Auftragsverarbeitungsvertrag

Auftraggeber (Verantwortlicher): der Inhaber des Metrilens-Kontos, der eine Odoo-Verbindung hinterlegt.

Auftragnehmer (Auftragsverarbeiter): Roland Lindorfer, Körnerstraße 46/2, 4020 Linz, Österreich — siehe Impressum.

Gegenstand ist der Betrieb einer Metrilens-Instanz, die die Odoo-Datenbank des Auftraggebers ausschließlich lesend abfragt und daraus Kennzahlen darstellt. Ein weitergehender Zweck besteht nicht; insbesondere findet keine Auswertung zu eigenen Zwecken des Auftragnehmers statt.

Die Verarbeitung dauert so lange, wie das Konto besteht. Sie endet mit dessen Löschung (§ 8).

Welche personenbezogenen Daten verarbeitet werden, bestimmt der Auftraggeber durch die Wahl der Odoo-Instanz und der genutzten Auswertungen. Typischerweise sind das: Stammdaten von Kunden und Lieferanten (Name, Anschrift, Kontaktdaten), Belegdaten (Rechnungen, Aufträge, Lieferungen), Zuordnungen zu Mitarbeitern in der Vertriebs- und Personalauswertung.

Betroffene sind demnach Kunden, Lieferanten, Interessenten und Beschäftigte des Auftraggebers.

Die Daten werden nicht dauerhaft gespeichert. Sie werden für die Dauer einer Abfrage verarbeitet und an den Browser des Auftraggebers ausgeliefert. Dauerhaft abgelegt werden nur die Zugangsdaten zur Odoo-Instanz, verschlüsselt.

Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung. Als Weisung gelten dieser Vertrag sowie die Einstellungen, die der Auftraggeber in der Anwendung vornimmt.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.

Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet. Der Auftragnehmer ist ein Einzelunternehmen; ein Zugriff auf Instanzdaten erfolgt nur, wenn der Auftraggeber ihn zur Fehlersuche anfordert, und wird protokolliert.

Eine ausführliche Beschreibung dessen, was die Software technisch nicht kann, steht unter Sicherheit.

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Änderungen werden mindestens 30 Tage vorher mitgeteilt; der Auftraggeber kann widersprechen und in diesem Fall außerordentlich kündigen.

KI-Anbieter sind keine Unterauftragsverarbeiter dieses Vertrags. Sie sind standardmäßig aus. Aktiviert der Auftraggeber einen externen Anbieter, beauftragt er diesen selbst und verantwortet die Rechtsgrundlage dafür — die übergebenen Inhalte verlassen dann unsere Infrastruktur.

Der Auftraggeber kann sein Konto jederzeit selbst löschen. Dabei werden Sitzungen und Lizenzen sofort widerrufen, Instanz und Datenträger entfernt und anschließend überprüft, ob beides tatsächlich fehlt. Erst diese Prüfung erzeugt den Löschbeleg, der an die bisherige Adresse geht.

Eine Rückgabe von Daten entfällt: Es gibt keinen Datenbestand beim Auftragnehmer, der zurückzugeben wäre — die Geschäftsdaten liegen durchgehend im Odoo des Auftraggebers.

Ausgenommen sind Rechnungsdaten, die der siebenjährigen Aufbewahrungspflicht unterliegen. Sie werden vom Konto entkoppelt aufbewahrt.

Der Auftragnehmer unterstützt bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33 f. Eine Verletzung des Schutzes personenbezogener Daten wird unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, gemeldet.

Der Auftraggeber darf die Einhaltung überprüfen. Der Auftragnehmer stellt dazu die Angaben dieses Vertrags, das Verarbeitungsverzeichnis und die Prüfprotokolle bereit. Da die Software quelloffen ausgeliefert wird, lassen sich die genannten Maßnahmen zusätzlich am Quelltext nachvollziehen.

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Gerichtsstand ist Linz. Ergänzend gelten die AGB. Widersprechen sich AGB und dieser Vertrag in Fragen der Datenverarbeitung, geht dieser Vertrag vor.