Anlage zu den Allgemeinen Geschäftsbedingungen und Anlage 1 zu den Connect – Leistungs- und Nutzungsbedingungen der Gasyco GmbH
zwischen dem Kunden als Verantwortlichem („Kunde“) und der Gasyco GmbH, Hauptstraße 122, 1140 Wien, als Auftragsverarbeiter („Gasyco“).
1. Gegenstand und Dauer
1.1 Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten, die Gasyco im Auftrag des Kunden durchführt, und zwar (a) im Rahmen der Connect Services (Connect, Connect Plus, Connect Enterprise) und (b) bei Fehlerdiagnose, Störungsbehebung, Wartung und Support aus der Ferne an Geräten, die der Kunde mit dem Internet verbunden hat, nach dem Punkt „Gerätedaten und Fernservice“ der AGB („Fernservice“), auch ohne Vertrag über Connect Services. Grundlage ist der jeweilige Vertrag zwischen den Parteien, also der Vertrag über Connect Services samt den Connect-Bedingungen oder der Liefer- oder Servicevertrag samt den AGB („Hauptvertrag“).
1.2 Die Vereinbarung gilt, solange Gasyco personenbezogene Daten des Kunden im Auftrag verarbeitet, bei den Connect Services insbesondere auch während des Abrufzeitraums nach Punkt 20.3 der Connect-Bedingungen.
1.3 Verarbeitet Gasyco personenbezogene Daten zu eigenen Zwecken, etwa zur Vertragsabwicklung, Rechnungslegung oder Erfüllung gesetzlicher Pflichten, ist Gasyco insoweit selbst Verantwortlicher; diese Vereinbarung gilt dafür nicht.
2. Art, Zweck und Umfang der Verarbeitung
2.1 Gasyco verarbeitet personenbezogene Daten ausschließlich zur Erbringung der Connect Services und des Fernservice, insbesondere für
- die Bereitstellung des Cloud-Dashboards und die Verwaltung von Benutzerkonten,
- die Anmeldung einschließlich Zwei-Faktor-Anmeldung und Single Sign-on,
- den Versand von Qualitätsberichten, Kalibrierzeugnissen und Alarmmeldungen,
- die Protokollierung von Zugriffen und Änderungen, etwa an Grenzwerten,
- Fernzugriff, Support, Fehlerdiagnose und die Installation von Updates sowie
- Datensicherung und IT-Sicherheit.
2.2 Kategorien betroffener Personen und Daten:
| Betroffene Personen | Datenkategorien |
|---|---|
| Benutzer des Kunden (Mitarbeitende, beauftragte Dritte; bei vermieteten Geräten auch Mitarbeitende des Betreibers) | Name, E-Mail-Adresse, Benutzerrolle, Anmeldedaten, Zwei-Faktor-Merkmale, Zeitpunkte und IP-Adressen von Anmeldungen, Protokolle von Aktionen und Änderungen |
| Empfänger von Berichten und Alarmen | Name, E-Mail-Adresse, Mobiltelefonnummer, Inhalt und Zeitpunkt versandter Meldungen |
| Ansprechpartner des Kunden | Name, Kontaktdaten, Funktion |
| Personen, die einem Gerät oder Standort zugeordnet werden können | Standortangaben des Geräts, Bedienhandlungen am Gerät, soweit sie einer Person zugeordnet werden können |
2.3 Mess- und Betriebsdaten der Geräte sind in der Regel keine personenbezogenen Daten. Soweit sie im Einzelfall einer Person zugeordnet werden können, gilt diese Vereinbarung auch für sie.
2.4 Besondere Kategorien personenbezogener Daten im Sinne des Art 9 DSGVO werden nicht verarbeitet. Der Kunde stellt sicher, dass er solche Daten nicht in die Connect Services oder in die Geräte eingibt.
2.5 Die Verarbeitung im Rahmen der Connect Services erfolgt auf Servern von Gasyco in Österreich. Beim Fernservice greifen Mitarbeitende von Gasyco aus der Ferne auf das Gerät zu und speichern Daten nur, soweit es für die Bearbeitung und Dokumentation des Servicefalls erforderlich ist. Für einzelne Verarbeitungsschritte setzt Gasyco die in Anhang B genannten Unterauftragsverarbeiter ein.
