AGB und Auftragsverarbeitervertrag

Zuletzt aktualisiert: Juli 2026

Inhaltsverzeichnis #

TEIL A — ALLGEMEINE GESCHÄFTSBEDINGUNGEN #

1. Geltungsbereich, Vertragspartner, Änderung der AGB #

1.1. Diese Allgemeinen Geschäftsbedingungen („AGB") gelten für alle Verträge über die Bereitstellung und Nutzung der eos-Plattform zwischen der eos GmbH (kurz eos) und ihren Kunden. Die Sonderbedingungen im Anhang gelten, soweit der Kunde die dort genannten Leistungen bezieht.

1.2. Abweichende Geschäftsbedingungen des Kunden gelten nicht, auch wenn eos ihnen nicht ausdrücklich widerspricht. Individuelle Sondervereinbarungen gehen diesen AGB vor; dies gilt nicht für vorformulierte Vertragsbedingungen des Kunden.

1.3. Die Leistungen von eos richten sich ausschließlich an Unternehmer im Sinne des § 1 UGB sowie an juristische Personen des öffentlichen Rechts. Der Kunde sichert mit der Registrierung zu, dass er den Vertrag im Rahmen seiner unternehmerischen Tätigkeit abschließt.

1.4. Maßgeblich bei Neuabschlüssen ist die im Zeitpunkt des Vertragsschlusses geltende Fassung. Gegenüber Bestandskunden ist eine Änderung zulässig bei nachträglich eingetretenen, unvorhersehbaren Änderungen, die eos nicht veranlasst hat und auf die sie keinen Einfluss hat, bei Änderungen der Rechtslage sowie bei Lücken, die zu Schwierigkeiten bei der Durchführung des Vertrages führen.

1.5. eos übermittelt die geänderten AGB mindestens sechs Wochen vor Inkrafttreten in Textform und benennt dabei Anlass und Umfang der Änderung. Widerspricht der Kunde nicht vor Inkrafttreten in Textform, gilt die Änderung als angenommen; hierauf wird eos in der Mitteilung ausdrücklich hinweisen. Bei rechtzeitigem Widerspruch gelten die bisherigen AGB weiter; beide Parteien können den Vertrag dann nach Punkt 10.2 kündigen.

1.6. Textform ist gewahrt durch Schreiben, E-Mail an die hinterlegte Adresse oder Mitteilung innerhalb der eos-Plattform, sofern die Person des Erklärenden erkennbar ist.

2. Registrierung, Benutzerkonto und Organisationen #

2.1. Die Nutzung setzt die Registrierung eines Benutzerkontos voraus. Der Kunde hat wahrheitsgemäße und vollständige Angaben zu machen und Änderungen unverzüglich in der Plattform zu aktualisieren.

2.2. Der Kunde kann Organisationen anlegen und weitere Benutzer hinzufügen. Vertragspartner von eos ist der Rechtsträger, der die Organisation betreibt und dem der Billing Account zugeordnet ist. Der Kunde stellt sicher, dass die von ihm hinzugefügten Benutzer zu ihren Handlungen berechtigt sind; deren Handlungen werden dem Kunden zugerechnet.

2.3. Die Vergabe und Verwaltung von Rollen und Zugriffsberechtigungen innerhalb einer Organisation obliegt allein dem Kunden, insbesondere für administrative Rollen und die Einsicht in das Audit-Log.

2.4. Der Kunde hat seine Zugangsdaten geheim zu halten und angebotene Sicherheitsfunktionen wie die Zwei-Faktor-Authentifizierung zu nutzen. Er informiert eos unverzüglich bei Anhaltspunkten für eine Kompromittierung. Der Kunde ist für jeglichen Missbrauch seiner Zugangsdaten verantwortlich, den er zu vertreten hat.

3. Zustandekommen von Verträgen, Kommunikation #

3.1. Angebote und telefonische Auskünfte sind unverbindlich, sofern nicht anders gekennzeichnet. Maßgeblich sind die auf diese Webseite veröffentlichten Angebote und Leistungsbeschreibungen in ihrer jeweils geltenden Fassung.

3.2. Der Vertrag über eine kostenpflichtige Leistung kommt zustande, indem der Kunde die Leistung über die Plattform bestellt und eos die Bestellung bestätigt oder mit der Leistungserbringung beginnt.

