Auftragsverarbeitungsvereinbarung (AVV)

§ 1 Parteien und Rollen

Auftraggeber (Verantwortlicher) ist der Kunde, der einen YOWO7-Workspace nutzt. Auftragsverarbeiter ist Markus Holzner, betreibend YOWO7, Kinderheimgasse 76, 2732 Willendorf, Österreich (nachfolgend „YOWO7“).

Soweit YOWO7 personenbezogene Daten im Auftrag des Kunden verarbeitet, handelt YOWO7 als Auftragsverarbeiter. Für Website, Accounts, Billing und eigenen Support handelt YOWO7 als Verantwortlicher; dies regelt die Datenschutzerklärung.

§ 2 Gegenstand, Dauer und Art der Verarbeitung

Gegenstand ist die Bereitstellung der SaaS-Plattform YOWO7 (u. a. CRM, Inbox, Formulare, Support-Widget, Chat, Projekte, Dateien, Kalender, Sales, Automatisierung, API/MCP) einschließlich Hosting, Speicherung, Übertragung und unterstützender KI-Funktionen nach Weisung des Kunden.

Die Dauer entspricht der Vertragslaufzeit zuzüglich der Fristen für Löschung oder Rückgabe nach Vertragsende.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Übermitteln, Löschen und sonstige für den Betrieb erforderliche Verarbeitungsvorgänge.

§ 3 Kategorien personenbezogener Daten und Betroffener

Je nach Nutzung durch den Kunden können insbesondere folgende Datenarten betroffen sein: Kontaktdaten, Kommunikationsinhalte, Formular- und Ticketdaten, Dateien, Kalenderdaten, Nutzungs- und technische Metadaten sowie vom Kunden angelegte Custom Properties.

Betroffene Personen sind typischerweise Kunden, Interessenten, Mitarbeiter, Lieferanten und sonstige Kontaktpersonen des Auftraggebers sowie Endnutzer öffentlicher Formulare und des Support-Widgets.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden von YOWO7 nicht aktiv erhoben. Speichert der Kunde solche Daten, bleibt er für Rechtmäßigkeit und Weisungen verantwortlich.

§ 4 Pflichten von YOWO7

• Verarbeitung nur auf dokumentierte Weisung des Kunden, sofern nicht eine gesetzliche Verpflichtung entgegensteht
• Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe § 6)
• Unterstützung des Kunden bei Betroffenenrechten, Sicherheitsvorfällen und – soweit zumutbar – bei Datenschutz-Folgenabschätzungen
• Information des Kunden, wenn eine Weisung nach Auffassung von YOWO7 gegen Datenschutzrecht verstößt

§ 5 Weisungen

Weisungen erfolgen über die Plattformfunktionen, die dokumentierten APIs sowie schriftliche Mitteilungen an hello@yowo7.com. Mündliche Weisungen bedürfen der schriftlichen Bestätigung.

Der Kunde stellt sicher, dass seine Weisungen rechtmäßig sind und er über die erforderlichen Rechte an den Daten verfügt.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

YOWO7 trifft angemessene TOMs, einschließlich Verschlüsselung in Transit und at Rest, EU-Hosting der Kernsysteme, Zugriffskontrolle, Malware-Scan bei Uploads, Audit-Logs und Backup-Verfahren. Eine Übersicht findet sich unter https://www.yowo7.com/security. YOWO7 darf TOMs fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zur Einschaltung der in der aktuellen Subprozessor-Liste (https://www.yowo7.com/subprocessors) genannten Unterauftragsverarbeiter.

YOWO7 verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das Datenschutzniveau dieser AVV. Bei wesentlichen Änderungen der Liste informiert YOWO7 mit Vorlauf; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 8 Drittlandübermittlungen

Die Kernsysteme (Anwendung, Datenbank, Dateien, Plattform-E-Mail, KI) werden ausschließlich in der EU betrieben (AWS Frankfurt). Soweit Hilfsdienste Daten in Drittländer, insbesondere die USA, übermitteln, erfolgt dies nur mit geeigneten Garantien (EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln). Die Zuordnung je Anbieter steht in der Subprozessor-Liste.

§ 9 Unterstützung bei Betroffenenrechten und DSFA

YOWO7 unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, Anfragen Betroffener zu beantworten, soweit sich die Anfragen auf Daten beziehen, die YOWO7 im Auftrag verarbeitet. Anfragen, die YOWO7 direkt erreichen und erkennbar den Kunden betreffen, leitet YOWO7 unverzüglich weiter.

Bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde unterstützt YOWO7 den Kunden im erforderlichen und zumutbaren Umfang.

§ 10 Meldepflicht bei Verletzungen

YOWO7 meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem YOWO7 Kenntnis erlangt hat, und stellt die für die Meldung an Aufsichtsbehörde und Betroffene erforderlichen Informationen soweit verfügbar bereit.

§ 11 Löschung und Rückgabe

Nach Ende der Auftragsverarbeitung löscht YOWO7 die Kundendaten oder gibt sie nach Wahl des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Exportmöglichkeiten der Plattform bleiben während der Vertragslaufzeit und einer angemessenen Nachfrist nutzbar. Backup-Kopien werden im Rahmen der üblichen Backup-Zyklen überschrieben.

§ 12 Nachweis und Audit

YOWO7 stellt dem Kunden auf Anfrage geeignete Nachweise zur Verfügung (z. B. Beschreibungen der TOMs, Auskünfte zu Subprozessoren). Audits erfolgen vorrangig remote anhand dokumentierter Informationen. Vor-Ort-Audits sind bei berechtigtem Anlass und nach angemessener Ankündigung möglich, während der Geschäftszeiten und ohne Störung des Betriebs; Kosten trägt der Kunde, sofern kein erheblicher Mangel festgestellt wird.

§ 13 Vertraulichkeit

YOWO7 behandelt Kundendaten vertraulich und nutzt sie nicht für eigene Zwecke außerhalb der weisungsgebundenen Auftragsverarbeitung und der vertraglich vereinbarten Plattformfunktionen.

§ 14 Haftung

Die Haftung der Parteien richtet sich nach den AGB, soweit gesetzlich zulässig, und nach den zwingenden Vorschriften der DSGVO.

§ 15 Schlussbestimmungen

Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts, soweit zwingendes Datenschutzrecht dem nicht entgegensteht.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Bei Widersprüchen zwischen dieser AVV und den AGB gehen die datenschutzrechtlichen Bestimmungen dieser AVV vor.