Auftragsverarbeitungsvertrag (AVV)

Stand: Juli 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen

Caio Kauffmann (Einzelunternehmer)
Hetzendorfer Straße 99/1/4
1120 Wien, Österreich
E-Mail: legal@puggle.me
UID-Nr.: ATU77728005

(nachfolgend „Betreiber" oder „Auftragsverarbeiter")

und

der Nutzerin bzw. dem Nutzer der Plattform Puggle
(nachfolgend „Nutzer" oder „Verantwortlicher")

Der Nutzer speichert und verarbeitet in Puggle personenbezogene Daten Dritter — insbesondere Daten seiner eigenen Kundinnen und Kunden, Lieferanten, Ansprechpersonen und, im Rahmen des Galerie-Add-ons, abgebildeter Personen. Für diese Daten ist der Nutzer Verantwortlicher im Sinne des Art 4 Z 7 DSGVO; der Betreiber verarbeitet sie ausschließlich in seinem Auftrag und ist insoweit Auftragsverarbeiter im Sinne des Art 4 Z 8 DSGVO.

Dieser AVV ist integrierender Bestandteil der Allgemeinen Nutzungsbedingungen (AGB, abrufbar unter puggle.me/tos) und kommt mit dem Hauptvertrag zustande. Ein gesonderter Abschluss ist nicht erforderlich. Er gilt für alle Verarbeitungen, die der Betreiber im Auftrag des Nutzers durchführt.

Für die Daten des Nutzers selbst (Kontodaten, Abonnement, Zahlungsdaten, Nutzungsprotokolle) ist der Betreiber demgegenüber eigener Verantwortlicher; hierfür gilt nicht dieser AVV, sondern die Datenschutzerklärung (puggle.me/datenschutz).

1. Geltungsbereich und Begriffsbestimmungen

1.1 Dieser AVV regelt die Rechte und Pflichten von Verantwortlichem und Auftragsverarbeiter im Rahmen der Verarbeitung personenbezogener Daten durch die Plattform Puggle.

1.2 Er findet auf alle Tätigkeiten Anwendung, bei denen der Betreiber oder von ihm herangezogene Sub-Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten.

1.3 Die in diesem AVV verwendeten Begriffe sind entsprechend ihrer Definition in der Datenschutz-Grundverordnung (Verordnung [EU] 2016/679 – DSGVO) zu verstehen.

1.4 Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.

2. Gegenstand, Art und Zweck der Verarbeitung

2.1 Aufgabe

Gegenstand des Auftrags ist die Bereitstellung und der Betrieb der SaaS-Plattform Puggle einschließlich der vom Nutzer aktivierten optionalen Funktionen (Cloud-Integrationen, KI-Funktionen, Add-ons).

2.2 Kategorien personenbezogener Daten

Der Auftrag betrifft die folgenden Kategorien personenbezogener Daten, soweit der Verantwortliche sie eingibt, hochlädt oder synchronisieren lässt:

Kontaktdaten: Name, Firma, Position, Anschrift, Telefon, Fax, E-Mail, UID-Nummer, Bankverbindung, Kategorien, Sonderkonditionen, Notizen
Rechnungs- und Auftragsdaten: Rechnungen, Angebote, Positionen, Beträge, Steuersätze, Rabatte, Zahlungsstatus, Projekte, Lieferdetails
Buchhaltungsdaten: Buchungen, Belege, Belegbilder, Transaktions- und Kontodaten aus Bank- und Karten-Importen
Termindaten: Datum, Uhrzeit, Ort, Teilnehmer, Beschreibungen, Notizen und Verknüpfungen zu Kontakten
Kommunikationsdaten: Inhalte, Metadaten und Anhänge von E-Mails aus verbundenen Postfächern sowie Sende- und Empfangsprotokolle
Hochgeladene Dateien: Dokumente, Belege, Vorlagen, Signaturen und sonstige vom Verantwortlichen bereitgestellte Dateien
Bilddateien und zugehörige Angaben (Galerie-Add-on): Fotografien, ihre Metadaten, Galerie- und Sammlungsstrukturen, Zugriffs- und Freigabeinformationen sowie Kommentare der Galerie-Besucher
Daten aus veröffentlichten Inhalten (Portfolio- und Webstore-Add-ons): die vom Verantwortlichen veröffentlichten Angaben sowie Bestell- und Kontaktdaten der von ihm gewonnenen Besucherinnen und Besucher

Weitere Kategorien können hinzukommen, soweit der Verantwortliche sie eigenständig in Freitextfelder oder Dateien einbringt.