3.3. Informationen zu laufenden Verträgen übermittelt eos per E-Mail an die hinterlegte Adresse oder innerhalb der Plattform. Zugangsdaten werden nicht per E-Mail übermittelt.

3.4. Der Kunde hat sicherzustellen, dass die hinterlegte E-Mail-Adresse aktuell und empfangsbereit ist. Mitteilungen gelten als zugegangen, wenn sie an diese Adresse abgesendet oder in der Plattform bereitgestellt wurden.

4. Leistungsumfang, Verfügbarkeit und Änderungen #

4.1. eos stellt Rechen-, Speicher- und Netzwerkressourcen sowie zugehörige Verwaltungsfunktionen bereit. Der Leistungsumfang ergibt sich aus der jeweiligen Leistungsbeschreibung.

4.2. eos erbringt die Leistungen mit der Sorgfalt eines ordentlichen Unternehmers. eos ist dabei auf Infrastrukturen angewiesen, die von Dritten betrieben werden; Störungen, deren Ursache außerhalb des Einflussbereiches von eos liegt, insbesondere Störungen des Internets oder Fälle höherer Gewalt, begründen keine Leistungsstörung.

4.3. Eine bestimmte Verfügbarkeit wird nur geschuldet, soweit ein Service Level gesondert vereinbart und vergütet ist. Ohne eine solche Vereinbarung besteht kein Anspruch auf eine bestimmte Verfügbarkeit.

4.4. Ist ein Service Level vereinbart, ergeben sich dessen Bedingungen aus der jeweiligen Produktbeschreibung. Als Nichtverfügbarkeit gelten nicht:

• Unterbrechungen durch Störungen im Bereich Dritter, auf die eos keinen Einfluss hat
• Unterbrechungen durch höhere Gewalt
• angekündigte Wartungsfenster
• kurzfristige Unterbrechungen zur Abwehr konkreter Gefährdungen durch Sicherheitslücken
• Unterbrechungen, die auf einer Konfiguration oder einem Verhalten des Kunden beruhen

Wird ein vereinbartes Service Level nicht eingehalten, erhält der Kunde eine Gutschrift auf sein Kundenkonto. Die Gutschrift ist innerhalb eines Monats nach Ende des betroffenen Kalendermonats in Textform geltend zu machen und beträgt höchstens 100 % des Monatsentgelts der betroffenen Leistung. Die Gutschrift ist der ausschließliche Rechtsbehelf des Kunden bei Nichteinhaltung eines Service Levels.

4.5. eos führt regelmäßig Wartungs- und Servicearbeiten durch und legt damit verbundene Ausfälle nach Möglichkeit in Zeiten geringer Nachfrage.

4.6. Durch Software-Updates können sich Umfang und Ausgestaltung der Leistungen ändern; dadurch können Anpassungen an vom Kunden betriebenen Anwendungen erforderlich werden. Macht eine solche Änderung für den Kunden unzumutbare Anpassungen erforderlich, kann dieser den betroffenen Vertrag außerordentlich kündigen.

4.7. eos ist berechtigt, die geschuldeten Leistungen ganz oder teilweise durch Dritte erbringen zu lassen. Für den Einsatz weiterer Auftragsverarbeiter gilt Teil B Kapitel 8.

4.8. Der Kunde wählt die Verarbeitungsregion innerhalb der Plattform selbst aus. Näheres regelt Teil B Punkt 1.3 und 1.4.

4.9. Ein Wechsel in einen Tarif mit größerem Leistungsumfang ist jederzeit möglich. Mit dem Wechsel gilt die zu diesem Zeitpunkt geltende Leistungsbeschreibung; eine laufende Mindestlaufzeit bleibt unberührt. Nicht verbrauchte Vorauszahlungen werden angerechnet.

4.10. Support erbringt eos über die in der Plattform bereitgestellten Supportkanäle, soweit nicht anders vereinbart.

5. Testphase #

5.1. eos kann die Plattform oder einzelne Funktionen im Rahmen einer kostenlosen Testphase bereitstellen. Für solche Leistungen gelten die nachfolgenden Regelungen vorrangig.

5.2. Während der Testphase besteht kein Anspruch auf eine bestimmte Verfügbarkeit. Funktionen können jederzeit geändert, eingeschränkt oder eingestellt werden.

