Gemäß Art. 28 DSGVO · v1.0 · Stand: 28.03.2026
Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten im Auftrag des Kunden (Verantwortlicher) durch den Anbieter (Auftragsverarbeiter) im Rahmen der SaaS-Buchungsplattform.
Gegenstand der Auftragsverarbeitung ist der Betrieb einer webbasierten Ressourcen-Buchungsplattform (SaaS) zur Verwaltung von Fahrzeugen und anderen Ressourcen innerhalb von Gruppen/Organisationen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (AGB). Nach Vertragsende gelten die Regelungen in § 14 dieses AVV.
Erhebung, Speicherung, Verarbeitung, Nutzung, Übermittlung und Löschung personenbezogener Daten.
Betrieb und Bereitstellung der Buchungsplattform, Benutzerverwaltung, Kommunikation (E-Mail), Sicherheit.
| Datenkategorie | Konkrete Daten | Rechtsgrundlage | Speicherfrist |
|---|---|---|---|
| Stammdaten Nutzer | Vorname, Nachname, E-Mail, gehashtes Passwort, Rolle | Art. 6 Abs. 1 lit. b DSGVO | Bis Kontolöschung + 30 Tage |
| Buchungsdaten | Ressource, Datum/Uhrzeit, Benutzer-ID, Verwendungszweck | Art. 6 Abs. 1 lit. b DSGVO | 3 Jahre (steuerrechtlich) |
| Authentifizierungsdaten | Session-Token (gehashed), Remember-Me-Token (gehashed, rotierend) | Art. 6 Abs. 1 lit. f DSGVO | Bis Abmeldung / 30 Tage |
| Sicherheitsdaten | IP-Adressen, E-Mail-Adressen, Zeitstempel (Login-/Registrierungsversuche) | Art. 6 Abs. 1 lit. f DSGVO | Max. 24 Stunden (automatisch) |
| Passwort-Reset | IP-Adresse, gehashter Token, Ablaufzeit | Art. 6 Abs. 1 lit. f DSGVO | 2 Stunden (automatisch ungültig) |
| Profilbild | Hochgeladenes Bild (JPEG, max. 900×900 px) | Art. 6 Abs. 1 lit. a DSGVO | Bis Entfernung oder Kontolöschung |
Mitarbeiter, Mitglieder und Gruppenleiter des jeweiligen Kundenunternehmens. Ausschließlich B2B-Nutzung; keine Endverbraucher im Sinne des KSchG.
Es werden ausdrücklich keine besonderen Kategorien personenbezogener Daten verarbeitet (keine Gesundheitsdaten, biometrischen Daten, politischen Meinungen, etc.).
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die AGB und dieser AVV bilden die Grundlage. Mündliche Weisungen sind unverzüglich schriftlich (per E-Mail) zu bestätigen. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich.
Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Mitarbeiter zur Vertraulichkeit. Die Personen wurden über die datenschutzrechtlichen Anforderungen belehrt und sind zur Verschwiegenheit verpflichtet.
Der Auftragsverarbeiter hat folgende TOMs gemäß Art. 32 DSGVO implementiert:
| Maßnahme | Umsetzung |
|---|---|
| Pseudonymisierung | Passwörter als bcrypt-Hash; Tokens als SHA-256-Hash |
| Verschlüsselung | TLS 1.2+ für alle Verbindungen (HTTPS); Hetzner-Verschlüsselung |
| Vertraulichkeit | Rollenbasierter Zugriff; Benutzer sehen nur eigene Daten |
| Integrität | CSRF-Token-Schutz; prepared statements (SQL-Injection-Schutz) |
| Verfügbarkeit | Hetzner SLA; automatische DB-Backups |
| Belastbarkeit | Rate-Limiting; Session-Fixation-Schutz; Brute-Force-Schutz |
| Zugriffskontrolle | Session-Rotation; Remember-Me-Token-Rotation; HTTP Security-Headers |
| Datensparsamkeit | Nur technisch notwendige Daten; keine Analyse-/Werbe-Cookies |
Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:
| Unterauftragsverarbeiter | Leistung | Standort |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, DE |
Server-Hosting, Speicherung aller Daten | Finnland (EU) – kein Drittlandtransfer |
| SMTP-Dienstleister | E-Mail-Versand (Transaktions-E-Mails: Registrierung, Passwort-Reset, Buchungsbestätigung) | EU – kein Drittlandtransfer |
Änderungen der Unterauftragsverarbeiter werden dem Verantwortlichen mindestens 30 Tage vorab schriftlich mitgeteilt. Der Verantwortliche hat das Recht, innerhalb von 14 Tagen Einwände zu erheben.
Drittlandtransfer: Es findet keine Übermittlung personenbezogener Daten in Länder außerhalb der EU/EWR statt.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei:
Im Fall einer Datenschutzverletzung (Art. 33, 34 DSGVO) gilt folgendes Eskalationsverfahren:
Der Verantwortliche hat das Recht, die Einhaltung dieses AVV durch Audits zu überprüfen. Audits sind mindestens 14 Tage im Voraus anzukündigen und können per Fragebogen oder Vor-Ort-Besuch durchgeführt werden. Kosten für Audits trägt grundsätzlich der Verantwortliche; bei nachgewiesenen Verletzungen durch den Auftragsverarbeiter trägt dieser die Kosten. Auf Anfrage stellt der Auftragsverarbeiter Nachweise über die TOMs bereit (z.B. Zertifikate, Dokumentation).
Auf Anfrage stellt der Auftragsverarbeiter alle Daten des Verantwortlichen in einem strukturierten, maschinenlesbaren Format bereit (CSV oder JSON). Export-Anfragen werden innerhalb von 14 Kalendertagen bearbeitet.
Nach Vertragsende (Kündigung gemäß AGB) werden alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Buchungsdaten mit steuerrechtlicher Relevanz (≥7 Jahre Aufbewahrungspflicht nach BAO) werden gesondert behandelt und nach Ablauf der Frist gelöscht. Der Auftragsverarbeiter bestätigt die Löschung schriftlich.
Jede Partei haftet für Datenschutzverletzungen, die sie zu verantworten hat, entsprechend Art. 82 DSGVO. Der Auftragsverarbeiter haftet dem Verantwortlichen gegenüber nur bei schuldhafter Verletzung dieses AVV. Im Übrigen gelten die Haftungsregelungen der AGB.
Datenschutzbeauftragter des Auftragsverarbeiters (freiwillig bestellt):
Jakob Anger
E-Mail: jakob@energie-durchdacht.at
Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts (CISG). Gerichtsstand für alle Streitigkeiten aus diesem AVV ist – soweit gesetzlich zulässig – Waidhofen an der Ybbs, Österreich. Elektronische Signaturen gemäß eIDAS-Verordnung werden als rechtsgültig anerkannt.
Dieser AVV wird durch die Registrierung und Nutzung der Plattform (Hauptvertrag/AGB) konkludent abgeschlossen. Änderungen dieses AVV bedürfen der Schriftform (E-Mail genügt). Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige AVV wirksam. Im Zweifel gelten die Regelungen der DSGVO und des österreichischen Datenschutzgesetzes (DSG) vorrangig.