Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Verantwortlicher:

der Kunde (im Folgenden „Verantwortlicher“)

Auftragsverarbeiter:

Stefan Kittenberger, MSc, Einzelunternehmen, Geschäftsbezeichnung „ste-ki“
Prof.-Leopold-Hauer-Gasse 1
3552 Lengenfeld, Österreich
UID: ATU83007639 · GISA-Zahl: 39329424
E-Mail: stefan@ste-ki.com · Telefon: +43 664 56 25 099
(im Folgenden „Auftragsverarbeiter“)

Diese Vereinbarung gilt ergänzend zum jeweiligen Hauptvertrag zwischen den Parteien. Sie wird wirksam mit Beginn der Leistungserbringung und endet mit deren Beendigung.

1. Gegenstand, Dauer und Zweck

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich Beratung, Entwicklung und Betrieb von Softwarelösungen und Automatisierungen, insbesondere unter Einsatz von Systemen der künstlichen Intelligenz. Soweit dabei personenbezogene Daten des Verantwortlichen verarbeitet werden, geschieht dies ausschließlich zur Erfüllung des Hauptvertrags.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Art, Umfang, Zweck, Datenarten und Kategorien betroffener Personen sind in Anlage 1 festgelegt.

Die Verarbeitung findet grundsätzlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen des Kapitels V DSGVO; die betroffenen Dienstleister, der jeweilige Ort der Verarbeitung und die herangezogene Garantie sind in Anlage 3 ausgewiesen.

2. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erfolgen in Textform an stefan@ste-ki.com. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

3. Vertraulichkeit

Der Auftragsverarbeiter ist ein Einzelunternehmen ohne Mitarbeitende. Die Verarbeitung erfolgt durch den Inhaber persönlich, der zur Verschwiegenheit verpflichtet und mit den einschlägigen Bestimmungen des Datenschutzrechts vertraut ist.

Werden künftig Personen zur Verarbeitung herangezogen, verpflichtet der Auftragsverarbeiter diese vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit und stellt sicher, dass sie nur nach dem Grundsatz der Erforderlichkeit Zugriff erhalten.

4. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit aufrecht. Die Maßnahmen dürfen fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind dem Verantwortlichen mitzuteilen.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Heranziehung der in Anlage 3 genannten Unterauftragsverarbeiter.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens zwei Wochen im Voraus in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann binnen einer Woche ab Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann in diesem Fall keine einvernehmliche Lösung gefunden werden, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht hinsichtlich der betroffenen Leistung zu.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die den Pflichten aus dieser Vereinbarung entsprechen, und haftet gegenüber dem Verantwortlichen für deren Einhaltung wie für eigenes Handeln.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne bestimmungsgemäßen Zugriff auf personenbezogene Daten, etwa Telekommunikations- oder Reinigungsleistungen.

6. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei

• der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO,
• der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er diese dem Verantwortlichen unverzüglich, längstens innerhalb von 24 Stunden ab Kenntnis, mit den ihm verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO.

7. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung.

Der Verantwortliche ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen, im Regelfall einmal je Kalenderjahr sowie anlassbezogen. Kontrollen haben so zu erfolgen, dass der Geschäftsbetrieb nicht unverhältnismäßig gestört wird. Der Nachweis kann auch durch aktuelle Zertifikate, Prüfberichte oder Selbstauskünfte erbracht werden.

8. Löschung und Rückgabe

Nach Abschluss der Leistungserbringung gibt der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie, einschließlich bestehender Kopien, sofern keine Aufbewahrungspflicht nach dem Recht der Union oder eines Mitgliedstaats besteht. Die Löschung wird auf Wunsch in Textform bestätigt.

Sicherungskopien werden im Zuge der regulären Sicherungszyklen überschrieben; bis dahin unterliegen sie unverändert dieser Vereinbarung.

9. Haftung

Es gilt Art. 82 DSGVO. Die Haftungsregelungen des Hauptvertrags bleiben im Übrigen unberührt.

10. Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung vor, soweit sie die Verarbeitung personenbezogener Daten betreffen. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen.

Anlagen

Anlage 1 — Gegenstand der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Löschen — jeweils soweit zur Leistungserbringung erforderlich.

