Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Auftraggeber (Verantwortlicher) ist die Organisation, die sich bei Victor PM registriert hat, für die der Auftragnehmer auf deren Wunsch eine Organisation eingerichtet hat bzw. die den Dienst nutzt (nachfolgend „Kunde“). Name und Kontaktdaten ergeben sich aus den Angaben bei der Registrierung bzw. Einrichtung und in den Organisationseinstellungen.

Auftragnehmer (Auftragsverarbeiter) ist:

Dieser Vertrag kommt zusammen mit dem Nutzungsvertrag nach § 3 der AGB zustande. Die handelnde Person stimmt ihm im Namen des Kunden zu: bei der Registrierung, bei Annahme der Einladung als erste Administratorin bzw. erster Administrator einer vom Auftragnehmer eingerichteten Organisation oder, solange für den Kunden noch keine Zustimmung zur geltenden Fassung vorliegt, als Administratorin bzw. Administrator vor der weiteren Nutzung des Dienstes. Er ist Bestandteil des Nutzungsvertrags und gilt für dessen Dauer. Alternativ kann er in elektronischer Form gesondert unterzeichnet werden. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Eine unterzeichnete Ausfertigung erhalten Sie auf Anfrage unter office@mastergainer.com.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

Der Auftragnehmer stellt dem Kunden die Projektmanagement-Software Victor PM als Online-Dienst bereit und verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung des Kunden. Art der Verarbeitung: Speichern, Organisieren, Anzeigen, Übermitteln (z. B. E-Mail-Benachrichtigungen, Projektfreigabe per Link als Leseansicht, Bereitstellung eines Kundenportals mit eigener Anmeldung für die Kunden des Kunden), Dokumentieren von Abnahmeerklärungen, Entgegennehmen, Zuordnen und Anzeigen von Projektkorrespondenz (Projektverlauf), Exportieren und Löschen. Zweck: Planung, Steuerung und Dokumentation von Projekten des Kunden, Zusammenarbeit im Team und mit dessen Kunden, Zeiterfassung, Anzeige des Aktivitätsprotokolls für die Administratoren des Kunden, technischer Betrieb und Support.

Kundenportal: Der Kunde entscheidet, welche Personen seiner Kunden er als Portalnutzer einlädt, welche Projekte er im Portal freigibt und welche Abnahmen er anfragt; diese Handlungen sind Weisungen im Sinne von § 3. Der Kunde ist gegenüber den Portalnutzern Verantwortlicher und informiert sie nach Art. 13 und 14 DSGVO über die Verarbeitung; der Auftragnehmer stellt dafür einen Musterhinweis bereit und zeigt Portalnutzern beim ersten Anmelden einen Hinweis mit Verweis auf den vom Kunden hinterlegten Datenschutzhinweis. Abnahmeerklärungen speichert der Auftragnehmer unveränderlich mit Momentaufnahme des abgenommenen Stands, Prüfsumme, Zeitpunkt, IP-Adresse, Browser-Kennung und Sitzungs-Hash als Nachweis für den Kunden; sie bleiben auch nach Anonymisierung eines Portalzugangs erhalten, bis der Kunde das Projekt löscht oder der Vertrag endet (§ 7). Den Portalnutzern wird der Name des Benutzers angezeigt, der eine Abnahme anfragt (Portalansicht, E-Mails zur Anfrage, Momentaufnahme und Abnahmeprotokoll), nicht dessen E-Mail-Adresse; der Kunde informiert seine Benutzer darüber.

Projektverlauf: Der Kunde kann zu Projekten E-Mails, Notizen, Telefonate und Termine erfassen oder über die API aus eigenen Systemen (z. B. seinem E-Mail- oder Kundenverwaltungssystem) übermitteln. Welche Nachrichten übermittelt werden, bestimmt allein der Kunde; der Auftragnehmer greift nicht auf Postfächer des Kunden zu. Der Dienst ordnet übermittelte Einträge nach den vom Kunden festgelegten Merkmalen (Projektkennung im Betreff, Unterhaltung, Kunde) einem Projekt zu und leitet die Sichtbarkeit im Kundenportal nach den im Dienst beschriebenen Regeln ab (E-Mails vom Kunden und Antworten an ihn sichtbar, sonst intern); die Übermittlung, die Freigabe für Kunden und das Verschieben, Ändern und Löschen von Einträgen sind Weisungen im Sinne von § 3. Anhänge speichert der Auftragnehmer nur als Verweis (Dateiname, Adresse im Ablagesystem des Kunden); Portalnutzern werden nur die Dateinamen angezeigt, keine Verweise und keine E-Mail-Adressen. Den Portalnutzern werden bei freigegebenen Einträgen die Namen der Absender bzw. der erfassenden Benutzer angezeigt. Der Kunde informiert die Betroffenen, auch Absender, Empfänger und Personen in Kopie, nach Art. 13 und 14 DSGVO und stellt sicher, dass er die übermittelten Inhalte verarbeiten darf. Einträge werden mit dem Projekt, auf Weisung des Kunden einzeln oder nach § 7 gelöscht.

