Auftragsverarbeitungsvereinbarung (AVV)

Stand: 22. Oktober 2026

Parteien

Zwischen dem Nutzer der Online-Software-Lösung easyWerkstatt (im Folgenden „Nutzer“) als Verantwortlichem

und

easySAAS GmbH, Haberedt 21, A-4775 Taufkirchen an der Pram (im Folgenden „easyWerkstatt“) als Auftragsverarbeiter.

§ 1 Begriffsbestimmungen

Die Begriffe dieser Vereinbarung haben die Bedeutung nach Art. 4 DS-GVO.

§ 2 Aufsichtsbehörde

Zuständige Aufsichtsbehörde für easyWerkstatt ist die österreichische Datenschutzbehörde (dsb.gv.at).

§ 3 Vertragsgegenstand

(1) easyWerkstatt stellt dem Nutzer die Werkstattsoftware easyWerkstatt auf Grundlage des Nutzungsvertrags nach den AGB („Hauptvertrag“) bereit und verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Nutzers. Umfang und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag. Dem Nutzer obliegt die Beurteilung der Zulässigkeit der Datenverarbeitung.

(2) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung. Ihre Erfüllung wird nicht gesondert vergütet, sofern dies nicht ausdrücklich vereinbart ist. Die Regelungen der vorliegenden Vereinbarung gehen im Zweifel den Regelungen des Hauptvertrags vor.

(3) Die Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, solange easyWerkstatt Daten des Nutzers verarbeitet.

(4) Nicht Gegenstand dieser Vereinbarung sind Daten, die easyWerkstatt für eigene Zwecke verarbeitet, etwa Account-, Vertrags- und Abrechnungsdaten, Supportanfragen, Nutzungsdaten zur Produktverbesserung und Daten von Website-Besuchern. Dafür ist easyWerkstatt selbst Verantwortlicher, es gilt die Datenschutzerklärung. Daten, die für Betrieb und Sicherheit der Software erforderlich sind (etwa Protokolldaten), werden im Auftrag des Nutzers verarbeitet.

§ 4 Weisungsrecht

(1) easyWerkstatt darf Daten nur im Rahmen des Hauptvertrags und gemäß den Weisungen des Nutzers verarbeiten; dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Wird easyWerkstatt durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem sie unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt sie dem Nutzer diese rechtlichen Anforderungen vor der Verarbeitung mit.

(2) Weisungen erteilt der Nutzer durch diese Vereinbarung, durch die Nutzung der Software und im Übrigen in Textform. Dazu gehören auch Weisungen zur Berichtigung, Löschung und Einschränkung der Verarbeitung von Daten.

(3) Weisungen, die über die hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(4) Ist easyWerkstatt der Ansicht, dass eine Weisung des Nutzers gegen datenschutzrechtliche Bestimmungen verstößt, hat sie den Nutzer unverzüglich darauf hinzuweisen. easyWerkstatt ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis diese durch den Nutzer bestätigt oder geändert wird. easyWerkstatt darf die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.

§ 5 Art der verarbeiteten Daten, Kreis der Betroffenen

Die verarbeiteten personenbezogenen Daten und der Kreis der Betroffenen ergeben sich aus Anlage 1.

§ 6 Schutzmaßnahmen von easyWerkstatt

(1) easyWerkstatt trifft alle erforderlichen technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten des Nutzers gem. Art. 32 DS-GVO, insbesondere mindestens die in Anlage 2 aufgeführten Maßnahmen. Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt easyWerkstatt vorbehalten, wobei sie sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(2) Ansprechpartner für den Datenschutz ist easyWerkstatt unter den Kontaktdaten im Impressum. Ein Datenschutzbeauftragter ist nicht bestellt, da dies gesetzlich nicht erforderlich ist.

(3) easyWerkstatt verpflichtet alle Personen, die Daten des Nutzers verarbeiten, zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DS-GVO), auch über das Ende ihrer Tätigkeit hinaus, macht sie mit dem Datenschutz vertraut und weist das dem Nutzer auf Verlangen nach.

§ 7 Informationspflichten von easyWerkstatt

(1) easyWerkstatt informiert den Nutzer unverzüglich in Textform über Verletzungen des Schutzes seiner personenbezogenen Daten, mit den Angaben nach Art. 33 Abs. 3 DS-GVO, soweit verfügbar. Dasselbe gilt für Prüfungen von easyWerkstatt durch die Aufsichtsbehörde, soweit sie die Daten des Nutzers betreffen.

(2) easyWerkstatt trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen, informiert hierüber den Nutzer und ersucht um weitere Weisungen.

(3) Sollten die Daten des Nutzers bei easyWerkstatt durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat easyWerkstatt den Nutzer unverzüglich darüber zu informieren, sofern ihr dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. easyWerkstatt wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich beim Nutzer als „Verantwortlichen“ im Sinne der DS-GVO liegt.

