Auftragsverarbeitungsvertrag

Dieser Vertrag nach Art. 28 DSGVO („AVV“) gilt zwischen Ihnen als Verantwortlichem („Sie“) und der MSGP GmbH, Stallburggasse 2/37, 1010 Wien, als Auftragsverarbeiter („wir“). Er ist Teil des Vertrags über Johnny nach unseren AGB und kommt mit Ihrer Bestellung zustande; eine eigene Unterschrift braucht es nicht. Es gibt ihn auf Deutsch und auf Englisch; verbindlich ist die deutsche Fassung.

1. Gegenstand und Dauer

1.1 Wir ziehen Ihre Website um, hosten und betreiben sie und ändern sie auf Ihre Anweisung, wie in den AGB beschrieben. Dabei verarbeiten wir personenbezogene Daten in Ihrem Auftrag.

1.2 Der AVV läuft so lange wie der Vertrag über Johnny. Pflichten, die nach dem Ende weiterlaufen (Löschung, Vertraulichkeit), bleiben bestehen.

2. Art und Zweck der Verarbeitung, Daten und Betroffene

2.1 Dienste, die Ihre Website einbindet (Analytics, Karten, Videos, Buchungen), verarbeiten Daten für Sie als Ihre eigenen Auftragsverarbeiter oder als eigene Verantwortliche. Wir übernehmen nur die Einbindung, wie sie auf Ihrer bisherigen Website war. Ihr Cookie-Banner bleibt, wie es war, und fragt weiter: Die Entscheidung des Besuchers fällt in seinem Browser und wird dort in einem Cookie Ihrer Website gespeichert (jr_consent, 182 Tage); Analytics und eingebettete Videos und Karten laden erst nach seiner Zustimmung. Wir führen kein Verzeichnis der Einwilligungen. Dieses Cookie gehört in die Datenschutzerklärung Ihrer Website.

2.2 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa Gesundheitsdaten) sind nicht vorgesehen. Gestalten Sie Ihre Formulare so, dass sie solche Daten nicht abfragen, oder sprechen Sie uns vorher an.

3. Weisungen

3.1 Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung. Weisungen sind dieser AVV, die AGB, die Einstellungen in Ihrem Konto und Ihre Nachrichten an Johnny und an unser Team. Weitere Weisungen erteilen Sie per E-Mail an hello@telljohnny.com.

3.2 Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen und dürfen sie aussetzen, bis Sie sie bestätigen.

3.3 Verpflichtet uns das Recht der Union oder Österreichs zu einer Verarbeitung, teilen wir Ihnen das vorher mit, soweit das Recht das erlaubt.

4. Unsere Pflichten

4.1 Vertraulichkeit. Alle Personen, die bei uns Zugang zu Ihren Daten haben, sind zur Vertraulichkeit verpflichtet und in den Datenschutz eingewiesen.

4.2 Sicherheit. Wir treffen die technischen und organisatorischen Maßnahmen in Anlage 1 (Art. 32 DSGVO). Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

4.3 Betroffenenrechte. Wenden sich Betroffene an uns, leiten wir die Anfrage an Sie weiter. Wir unterstützen Sie mit den Mitteln, die wir haben, etwa mit Auskunft über Daten in Logs oder Formularen und mit Löschung, soweit Sie das nicht selbst über Johnny tun können.

4.4 Unterstützung. Wir unterstützen Sie bei Ihren Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit die Art der Verarbeitung und die Informationen, die wir haben, das erlauben.

4.5 Datenschutzverletzungen. Erfahren wir von einer Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, informieren wir Sie unverzüglich, so dass Sie Ihre Meldefrist von 72 Stunden einhalten können, mit dem, was wir wissen: Art der Verletzung, betroffene Daten und Personen, soweit bekannt, wahrscheinliche Folgen und die Maßnahmen, die wir getroffen haben.

4.6 Nachweis und Prüfung. Auf Anfrage geben wir Ihnen die Informationen, die Sie brauchen, um unsere Pflichten zu prüfen: eine Beschreibung der Maßnahmen und die Zertifikate und Berichte unserer Anbieter. Reicht das nicht, können Sie oder ein von Ihnen beauftragter, zur Verschwiegenheit verpflichteter Prüfer einmal im Jahr nach Ankündigung von mindestens 14 Tagen zu unseren Geschäftszeiten prüfen. Die Prüfung stört den Betrieb nicht, und Sie tragen ihre Kosten, außer sie ergibt einen wesentlichen Verstoß.

4.7 Wir führen das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

4.8 Für den Datenschutz erreichen Sie uns unter hello@telljohnny.com.

5. Weitere Auftragsverarbeiter

5.1 Sie erlauben uns allgemein, weitere Auftragsverarbeiter einzusetzen. Die aktuellen stehen in Anlage 2.

5.2 Wollen wir einen hinzufügen oder ersetzen, teilen wir Ihnen das mindestens 30 Tage vorher per E-Mail mit. Sie können aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Finden wir dann keine Lösung, können beide Seiten den Vertrag über Johnny zum Wirksamwerden der Änderung kündigen; bezahlte, nicht genutzte Zeiträume erstatten wir.

