Auftragsverarbeitungsvertrag

Zuletzt geändert: 22. Juli 2026

Dieser Auftragsverarbeitungsvertrag („Vertrag") ist Bestandteil des Dienstleistungsvertrags gemäß den Allgemeinen Geschäftsbedingungen der SCHUHFRIED GmbH (dem „Hauptvertrag") zwischen

SCHUHFRIED GmbH, Hyrtlstraße 45, 2340 Mödling, Österreich (im Folgenden der „Auftragsverarbeiter")

und

der Organisation, die die Leistungen von SCHUHFRIED nutzt (im Folgenden das „Unternehmen", worunter jedes Unternehmen oder jede Organisation zu verstehen ist, die die Leistungen nutzt, unabhängig von ihrer Rechtsform).

Dieser Vertrag regelt die spezifischen Anforderungen der Datenschutzgesetze, soweit die Nutzung der SCHUHFRIED-Leistungen durch das Unternehmen die Verarbeitung personenbezogener Daten beinhaltet, die den Datenschutzgesetzen unterliegen.

Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Begriffe, die hier nicht definiert sind, haben die im Hauptvertrag festgelegte Bedeutung.

PRÄAMBEL

A) Das Unternehmen handelt als Verantwortlicher (der „Verantwortliche").

B) Das Unternehmen beabsichtigt, bestimmte Leistungen (wie unten definiert), die die Verarbeitung personenbezogener Daten umfassen, an die SCHUHFRIED GmbH auszulagern, die als Auftragsverarbeiter (der „Auftragsverarbeiter") handelt.

C) Die Parteien beabsichtigen, einen Auftragsverarbeitungsvertrag abzuschließen, der den Anforderungen des geltenden Rechtsrahmens zur Datenverarbeitung und der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) sowie anderen anwendbaren Datenschutzgesetzen entspricht.

D) Die Parteien möchten ihre Rechte und Pflichten festlegen.

ES WIRD FOLGENDES VEREINBART:

1. Definitionen und Auslegung

Sofern hierin nicht anders definiert, haben großgeschriebene Begriffe und Ausdrücke in diesem Vertrag folgende Bedeutung:

1.1) „Vertrag" bezeichnet diesen Auftragsverarbeitungsvertrag und alle Anhänge;

1.2) „Personenbezogene Daten des Unternehmens" bezeichnet alle personenbezogenen Daten, die mit dem Unternehmen oder den Kunden bzw. Mitarbeitenden des Unternehmens oder Testpersonen in Verbindung stehen und im Rahmen des Hauptvertrags verarbeitet werden;

1.3) „Beauftragter Auftragsverarbeiter" bezeichnet einen Unterauftragsverarbeiter;

1.4) „Datenschutzgesetze" bezeichnet EU-Datenschutzgesetze und, soweit anwendbar, die Datenschutz- oder Datenschutzgesetze anderer Länder;

1.5) „EWR" bezeichnet den Europäischen Wirtschaftsraum;

1.6) „EU-Datenschutzgesetze" bezeichnet die DSGVO in der durch das innerstaatliche Recht jedes EU-Mitgliedstaats umgesetzten oder ergänzten Fassung, in der jeweils geänderten, ersetzten oder aktualisierten Form;

1.7) „DSGVO" bezeichnet die EU-Datenschutz-Grundverordnung 2016/679;

1.8) „Datenübermittlung" bezeichnet:

• 1.8.1) eine Übermittlung personenbezogener Daten des Unternehmens vom Verantwortlichen an den Auftragsverarbeiter oder einen Beauftragten Auftragsverarbeiter; oder

• 1.8.2) eine Weiterübermittlung personenbezogener Daten des Unternehmens vom Auftragsverarbeiter an einen Unterauftragsverarbeiter oder zwischen zwei Niederlassungen eines Unterauftragsverarbeiters;

