Auftragsverarbeitung gemäß Art. 28 DSGVO

Internet Viennaweb Service GmbH
Perfektastraße 21/2/30, 1230 Wien, Österreich

Stand: Oktober 2026

1. Gegenstand und Geltungsbereich

Diese Regelungen zur Auftragsverarbeitung gelten für sämtliche Leistungen der Internet Viennaweb Service GmbH, nachfolgend „Viennaweb“ genannt, bei denen Viennaweb im Rahmen technischer Dienstleistungen personenbezogene Daten im Auftrag eines Kunden verarbeitet oder eine technische Zugriffsmöglichkeit auf solche Daten bestehen kann.

Dies betrifft insbesondere Leistungen in den Bereichen Webhosting, E-Mail-Dienste, Datenbankbetrieb, Serverbetrieb, Datensicherung, technische Migrationen, Sicherheitsmaßnahmen, Netzwerkbetrieb sowie vergleichbare technische Infrastrukturleistungen.

Dieses Dokument ergänzt die Allgemeinen Geschäftsbedingungen von Viennaweb. Soweit einzelne Regelungen dieses Dokuments strengere oder speziellere datenschutzrechtliche Vorgaben enthalten, gehen diese für den Bereich der Auftragsverarbeitung den allgemeinen Regelungen vor.

Die Auftragsverarbeitung beginnt mit der Bereitstellung der jeweils beauftragten Dienstleistung und erstreckt sich über deren Vertragslaufzeit sowie die zur Rückgabe und Löschung personenbezogener Daten erforderliche Abwicklungsphase.

Gegenstand, Art und Zweck der Verarbeitung ergeben sich aus den jeweils vertraglich vereinbarten Hosting-, E-Mail-, Datenbank-, Backup- und sonstigen technischen Infrastrukturleistungen. Die Kategorien personenbezogener Daten und betroffener Personen ergeben sich ergänzend aus Abschnitt 4 dieser Vereinbarung sowie gegebenenfalls aus der konkreten Leistungsbeschreibung.

2. Verantwortlichkeit für die Datenverarbeitung

Der Kunde ist im Sinne der Datenschutz-Grundverordnung (DSGVO) Verantwortlicher für sämtliche personenbezogenen Daten, die er im Rahmen der Nutzung der von Viennaweb bereitgestellten Dienstleistungen verarbeitet, speichert, übermittelt oder in sonstiger Weise technisch verarbeiten lässt.

Viennaweb stellt dem Kunden ausschließlich die technische Infrastruktur zur Verfügung, insbesondere Webspace, Serverressourcen, E-Mail-Dienste, Datenbanken, Datensicherungen und Netzwerkanbindungen. Der Kunde entscheidet eigenständig und ausschließlich über Art, Umfang, Zweck und Dauer der von ihm verarbeiteten personenbezogenen Daten. Viennaweb hat auf diese inhaltliche Datenverarbeitung grundsätzlich keinen Einfluss.

Der Kunde bleibt insbesondere verantwortlich für die Rechtmäßigkeit der Verarbeitung, für die Erfüllung datenschutzrechtlicher Informationspflichten, für das Vorliegen einer wirksamen Rechtsgrundlage, für den Abschluss allfälliger weiterer Datenschutzvereinbarungen mit Dritten sowie für die datenschutzkonforme Ausgestaltung seiner eigenen Anwendungen, Websites, Shops, Kontaktformulare, Datenbanken und E-Mail-Nutzungen.

3. Rolle von Viennaweb als Auftragsverarbeiter

Soweit personenbezogene Daten im Rahmen der Nutzung der Hosting- und Infrastrukturleistungen verarbeitet werden, erfolgt diese Verarbeitung durch Viennaweb als Auftragsverarbeiter im Sinne des Art. 28 DSGVO.

Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der vertraglich vereinbarten technischen Dienstleistungen. Dies umfasst insbesondere die Speicherung von Webseiten und Dateien, den Betrieb von Datenbanken, die Bereitstellung von E-Mail-Diensten, Datensicherungssysteme, den Netzwerk- und Serverbetrieb, die technische Administration der Infrastruktur, Maßnahmen zur Störungsbehebung sowie sicherheitsbezogene technische Eingriffe.

Viennaweb verarbeitet personenbezogene Daten des Kunden ausschließlich im Auftrag und nach Maßgabe des zugrunde liegenden Vertragsverhältnisses und nicht zu eigenen inhaltlichen Zwecken. Eine inhaltliche Bewertung oder wirtschaftliche Verwertung der Kundendaten durch Viennaweb findet nicht statt.

Viennaweb verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisungen gelten insbesondere der abgeschlossene Vertrag, die darin festgelegten Leistungen sowie weitere nachweisbare Weisungen des Kunden in schriftlicher oder elektronischer Form.

Dies gilt auch für etwaige Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen. Eine Ausnahme besteht, soweit Viennaweb durch unmittelbar anwendbares Unionsrecht oder das Recht eines Mitgliedstaates zu einer Verarbeitung verpflichtet ist. In diesem Fall wird der Kunde vorab über diese rechtliche Verpflichtung informiert, sofern dies gesetzlich zulässig ist.

Ist Viennaweb der Auffassung, dass eine Weisung des Kunden gegen die DSGVO oder sonstige anzuwendende Datenschutzbestimmungen verstößt, wird der Kunde hierüber unverzüglich informiert.

4. Art der verarbeiteten Daten und Kategorien betroffener Personen

Die konkreten Kategorien personenbezogener Daten hängen von den vom Kunden genutzten Diensten und den vom Kunden auf den Systemen von Viennaweb gespeicherten oder verarbeiteten Inhalten ab. Dazu können insbesondere gehören:

• Stammdaten, Kontaktdaten und Kommunikationsdaten,
• Bestell-, Vertrags-, Rechnungs- und Kundendaten,
• Websiteinhalte, Formulareingaben und Datenbankinhalte,
• E-Mail-Adressen, E-Mail-Inhalte und Metadaten des Mailverkehrs,
• Authentifizierungsdaten und Systemzugangsdaten,
• technische Protokolldaten, Logfiles und sicherheitsbezogene Metadaten.

Betroffene Personen können insbesondere Endkunden des Kunden, Interessenten, Mitarbeiter, Bewerber, Lieferanten, Kommunikationspartner, Websitebesucher, Ansprechpartner sowie sonstige Personen sein, deren Daten durch den Kunden auf den Systemen von Viennaweb verarbeitet werden.

5. Zugriffsmöglichkeiten auf Kundendaten

Im Rahmen des technischen Betriebs kann eine Zugriffsmöglichkeit auf gespeicherte Daten bestehen, insbesondere durch Systemadministratoren, Netzwerkadministratoren und Mitarbeiter des Network Operations Center (NOC), soweit ein solcher Zugriff technisch erforderlich ist.

Ein Zugriff erfolgt ausschließlich, wenn dies zur Fehleranalyse, Wartung, Sicherstellung des Betriebs, Behebung technischer Störungen, Wiederherstellung von Diensten, Abwehr von Sicherheitsbedrohungen, Bearbeitung konkreter Supportfälle oder zur Umsetzung gesetzlicher bzw. behördlicher Anforderungen notwendig ist.

Ein Zugriff erfolgt grundsätzlich nicht zum Zweck einer inhaltlichen Einsichtnahme in Kundendaten. Soweit ausnahmsweise eine inhaltliche Einsicht technisch unvermeidbar ist, erfolgt diese ausschließlich im erforderlichen Mindestmaß und nur soweit dies sachlich durch den konkreten technischen Anlass gerechtfertigt ist.

Viennaweb stellt sicher, dass sämtliche zur Verarbeitung personenbezogener Kundendaten befugten Mitarbeiter und sonstigen berechtigten Personen einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen oder ausdrücklich zur Vertraulichkeit verpflichtet wurden.