5.3 Wir verpflichten jeden weiteren Auftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen in diesem AVV entsprechen, und bleiben Ihnen gegenüber für seine Leistung verantwortlich.

5.4 Drittländer. Verarbeitet ein Anbieter Daten außerhalb des Europäischen Wirtschaftsraums, geschieht das nur mit einer Garantie nach Kapitel V DSGVO: einem Angemessenheitsbeschluss (etwa dem EU-US Data Privacy Framework) oder Standardvertragsklauseln. Anlage 2 nennt die Garantie je Anbieter.

6. Ihre Pflichten

6.1 Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich: für die Rechtsgrundlage, für die Datenschutzerklärung und die Cookie-Hinweise Ihrer Website und dafür, was Ihre Formulare abfragen.

6.2 Sie prüfen vor der Bestellung, ob die Maßnahmen in Anlage 1 für Ihre Daten ausreichen.

6.3 Sie informieren uns unverzüglich, wenn Sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung bemerken.

7. Ende der Verarbeitung

7.1 Die Eingaben aus Ihren Formularen erhalten Sie laufend per E-Mail; sie liegen damit bei Ihnen. Ihre Inhalte können Sie jederzeit von Ihrer Website übernehmen, solange sie online ist.

7.2 Mit dem Ende des Vertrags über Johnny löschen wir innerhalb von 30 Tagen alle personenbezogenen Daten, die wir für Sie verarbeitet haben, samt Versionen und Backups, und bestätigen das auf Anfrage. Wollen Sie vorher personenbezogene Daten zurück, die nur bei uns liegen, sagen Sie es uns bis zum Vertragsende; wir geben sie Ihnen in einem gängigen Format. Punkt 12 der AGB bleibt unberührt: Eine Kopie der Website, ihres Codes oder ihrer Dateien gibt es nicht.

7.3 Gesetzliche Aufbewahrungspflichten bleiben unberührt; solche Daten sperren wir.

8. Haftung und Schlussbestimmungen

8.1 Für die Haftung gilt Punkt 14 der AGB, soweit Art. 82 DSGVO nichts anderes zwingend vorsieht.

8.2 Bei Widersprüchen zwischen diesem AVV und den AGB geht für den Datenschutz dieser AVV vor.

8.3 Es gilt österreichisches Recht; Erfüllungsort und Gerichtsstand sind die der AGB.

8.4 Ist eine Bestimmung dieses AVV unwirksam, bleiben die übrigen wirksam.

8.5 Geht der Vertrag über Johnny nach Punkt 18.3 der AGB auf ein anderes Unternehmen über, geht dieser AVV mit über; das neue Unternehmen ist ab dann Ihr Auftragsverarbeiter mit allen Pflichten aus diesem AVV.

8.6 Diesen AVV gibt es auf Deutsch und auf Englisch. Verbindlich ist die deutsche Fassung; die englische Fassung dient dem Verständnis.

Anlage 1: Technische und organisatorische Maßnahmen

• Zugang zu Ihrer Website: nur über Ihr Konto. Die Anmeldung erfolgt mit einem Code, der an Ihre E-Mail-Adresse geht, oder mit einem Passkey; es gibt keine Passwörter, die gestohlen werden können.
• Trennung: Jede Website läuft getrennt von allen anderen, in einer eigenen Umgebung mit eigenem Speicher. Eine Website kann nicht auf die Daten einer anderen zugreifen.
• Verschlüsselung: Ihre Website wird über TLS (SSL) ausgeliefert. Gespeicherte Daten sind bei unseren Anbietern verschlüsselt.
• Versionen und Backups: Jede veröffentlichte Version Ihrer Website wird aufbewahrt. Backups erlauben die Wiederherstellung.
• Zugriff bei uns: nur Personen, die ihn für den Betrieb brauchen, mit eigenen Konten und Zwei-Faktor-Anmeldung bei unseren Anbietern. Zugriffe werden protokolliert.
• Anbieter: Wir setzen nur Anbieter ein, die nach anerkannten Standards geprüft sind (etwa ISO 27001 oder SOC 2) und mit denen wir einen Auftragsverarbeitungsvertrag haben.
• Formulare: Eingaben werden an Ihre E-Mail-Adresse weitergeleitet und bei uns nicht gesammelt.
• Datensparsamkeit: Logs enthalten nur, was Auslieferung und Schutz brauchen, und werden nach kurzer Zeit gelöscht.
• Vorfälle: Wir haben einen Ablauf, mit dem wir Vorfälle erkennen, eingrenzen, beheben und Sie informieren.
• Menschen: Alle Personen mit Zugang sind zur Vertraulichkeit verpflichtet und eingewiesen.
• Überprüfung: Wir prüfen diese Maßnahmen regelmäßig und passen sie an.

Anlage 2: Weitere Auftragsverarbeiter

Unser Zahlungsdienstleister Stripe steht nicht in dieser Liste: Er verarbeitet Ihre Zahlungsdaten für uns als Verantwortlichen, nicht die Daten Ihrer Website (siehe Datenschutzerklärung).