1.9) „Leistungen" bezeichnet die Wiener Testsystem online-Plattform (WTS online-Plattform) und damit verbundene Leistungen der SCHUHFRIED GmbH sowie zugehörige Support- und Wartungsleistungen. Die Einzelheiten der Leistungen und die geltenden Preise sind im Hauptvertrag und auf der Website von SCHUHFRIED festgelegt;

1.10) „Unterauftragsverarbeiter" bezeichnet jede Person, die vom Auftragsverarbeiter oder in dessen Auftrag zur Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen dieses Vertrags eingesetzt wird;

Die Begriffe „Kommission", „Verantwortlicher", „Betroffene Person", „Mitgliedstaat", „Personenbezogene Daten", „Verletzung des Schutzes personenbezogener Daten", „Verarbeitung" und „Aufsichtsbehörde" haben dieselbe Bedeutung wie in der DSGVO oder anderen anwendbaren Datenschutzgesetzen, und abgeleitete Begriffe sind entsprechend auszulegen.

2. Verarbeitung personenbezogener Daten des Unternehmens

Der Auftragsverarbeiter hat folgende Pflichten:

2.1) alle anwendbaren Datenschutzgesetze bei der Verarbeitung personenbezogener Daten des Unternehmens einzuhalten;

2.2) personenbezogene Daten des Unternehmens nur auf Grundlage der dokumentierten Weisungen des Verantwortlichen gemäß diesem Abschnitt 2 zu verarbeiten;

Der Verantwortliche weist den Auftragsverarbeiter an, personenbezogene Daten des Unternehmens zu folgenden Zwecken zu verarbeiten:

2.3) zur Erbringung der Leistungen und des damit verbundenen technischen Supports, einschließlich des Betriebs des WTS online für Zwecke der psychologischen Diagnostik;

2.4) zur Erfüllung rechtlicher Verpflichtungen oder zur Beilegung von Streitigkeiten;

2.5) zur Durchführung interner Aufgaben zur Optimierung der Sicherheit, des Datenschutzes, der Zuverlässigkeit und der Funktionalität der Leistungen;

2.6) zur internen Berichterstattung, operativen Überwachung und anderen ähnlichen internen Aufgaben, die für die Erbringung der Leistungen notwendig sind.

3. Personal des Auftragsverarbeiters

Der Auftragsverarbeiter hat angemessene Maßnahmen zu ergreifen, um die Zuverlässigkeit aller Mitarbeitenden, jedes Beauftragten oder Auftragnehmers eines Beauftragten Auftragsverarbeiters sicherzustellen, die Zugang zu personenbezogenen Daten des Unternehmens haben können. Dabei ist in jedem Fall sicherzustellen, dass der Zugang zu den personenbezogenen Daten des Unternehmens auf diejenigen Personen beschränkt bleibt, die diese Daten zur Erfüllung des Hauptvertrags und/oder zur Einhaltung der Datenschutzgesetze sowie anderer einschlägiger Rechtsvorschriften im Rahmen ihrer Aufgaben für den Auftragsverarbeiter unbedingt benötigen. Der Auftragsverarbeiter hat sicherzustellen, dass alle derartigen Personen Vertraulichkeitsverpflichtungen oder beruflichen oder gesetzlichen Geheimhaltungspflichten unterliegen.

4. Sicherheit

Gemäß Artikel 32 Absatz 1 DSGVO hat der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zu implementieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, wobei der Stand der Technik, die Implementierungskosten sowie die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung zu berücksichtigen sind. Diese Maßnahmen sind darauf ausgerichtet, die Rechte und Freiheiten natürlicher Personen zu schützen, unter Berücksichtigung der Risiken unterschiedlicher Wahrscheinlichkeit und Schwere, einschließlich des Risikos einer Verletzung des Schutzes personenbezogener Daten.