2.3 Kategorien betroffener Personen

Kundinnen und Kunden sowie potenzielle Kundinnen und Kunden des Verantwortlichen
Lieferanten und Geschäftspartner des Verantwortlichen
Mitarbeitende und Ansprechpersonen des Verantwortlichen
Auf Bilddateien abgebildete Personen (Galerie-Add-on)
Besucherinnen und Besucher der vom Verantwortlichen veröffentlichten Inhalte
Sonstige Personen, deren Daten der Verantwortliche eingibt

2.4 Besondere Kategorien personenbezogener Daten

Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art 9 DSGVO sowie von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art 10 DSGVO ist nicht Gegenstand dieses Auftrags; sie wird vom Betreiber weder angeboten noch vorausgesetzt.

Der Betreiber kann jedoch technisch nicht ausschließen, dass der Verantwortliche solche Daten einbringt — etwa durch Freitextnotizen oder durch Fotografien, aus denen sich Gesundheitsdaten, religiöse Überzeugungen oder die Zugehörigkeit zu einer bestimmten Gruppe ergeben können. Der Verantwortliche entscheidet eigenständig, ob und auf welcher Rechtsgrundlage er derartige Daten einbringt, und stellt insoweit die Zulässigkeit sicher (siehe Punkt 4).

2.5 Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu folgenden Zwecken:

Erstellung, Verwaltung und Übermittlung von Rechnungen, Angeboten und sonstigen Geschäftsdokumenten
Verwaltung von Kontakten, Terminen, Projekten und Produkten
Aufbereitung buchhalterischer und steuerlicher Kennzahlen für den Verantwortlichen
Übermittlung von Nachrichten über die vom Verantwortlichen verbundenen Konten
Bereitstellung und Auslieferung der vom Verantwortlichen erstellten Galerien und veröffentlichten Inhalte
Betrieb, Wartung, Fehlerbehebung und Absicherung der Plattform

Eine Verarbeitung zu eigenen Zwecken des Betreibers findet nicht statt. Insbesondere werden die Daten des Verantwortlichen nicht zum Training von KI-Modellen verwendet und nicht zu Werbezwecken ausgewertet oder an Dritte veräußert.

2.6 Ort der Verarbeitung

Die Verarbeitung findet grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Server-Hosting, Objektspeicher und E-Mail-Hosting liegen in Deutschland.

Eine Übermittlung in ein Drittland erfolgt ausschließlich

bei den in Anlage 2 als Drittlandempfänger gekennzeichneten Sub-Auftragsverarbeitern und
nur, soweit der Verantwortliche die betreffende optionale Funktion (KI-Verarbeitung, Cloud-Integration) selbst aktiviert hat,

und stützt sich auf die Standardvertragsklauseln gemäß Art 46 Abs 2 lit c DSGVO oder einen anderen Übermittlungsmechanismus nach Kapitel V DSGVO.

2.7 Dauer

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet mit dessen Beendigung, unbeschadet der in Punkt 10 geregelten nachvertraglichen Pflichten.

3. Pflichten des Auftragsverarbeiters

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder österreichischem Recht zu einer bestimmten Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

3.3 Der Auftragsverarbeiter setzt die technischen und organisatorischen Maßnahmen gemäß Art 32 DSGVO um; diese sind in Anlage 1 beschrieben.

3.4 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO nachzukommen. Die Plattform stellt hierfür insbesondere Export-, Berichtigungs- und Löschfunktionen bereit, die der Verantwortliche selbst ausführen kann. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, außer er ist dazu rechtlich verpflichtet.

3.5 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und einer allfälligen Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

3.6 Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien der im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art 30 Abs 2 DSGVO.