Die Zugriffsberechtigungen werden nach den jeweiligen technischen und organisatorischen Erfordernissen vergeben und auf das für die Aufgabenerfüllung notwendige Maß beschränkt.

6. Technische Protokollierung und Logfiles

Zur Sicherstellung des Betriebs sowie zur Gewährleistung der Systemsicherheit können technische Protokolldaten verarbeitet werden. Dies betrifft insbesondere Serverlogs, E-Mail-Transportprotokolle, Authentifizierungslogs, Netzwerkprotokolle, Sicherheitsereignisse, Fehlermeldungen, Zustellungsstatus, Rate-Limits, Abuse-bezogene Logs sowie vergleichbare technische Metadaten.

Diese Verarbeitung erfolgt ausschließlich zu folgenden Zwecken: Betriebssicherheit, Fehleranalyse, Missbrauchserkennung, Schutz der Infrastruktur, Reaktion auf Sicherheitsvorfälle, Lastverteilung, Störungsbehebung, Zustellungsanalyse, Einhaltung technischer Richtlinien sowie Nachvollziehbarkeit administrativer und sicherheitsrelevanter Vorgänge.

Eine darüber hinausgehende inhaltliche Auswertung von Kundendaten erfolgt nicht. Soweit Protokolldaten personenbezogene Informationen enthalten können, werden sie nur so lange aufbewahrt, wie dies technisch, sicherheitsrelevant oder gesetzlich erforderlich ist.

7. Datensicherungen (Backups)

Zur Gewährleistung der Datenintegrität sowie zur Wiederherstellung im Fehlerfall werden regelmäßig technische Datensicherungen erstellt, soweit dies nach Maßgabe des jeweiligen Produkts, der jeweiligen Plattform oder des konkreten Betriebsmodells vorgesehen ist.

Diese Backups können auch personenbezogene Daten enthalten, sofern diese Bestandteil der gespeicherten Systeme, Datenbanken, Postfächer, Anwendungen, Webseiten oder sonstigen Inhalte des Kunden sind.

Backups werden ausschließlich zu Zwecken der Systemwiederherstellung, Fehlerbehebung, Sicherheitsvorsorge, Datenintegrität und technischen Notfallvorsorge verwendet. Sie dienen nicht als individuelle Archivierungs- oder Aufbewahrungslösung für den Kunden, sofern nicht ausdrücklich ein gesondertes Backup-Produkt vereinbart wurde.

8. Technische und organisatorische Maßnahmen

Viennaweb ergreift angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor unbefugtem Zugriff, Verlust, Manipulation, Missbrauch oder unzulässiger Offenlegung zu schützen. Diese Maßnahmen orientieren sich am Stand der Technik, am Risiko der Verarbeitung, am Umfang der Leistungen sowie an der wirtschaftlichen Zumutbarkeit.

Dazu gehören insbesondere:

• Zugangsbeschränkungen zu Servern, Netzwerken und Administrationsoberflächen,
• verschlüsselte Datenübertragung, soweit technisch vorgesehen oder vertraglich vereinbart,
• Netzwerküberwachung und Sicherheitsmaßnahmen zur Erkennung von Angriffen und Missbrauch,
• Zugriffsbeschränkungen für Administratoren und rollenspezifische Berechtigungen,
• Sicherheitsmaßnahmen im Rechenzentrums- und Infrastrukturumfeld,
• Maßnahmen zur Datensicherung, Wiederherstellung und technischen Notfallvorsorge,
• Protokollierung sicherheitsrelevanter Ereignisse und administrativer Zugriffe, soweit technisch üblich.

Viennaweb ist berechtigt, technische und organisatorische Maßnahmen im Zuge des technischen Fortschritts, geänderter Bedrohungslagen, Sicherheitsanforderungen oder betrieblicher Optimierungen anzupassen, sofern das Schutzniveau insgesamt nicht unangemessen abgesenkt wird.

