
- Zugangskontrollen, Zutrittsprotokollierung
- Videoueberwachung der Rechenzentren
- Einbruchschutzmassnahmen, Alarmanlage
- Besonderer Perimeterschutz fuer RZ-Bereiche
- Besucher werden begleitet
- Festlegung berechtigter Personen fuer sensible Bereiche
- Brandmeldeanlage mit Aufschaltung auf Feuerwehrleitstelle
- Brandfrueherkennung und Gas-Loeschanlage
2. Zugangskontrolle (Systemzugang)
Ziel: Verhinderung der unbefugten Nutzung von Datenverarbeitungssystemen
- Passwort-Schutz: Mindestens 8 Zeichen, bcrypt-gehashed (Salted Hashing)
- Zwei-Faktor-Authentifizierung (2FA): E-Mail-OTP, Authenticator-App (TOTP)
- Passkey / WebAuthn: FIDO2-konforme Authentifizierung
- OAuth / Single Sign-On: Google, Apple, Microsoft, Facebook
- Session-Management: Automatische Session-Timeouts (30 Tage Inaktivitaet)
- Login-Protokollierung: Zeitstempel, IP-Adresse, Geraetetyp
- Account-Sperrung: Nach mehreren Fehlversuchen
- Obligatorische Mehr-Faktor-Authentifizierung fuer alle administrativen Fernzugriffe
3. Zugriffskontrolle (Daten-Zugriffsrechte)
Ziel: Sicherstellung, dass Berechtigte nur auf die fuer sie bestimmten Daten zugreifen koennen
- Rollen- und Rechteverwaltung: Granulare Berechtigungen (Admin, Manager, Mitarbeiter, Gast)
- Mandantentrennung (Multi-Tenant-Isolation): Strikte Trennung durch tenantId in PostgreSQL + Prisma Row Level Security
- Filialen-basierte Zugriffskontrolle: Mitarbeiter koennen nur Daten ihrer zugewiesenen Filialen sehen
- Verschluesselung sensibler Daten: E-Mail-Settings, OAuth-Token, API-Keys verschluesselt in DB
- Least Privilege Principle: Benutzer erhalten nur die minimal erforderlichen Berechtigungen
- Restriktive Vergabe der administrativen Berechtigungen
- Zentrales Rechtemanagement
4. Trennungskontrolle (Zweckbindung)
Ziel: Sicherstellung, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden
- Mandantenfaehige Datenbank: PostgreSQL mit Prisma ORM - jeder Auftraggeber (Tenant) hat eigene Datensaetze
- Strikte Trennung von Produktiv-, Test- und Entwicklungsumgebung
- Zweckgebundene Verarbeitung: Daten werden nur fuer die vereinbarten Zwecke verwendet
- Keine gemeinsame Nutzung von Daten verschiedener Auftraggeber
- Filialen-Isolation: Daten verschiedener Filialen sind getrennt (wenn gewuenscht)
5. Pseudonymisierung
Ziel: Verarbeitung in einer Weise, dass die Daten ohne Hinzuziehung zusaetzlicher Informationen nicht mehr einer Person zugeordnet werden koennen
- UUIDs statt sequenzielle IDs: Verwendung von UUIDs (Universally Unique Identifiers)
- Passwoerter bcrypt-gehashed: Passwoerter werden niemals im Klartext gespeichert
- Verschluesselung von E-Mail-Settings, OAuth-Token: Sensible Zugangsdaten werden verschluesselt
- Anonymisierung in Logs: IP-Adressen werden in Logs nach 12 Monaten anonymisiert
6. Verschluesselung
Ziel: Schutz personenbezogener Daten vor unbefugtem Zugriff
- SSL/TLS (HTTPS): Alle Uebertragungen zwischen Client und Server erfolgen verschluesselt (TLS 1.2+)
- HTTPS-Verschluesselung in der Webkommunikation (Data-in-Transit)
- Obligatorische Verschluesselung aller administrativen Zugriffe
- Verschluesselte Speicherung: Voice-Recordings in Cloudflare R2 verschluesselt
- Verschluesselte E-Mail-Settings: SMTP-Credentials verschluesselt in Datenbank
- Verschluesselte OAuth-Token: Access Token, Refresh Token verschluesselt gespeichert
- Backups verschluesselt: Alle Backups werden verschluesselt gespeichert
7. Verfuegbarkeitskontrolle
Ziel: Sicherstellung, dass personenbezogene Daten gegen zufaellige Zerstoerung oder Verlust geschuetzt sind
- Automatisierte Backups: Taeglich, woechentlich, monatlich (PostgreSQL, Dateien)
- Redundante Speicherung: Cloudflare R2 mit Georedundanz