3.7 Der Auftragsverarbeiter behandelt die ihm überlassenen personenbezogenen Daten und die dabei erlangten Kenntnisse vertraulich. Er verpflichtet alle Personen, die ihm zurechenbar mit der Verarbeitung befasst sind, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

3.8 Datenschutzbeauftragter: Der Auftragsverarbeiter ist ein Einzelunternehmen; die Voraussetzungen des Art 37 DSGVO für die Benennung eines Datenschutzbeauftragten liegen derzeit nicht vor. Treten sie ein, wird der Auftragsverarbeiter eine fachkundige und zuverlässige Person benennen und dies auf der Website bekanntgeben. Datenschutzanfragen sind an legal@puggle.me zu richten.

3.9 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art 28 DSGVO niedergelegten Pflichten erforderlich sind (siehe auch Punkt 11).

4. Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist für die Rechtmäßigkeit der Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten sowie für deren rechtmäßige Übermittlung an den Auftragsverarbeiter allein verantwortlich. Dies umfasst insbesondere das Vorliegen einer Rechtsgrundlage, die Erfüllung der Informationspflichten nach Art 13 und 14 DSGVO gegenüber den betroffenen Personen und — bei Fotografien — die erforderlichen Einwilligungen oder sonstigen Berechtigungen einschließlich der bildnisrechtlichen Zulässigkeit (§ 78 UrhG).

4.2 Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die daraus entstehen, dass er Daten unter Verstoß gegen die ihn treffenden Pflichten in die Plattform eingebracht hat. Diese Freistellung entspricht der Regelung in AGB §6.5 und geht nicht über sie hinaus.

4.3 Der Verantwortliche erteilt Weisungen ausschließlich in der in Punkt 9 vorgesehenen Form.

4.4 Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er in dessen Arbeitsergebnissen Fehler oder Unregelmäßigkeiten datenschutzrechtlicher Art feststellt.

4.5 Der Verantwortliche ist selbst dafür verantwortlich, die ihm zur Verfügung stehenden Funktionen zur Wahrung der Betroffenenrechte zu nutzen — insbesondere Export, Berichtigung, Löschung und den Papierkorb — sowie Zugriffsberechtigungen und Freigaben innerhalb seines Kontos aktuell zu halten.

5. Technische und organisatorische Maßnahmen

5.1 Die in Anlage 1 beschriebenen Maßnahmen werden als verbindlich vereinbart. Sie definieren das vom Auftragsverarbeiter geschuldete Mindestniveau.

5.2 Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

5.3 Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen in angemessenen Abständen.

5.4 Kopien oder Duplikate der Daten werden ohne Kenntnis des Verantwortlichen nicht erstellt. Ausgenommen sind technisch notwendige Vervielfältigungen, insbesondere Datensicherungen, Protokolldateien und Versionsstände des Objektspeichers, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind; ihre Aufbewahrungsdauer ist in der Datenschutzerklärung §12.1 offengelegt.

6. Berichtigung, Löschung und Einschränkung der Verarbeitung

6.1 Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der im Auftrag verarbeiteten Daten nur entsprechend der getroffenen Vereinbarung oder nach Weisung des Verantwortlichen ein.

6.2 Soweit der Verantwortliche diese Vorgänge selbst über die Funktionen der Plattform ausführen kann, gilt deren Nutzung als Weisung.

6.3 Entsprechenden Weisungen des Verantwortlichen leistet der Auftragsverarbeiter jederzeit Folge.

7. Sub-Auftragsverarbeiter

7.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 2 genannten Sub-Auftragsverarbeiter heranzuziehen.

7.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Sub-Auftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens 30 Tage vorab per E-Mail oder über eine Benachrichtigung in der Plattform mit.

7.3 Der Verantwortliche kann einer beabsichtigten Änderung binnen 14 Tagen ab Zugang der Mitteilung aus sachlichen, datenschutzbezogenen Gründen widersprechen. Wird der Widerspruch nicht ausgeräumt und kann die Leistung ohne den betreffenden Sub-Auftragsverarbeiter nicht in gleicher Weise erbracht werden, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen.

7.4 Der Auftragsverarbeiter wählt Sub-Auftragsverarbeiter unter besonderer Berücksichtigung der Eignung ihrer technischen und organisatorischen Maßnahmen sorgfältig aus.

7.5 Der Auftragsverarbeiter schließt mit jedem Sub-Auftragsverarbeiter einen Vertrag gemäß Art 28 Abs 4 DSGVO, der diesem mindestens gleichwertige Datenschutzpflichten auferlegt. Er haftet gegenüber dem Verantwortlichen dafür, dass der Sub-Auftragsverarbeiter seine Datenschutzpflichten einhält.

