Auftragsverarbeitungsvertrag (AVV)

Anlage 1 zu den Allgemeinen Geschäftsbedingungen der Vinitor Software Solutions e.U.

Stand: Juli 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen (nachfolgend „AGB”) der

Vinitor Software Solutions e.U.
Wildbergstraße 18/27/06, 4040 Linz, Österreich
Inhaber: Lukas Kurz · FN 661206m (LG Linz) · UID ATU80083678
E-Mail: [email protected] · Datenschutz: [email protected]

(nachfolgend „Auftragsverarbeiter“ oder „Anbieter“)

und wird mit der Registrierung bzw. dem Abschluss des Nutzungsvertrages zwischen dem Anbieter und dem jeweiligen Kunden (nachfolgend „Verantwortlicher“ oder „Kunde“) automatisch abgeschlossen. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 der Verordnung (EU) 2016/679 (nachfolgend „DSGVO”), soweit der Anbieter im Rahmen der Erbringung der vertraglichen Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet.

Der Kunde ist ausschließlich Unternehmer im Sinne des § 1 KSchG (vgl. AGB §1.3).

§ 1 Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand des Auftrags ist die Bereitstellung der cloudbasierten SaaS-Plattform „Vinitor“ (Webdashboard und mobile Applikation) für das Weinbaumanagement, einschließlich digitaler Schlagkartei, Aufgabenverwaltung, Arbeitszeiterfassung (manuell und GPS-gestützt), Pflanzenschutzdokumentation, Schadensmeldungen, Geräteverwaltung und Statistiken.

1.2 Im Rahmen dieser Leistungen verarbeitet der Anbieter personenbezogene Daten von Mitarbeitern und sonstigen vom Kunden autorisierten Nutzern im Auftrag des Kunden. Art, Umfang und Zweck der Verarbeitung sowie die Kategorien der Daten und betroffenen Personen ergeben sich aus Anlage A.

1.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages. Nach Vertragsende gilt § 8 dieses AVV.

1.4 Nicht Gegenstand dieses AVV sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist, insbesondere die Verwaltung der Vertragsbeziehung mit dem Kunden, die Abrechnung (einschließlich Zahlungsabwicklung über Stripe) sowie Maßnahmen der IT-Sicherheit und des Betriebs der eigenen Systeme.

§ 2 Rollen der Parteien

2.1 Der Kunde ist Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO für die personenbezogenen Daten seiner Mitarbeiter und sonstigen Nutzer, die er über die Plattform verarbeitet.

2.2 Der Anbieter ist Auftragsverarbeiter im Sinne des Art. 4 Z 8 DSGVO und verarbeitet diese Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Kunden.

§ 3 Weisungsrecht des Kunden

3.1 Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die Nutzung der Plattform in ihrer jeweils bereitgestellten Funktionalität sowie die vom Kunden oder seinen Nutzern in der Plattform vorgenommenen Konfigurationen und Handlungen gelten als Weisung im Sinne dieses AVV. Ergänzende Einzelweisungen bedürfen der Textform (E-Mail genügt) und sind an [email protected] oder [email protected] zu richten.

3.3 Ist der Anbieter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Kunden unverzüglich. Der Anbieter ist berechtigt, die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Kunden auszusetzen.

3.4 Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Anbieter als Änderungsverlangen behandeln; ein damit verbundener Mehraufwand ist gesondert zu vergüten.

§ 4 Pflichten des Auftragsverarbeiters

4.1 Vertraulichkeit. Der Anbieter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

4.2 Technische und organisatorische Maßnahmen. Der Anbieter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses implementierten Maßnahmen sind in Anlage B beschrieben. Der Anbieter darf diese Maßnahmen an den Stand der Technik anpassen und weiterentwickeln, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

4.3 Datenschutz durch Technikgestaltung. Der Anbieter berücksichtigt bei der Weiterentwicklung der Plattform die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO). Insbesondere erfolgt die Erfassung von GPS-Standortdaten ausschließlich nach aktiver Auslösung durch den jeweiligen Nutzer (Start einer Arbeitssitzung); ein automatisches oder verdecktes Hintergrund-Tracking findet nicht statt, und der Nutzer kann eine laufende Erfassung jederzeit beenden.