2.6 Überlässt der Kunde das Gerät einem Dritten zur Nutzung, etwa durch Vermietung („Betreiber“), stellt er sicher, dass er für die Verarbeitung personenbezogener Daten von Mitarbeitenden oder Beauftragten des Betreibers eine Rechtsgrundlage hat und diese Personen nach Art 13 und 14 DSGVO informiert sind; erforderlichenfalls schließt er dazu mit dem Betreiber eine eigene Vereinbarung. Weisungen des Betreibers befolgt Gasyco nur, soweit der Kunde ihn dazu ermächtigt hat.
3. Weisungen
3.1 Gasyco verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich der Übermittlung in Drittländer, sofern Gasyco nicht durch Unionsrecht oder österreichisches Recht zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt Gasyco dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
3.2 Die Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung, den Einstellungen, die der Kunde in den Connect Services vornimmt, und beim Fernservice aus der Anfrage oder Freigabe des Kunden im Einzelfall. Einzelweisungen erteilt der Kunde schriftlich; E-Mail genügt. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Antrag auf eine Leistungsänderung.
3.3 Ist Gasyco der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Gasyco den Kunden unverzüglich. Gasyco kann die Durchführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.
4. Vertraulichkeit
Gasyco gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, insbesondere gemäß § 6 DSG. Die Verpflichtung gilt auch nach Ende ihrer Tätigkeit für Gasyco fort.
5. Sicherheit der Verarbeitung
5.1 Gasyco trifft die nach Art 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die bei Vertragsabschluss getroffenen Maßnahmen sind in Anhang A beschrieben.
5.2 Gasyco darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert Gasyco und teilt sie dem Kunden auf Anfrage mit.
6. Unterauftragsverarbeiter
6.1 Der Kunde erteilt Gasyco die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsabschluss eingesetzten Unterauftragsverarbeiter sind in Anhang B genannt und gelten als genehmigt.
6.2 Gasyco informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann Gasyco dem Widerspruch nicht abhelfen, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
6.3 Gasyco erlegt jedem Unterauftragsverarbeiter vertraglich die Datenschutzpflichten dieser Vereinbarung auf, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Gasyco haftet gegenüber dem Kunden für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.
6.4 Keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung sind Leistungen, die Gasyco als reine Nebenleistung in Anspruch nimmt, etwa Telekommunikations- und Mobilfunkdienste zur bloßen Übertragung von Daten oder Postdienste. Gasyco trifft auch insoweit angemessene Maßnahmen zum Schutz der Daten.
6.5 Gasyco kann Service und Wartung auch durch den Vertriebspartner erbringen lassen, über den der Kunde das Gerät bezogen oder gemietet hat („Servicepartner“, Absatz 7 des Punktes „Gerätedaten und Fernservice“ der AGB). Der Servicepartner ist insoweit Unterauftragsverarbeiter von Gasyco. Er erhält Zugriff nur auf die Daten der Geräte, die er betreut, und nur für Service und Wartung. Ist der Servicepartner selbst Kunde dieser Vereinbarung, etwa weil er das Gerät vermietet und das Connect-Abonnement selbst abgeschlossen hat, ist er für diese Geräte Verantwortlicher und nicht Unterauftragsverarbeiter.
7. Übermittlung in Drittländer
Eine Übermittlung personenbezogener Daten in ein Land außerhalb des Europäischen Wirtschaftsraums, einschließlich eines Zugriffs aus einem solchen Land, erfolgt nur, wenn die Voraussetzungen der Art 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder von Standardvertragsklauseln. Die Grundlage für den jeweiligen Unterauftragsverarbeiter ist in Anhang B angegeben.
8. Unterstützung des Kunden
8.1 Gasyco unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen nach Kapitel III DSGVO. Wendet sich eine betroffene Person direkt an Gasyco, leitet Gasyco die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, sofern der Kunde nicht anderes anweist.
8.2 Gasyco unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten nach Art 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und Konsultationen der Datenschutzbehörde.
8.3 Unterstützungsleistungen, die über die in den Connect Services vorgesehenen Funktionen hinausgehen und nicht auf einem Verstoß von Gasyco beruhen, kann Gasyco nach Aufwand zu den jeweils gültigen Sätzen verrechnen.
9. Verletzungen des Schutzes personenbezogener Daten
9.1 Gasyco meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden, nachdem Gasyco davon Kenntnis erlangt hat.
9.2 Die Meldung enthält, soweit bekannt, die in Art 33 Abs 3 DSGVO genannten Angaben, insbesondere die Art der Verletzung, die betroffenen Kategorien und ungefähre Zahl von Personen und Datensätzen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Informationen, die noch nicht vorliegen, reicht Gasyco ohne unangemessene Verzögerung nach.