7.6 Auf Verlangen gewährt der Auftragsverarbeiter Einsicht in die für die Sub-Auftragsverarbeitung maßgeblichen vertraglichen Regelungen, soweit Geschäftsgeheimnisse Dritter dem nicht entgegenstehen.

7.7 Nicht als Sub-Auftragsverarbeitung im Sinne dieses Punktes gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß Zugriff auf personenbezogene Daten des Verantwortlichen erhalten (z. B. Telekommunikationsdienste). Die Pflicht, auch in diesen Fällen Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

7.8 Dienste, die der Verantwortliche selbst aktiviert und zu denen er eigene Konten oder eigene Zugangsschlüssel beisteuert — insbesondere Cloud-Integrationen (Microsoft 365, Google Workspace, iCloud) und KI-Anbieter bei Verwendung eigener API-Schlüssel — werden nur auf seine Veranlassung hin einbezogen. Das Vertragsverhältnis des Verantwortlichen zu diesen Anbietern besteht daneben eigenständig; für dessen datenschutzrechtliche Ausgestaltung ist der Verantwortliche selbst zuständig.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

8.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich. Auch begründete Verdachtsfälle sind mitzuteilen.

8.2 Die Meldung enthält mindestens die in Art 33 Abs 3 DSGVO genannten Angaben, soweit sie dem Auftragsverarbeiter vorliegen: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen.

8.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Pflichten nach Art 33 und 34 DSGVO im erforderlichen Umfang. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen.

8.4 Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen der Auftragserledigung sowie Kontrollen oder Maßnahmen von Aufsichtsbehörden, soweit sie Bezug zur Auftragsverarbeitung aufweisen.

9. Weisungen

9.1 Der Verantwortliche hat hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht.

9.2 Weisungen sind in Textform (E-Mail genügt) an legal@puggle.me zu richten. Als Weisung gilt darüber hinaus jede Bedienung der Plattform durch den Verantwortlichen oder durch von ihm berechtigte Personen im Rahmen des vorgesehenen Funktionsumfangs.

9.3 Mündlich erteilte Weisungen sind vom Verantwortlichen unverzüglich in Textform zu bestätigen.

9.4 Der Auftragsverarbeiter dokumentiert die ihm erteilten Weisungen und deren Umsetzung.

10. Beendigung, Rückgabe und Löschung

10.1 Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen an diesen zurück. Der Verantwortliche übt dieses Wahlrecht über die Kontoeinstellungen aus; die Plattform stellt hierfür Export- und Löschfunktionen bereit (AGB §12).

10.2 Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere steuerlich relevante Aufzeichnungen und Belege gemäß §§ 131, 132 BAO (7 bzw. 10 Jahre). Diese werden gesperrt, nicht weiter aktiv verarbeitet und nach Ablauf der Frist gelöscht.

10.3 Wirksamwerden der Löschung in Sicherungen: Eine Löschung wirkt im laufenden Betrieb sofort. In Datensicherungen und in der Versionshistorie des Objektspeichers bleiben die betroffenen Daten für die in der Datenschutzerklärung §12.1 offengelegten Zeiträume enthalten und werden danach automatisch entfernt. Diese Fenster bestehen ausschließlich zur Wiederherstellung nach technischen Fehlern; ein Zugriff im Regelbetrieb findet nicht statt. Verlangt der Verantwortliche eine sofortige, auch die Wiederherstellungsfenster erfassende Löschung, teilt er dies ausdrücklich mit; der Auftragsverarbeiter setzt dies im technisch möglichen Umfang um.

10.4 Der Auftragsverarbeiter veranlasst die Löschung bzw. Rückgabe auch bei den Sub-Auftragsverarbeitern.

10.5 Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

10.6 Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

11. Nachweise und Kontrollen

11.1 Der Auftragsverarbeiter weist die Einhaltung der in diesem Vertrag festgelegten Pflichten auf Anfrage nach — vorrangig durch Auskünfte, durch Vorlage der Beschreibung seiner technischen und organisatorischen Maßnahmen sowie durch Nachweise seiner Sub-Auftragsverarbeiter (Zertifizierungen, Prüfberichte).