Der Auftragsverarbeiter hat die mit der Verarbeitung verbundenen Risiken zu bewerten und Maßnahmen anzuwenden, die den Anforderungen von Artikel 32 Absatz 1 DSGVO entsprechen, um jederzeit die Sicherheit der personenbezogenen Daten des Unternehmens zu gewährleisten. Eine Übersicht über die technischen und organisatorischen Maßnahmen von SCHUHFRIED ist im SCHUHFRIED Trust Center verfügbar.

5. Unterauftragsvergabe

Vorbehaltlich dieses Vertrags erteilt das Unternehmen dem Auftragsverarbeiter eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen und personenbezogene Daten des Unternehmens an diese weiterzugeben oder zu übermitteln. Das Unternehmen nimmt die veröffentlichte Liste der Unterauftragsverarbeiter (siehe Unterauftragsverarbeiter) zur Kenntnis und genehmigt diese, mit dem Verständnis, dass diese Liste vom Auftragsverarbeiter von Zeit zu Zeit aktualisiert werden kann. Das Unternehmen wird über wesentliche Änderungen an der Unterauftragsverarbeiterliste gemäß dem Benachrichtigungsverfahren von SCHUHFRIED informiert.

Der Auftragsverarbeiter hat sicherzustellen, dass Unterauftragsverarbeiter einer Vereinbarung mit dem Auftragsverarbeiter unterliegen, die hinsichtlich des Schutzes personenbezogener Daten des Unternehmens nicht weniger restriktiv und schützend ist als dieser Vertrag, soweit dies auf die Art der vom Unterauftragsverarbeiter erbrachten Leistungen anwendbar ist.

Personen, die SCHUHFRIEDs technische Produktentwicklung unterstützen (darunter Einzelunternehmer und Freelancer) und die unter der unmittelbaren Weisung von SCHUHFRIED tätig sind, in dessen Teams integriert sind und über keine eigenständige Entscheidungsbefugnis über die Verarbeitung verfügen, werden von SCHUHFRIED als mitarbeiteräquivalent im Sinne von Art. 4 Nr. 10 und Art. 29 DSGVO eingestuft. Solche Personen gelten im Rahmen dieses Vertrags nicht als Unterauftragsverarbeiter. Die Kriterien und Verpflichtungen, die für diese Einstufung gelten, sind in den Organisatorischen Maßnahmen von SCHUHFRIED beschrieben.

6. Rechte betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung leistet der Auftragsverarbeiter dem Unternehmen angemessene Unterstützung bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen auf Ausübung von Rechten betroffener Personen gemäß den Datenschutzgesetzen.

Der Auftragsverarbeiter hat folgende Pflichten:

6.1) das Unternehmen unverzüglich zu benachrichtigen, wenn er einen Antrag einer betroffenen Person gemäß einem Datenschutzgesetz in Bezug auf personenbezogene Daten des Unternehmens erhält; und

6.2) sicherzustellen, dass er auf diesen Antrag nur auf der Grundlage der dokumentierten Weisungen des Verantwortlichen oder aufgrund gesetzlicher Verpflichtungen, denen der Auftragsverarbeiter unterliegt, reagiert, wobei der Auftragsverarbeiter den Verantwortlichen, soweit nach geltendem Recht zulässig, über diese gesetzliche Anforderung informiert, bevor er auf den Antrag reagiert.

7. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter hat jede Verletzung des Schutzes personenbezogener Daten in Übereinstimmung mit den anwendbaren Datenschutzgesetzen und seinen internen Verfahren zur Behandlung von Verletzungen des Schutzes personenbezogener Daten zu handhaben. Im Falle einer Verletzung des Schutzes personenbezogener Daten, die personenbezogene Daten des Unternehmens betrifft, hat der Auftragsverarbeiter das Unternehmen unverzüglich zu benachrichtigen und dabei ausreichende Informationen bereitzustellen, um dem Unternehmen die Erfüllung seiner Pflichten gemäß den Datenschutzgesetzen zu ermöglichen, einschließlich der Benachrichtigung betroffener Personen, sofern erforderlich.