9. Unterstützung des Kunden bei Datenschutzpflichten

Viennaweb unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen im gesetzlich erforderlichen Umfang bei der Erfüllung seiner datenschutzrechtlichen Verpflichtungen.

Dies umfasst insbesondere die Unterstützung bei der Bearbeitung von Anfragen betroffener Personen gemäß Art. 12 bis 22 DSGVO sowie bei den Pflichten zur Datensicherheit, Behandlung und Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherigen Konsultation gemäß Art. 32 bis 36 DSGVO.

Viennaweb informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, soweit Daten betroffen sind, die Viennaweb im Auftrag des Verantwortlichen verarbeitet. Die zum jeweiligen Zeitpunkt verfügbaren relevanten Informationen werden bereitgestellt und erforderlichenfalls ergänzt.

Eine darüber hinausgehende rechtliche Beratung schuldet Viennaweb nicht. Insbesondere bleibt der Kunde für die rechtliche Beurteilung seiner konkreten Verarbeitungen, Informationspflichten, Löschkonzepte, Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, Einwilligungstexte, Datenschutzerklärungen, Aufbewahrungspflichten und sonstige Pflichten als Verantwortlicher selbst zuständig.

10. Löschung und Rückgabe von Daten

Nach Beendigung der jeweiligen Auftragsverarbeitung gibt Viennaweb die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht diese, soweit keine gesetzliche Verpflichtung zur weiteren Aufbewahrung besteht.

Der Verantwortliche kann seine Entscheidung über Rückgabe oder Löschung in schriftlicher oder elektronischer Form mitteilen. Die Rückgabe erfolgt in einem verfügbaren, technisch geeigneten und gebräuchlichen Datenformat. Soweit hierfür über die vertraglich vorgesehenen Exportmöglichkeiten hinaus gesonderte technische Dienstleistungen notwendig sind, können diese nach entsprechender Vereinbarung gesondert verrechnet werden.

Nach Abschluss der Rückgabe beziehungsweise Löschung werden vorhandene Kopien ebenfalls gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Personenbezogene Daten können in technisch getrennten Datensicherungen noch bis zum Ablauf der dokumentierten Backup-Aufbewahrungsfristen enthalten sein. Diese Daten werden während dieser Zeit vor unbefugtem Zugriff geschützt, nicht für andere Zwecke verwendet und spätestens nach Ablauf der jeweiligen Sicherungs- und Löschzyklen entfernt, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Die tatsächlich geltenden Backup-Aufbewahrungsfristen und Löschzyklen werden in den ergänzenden technischen Informationen beziehungsweise den technischen und organisatorischen Maßnahmen dokumentiert.

11. Verantwortlichkeit des Kunden

Der Kunde ist verantwortlich für die rechtmäßige Verarbeitung personenbezogener Daten innerhalb der von ihm betriebenen Anwendungen, Webseiten, Systeme und Kommunikationsprozesse. Dies umfasst insbesondere die Einhaltung datenschutzrechtlicher Bestimmungen, die Bereitstellung eigener Datenschutzerklärungen, die Einholung notwendiger Einwilligungen, die Festlegung zulässiger Speicherdauern, die Umsetzung geeigneter organisatorischer Abläufe sowie die rechtmäßige Speicherung und Verarbeitung personenbezogener Daten.

Der Kunde ist ferner dafür verantwortlich, seine Systeme aktuell zu halten, Sicherheitslücken unverzüglich zu schließen, sichere Zugangsdaten zu verwenden, missbräuchliche Nutzung zu verhindern und Datenverarbeitungen nur im gesetzlich zulässigen Umfang vorzunehmen.

12. Weitergabe von Daten

Einsatz von Unterauftragsverarbeitern

Der Verantwortliche erteilt Viennaweb die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit dies für die Erbringung der vertraglich vereinbarten Dienstleistungen erforderlich ist.