5.3. Beide Parteien können die Teilnahme jederzeit ohne Angabe von Gründen und ohne Frist beenden. eos informiert über das Ende der Testphase rechtzeitig und räumt eine angemessene Frist zur Datensicherung ein. Nach Ablauf dieser Frist werden die im Rahmen der Testphase betriebenen Ressourcen und die darin enthaltenen Daten gelöscht.

5.4. Der Kunde wird während der Testphase keine produktiven Systeme betreiben und keine Daten einbringen, deren Verlust einen erheblichen Schaden verursachen würde. Die Haftung von eos für Leistungen der Testphase ist auf Vorsatz beschränkt.

5.5. Eine über die Fehleranalyse hinausgehende Auswertung des Nutzungsverhaltens erfolgt ausschließlich auf Grundlage einer gesondert erteilten, jederzeit widerrufbaren Einwilligung. Der Widerruf führt nicht zum Ausschluss aus dem Testprogramm. Einzelheiten regelt die Datenschutzerklärung.

6. Entgelte und Zahlungsbedingungen #

6.1. Nutzungsunabhängige Entgelte sind im Voraus für die in der Leistungsbeschreibung genannte Abrechnungsperiode zu zahlen, nutzungsabhängige Entgelte nach Ende des Abrechnungszeitraums.

6.2. Alle Preise verstehen sich zuzüglich Umsatzsteuer. Die Abrechnung erfolgt in der im Billing Account gewählten Währung.

6.3. Die Zahlung erfolgt über die in der Plattform angebotenen Zahlungsarten. eos setzt hierfür externe Zahlungsdienstleister ein. Ein erteiltes SEPA-Lastschriftmandat gilt auch für neu hinterlegte Bankverbindungen und ist jederzeit widerruflich.

6.4. Rechnungen sind innerhalb von 14 Tagen ab Zugang ohne Abzug fällig.

6.5. Bei Zahlungsverzug ist eos berechtigt, Verzugszinsen nach § 456 UGB zu verrechnen. Für Betreibungskosten gilt § 1333 Abs. 2 ABGB; die pauschale Entschädigung nach § 458 UGB bleibt unberührt. Die tatsächlichen Kosten vom Kunden verursachter Rücklastschriften kann eos weiterverrechnen.

6.6. Gerät der Kunde mit einem nicht unerheblichen Teil des Entgelts in Verzug, kann eos ihre Leistungen nach vorheriger Ankündigung und Setzung einer angemessenen Nachfrist einschränken oder sperren. Die Ankündigung enthält den Hinweis auf die Löschung nach Punkt 10.5.

6.7. Kommt der Kunde für zwei aufeinanderfolgende Abrechnungsperioden mit einem nicht unerheblichen Teil der Vergütung oder über mehr als zwei Monate mit einem Monatsentgelt in Verzug, kann eos das Vertragsverhältnis aus wichtigem Grund mit sofortiger Wirkung auflösen.

6.8. Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Gegenforderungen aufrechnen. Ein Zurückbehaltungsrecht steht ihm nur zu, soweit es auf demselben Vertragsverhältnis beruht.

6.9. eos kann die Preise zu Beginn eines neuen Abrechnungszeitraums mit einer Ankündigungsfrist von sechs Wochen in Textform ändern. Der Kunde kann den betroffenen Vertrag zum Zeitpunkt des Wirksamwerdens außerordentlich kündigen. Macht er hiervon nicht innerhalb von vier Wochen ab Zugang der Mitteilung Gebrauch, gilt die Änderung als genehmigt; hierauf wird eos ausdrücklich hinweisen.

7. Pflichten des Kunden und zulässige Nutzung #

7.1. Der Kunde ist für ausreichende Sicherungskopien der von ihm eingebrachten Daten verantwortlich. Soweit nicht ausdrücklich als Leistung vereinbart, führt eos keine Sicherung der Kundeninhalte durch.