Der Auftragsverarbeiter hat mit dem Unternehmen zusammenzuarbeiten und auf Weisung des Unternehmens angemessene Schritte zu unternehmen, um bei der Untersuchung, Eindämmung und Behebung jeder derartigen Verletzung des Schutzes personenbezogener Daten zu unterstützen.

Jede Partei trägt die Kosten für Untersuchung, Behebung, Eindämmung und andere damit verbundene Kosten in dem Maße, in dem eine Verletzung des Schutzes personenbezogener Daten durch diese Partei verursacht wurde.

Jede Partei trägt die Kosten etwaiger Geldbußen, Strafen, Schadensersatzforderungen oder anderer damit verbundener Beträge, die von einer zuständigen Aufsichtsbehörde, Regierungsbehörde oder einem zuständigen Gericht verhängt werden, soweit sie aus der Verletzung der Pflichten dieser Partei aus diesem Vertrag entstehen.

8. Datenschutz-Folgenabschätzung und vorherige Konsultation

Der Auftragsverarbeiter leistet dem Unternehmen angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden, die der Verantwortliche vernünftigerweise für durch Artikel 35 oder 36 DSGVO oder entsprechende Bestimmungen anderer Datenschutzgesetze erforderlich hält, jeweils ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten des Unternehmens durch die Beauftragten Auftragsverarbeiter und unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

9. Löschung oder Rückgabe personenbezogener Daten des Unternehmens

Bei Beendigung einer Leistung, die die Verarbeitung personenbezogener Daten des Unternehmens umfasst, hat der Auftragsverarbeiter alle personenbezogenen Daten des Unternehmens in dem nach geltendem Recht zulässigen Umfang und gemäß dem Hauptvertrag und der Datenspeicherungsrichtlinie des Auftragsverarbeiters zu löschen. Das Unternehmen kann seine Daten vor der Kontoschließung exportieren; nach der Kontolöschung gestellte Anfragen können nicht mehr erfüllt werden.

Einzelheiten zu den Datenspeicherungs- und Löschpraktiken von SCHUHFRIED sind im Abschnitt Lebenszyklus von Kundendaten der Trust Center-Dokumentation beschrieben.

10. Auditrechte

Vorbehaltlich dieses Abschnitts 10 stellt der Auftragsverarbeiter dem Unternehmen auf Anfrage alle vernünftigerweise erforderlichen Informationen zur Verfügung, um die Einhaltung dieses Vertrags nachzuweisen, und gestattet und unterstützt Audits, einschließlich Inspektionen, durch das Unternehmen oder einen vom Unternehmen beauftragten Auditor in Bezug auf die Verarbeitung personenbezogener Daten des Unternehmens durch die Beauftragten Auftragsverarbeiter.

Das Unternehmen darf sein Auditrecht nicht mehr als einmal pro Kalenderjahr ausüben, außer nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anweisung einer Aufsichtsbehörde. Das Unternehmen hat dem Auftragsverarbeiter mindestens sechzig (60) Tage im Voraus schriftlich von seiner Absicht, ein Audit durchzuführen, in Kenntnis zu setzen. Audits sind während der Geschäftszeiten des Auftragsverarbeiters durchzuführen, dürfen den Betrieb des Auftragsverarbeiters nicht beeinträchtigen und haben den Schutz der personenbezogenen Daten des Unternehmens, des Auftragsverarbeiters und anderer betroffener Personen zu gewährleisten. Der Auftragsverarbeiter und das Unternehmen müssen sich vorab über Datum, Umfang, Dauer und anwendbare Sicherheits- und Vertraulichkeitskontrollen einigen. Das Unternehmen erkennt an, dass vor der Durchführung des Audits möglicherweise die Unterzeichnung einer Geheimhaltungsvereinbarung erforderlich ist. Das Unternehmen trägt alle Kosten, die dem Auftragsverarbeiter im Zusammenhang mit einem Audit vernünftigerweise entstehen, einschließlich Mitarbeiterzeit und etwaiger Drittkosten.

