Rechtliches

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Version 2.5 – Stand: November 2026 (§ 8 Formulierungen präzisiert, § 11 Datenexport und Abruf nach Vertragsende, § 13 Bestätigung in der Software)

Dieser Auftragsverarbeitungsvertrag (AVV) wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Er ist Bestandteil der Nutzungsvereinbarung der jeweiligen Softwareanwendung: In der Software wird darauf hingewiesen, dass mit deren Nutzung dieser AVV akzeptiert wird; in PestDesk bestätigt zusätzlich ein Administrator des Verantwortlichen den AVV einmal je Fassung in der Software (Fassung, Zeitpunkt und Benutzer werden gespeichert). Der AVV ist in der jeweils aktuellen Fassung jederzeit auf dieser Webseite abrufbar.

1. Vertragsgegenstand

Dieser Auftragsverarbeitungsvertrag (AVV) wird gemäß Art. 28 DSGVO geschlossen und regelt die Rechte und Pflichten der Vertragsparteien im Zusammenhang mit der Verarbeitung personenbezogener Daten.

Der AVV gilt für das Hosting, den Betrieb, die Wartung und die Weiterentwicklung von Softwareanwendungen auf VPS-Infrastruktur (Virtual Private Server). Die Anwendungen werden zentral auf einem VPS gehostet und vom Auftragsverarbeiter technisch betreut.

2. Vertragsparteien

AuftraggeberDer jeweilige Kunde (Verantwortlicher)

AuftragsverarbeiterDaniel Reichhart, Parzhofstraße 14, 4040 Linz, Kleinunternehmer

3. Gegenstand und Dauer

Dieser AVV gilt ausschließlich für die Dauer der aktiven Nutzung der Software durch den Auftraggeber. Der AVV beginnt mit der erstmaligen Nutzung der Software und endet mit der vollständigen Beendigung der Nutzung.

Nach Beendigung der Nutzung erfolgt die Löschung personenbezogener Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Gesetzliche Aufbewahrungsfristen gemäß BAO (Bundesabgabenordnung) und UGB (Unternehmensgesetzbuch) bleiben unberührt.

4. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:

Technischer Betrieb der Softwareanwendungen
Hosting auf VPS-Infrastruktur
Wartung und technische Betreuung
Datensicherung (Backups)
IT-Sicherheit und Systemschutz
Weiterentwicklung und Optimierung der Software
Bereitstellung von KI-Assistenzfunktionen (Spracherkennung, Textverarbeitung, Sprachausgabe), soweit die jeweilige Softwareanwendung solche Funktionen enthält

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nicht für eigene Zwecke. Eine Nutzung der Daten zu Marketing-, Analyse- oder sonstigen eigenen Zwecken findet nicht statt. Der Auftragsverarbeiter wertet die personenbezogenen Daten des Auftraggebers nicht zu eigenen Zwecken aus. Automatisierte technische Analysen von Protokoll- und Fehlerdaten zum Zweck der Fehlersuche, Wartung und Systemsicherheit bleiben davon unberührt.

5. Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung können folgende Kategorien personenbezogener Daten verarbeitet werden:

Stammdaten (Name, Firma, Adresse)
Kontaktdaten (E-Mail, Telefon)
Kunden- und Auftragsdaten
Fahrzeug- und Vertragsdaten
Fotos, Dokumente und Berichte
Nutzungs- und Protokolldaten (Login, Aktivität)
Rechnungsdaten
Sprachaufnahmen und daraus erstellte Texte (nur bei Anwendungen mit Sprachfunktion)

Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (z. B. Gesundheitsdaten, religiöse Überzeugungen, biometrische Daten) ist nicht Gegenstand dieses Vertrags und wird nicht gezielt verarbeitet. Sollte der Auftraggeber solche Daten in der Software speichern, liegt die Verantwortung für die Rechtmäßigkeit der Verarbeitung ausschließlich beim Auftraggeber.