- Monitoring und Alerting: Ueberwachung der Systemverfuegbarkeit, automatische Benachrichtigungen bei Ausfall
- Disaster Recovery Plan: Dokumentierte Wiederherstellungsprozesse
- Load Balancing: Verteilung der Last auf mehrere Server
- Schutz vor Netz-Ueberlastungsangriffen (DDoS) durch Cloudflare
- Klimaanlagen und USVs in Serverraeumen
- Netzersatzanlage (NEA) im Rechenzentrum
- Ueberwachungs- und Meldesysteme
8. Wiederherstellbarkeit (Resilienz)
Ziel: Faehigkeit, Verfuegbarkeit der Daten bei physischen oder technischen Zwischenfaellen rasch wiederherzustellen
- Backup-Strategie: 3-2-1-Regel (3 Kopien, 2 verschiedene Medien, 1 externe Kopie)
- Regelmaessige Wiederherstellungstests: Quartalsweise Tests der Backup-Wiederherstellung
- Dokumentierte Wiederherstellungsprozesse: Recovery Time Objective (RTO), Recovery Point Objective (RPO)
- Georedundante Speicherung: Backups an verschiedenen Standorten
- Doppelt- oder Mehrfachvorhaltung aller Komponenten bei der Datenverarbeitung
- Auslagerung von Backups zu einem entfernten Disaster-Recovery Standort
9. Integritaet (Datenunversehrtheit)
Ziel: Schutz personenbezogener Daten vor Manipulation und unberechtigter Veraenderung
- Audit Logs: Protokollierung aller Aenderungen an Daten (Wer hat wann was geaendert?)
- Prisma Migrations: Versionierung des Datenbankschemas, nachvollziehbare Aenderungen
- Checksummen fuer Dateien: Integritaetspruefung bei Downloads
- Code-Reviews: Alle Code-Aenderungen werden reviewed
- CI/CD Pipeline: Automatisierte Tests vor Deployment (GitHub Actions)
- Immutable Logs: Log-Eintraege koennen nicht nachtraeglich geaendert werden
- Verwendung aktualisierter Virenschutzsoftware
- Firewallsysteme
- Einsatz von Intrusion-Detection-Systemen
10. Datenminimierung
Ziel: Beschraenkung der Verarbeitung auf das fuer die Zwecke notwendige Mass
- Nur erforderliche Felder als Pflichtfelder: Z.B. ist "Geschlecht" optional
- Keine unnoetige Datenerhebung: Nur Daten, die fuer den Vertragszweck erforderlich sind
- Automatische Loeschung nach Aufbewahrungsfristen: Nach 7 Jahren (§ 132 BAO)
- Datenminimierung in KI-Funktionen: Nur erforderliche Daten werden an OpenAI uebertragen
11. Eingabekontrolle (Datenherkunftsnachweis)
Ziel: Nachweis, wer wann welche personenbezogenen Daten eingegeben, veraendert oder entfernt hat
- Audit Logs mit Timestamps und User-IDs: Jede Aenderung wird protokolliert
- Protokollierung kritischer Aktionen: Login, Logout, Datenaenderungen, Loeschungen
- Unveraenderbare Log-Eintraege: Logs koennen nachtraeglich nicht manipuliert werden
- Speicherdauer Logs: 12 Monate, dann Loeschung oder Anonymisierung
12. Auftragskontrolle
Ziel: Sicherstellung, dass personenbezogene Daten nur nach Weisung des Verantwortlichen verarbeitet werden
- AVV mit allen Subprozessoren: Schriftliche Vereinbarungen gemaess Art. 28 DSGVO
- Regelmaessige Ueberpruefung der Subprozessoren: Jaehrliches Review
- Dokumentation von Weisungen: Alle Weisungen werden schriftlich festgehalten
- Technische Durchsetzung von Weisungen: Konfiguration der Systeme gemaess Weisungen
- Verpflichtung der Mitarbeiter auf das Datengeheimnis
13. Verfuegbarkeit und Belastbarkeit
Ziel: Sicherstellung der dauerhaften Verfuegbarkeit und Belastbarkeit der Systeme
- Redundante Infrastruktur: Load Balancer, mehrere Server
- DDoS-Schutz: Cloudflare schuetzt vor Ueberlastungsangriffen
- Monitoring, Alerting: Ueberwachung der Systemauslastung, CPU, RAM, Disk I/O
- Kapazitaetsplanung: Regelmaessige Ueberpruefung und Anpassung der Ressourcen
- Autoscaling: Automatische Skalierung bei erhoehter Last (sofern konfiguriert)
14. Verfahren zur Ueberpruefung, Bewertung und Evaluierung
