Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

1. (1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden bei der Bereitstellung der Software DroneShow Studio gemäß den AGB.
2. (2) Der Vertrag gilt für die Dauer des Nutzungsvertrags und darüber hinaus, bis der Anbieter alle Daten des Kunden gelöscht oder zurückgegeben hat.

§ 2 Art und Zweck der Verarbeitung

Der Anbieter verarbeitet die Daten ausschließlich, um die Software bereitzustellen, insbesondere: Speichern und Anzeigen von Projekt-, Show- und Portaldaten; Versand von E-Mails, die der Kunde in der Software auslöst oder einstellt (z. B. Einladungen, Erinnerungen, Zusammenfassungen); Verarbeitung von Eingaben durch den KI-Assistenten, wenn der Kunde ihn nutzt; Datensicherung; Fehlerbehebung, Sicherheit und Support auf Anfrage des Kunden.

§ 3 Art der Daten

• Kontaktdaten von Beteiligten und von Kunden des Kunden (z. B. Name, Firma, Rolle, E-Mail-Adresse, Telefonnummer)
• Benutzerdaten der Nutzer des Kunden (Name, E-Mail-Adresse, Anmelde- und Sitzungsdaten)
• Projekt- und Showdaten (z. B. Veranstaltungsort, Termine, Aufgaben, Zuständigkeiten, Kommentare, Freigaben, Show-Versionen)
• Hochgeladene Dateien (z. B. Dokumente, Bilder, Logos, Musik) und deren Inhalte, soweit sie personenbezogene Daten enthalten
• E-Mail-Verkehr aus der Software (Empfänger, Inhalte, Versand- und Zustellstatus)
• Protokolle (Aktivitätsverlauf je Projekt mit Person, Aktion und Zeitpunkt; Zugriffs- und Serverprotokolle mit IP-Adressen und Zeitstempeln)
• Eingaben in den KI-Assistenten und die zugehörigen Projekt- und Szenendaten

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Der Kunde bringt solche Daten nicht in die Software ein.

§ 4 Kategorien betroffener Personen

• Mitarbeiter und sonstige Nutzer des Kunden
• Auftraggeber und Kunden des Kunden sowie deren Ansprechpartner
• Beteiligte an Projekten (z. B. Veranstalter, Dienstleister, Fernpiloten, Ansprechpartner von Behörden und Grundeigentümern)
• Empfänger von Show-Links und E-Mails aus der Software

§ 5 Weisungen

1. (1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, er ist nach Unionsrecht oder österreichischem Recht dazu verpflichtet; in diesem Fall teilt er dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. (2) Die Weisungen ergeben sich aus den AGB, diesem Vertrag und der Nutzung der Funktionen der Software durch den Kunden. Weitere Weisungen erteilt der Kunde per E-Mail.
3. (3) Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Kunden unverzüglich. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 6 Vertraulichkeit

Der Anbieter stellt sicher, dass alle Personen, die Daten des Kunden verarbeiten dürfen, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO, § 6 DSG). Zugriffe auf Daten des Kunden erfolgen nur zu den in den AGB genannten Zwecken und werden protokolliert.

§ 7 Technische und organisatorische Maßnahmen

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 8 Unterauftragsverarbeiter

1. (1) Der Kunde erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.
2. (2) Der Anbieter informiert den Kunden mindestens vier Wochen vorab per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Können sich die Parteien nicht einigen, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen.
3. (3) Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).
4. (4) Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

§ 9 Unterstützung des Kunden

1. (1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.
2. (2) Der Anbieter unterstützt den Kunden unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. (3) Soweit die Unterstützung nicht durch Funktionen der Software abgedeckt ist und über das Übliche hinausgeht, kann der Anbieter einen angemessenen Aufwandsersatz verlangen, außer die Unterstützung beruht auf einem Verstoß des Anbieters.

§ 10 Verletzungen des Schutzes personenbezogener Daten

1. (1) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch binnen 72 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an die beim Konto hinterlegte Adresse.
2. (2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.
3. (3) Der Anbieter ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern.