Soweit der Auftragnehmer Konto- und Protokolldaten zu eigenen Zwecken verarbeitet (Vertragsabwicklung, Nachweis des Vertragsschlusses, Sicherheit und Missbrauchsabwehr des Dienstes), ist er insoweit selbst Verantwortlicher (Art. 4 Nr. 7 DSGVO); dazu informiert die Datenschutzerklärung (Abschnitte 3.2 und 3.4).

§ 2 Kategorien betroffener Personen und Daten

Betroffene Personen: Mitarbeiter und sonstige Benutzer des Kunden, Kunden und Ansprechpartner des Kunden (einschließlich Empfänger freigegebener Projektlinks und Nutzer des Kundenportals), sonstige Projektbeteiligte sowie Absender und Empfänger von E-Mails im Projektverlauf einschließlich Dritter, die in Kopie (Cc) stehen oder in Nachrichten genannt werden.

Datenkategorien: Namen, geschäftliche Kontaktdaten (E-Mail, Telefon, Adresse), Rollen und Zugangsdaten, Projekt- und Aufgabeninhalte einschließlich der vom Kunden definierten Zusatzfelder zu Projekten, Aufgaben und Kunden, Kommentare, Anhänge, Zeiteinträge, Abnahmen und Unterschriften, Protokolldaten (Zeitpunkt, Aktion, IP-Adresse, Browser-Kennung). Für Nutzer des Kundenportals zusätzlich: Zugangsdaten des Portals (E-Mail-Adresse, Name, Status, Zeitpunkte von Einladung und Anmeldung, Sitzungsdaten als Hash), Anmeldungen im Aktivitätsprotokoll sowie Abnahmeerklärungen (Entscheidung, Begründung, eingegebener Name, E-Mail-Adresse, Zeitpunkt, Momentaufnahme des abgenommenen Stands mit Prüfsumme, IP-Adresse, Browser-Kennung, Sitzungs-Hash). Für den Projektverlauf: Kommunikationsinhalte (Betreff, Text von E-Mails, Notizen, Telefonaten und Terminen), Absender (Adresse, Name) und Empfänger (Adressen in An und Cc), Zeitpunkt, Kennungen der Unterhaltung und des Herkunftssystems, Verweise auf Anhänge (Dateiname, Adresse im Ablagesystem des Kunden, Größe, Dateityp) sowie der erfassende Benutzer. Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen; der Kunde stellt sicher, dass solche Daten nicht ohne gesonderte Vereinbarung eingegeben werden.

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich einer Übermittlung in Drittländer oder an internationale Organisationen, sofern er nicht nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen des Dienstes durch den Kunden; weitere Weisungen erteilt der Kunde in Textform an office@mastergainer.com. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich.

§ 4 Pflichten des Auftragnehmers

• Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO).
• Er unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (u. a. Datenexport und Kontolöschung als Selbstbedienung in der Anwendung) und bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Er stellt dem Kunden die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten Prüfer nach vorheriger Ankündigung und in angemessenem Umfang.

§ 5 Unterauftragsverarbeiter

Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Kunden mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; kommt keine Einigung zustande, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, einschließlich hinreichender Garantien für geeignete technische und organisatorische Maßnahmen und der Kontrollrechte nach § 4.

Nutzen Benutzer des Kunden die Adress- oder Firmensuche, übermittelt der Auftragnehmer auf Weisung des Kunden (§ 3: Nutzung der Funktionen des Dienstes) ausschließlich den eingegebenen Suchbegriff, ohne Bezug zu Benutzer oder Organisation, an die in Anlage 2 gesondert aufgeführten öffentlichen Dienste. Diese sind keine Unterauftragsverarbeiter, sondern Empfänger auf Weisung des Kunden, die den Suchbegriff nach eigenen Bedingungen verarbeiten; mit ihnen besteht kein Vertrag nach Art. 28 DSGVO.

Die Zahlungsabwicklung über Stripe betrifft nur die Vertragsbeziehung zwischen Kunde und Auftragnehmer. Stripe verarbeitet dabei keine Daten im Auftrag des Kunden und ist daher kein Unterauftragsverarbeiter dieses Vertrags.

Integrationen, die der Kunde selbst einrichtet (z. B. Webhooks an eigene Systeme, Benachrichtigungen an Slack, Zugriffe über API-Schlüssel), gelten als Weisung des Kunden. Die dabei vom Kunden gewählten Empfänger sind keine Unterauftragsverarbeiter des Auftragnehmers.

§ 6 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Administratoren der Organisation. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

§ 7 Löschung und Rückgabe

Nach Ende des Nutzungsvertrags kann der Kunde innerhalb von 30 Tagen einen Export seiner Daten (JSON) anfordern. Danach löscht der Auftragnehmer alle Daten des Kunden, soweit keine gesetzliche Aufbewahrungspflicht besteht. Daten in Datensicherungen werden mit deren regulärem Ablauf gelöscht. Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform. Löscht ein einzelner Benutzer sein Konto, werden seine Profildaten entfernt und seine Inhalte für den Kunden pseudonymisiert erhalten.