Die jeweils eingesetzten Unterauftragsverarbeiter, deren Tätigkeiten und die betreffenden Verarbeitungsstandorte werden in einer aktuellen Unterauftragsverarbeiterübersicht dokumentiert, die Bestandteil beziehungsweise ergänzende Anlage dieser Vereinbarung ist.

Viennaweb informiert den Verantwortlichen rechtzeitig über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und räumt ihm die Möglichkeit ein, aus berechtigten datenschutzrechtlichen Gründen Einwendungen zu erheben.

Viennaweb verpflichtet eingesetzte Unterauftragsverarbeiter vertraglich zur Einhaltung der nach Art. 28 DSGVO erforderlichen Datenschutzpflichten und stellt sicher, dass diese ein angemessenes Schutzniveau gewährleisten. Viennaweb bleibt gegenüber dem Verantwortlichen für die Erfüllung der entsprechenden Pflichten durch seine Unterauftragsverarbeiter verantwortlich.

Eine Verarbeitung oder Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums erfolgt nur unter Beachtung der einschlägigen Bestimmungen der DSGVO, insbesondere der Anforderungen an internationale Datentransfers gemäß Kapitel V DSGVO.

Gesetzlich vorgeschriebene Übermittlungen an Behörden und eigenständig datenschutzrechtlich verantwortliche Empfänger bleiben hiervon unberührt.

13. Sicherheitsvorfälle und Missbrauch

Viennaweb ist berechtigt, bei Sicherheitsvorfällen, Missbrauchsverdacht, Spam, Malware, Phishing, DDoS-Ereignissen, kompromittierten Kundensystemen oder sonstigen Gefahrenlagen die technisch und organisatorisch erforderlichen Maßnahmen zu ergreifen, um die eigene Infrastruktur, andere Kunden oder Dritte zu schützen.

Dies kann insbesondere die Einschränkung oder Sperre von Diensten, das Blockieren von Zugängen, das Isolieren von Systemen, das Deaktivieren einzelner Anwendungen, das Zurücksetzen von Zugangsdaten oder vergleichbare Maßnahmen umfassen. Solche Maßnahmen erfolgen im Rahmen der Auftragsverarbeitung ausschließlich zur Sicherstellung des Betriebs, zur Gefahrenabwehr und zur Wahrung berechtigter Sicherheitsinteressen.

13a. Nachweise und Kontrollrechte

Viennaweb stellt dem Verantwortlichen auf Anfrage die zur Überprüfung der Einhaltung der Verpflichtungen nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

Viennaweb ermöglicht und unterstützt im gesetzlich vorgesehenen Umfang angemessene Überprüfungen und Audits einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten unabhängigen Prüfer.

Die Durchführung erfolgt unter Wahrung der Vertraulichkeit, der Systemsicherheit sowie der berechtigten Interessen anderer Kunden. Soweit sachlich möglich, werden Prüfungen mit angemessener Vorankündigung und unter Vermeidung unnötiger Betriebsunterbrechungen abgestimmt.

Gesetzlich bestehende Kontrollrechte des Verantwortlichen werden dadurch nicht eingeschränkt.

14. Schlussbestimmungen

Dieses Dokument ist als ergänzende Vereinbarung zur datenschutzrechtlichen Rollen- und Pflichtenverteilung im Sinne des Art. 28 DSGVO ausgestaltet. Es ergänzt die Allgemeinen Geschäftsbedingungen sowie die Datenschutzerklärung von Viennaweb.

Sollten einzelne Bestimmungen dieses Dokuments ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle einer unwirksamen Bestimmung tritt eine zulässige Regelung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Regelung möglichst nahekommt.

Die jeweils vereinbarten technischen und organisatorischen Maßnahmen sowie die aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter bilden ergänzende Bestandteile dieser Vereinbarung.

Diese Vereinbarung kann schriftlich oder in elektronischer Form abgeschlossen werden und gilt im Rahmen des jeweiligen Vertragsverhältnisses, soweit die Parteien ihre Geltung verbindlich vereinbart haben.

PDF-Version: AVV herunterladen