Auftragsverarbeitungsvertrag (AVV)

§ 1 Parteien und Gegenstand

1. Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und TOMORIS GmbH, Saturnstraße 1, 4614 Marchtrenk, Österreich (Firmenbuch FN 547810d, Landesgericht Wels; UID-Nummer ATU76333317), als Auftragsverarbeiter („Auftragnehmer“).
2. Er wird elektronisch mit der Bestellung im Kundenportal abgeschlossen, indem die für den Auftraggeber handelnde Person ihn akzeptiert. Fassung, Zeitpunkt und Person der Annahme werden mit der Bestellung gespeichert.
3. Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers bei der Erbringung von TOMORIS Managed GAL gemäß den Nutzungsbedingungen (AGB) („Hauptvertrag“). Die Laufzeit entspricht der des Hauptvertrags, auch während eines kostenlosen Tests (§ 6 Abs. 2 der Nutzungsbedingungen); Pflichten, die ihrer Natur nach fortwirken, gelten darüber hinaus.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

Art und Zweck: Lesen der Benutzer aus dem Verzeichnis des Auftraggebers (Microsoft Entra ID) über Microsoft Graph, Auswahl nach den Einstellungen des Auftraggebers, Bereitstellung als Kontakte in einem eigenen Kontaktordner der lizenzierten Exchange-Online-Postfächer des Auftraggebers, laufende Aktualisierung und Entfernung dieser Kontakte, nach dem Ende des letzten Vertrags auch das Lesen der Postfächer, um die Entfernung vorzubereiten, durchzuführen und zu prüfen (§ 10 Abs. 1), sowie Protokolle der Läufe und, soweit eingeschaltet, Meldungen gestörter Läufe per E-Mail an TOMORIS und an die Kundenadministratoren (§ 8 der Nutzungsbedingungen). Zweck ist ein aktuelles Firmenadressbuch als Kontaktordner in den Postfächern der Mitarbeitenden; die Anzeige auf Endgeräten richtet sich nach § 2 Abs. 4 der Nutzungsbedingungen.

Daten:

• Identifikation: Vorname, Nachname, Anzeigename, Objekt-ID, Anmeldename
• Kontakt: geschäftliche E-Mail-Adresse, geschäftliche Telefonnummern, Mobiltelefonnummer
• Organisation: Position, Abteilung, Firma, Standort
• Merkmale zur Auswahl: Kontostatus, Benutzertyp (Mitglied oder Gast), Lizenzzuweisung
• Verarbeitungsdaten: je Postfach Objekt-ID und Anmeldename, Kennung des Kontaktordners, Prüfwert (Hash) des Soll-Zustands, Anzahl der Kontakte, Ergebnis und Zeitpunkt je Lauf; je Auftraggeber die Störungen der Synchronisation (Art, Beginn und Ende, Zahl der betroffenen Läufe, ob die Kundenadministratoren informiert wurden); nach dem Ende des letzten Vertrags der Stand der Entfernung (Ordner, Objekt-IDs der bedienten Postfächer, Zeitpunkte von Ankündigung, Entfernung und Prüfung) und der Löschung (§ 10 Abs. 2)

Der Auftragnehmer speichert keine Kontaktinhalte: Die Kontaktdaten werden bei jedem Lauf aus dem Verzeichnis gelesen und nur in die Postfächer des Auftraggebers geschrieben. Gespeichert werden ausschließlich die Verarbeitungsdaten; die Protokolle der Läufe werden nach 90 Tagen gelöscht. Die Meldungen gestörter Läufe nennen den Auftraggeber, die Art der Störung, Zeitpunkt, Ergebnis und Meldung des Laufs, aber keine Kontaktdaten und keine einzelnen Postfächer.

Betroffene: Mitarbeitende und sonstige im Verzeichnis des Auftraggebers geführte Personen. Gäste und deaktivierte Konten werden gelesen, aber nie als Kontakte übertragen. Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet, sofern der Auftraggeber sie nicht selbst in diese Felder einträgt.

Ort: eigene Server des Auftragnehmers (Standort: Österreich) sowie der Microsoft-365-Mandant des Auftraggebers selbst; die Verbindungen zum Kundenportal laufen über Cloudflare (Anlage 2).