6. Betroffene Personen

Kunden des Verantwortlichen
Mitarbeiter des Verantwortlichen
Geschäftspartner
Sonstige natürliche Personen, deren Daten im System verarbeitet werden

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere zu folgenden Pflichten:

Weisungsgebundenheit: Daten werden ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeitet. Sollte der Auftragsverarbeiter der Auffassung sein, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, wird er den Verantwortlichen unverzüglich darauf hinweisen.
Vertraulichkeit: Alle Personen sowie eingesetzte automatisierte Systeme und KI-gestützten Werkzeuge, die Zugang zu Systemen des Auftraggebers haben, sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter gewährleistet die Vertraulichkeit aller verarbeiteten Daten.
Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter setzt technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um und hält diese aufrecht (siehe § 8 dieses AVV).
Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Wahrnehmung von Betroffenenrechten unverzüglich nach Eingang einer entsprechenden Anfrage.
Meldung von Datenschutzverletzungen: Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet (Art. 33 Abs. 2 DSGVO), damit dieser seine Meldepflicht gegenüber der Datenschutzbehörde (DSB) fristgerecht erfüllen kann.
Unterstützung bei DSFA: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO, soweit dies erforderlich ist.
Verzeichnis der Verarbeitungstätigkeiten: Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle

Die Server werden in gesicherten Rechenzentren des Hosting-Providers betrieben. Der Auftragsverarbeiter hat keinen physischen Zugang zu den Rechenzentren. Die physische Zutrittssicherung wird durch den Hosting-Provider gewährleistet.

Zugangskontrolle

Der Zugang zu Servern erfolgt ausschließlich über SSH-Keys. Es ist kein Passwort-Login möglich. Administrativen Zugang zu den Servern hat ausschließlich der Auftragsverarbeiter; Nutzer der Softwareanwendungen haben keinen Zugang zu den Servern.

Zugriffskontrolle

Es wird eine rollenbasierte Zugriffskontrolle (RBAC) eingesetzt. Passwörter werden mit bcrypt gehasht und gesalzen. Sessions sind mit den Attributen HttpOnly, Secure und SameSite konfiguriert.

Übertragungssicherheit

Sämtliche Datenübertragungen erfolgen über HTTPS/TLS. Die TLS-Zertifikate werden über Let's Encrypt bereitgestellt und automatisch erneuert. Es besteht eine erzwungene Weiterleitung von HTTP auf HTTPS. Die Datenbank ist ausschließlich lokal erreichbar und nicht von außen zugänglich.

Eingabekontrolle

Schutz vor XSS (Cross-Site Scripting) und SQL-Injection durch validierte Eingaben und parametrisierte Abfragen. Ein Prozessmanager wird für die stabile Ausführung der Anwendungen eingesetzt. Webserver-Zugriffslogs werden zur Nachvollziehbarkeit geführt.

Verfügbarkeit

Tägliches automatisiertes Backup um 02:00 Uhr, Aufbewahrung 30 Tage
Wöchentlicher Server-Snapshot
Monitoring im 5-Minuten-Intervall mit sofortiger Benachrichtigung bei Ausfällen

Die Wiederherstellung der Datenbank ist innerhalb weniger Stunden möglich.

Trennungsgebot

Die Mandantentrennung wird durch eine eigene PostgreSQL-Datenbank je Kunde (Mandant) sichergestellt. Jede Kunden-Instanz greift mit einem eigenen Datenbank-Benutzer zu, der nur Rechte an der Datenbank dieses Kunden hat.