7.2. Der Kunde hält bei der Nutzung der Plattform die maßgeblichen gesetzlichen Vorschriften ein und unterlässt Maßnahmen, die den Betrieb der Plattform oder die Nutzung durch andere Kunden beeinträchtigen können. Untersagt sind insbesondere:

• der massenhafte Versand unerbetener Nachrichten sowie Handlungen, die zur Aufnahme von eos-Adressbereichen in Sperrlisten führen können
• das Speichern und Zugänglichmachen von Inhalten, deren Verbreitung gegen geltendes Recht verstößt, insbesondere von Darstellungen sexuellen Missbrauchs Minderjähriger, von urheberrechtlich geschützten Inhalten ohne Berechtigung sowie von Inhalten, die zu Terrorismus, Gewalt oder Hass aufrufen oder gegen das Verbotsgesetz verstoßen
• das Schürfen von Kryptowährungen sowie vergleichbare Tätigkeiten, deren wirtschaftlicher Zweck überwiegend in der Umwandlung von Rechenleistung besteht
• Angriffe auf fremde Systeme, das Scannen fremder Netze, die Verbreitung von Schadsoftware sowie das Umgehen von Sicherheitsmaßnahmen der Plattform
• die Nutzung von Ressourcen in einem Umfang, der die vereinbarte oder in der Leistungsbeschreibung ausgewiesene Nutzung erheblich überschreitet

7.3. Der Kunde ist für die Rechtmäßigkeit der von ihm eingebrachten Inhalte und der von ihm betriebenen Anwendungen allein verantwortlich. Eine inhaltliche Prüfung durch eos findet nicht statt.

7.4. Der Kunde weist eos unverzüglich und mit aussagekräftigen Informationen auf festgestellte Fehlfunktionen hin.

7.5. Der Kunde stellt eos von Ansprüchen Dritter frei, die aus der Rechtswidrigkeit der von ihm eingebrachten Inhalte oder aus einer Verletzung seiner Pflichten nach diesem Punkt 7 resultieren, einschließlich der notwendigen Kosten der Rechtsverteidigung.

8. Meldungen, Sperrung und Beschränkungen #

8.1. eos unterhält unter abuse@eoscloud.io eine Kontaktstelle für Meldungen über rechtswidrige oder missbräuchliche Inhalte und Vorgänge, prüft eingehende Meldungen und trifft die erforderlichen Maßnahmen.

8.2. eos ist berechtigt, die bereitgestellten Leistungen ganz oder teilweise zu sperren, wenn der Kunde gegen Punkt 7 verstößt oder ein konkreter Verdacht besteht, wenn dies zur Abwehr einer erheblichen Gefahr für die Sicherheit der Plattform oder Dritter erforderlich ist oder wenn eine behördliche oder gerichtliche Anordnung vorliegt.

8.3. Soweit möglich, hört eos den Kunden vor einer Sperrung an; ist dies wegen Dringlichkeit nicht möglich, informiert eos unverzüglich nachträglich und gibt Gelegenheit zur Stellungnahme. Der Kunde erhält eine Begründung der Maßnahme unter Angabe der tragenden Umstände sowie einen Hinweis auf die Anfechtungsmöglichkeit. Die Sperrung ist aufzuheben, sobald der Verdacht entkräftet oder der Verstoß beseitigt ist.

9. Datenschutz #

9.1. Verarbeitet eos personenbezogene Daten im Auftrag des Kunden, gilt hierfür Teil B dieses Dokuments. Für Daten, die der Kunde auf der Plattform verarbeitet, ist er Verantwortlicher im Sinne der DSGVO und stellt sicher, dass er zur Verarbeitung und zur Übermittlung an eos berechtigt ist.

9.2. Über die Verarbeitungen, die eos als eigene Verantwortliche durchführt, informiert die Datenschutzerklärung unter Datenschutzerklärung eos.

9.3. Teil B ist als Anhang 1 integrierender Bestandteil dieser AGB. Bei Widersprüchen gehen dessen Regelungen vor. Punkt 1.4 und 1.5 finden auf Teil B keine Anwendung; Änderungen richten sich nach Teil B Punkt 9.2.

9.4. Kunden, die aus regulatorischen Gründen eine gesondert unterzeichnete Vereinbarung zur Auftragsverarbeitung benötigen, erhalten diese auf Anfrage.

10. Vertragslaufzeit, Kündigung, Datenrückgabe #

10.1. Verträge werden auf unbestimmte Zeit geschlossen, soweit nicht anders vereinbart.

10.2. Verträge auf unbestimmte Zeit sind von beiden Parteien mit einer Frist von einem Monat zum Monatsende kündbar, frühestens zum Ablauf einer vereinbarten Mindestlaufzeit. Verträge mit 24 Monaten Laufzeit verlängern sich um jeweils zwölf Monate, wenn sie nicht mit einer Frist von einem Monat zum Ende der Laufzeit gekündigt werden.

