Auftragsverarbeitungsvertrag (AVV)

Vertragspartner dieses AVV sind der jeweilige Kundenbetrieb (im Folgenden „Auftraggeber" oder „Verantwortlicher") und Nils Binker, Einzelunternehmen (nicht im Firmenbuch eingetragen), Hauptstraße 40, 7361 Strebersdorf, Österreich (im Folgenden „Auftragnehmer"), als Anbieter der Software „Sicher unterwiesen". Dieser AVV ergänzt die AGB und geht ihnen für Fragen der Auftragsverarbeitung vor.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten der Beschäftigten des Auftraggebers durch den Auftragnehmer im Rahmen der Bereitstellung von „Sicher unterwiesen": einer Software zur Organisation, Erinnerung und Dokumentation gesetzlich vorgeschriebener Arbeitsschutz-Unterweisungen. Die Verarbeitung erfolgt ausschließlich in der Europäischen Union.

Dieser AVV gilt für die Dauer des Hauptvertrags (Nutzungsvertrag nach den AGB) und endet automatisch mit dessen Beendigung — unbeschadet fortwirkender Pflichten, insbesondere zur Löschung/Rückgabe (Abschnitt 9) und zur Vertraulichkeit (Abschnitt 5), die über das Vertragsende hinaus bestehen bleiben.

2. Art und Zweck der Verarbeitung

Der Auftragnehmer erhebt, speichert, zeigt an, ändert und übermittelt die in Abschnitt 3 genannten Daten, um folgende Funktionen bereitzustellen: Verwaltung der Mitarbeiterliste des Auftraggebers, automatische Berechnung von Unterweisungsfristen je Mitarbeiter:in und Thema, Versand von Erinnerungs-E-Mails an den Auftraggeber, Versand personalisierter Bestätigungslinks an Mitarbeitende, Erfassung von deren Bestätigung (inklusive Verständnisfragen, Zeitstempel, IP-Adresse und Browser-Kennung) sowie Erstellung des daraus resultierenden Unterweisungsnachweis-PDF.

3. Art der Daten und Kategorien betroffener Personen

Betroffene Personen sind ausschließlich die Beschäftigten des Auftraggebers (im Folgenden „Mitarbeitende").

Verarbeitete Datenarten:

• Name, optional E-Mail-Adresse, Tätigkeit, Einstellungsdatum, Status aktiv/ausgeschieden;
• zu jeder Unterweisung: Thema, Datum, Name der unterweisenden Person, optionale Freitext-Notiz des Auftraggebers;
• zur Bestätigung: Status (offen/bestätigt), Zeitpunkt, IP-Adresse, Browser-Kennung (User-Agent) sowie die gewählten Antworten auf Verständnisfragen (Auswahl-Indizes, kein Freitext).

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten) sind nicht Gegenstand der bestimmungsgemäßen Nutzung. Der Auftraggeber verpflichtet sich, solche Daten insbesondere nicht in Freitextfelder (Notizfeld) einzutragen, soweit dies nicht zwingend erforderlich ist.

4. Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Diese Weisung wird durch die bestimmungsgemäße Nutzung der Softwarefunktionen erteilt und durch diesen AVV konkretisiert; darüberhinausgehende Einzelweisungen sind in Textform (z. B. E-Mail) möglich. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf ihre Ausführung bis zur Klärung aussetzen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt, außer soweit dies gesetzlich zwingend vorgeschrieben ist; in diesem Fall informiert der Auftragnehmer den Auftraggeber vorab, sofern das Recht dies nicht verbietet.

5. Vertraulichkeit

Der Zugriff auf die Daten ist auf Personen beschränkt, die ihn zur Erbringung der vertraglich vereinbarten Leistungen benötigen. Alle Zugriffsberechtigten sind zur Vertraulichkeit verpflichtet; diese Verpflichtung wirkt über das Ende ihrer Tätigkeit für den Auftragnehmer hinaus fort.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft die folgenden Maßnahmen; sie beschreiben ausschließlich den tatsächlich umgesetzten Stand, keine geplanten oder unverbindlichen Absichten:

