Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-08b · nach Art. 28 DSGVO · Telcon OG, Martinsgasse 30, 7082 Donnerskirchen, Österreich

Dieser Auftragsverarbeitungsvertrag ergänzt die Allgemeinen Geschäftsbedingungen und wird geschlossen zwischen dem Kunden als Verantwortlichem (Art. 4 Z 7 DSGVO) und der Telcon OG, Martinsgasse 30, 7082 Donnerskirchen, FN 537381t, als Auftragsverarbeiter (Art. 4 Z 8 DSGVO).

§ 1 Gegenstand, Dauer und Weisungsbindung

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Plattform Telconis gemäß den AGB. Einzelheiten zu Zweck, Art der Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich der in § 8 geregelten Fristen.

(3) Telcon OG verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Als solche Weisung gelten dieser Vertrag, die AGB sowie die Nutzung der Plattformfunktionen durch den Kunden. Weisungen darüber hinaus bedürfen der Textform.

(4) Ist Telcon OG der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, wird der Kunde unverzüglich informiert. Telcon OG ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

§ 2 Pflichten von Telcon OG

Telcon OG verpflichtet sich:

• die Verarbeitung ausschließlich innerhalb der Europäischen Union durchzuführen; eine Übermittlung in ein Drittland findet nicht statt und bedürfte einer gesonderten Vereinbarung;
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO). Zugriff auf Produktivdaten hat derzeit ausschließlich der Geschäftsführer der Telcon OG;
• die technischen und organisatorischen Maßnahmen nach Anlage 2 einzuhalten und fortlaufend an den Stand der Technik anzupassen. Änderungen dürfen das Schutzniveau nicht unterschreiten;
• den Kunden bei der Beantwortung von Anträgen betroffener Personen sowie bei Datenschutz- Folgenabschätzungen und Vorabkonsultationen im erforderlichen Umfang zu unterstützen (Art. 28 Abs. 3 lit. e und f DSGVO);
• ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten zu führen (Art. 30 Abs. 2 DSGVO).

§ 3 Technische und organisatorische Maßnahmen

Telcon OG trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Der Kunde bestätigt, dass diese Maßnahmen unter Berücksichtigung von Art, Umfang und Zweck der Verarbeitung ein angemessenes Schutzniveau bieten.

§ 4 Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.

(2) Telcon OG informiert den Kunden mindestens vier Wochen im Voraus in Textform über den beabsichtigten Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters. Der Kunde kann binnen zwei Wochen aus wichtigem Grund widersprechen. Kommt keine Einigung zustande, steht beiden Parteien ein außerordentliches Kündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.

(3) Telcon OG verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dem dieses Vertrags entspricht, und haftet für deren Verhalten wie für eigenes.

§ 5 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Telcon OG meldet dem Kunden jede ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, in Textform. Die Frist ist bewusst kürzer als die 72-Stunden-Frist des Art. 33 DSGVO, damit dem Kunden für seine eigene Meldung an die Aufsichtsbehörde ausreichend Zeit bleibt.

(2) Die Meldung enthält, soweit verfügbar: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen. Telcon OG unterstützt den Kunden bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO.

§ 6 Rechte betroffener Personen

(1) Der Kunde ist für die Wahrung der Betroffenenrechte verantwortlich. Telcon OG stellt hierfür die Funktionen der Plattform bereit (insbesondere Export, Berichtigung, Löschung und Anonymisierung im Personal-Modul).

(2) Wendet sich eine betroffene Person unmittelbar an Telcon OG, leitet Telcon OG das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

§ 7 Nachweise und Überprüfung

(1) Telcon OG weist die Einhaltung dieses Vertrags auf Anfrage in geeigneter Weise nach, insbesondere durch Auskünfte in Textform und durch Vorlage der dokumentierten technischen und organisatorischen Maßnahmen.

(2) Der Kunde ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen. Überprüfungen erfolgen so, dass der Betrieb möglichst wenig beeinträchtigt wird, und dürfen die Vertraulichkeit gegenüber anderen Kunden nicht gefährden. Über den Aufwand hinausgehende Prüfungen kann Telcon OG nach Aufwand verrechnen.