4.4 Verzeichnis von Verarbeitungstätigkeiten. Der Anbieter führt ein Verzeichnis aller Kategorien von im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

4.5 Verarbeitungsort. Die Verarbeitung der Anwendungsdaten erfolgt in Rechenzentren innerhalb der Europäischen Union. Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und nur im Rahmen der in Anlage C genannten Subauftragsverarbeiter.

§ 5 Subauftragsverarbeiter

5.1 Der Kunde erteilt dem Anbieter die allgemeine Genehmigung zur Einschaltung von Subauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subauftragsverarbeiter sind in Anlage C aufgeführt.

5.2 Der Anbieter informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Subauftragsverarbeiters mindestens 30 Tage vor deren Wirksamwerden in Textform (E-Mail an die hinterlegte Kontaktadresse genügt) oder durch Aktualisierung der unter https://vinitor.app/avv veröffentlichten Liste mit begleitender Benachrichtigung.

5.3 Der Kunde kann der Änderung innerhalb von 30 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können die Parteien keine einvernehmliche Lösung finden, ist der Kunde berechtigt, den Nutzungsvertrag außerordentlich zu kündigen. Angesichts der jederzeitigen, sofort wirksamen Kündigungsmöglichkeit mit anteiliger Abrechnung (AGB) entstehen dem Kunden hierdurch keine Nachteile.

5.4 Der Anbieter erlegt jedem Subauftragsverarbeiter im Wege eines Vertrages dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen. Kommt ein Subauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung der Pflichten des Subauftragsverarbeiters.

5.5 Nicht als Subauftragsverarbeitung gelten Leistungen Dritter, die der Anbieter als reine Nebenleistungen in Anspruch nimmt (z.B. Telekommunikationsleistungen, Post-/Transportdienstleistungen), sowie Dienste, bei denen der Dritte als eigenständiger Verantwortlicher agiert.

§ 6 Unterstützungspflichten des Anbieters

6.1 Betroffenenrechte. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) nachzukommen. Soweit möglich, kann der Kunde Auskunfts-, Berichtigungs- und Löschanliegen unmittelbar über die Funktionen der Plattform selbst erfüllen; darüber hinaus stellt der Anbieter auf Anfrage die erforderlichen Informationen bereit. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser den Antrag unverzüglich an den Kunden weiter.

6.2 Datenexport. Der Anbieter stellt dem Kunden auf Anfrage binnen 14 Tagen einen Export der gespeicherten Daten in einem gängigen, maschinenlesbaren Format (CSV/JSON) zur Verfügung (vgl. AGB §4.6).

6.3 Art. 32–36 DSGVO. Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

6.4 Unterstützungsleistungen nach diesem § 6, die über die bereitgestellten Plattformfunktionen und einen zumutbaren Umfang hinausgehen, kann der Anbieter nach vorheriger Ankündigung nach Aufwand verrechnen, sofern der Anlass nicht vom Anbieter zu vertreten ist.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

7.1 Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Kunden verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden an die im Kundenkonto hinterlegte E-Mail-Adresse.

7.2 Die Meldung enthält, soweit bereits verfügbar, zumindest: eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und ungefähren Zahl der betroffenen Personen und Datensätze), die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Informationen können schrittweise nachgereicht werden.

7.3 Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung betroffener Personen (Art. 34 DSGVO) obliegen dem Kunden als Verantwortlichem. Der Anbieter unterstützt den Kunden hierbei gemäß § 6.3.

§ 8 Löschung und Rückgabe nach Vertragsende

8.1 Nach Beendigung des Nutzungsvertrages stehen dem Kunden die gespeicherten Daten für einen Zeitraum von 30 Tagen zum Export zur Verfügung (vgl. AGB §4.6, Datenschutzerklärung §9).

8.2 Nach Ablauf dieses Zeitraums löscht der Anbieter sämtliche im Auftrag des Kunden verarbeiteten personenbezogenen Daten, es sei denn, unions- oder mitgliedstaatliches Recht verpflichtet zur weiteren Speicherung. Wechselt der Kunde in das kostenfreie Konto mit Basismodulen, gilt die Löschpflicht nur für die Daten der deaktivierten Module.

8.3 Daten in Sicherungskopien (Backups) werden im Rahmen der regulären Backup-Rotationszyklen überschrieben bzw. gelöscht; eine Wiederherstellung zu anderen Zwecken findet nicht statt.

