Auftragsverarbeitungsvereinbarung

Diese Auftragsverarbeitungsvereinbarung (die „AVV") wird zwischen dem Kunden, der die Dienste von statycs auf Grundlage eines gültigen Dienstleistungsvertrags nutzt (dem „Verantwortlichen"), und der statycs GmbH, FN 613704g, Liechtensteinstraße 59, 1090 Wien, Österreich (dem „Auftragsverarbeiter") geschlossen.

Die AVV regelt die Verarbeitung personenbezogener Daten durch statycs im Auftrag des Verantwortlichen im Zusammenhang mit der statycs-SaaS-Plattform für Finanzplanung und -analyse. Sie tritt in Kraft, sobald der Verantwortliche die AGB akzeptiert oder anderweitig einen Dienstleistungsvertrag mit statycs abschließt, und gilt, solange statycs personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im Fall eines Widerspruchs zwischen dieser AVV und anderen vertraglichen Bestimmungen hat die AVV in Bezug auf Datenschutzfragen Vorrang.

Gegenstand der Verarbeitung. Die Verarbeitung personenbezogener Daten, die erforderlich ist, damit statycs dem Verantwortlichen die Plattform für Finanzplanung und -analyse zur Verfügung stellen kann.

Dauer der Verarbeitung. Für die Laufzeit des zugrunde liegenden Dienstleistungsvertrags einschließlich einer nachgelagerten Abwicklungs- und Löschungsphase gemäß § 11.

statycs verarbeitet personenbezogene Daten, um dem Verantwortlichen die Plattform für Finanzplanung und -analyse bereitzustellen. Die Verarbeitung umfasst insbesondere die Erhebung, Speicherung, Organisation, Strukturierung, Abfrage, Konsultation, Verwendung und Löschung von Daten, soweit dies zur Leistungserbringung erforderlich ist.

Die Verarbeitung erfolgt ausschließlich auf Grundlage der dokumentierten Weisungen des Verantwortlichen. statycs wird personenbezogene Daten nicht zu anderen Zwecken als zur Erbringung der vereinbarten Dienste verarbeiten, es sei denn, dies ist nach EU- oder österreichischem Recht vorgeschrieben. In einem solchen Fall unterrichtet statycs den Verantwortlichen vor der Verarbeitung über die rechtliche Verpflichtung, sofern das Recht diese Unterrichtung nicht untersagt.

Kategorien personenbezogener Daten. Folgende Arten personenbezogener Daten können verarbeitet werden: Namen, E-Mail-Adressen, Telefonnummern, Berufsbezeichnungen, Unternehmenszugehörigkeit, IP-Adressen, Browser- und Gerätedaten sowie alle weiteren personenbezogenen Daten, die der Verantwortliche in die Plattform eingibt. Hochgeladene Finanzdaten - etwa Buchhaltungsdaten, Berichte oder Pläne - können personenbezogene Daten enthalten, soweit der Verantwortliche sie einbezieht.

Kategorien betroffener Personen. Betroffene Personen sind insbesondere Mitarbeiter, Auftragnehmer, Kunden, Lieferanten, Investoren und sonstige natürliche Personen des Verantwortlichen, deren personenbezogene Daten über die Plattform verarbeitet werden.

Der Verantwortliche ist datenschutzrechtlich der Verantwortliche im Sinne der DSGVO und trägt die alleinige Verantwortung dafür, dass die Verarbeitung personenbezogener Daten rechtmäßig erfolgt - einschließlich des Vorhandenseins einer gültigen Rechtsgrundlage sowohl für die Verarbeitung als auch für die Übermittlung der Daten an statycs.

Der Verantwortliche ist für die Richtigkeit, Qualität und Rechtmäßigkeit der an statycs übermittelten personenbezogenen Daten verantwortlich und hat sämtliche geltenden Datenschutzvorschriften einzuhalten, einschließlich der Information der betroffenen Personen über die Verarbeitung ihrer Daten.

statycs verpflichtet sich,

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, eine abweichende Verarbeitung ist gesetzlich vorgeschrieben,
• sicherzustellen, dass alle zur Verarbeitung befugten Personen einer schriftlichen Vertraulichkeitsverpflichtung unterliegen,
• geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten,
• den Verantwortlichen bei der Beantwortung von Betroffenenanfragen nach den Art. 15 bis 22 DSGVO zu unterstützen,
• den Verantwortlichen bei der Einhaltung der Art. 32 bis 34 DSGVO, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen mit Aufsichtsbehörden zu unterstützen - unter Berücksichtigung der Art der Verarbeitung und der statycs verfügbaren Informationen,
• den Verantwortlichen unverzüglich zu benachrichtigen, sobald eine Verletzung des Schutzes personenbezogener Daten bekannt wird,
• nach Beendigung des Dienstleistungsvertrags sämtliche personenbezogenen Daten zu löschen oder an den Verantwortlichen zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht besteht,
• den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung nach Auffassung von statycs gegen die DSGVO oder sonstiges anwendbares Datenschutzrecht verstößt.