9.3 Gasyco ergreift unverzüglich die erforderlichen Maßnahmen zur Eindämmung der Verletzung und zur Minderung möglicher nachteiliger Folgen. Die Meldung an die Datenschutzbehörde und die Benachrichtigung betroffener Personen obliegen dem Kunden.
10. Löschung und Rückgabe
10.1 Der Kunde kann die Rohdaten jederzeit per USB direkt vom Gerät herunterladen. Qualitätsberichte und Kalibrierzeugnisse kann er über das Cloud-Dashboard herunterladen. Nach Ende des Hauptvertrags gilt dies nach Maßgabe des Punktes 20.3 der Connect-Bedingungen. Eine darüber hinausgehende Rückgabe durch Gasyco erfolgt nicht.
10.2 Nach Ablauf des Abrufzeitraums löscht Gasyco die personenbezogenen Daten des Kunden innerhalb von 60 Tagen, sofern nicht nach Unionsrecht oder österreichischem Recht eine Pflicht zur Speicherung besteht. Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus, spätestens nach 30 Tagen, überschrieben und bis dahin nicht mehr verarbeitet.
10.3 Gasyco bestätigt dem Kunden die Löschung auf Anfrage schriftlich.
10.4 Für den Fernservice ohne Connect Services gelten 10.1 und 10.2 nicht. Gasyco löscht personenbezogene Daten aus einem Servicefall, sobald sie für dessen Bearbeitung und Dokumentation nicht mehr benötigt werden und keine gesetzliche Aufbewahrungspflicht entgegensteht.
11. Nachweise und Überprüfungen
11.1 Gasyco stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art 28 DSGVO zur Verfügung.
11.2 Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Mitbewerber von Gasyco ist, kann die Einhaltung dieser Vereinbarung überprüfen. Überprüfungen vor Ort sind mindestens 30 Tage vorher anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Sie sind auf höchstens eine Prüfung pro Kalenderjahr beschränkt, es sei denn, eine Verletzung des Schutzes personenbezogener Daten oder eine behördliche Anordnung gibt Anlass zu einer weiteren Prüfung.
11.3 Gasyco kann den Nachweis auch durch geeignete Zertifizierungen, Prüfberichte unabhängiger Stellen oder eine schriftliche Selbstauskunft erbringen, soweit dies für den Kunden zumutbar ist. Die Kosten einer Überprüfung trägt der Kunde, außer sie ergibt einen wesentlichen Verstoß von Gasyco.
12. Haftung
Für Ansprüche betroffener Personen gilt Art 82 DSGVO. Im Verhältnis zwischen Kunde und Gasyco gelten die Haftungsregelungen des Hauptvertrags, soweit Art 82 DSGVO nicht entgegensteht.
13. Kontakt und Schlussbestimmungen
13.1 Ansprechstelle für Datenschutzfragen und Meldungen nach dieser Vereinbarung ist bei Gasyco: Maximilian Fischer/ Geschäftsführer, maximilian.fischer@gasyco.com, 0676 595 11 17. Der Kunde benennt Gasyco eine entsprechende Ansprechstelle.
13.2 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung für die Verarbeitung personenbezogener Daten im Auftrag vor.
13.3 Änderungen und Ergänzungen bedürfen der Schriftform; E-Mail genügt. Die Anpassung der Anhänge A und B erfolgt nach Punkt 5.2 bzw. 6.2.
13.4 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art 28 DSGVO entspricht.
