Vereinbarung zur Datenverarbeitung (DPA)

Diese Vereinbarung zur Datenverarbeitung („DPA“) ist integraler Bestandteil der Nutzungsbedingungen (die „Vereinbarung“) zwischen dem Unternehmen („Verantwortlicher“ oder „Kunde“) und der SynoptiCons GmbH dba PAQR mit Sitz Klagenfurt am Wörthersee, Österreich („Auftragsverarbeiter“ oder „PAQR“, „wir“, „uns“ oder „unser“).

1. Begriffsbestimmungen

Großgeschriebene Begriffe, die in diesem DPA nicht definiert sind, haben die in der Vereinbarung festgelegte Bedeutung. Die Begriffe „personenbezogene Daten“, „betroffene Person“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Aufsichtsbehörde“ haben die ihnen in der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) zugewiesene Bedeutung.

2. Verarbeitung personenbezogener Daten

2.1. Rollen
Die Parteien erkennen an, dass der Kunde als Verantwortlicher und PAQR als Auftragsverarbeiter der personenbezogenen Daten des Kunden fungiert.

2.2. Weisungen
PAQR verarbeitet personenbezogene Daten streng gemäß den dokumentierten Weisungen des Kunden, die sich aus dem Vertrag, dieser DPA und der Nutzung der Dienste durch den Kunden ergeben.

2.3. Einhaltung der Vorschriften
Beide Parteien sind verpflichtet, alle geltenden Datenschutzgesetze einzuhalten. Der Kunde garantiert, dass er über eine rechtmäßige Grundlage für die Verarbeitung der an die Dienste übermittelten personenbezogenen Daten verfügt.

3. Unterauftragsverarbeiter

3.1. Allgemeine Ermächtigung
Der Kunde erteilt PAQR eine allgemeine schriftliche Ermächtigung, die in Anhang 1 der PAQR-Datenschutzerklärung aufgeführten Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten zu beauftragen.

3.2. Benachrichtigung über Änderungen
PAQR hat den Kunden mindestens fünfzehn (15) Tage, bevor der neue Unterauftragsverarbeiter personenbezogene Daten verarbeitet, über beabsichtigte Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern zu informieren.

3.3. Widerspruchsrecht
Der Kunde kann innerhalb der 15-tägigen Benachrichtigungsfrist begründete Einwände gegen einen neuen Unterauftragsverarbeiter erheben. Werden keine Einwände erhoben, gilt der neue Unterauftragsverarbeiter als akzeptiert. PAQR bleibt gegenüber dem Kunden in vollem Umfang für die Erfüllung der Datenschutzverpflichtungen seiner Unterauftragsverarbeiter haftbar.

4. Sicherheit und Verletzungen des Schutzes personenbezogener Daten

4.1. Sicherheitsmaßnahmen
PAQR hat geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu ergreifen und aufrechtzuerhalten, wie in Anhang II näher beschrieben.

4.2. Benachrichtigung bei Datenschutzverletzung
PAQR hat den Kunden unverzüglich, spätestens jedoch zwölf (12) Stunden, nachdem PAQR Kenntnis von einer bestätigten unbefugten Offenlegung oder einem unbefugten Zugriff auf personenbezogene Daten des Kunden erlangt hat, zu benachrichtigen.

5. Löschung von Daten

Bei Beendigung des Vertrags wird PAQR personenbezogene Daten gemäß den in den Nutzungsbedingungen festgelegten Fristen zurückgeben oder löschen. Nach Ablauf der 30-tägigen Abruffrist garantiert PAQR, alle personenbezogenen Daten innerhalb von dreißig (30) Tagen dauerhaft zu löschen oder unwiderruflich zu anonymisieren, und zwar sowohl aus aktiven Umgebungen als auch aus Backups.

6. Internationale Datenübermittlungen

Für alle Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) in ein Land, das von der Europäischen Kommission nicht als Land mit angemessenem Schutzniveau anerkannt ist, vereinbaren die Parteien, dass die EU-Standardvertragsklauseln (Modul 2: Verantwortlicher an Auftragsverarbeiter) hiermit durch Verweis einbezogen werden. Für die Zwecke der Standardvertragsklauseln gilt:

• Klausel 7 (Docking-Klausel) findet Anwendung.
• Klausel 9, Option 2 (Allgemeine schriftliche Genehmigung) gilt mit einer Kündigungsfrist von 15 Tagen.
• Klausel 17 (Anwendbares Recht) und Klausel 18 (Gerichtsstand): Die SCC unterliegen österreichischem Recht, und Streitigkeiten sind vor den Gerichten in Wien, Österreich, zu klären.

