Auftragsverarbeitung (AVV)

1. Parteien und Gegenstand

Diese Vereinbarung gilt zwischen dem Kunden als Verantwortlichem („Kunde“) und Paul Krügel, Einzelunternehmen, Stephensongasse 2 / 19, 1210 Wien, Österreich („SIS Pilot“), als Auftragsverarbeiter. Sie regelt die Verarbeitung personenbezogener Daten, die der Kunde bei der Nutzung der Anwendung SIS Pilot eingibt, erzeugen lässt oder hochlädt.

Die Angaben zum Kunden (Anhang I Teil A) erfasst die Teamleitung bei der Annahme in der Anwendung. Hauptvertrag ist der Nutzungsvertrag über SIS Pilot nach den AGB und dem gebuchten Tarif. Weitere Bezeichnung des Hauptvertrags: Kunde ergänztBezeichnung und Datum, optional.

Gegenstand ist die webbasierte Bereitstellung einer Anwendung zur Erfassung, Bearbeitung, Prüfung und zum Export von SIS-Dokumentationsentwürfen im Team des Kunden. Ergebnisse sind Entwürfe; die fachlich zuständige Person des Kunden prüft, berichtigt und verantwortet jede Übernahme.

2. Standardvertragsklauseln und Wahlmöglichkeiten

Die Parteien vereinbaren die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 der Kommission vom 4. Juni 2021 zwischen Verantwortlichen und Auftragsverarbeitern gemäß Art. 28 Abs. 7 der Verordnung (EU) 2016/679 (ABl. L 199 vom 7.6.2021, S. 18) im Wortlaut ihres Anhangs („Klauseln“). Die Klauseln sind abrufbar unter https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj/deu. Sie sind Bestandteil dieser Vereinbarung. Maßgeblich ist der im Amtsblatt veröffentlichte Wortlaut; die Klauselverweise dieser Seite dienen der Orientierung.

3. Ergänzende Bestimmungen

Die folgenden Bestimmungen ergänzen die Klauseln und widersprechen ihnen nicht. Im Widerspruchsfall gehen die Klauseln vor (Klausel 4).

3.1 Weisungen und Verantwortung des Kunden

1. Die vertragsgemäße Nutzung von SIS Pilot gilt als Weisung. Weitere Weisungen erteilt der Kunde in Textform an team@sispilot.de. Weisungen außerhalb des vereinbarten Leistungsumfangs bedürfen der vorherigen Prüfung und Annahme durch SIS Pilot.
2. Der Kunde verantwortet die Rechtsgrundlage der Verarbeitung, die Ausnahme nach Art. 9 Abs. 2 DSGVO, die Information der betroffenen Personen, die Entscheidung über eine Datenschutz-Folgenabschätzung, Aufbewahrungsfristen und die fachliche Richtigkeit der Dokumentation. Diese Vereinbarung begründet keine Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten.
3. SIS Pilot verarbeitet Kundendaten nicht für eigene Zwecke, nicht für Werbung oder Profilbildung und nicht zum Training allgemeiner Modelle.

3.2 Verarbeitungsort und Drittländer

1. Österreich und Deutschland liegen im EWR; eine Verarbeitung im EWR ist keine Drittlandübermittlung. Diese Vereinbarung enthält keine pauschale Zusage, dass ausschließlich in der EU oder im EWR verarbeitet wird. Den tatsächlichen Regionsstand je Dienst weist Anhang IV aus.
2. Vor Einsatz eines Dienstes oder Zugriffs außerhalb des EWR prüft und dokumentiert SIS Pilot Datenweg und Transfergrundlage nach Kapitel V DSGVO.
3. Anhang IV weist je Dienst den Stand der Nachweise aus. „Nachweis offen“ bedeutet, dass Vertrags- oder Transfernachweis des Betreibers noch nicht vollständig vorliegen; die Information ersetzt keine Zusage.

3.3 Prüfungen und Nachweise

1. SIS Pilot stellt die zur Prüfung dieser Vereinbarung erforderlichen Informationen bereit und ermöglicht dem Kunden oder einem von ihm beauftragten Prüfer Prüfungen einschließlich Inspektionen.
2. Prüfungen erfolgen unter angemessener Rücksicht auf Betriebsablauf, Sicherheit und Daten anderer Kunden vorrangig durch Unterlagen, Fragebogen oder Termin per Fernzugriff. Das schränkt anlassbezogene, eilige oder behördlich verlangte Prüfungen und eine im Einzelfall notwendige Prüfung vor Ort nicht ein. Soweit möglich, stimmen die Parteien Termin, Umfang und Prüfperson vorher ab.
3. Außergewöhnlicher Aufwand wird vorab abgestimmt, soweit die Abstimmung die Prüfung nicht unzulässig verzögern würde.