13.5 Für anwendbares Recht und Gerichtsstand gelten die Bestimmungen des Hauptvertrags.
Anhang A: Technische und organisatorische Maßnahmen
| Bereich | Maßnahmen |
|---|---|
| Zutrittskontrolle | Server in einem versperrten Serverschrank im Lager von Gasyco in Österreich; Schlüssel nur bei den beiden Geschäftsführern; Videoüberwachung der beiden Haupteingänge |
| Zugangskontrolle | Persönliche, passwortgeschützte Benutzerkonten; Passwörter mit mindestens 8 Zeichen, gespeichert nur als gesalzener Hash (PBKDF2-SHA256); vom Administrator vergebene Startpasswörter müssen bei der ersten Anmeldung geändert werden; Anmeldung wird nach wiederholten Fehlversuchen vorübergehend gesperrt; Zwei-Faktor-Anmeldung (Authenticator-App) für alle Administratoren von Gasyco technisch erzwungen, für Kundenbenutzer wählbar; automatische Abmeldung nach 30 Minuten Inaktivität; Administration des Servers nur mit persönlichem SSH-Schlüssel, Anmeldung als root und per Passwort abgeschaltet |
| Zugriffskontrolle | Rollen- und Berechtigungskonzept: Kundenbenutzer sehen nur die Geräte ihres Unternehmens, und zwar nur für den Zeitraum, in dem das Gerät ihrem Unternehmen gehört; Vertriebspartner nur die Geräte ihrer Kunden; Benutzerverwaltung, Protokolle und Geräteeinrichtung nur für Administratoren von Gasyco; Datenbank nur im internen Netz des Servers erreichbar, die Anwendung arbeitet mit einem Datenbankbenutzer ohne Administratorrechte |
| Weitergabekontrolle | Dashboard nur über HTTPS erreichbar (TLS 1.2 oder 1.3, HSTS); Geräte mit aktuellem Modem über verschlüsselten WireGuard-VPN-Tunnel, Bestandsgeräte über den eigenen Fernwartungsserver von Gasyco (Secomea) mit Zertifikatsprüfung; Fernzugriff auf die Bedienoberfläche nur über diese Verbindungen und nur nach Prüfung der Berechtigung; Engineering-Zugriff nur mit zeitlich begrenzter Freigabe; Zugangsgeheimnisse wie Zwei-Faktor-Schlüssel, VPN-Schlüssel und Modem-Passwörter werden verschlüsselt gespeichert |
| Eingabekontrolle | Protokollierung aller erfolgreichen und fehlgeschlagenen Anmeldungen (Benutzer, Zeitpunkt, IP-Adresse nur als Hashwert), Aufbewahrung 365 Tage; Änderungsverlauf der Grenzwerte mit Bearbeiter und Zeitpunkt; Protokollierung der Fernzugriffe auf Geräte (Benutzer, Gerät, Art und Beginn des Zugriffs), Aufbewahrung drei Jahre; Protokolle des SMS- und E-Mail-Versands, Aufbewahrung 365 Tage |
| Verfügbarkeit und Belastbarkeit | Unterbrechungsfreie Stromversorgung zur Überbrückung kurzer Stromausfälle; tägliche automatische Datensicherung der Benutzer-, Konfigurations-, Alarm- und Protokolldaten mit Kopie auf einem zweiten Server, Aufbewahrung 14 Tage; Messdaten lassen sich aus den Gerätedateien wiederherstellen; Wiederherstellung dokumentiert getestet; automatische Sicherheitsupdates des Betriebssystems; Aktualisierung der Anwendung durch Gasyco, wöchentliche automatische Prüfung der eingesetzten Softwarekomponenten auf bekannte Schwachstellen; Überwachung der Dienste; Sperre wiederholter Anmeldeversuche am Server |
| Trennungskontrolle | Logische Trennung der Daten je Kunde durch eine zentrale Berechtigungsprüfung bei jedem Zugriff, durch automatisierte Tests abgesichert; Testumgebung mit eigener Datenbank, getrennt von der Produktivumgebung; Entwicklung mit Demodaten |
| Organisation | Vertraulichkeitsverpflichtung aller Mitarbeitenden mit Datenzugriff; Einweisung vor Zugriffserteilung; Aufsicht durch eine für Connect zuständige Person; dokumentierter Ablauf für Sicherheitsvorfälle und die Wiederherstellung |
Anhang B: Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung | Grundlage bei Drittlandbezug |
|---|---|---|---|
| Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland | Versand von E-Mail-Berichten und E-Mail-Alarmen über Microsoft 365 (Microsoft Graph) | EU (EU-Datengrenze von Microsoft) | Zugriffe aus den USA, etwa im Support: EU-US Data Privacy Framework und Standardvertragsklauseln im Microsoft-Datenschutznachtrag |
| Der Vertriebspartner, über den der Kunde das Gerät bezogen oder gemietet hat (Servicepartner); Name und Anschrift ergeben sich aus Angebot oder Auftragsbestätigung | Service und Wartung der von ihm verkauften oder vermieteten Geräte (Servicepartner, Punkt 6.5): lesender Zugriff auf Geräte- und Dienstdaten im Dashboard, Fernzugriff auf das Gerät nur nach Freigabe des Kunden | Server von Gasyco in Österreich; Zugriff vom Sitz des Servicepartners | Keine, sofern der Servicepartner seinen Sitz im EWR hat; sonst Standardvertragsklauseln nach Punkt 7 |
SMS-Alarme versendet das Gerät direkt über das Mobilfunknetz. Der Mobilfunkbetreiber überträgt die Nachricht nur und ist daher kein Unterauftragsverarbeiter (Punkt 6.4).