11.2 Reichen diese Nachweise im Einzelfall nicht aus, ist der Verantwortliche berechtigt, die Einhaltung nach vorheriger Ankündigung von mindestens 14 Tagen selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht in Wettbewerb zum Auftragsverarbeiter stehenden Prüfer zu überprüfen. Kontrollen erfolgen zu den üblichen Geschäftszeiten, ohne vermeidbare Störung des Betriebsablaufs und in einem angemessenen, auf die gegenständliche Verarbeitung bezogenen Umfang.

11.3 Der Auftragsverarbeiter erteilt die erforderlichen Auskünfte, demonstriert Abläufe und legt die zur Durchführung einer Kontrolle erforderlichen Nachweise vor. Er stellt dabei sicher, dass Daten anderer Nutzer nicht offengelegt werden.

11.4 Für Kontrollen, die über die in Art 28 Abs 3 lit h DSGVO vorgesehenen Nachweispflichten hinausgehen und auf Veranlassung des Verantwortlichen erfolgen, kann der Auftragsverarbeiter den angemessenen Aufwand nach den geltenden Stundensätzen verrechnen.

12. Haftung

12.1 Für die Haftung zwischen den Parteien gilt AGB §10. Art 82 DSGVO bleibt davon unberührt: Die Haftung gegenüber betroffenen Personen und die Außenhaftung nach der DSGVO können durch diesen Vertrag weder ausgeschlossen noch beschränkt werden.

12.2 Im Innenverhältnis trägt jede Partei die Folgen der von ihr zu vertretenden Verstöße.

13. Vertraulichkeit

13.1 Beide Parteien behandeln alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei vertraulich, auch über die Beendigung des Vertrags hinaus.

13.2 Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur Freigabe durch die andere Partei als vertraulich zu behandeln.

14. Schlussbestimmungen

14.1 Gerät das Eigentum des Verantwortlichen beim Auftragsverarbeiter durch Maßnahmen Dritter (etwa Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse in Gefahr, verständigt der Auftragsverarbeiter den Verantwortlichen unverzüglich.

14.2 Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Formerfordernisses.

14.3 Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

14.4 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Zwingende verbraucherschützende Bestimmungen bleiben unberührt.

14.5 Gerichtsstand ist das sachlich zuständige Gericht in Wien. Verbrauchern steht der gesetzliche Gerichtsstand zu.

Anlage 1: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind umgesetzt und werden als Mindestniveau geschuldet (Art 32 DSGVO). Sie entsprechen den in der Datenschutzerklärung §10.3 und §14 beschriebenen Maßnahmen.

Vertraulichkeit

Zugangskontrolle: Authentifizierungspflicht für sämtliche Anwendungsseiten; Passwörter ausschließlich gehasht gespeichert (PBKDF2 mit SHA-256); datenbankgestützte Sitzungen mit automatischem Ablauf; HttpOnly- und SameSite-Schutz für Sitzungscookies.
Zugriffskontrolle: Rollenbasierte Berechtigungen; Trennung der Daten nach Konto; Objektfreigaben ausschließlich durch die Eigentümerin bzw. den Eigentümer, standardmäßig schreibgeschützt, Bearbeitungsrechte je Nutzer gesondert.
Verschlüsselung ruhender Daten: Feldbezogene Verschlüsselung besonders schutzbedürftiger Inhalte (Bankverbindungen, API-Schlüssel, OAuth-Tokens, Zugangsdaten verbundener Postfächer) mittels Fernet (AES-128-CBC mit HMAC-SHA256); dedizierter Verschlüsselungsschlüssel mit Rotationsmöglichkeit und Ersatzschlüssel für unterbrechungsfreie Rotation.
Geschützte Auslieferung von Bilddateien: Originaldateien im Objektspeicher sind nicht öffentlich zugänglich; der Abruf erfolgt ausschließlich über kurzlebige, signierte URLs.

