Vereinbarung zur Auftragsverarbeitung

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung und der Betrieb von Werklplan für Kunden-, Anlagen-, Wartungs-, Auftrags-, Mitarbeiter- und Rechnungsverwaltung. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und die anschließenden gesetzlichen beziehungsweise vereinbarten Lösch- und Rückgabefristen.

2. Art und Zweck der Verarbeitung

Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Bereitstellen, Übermitteln, Einschränken, Exportieren und Löschen der vom Verantwortlichen eingegebenen oder erzeugten Daten. Zweck ist ausschließlich die vertraglich geschuldete Plattformleistung einschließlich Sicherheit, Support, Sicherung und Wiederherstellung.

3. Datenarten und betroffene Personen

Betroffene Personen: Kunden, Interessenten, Ansprechpartner, Beschäftigte, Techniker, Lieferanten, Eigentümer, Mieter und sonstige Personen, deren Daten der Verantwortliche in Werklplan verwaltet.

Datenkategorien: Stamm-, Kontakt-, Adress-, Organisations-, Standort-, Zutritts-, Beschäftigten-, Anlagen-, Termin-, Leistungs-, Wartungs-, Mess-, Kommunikations-, Rechnungs-, Zahlungs-, Nutzungs-, Protokoll- und Sicherheitsdaten.

4. Weisungen

Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung entgegensteht. Der Hauptvertrag, die Nutzung der vorgesehenen Funktionen und nachweisbare Supportanweisungen gelten als dokumentierte Weisungen. Rechtswidrig erscheinende Weisungen werden unverzüglich angezeigt und bis zur Klärung ausgesetzt.

5. Vertraulichkeit und Zugriffe

Zugriffsberechtigte Personen sind auf Vertraulichkeit verpflichtet und erhalten nur die für ihre Aufgabe notwendigen Rechte. Organisationsrollen, mehrschichtige Mandantentrennung, erneute Membership-Prüfung und Audit-Protokolle begrenzen Zugriffe.

6. Technische und organisatorische Maßnahmen

• HTTPS, HSTS, sichere Cookies und restriktive Browser-Header
• starke Kennwortrichtlinie, Lockout, Zwei-Faktor-Anmeldung, Recovery Codes und Passkeys
• Tenant-Filter, SaveChanges-Guards, zusammengesetzte Fremdschlüssel und rollenabhängige Datenfilter
• kurzlebige Datenbankkontexte, minimale Datenbankrechte und getrennte Betriebsrollen
• verschlüsselte Zutrittshinweise, SMTP-Secrets, Data-Protection-Schlüssel und Backups
• Rate Limits, Antiforgery-Schutz, Eingabevalidierung und sichere Fehlerantworten
• secret-freie Audit- und Systemprotokolle, Monitoring, Backup- und Restore-Verfahren
• Aufbewahrungsregeln, Datenexport und kontrollierte Kontolöschung

7. Weitere Auftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der unter Dienstleister und Infrastruktur veröffentlichten weiteren Auftragsverarbeiter. Änderungen werden vor ihrem Einsatz veröffentlicht und über den vereinbarten Vertragskontakt mitgeteilt. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

8. Unterstützung

Werklplan unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen, Sicherheitsnachweisen und der Erfüllung der Informationspflichten.

9. Datenschutzverletzungen

Bestätigte Verletzungen des Schutzes personenbezogener Daten werden dem Verantwortlichen unverzüglich nach Bekanntwerden über den vereinbarten Kontakt gemeldet. Die Meldung enthält die verfügbaren Angaben zu Art, betroffenen Daten und Personen, wahrscheinlichen Folgen, Ansprechpartner und ergriffenen oder vorgeschlagenen Maßnahmen; fehlende Informationen werden nachgereicht.

10. Vertragsende, Rückgabe und Löschung

Nach Ende der Leistung werden personenbezogene Daten nach Wahl des Verantwortlichen exportiert und gelöscht, soweit keine gesetzliche Aufbewahrungspflicht oder ein berechtigter Nachweiszweck entgegensteht. Sicherungskopien bleiben bis zum Ablauf der 30-tägigen Rotation gesperrt und werden danach überschrieben. Gesetzlich aufzubewahrende Rechnungen und Nachweise werden für andere Zwecke gesperrt.

11. Kontrollen und Nachweise

Werklplan stellt geeignete Informationen zum Nachweis der Pflichten bereit und ermöglicht nach angemessener Vorankündigung risikoadäquate Kontrollen. Betriebs- und Geschäftsgeheimnisse, Daten anderer Organisationen und die Sicherheit der Plattform bleiben geschützt.

12. Rangfolge und Kontakt

Bei Widersprüchen gehen diese Auftragsverarbeitungsbedingungen für den Datenschutz dem Hauptvertrag vor. Weisungen und Datenschutzmeldungen sind an office@christoph-wider.at zu richten.