Auftragsverarbeitungsvereinbarung (AVV)

§ 1 Parteien und Rollen

(1) Auftraggeber (Verantwortlicher) ist der Kunde, der einen YOWO7-Workspace nutzt. Auftragsverarbeiter ist YOWO7 e.U., Kinderheimgasse 76, 2732 Willendorf, Österreich, Sitz Willendorf, Firmenbuchgericht Landesgericht Wiener Neustadt, FN 689952k, DUNS 30-326-6010 (nachfolgend „YOWO7“).

(2) Soweit YOWO7 personenbezogene Daten im Auftrag des Kunden verarbeitet, handelt YOWO7 als Auftragsverarbeiter. Für Website, Accounts, Billing und eigenen Support handelt YOWO7 als Verantwortlicher; dies regelt die Datenschutzerklärung.

§ 2 Gegenstand, Dauer und Art der Verarbeitung

(1) Gegenstand ist die Bereitstellung der SaaS-Plattform YOWO7 (u. a. CRM, Inbox, Formulare, Support-Widget, Chat, Projekte, Dateien, Kalender, Sales, Automatisierung, KI-Anbindung, API) einschließlich Hosting, Speicherung, Übertragung und unterstützender KI-Funktionen nach Weisung des Kunden.

(2) Die Dauer entspricht der Vertragslaufzeit zuzüglich der Fristen für Löschung oder Rückgabe nach Vertragsende.

(3) Art der Verarbeitung: Erheben, Speichern, Auslesen, Übermitteln, Löschen und sonstige für den Betrieb erforderliche Verarbeitungsvorgänge.

§ 3 Kategorien personenbezogener Daten und Betroffener

(1) Je nach Nutzung durch den Kunden können insbesondere folgende Datenarten betroffen sein: Kontaktdaten, Kommunikationsinhalte, Formular- und Ticketdaten, Dateien, Kalenderdaten, Nutzungs- und technische Metadaten sowie vom Kunden angelegte Custom Properties.

(2) Betroffene Personen sind typischerweise Kunden, Interessenten, Mitarbeiter, Lieferanten und sonstige Kontaktpersonen des Auftraggebers sowie Endnutzer öffentlicher Formulare und des Support-Widgets.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden von YOWO7 nicht aktiv erhoben. Speichert der Kunde solche Daten, bleibt er für Rechtmäßigkeit und Weisungen verantwortlich.

§ 4 Pflichten von YOWO7

• Verarbeitung nur auf dokumentierte Weisung des Kunden, sofern nicht eine gesetzliche Verpflichtung entgegensteht
• Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe § 6)
• Unterstützung des Kunden bei Betroffenenrechten, Sicherheitsvorfällen und – soweit zumutbar – bei Datenschutz-Folgenabschätzungen
• Information des Kunden, wenn eine Weisung nach Auffassung von YOWO7 gegen Datenschutzrecht verstößt

§ 5 Weisungen

(1) Weisungen erfolgen über die Plattformfunktionen, die dokumentierten APIs sowie in Textform an hello@yowo7.com. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

(2) Der Kunde stellt sicher, dass seine Weisungen rechtmäßig sind und er über die erforderlichen Rechte an den Daten verfügt.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

YOWO7 trifft angemessene TOMs, einschließlich Verschlüsselung in Transit und at Rest, EU-Hosting der Kernsysteme, Zugriffskontrolle, Malware-Scan bei Uploads, Audit-Logs und Backup-Verfahren. Eine Übersicht findet sich unter https://www.yowo7.com/security. YOWO7 darf TOMs fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung zur Einschaltung der in der aktuellen Subprozessor-Liste (https://www.yowo7.com/subprocessors) genannten Unterauftragsverarbeiter.

(2) YOWO7 verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das Datenschutzniveau dieser AVV.

(3) YOWO7 informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage vor ihrem Wirksamwerden per E-Mail an den Workspace-Owner und durch Aktualisierung der Subprozessor-Liste. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt.

(4) Bei einem fristgerechten Widerspruch bemüht sich YOWO7 um eine zumutbare Abhilfe, etwa den Verzicht auf den Unterauftragsverarbeiter für die Daten des Kunden oder die Einschränkung des betroffenen Dienstes. Ist eine Abhilfe nicht zumutbar möglich, kann jede Partei den Vertrag hinsichtlich der betroffenen Leistung oder insgesamt zum Wirksamwerden der Änderung kündigen; im Voraus bezahlte Entgelte werden anteilig erstattet.