Offline-Modus (nur PestDesk, nur auf Wunsch des Auftraggebers eingeschaltet)

Ist der Offline-Modus eingeschaltet, speichert die Anwendung im Browser der vom Auftraggeber verwendeten Endgeräte die Daten vorher geladener Objekte (Objekt, Kunde, Fallen, bisherige Kontrollen, Grundrisse) sowie noch nicht übertragene Kontrollen samt Fotos und Unterschriften. Erfasste Kontrollen werden übertragen, sobald Empfang besteht (verschlüsselt über HTTPS/TLS), jede Kontrolle genau einmal, und danach vom Gerät gelöscht. Geladene Objekte werden nach 7 Tagen beim nächsten Öffnen der Anwendung gelöscht, beim Abmelden alle diese Daten. Die Endgeräte und ihr Schutz (z. B. Bildschirmsperre) liegen beim Auftraggeber.

9. Subunternehmer (Subauftragsverarbeiter)

Folgende Subauftragsverarbeiter werden eingesetzt:

Hostinger (VPS)Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. VPS-Hosting, Rechenzentrum in Deutschland (EU). Zweck: Hosting der Anwendungen und Datenbanken sowie eine zweite Sicherungskopie auf einem weiteren Server in Deutschland. Rechtsgrundlage: Art. 28 DSGVO, Standardvertragsklauseln. DSGVO-verpflichtet.

Hostinger (E-Mail)Hostinger International Ltd. (s. o.). Zweck: Versand und Empfang von System- und Benachrichtigungs-E-Mails (SMTP/IMAP). Verarbeitete Daten: E-Mail-Adressen, Nachrichteninhalte. Rechenzentrum EU.

Microsoft OneDriveMicrosoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Zweck: Backup-Speicherung in EU-Rechenzentren (Datenbanken verschlüsselt). Rechtsgrundlage: EU-US Data Privacy Framework (für etwaige Konzernzugriffe), Microsoft DPA. DSGVO-verpflichtet.

OpenAIOpenAI Ireland Ltd., Dublin, Irland; technische Verarbeitung durch OpenAI, L.L.C., USA. Zweck: Spracherkennung, Textverarbeitung und Sprachausgabe, ausschließlich in Softwareanwendungen mit KI-Assistenzfunktion (z. B. Produkt „Digitaler Mitarbeiter“, Sprach-Assistentin). Bei Anwendungen ohne solche Funktion findet keine Übermittlung statt. Verarbeitete Daten: Sprachaufnahmen und Texte, die Nutzer der Assistenzfunktion übergeben. Keine Verwendung zum Training von KI-Modellen; Audio zur Spracherkennung wird nicht gespeichert, übrige Anfragen bis zu 30 Tage zur Missbrauchserkennung. Rechtsgrundlage: Art. 28 DSGVO (OpenAI Data Processing Addendum); Übermittlung in die USA auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO).

AnthropicAnthropic Ireland, Limited, Dublin, Irland; technische Verarbeitung durch Anthropic PBC, USA. Zweck: KI-gestützte Unterstützung bei Entwicklung, Wartung, Betrieb und Fehleranalyse der Softwareanwendungen (Geschäftstarif). Verarbeitete Daten: in erster Linie Quellcode, Konfigurations- und Protokolldaten; personenbezogene Daten nur im Einzelfall und nur so weit, wie es für die jeweilige Aufgabe erforderlich ist (z. B. zur Analyse eines Fehlers). Keine Verwendung zum Training von KI-Modellen. Rechtsgrundlage: Art. 28 DSGVO (Data Processing Addendum als Teil der kommerziellen Nutzungsbedingungen von Anthropic); Übermittlung in die USA auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO). Einsatz für personenbezogene Daten ab 15. November 2026; bis dahin werden diesem Dienst keine personenbezogenen Daten zugänglich gemacht.

Die Abwicklung der Zahlungen des Auftraggebers an den Auftragsverarbeiter (Stripe-Zahlungslink) betrifft ausschließlich das Vertragsverhältnis zwischen den Parteien und ist keine Auftragsverarbeitung im Sinne dieses Vertrags; Informationen dazu enthält die Datenschutzerklärung.