§ 8 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 9 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Es gilt österreichisches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, das sachlich zuständige Gericht am Sitz des Auftragnehmers. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Unterauftragsverarbeiter mit branchenüblichen Sicherheitszertifizierungen; kein eigener Serverbetrieb.
• Zugangskontrolle: Passwörter nur als bcrypt-Hash; optionale Zwei-Faktor-Anmeldung (Authenticator, E-Mail-Code, Passkeys); Bestätigung der E-Mail-Adresse bei der Registrierung; Begrenzung von Anmeldeversuchen; Sitzungen werden regelmäßig serverseitig überprüft und bei Sperre, Rollen- oder Passwortänderung beendet. Kundenportal: Anmeldung ausschließlich über einmalige, 15 Minuten gültige Anmeldelinks (nur als Hash gespeichert, getrennt von den Anmeldelinks der Benutzer); eigene, in der Datenbank geführte Sitzungen (Ende spätestens 7 Tage nach der Anmeldung oder nach 24 Stunden ohne Zugriff), getrennt von den Sitzungen der Benutzer; Begrenzung der Anmeldelink-Anfragen je Adresse und IP-Adresse; sofortiger Widerruf der Sitzungen bei Deaktivierung oder Entfernen des Zugangs, bei Sperre des Kunden und bei Wegfall des Tarifmerkmals.
• Zugriffskontrolle: Rollenmodell (Administrator, Projektmanager, Mitglied); jeder Datenzugriff der Anwendung ist an die Organisation des Benutzers gebunden. Portalnutzer sehen nur ausdrücklich freigegebene, nicht archivierte Projekte des ihnen zugeordneten Kunden, ohne Budgets, Stundensätze, Zeiteinträge, Kommentare und Anhänge; von den Benutzern sehen sie nur den Namen des Benutzers, der eine Abnahme angefragt hat, und bei freigegebenen Einträgen des Projektverlaufs den Namen des Absenders bzw. erfassenden Benutzers (keine E-Mail-Adressen, keine Bearbeiter von Aufgaben). Aus dem Projektverlauf sehen Portalnutzer nur ausdrücklich bzw. nach den Regeln in § 1 für Kunden sichtbare Einträge ihres freigegebenen Projekts, ohne Adressen, Unterhaltungs- und Systemkennungen und mit Anhängen nur als Dateiname. Nicht zugeordnete Einträge (Posteingang) sehen nur Administratoren und Projektleiter; Einträge für Kunden sichtbar schalten nur Administratoren und Projektleiter, Mitglieder ändern und löschen nur eigene Einträge. Portal-Sitzungen haben keinen Zugriff auf die Funktionen für Benutzer und umgekehrt. Zugriffe des Auftragnehmers auf Kundendaten erfolgen nur zu Support-Zwecken; die Anmeldung als Benutzer (Impersonation), Datenexporte und Änderungen über den Administrationsbereich werden protokolliert.
• Trennungskontrolle: Logische Trennung der Mandanten über Organisations-Kennungen auf Anwendungsebene.
• Pseudonymisierung: Gelöschte Benutzerkonten werden pseudonymisiert, entfernte Portalzugänge anonymisiert (E-Mail-Adresse und Name entfernt); Statistikdaten werden ohne Personenbezug erfasst.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS); API-Schlüssel und Einmal-Tokens werden nur als Hash gespeichert; öffentliche Projektfreigaben nur über nicht erratbare Links; schreibende Anfragen des Kundenportals nur mit passender Herkunft (Origin-Prüfung).
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge und wesentlicher Änderungen (Benutzer, Zeitpunkt, Aktion), im Kundenportal auch der Anmeldungen, Einladungen, Freigaben und Abnahmen; IP-Adressen im Protokoll werden nach 90 Tagen gelöscht. Abnahmeerklärungen werden unveränderlich gespeichert (keine Änderungs- oder Löschfunktion; Prüfsumme SHA-256 über die Momentaufnahme).

Verfügbarkeit und Belastbarkeit

• Tägliche automatische Datensicherung der Datenbank durch Supabase; Aufbewahrung gemäß gebuchtem Tarif (7 Tage).
• Verschlüsselung der Datenbank im Ruhezustand durch den Datenbankanbieter.
• Betrieb auf skalierender Serverless-Infrastruktur.

Verfahren zur regelmäßigen Überprüfung

• Überprüfung der Maßnahmen bei wesentlichen Änderungen des Dienstes, mindestens jährlich.
• Zeitnahes Einspielen von Sicherheitsupdates der verwendeten Software.
• Automatische Löschung von IP-Adressen und Browser-Kennungen im Protokoll, von Statistikdaten, von Zugangsdaten (Codes, Links, Einladungen, abgelaufene Portal-Sitzungen und -Anmeldelinks) und von nicht bestätigten Registrierungen nach den in der Datenschutzerklärung genannten Fristen; endgültige Löschung der Daten geschlossener Organisationen durch den Auftragnehmer gemäß § 7, abgesichert durch eine tägliche automatische Erinnerung vor Fristablauf.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Empfänger auf Weisung des Kunden (keine Unterauftragsverarbeiter, siehe § 5)