(4) easyWerkstatt führt ein Verzeichnis nach Art. 30 Abs. 2 DS-GVO. Die Angaben, die der Nutzer für sein eigenes Verzeichnis braucht, stehen in den Anlagen; weitere erhält er auf Anfrage.

§ 8 Kontrollrechte des Nutzers

(1) Der Nutzer kann sich vor Beginn und während der Datenverarbeitung von den technischen und organisatorischen Maßnahmen von easyWerkstatt überzeugen. Hierfür kann er z. B. Auskünfte von easyWerkstatt einholen, sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen von easyWerkstatt nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten selbst persönlich prüfen bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zu easyWerkstatt steht. Der Nutzer wird Kontrollen nur im erforderlichen Umfang durchführen und die Betriebsabläufe von easyWerkstatt dabei nicht unverhältnismäßig stören.

(2) easyWerkstatt verpflichtet sich, dem Nutzer auf dessen mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle der technischen und organisatorischen Maßnahmen von easyWerkstatt erforderlich sind.

(3) Stellt der Nutzer Fehler oder Unregelmäßigkeiten fest, informiert er easyWerkstatt unverzüglich.

§ 9 Einsatz von Subunternehmern

(1) Der Nutzer erteilt easyWerkstatt die allgemeine Genehmigung, Subunternehmer einzusetzen. Die eingesetzten Subunternehmer mit Zweck stehen in der Subunternehmerliste (Anlage 3) in der jeweils aktuellen Fassung.

(2) easyWerkstatt wählt Subunternehmer sorgfältig nach Eignung und Zuverlässigkeit aus und verpflichtet sie zu den Datenschutzpflichten dieser Vereinbarung. Auf Verlangen erhält der Nutzer Nachweise zu deren Maßnahmen, z. B. Zertifikate oder Prüfberichte. easyWerkstatt haftet für Subunternehmer wie für eigenes Handeln.

(3) Will easyWerkstatt einen Subunternehmer hinzufügen oder ersetzen, veröffentlicht sie das mindestens 14 Tage vor Beginn der Verarbeitung in der Subunternehmerliste und benachrichtigt die Nutzer, die dort die Benachrichtigung abonniert haben. Mit der Veröffentlichung und dem Versand an die Abonnenten gilt der Nutzer als informiert. Das Entfernen eines Subunternehmers muss nicht angekündigt werden.

(4) Der Nutzer kann der Änderung binnen 14 Tagen nach Bekanntgabe aus datenschutzrechtlichen Gründen in Textform widersprechen. easyWerkstatt prüft dann eine zumutbare Alternative. Ist keine möglich, kann der Nutzer den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes außerordentlich kündigen.

(5) Bei Ausfall, Insolvenz oder Sicherheitsproblem eines Subunternehmers darf easyWerkstatt ihn ohne Frist ersetzen, soweit das zur Aufrechterhaltung des Dienstes oder zum Schutz der Daten erforderlich ist. Die Information nach Abs. 3 erfolgt unverzüglich nachträglich, das Widerspruchsrecht gilt ab Bekanntgabe.

(6) Subunternehmer können Daten auch außerhalb von EU und EWR verarbeiten, insbesondere in den USA. Übermittlungen dorthin erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des EU-US Data Privacy Framework bei zertifizierten Empfängern) oder der EU-Standardvertragsklauseln. Der Nutzer erteilt dafür die Weisung nach Art. 28 Abs. 3 lit. a DS-GVO. Der Nachweis erfolgt auf Verlangen.

(7) Reine Nebenleistungen Dritter ohne Zugriff auf Daten des Nutzers, etwa Post- oder Telekommunikationsdienste, sind keine Subunternehmerverhältnisse.

§ 10 Anfragen und Rechte Betroffener

(1) easyWerkstatt unterstützt den Nutzer nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12 bis 22 sowie 32 und 36 DS-GVO.

(2) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber easyWerkstatt geltend, so reagiert diese nicht selbstständig, sondern verweist den Betroffenen unverzüglich an den Nutzer und wartet dessen Weisungen ab.

§ 11 Außerordentliches Kündigungsrecht

Der Nutzer kann den Hauptvertrag fristlos ganz oder teilweise kündigen, wenn easyWerkstatt ihren Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätzlich oder grob fahrlässig verletzt oder eine Weisung des Nutzers nicht ausführen kann oder will. Bei einfachen Verstößen, also weder vorsätzlichen noch grob fahrlässigen, setzt der Nutzer easyWerkstatt eine angemessene Frist, innerhalb welcher easyWerkstatt den Verstoß abstellen kann.

§ 12 Beendigung des Hauptvertrags

Nach Beendigung des Hauptvertrags gelten Export und Löschung der Daten nach Punkt 14 der AGB. Datensicherungen werden spätestens ein Jahr nach der Löschung überschrieben.