Alle Subunternehmer sind vertraglich zur Einhaltung der DSGVO verpflichtet. Der Auftragsverarbeiter informiert den Verantwortlichen über jeden beabsichtigten Wechsel oder die Hinzunahme eines Subunternehmers mit einer Vorlauffrist von mindestens 30 Tagen. Der Verantwortliche kann einem solchen Wechsel aus wichtigem datenschutzrechtlichen Grund widersprechen.

10. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung der in diesem AVV getroffenen Vereinbarungen zu überprüfen. Kontrollanfragen sind schriftlich an zu richten.

Es gilt eine Vorankündigungsfrist von 5 Werktagen. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zur Verfügung, die zur Überprüfung der Einhaltung der Pflichten aus diesem AVV notwendig sind.

Eine Vor-Ort-Prüfung des Rechenzentrums ist aufgrund der virtuellen Infrastruktur (VPS) nicht möglich. Die Kontrolle kann durch Einsichtnahme in Dokumentationen, Zertifikate und technische Nachweise erfolgen.

11. Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit exportieren: in PestDesk selbst über „Einstellungen → Datenschutz → Alle Daten exportieren“ (jede Datentabelle als CSV und JSON sowie alle hochgeladenen Dateien), in den übrigen Softwareanwendungen stellt der Auftragsverarbeiter einen Export (SQL oder CSV) auf Anfrage bereit.

Nach Vertragsende bleiben die Daten mindestens 30 Tage abrufbar; danach werden die Produktionsdaten gelöscht. Für PestDesk regeln die AGB (§ 6a) zusätzlich Anbieterwechsel und Übergangszeitraum nach der EU-Datenverordnung (Verordnung (EU) 2023/2854).

Backups werden im Rahmen des regulären Backup-Zyklus automatisch überschrieben und sind spätestens nach 30 Tagen vollständig gelöscht.

Daten, die im Offline-Modus im Browser von Endgeräten des Auftraggebers liegen (siehe § 8), löscht die Anwendung beim Abmelden; der Auftraggeber kann sie zudem jederzeit über die Einstellungen des Browsers löschen.

Gesetzliche Aufbewahrungspflichten bleiben von dieser Regelung unberührt.

12. Haftung

Der Auftraggeber bleibt als Verantwortlicher für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Der Auftragsverarbeiter haftet ausschließlich bei eigener Pflichtverletzung.

13. Vertragsschluss und Änderungen

Dieser AVV wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Der Vertragsschluss erfolgt durch die Nutzung der Software: In der jeweiligen Softwareanwendung wird darauf hingewiesen, dass mit der Nutzung dieser AVV in der jeweils aktuellen, auf dieser Webseite abrufbaren Fassung akzeptiert wird. In PestDesk bestätigt ein Administrator des Verantwortlichen den AVV zusätzlich einmal je Fassung in der Software; Fassung, Zeitpunkt und Benutzer werden als Nachweis gespeichert.

Daneben kann der AVV auch durch Unterzeichnung des Hauptvertrags bzw. Angebots, in dem auf diesen AVV verwiesen wird, oder durch gesonderte schriftliche bzw. elektronische Annahme geschlossen werden.

Änderungen dieses AVV werden dem Auftraggeber mindestens 30 Tage im Voraus in Textform mitgeteilt. Widerspricht der Auftraggeber den Änderungen nicht innerhalb dieser Frist, gelten sie als angenommen. Auf das Widerspruchsrecht und die Folgen eines Schweigens wird in der Änderungsmitteilung gesondert hingewiesen. Im Falle eines Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht zum Wirksamkeitstermin der Änderung zu.

14. Anwendbares Recht

Es gilt österreichisches Recht, die DSGVO sowie das DSG. Aufsichtsbehörde ist die Datenschutzbehörde (DSB) Wien. Gerichtsstand ist Linz, Österreich. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt (salvatorische Klausel).

Für Fragen zum Datenschutz oder diesem AVV: