Auftragsverarbeitungsvertrag (AVV)
Verarbeitung personenbezogener Daten im Auftrag unserer Geschäftskunden gemäß Art. 28 DSGVO.
Version 2026-07-25 · Zuletzt aktualisiert: 25. Juli 2026
1. Gegenstand und Rollenverteilung
Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die Fesk e.U., Mariahilfer Straße 136, 1150 Wien, Österreich („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") im Zusammenhang mit der Nutzung der Plattform Fesk („der Dienst"). Für diese Daten ist der Verantwortliche im Sinne von Art. 4 Z 7 DSGVO verantwortlich, der Auftragsverarbeiter handelt im Sinne von Art. 4 Z 8 DSGVO. Für die eigenen Konto- und Abrechnungsdaten ist Fesk selbst Verantwortlicher (siehe Datenschutzerklärung).
2. Dauer
Dieser AVV gilt für die Laufzeit des Hauptvertrags. Die Verarbeitung endet mit Beendigung des Hauptvertrags, vorbehaltlich der Lösch- und Rückgabepflichten gemäß Abschnitt 10.
3. Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung des Dienstes: Hosting, Speicherung, Anzeige, Übermittlung und, sofern vom Verantwortlichen aktiviert, KI-gestützte Verarbeitung von Support-Tickets, Kommentaren, Anhängen und zugehörigen Metadaten. Art und Zweck sind in den AGB und der Datenschutzerklärung näher beschrieben.
Stellt der Verantwortliche öffentliche Formulare bereit, auf denen Personen ohne Konto Anfragen übermitteln können, verpflichtet er sich, vor deren Veröffentlichung einen Datenschutzhinweis oder einen Link auf seine Datenschutzerklärung zu hinterlegen (Art. 13 DSGVO). Der Auftragsverarbeiter stellt die technische Freischaltung solcher Formulare bis zum Vorliegen dieser Angabe zurück und protokolliert die dem Betroffenen angezeigte Fassung.
4. Art der personenbezogenen Daten und Kategorien betroffener Personen
Arten personenbezogener Daten: Identitäts- und Kontaktdaten, Inhalte von Support-Tickets und Kommentaren, Anhänge sowie Nutzungs-/Kommunikationsmetadaten, die vom oder im Auftrag des Verantwortlichen übermittelt werden.
Kategorien betroffener Personen: Mitarbeiter und berechtigte Nutzer des Verantwortlichen sowie dessen eigene Kunden oder Endnutzer, die Support-Anfragen stellen oder darin genannt werden.
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter wird:
- personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf die Übermittlung in Drittländer, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats dies erfordert (Art. 28 Abs. 3 lit. a DSGVO);
- sicherstellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b);
- die in Anlage 2 festgelegten technischen und organisatorischen Maßnahmen umsetzen (Art. 32);
- die in Abschnitt 7 geregelten Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einhalten;
- den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12–23) unterstützen;
- den Verantwortlichen bei der Einhaltung der Art. 32–36 unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen);
- dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 zur Verfügung stellen und Überprüfungen ermöglichen und dazu beitragen (Abschnitt 9);
- den Verantwortlichen unverzüglich informieren, falls eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.
5a. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Kenntniserlangung, spätestens jedoch innerhalb von 24 Stunden (Art. 33 Abs. 2 DSGVO). Die Erstmeldung enthält, soweit bekannt, die Art und den Zeitpunkt der Verletzung, die betroffenen Systeme, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die bereits ergriffenen oder vorgeschlagenen Eindämmungs- und Abhilfemaßnahmen sowie eine benannte Kontaktstelle für Rückfragen. Sind zum Zeitpunkt der Erstmeldung noch nicht alle Angaben verfügbar, reicht der Auftragsverarbeiter die fehlenden Informationen ohne unangemessene Verzögerung nach und übermittelt einen Abschlussbericht nach Behebung.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und Art. 34 DSGVO. Die Meldung an die Datenschutzbehörde und die Benachrichtigung betroffener Personen nimmt der Verantwortliche vor, sofern nicht ausdrücklich etwas anderes vereinbart ist. Meldungen erfolgen an die im Konto hinterlegte Sicherheitskontaktadresse; der Verantwortliche hält diese aktuell.
6. Weisungen
Der Hauptvertrag, dieser AVV und die vom Verantwortlichen im Dienst getroffenen Konfigurationsentscheidungen (z. B. die Konfiguration autonom handelnder KI-Workflow-Schritte) bilden die dokumentierten Weisungen des Verantwortlichen. Zusätzliche Weisungen sind in Textform zu erteilen. Der Auftragsverarbeiter nutzt die personenbezogenen Daten nicht für eigene Zwecke; insbesondere werden Ticket- und Wissensdaten nicht zum Training von KI-Modellen verwendet.
6a. EU AI Act, Rollenverteilung
Fesk stellt im Rahmen des Dienstes ein KI-System im Sinne der Verordnung (EU) 2024/1689 („EU AI Act") bereit. Für die Zwecke dieser Verordnung ist Fesk der Anbieter (Provider) und der Verantwortliche der Betreiber (Deployer), soweit dieser die KI-Funktionen des Dienstes aktiviert und gegenüber seinen eigenen Endkunden einsetzt. Die nachstehenden Pflichten gelten ab dem jeweiligen gesetzlichen Anwendungsbeginn der Verordnung und nur, soweit die aktivierten KI-Funktionen in deren Anwendungsbereich fallen; die Transparenzpflichten nach Art. 50 gelten ab 2. August 2026. Der Verantwortliche erfüllt die betreiberseitigen Pflichten nach dem EU AI Act (insbesondere Art. 26 und Art. 50 Abs. 4); Fesk unterstützt den Verantwortlichen, indem es KI-generierte Ausgaben kennzeichnet, technische Dokumentation bereitstellt und Konfigurationsmöglichkeiten für den Autonomiegrad der KI anbietet. Weitere Einzelheiten regelt Abschnitt 11b der AGB.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. Der Auftragsverarbeiter setzt derzeit die in Anlage 1 genannten Unterauftragsverarbeiter ein. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses AVV gleichwertig sind. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, aus berechtigten Datenschutzgründen Einspruch zu erheben. Kommt keine Einigung zustande, kann der Verantwortliche die betroffenen Leistungen kündigen.
7a. Kundenveranlasste Übermittlungen an Drittdienste
Der Dienst ermöglicht dem Verantwortlichen, Daten an von ihm bestimmte Drittsysteme auszuleiten (insbesondere Webhooks, REST-Konnektoren, Slack, Nachrichtenwarteschlangen) sowie eigene E-Mail-Postfächer (z. B. Gmail, Microsoft 365, eigener IMAP-/SMTP-Server) anzubinden. Die Aktivierung und Konfiguration dieser Funktionen ist eine dokumentierte Weisung des Verantwortlichen. Die Empfänger dieser Übermittlungen sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; der Verantwortliche ist für die Rechtsgrundlage, die Auswahl der Empfänger und die erforderlichen Garantien nach Kapitel V DSGVO gegenüber diesen Empfängern allein verantwortlich. Der Auftragsverarbeiter protokolliert die Aktivierung, Änderung und Deaktivierung dieser Konfigurationen nachvollziehbar.
Meldet sich der Verantwortliche oder ein berechtigter Nutzer über einen externen Identitätsanbieter an (Single Sign-On mit Google oder Microsoft), handelt dieser Identitätsanbieter hinsichtlich der in seinem eigenen Konto stattfindenden Verarbeitung als eigener Verantwortlicher; seine Verarbeitung richtet sich nach seiner eigenen Datenschutzerklärung.
8. Drittlandübermittlung
Der Verantwortliche wählt bei der Registrierung die Bereitstellungsregion seines Workspace; diese Wahl gilt als dokumentierte Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO, auch hinsichtlich einer damit verbundenen Übermittlung in ein Drittland. Der Auftragsverarbeiter veröffentlicht auf seiner DSGVO-Seite für die wählbaren Regionen den Staat und das jeweilige Übermittlungsinstrument (Europäischer Wirtschaftsraum, Angemessenheitsbeschluss oder Standardvertragsklauseln).
Aktiviert der Verantwortliche die KI-Funktionen, erfolgt die KI-Verarbeitung innerhalb der gewählten Bereitstellungsregion; dabei werden keine personenbezogenen Daten an einen externen KI-Anbieter übermittelt.
Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher. Bei Regionen ohne Angemessenheitsbeschluss erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914 (Modul 3), ergänzt um die technischen und organisatorischen Maßnahmen nach Anlage 2. Für Regionen mit Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework für zertifizierte US-Organisationen) stützt sich der Auftragsverarbeiter auf diesen Beschluss. Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Durchführung einer Transfer-Folgenabschätzung (Transfer Impact Assessment) erforderlichen Informationen auf Anfrage zur Verfügung. Der Verantwortliche kann seinen Workspace auf Regionen innerhalb des Europäischen Wirtschaftsraums beschränken.
9. Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen nach angemessener Vorankündigung die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Überprüfungen erfolgen während der regulären Geschäftszeiten, ohne Betriebsabläufe zu stören, und unter Wahrung der Vertraulichkeit. Der Auftragsverarbeiter kann Prüfanfragen durch Vorlage aktueller Zertifizierungen, Prüfberichte oder einer dokumentierten Zusammenfassung seiner technischen und organisatorischen Maßnahmen erfüllen.
10. Löschung und Rückgabe
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung vorschreibt. Personenbezogene Daten werden innerhalb von 30 Tagen aus den Produktivsystemen entfernt oder anonymisiert; Sicherungskopien werden innerhalb des rollierenden Backup-Zyklus (bis zu 30 weitere Tage) überschrieben oder gelöscht. Gesetzliche Aufbewahrungspflichten (insbesondere § 132 BAO und § 212 UGB für Abrechnungsunterlagen) bleiben unberührt.
11. Haftung
Die Haftung aus diesem AVV richtet sich nach den Haftungsbestimmungen der AGB. Eine zwingende Haftung nach Art. 82 DSGVO bleibt unberührt.
12. Rangfolge
Im Falle von Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in Datenschutzangelegenheiten vor. Vertragssprache ist Deutsch; bei Widersprüchen geht die deutsche Fassung dieses AVV vor.
Anlage 1, Unterauftragsverarbeiter
Der Auftragsverarbeiter setzt derzeit die folgenden Unterauftragsverarbeiter ein:
| Unterauftragsverarbeiter | Zweck | Standort / Übermittlungsinstrument | |---|---|---| | Amazon Web Services EMEA SARL, Luxemburg | Hosting, Speicherung, Betrieb, E-Mail-Versand und Authentifizierung (einschließlich Cognito Hosted UI) | vom Verantwortlichen gewählte Region; bei Regionen außerhalb des EWR Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) | | Stripe Payments Europe, Ltd., Irland | Zahlungsabwicklung | EU / USA (Standardvertragsklauseln bzw. EU-US Data Privacy Framework) |
Keine Unterauftragsverarbeiter, sondern gesondert zu betrachten sind: von Ihnen als Verantwortlichem veranlasste Integrationen (angebundene E-Mail-Postfächer, Konnektoren wie Webhooks, Slack, REST-Endpunkte), externe Identitätsanbieter bei Single Sign-On (Google, Microsoft — je eigener Verantwortlicher) sowie die Push-Zustelldienste des von Ihren Nutzern verwendeten Browsers. Die vollständige Empfänger- und Rollenübersicht ist auf unserer DSGVO-Seite veröffentlicht.
Anlage 2, Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
- Rollenbasierte Zugriffskontrolle (RBAC) auf allen geschützten Endpunkten; Zugriff auf Produktivsysteme nur für berechtigtes Personal
- Verschlüsselung in der Übertragung (TLS 1.2+) und Verschlüsselung im Ruhezustand für schutzbedürftige Daten
- Authentifizierungs-Schutzmaßnahmen: E-Mail-Verifizierung, zeitlich begrenzte Tokens, Schutz gegen Registrierungs-Missbrauch
Integrität
- Parametrisierte Datenbankzugriffe zur Verhinderung von Injection
- CSRF-Schutz auf allen zustandsändernden Anfragen; Content Security Policy in der Produktivumgebung erzwungen
- Audit-Logging von Authentifizierungs- und Verwaltungsereignissen
Verfügbarkeit und Belastbarkeit
- Gehärtete, regelmäßig gepatchte Infrastruktur mit Health-Monitoring und Alarmierung
- Tägliche automatisierte Backups mit rollierender Aufbewahrung (bis zu 30 Tage), danach automatisch überschrieben oder gelöscht
Verfahren zur regelmäßigen Überprüfung
- Regelmäßige Sicherheitsprüfungen anhand anerkannter Standards für Webanwendungen
- Scans von Abhängigkeiten auf bekannte Schwachstellen
Eine detaillierte Beschreibung finden Sie auf unserer Sicherheitsseite.