• Passwörter werden ausschließlich als Hash (bcrypt) gespeichert, nie im Klartext.
• Zugriff auf das Kundenkonto erfolgt token-basiert (JWT) mit kurz befristeten Zugriffstoken und separatem, widerrufbarem Refresh-Token.
• Anmelde-, Registrierungs- und Bestätigungs-Endpunkte sind ratenbegrenzt, um automatisierte Angriffsversuche zu erschweren.
• Bestätigungslinks für Mitarbeitende sind kryptographisch zufällig (256 Bit), einmalig nutzbar, zeitlich befristet und werden bei der Prüfung zeitkonstant verglichen (Schutz vor Seitenkanalangriffen).
• Strikte Mandantentrennung: Jede Abfrage im Kundenbereich ist auf den jeweils angemeldeten Betrieb beschränkt; ein betriebsübergreifender Zugriff ist softwareseitig nicht vorgesehen.
• Die Verbindung zwischen Browser und Server wird im Produktivbetrieb per HTTPS verschlüsselt.
• Eingehende Zahlungs-Benachrichtigungen (Stripe-Webhooks) werden signaturgeprüft.
• Eingaben, die in den Betreff von System-E-Mails einfließen, werden gegen Header-Manipulation gefiltert.
• Datenminimierung im Produktdesign: Mitarbeitende benötigen kein eigenes Konto und keine E-Mail-Adresse ist zwingend erforderlich.

Eine Verschlüsselung der Datenbank im Ruhezustand sowie ein dokumentiertes Backup-/Wiederherstellungskonzept sind nicht Gegenstand dieser Aufzählung, weil sie zum Stand dieses Textes nicht gesondert nachgewiesen sind — Einzelheiten auf Anfrage.

7. Unterauftragsverarbeiter

Für die Verarbeitung von Mitarbeiterdaten setzt der Auftragnehmer aktuell folgende Unterauftragsverarbeiter ein:

Der Zahlungsdienstleister Stripe verarbeitet ausschließlich Daten des Auftraggebers selbst (Vertrags- und Zahlungsdaten), keine Mitarbeiterdaten, und ist daher kein Unterauftragsverarbeiter im Sinne dieses AVV.

Der Auftraggeber stimmt der Beauftragung der oben genannten Unterauftragsverarbeiter zu. Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter einzusetzen oder auszutauschen, informiert er den Auftraggeber mit einer Frist von mindestens 30 Tagen vor dem Einsatz in Textform (z. B. E-Mail). Der Auftraggeber kann dem Einsatz innerhalb dieser Frist aus wichtigem, in Textform mitzuteilendem Grund widersprechen; kommt keine Einigung zustande, sind beide Seiten zur außerordentlichen Kündigung des betroffenen Teils der Leistung berechtigt.

8. Unterstützung des Verantwortlichen

Anfragen von Mitarbeitenden zu deren Rechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) kann der Auftraggeber für Basisdaten unmittelbar selbst über sein Kundenkonto bearbeiten (Mitarbeiterdaten einsehen, berichtigen, deaktivieren). Für darüber hinausgehende Anfragen unterstützt der Auftragnehmer den Auftraggeber auf Anfrage in angemessenem Umfang.

Wird dem Auftragnehmer eine Verletzung des Schutzes von Mitarbeiterdaten des Auftraggebers bekannt (Art. 33 DSGVO), informiert er den Auftraggeber unverzüglich und unterstützt ihn bei der Erfüllung von dessen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörde und betroffenen Personen.

9. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer die Mitarbeiterdaten des Auftraggebers oder gibt sie auf dessen Wahl in einem gängigen Format zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht — auf Anfrage binnen 30 Tagen nach Vertragsende bzw. nach Zugang der entsprechenden Weisung. Ein automatisierter Selbstbedienungs-Export ist aktuell nicht Teil des Produkts; einzelne Unterweisungsnachweise können während der Vertragslaufzeit jederzeit als PDF heruntergeladen werden.

10. Nachweis- und Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zur Nachweisführung der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Kontrollen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Solche Kontrollen sind mit angemessenem zeitlichem Vorlauf anzukündigen und so durchzuführen, dass der Geschäftsbetrieb sowie die Vertraulichkeit gegenüber anderen Kunden gewahrt bleiben; ein angemessener Kostenersatz für Vor-Ort-Prüfungen kann vereinbart werden.

11. Verhältnis zur eigentlichen Unterweisung

Die Software ist ein Dokumentations- und Erinnerungswerkzeug. Es ersetzt weder die Durchführung der Unterweisung selbst noch eine sicherheitstechnische Beratung durch eine Fachkraft für Arbeitssicherheit (ASiG bzw. §82 ASchG). Die Verantwortung für Inhalt, Durchführung und Rechtmäßigkeit der Unterweisung verbleibt vollständig beim Auftraggeber als Arbeitgeber. In Österreich ist eine rein elektronische Unterweisung unzulässig — Erstunterweisung und arbeitsplatzbezogene Unterweisung müssen persönlich bzw. dialogisch erfolgen; die Software unterstützt dabei die Planung, Erinnerung und Dokumentation, nicht die Durchführung selbst.

12. Schlussbestimmungen

Für diesen AVV gilt dieselbe Rechtswahl und derselbe Gerichtsstand wie für die AGB. Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV für Fragen der Verarbeitung von Mitarbeiterdaten vor.