(5) Ist ein Wechsel aus dringenden Gründen der Sicherheit oder Verfügbarkeit oder wegen des unvorhergesehenen Wegfalls eines Anbieters kurzfristig erforderlich, kann die Information ausnahmsweise unverzüglich nach dem Wechsel erfolgen; das Widerspruchsrecht nach Abs. 3 und 4 bleibt unberührt.

§ 8 Drittlandübermittlungen

Speicherung und Backend (Anwendung, Datenbank, Dateien, Plattform-E-Mail, KI) werden in der EU bei Amazon Web Services in Frankfurt (eu-central-1) betrieben. Die Serverfunktionen der Web-Frontends laufen bei Vercel Inc. in der Region Frankfurt (fra1). Statische Inhalte werden über das globale CDN von Vercel vom nächstgelegenen Edge-Standort ausgeliefert, sodass Anfragen auch an Standorten außerhalb der EU verarbeitet werden können; für Vercel gelten das EU-US Data Privacy Framework sowie Standardvertragsklauseln (SCC). Soweit Hilfsdienste Daten in Drittländer, insbesondere die USA, übermitteln, erfolgt dies nur mit geeigneten Garantien (EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln). Die Zuordnung je Anbieter steht in der Subprozessor-Liste.

§ 9 Unterstützung bei Betroffenenrechten und DSFA

(1) YOWO7 unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, Anfragen Betroffener zu beantworten, soweit sich die Anfragen auf Daten beziehen, die YOWO7 im Auftrag verarbeitet. Anfragen, die YOWO7 direkt erreichen und erkennbar den Kunden betreffen, leitet YOWO7 unverzüglich weiter.

(2) Bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde unterstützt YOWO7 den Kunden im erforderlichen und zumutbaren Umfang.

§ 10 Meldepflicht bei Verletzungen

YOWO7 meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem YOWO7 Kenntnis erlangt hat, und stellt die für die Meldung an Aufsichtsbehörde und Betroffene erforderlichen Informationen soweit verfügbar bereit.

§ 11 Löschung und Rückgabe

(1) Nach Ende der Auftragsverarbeitung löscht YOWO7 die Kundendaten oder gibt sie nach Wahl des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Nach Vertragsende kann der Kunde seine Daten noch 30 Tage lang exportieren (Exportfrist). Ist der Workspace nicht mehr zugänglich, wendet sich der Kunde dazu an hello@yowo7.com. Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format.

(3) Nach Ablauf der Exportfrist löscht YOWO7 die Kundendaten in den Produktivsystemen innerhalb von 14 Tagen endgültig.

(4) Kopien in Datensicherungen (Datenbank-Backups einschließlich Point-in-Time-Recovery sowie frühere Dateiversionen) werden spätestens 30 Tage nach der Löschung der Daten in den Produktivsystemen automatisch endgültig entfernt. Bis dahin sind sie verschlüsselt und zugriffsbeschränkt und werden nur zur Wiederherstellung verwendet.

(5) Auf Anfrage bestätigt YOWO7 die Löschung in Textform.

(6) Daten, die YOWO7 als Verantwortlicher verarbeitet (insbesondere Rechnungs- und Vertragsdaten), unterliegen den gesetzlichen Aufbewahrungsfristen; für sie gilt die Datenschutzerklärung.

§ 12 Nachweis und Audit

YOWO7 stellt dem Kunden auf Anfrage geeignete Nachweise zur Verfügung (z. B. Beschreibungen der TOMs, Auskünfte zu Subprozessoren). Audits erfolgen vorrangig remote anhand dokumentierter Informationen. Vor-Ort-Audits sind bei berechtigtem Anlass und nach angemessener Ankündigung möglich, während der Geschäftszeiten und ohne Störung des Betriebs; Kosten trägt der Kunde, sofern kein erheblicher Mangel festgestellt wird.

§ 13 Vertraulichkeit

YOWO7 behandelt Kundendaten vertraulich und nutzt sie nicht für eigene Zwecke außerhalb der weisungsgebundenen Auftragsverarbeitung und der vertraglich vereinbarten Plattformfunktionen.

§ 14 Haftung

Die Haftung der Parteien richtet sich nach den AGB, soweit gesetzlich zulässig, und nach den zwingenden Vorschriften der DSGVO.

§ 15 Schlussbestimmungen

(1) Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts, soweit zwingendes Datenschutzrecht dem nicht entgegensteht.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Bei Widersprüchen zwischen dieser AVV und den AGB gehen die datenschutzrechtlichen Bestimmungen dieser AVV vor.

(4) Diese AVV liegt in deutscher und englischer Sprache vor. Bei Abweichungen zwischen den Fassungen ist die deutsche Fassung maßgeblich.