8.4 Nutzungsdaten und Protokolldaten (Logs) werden längstens 90 Tage aufbewahrt.

§ 9 Nachweise und Kontrollrechte

9.1 Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

9.2 Der Nachweis wird in der Regel erbracht durch: die Beschreibung der technischen und organisatorischen Maßnahmen (Anlage B), Selbstauskünfte und Auskünfte in Textform sowie — soweit vorhanden — geeignete Zertifizierungen, Testate oder Berichte der eingesetzten Subauftragsverarbeiter (z.B. Hosting-Zertifizierungen nach ISO 27001).

9.3 Ergibt sich aus diesen Nachweisen ein begründeter Anlass für weitergehende Kontrollen (insbesondere nach einer Datenschutzverletzung oder auf Anordnung einer Aufsichtsbehörde), ist der Kunde berechtigt, nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten eine Überprüfung durchzuführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Anbieter stehenden Prüfer durchführen zu lassen. Der Anbieter darf den Aufwand solcher Kontrollen in angemessenem Umfang verrechnen, sofern der Anlass nicht vom Anbieter zu vertreten ist.

§ 10 Verantwortlichkeit des Kunden

10.1 Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage gemäß Art. 6 DSGVO (bei Beschäftigtendaten in der Regel in Verbindung mit den anwendbaren arbeitsrechtlichen Bestimmungen) sowie für die Wahrung der Rechte der betroffenen Personen.

10.2 Der Kunde ist insbesondere verpflichtet, seine Mitarbeiter und sonstigen Nutzer vor Aufnahme der Nutzung gemäß Art. 13 DSGVO über die Verarbeitung ihrer personenbezogenen Daten — einschließlich der GPS-gestützten Arbeitszeiterfassung — zu informieren.

10.3 Der Kunde wird ausdrücklich darauf hingewiesen, dass der Einsatz GPS-gestützter Erfassung von Arbeitnehmern in Österreich eine Kontrollmaßnahme darstellen kann, die die Menschenwürde berührt, und in diesem Fall gemäß § 96 Abs. 1 Z 3 ArbVG der Zustimmung des Betriebsrats (Betriebsvereinbarung) bzw. in betriebsratslosen Betrieben gemäß § 10 AVRAG der Zustimmung der einzelnen Arbeitnehmer bedarf. Die Prüfung und Einholung dieser Zustimmungen obliegt ausschließlich dem Kunden als Arbeitgeber (vgl. AGB §5.3). Für Kunden außerhalb Österreichs gelten die entsprechenden Bestimmungen des jeweils anwendbaren nationalen Arbeitsrechts.

10.4 Der Kunde stellt sicher, dass nur solche Daten in die Plattform eingegeben werden, deren Verarbeitung durch den Anbieter im Rahmen dieses AVV rechtmäßig ist. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des vereinbarten Leistungsumfangs.

§ 11 Haftung

11.1 Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien einander entsprechend ihrem jeweiligen Verantwortungsbeitrag.

11.2 Im Übrigen gelten die Haftungsregelungen der AGB.

§ 12 Schlussbestimmungen

12.1 Dieser AVV unterliegt österreichischem Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Gerichtsstand ist der Sitz des Anbieters, soweit gesetzlich zulässig.

12.2 Bei Widersprüchen zwischen diesem AVV und den AGB oder sonstigen Vereinbarungen gehen hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag die Regelungen dieses AVV vor.

12.3 Änderungen dieses AVV erfolgen nach dem in den AGB vorgesehenen Änderungsmechanismus. Zwingende Anpassungen aufgrund geänderter Rechtslage oder behördlicher bzw. gerichtlicher Vorgaben bleiben vorbehalten.

12.4 Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage A — Gegenstand der Verarbeitung

Art und Zweck der Verarbeitung: Bereitstellung, Betrieb und Wartung der SaaS-Plattform Vinitor zur Verwaltung von Weinbaubetrieben; insbesondere Speicherung, Anzeige, Strukturierung und Auswertung der vom Kunden und seinen Nutzern eingegebenen bzw. erzeugten Daten für Zwecke der Aufgabenverwaltung, Arbeitszeiterfassung und Tätigkeitsdokumentation, Pflanzenschutzdokumentation, Schadensdokumentation und betrieblichen Statistik.

Kategorien betroffener Personen: Mitarbeiter des Kunden sowie sonstige vom Kunden autorisierte Nutzer (z.B. Feldarbeiter, Traktorfahrer, Gruppenleiter, Weingartenleiter, Büropersonal).