§ 11 Löschung und Rückgabe

1. (1) Bis zum Vertragsende kann der Kunde seine Daten über die Exportfunktionen der Software herunterladen; auf Anfrage unterstützt der Anbieter dabei.
2. (2) Nach Vertragsende löscht der Anbieter alle Daten des Kunden innerhalb von 30 Tagen, sofern nicht nach Unionsrecht oder österreichischem Recht eine Pflicht zur Speicherung besteht. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben [Platzhalter: Aufbewahrungsdauer der Sicherungen].
3. (3) Auf Verlangen bestätigt der Anbieter die Löschung schriftlich; E-Mail genügt.

§ 12 Nachweise und Kontrollen

1. (1) Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. (2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen durchführen. Überprüfungen sind mindestens 14 Tage vorher anzukündigen, finden während der üblichen Geschäftszeiten statt, sollen den Betrieb nicht unverhältnismäßig stören und erfolgen – außer bei einem konkreten Anlass – höchstens einmal pro Kalenderjahr. Daten anderer Kunden und Geschäftsgeheimnisse des Anbieters sind zu schützen.
3. (3) Vorrangig erfüllt der Anbieter die Nachweispflicht durch Auskünfte und Unterlagen. Die Kosten einer Überprüfung trägt der Kunde, außer sie ergibt einen wesentlichen Verstoß des Anbieters.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Kunde und Anbieter gelten die Haftungsregelungen der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.

§ 14 Schlussbestimmungen

1. (1) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.
2. (2) Es gilt österreichisches Recht. Gerichtsstand ist das sachlich zuständige Gericht in Innsbruck.
3. (3) Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam.
4. (4) Dieser Vertrag liegt in deutscher und englischer Sprache vor. Verbindlich ist die deutsche Fassung.

Anlage 1 – Technische und organisatorische Maßnahmen (Kurzfassung)

• Standort: Die Server stehen ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (Nürnberg, Falkenstein) und Finnland (Helsinki), also in der Europäischen Union.
• Verschlüsselte Übertragung: Software, Kundenportal und Show-Links sind nur über HTTPS (TLS) erreichbar.
• Mandantentrennung: Jede Anfrage wird serverseitig der Organisation des angemeldeten Nutzers zugeordnet; Zugriffe auf Daten anderer Organisationen werden abgewiesen.
• Zugangskontrolle: Anmeldung mit persönlichem Passwort, das nur als Hash (bcrypt) gespeichert wird; zeitlich begrenzte Sitzungen; das Erneuerungs-Token liegt in einem HttpOnly-, Secure- und SameSite-Cookie; Begrenzung der Anmelde-, Registrierungs- und Zurücksetzungsversuche je IP-Adresse.
• Rechtekonzept: Beteiligte im Kundenportal erhalten persönliche, widerrufbare Zugangslinks und sehen nur die Inhalte, die für sie freigegeben sind; interne Inhalte bleiben den Nutzern des Kunden vorbehalten.
• Eingabekontrolle: Aktivitätsverlauf je Projekt (wer, was, wann); Server- und Zugriffsprotokolle; Zugriffe des Anbieters auf Kundendaten werden protokolliert.
• Uploads: Prüfung von Dateityp und Dateigröße.
• Verfügbarkeit: tägliche Datensicherung; die Sicherungen liegen in einem getrennten Rechenzentrum (Helsinki). Wiederherstellung nach einem Notfallplan.
• Organisation: Vertraulichkeitsverpflichtung aller tätigen Personen; Zugriffe nur zweckgebunden; regelmäßige Sicherheitsupdates; Behandlung von Sicherheitsvorfällen nach festgelegtem Ablauf.

Anlage 2 – Unterauftragsverarbeiter

Die Software lädt im Browser der Nutzer Karten- und Höhendaten von öffentlichen Kartendiensten (Luftbilder von basemap.at, Höhendaten aus dem öffentlichen Datensatz „Terrain Tiles“ bei Amazon Web Services). Dabei werden keine Kundendaten im Auftrag übermittelt, sondern nur die Kartenausschnitte abgerufen; die Kartendienste erhalten technisch bedingt die IP-Adresse des Browsers. Näheres in der Datenschutzerklärung.