Integrität

Transportverschlüsselung: TLS 1.2 oder höher für sämtliche Verbindungen; HTTP Strict Transport Security (HSTS) mit Preload; SMTP und IMAP ausschließlich TLS-verschlüsselt; Datenbankverbindungen über SSL.
Eingabe- und Änderungskontrolle: Jede Erstellung und Änderung wird mit Zeitstempel und auslösender Benutzerkennung protokolliert (created_by, updated_by); Versionshistorie mit Wiederherstellungsmöglichkeit für die dafür vorgesehenen Datensätze.
Abwehr typischer Angriffe: Token-basierter Schutz gegen Cross-Site-Request-Forgery; Schutzmaßnahmen gegen Cross-Site-Scripting und Clickjacking (X-Frame-Options: SAMEORIGIN, Content-Type: nosniff); Signaturprüfung eingehender Zahlungs-Webhooks.

Verfügbarkeit und Belastbarkeit

Betrieb in einem Rechenzentrum innerhalb der EU (Deutschland) bei einem nach ISO 27001 zertifizierten Anbieter (siehe Anlage 2 — die Zertifizierung ist die des Subdienstleisters).
Regelmäßige, automatisierte Datensicherungen von Datenbank und Medien; Versionierung des Objektspeichers als Schutz vor Fehllöschung; Aufbewahrungsdauern offengelegt in der Datenschutzerklärung §12.1.
Wiederherstellungsverfahren sind dokumentiert und werden praktisch erprobt.

Trennung und Zweckbindung

Getrennte Entwicklungs- und Produktionsumgebungen.
Trennung von Produktivdaten, Protokolldaten und Datensicherungen.
Mandantentrennung auf Anwendungsebene; Zugriff auf Daten anderer Nutzer ist ausgeschlossen, soweit nicht die Eigentümerin bzw. der Eigentümer ausdrücklich eine Freigabe erteilt hat.

Organisation

Verzeichnis der Verarbeitungstätigkeiten gemäß Art 30 Abs 2 DSGVO.
Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit.
Verfahren zur Erkennung und Meldung von Verletzungen des Schutzes personenbezogener Daten (Punkt 8).
Protokollierung von Verschlüsselungsvorgängen aktivierbar.
Nutzung von KI-Anbietern nur nach gesonderter Einwilligung; ohne diese Einwilligung findet keine Übermittlung an KI-Anbieter statt.

Anlage 2: Genehmigte Sub-Auftragsverarbeiter

Stand: Juli 2026. Änderungen an dieser Liste werden gemäß Punkt 7.2 vorab mitgeteilt.

Sub-Auftragsverarbeiter	Leistung	Standort	Drittlandübermittlung	AVV-Status
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, DE	Server-Hosting, Objektspeicher, E-Mail-Hosting (ISO 27001, SOC 1 Type II zertifiziert)	Deutschland (EU)	nein	in Umsetzung
BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, SI	Content Delivery Network für öffentliche Galerie-Bildvarianten	Slowenien (EU)	nein	in Umsetzung
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, IE	Abonnement- und Zahlungsabwicklung	Irland (EU)	nein	in Umsetzung
Anthropic, PBC, 548 Market St, San Francisco, CA 94104, US	KI-Verarbeitung — nur bei aktivierter KI-Funktion	USA	ja — Standardvertragsklauseln	in Umsetzung
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, IE	Cloud-Integration und KI-Verarbeitung — nur bei aktivierter Funktion	Irland (EU)	nein	in Umsetzung
Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, US	Cloud-Integration Microsoft 365 — nur bei aktivierter Funktion	USA / EU	ja — Standardvertragsklauseln	in Umsetzung
Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, IE	iCloud-Kontaktsynchronisation — nur bei aktivierter Funktion	Irland (EU)	nein	in Umsetzung
OpenAI, L.L.C., 3180 18th St, San Francisco, CA 94110, US	KI-Verarbeitung (Legacy) — nur bei aktivierter Funktion	USA	ja — Standardvertragsklauseln	in Umsetzung
Mistral AI SAS, 15 rue des Halles, 75001 Paris, FR	KI-Verarbeitung — nur bei aktivierter Funktion	Frankreich (EU)	nein	in Umsetzung

„in Umsetzung" bedeutet, dass der Abschluss des Standard-Auftragsverarbeitungsvertrags des jeweiligen Anbieters vorbereitet wird. Der Betreiber weist den jeweils aktuellen Stand auf Anfrage nach.

Version 1.0 — Stand: August 2026