statycs erfüllt ihre Auditpflichten nach Art. 28 Abs. 3 lit. h DSGVO dadurch, dass sie auf angemessene schriftliche Anfrage - und höchstens einmal in zwölf Monaten - ihre aktuelle Sicherheitszusammenfassung, ihre Liste der Unterauftragsverarbeiter sowie schriftliche Antworten auf einen angemessenen Fragenkatalog des Verantwortlichen zur Verfügung stellt. Darüber hinaus kann der Verantwortliche - oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter unabhängiger Prüfer - ein Vor-Ort-Audit höchstens einmal in 24 Monaten durchführen sowie jederzeit auf Anordnung einer Aufsichtsbehörde oder bei begründetem Verdacht einer Sicherheitsverletzung. Vor-Ort-Audits erfolgen auf Kosten des Verantwortlichen, mit einer Vorankündigung von 30 Tagen, während der Geschäftszeiten und mit vorab schriftlich vereinbartem Umfang sowie vereinbarter Vertraulichkeit.

statycs setzt zur Erbringung der Leistungen folgende Unterauftragsverarbeiter ein:

• Google Analytics (Google LLC, USA) - Analyse
• PostHog (PostHog Inc., USA; PostHog Cloud EU mit Hosting in Deutschland) - Produktanalyse
• Hanko (Hanko GmbH, Deutschland) - Authentifizierung
• Zero (Zero Inc., Finnland) - CRM
• Hetzner (Hetzner Online GmbH, Deutschland) - Hosting
• Chatwoot (Chatwoot Inc., USA) - Live-Chat für Website-Besucher, nicht für App-Nutzer

statycs stellt sicher, dass sämtliche Unterauftragsverarbeiter durch schriftliche Vereinbarungen mit gleichwertigen datenschutzrechtlichen Pflichten gebunden sind. Beabsichtigte Änderungen werden dem Verantwortlichen mindestens 30 Tage im Voraus mitgeteilt. Der Verantwortliche kann einem neuen Unterauftragsverarbeiter binnen 14 Tagen nach Zugang der Mitteilung aus berechtigten Gründen widersprechen. Kann der Widerspruch nicht einvernehmlich ausgeräumt werden, ist der Verantwortliche berechtigt, den Vertrag mit Wirkung zum Zeitpunkt des Inkrafttretens der Änderung zu kündigen; statycs erstattet in diesem Fall bereits bezahlte Entgelte anteilig für den ungenutzten Teil der Laufzeit.

statycs speichert und verarbeitet Kundendaten innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit Daten an Unterauftragsverarbeiter außerhalb der EU oder des EWR übermittelt werden müssen - insbesondere in die Vereinigten Staaten -, stellt statycs geeignete Schutzmaßnahmen nach Kapitel V DSGVO sicher.

Zu diesen Schutzmaßnahmen zählen die von der Europäischen Kommission erlassenen EU-Standardvertragsklauseln sowie - soweit einschlägig - Angemessenheitsbeschlüsse. statycs überprüft regelmäßig den Rechtsrahmen der Empfängerländer, um die fortlaufende Einhaltung sicherzustellen. Eine Kopie der Schutzmaßnahmen ist auf Anfrage unter [email protected] erhältlich.

statycs setzt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten um, darunter:

• Verschlüsselung der Daten bei der Übertragung (TLS) und im ruhenden Zustand
• Rollenbasierte Zugriffskontrollen nach dem Prinzip der geringsten Berechtigung
• Mehrstufige Authentifizierung für interne Systeme
• Regelmäßige Sicherheitsüberprüfungen, die in Art und Umfang der Verarbeitung angemessen sind, einschließlich gelegentlicher Tests durch Dritte
• Automatisierte Datensicherung und Disaster-Recovery-Verfahren
• Protokollierung und Überwachung des Zugriffs auf personenbezogene Daten
• Schulungen zur Sicherheitsbewusstseinsbildung für Mitarbeiter

Eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen ist auf Anfrage unter [email protected] erhältlich.

statycs benachrichtigt den Verantwortlichen unverzüglich, sobald eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen darstellt.

Die Benachrichtigung enthält - soweit bekannt - die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen, die voraussichtlichen Folgen, die zur Behebung der Verletzung und zur Minderung ihrer Auswirkungen ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle ([email protected]), bei der der Verantwortliche weitere Informationen einholen kann.

statycs arbeitet mit dem Verantwortlichen zusammen und unternimmt in angemessenem Umfang Schritte zur Unterstützung bei der Untersuchung, Eindämmung und Behebung der Verletzung.

Die Haftung für die Datenverarbeitung im Rahmen dieser AVV richtet sich nach den AGB des zugrunde liegenden Dienstleistungsvertrags. Diese AVV ändert oder erweitert die zwischen den Parteien vereinbarten Haftungsbestimmungen nicht.

Jede Partei haftet für Schäden, die durch eine Verarbeitung verursacht werden, die gegen die DSGVO verstößt, gemäß Art. 82 DSGVO. statycs haftet nur für Schäden, die durch eine Verarbeitung verursacht werden, die nicht den speziell an Auftragsverarbeiter gerichteten Pflichten der DSGVO oder den rechtmäßigen Weisungen des Verantwortlichen entspricht.

Diese AVV endet automatisch mit der Beendigung des zugrunde liegenden Dienstleistungsvertrags zwischen dem Verantwortlichen und statycs.

Nach Beendigung werden die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten 30 Tage aufbewahrt und anschließend unwiderruflich gelöscht, sofern der Verantwortliche nicht innerhalb dieser Frist die Rückgabe der Daten in einem strukturierten, gängigen Format verlangt. Eine darüber hinausgehende Aufbewahrung erfolgt nur, wenn dies nach EU- oder österreichischem Recht vorgeschrieben ist; statycs informiert den Verantwortlichen in diesem Fall über die entsprechende Anforderung.

Diese AVV unterliegt österreichischem Recht. Ausschließlicher Gerichtsstand ist das sachlich zuständige Gericht in Wien.