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen des Auftraggebers im Kundenportal (Ordnername, Auswahl der Kontakte, Ausschlussmuster, Uhrzeit, Ein- und Ausschalten, „Kontakte entfernen“). Weitere Weisungen erfolgen in Textform. Hält der Auftragnehmer die Synchronisation nach § 9 Abs. 3 der Nutzungsbedingungen an, ruht sie; „Kontakte entfernen“ und die Prüfung der Zustimmung bleiben möglich, und ein Lauf, der beim Anhalten bereits läuft, wird noch beendet. Beendet der Auftragnehmer das Kundenkonto nach § 9 Abs. 4 der Nutzungsbedingungen, endet die Synchronisation; für die Kontakte gilt § 10 Abs. 1. Mit diesem Vertrag weist der Auftraggeber den Auftragnehmer an, nach dem Ende seines letzten Vertrags die Kontakte nach § 10 Abs. 1 zu entfernen und die Daten nach § 10 Abs. 2 zu löschen.
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und kann sie bis zur Klärung aussetzen.
3. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit: Es werden nur Personen eingesetzt, die zur Vertraulichkeit verpflichtet sind (§ 6 Datenschutzgesetz).
2. Sicherheit: Der Auftragnehmer trifft die Maßnahmen der Anlage 1 nach Art. 32 DSGVO und darf sie weiterentwickeln, ohne das Schutzniveau zu senken.
3. Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen nach Art. 12 bis 23 DSGVO und leitet bei ihm eingehende Anfragen weiter. Berichtigungen und Löschungen erfolgen im Verzeichnis des Auftraggebers und werden beim nächsten Lauf übernommen.
4. Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der verfügbaren Informationen.
5. Trennung: Die Daten jedes Auftraggebers werden getrennt verarbeitet; jeder Zugriff ist an den Kunden und an die Mandanten-ID gebunden.
6. Ansprechperson: Ein Datenschutzbeauftragter ist nicht bestellt., erreichbar unter [email protected].

§ 5 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Information der Betroffenen (Art. 13 und 14 DSGVO) verantwortlich.
2. Er informiert den Auftragnehmer unverzüglich über Fehler bei der Verarbeitung und pflegt die Mitglieder seines Kundenkontos.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über eine Hinzuziehung oder Ersetzung informiert der Auftragnehmer mindestens 30 Tage vorher per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
2. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter dieselben Pflichten auf (Art. 28 Abs. 4 DSGVO).

§ 7 Drittländer

Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-U.S. Data Privacy Framework oder von Standardvertragsklauseln. Der Ort der Verarbeitung ergibt sich aus § 2 und Anlage 2; ein Zugriff von Microsoft aus Drittländern ist vertraglich auf das Erforderliche beschränkt. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung (Data Processing Addendum von Cloudflare) mit den Standardvertragsklauseln der EU-Kommission; Cloudflare stützt Übermittlungen nach eigenen Angaben zudem auf das EU-U.S. Data Privacy Framework.

§ 8 Datenschutzverletzungen

Der Auftragnehmer meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von Angabe folgt Stunden nach Bekanntwerden, an die Kundenadministratoren, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt, und unterstützt den Auftraggeber bei seinen Pflichten.

§ 9 Nachweise und Kontrolle

Der Auftragnehmer stellt auf Anfrage die Informationen zum Nachweis dieses Vertrags bereit, insbesondere diese Maßnahmen, die Nachweise der Unterauftragsverarbeiter (etwa Zertifikate nach ISO/IEC 27001 oder SOC 2, soweit vorhanden) und Auszüge aus dem Änderungsprotokoll. Überprüfungen vor Ort sind nach Anmeldung mit angemessener Frist möglich.

§ 10 Löschung nach Vertragsende

1. „Kontakte entfernen“ im Kundenportal löscht die vom Dienst gekennzeichneten Kontakte aus allen Postfächern, den Ordner, sobald er leer ist, und schaltet die Synchronisation aus. Nach dem Ende des letzten Vertrags tut der Auftragnehmer dies auf Weisung des Auftraggebers oder nach einer Ankündigung per E-Mail an die Kundenadministratoren und die Rechnungs-E-Mail-Adresse, frühestens sieben Tage nach deren Versand. Er entfernt nur die gekennzeichneten Kontakte, prüft danach, dass keine übrig sind, und bestätigt die Entfernung per E-Mail. Schlägt ein Schritt fehl, entfernt er nichts weiter und klärt das Weitere mit dem Auftraggeber.
2. Danach löscht der Auftragnehmer die im Auftrag verarbeiteten Daten mit dem Kundenkonto (Offboarding): 30 Tage nach der bestätigten Entfernung der Kontakte (Abs. 1), frühestens aber sieben Tage nach einer Ankündigung per E-Mail an die Kundenadministratoren und die Rechnungs-E-Mail-Adresse; der Auftragnehmer kann die Löschung einmal um 30 Tage verschieben, und eine neue Bestellung vor dem angekündigten Tag hält die Daten. Gelöscht werden die Einstellungen, der Stand je Postfach, die Protokolle der Läufe, die Störungen der Synchronisation, die Einladungen, die Mitgliedschaften, die Benutzerkonten ohne Mitgliedschaft bei einem anderen Kunden, die gespeicherten Benachrichtigungen und die Verknüpfung mit den Mandanten; der Kundenstamm wird anonymisiert, und im Änderungsprotokoll werden die Angaben zu den Personen des Auftraggebers anonymisiert. Die Löschung bestätigt der Auftragnehmer per E-Mail an die Rechnungs-E-Mail-Adresse. Sie führt eine automatische Löschung aus, die der Auftragnehmer im Dienst einschaltet; solange sie nicht eingeschaltet ist, bleiben die Daten gespeichert. Beendet der Auftragnehmer das Kundenkonto nach § 9 Abs. 4 der Nutzungsbedingungen, bleiben diese Daten bis zum Offboarding gespeichert.
3. Eine Rückgabe von Daten ist nicht erforderlich, da alle Kontaktdaten aus dem Verzeichnis des Auftraggebers stammen und dort bleiben.
4. Bestellungen, Verträge und Lizenzen bewahrt der Auftragnehmer mindestens für die gesetzlichen Aufbewahrungsfristen auf; die Löschung nach diesem Absatz erfasst sie nicht. Im Änderungsprotokoll bewahrt er die Nachweise sieben Jahre ab dem Ende des Kalenderjahres des Eintrags auf, bei Einträgen zum Auftraggeber frühestens ab dem Ende des Jahres, in dem dessen letzter Vertrag endete. Nachweise sind die Einträge zu Bestellungen, Verträgen, Sperren, Lizenzen, Zustimmungen, zur Annahme und zur Mitteilung der Nutzungsbedingungen und dieses Vertrags, zu Preisen und Rabattgruppen, zu Kundendaten und Rechnungsdaten, zu den verknüpften Mandanten, zu den Einstellungen der Synchronisation, zu Pause und Beendigung durch den Auftragnehmer, zur Entfernung der Kontakte sowie zu den Einstellungen und Funktionen des Dienstes. Einträge zu Anmeldungen und Zugriffen, auch zu abgelehnten Anmeldungen und Einladungslinks und zur Ansicht des Kundenportals durch TOMORIS, bewahrt er zwölf Monate auf, übrige Einträge (etwa zu Mitgliedern, Einladungen, Katalogtexten und angeforderten Läufen) 24 Monate. Nach Ablauf dieser Fristen löscht eine automatische Löschung, die einmal täglich läuft und die der Auftragnehmer im Dienst einschaltet, die Einträge; solange sie nicht eingeschaltet ist, bleiben die Einträge über diese Fristen hinaus gespeichert.

