Vertrag zur Auftragsverarbeitung gemäß Art 28 DSGVO

abgeschlossen zwischen dem Kunden gemäß Hauptvertrag und der Fronius International GmbH, Froniusstraße 1, 4643 Pettenbach, Österreich, (folgend Fronius).

(1) Insoweit Fronius personenbezogene Daten für einen Kunden im Sinne der Art 4 Z 2, 28 EU-Datenschutzgrundverordnung (folgend DSGVO) verarbeitet, gelten die Bestimmungen dieses Vertrages zur Auftragsverarbeitung (folgend AVV). Die Regelungen dieses AVV samt Anlagen ergänzen den jeweils abgeschlossenen Hauptvertrag und bestehen nebeneinander. Bei Widersprüchen geht der AVV den Regelungen des Hauptvertrages vor.

(2) Fronius verpflichtet sich als Auftragsverarbeiter die Vorgaben der DSGVO, insbesondere der Art 28 ff DSGVO einzuhalten.

1. Vertragsgegenstand und Verarbeitungstätigkeit

(3) Fronius erbringt für Kunden Leistungen auf Grundlage des zwischen den Parteien bestehenden Vertragsverhältnisses zur Nutzung unseres Produktes oder Online-Services (im Folgenden: Hauptvertrag). Anlage 1 dieses AVV beschreibt dabei Gegenstand, Dauer, Art und Zweck der Verarbeitung, sowie die Art der personenbezogenen Daten und die Kategorien betroffener Personen.

2. Weisungsbindung

(4) Fronius wird - insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation - personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten, es sei denn Fronius ist durch das Recht der Europäischen Union oder der EU-Mitgliedstaaten, dem Fronius unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt Fronius dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art 28 Abs 3 lit a DSGVO).

(5) Die Weisungen des Kunden hinsichtlich des Umgangs mit personenbezogenen Daten werden durch diesen AVV, den jeweils abgeschlossenen Hauptvertrag und die bereitgestellten Produktfunktionalitäten festgelegt; solche können danach in Schriftform durch den Kunden geändert, ergänzt oder ersetzt werden. Entsprechende Weisungen sind vom Kunden als auch Fronius zu dokumentieren.

(6) Ist Fronius der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Europäischen Union oder der EU-Mitgliedstaaten verstößt, wird Fronius den Kunden unverzüglich darüber informieren (Art 28 Abs 3 aE DSGVO). Fronius ist diesfalls berechtigt, die Durchführung der Weisung so lange auszusetzen, bis diese durch die Kunde bestätigt, geändert, ergänzt oder ersetzt wird. Fronius ist es gestattet offensichtlich rechtswidrige Weisungen abzulehnen.

3. Schutzmaßnahmen von Fronius

(7) Fronius verpflichtet sich, die gesetzlichen datenschutzrechtlichen Bestimmungen insbesondere das Datenschutzgesetz 2000 („DSG 2000“) und die DSGVO zu beachten.

(8) Fronius hat alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit verpflichtet (Art 28 Abs 3 lit b DSGVO).

(9) Fronius trifft in seinem Verantwortungsbereich dabei alle technischen und organisatorischen Maßnahmen (TOMs) zum angemessenen Schutz der Daten des Kunden gemäß Art 32 DSGVO, insbesondere die im Fronius TOM Report (Anlage 2), jeweils aktuell abrufbar unter https://dr-05.datareporter.eu/info/e3s2f7Ce, aufgelisteten (Art 28 Abs 1 lit c DSGVO). Fronius bleibt es unbenommen, andere geeignete Maßnahmen zu ergreifen bzw. einzusetzen, soweit das Sicherheitsniveau der festgelegten Maßnahmen zum Zeitpunkt des Abschlusses des AVV nicht unterschritten wird.

4. Unterstützungspflicht 

(10) Fronius wird mit Blick auf die Art der Verarbeitung den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seine Pflicht bei der Geltendmachung von Betroffenenrechten gem Kapitel III der DSGVO nachzukommen (Art 28 Abs 3 lit e DSGVO). 

(11) Macht ein Betroffener Rechte unmittelbar gegenüber Fronius geltend, so reagiert Fronius nicht selbstständig, sondern wird dieses Ersuchen unverzüglich an den Kunden weiterleiten und wartet dessen Weisung ab. 

(12) Fronius unterstützt den Kunden mit Blick auf Art der Verarbeitung und der Fronius zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten nach Art 32 bis 36 DSGVO (Art 28 Abs 3 lit f DSGVO). Dies gilt insbesondere hinsichtlich der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgeabschätzung und der Konsultation mit Aufsichtsbehörden. 

5. Kontrollrechte 

(13) Fronius wird dem Kunden auf Verlangen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus diesem AVV und nach Art 28 DSGVO zur Verfügung stellen. Fronius ermöglicht dem Kunden hierzu auch Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von diesem beauftragten externen und entsprechend qualifizierten Prüfer durchgeführt werden. Überprüfungen sind nur im erforderlichen Umfang durchzuführen und dürfen die Betriebsabläufe von Fronius nicht unverhältnismäßig stören (Art 28 Abs 1 lit h DSGVO).