Informations- und Auditrechte des Unternehmens entstehen nach diesem Abschnitt 10 nur insoweit, als der Vertrag dem Unternehmen nicht bereits anderweitig Informations- und Auditrechte einräumt, die die einschlägigen Anforderungen des Datenschutzrechts erfüllen.

11. Datenübermittlungen

Der Auftragsverarbeiter darf personenbezogene Daten des Unternehmens nur in Länder innerhalb der EU/des EWR oder in Länder mit einem Angemessenheitsbeschluss gemäß Artikel 45 DSGVO übermitteln oder die Übermittlung genehmigen. Personenbezogene Daten des Unternehmens, die im Rahmen dieses Vertrags verarbeitet werden, werden innerhalb der Europäischen Union gehostet und verarbeitet (Microsoft Azure, Region West-Europa, Niederlande).

Sofern eine Übermittlung personenbezogener Daten des Unternehmens in ein Land außerhalb der EU/des EWR oder in ein Land ohne Angemessenheitsbeschluss erforderlich ist, beispielsweise im Rahmen von Unterauftragsverarbeiterleistungen, stellen die Parteien sicher, dass die personenbezogenen Daten angemessen geschützt sind. Hierzu verlassen sich die Parteien, sofern nicht anders vereinbart, auf EU-genehmigte Standardvertragsklauseln oder andere von den Datenschutzgesetzen vorgesehene Übermittlungsmechanismen. Der Auftragsverarbeiter wird ermächtigt, derartige Übermittlungen an Unterauftragsverarbeiter durchzuführen, sofern angemessene Schutzmaßnahmen entsprechend der Art der Übermittlung implementiert sind.

12. Allgemeine Bestimmungen

Einhaltung anwendbaren Rechts. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Unternehmens in Übereinstimmung mit diesem Vertrag und den Datenschutzgesetzen, die für seine Rolle im Rahmen dieses Vertrags gelten. Der Auftragsverarbeiter ist nicht für die Einhaltung von Datenschutzgesetzen verantwortlich, die aufgrund des Geschäftsbereichs, der Branche oder des Rechtsraums des Unternehmens ausschließlich für dieses gelten.

Vertraulichkeit. Jede Partei hat alle Informationen, die sie über die andere Partei und deren Geschäftsbetrieb im Zusammenhang mit diesem Vertrag erhält („Vertrauliche Informationen"), vertraulich zu behandeln und darf diese Vertraulichen Informationen ohne vorherige schriftliche Zustimmung der anderen Partei weder nutzen noch offenlegen, es sei denn, dass:

• (a) die Offenlegung gesetzlich vorgeschrieben ist; oder

• (b) die betreffenden Informationen ohne Verschulden der Parteien bereits öffentlich bekannt sind.

Mitteilungen. Alle Mitteilungen und Benachrichtigungen im Rahmen dieses Vertrags sind schriftlich zu erteilen und per E-Mail zu versenden. Der Verantwortliche wird per E-Mail an die mit seinem Konto gemäß dem Hauptvertrag verknüpfte Adresse benachrichtigt. Der Auftragsverarbeiter wird per E-Mail an folgende Adresse benachrichtigt: datenschutz@schuhfried.com.

Anwendbares Recht und Gerichtsstand. Dieser Vertrag unterliegt österreichischem Recht und dem anwendbaren Recht der Europäischen Union. Für alle Streitigkeiten, Klagen, Ansprüche oder Anspruchsgrundlagen, die sich aus oder im Zusammenhang mit diesem Vertrag ergeben, sind die zuständigen Gerichte in Mödling, Österreich, ausschließlich zuständig.

Im Falle von Widersprüchen zwischen der deutschen Version dieses Vertrags und einer übersetzten Version gilt die deutsche Version.