10.3. Steht einer Partei ein Sonderkündigungsrecht zu, ist der Vertrag unabhängig von einer Mindestlaufzeit mit einer Frist von einem Monat zum Monatsende kündbar.

10.4. Kündigungen erfolgen in Textform, insbesondere über die Kündigungsfunktion der Plattform. Außerhalb der Plattform muss die Person des Erklärenden eindeutig erkennbar sein; bei berechtigten Zweifeln behält sich eos Rückfragen vor.

10.5. Nach Beendigung des Vertragsverhältnisses stehen dem Kunden seine Daten für 14 Tage zum Export zur Verfügung, sofern nicht ein wichtiger Grund entgegensteht. Nach Ablauf dieser Frist werden die Ressourcen und die darin enthaltenen Daten gelöscht. Die Löschung aus Sicherungskopien erfolgt nach Teil B Punkt 3.10.

10.6. Das Recht zur Auflösung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für eos liegt insbesondere vor, wenn

• die Voraussetzungen des Punktes 6.7 erfüllt sind
• der Kunde zahlungsunfähig ist, über sein Vermögen ein Insolvenzverfahren eröffnet oder ein solcher Antrag mangels kostendeckenden Vermögens abgewiesen wurde
• der Kunde gegen wesentliche Vertragspflichten, insbesondere Punkt 7, verstößt und den Verstoß trotz Abmahnung nicht unverzüglich abstellt
• ein schwerwiegender Verstoß gegen Punkt 7.2 vorliegt, der die Fortsetzung unzumutbar macht; in diesem Fall ist eine Abmahnung entbehrlich

11. Gewährleistung und Haftung #

11.1. eos leistet Gewähr nach den gesetzlichen Bestimmungen. Der Kunde hat Mängel nach § 377 UGB unverzüglich zu rügen. Die Vermutung der Mangelhaftigkeit nach § 924 ABGB wird abbedungen.

11.2. eos haftet nicht für Schäden aufgrund von Störungen in technischen Systemen außerhalb ihres Einflussbereiches sowie für Schäden, die auf einer Verletzung von Pflichten des Kunden beruhen, insbesondere der Pflicht zur Sicherung der eingebrachten Daten. eos haftet ferner nicht für Schäden, die daraus entstehen, dass Dritte Sicherheitslücken ausnutzen, für die zum Zeitpunkt des Angriffs noch keine Abhilfe verfügbar war.

11.3. eos haftet nur für Vorsatz und grobe Fahrlässigkeit. Die Haftung für leichte Fahrlässigkeit ist ausgeschlossen. Die Haftung für Personenschäden bleibt unberührt.

11.4. Die Haftung für entgangenen Gewinn, mittelbare Schäden, Folgeschäden, Betriebsunterbrechung und Datenverlust ist im gesetzlich zulässigen Rahmen ausgeschlossen. Für Datenverlust haftet eos nur in jenem Umfang, der bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden zur Wiederherstellung erforderlich gewesen wäre.

11.5. Die Haftung von eos ist der Höhe nach begrenzt auf jenes Entgelt, das der Kunde in den zwölf Monaten vor dem schadensauslösenden Ereignis für die betroffene Leistung an eos gezahlt hat. Diese Begrenzung gilt je Schadensfall und insgesamt für alle Schadensfälle eines Kalenderjahres.

11.6. Ansprüche des Kunden gegen eos verfallen, wenn sie nicht binnen zwölf Monaten ab Kenntnis von Schaden und Schädiger gerichtlich geltend gemacht werden.

11.7. Die Beschränkungen der Punkte 11.3 bis 11.6 gelten nicht bei Vorsatz, bei Personenschäden sowie in Fällen zwingender gesetzlicher Haftung.

12. Schlussbestimmungen #

12.1. Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und der Verweisungsnormen des internationalen Privatrechts.

12.2. Erfüllungsort ist der Sitz von eos. Für alle Streitigkeiten wird die ausschließliche Zuständigkeit des für den Sitz von eos sachlich zuständigen Gerichtes vereinbart.

12.3. Änderungen und Ergänzungen bedürfen der Textform. Punkt 1.4, 1.5 und 9.3 bleiben unberührt.