§ 8 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags stellt Telcon OG dem Kunden dessen Daten für 30 Tage auf Anfrage in einem gängigen Format zur Verfügung (PDF- und DOCX-Export gemäß Plattformfunktionalität).

(2) Nach Ablauf dieser Frist löscht Telcon OG die personenbezogenen Daten des Kunden aus dem Produktivsystem, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2a) Protokolldaten: Das Anwendungsprotokoll (wer hat wann welche Änderung vorgenommen) wird 24 Monate aufbewahrt und danach automatisch gelöscht. Rechtsgrundlage ist das berechtigte Interesse an Nachvollziehbarkeit und Informationssicherheit (Art. 6 Abs. 1 lit. f DSGVO) sowie die Pflicht zur Umsetzung geeigneter Maßnahmen nach Art. 32 DSGVO. Wird ein Mandant gelöscht, werden dessen Protokolldaten mitgelöscht.

(3) Sicherungskopien: Verschlüsselte Sicherungen werden nach einem festen Aufbewahrungszeitraum von 30 Tagen automatisch überschrieben. Eine gezielte Löschung einzelner Datensätze aus bestehenden Sicherungen ist technisch nicht möglich; die Daten entfallen dort mit Ablauf des Aufbewahrungszeitraums.

§ 9 Haftung

Es gilt Art. 82 DSGVO. Die Haftungsregelungen des Hauptvertrags (§ 9 AGB) bleiben im Verhältnis der Parteien untereinander unberührt, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags für die Verarbeitung personenbezogener Daten vor.

(2) Es gilt österreichisches Recht. Gerichtsstand ist der Sitz der Telcon OG.

Anlage 1 — Gegenstand der Verarbeitung

Zweck: Betrieb einer Plattform zur Dokumentation und Verwaltung von Informationssicherheits-Compliance (ISO 27001, NIS2 / NISG 2026, Cyber Trust Austria, ISO 22301) einschließlich Risikomanagement, Asset-Inventar und Nachweisführung.

Besondere Kategorien nach Art. 9 DSGVO sind für die Nutzung von Telconis nicht vorgesehen. Der Kunde ist gehalten, solche Daten nicht in die Plattform einzustellen — insbesondere nicht in hochgeladenen Dokumenten. Angaben zu Zuverlässigkeitsüberprüfungen sind auf den Bearbeitungsstand beschränkt und umfassen keine Ergebnisse oder Inhalte.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt den tatsächlichen Stand. Punkte, die noch nicht umgesetzt sind, sind als solche benannt — eine Auflistung von Maßnahmen, die es nicht gibt, wäre für beide Seiten wertlos.

Offen und bewusst benannt: Eine Verschlüsselung der Datenbank im Ruhezustand (Verschlüsselung auf Datenträgerebene) ist derzeit nicht umgesetzt; verschlüsselt sind Transport und Sicherungen. Eine automatisierte Schadsoftware-Prüfung hochgeladener Dateien findet derzeit nicht statt; es wirken Positivliste, Größenbeschränkung und die eingeschränkte Auslieferung im Browser. Die Rechtevergabe wirkt auf Rollen-, nicht auf Modulebene. Der Betrieb erfolgt durch ein Kleinstunternehmen ohne durchgehende Rufbereitschaft; eine Verfügbarkeitsquote wird nicht zugesichert (§ 6 AGB).

Anlage 3 — Unterauftragsverarbeiter

Der KI-Assistent von Telconis wird auf Systemen betrieben, die Telcon OG selbst betreibt. Eingaben und Antworten werden nicht an externe Anbieter übermittelt und nicht zum Trainieren von Modellen verwendet (§ 10 Abs. 4 AGB). Ein externer KI-Dienst ist damit derzeit kein Unterauftragsverarbeiter. Ein späterer Wechsel würde dem Verfahren nach § 4 dieses Vertrags unterliegen.