Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

zwischen

dem Kunden
(im Folgenden „Verantwortlicher“)

und

Tapgo GmbH
Hillerstraße 7/32
1020 Wien
Österreich
FN 661744 d, Handelsgericht Wien
(im Folgenden „Auftragsverarbeiter“ oder „Heptic“)

gemeinsam die „Parteien“.

Dieser AVV bildet Anlage 1 zu den Allgemeinen Geschäftsbedingungen von Heptic (AGB, „SaaS-Vertrag“) und gilt automatisch, soweit Heptic im Zusammenhang mit dem Service personenbezogene Daten im Auftrag des Kunden verarbeitet.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand

Der Auftragsverarbeiter stellt die Software-as-a-Service-Plattform Heptic (einschließlich der Module Hub, Analytics und Harness, soweit bereitgestellt) sowie den zugehörigen Support bereit. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Dauer

Die Verarbeitung erfolgt für die Laufzeit des SaaS-Vertrags und danach bis zur Löschung oder Rückgabe der personenbezogenen Daten gemäß diesem AVV.

(3) Art und Zweck

Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, die Offenlegung durch Übermittlung an autorisierte Unterauftragsverarbeiter, das Einschränken, Löschen und Vernichten, soweit dies erforderlich ist, um den Service für den Verantwortlichen bereitzustellen, abzusichern, zu warten und zu unterstützen, einschließlich:

• Hosting von Kundeninhalten im Service;
• Verwaltung von Benutzerkonten innerhalb der Organisation des Kunden;
• Erfassung von Rechnungsdokumenten, OCR, Workflows zur Prüfung von Zuordnungen;
• mandantenbezogene Auswertungen auf Grundlage der eigenen Daten des Verantwortlichen;
• KI-gestützte Vorschläge und Chat-Funktionen, die für den Verantwortlichen auf Kundendaten arbeiten;
• Backups, Protokollierung, Sicherheitsüberwachung und Support.

(3a) Sekundärnutzungen außerhalb dieses AVV (eigenständiger Verantwortlicher, Anonymisierung)

Die Parteien sind sich einig, dass die folgenden Tätigkeiten keine Verarbeitung nach den Weisungen des Verantwortlichen gemäß Art. 28 DSGVO darstellen, sondern Punkt 4.17 des SaaS-Vertrags und der Datenschutzerklärung (Web-App) unterliegen:

• Erstellung k-anonymer bzw. aggregierter Kohorten-Benchmarks, die mit anderen Kunden geteilt werden (keine Offenlegung von Rohdaten des Verantwortlichen);
• anonymisierte oder aggregierte Signale für Produkte auf Lieferanten- bzw. Produzentenseite (Phase A) sowie identifizierbare Produzentenverbindungen erst nach Opt-in des Verantwortlichen (Phase B);
• Produktverbesserung und Modellqualität auf Grundlage anonymisierter, pseudonymisierter oder aggregierter Daten, soweit praktikabel;
• Produkt- bzw. Nutzungsanalysen (Telemetrie), für die Heptic Verantwortlicher ist;
• interne Vertriebs-, Customer-Success- und Marketingprozesse auf Grundlage von Konto- und Nutzungsdaten, für die Heptic Verantwortlicher ist.

Anonymisiert Heptic personenbezogene Daten so, dass die betroffene Person nicht mehr identifizierbar ist, ist eine solche Anonymisierung für die im SaaS-Vertrag lizenzierten Sekundärzwecke zulässig. Nach wirksamer Anonymisierung liegen die daraus entstehenden Statistiken außerhalb des Anwendungsbereichs dieses AVV. Pseudonymisierte Daten, die personenbezogene Daten bleiben, verarbeitet Heptic für den jeweiligen Sekundärzweck als eigenständiger Verantwortlicher und nicht als Auftragsverarbeiter nach diesem AVV.

(4) Arten personenbezogener Daten

Je nach Nutzung des Service durch den Verantwortlichen können die folgenden Arten personenbezogener Daten verarbeitet werden:

• Identifikationsdaten (Namen)
• Kontaktdaten (E-Mail-Adressen, Telefonnummern, Geschäftsadressen)
• Authentifizierungs- und Zugangsdaten
• Berufliche bzw. organisatorische Daten (Rolle, Zugehörigkeit zu Standort bzw. Organisation)
• Inhalte von Geschäftsdokumenten, die personenbezogene Daten enthalten können (z. B. Lieferantenkontakte auf Rechnungen, Lieferscheinen, E-Mail-Header)
• Kommunikationsinhalte im Support oder in In-App-Nachrichten
• Technische Daten (IP-Adressen, Geräte- bzw. Browserdaten, Protokolle) im Zusammenhang mit Nutzern des Service

Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist nicht vorgesehen. Der Verantwortliche wird solche Daten nicht absichtlich hochladen, sofern die Parteien nicht schriftlich etwas anderes vereinbart haben.

