Auftragsverarbeitungs­vereinbarung (AVV)

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch FDM im Auftrag des Kunden im Rahmen der Nutzung der Plattform Entgelt-Transparenz.at gemäß Hauptvertrag (AGB und gebuchter Tarif).

Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Export- und Löschfristen nach Ziffer 12.

Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor. Die Haftungsregelungen des Hauptvertrags gelten auch für Ansprüche aus dieser Vereinbarung, soweit Art. 82 DSGVO dem nicht entgegensteht.

Zweck der Verarbeitung: Bereitstellung und Nutzung der Plattform Entgelt-Transparenz.at zur Unterstützung des Kunden bei Aufgaben im Bereich Entgelttransparenz, Gleichbehandlung und Vergütungsanalyse einschließlich der hierfür erforderlichen Auswertung, Dokumentation und Verwaltung personenbezogener Daten.

Art der Verarbeitung: Erhebung durch Import und Eingabe, Speicherung, Strukturierung, Berechnung und Aggregation, Anzeige gegenüber berechtigten Nutzern des Kunden, Export, Protokollierung, Sicherung und Löschung.

Kategorien betroffener Personen:

Kategorien personenbezogener Daten:

Besondere Kategorien personenbezogener Daten: Die Plattform ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO vorgesehen. Soweit der Kunde solche Daten dennoch verarbeitet, ist er für deren datenschutzrechtliche Zulässigkeit verantwortlich.

Der Kunde ist allein Verantwortlicher für die Rechtmäßigkeit der Verarbeitung. Er bestimmt und dokumentiert die jeweils einschlägige Rechtsgrundlage nach Art. 6 und – soweit tatsächlich besondere Kategorien personenbezogener Daten verarbeitet werden – Art. 9 DSGVO, erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO, prüft die Erforderlichkeit einer Datenschutz-Folgenabschätzung und wahrt die Betroffenenrechte. Daneben erfüllt der Kunde eigenständig die arbeits- und betriebsverfassungsrechtlichen Anforderungen, insbesondere eine gegebenenfalls erforderliche Einbindung oder Zustimmung der Arbeitnehmervertretung nach dem ArbVG, namentlich §§ 96, 96a ArbVG.

FDM verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung und der Nutzung der Plattformfunktionen durch berechtigte Nutzer des Kunden (Konfiguration, Import, Freigaben, Löschungen, Exporte). Weitere Weisungen sind in Textform an office@fdm-software.at oder kontakt@entgelt-transparenz.at zu richten. FDM darf für weisungsbedingte Mehraufwände außerhalb des Funktionsumfangs ein angemessenes Entgelt verlangen.

FDM informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen Datenschutzrecht verstößt, und darf die Ausführung bis zur Bestätigung aussetzen.

FDM stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

FDM trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und überprüft sie regelmäßig. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

FDM unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und soweit dies möglich ist bei der Erfüllung seiner Pflichten zur Bearbeitung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Die Unterstützung erfolgt vorrangig durch die in der Plattform bereitgestellten Funktionen, insbesondere Export, Berichtigung und Löschung. Erhält FDM unmittelbar eine Betroffenenanfrage betreffend Kundendaten, informiert FDM den Kunden unverzüglich und beantwortet die Anfrage nicht selbst, sofern der Kunde FDM hierzu nicht ausdrücklich angewiesen hat.

FDM unterstützt den Kunden bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

FDM informiert den Kunden unverzüglich, nachdem FDM eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist, und stellt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen zur Verfügung, soweit diese FDM vorliegen. Noch nicht verfügbare Informationen werden nachgereicht.

FDM stellt dem Kunden alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen nach Ziffer 9.

Der Kunde importiert und erfasst nur Daten, die für die Zwecke nach Ziffer 2 erforderlich sind, und prüft Importdateien vor dem Upload auf Datenminimierung und Richtigkeit. Datenfelder, die für die genutzten Funktionen nicht erforderlich sind, sollen nicht an FDM übermittelt werden.