Ziel: Regelmaessige Ueberpruefung der Wirksamkeit der technischen und organisatorischen Massnahmen
- Regelmaessige Pruefung der Zugangsrechte: Quartalsweise Review
- Regelmaessige Pruefung der Zugriffsrechte: Quartalsweise Review
- Incident-Response-Management: Dokumentierter Prozess bei Sicherheitsvorfaellen
- Interne Audits: Jaehrliche Ueberpruefung der TOM
- Penetrationstests: Empfohlen jaehrlich (extern)
- Externe Audits: Angestrebt ISO 27001, SOC 2 (perspektivisch)
- Kontinuierliche Verbesserung: Anpassung der TOM bei neuen Bedrohungen
- Regelmaessige Ausfalltests der Infrastrukturkomponenten
15. Incident Response (Reaktion auf Datenschutzverletzungen)
Ziel: Strukturierte Reaktion auf Sicherheitsvorfaelle und Datenschutzverletzungen
- Incident-Response-Plan: Dokumentierter Prozess zur Behandlung von Vorfaellen
- Meldekette: Klare Zustaendigkeiten, Eskalationsstufen
- Meldung an Auftraggeber: Innerhalb von 48 Stunden bei Data Breach
- Meldung an Datenschutzbehoerde: Verantwortung des Auftraggebers (72 Stunden gemaess Art. 33 DSGVO)
- Dokumentation von Sicherheitsvorfaellen: Alle Vorfaelle werden protokolliert
- Forensik: Bei schwerwiegenden Vorfaellen forensische Analyse
- Post-Incident-Review: Auswertung und Verbesserung der Prozesse
16. Datenschutz-Folgenabschaetzung (DSFA)
Ziel: Identifikation und Minderung von Risiken bei neuen risikoreichen Verarbeitungen
- DSFA bei neuen risikoreichen Funktionen: Insbesondere bei KI-Funktionen, umfangreicher Datenverarbeitung
- Risikoanalyse: Bewertung der Eintrittswahrscheinlichkeit und Schwere von Risiken
- Massnahmen zur Risikominderung: Definition und Implementierung von Schutzmassnahmen
- Konsultation Datenschutzbeauftragter: Falls bestellt, wird dieser einbezogen
- Dokumentation: Ergebnisse der DSFA werden dokumentiert
17. Sicherheit bei Software-Entwicklung
Ziel: Sicherstellung, dass Software sicher entwickelt wird
- Ausschliessliche Verwendung freigegebener Software im Rechenzentrum
- Verwendung ausgetesteter Software
- Trennung der Produktiv- von der Test- und Entwicklungsumgebung
- Sperren von externen Schnittstellen (USB, DVD-LW)
- Code-Reviews: Alle Aenderungen werden reviewed
- Dependency-Updates: Regelmaessige Aktualisierung, Security Patches
- SAST/DAST: Static/Dynamic Application Security Testing (perspektivisch)
- Secret Management: API-Keys, Passwoerter niemals im Code, sondern in Umgebungsvariablen
- GitHub Dependabot: Automatische Benachrichtigung bei Sicherheitsluecken
18. Organisatorische Massnahmen
Ziel: Sicherstellung, dass Mitarbeiter datenschutzkonform handeln
- Verpflichtung der Mitarbeiter auf das Datengeheimnis (§ 166 StGB): Alle Mitarbeiter unterzeichnen Vertraulichkeitserklaerung
- Schulungen: Regelmaessige Schulungen zu Datenschutz, IT-Sicherheit
- Clear-Desk-Policy: Keine vertraulichen Unterlagen auf unbeaufsichtigten Schreibtischen
- Verbot der Nutzung privater Datentraeger: Keine USB-Sticks, externe Festplatten
- Sichere Loeschung von Datentraegern: Vor Entsorgung oder Weitergabe
- Regelungen zur Beschaffung von Hard- und Software: Datenschutz-Pruefung vor Einsatz neuer Tools
- Regelung und Kontrolle von externer Wartung und Fernwartung: Nur mit Autorisierung
- Regelungen fuer Heimarbeitsplaetze: VPN-Pflicht, verschluesselte Datentraeger
19. Aenderungen der TOM
Der Auftragnehmer behaelt sich vor, die technischen und organisatorischen Massnahmen im Rahmen des technischen Fortschritts und der organisatorischen Weiterentwicklung anzupassen. Wesentliche Aenderungen, die das vereinbarte Schutzniveau nicht unterschreiten, werden dem Auftraggeber mitgeteilt.
Solution4Tec GmbH
Puchsbaumgasse 1/7/36, 1100 Wien, Österreich
Zuständige Aufsichtsbehörde: Datenschutzbehörde Österreich