Zweck: Konzeption, Entwicklung, Einrichtung, Anpassung, Wartung und Betrieb von Softwarelösungen und automatisierten Abläufen für den Verantwortlichen; Analyse und Optimierung bestehender Prozesse; Support.

Kategorien betroffener Personen

• Mitarbeitende und Organe des Verantwortlichen
• Kunden, Interessenten und Lieferanten des Verantwortlichen
• sonstige Personen, deren Daten in den bearbeiteten Systemen enthalten sind

Kategorien personenbezogener Daten

• Stammdaten (Name, Anschrift, Funktion, Organisation)
• Kontaktdaten (E-Mail, Telefon)
• Vertrags- und Geschäftsdaten
• Kommunikationsinhalte, soweit in bearbeiteten Systemen enthalten
• Nutzungs- und Protokolldaten der betreuten Systeme

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Sollen solche Daten verarbeitet werden, bedarf dies einer gesonderten schriftlichen Vereinbarung.

Anlage 2 — Technische und organisatorische Maßnahmen

Stand: 16.09.2026

Vertraulichkeit

• Zutrittskontrolle: Die Tätigkeit erfolgt an einem festen Arbeitsplatz in abgetrennten, versperrbaren Räumlichkeiten. Unbeaufsichtigte Geräte werden gesperrt; Bildschirmsperre nach kurzer Inaktivität.
• Zugangskontrolle: Alle Geräte sind passwortgeschützt und vollständig verschlüsselt (Geräteverschlüsselung des Betriebssystems). Zugangsdaten werden ausschließlich in einem Passwortmanager verwaltet und je Dienst individuell erzeugt. Für alle Dienste, die es unterstützen, ist Zwei-Faktor-Authentifizierung aktiviert.
• Zugriffskontrolle: Zugriff auf Kundensysteme nur mit den vom Verantwortlichen eingeräumten Rechten, beschränkt auf das für die Leistung Erforderliche. Zugänge werden nach Projektende deaktiviert.
• Trennungskontrolle: Projekte des Verantwortlichen werden logisch getrennt geführt — eigene Ablagen, eigene Repositories, eigene Arbeitsbereiche. Keine Vermischung mit Daten anderer Auftraggeber.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS/HTTPS). Der E-Mail-Verkehr erfolgt über TLS-gesicherte Verbindungen; für die eigene Domain sind SPF, DKIM und DMARC gesetzt. Datenträgerversand findet nicht statt.
• Eingabekontrolle: Änderungen an Code und Konfiguration werden versioniert und sind nachvollziehbar einem Zeitpunkt und einem Urheber zuordenbar.

Verfügbarkeit und Belastbarkeit

• Regelmäßige, automatisierte Sicherung der Arbeitsdaten mit Versionsverlauf.
• Aktuelle Betriebssystem- und Anwendungsstände, aktiver Virenschutz und aktivierte Firewall.
• Wiederherstellbarkeit der Arbeitsumgebung aus den Sicherungen.

Verfahren zur Überprüfung

• Auftragskontrolle: Unterauftragsverarbeiter werden nach ihren Datenschutzgarantien ausgewählt; Abschluss eines AVV ist Voraussetzung für den Einsatz. Die Liste in Anlage 3 wird laufend gepflegt.
• Datenschutzmanagement: Überprüfung dieser Maßnahmen mindestens einmal jährlich sowie anlassbezogen bei wesentlichen Änderungen.
• Datenschutzfreundliche Voreinstellungen: Es werden nur die für die Leistungserbringung erforderlichen Daten erhoben und verarbeitet. Bei eingesetzten KI-Diensten wird, soweit vom Anbieter angeboten, die Speicherung der übermittelten Inhalte und deren Nutzung zu Trainingszwecken deaktiviert.

Anlage 3 — Unterauftragsverarbeiter

Die jeweils aktuelle Fassung dieser Liste ist unter ste-ki.com/avv abrufbar.

Der Ort der Verarbeitung bei Supabase wird je Projekt festgelegt. Für neue Projekte des Verantwortlichen wird eine Region innerhalb der Europäischen Union gewählt, sofern nicht ausdrücklich anders vereinbart.

Version 1.0 · Stand 16.09.2026 · Stefan Kittenberger, MSc, ste-ki