Kategorien personenbezogener Daten:

Datenkategorie	Inhalt
Stammdaten	Name, Kontaktdaten, Benutzerkonto- und Rolleninformationen
Arbeitsdaten	Arbeitszeiten, zugewiesene Aufgaben, dokumentierte Tätigkeiten, verwendete Geräte und Maschinen
Standortdaten	GPS-Koordinaten, Zeitstempel, Genauigkeitswerte, Zuordnung zu Aufgaben und Weingärten (nur bei aktiv gestarteter Erfassung durch den Nutzer, vgl. § 4.3)
Inhaltsdaten	Vom Nutzer erfasste Fotos, Videos und Anhänge (z.B. Schadensmeldungen)
Nutzungsdaten	Zugriffszeiten, verwendete Funktionen, Geräte- und App-Metadaten, Protokolldaten

Besondere Kategorien (Art. 9 DSGVO): Nicht Gegenstand des Leistungsumfangs.

Anlage B — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Hosting in zertifizierten Rechenzentren (Hetzner, Deutschland) mit physischen Zutrittskontrollen des Rechenzentrumsbetreibers.
Zugangskontrolle: Authentifizierung sämtlicher Nutzerzugriffe; administrative Systemzugänge nur über gesicherte, schlüsselbasierte Verfahren; Beschränkung administrativer Zugriffe auf den Inhaber.
Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept innerhalb der Plattform (Betriebsinhaber/Admin vs. Mitarbeiter); Mandantentrennung auf Anwendungsebene.
Trennungskontrolle: Logische Trennung der Daten je Kunde (mandantenbezogene Filterung); getrennte Umgebungen für Entwicklung, Staging und Produktion mit getrennten Datenbanken.

2. Integrität

Transportverschlüsselung sämtlicher Datenübertragungen (TLS/SSL).
Eingabekontrolle: Protokollierung wesentlicher Änderungsvorgänge; Soft-Delete-Mechanismen zur Nachvollziehbarkeit und Wiederherstellbarkeit.

3. Verfügbarkeit und Belastbarkeit

Regelmäßige Backups (maschinenbasierte Sicherungen und externe Sicherung); definierte Wiederherstellungsverfahren.
Fehler- und Verfügbarkeitsüberwachung der Systeme; zeitnahes Einspielen von Sicherheitsupdates.

4. Verfahren zur regelmäßigen Überprüfung

Regelmäßige Überprüfung und Weiterentwicklung der Maßnahmen entsprechend dem Stand der Technik.
Auswahl von Subauftragsverarbeitern unter Berücksichtigung ihrer Garantien gemäß Art. 28 Abs. 1 DSGVO; Abschluss von Auftragsverarbeitungsverträgen mit sämtlichen Subauftragsverarbeitern.

Anlage C — Subauftragsverarbeiter

Stand: Juli 2026. Aktuelle Fassung abrufbar unter https://vinitor.app/avv.

Subauftragsverarbeiter	Leistung	Sitz / Verarbeitungsort	Drittlandtransfer / Garantie
Hetzner Online GmbH, Gunzenhausen	Hosting von Backend und Datenbank (sämtliche Anwendungsdaten)	Deutschland (EU)	Kein Drittlandtransfer
Cloudflare, Inc., San Francisco	CDN, Edge-Auslieferung und Schutz der Webanwendungen	USA	EU-Standardvertragsklauseln / EU-U.S. Data Privacy Framework
Functional Software, Inc. (Sentry), San Francisco	Fehler-Monitoring (Crash-Reports können Nutzerkontext enthalten)	USA	EU-Standardvertragsklauseln
Zoho Corporation	Transaktions- und Benachrichtigungs-E-Mails	USA	EU-Standardvertragsklauseln
Atlassian Pty Ltd (Jira Service Desk)	Support-Ticketsystem, soweit Nutzer des Kunden Supportanfragen stellen	USA/EU	EU-Standardvertragsklauseln
Mapbox, Inc.	Bereitstellung von Karten-Tiles (clientseitiger Abruf)	USA	EU-Standardvertragsklauseln

Nicht Subauftragsverarbeiter im Sinne dieses AVV: Stripe Payments Europe, Ltd. (Zahlungsabwicklung — der Anbieter ist insoweit selbst Verantwortlicher; es werden keine Mitarbeiterdaten des Kunden verarbeitet).

Vinitor Software Solutions e.U. Linz, Juli 2026