Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Vertragsparteien

Auftraggeber (Verantwortlicher)

Auftragsverarbeiter

POLAT Aufräum Service GmbH
Barawitzkagasse 3/7, 1190 Wien
FN 590940 f, Handelsgericht Wien
E-Mail office@aktenservice.at

1. Gegenstand und Dauer

1.1 Gegenstand dieser Vereinbarung ist die Vernichtung von Akten, Unterlagen und Datenträgern, die der Auftraggeber dem Auftragsverarbeiter übergibt. Grundlage sind die jeweiligen Aufträge über aktenservice.at oder per E-Mail sowie die AGB des Auftragsverarbeiters.

1.2 Die Vereinbarung gilt für alle Aufträge, die der Auftraggeber nach ihrer Unterzeichnung erteilt. Sie läuft auf unbestimmte Zeit und kann von jeder Partei schriftlich gekündigt werden. Für Aufträge, die bei Kündigung noch nicht abgeschlossen sind, gilt sie bis zu deren Abschluss weiter.

2. Art und Zweck der Verarbeitung

2.1 Die Verarbeitung umfasst folgende Schritte:

• Übernahme der Unterlagen per GLS-Versand, durch Selbstanlieferung an der Abgabestelle Obere Donaustraße 6, 1020 Wien, oder durch Abholung in Wien und Wien-Umgebung;
• verschlossene Aufbewahrung bis zur Vernichtung, in der Regel bis zu 10 Werktage nach Eingang;
• Vernichtung im eigenen Betrieb mit eigener Maschine: Papier wird zerkleinert, Datenträger werden physisch zerstört;
• Vernichtungsnachweis an den Auftraggeber per E-Mail als PDF.

2.2 Zweck der Verarbeitung ist allein die endgültige Vernichtung der übergebenen Daten. Eine inhaltliche Auswertung, Nutzung oder Weitergabe findet nicht statt.

3. Art der Daten und Kategorien betroffener Personen

3.1 Welche Daten übergeben werden, bestimmt allein der Auftraggeber. Die Akten und Datenträger können beliebige personenbezogene Daten enthalten, etwa Namen, Kontaktdaten, Vertrags-, Buchhaltungs- und Personaldaten, gegebenenfalls auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO.

3.2 Betroffen sein können insbesondere Kunden, Mitarbeiter, Bewerber, Lieferanten, Geschäftspartner und sonstige Personen, deren Daten sich in den Unterlagen des Auftraggebers befinden.

3.3 Der Auftragsverarbeiter nimmt keine Einsicht in die Inhalte und kennt Art und Umfang der Daten deshalb im Einzelnen nicht.

4. Weisungen

4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten der jeweilige Auftrag und diese Vereinbarung. Weitere Weisungen erteilt der Auftraggeber per E-Mail.

4.2 Ist der Auftragsverarbeiter nach dem Recht der Union oder Österreichs zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.

4.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

5. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Mitarbeiter ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht gilt auch nach Ende des Beschäftigungsverhältnisses weiter.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

7.1 Für die Vernichtung selbst setzt der Auftragsverarbeiter keine Subunternehmer ein. Übernahme, Aufbewahrung und Vernichtung erfolgen durch eigene Mitarbeiter im eigenen Betrieb.

7.2 Der Auftraggeber genehmigt folgende Dienstleister:

• Paketdienst GLS: Transport verschlossener Kartons beim Versandweg. GLS hat keinen Zugriff auf die Inhalte.
• Hostinger International Ltd. (Zypern): Betrieb von Website und E-Mail. Verarbeitet werden nur Bestelldaten, nicht die Inhalte der Unterlagen.
• Stripe Payments Europe, Ltd. (Irland): Abwicklung der Online-Zahlung. Verarbeitet werden nur Bestelldaten, nicht die Inhalte der Unterlagen.

7.3 Einen weiteren oder anderen Unterauftragsverarbeiter zieht der Auftragsverarbeiter nur heran, wenn er den Auftraggeber vorher per E-Mail informiert hat. Der Auftraggeber kann binnen 14 Tagen widersprechen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieser Vereinbarung.

8. Unterstützung des Auftraggebers

8.1 Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

8.2 Er unterstützt den Auftraggeber außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen zu Datenschutzverletzungen, bei der Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

8.3 Da die Daten nach der Vernichtung nicht mehr vorhanden sind, können Auskunft, Berichtigung oder Herausgabe nur bis zur Vernichtung unterstützt werden.

9. Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, per E-Mail. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Aufträge und Kartons, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

10. Löschung und Rückgabe

10.1 Die Vernichtung der übergebenen Daten ist der Zweck dieser Vereinbarung. Mit der Vernichtung und dem Vernichtungsnachweis ist die Pflicht zur Löschung erfüllt. Eine Rückgabe ist nur möglich, solange die Unterlagen noch nicht vernichtet sind.

10.2 Bestelldaten (etwa Name, Anschrift, Auftragsumfang, Rechnung) bewahrt der Auftragsverarbeiter so lange auf, wie es die gesetzlichen Aufbewahrungsfristen verlangen, und löscht sie danach.

11. Nachweise und Kontrollen

11.1 Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten nach Art. 28 DSGVO nötig sind.

11.2 Der Auftraggeber oder ein von ihm beauftragter Prüfer, der zur Verschwiegenheit verpflichtet ist, kann die Einhaltung dieser Vereinbarung nach Voranmeldung während der Geschäftszeiten vor Ort prüfen. Die Prüfung soll den Betrieb nicht unnötig stören und die Unterlagen anderer Kunden nicht berühren.

12. Haftung und Schlussbestimmungen

12.1 Für die Haftung gegenüber betroffenen Personen und zwischen den Parteien gilt Art. 82 DSGVO.

12.2 Im Übrigen gelten die AGB des Auftragsverarbeiters. Bei Widersprüchen geht diese Vereinbarung in Fragen des Datenschutzes vor.

12.3 Änderungen bedürfen der Schriftform, E-Mail genügt. Es gilt österreichisches Recht. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

Anlage: Technische und organisatorische Maßnahmen

• Aufbewahrung der Kartons verschlossen in Räumen, die nicht öffentlich zugänglich sind.
• Zutritt zu diesen Räumen nur für Mitarbeiter.
• Keine Einsicht in die Inhalte, soweit sie für die Vernichtung nicht unvermeidbar ist.
• Vernichtung zeitnah nach Eingang, in der Regel binnen 10 Werktagen.
• Vernichtung im eigenen Betrieb mit eigener Maschine, keine Weitergabe der Unterlagen an Dritte vor der Vernichtung.
• Dokumentation von Eingang und Vernichtung je Auftrag, Vernichtungsnachweis an den Auftraggeber.
• Transport nur in verschlossenen Kartons, beim Versand per GLS wie bei der Abholung.
• Zugriff auf Bestelldaten nur passwortgeschützt.