(5) Kategorien betroffener Personen

• Beschäftigte, Auftragnehmer und sonstige autorisierte Nutzer des Verantwortlichen
• Kontaktpersonen der Lieferanten, Zulieferer und Geschäftspartner des Verantwortlichen
• Sonstige natürliche Personen, deren Daten der Verantwortliche in den Service einbringt

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der SaaS-Vertrag, dieser AVV, die vom Verantwortlichen gewählte Produktkonfiguration und Supportanfragen autorisierter Nutzer stellen dokumentierte Weisungen dar. Weitere Weisungen sind in Textform zu erteilen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Sicherheit der Verarbeitung (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die Maßnahmen umfassen insbesondere (soweit anwendbar und wie in Anlage A näher beschrieben):

• Verschlüsselung von Daten bei der Übertragung (TLS) sowie Verschlüsselung ruhender Daten, soweit vom Hosting-Stack unterstützt;
• Zugriffskontrolle, Authentifizierung, Administration nach dem Prinzip der minimalen Rechte;
• Trennung der Kundenumgebungen auf der Datenebene der Anwendung (einschließlich organisationsbezogener Zugriffe bzw. Row-Level-Security, soweit umgesetzt);
• Protokollierung und Überwachung zur Gewährleistung von Sicherheit und Integrität;
• Verfahren zur Datensicherung und Wiederherstellung;
• Verfahren für Schwachstellen- und Änderungsmanagement;
• Vertraulichkeit der Mitarbeiter und Zugriff nach dem Need-to-know-Prinzip;
• physische Sicherheit durch die zertifizierten Rechenzentren des Cloud-Anbieters.

(3) Der Auftragsverarbeiter darf die Maßnahmen dem technischen Fortschritt anpassen, sofern das Gesamtsicherheitsniveau nicht verringert wird.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage B enthalten und wird in aktueller Form mit der Dokumentation des Service bzw. auf den Rechtsseiten veröffentlicht.

(2) Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern Datenschutzpflichten auf, die den in diesem AVV festgelegten gleichwertig sind, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in Textform (einschließlich per E-Mail oder durch Hinweis im Produkt) mit angemessener Vorlaufzeit. Der Verantwortliche kann innerhalb von 14 Tagen nach der Mitteilung aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Verantwortliche den betroffenen Service zu dem Zeitpunkt kündigen, zu dem der neue Unterauftragsverarbeiter mit der Verarbeitung beginnen würde.

(4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person zu beantworten.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Unterstützung bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation, soweit angemessen erforderlich).

(3) Angemessene Kosten für Unterstützungsleistungen, die über die Standardfunktionen des Produkts hinausgehen, können in Rechnung gestellt werden, sofern dies vereinbart ist oder der Aufwand unverhältnismäßig ist, es sei denn, der Unterstützungsbedarf beruht auf einem Verstoß des Auftragsverarbeiters gegen diesen AVV.

§ 7 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die nach diesem AVV verarbeitete personenbezogene Daten betrifft. Die Meldung enthält, soweit verfügbar, die Informationen, die der Verantwortliche angemessenerweise benötigt, um seinen Pflichten nach Art. 33 und 34 DSGVO nachzukommen.

§ 8 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie dem Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Für die Rückgabe bzw. den Export gilt das Exportfenster des SaaS-Vertrags (in der Regel 30 Tage). Danach werden personenbezogene Daten in Produktivsystemen innerhalb eines angemessenen Zeitraums gelöscht, vorbehaltlich der Rotation von Backups und gesetzlicher Aufbewahrungspflichten für Abrechnungsunterlagen (die der Auftragsverarbeiter gegebenenfalls als eigenständiger Verantwortlicher aufbewahren darf).

§ 9 Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei.

(2) Überprüfungen sind mit angemessener Vorlaufzeit (in der Regel mindestens 30 Tage) anzukündigen, während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durchzuführen und finden höchstens einmal pro Kalenderjahr statt, sofern nicht ein konkreter Verdacht auf einen wesentlichen Verstoß besteht.

(3) Der Verantwortliche akzeptiert Prüfberichte Dritter, Zertifizierungen (z. B. ISO 27001, SOC 2) und Compliance-Dokumentation des Cloud-Anbieters als vorrangige Nachweise, soweit diese die relevanten Kontrollen angemessen abdecken. Eine Vor-Ort-Inspektion von Cloud-Rechenzentren wird durch die Prüfunterlagen des Anbieters ersetzt, sofern zwingendes Recht nichts anderes verlangt.

(4) Angemessene Kosten für Überprüfungen können dem Verantwortlichen auferlegt werden, sofern kein wesentlicher Verstoß des Auftragsverarbeiters festgestellt wird.