§ 11 Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Innenverhältnis der Hauptvertrag. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Änderungen werden mindestens sechs Wochen vorher in Textform mitgeteilt; § 12 Abs. 1 der Nutzungsbedingungen gilt entsprechend. Es gilt österreichisches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Betrieb: auf eigenen Servern des Auftragnehmers (Standort: Österreich). Die Anwendung nimmt Verbindungen nur lokal vom vorgeschalteten Webserver des Servers an; von außen ist sie nur über diesen und über Cloudflare erreichbar.
• Zugang: Anmeldung nur mit Microsoft Entra ID; Zugriff nur mit einer Mitgliedschaft, eine E-Mail-Domain oder ein Mandant allein berechtigt nie. Administratoren von TOMORIS nur aus dem TOMORIS-Mandanten, geprüft über Objekt-ID und Mitgliedschaft. Sitzungen enden spätestens nach 12 Stunden im Kundenportal und nach 8 Stunden in der Administration.
• Geheimnisse: Zugangsdaten (Verbindung zur Datenbank, Zugangsnachweis für Microsoft Graph) liegen nicht in der Anwendung, sondern in einem Schlüsseltresor (Microsoft Azure Key Vault, ohne Daten des Auftraggebers) und werden beim Start über die Identität des Servers gelesen. Die Datenbank erreicht die Anwendung mit der Windows-Anmeldung des Servers ohne gespeichertes Passwort.
• Trennung: jede Abfrage ist nach Kunde gefiltert; jedes Zugriffstoken für Microsoft Graph ist an die Mandanten-ID des Kunden gebunden und wird sonst nicht verwendet.
• Datenminimierung: Anwendungsberechtigungen nur User.Read.All und Contacts.ReadWrite; keine Speicherung von Kontaktinhalten, nur Kennungen und Prüfwerte; Gäste und deaktivierte Konten werden nie übertragen.
• Verschlüsselung: TLS 1.2 oder höher für die Verbindungen zum Kundenportal und zur Administration; die Schlüssel der Sitzungsdaten sind mit der Datenschutz-Schnittstelle von Windows (DPAPI) für das Dienstkonto verschlüsselt. Verschlüsselung der Datenbank: Angabe folgt
• Integrität: Content Security Policy ohne Inline-Skript, Schutz aller Formulare gegen Cross-Site Request Forgery, Änderungsprotokoll mit Zeitpunkt und handelnder Person, lückenlos innerhalb der Aufbewahrungsfristen nach § 10 Abs. 4, Protokoll jedes Laufs je Postfach.
• Schutz vor Fehlverarbeitung: Abbruch ohne Schreibvorgang bei leerem oder stark geschrumpftem Verzeichnis; Kennzeichnung jedes Kontakts und Ordners; fremde Ordner werden nie übernommen; beim Entfernen werden nur gekennzeichnete Kontakte gelöscht.
• Verfügbarkeit: Zustandsprüfung der Anwendung; Wiederholung bei vorübergehenden Fehlern; ein Fehler eines Postfachs beeinträchtigt die anderen nicht.
• Überprüfung: automatisierte Tests und Prüfungen vor jeder Veröffentlichung, Aktualisierung der Komponenten, Prüfung auf bekannte Schwachstellen.

Anlage 2: Unterauftragsverarbeiter

Die Liste wird bei Änderungen nach § 6 aktualisiert.