Der Kunde vergibt Rollen und Berechtigungen nach dem Need-to-know-Prinzip, entfernt ausgeschiedene Nutzer unverzüglich, nutzt die Datenschutz-Schwellen und Aggregationsfunktionen bestimmungsgemäß und legt keine Einzelentgelte gegenüber unberechtigten Personen offen.

Der Kunde ist für die Rechtmäßigkeit der Übermittlung personenbezogener Daten an FDM verantwortlich und stellt sicher, dass seine Nutzer die für sie geltenden Rollen-, Berechtigungs-, Vertraulichkeits- und Datenminimierungsvorgaben einhalten.

Der Kunde stellt sicher, dass seine Nutzer personenbezogene Daten nur im Rahmen ihrer jeweiligen Berechtigungen und der geltenden Datenschutzvorgaben verarbeiten.

Der Kunde genehmigt allgemein den Einsatz der in Anlage 2 genannten Subunternehmer.

FDM informiert den Kunden über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter und gibt ihm Gelegenheit, aus wichtigem datenschutzrechtlichem Grund zu widersprechen. Die Information erfolgt grundsätzlich vor deren Einsatz; in dringenden Fällen kann sie kurzfristig erfolgen. Kann einem berechtigten Widerspruch nicht durch eine für FDM zumutbare Alternative Rechnung getragen werden, ist FDM berechtigt, die betroffene Leistung oder den Hauptvertrag zu kündigen.

FDM verpflichtet Subunternehmer vertraglich zu Datenschutzpflichten, die den Pflichten aus dieser Vereinbarung entsprechen, und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich.

Dienstleister, die keine personenbezogenen Kundendaten im Auftrag des Kunden verarbeiten, sind keine weiteren Auftragsverarbeiter im Sinne dieser Vereinbarung.

Die Verarbeitungsorte der von FDM eingesetzten weiteren Auftragsverarbeiter ergeben sich aus Anlage 2.

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur unter den Voraussetzungen des Kapitels V DSGVO.

FDM stellt dem Kunden die gemäß Art. 28 DSGVO erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung. Kontrollen erfolgen vorrangig anhand geeigneter Dokumentationen, Sicherheitsinformationen, Zertifizierungen, Prüfberichte oder angemessener Fragebögen.

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags. Die Haftungsbeschränkungen des Hauptvertrags gelten nicht, soweit sie gegenüber betroffenen Personen nach Art. 82 DSGVO unwirksam wären; im Innenverhältnis der Parteien bleiben sie anwendbar.

Nach einer Löschweisung werden personenbezogene Kundendaten entsprechend dem bei FDM eingesetzten Lösch- und Sicherungskonzept aus den Produktivsystemen entfernt. In Sicherungskopien enthaltene Daten werden im Rahmen der regulären Sicherungszyklen gelöscht oder überschrieben und bis dahin nicht erneut produktiv verarbeitet, sofern keine gesetzliche Verpflichtung hierzu besteht.

Ausgenommen sind Daten, die FDM aufgrund gesetzlicher Aufbewahrungspflichten speichern muss; diese werden gesperrt und ausschließlich für diesen Zweck aufbewahrt. Vertrags- und Abrechnungsdaten, die FDM als eigener Verantwortlicher verarbeitet, unterliegen den hierfür geltenden gesetzlichen Aufbewahrungsfristen und nicht der Löschweisung des Kunden im AVV.

Soweit Audit- und Protokolldaten personenbezogene Kundendaten enthalten, werden sie nur so lange gespeichert, wie dies für Sicherheits-, Nachweis- und Dokumentationszwecke erforderlich ist. Nach Wegfall dieser Zwecke werden personenbezogene Inhalte nach Maßgabe des jeweils geltenden Lösch- und Aufbewahrungskonzepts gelöscht oder anonymisiert. Nach Vertragsende gelten ergänzend die Ziffern 12.1 und 12.2.

Änderungen bedürfen der Textform.

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Wien. Die sachliche Zuständigkeit richtet sich nach den gesetzlichen Vorschriften.

Die Anlagen 1 und 2 sind Bestandteil dieser Vereinbarung. Der Abschluss und die Unterfertigung dieser Vereinbarung in elektronischer Form sind zulässig.