3.4 Unterstützung und Vorfälle

1. SIS Pilot unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Anträgen betroffener Personen nach Kapitel III DSGVO und bei Pflichten nach Art. 32 bis 36 DSGVO. Direkt eingegangene Anträge leitet SIS Pilot unverzüglich an den Kunden weiter, soweit rechtlich zulässig.
2. Die Erstmeldung einer Verletzung des Schutzes personenbezogener Daten enthält, soweit verfügbar, betroffenes System, Zeitraum, Datenkategorien, getroffene Eindämmung und Kontakt. Sie ist keine Feststellung einer Meldepflicht; über Meldungen an Aufsichtsbehörden oder Betroffene entscheidet der Kunde, soweit nicht eine eigene gesetzliche Pflicht von SIS Pilot besteht.

3.5 Rückgabe und Löschung

1. Bei Ende des Hauptvertrags oder auf dokumentierte Weisung stellt SIS Pilot die im Produkt verfügbaren Exportmöglichkeiten (PDF- und JSON-Export, Teamdaten-Rückgabe) bereit und gibt vorhandene personenbezogene Kundendaten nach Wahl des Kunden zurück. Der Kunde erteilt die Weisung zu Rückgabe oder Löschung innerhalb von Betreiber ergänztFrist ab Vertragsende für die Rückgabe-Weisung festlegen.
2. Danach löscht SIS Pilot alle noch vorhandenen produktiven Daten und Arbeitskopien innerhalb von Betreiber ergänztLöschfrist für produktive Daten festlegen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzlich aufzubewahrende Daten werden gesperrt und nur für diesen Zweck verarbeitet.
3. Datenbanksicherungen werden nicht produktiv verwendet. Sie werden nach spätestens Betreiber ergänztAufbewahrungs- und Überschreibzyklus der Sicherungen aus dem Hosted-Nachweis eintragen überschrieben. Auf Anfrage bestätigt SIS Pilot den Abschluss, soweit technisch und rechtlich möglich.

3.6 Vertraulichkeit

1. Personen mit Datenzugriff bei SIS Pilot verarbeiten Kundendaten nur weisungsgebunden und sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

3.7 Vorrang

1. In Fragen des Datenschutzes geht diese Vereinbarung dem Hauptvertrag vor.

4. Wirksamwerden, Laufzeit und Änderungen

1. Die Vereinbarung wird wirksam, wenn die Teamleitung des Kunden sie in der Anwendung annimmt. Die Anwendung speichert unveränderlich die Fassung samt Prüfsumme, den Zeitpunkt, das annehmende Nutzerkonto, Name und Funktion der annehmenden Person sowie die Angaben nach Anhang I Teil A. Die annehmende Person bestätigt, den Kunden hierfür vertreten zu dürfen.
2. Die Annahme ersetzt nicht die Prüfung der Rechtsgrundlage, der Datenschutz-Folgenabschätzung und sektorspezifischer Vorgaben durch den Kunden.
3. Die Vereinbarung gilt für die Dauer des Hauptvertrags und, soweit Daten verbleiben, bis zur Rückgabe oder Löschung nach Abschnitt 3.5.
4. Neue Fassungen erhalten eine eigene Versionsnummer und wirken erst mit Annahme durch den Kunden. Änderungen von Anhang IV gelten abweichend davon nach Klausel 7.7 nach Ablauf der Ankündigungsfrist von 30 Tagen, sofern der Kunde nicht aus Datenschutzgründen widerspricht. Gelingt keine angemessene Lösung, darf der Kunde den betroffenen Vertragsteil zum Änderungszeitpunkt kündigen.

Anhang I: Parteien

Teil A: Verantwortlicher (Kunde)

Teil B: Auftragsverarbeiter (SIS Pilot)

Anhang II: Beschreibung der Verarbeitung

Anhang III: Technische und organisatorische Maßnahmen

Die Maßnahmen beschreiben den Stand zum Zeitpunkt der Fassung. Sie behaupten kein Zertifikat und keine bestimmte Verfügbarkeits-, Lösch-, Wiederherstellungs- oder Datenresidenzgarantie.

Anhang IV: Unterauftragsverarbeiter

Stand der Liste: 09.10.2026. „Nachweis offen“ bedeutet: Vertrags- oder Transfernachweis des Betreibers liegen noch nicht vollständig vor (Abschnitt 3.2). Die laufend gepflegte Übersicht steht unter /unterauftragsverarbeiter.

Supabase

Vercel

OpenAI

Resend

Stripe