Standard-Auftragsverarbeitungsvertrag

Fassung 1.0 · Stand 24. August 2026

Dieser Standard-AVV ist ein Vertragsmuster für B2B-Kunden von optsolut. Er wird erst verbindlich, wenn er im Einzelvertrag ausdrücklich einbezogen oder von beiden Parteien in Textform angenommen wurde. Abweichende individuelle AVV können vereinbart werden.

1. Parteien und Vorrang

Verantwortlicher ist der im Einzelvertrag bezeichnete Unternehmenskunde. Auftragsverarbeiter ist optsolut, Inhaber Maksymilian Jamroz, Leystraße 19-21/12, 1200 Wien. Dieser AVV ergänzt den Hauptvertrag und geht ihm für die Auftragsverarbeitung personenbezogener Daten vor.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die im Hauptvertrag beschriebene Bereitstellung und Betreuung von Websites, Formularen, Kommunikation, Marketing, Terminverwaltung, CRM, Integrationen, Reporting, Automatisierung, Hosting oder optsolut OS. Die Verarbeitung dauert grundsätzlich so lange wie der Hauptvertrag und endet nach Rückgabe oder Löschung der Auftragsdaten, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Art und Zweck sind Erheben, Erfassen, Ordnen, Speichern, Auslesen, Anpassen, Übermitteln, Bereitstellen, Abgleichen, Einschränken und Löschen, jeweils nur soweit die beauftragte Funktion dies erfordert.

3. Daten- und Betroffenenkategorien

Je nach Leistungsbeschreibung können Stammdaten, Kontakt- und Kommunikationsdaten, Termin- und Buchungsdaten, Einwilligungsnachweise, Website- und Nutzungsdaten, Marketing- und Kampagnendaten, Kassen- und Rechnungsreferenzen, Beschäftigtendaten, Arbeitszeit- und Vergütungsdaten, Inhalte, Dokumentverweise, technische Metadaten und Integrationskennungen verarbeitet werden.

Betroffene können Beschäftigte, Bewerber, Interessenten, Kunden, Patienten, Gäste, Lieferanten und sonstige Geschäftskontakte des Verantwortlichen sein. Besondere Kategorien nach Art. 9 DSGVO dürfen nur nach ausdrücklicher Vereinbarung, dokumentierter Weisung und geeigneter Schutzprüfung verarbeitet werden.

4. Weisungen und Rechtmäßigkeit

optsolut verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung, einschließlich Übermittlungen in Drittländer, sofern keine gesetzliche Pflicht entgegensteht. Offensichtlich rechtswidrige Weisungen werden unverzüglich angezeigt und dürfen bis zur Klärung ausgesetzt werden.

Der Verantwortliche bleibt für Rechtsgrundlagen, Transparenz, Datenminimierung, Richtigkeit, Löschfristen, Betroffenenrechte und Zulässigkeit seiner Weisungen verantwortlich.

5. Vertraulichkeit und Personal

Alle zur Verarbeitung befugten Personen sind vor Zugriff angemessen auf Vertraulichkeit verpflichtet und erhalten nur die für ihre Aufgabe erforderlichen Berechtigungen. Zugriffe werden nach dem Need-to-know-Prinzip vergeben und bei Rollenwechsel oder Vertragsende entzogen.

6. Technische und organisatorische Maßnahmen

• Zutritts- und Infrastrukturkontrolle: ausschließlich verwaltete Cloud-Infrastruktur; keine produktive Kundendatenhaltung auf lokalen Entwicklergeräten.
• Zugangskontrolle: individuelle Konten, Passwörter mit Mindestanforderungen, sichere Hashes, Einmal-Token, Ablaufzeiten, Rate Limits und Mehrfaktor-Authentifizierung bei unterstützten administrativen Diensten.
• Zugriffskontrolle: rollenbasierte Rechte, strikte Mandantentrennung, geringstmögliche Berechtigung, Freigabemechanismen und Audit-Protokolle.
• Übertragung und Speicherung: TLS bei Transport; Integrationszugänge mit AES-256-GCM oder gleichwertig verschlüsselt; Geheimnisse in verwalteten Secret Stores.
• Eingabekontrolle: Zeitstempel, Benutzer- und Änderungsprotokolle für sicherheits- und betriebsrelevante Vorgänge.
• Verfügbarkeit: verwaltete Plattformen, Cloud-CI, getestete Deployments, Wiederherstellung nach Anbieter- und Leistungsplan; konkrete RTO/RPO nur bei ausdrücklichem SLA.
• Trennung und Minimierung: getrennte Unternehmensbereiche, synthetischer Staging-Modus, zweckgebundene Tabellen und keine unkontrollierte Produktionskopie in Entwicklungsumgebungen.
• Sicherheitsmanagement: Quellcode-Prüfungen, Abhängigkeits- und Geheimnisscans, dokumentierte Sicherheitsereignisse und regelmäßige Prüfung der Maßnahmen.

Die Maßnahmen werden risikoorientiert weiterentwickelt. Änderungen dürfen das vereinbarte Schutzniveau nicht wesentlich unterschreiten.

7. Subauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die unter subprozessoren.html benannten Anbieter. optsolut informiert mindestens 14 Tage vor einer wesentlichen Änderung in Textform oder über einen vereinbarten Update-Kanal. Der Verantwortliche kann aus begründetem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine zumutbare Lösung, kann der betroffene Leistungsteil außerordentlich beendet werden.

Subauftragsverarbeiter werden durch einen Vertrag gebunden, der im Wesentlichen dieselben Datenschutzpflichten vorsieht. optsolut bleibt für deren Pflichten im gesetzlichen Umfang verantwortlich.

8. Betroffenenrechte und Unterstützung

optsolut leitet unmittelbar eingehende Anfragen unverzüglich weiter und unterstützt den Verantwortlichen, soweit dies mit Art, Umfang und verfügbaren Informationen möglich ist. Eine direkte Beantwortung erfolgt nur auf Weisung oder bei eigener Verantwortlichkeit.

9. Sicherheit, Verletzungen und Folgenabschätzung

optsolut unterstützt bei Pflichten nach Art. 32 bis 36 DSGVO. Verletzungen des Schutzes von Auftragsdaten werden nach Bekanntwerden unverzüglich mit den verfügbaren Informationen gemeldet. Nachmeldungen erfolgen, sobald weitere Informationen vorliegen.

Unterstützung, die über die vertraglich geschuldete Grunddokumentation und angemessene Standardauskünfte hinausgeht, kann nach Aufwand verrechnet werden, sofern die Ursache nicht im Pflichtenkreis von optsolut liegt.

10. Rückgabe, Löschung und Aufbewahrung

Nach Ende des Hauptvertrags entscheidet der Verantwortliche innerhalb von 14 Tagen zwischen Rückgabe und Löschung, soweit dies technisch möglich und rechtlich zulässig ist. optsolut führt die gewählte Maßnahme grundsätzlich innerhalb weiterer 30 Tage aus. Sicherungskopien werden nach dem dokumentierten Rotationszyklus überschrieben. Gesetzlich aufzubewahrende Daten werden gesperrt und nur für den Aufbewahrungszweck genutzt.

11. Nachweise und Kontrollen

optsolut stellt erforderliche Informationen, diesen AVV, TOMs und relevante Nachweise zur Verfügung. Kontrollen erfolgen vorrangig durch Dokumentenprüfung. Vor-Ort-Prüfungen sind bei konkretem Anlass, angemessener Vorankündigung, während Geschäftszeiten und unter Schutz von Geheimnissen anderer Kunden möglich. Kosten trägt der Verantwortliche, außer die Prüfung weist eine wesentliche Pflichtverletzung von optsolut nach.

12. Internationale Übermittlungen

Übermittlungen außerhalb EU und EWR erfolgen nur nach Kapitel V DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder Standardvertragsklauseln mit erforderlichen Zusatzmaßnahmen. Der aktuelle Mechanismus je Anbieter steht in der Subprozessorliste.

13. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO sowie ergänzend der Hauptvertrag und die AGB, soweit gesetzlich zulässig. Änderungen dieses AVV bedürfen der Textform. Es gilt österreichisches Recht; die Gerichtsstandsregelung des Hauptvertrags gilt, soweit zulässig.

Vertragsdaten

Verantwortlicher, konkrete Leistungen, betroffene Funktionen, besondere Kategorien, Löschvorgaben und Abweichungen werden im Einzelvertrag oder in einer ausgefüllten Verarbeitungsanlage dokumentiert.