§ 13 Vertraulichkeit

Beide Parteien behandeln alle Informationen, die sie im Zusammenhang mit dieser Vereinbarung oder dem Hauptvertrag erhalten, zeitlich unbegrenzt vertraulich und nutzen sie nur zu deren Durchführung. Das gilt nicht für Informationen, die öffentlich bekannt sind oder die eine Partei nachweisbar ohne Geheimhaltungspflicht von Dritten erhalten hat.

§ 14 Schlussbestimmungen

(1) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch easyWerkstatt hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

(2) Änderungen dieser Vereinbarung bedürfen der Textform. Änderungen der Subunternehmerliste richten sich nach § 9 und erfordern keine Änderung dieser Vereinbarung. Im Übrigen gelten die AGB, insbesondere für Rechtswahl und Gerichtsstand.

§ 15 Kunden mit Sitz in der Schweiz

(1) Unterliegt die Datenbearbeitung des Nutzers dem Schweizer Bundesgesetz über den Datenschutz (DSG), gilt diese Vereinbarung auch als Vereinbarung über die Auftragsbearbeitung nach Art. 9 DSG. Verweise auf die DS-GVO und ihre Begriffe schließen das DSG ein, soweit es anwendbar ist.

(2) easyWerkstatt meldet Verletzungen der Datensicherheit dem Nutzer so rasch wie möglich (Art. 24 Abs. 3 DSG). Meldungen an den EDÖB und an Betroffene obliegen dem Nutzer.

(3) Die Genehmigung nach § 9 Abs. 1 gilt als vorgängige Genehmigung des Nutzers nach Art. 9 Abs. 3 DSG.

(4) Werden Personendaten aus der Schweiz in Länder ohne angemessenen Schutz nach Schweizer Recht bekanntgegeben, erfolgt das nur auf Grundlage des Swiss-US Data Privacy Framework bei zertifizierten Empfängern oder der EU-Standardvertragsklauseln mit folgenden Anpassungen: Der EDÖB ist zuständige Aufsichtsbehörde. Auf Klausel 17 gilt Schweizer Recht, soweit die Übermittlung ausschließlich dem DSG unterliegt. Betroffene in der Schweiz können nach Klausel 18 an ihrem gewöhnlichen Aufenthaltsort Klage erheben. Verweise auf die DS-GVO schließen das DSG ein.

Anlage 1: Betroffene und Datenkategorien

Betroffen sind Nutzer von easyWerkstatt sowie Mitarbeiter, Kunden, Interessenten und Lieferanten des Nutzers. Verarbeitet werden folgende Daten:

Nutzer von easyWerkstatt (Stammdaten, die der Nutzer in der Software pflegt)

• Name, Adresse, Kontaktdaten
• Firmendaten (Name, UID, Firmenbuchnummer, Steuernummer)
• Bankdaten und Kontoumsätze (bei Bankanbindung)
• Inventar- und Finanzdaten (z. B. Lager, Kassenbuch, Belege)
• Protokolldaten (z. B. Logfiles über Nutzungsvorgänge)

Mitarbeiter des Nutzers

• Name, Adresse, Kontaktdaten
• Arbeitszeiten am Auftrag
• Protokolldaten

Kunden und Interessenten des Nutzers

• Name, Adresse, Kontaktdaten, Geburtsdatum
• Firmendaten (Name, UID)
• Vertragsdaten (Angebote, Aufträge, Rechnungen, Termine)
• Zahlungsdaten
• Unterschriften
• Fahrzeugdaten (z. B. Kennzeichen, FIN, Hersteller, KM-Stand, Fahrzeugschein)

Lieferanten des Nutzers

• Name, Kontaktdaten

Anlage 2: Technische und organisatorische Maßnahmen von easyWerkstatt

Die Maßnahmen umfassen:

• Zutrittskontrolle
• Zugangskontrolle
• Zugriffskontrolle
• Weitergabekontrolle / Übermittlungskontrolle
• Eingabekontrolle / Plausibilitätskontrolle
• Auftragskontrolle / Vertragskonformitätskontrolle
• Verfügbarkeitskontrolle
• Datentrennungskontrolle / Kundentrennungskontrolle
• Prüfung der Betriebsorganisation und Rechenschaftspflicht

Genauere Ausführungen stellt easyWerkstatt dem Nutzer auf Anfrage zur Verfügung, soweit sie zum Nachweis erforderlich sind.

Anlage 3: Subunternehmerliste

Subunternehmer im Sinne von § 9 sind alle nachfolgend aufgeführten Dienste. Dienste, die easyWerkstatt für eigene Zwecke einsetzt, stehen in der Datenschutzerklärung und sind nicht Teil dieser Vereinbarung.

Stand der Liste: 28. Oktober 2026