§ 10 Internationale Übermittlungen

(1) Der Auftragsverarbeiter übermittelt personenbezogene Daten nur dann an ein Drittland oder eine internationale Organisation, wenn der Verantwortliche dies anweist oder dies gesetzlich vorgeschrieben ist, und nur, wenn die Bedingungen des Kapitels V DSGVO erfüllt sind.

(2) Das primäre Produktiv-Hosting des Service befindet sich in der Europäischen Union (Google-Cloud-Region europe-west3). Soweit Unterauftragsverarbeiter Daten außerhalb des EWR verarbeiten (beispielsweise beim Versand transaktionaler E-Mails), stellt der Auftragsverarbeiter geeignete Garantien sicher, insbesondere EU-Standardvertragsklauseln, und gegebenenfalls die Stützung auf einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework für zertifizierte Organisationen).

§ 11 Haftung

Die Haftung nach diesem AVV richtet sich nach dem SaaS-Vertrag und zwingendem Recht, einschließlich Art. 82 DSGVO. Keine Bestimmung dieses AVV beschränkt die Haftung, soweit eine solche Beschränkung nach zwingendem Recht unzulässig ist.

§ 12 Laufzeit und Änderungen

(1) Dieser AVV tritt mit Abschluss des SaaS-Vertrags (oder mit der ersten Nutzung des Service, die eine Verarbeitung im Auftrag des Verantwortlichen umfasst) in Kraft und bleibt für die Dauer der Verarbeitung in Kraft.

(2) Änderungen dieses AVV bedürfen der ausdrücklichen Zustimmung des Verantwortlichen, ausgenommen Aktualisierungen der Anlage B, die im Verfahren für Unterauftragsverarbeiter gemäß § 5 erfolgen.

§ 13 Anwendbares Recht und Gerichtsstand

Soweit zwingendes Recht nichts anderes vorsieht, unterliegt dieser AVV dem Recht der Republik Österreich. Ausschließlicher Gerichtsstand ist Wien, Österreich, für Verantwortliche, die Unternehmer sind.

§ 14 Vorrang

Bei Widersprüchen zwischen diesem AVV und dem SaaS-Vertrag hinsichtlich der Datenschutzpflichten bei der Verarbeitung im Auftrag des Verantwortlichen hat dieser AVV Vorrang. Die Anlagen 2 und 3 (Verschwiegenheit DE bzw. AT) haben, soweit anwendbar, für die von ihnen speziell geregelten Vertraulichkeitsfragen Vorrang.

Anlage A: Technische und organisatorische Maßnahmen (Zusammenfassung)

1. Zugangskontrolle (Systeme): individuelle Konten, Optionen für starke Authentifizierung (einschließlich MFA bzw. Passkeys, sofern aktiviert), rollenbasierte Berechtigungen.
2. Zugriffskontrolle (Daten): organisationsbezogener Datenzugriff; administrativer Zugriff beschränkt und protokolliert.
3. Weitergabekontrolle: TLS für Daten bei der Übertragung; eingeschränkte administrative Kanäle.
4. Eingabekontrolle: Protokollierung auf Anwendungs- und Infrastrukturebene, die ausreicht, um relevante Zugriffe und Änderungen nachzuvollziehen.
5. Verfügbarkeit: mehrschichtige Cloud-Resilienz, Backups, überwachte Produktivdienste in der EU-Region europe-west3.
6. Trennung: logische Trennung der Kundendaten in der Anwendungsdatenbank; getrennte Umgebungen für den Produktivbetrieb, soweit umgesetzt.
7. Pseudonymisierung und Verschlüsselung: Verschlüsselung ruhender Daten, wie sie von den Speicher- bzw. Datenbankdiensten von Google Cloud bereitgestellt wird; Verwaltung von Anwendungsgeheimnissen über ein Secret-Management.
8. Organisatorisches: Vertraulichkeitsverpflichtungen für Personal; Need-to-know-Prinzip; Sorgfaltsprüfung (Vendor Due Diligence) bei Unterauftragsverarbeitern.

Anlage B: Unterauftragsverarbeiter (Stand 17. Oktober 2026)

Stripe kann für bestimmte Zahlungsdaten nach eigenen Bedingungen als eigenständiger Verantwortlicher handeln. Soweit Stripe personenbezogene Daten als Auftragsverarbeiter für Heptic verarbeitet, gilt der obige Eintrag.

Der Verantwortliche genehmigt die Beauftragung der oben aufgeführten Unterauftragsverarbeiter.

Kontakt

Kontakt des Verantwortlichen für datenschutzrechtliche Mitteilungen nach diesem AVV

Wie im Kundenkonto bzw. in den Bestellunterlagen angegeben.

Kontakt des Auftragsverarbeiters

Tapgo GmbH
benedikt@heptic.de