6. Einsatz von Subauftragnehmern bzw. Prozessoren 

(14) Die Liste der von Fronius eingesetzten Subauftragnehmer und Prozessoren für die Datenverarbeitung oder Teile davon, ist in Anlage 3 des AVV zum jeweiligen Produkt oder Online-Service sowie in Anlage 4 des AVV (Tochtergesellschaften als Prozessoren) enthalten. Mit dem Abschluss des AVV stimmt der Kunde der Beauftragung der Subauftragnehmer zu, die im Zeitpunkt des AVV-Abschlusses in der Anlage 3 für das jeweilige Produkt oder Online-Service sowie Anlage 4 angeführt sind. Fronius ist befugt weitere oder andere Subauftragnehmer unter Anwendung der gesetzlich gebotenen Sorgfalt entsprechend deren Eignung und Zuverlässigkeit auszuwählen. Fronius setzt den Kunden in diesem Fall durch Ergänzung des Subauftragnehmers in der jeweiligen Anlage und Veröffentlichung auf der Webseite sowie gleichzeitige Benachrichtigung über die erfolgte Ergänzung in Kenntnis. Für den Fall von objektiv nachvollziehbaren Einwänden steht dem Kunden innerhalb einer Frist von 4 Wochen ein schriftliches Widerspruchsrecht zu. Objektiv nachvollziehbare Einwände gegen einen hinzugefügten Subauftragnehmer können insbesondere dann vorliegen, wenn begründete Bedenken hinsichtlich des Schutzniveaus personenbezogener Daten beim Subauftragnehmer bestehenden. Im Falle eines unauflösbaren Widerspruchs haben beide Parteien das Recht den Vertrag mit einer Frist von 4 Wochen zu kündigen, wobei in diesem Fall auch der Hauptvertrag als gekündigt gilt. 

(15) Fronius wird sicherstellen, dass beim Einsatz von Subauftragnehmern bzw. Prozessoren die Rechte aus diesem Vertrag (insbesondere seine Kontrollrechte) nicht beeinträchtigt werden und insbesondere hinreichende Garantien einfordern, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt. Sofern eine Einbeziehung von Subauftragnehmern bzw. Prozessoren in einem Drittlanderfolgt, wird Fronius sicherzustellen, dass beim jeweiligen Subauftragnehmern ein angemessenes Datenschutzniveauunter Berücksichtigung der Art 44ff DSGVO gewährleistet ist.

(16) Klarstellend wird festgehalten, dass kein Subauftragsverhältnis im Sinne dieser Bestimmungen vorliegt, wenn Fronius Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören etwa Post-, Transport- und Versand-, Reinigungs-, IT- und Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die Fronius für den Kunden erbringt.

7. Haftung 

(17) Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Datenschutzgesetzen unzulässigen Datenverarbeitung im Rahmen der Auftragsverarbeitung erleidet, ist im Innenverhältnis allein der Kunde gegenüber dem Betroffenen verantwortlich. Auf Art 82 DSGVO wird verwiesen. 

(18) Für Verstöße, die im alleinigen oder überwiegenden Verantwortungsbereich des Verantwortlichen liegen, etwa die Verarbeitung in rechtswidriger, zweckwidriger oder in sonstiger unzulässiger Weise, hält der Verantwortliche Fronius zur Gänze schad- und klaglos, unabhängig davon, ob gegen den Verantwortlichen ein eigenes Verfahren geführt wurde. 

(19) Im Falle einer Inanspruchnahme nach Punkt 18 ist Fronius berechtigt, den Account des Verantwortlichen zu sperren. Der mit Fronius vereinbarte Entgeltanspruch bleibt davon unberührt.

(20) Im Übrigen wird vereinbart, dass die Regelungen zur Haftungsbeschränkung aus dem entsprechenden Hauptvertrag gelten. 

8. Vertragsdauer und Rechtsfolgen bei Beendigung

(21) Die Laufzeit des AVV richtet sich nach der Dauer des Hauptvertrages. Im Falle der Kündigung des Hauptvertrages erfolgt mit dieser ebenfalls eine Kündigung dieser Vereinbarung, ohne dass es eines weiteren Hinweises darauf bedarf. Die Möglichkeit zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(22) Der Auftragnehmer wird nach Beendigung des Hauptvertrages personenbezogene Daten nach Wahl des Kunden entweder löschen bzw vernichten oder zurückgeben und die vorhandenen Kopien löschen bzw vernichten, sofern nicht nach dem Recht der EU oder dem Recht der EU-Mitgliedstaaten eine Verpflichtung zur Aufbewahrung der personenbezogenen Daten besteht. 

(23) Fronius wird (a) auf entsprechende Bestellung des Kunden bzw (b) jedenfalls bis 14 Tage nach Auflösung für den Kunden alle Inhalte des Kunden bzw Nutzers in einem entsprechenden - von Fronius nach freiem Ermessen gewählten - Format zum Download bereithalten. Nach Ablauf der 14-Tages-Frist nach Auflösung wird Fronius die Inhalte unwiederbringlich löschen. Gegen gesonderte Bestellung und Vergütung wird Fronius dem Kunden oder einem vom Kunden benannten Dritten sämtliche Inhalte auf vereinbartem Datenträger oder im Wege der Datenfernübertragung in einem vereinbarten Format zur Verfügung stellen. 

9. Schlussbestimmungen 

(24) Sollten einzelne Regelungen dieses Vertrages sich als rechtsunwirksam oder nicht durchführbar erweisen, oder Lücken enthalten, so sind die Parteien verpflichtet, die unwirksamen oder undurchführbaren Regelungen durch wirksame und durchführbare zu ersetzen, die dem bei Vereinbarung der jeweiligen Regelung vorhandenen Willen der Vertragsparteien am nächsten kommt. Die Wirksamkeit der übrigen Regelungen bleibt unberührt. 

(25) Diese Vereinbarung unterliegt österreichischem Recht. Nicht anzuwenden sind dagegen die Bestimmungen des internationalen Privatrechts (Kollisionsnormen). Ausschließlicher Gerichtsstand ist Wels, Österreich. 

(26) Die für die jeweiligen Produkte oder Online-Services auf unserer Webseite abrufbaren Anlagen zum Auftragsverarbeitungsvertrag sind integrierender Bestandteil dieser Vereinbarung.