7. Haftungsbeschränkung

Alle Ansprüche, die sich aus dieser DPA ergeben oder damit in Zusammenhang stehen, einschließlich etwaiger Verletzungen des Schutzes personenbezogener Daten, unterliegen ausschließlich den in den Nutzungsbedingungen festgelegten Haftungsbeschränkungen und -ausschlüssen (einschließlich der 12-monatigen Haftungsbegrenzung).

8. Allgemeine Bestimmungen

8.1. Änderungen
PAQR behält sich das Recht vor, diese DPA nach Benachrichtigung des Kunden zu ändern oder zu ergänzen, falls dies von einer Aufsichtsbehörde verlangt wird, um Änderungen der Datenschutzgesetze Rechnung zu tragen oder um sie an aktualisierte Standardvertragsklauseln anzupassen. Für solche Aktualisierungen gelten die in den Nutzungsbedingungen festgelegten Änderungsverfahren.

8.2. Widersprüche zwischen Dokumenten (Rangfolge)
Im Falle von Widersprüchen oder Unstimmigkeiten zwischen den folgenden Dokumenten gilt folgende Rangfolge: (1) die Standardvertragsklauseln; (2) diese DPA; und (3) die Nutzungsbedingungen.

8.3. Salvatorische Klausel
Sollten einzelne Bestimmungen dieser DPA für ungültig oder nicht durchsetzbar befunden werden, so bleibt die Gültigkeit und Durchsetzbarkeit der übrigen Bestimmungen dieser DPA davon unberührt.

ANHANG 1

Einzelheiten zur Verarbeitung

Ref	Kategorie	Details
A	Kategorien von betroffenen Personen	Unternehmensbenutzer, Arbeitsbereichsbenutzer, Endbenutzer und Geschäftspartner.
B	Kategorien personenbezogener Daten	Kontoinformationen (Name, E-Mail-Adresse, Authentifizierungsdaten), berufliche Informationen (Berufsbezeichnung, Arbeitgeber), technische Geräte- und Nutzungsdaten sowie in die Dienste eingegebene Dateneinträge und Aufgaben.
C	Übermittelte sensible Daten	Das Hochladen oder die Verarbeitung sensibler personenbezogener Daten (einschließlich Gesundheitsdaten, biometrischer Daten oder Angaben zur rassischen/ethnischen Herkunft) ist gemäß den Nutzungsbedingungen strengstens untersagt.
D	Art und Zweck der Verarbeitung	Speicherung, Datenverarbeitung und Aufbereitung zur Bereitstellung der Dienste gemäß den Nutzungsbedingungen.

ANHANG 2

Technische und organisatorische Maßnahmen (TOMs)

PAQR hält die folgenden Mindestsicherheitsstandards ein, die auf die Rahmenwerke ISO/IEC 27001:2022 und SOC 2 abgestimmt sind:

Sicherheitsmaßnahmen	Beschreibung
Datenspeicherort	100 % der Produktionsdaten der Kunden werden ausschließlich innerhalb der EU (GCP Europe West, Belgien) gespeichert und verarbeitet.
Verschlüsselung	Gespeicherte Daten werden mit AES-256 verschlüsselt. Daten während der Übertragung werden mit TLS 1.3 verschlüsselt (mit einem Fallback auf mindestens TLS 1.2).
Zugriffskontrolle	Strenge rollenbasierte Zugriffskontrolle (RBAC), begrenzt auf Arbeitsbereiche, mit nativer zeitbasierter Einmalpasswort-Multi-Faktor-Authentifizierung (TOTP-MFA), die weltweit für alle Unternehmenskonten verfügbar und durchsetzbar ist.
Schwachstellenmanagement	Strenge SLAs, die die Behebung kritischer Schwachstellen (CVSS ≥ 9,0) innerhalb von 48 Stunden und wichtiger Schwachstellen (CVSS ≥ 7,0) innerhalb von 14 Werktagen vorschreiben.
Ausfallsicherheit und Notfallwiederherstellung	Bereitstellung über mehrere Verfügbarkeitszonen mit einem Recovery Time Objective (RTO) von < 4 Stunden und einem Recovery Point Objective (RPO) von < 1 Stunde, unterstützt durch unveränderliche Backups und kontinuierliche Point-in-Time-Wiederherstellung.