12.4. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

12.5. Der Kunde kann Rechte und Pflichten aus dem Vertragsverhältnis nur mit vorheriger Zustimmung von eos übertragen. eos ist berechtigt, das Vertragsverhältnis auf ein verbundenes Unternehmen zu übertragen; dem Kunden steht in diesem Fall ein außerordentliches Kündigungsrecht zu.

Sonderbedingungen für virtuelle Server und Rechenressourcen #

S1.1. eos stellt virtuelle Maschinen und zugehörige Ressourcen bereit. Der Kunde erhält administrativen Zugriff auf die von ihm betriebenen Systeme.

S1.2. Der Kunde ist für die Konfiguration, Absicherung und Aktualisierung der von ihm betriebenen Systeme und Anwendungen verantwortlich, insbesondere für das Einspielen sicherheitsrelevanter Aktualisierungen des Betriebssystems und der von ihm installierten Software.

S1.3. Die dem Kunden zugewiesenen IP-Adressen können sich aus technischen Gründen ändern. Ein Anspruch auf Zuteilung oder Beibehaltung einer bestimmten IP-Adresse besteht nicht.

S1.4. Überschreitet der Kunde ein eingeräumtes Inklusivvolumen an Datenübertragung, fällt für jede weitere Einheit ein Entgelt in der in der Leistungsbeschreibung ausgewiesenen Höhe an.

TEIL B — VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG NACH ART 28 DSGVO #

(Anhang 1 zu den Allgemeinen Geschäftsbedingungen der eos GmbH)

eos GmbH
Feldkirchner Straße 140
9020 Klagenfurt
Österreich
FN 663176i
– „AN" – als Auftragsverarbeiter gemäß DSGVO

Der Kunde gemäß Teil A Punkt 2.2 – „AG" – als Verantwortlicher gemäß DSGVO

PRÄAMBEL #

Diese Vereinbarung ist integrierender Bestandteil der Allgemeinen Geschäftsbedingungen der eos GmbH und damit jedes zwischen AG und AN geschlossenen Vertrages. Sie konkretisiert die Verpflichtungen der Vertragspartner zum Datenschutz für alle bestehenden und zukünftigen Verträge, Leistungsbeschreibungen und Nutzungsbedingungen (zusammen „Verträge") zwischen AG und AN und findet Anwendung auf alle Tätigkeiten, bei denen Beschäftigte des AN oder durch den AN Beauftragte personenbezogene Daten („Daten") des AG als Verantwortlichen im Auftrag verarbeiten. Im Übrigen gelten die Bestimmungen und Begriffe der Verordnung (EU) 2016/679 („DSGVO") sowie das für die Verträge anwendbare nationale Datenschutzrecht.

Die Annahme erfolgt im Rahmen der Registrierung gemeinsam mit der Annahme der AGB in elektronischer Form nach Art 28 Abs 9 DSGVO. Kunden, die eine gesondert unterzeichnete Fassung benötigen, erhalten diese auf Anfrage.

Bei allen personenbezogenen Bezeichnungen gilt die gewählte Form gleichermaßen für alle Geschlechter.

1. Gegenstand, Ort und Dauer der Auftragsverarbeitung #

1.1. Gegenstand und Dauer des Auftrags, Art und Zweck, Ort der Verarbeitung, die verarbeiteten Datenkategorien und die Kategorien betroffener Personen ergeben sich aus den Verträgen. Dem AG obliegt das Verzeichnis nach Art 30 Abs 1 DSGVO, sofern nicht die Ausnahme nach Art 30 Abs 5 DSGVO greift; dem AN obliegt das Verzeichnis nach Art 30 Abs 2 DSGVO.

1.2. Der AN stellt dem AG mit der eos-Plattform eine Infrastruktur- und Verwaltungsumgebung zur Verfügung. Welche Daten der AG einbringt, zu welchen Zwecken er sie verarbeitet und wie lange er sie vorhält, bestimmt ausschließlich der AG. Der AN nimmt vom Inhalt der eingebrachten Daten keine Kenntnis und verarbeitet diese nur, soweit dies zur Erbringung der vereinbarten Leistungen erforderlich ist.

1.3. Über den Ort der Verarbeitung unter Berücksichtigung des Kapitels V DSGVO entscheidet ausschließlich der AG. Er weist den AN vertraglich, in Textform oder mittels selbst gewählter Konfiguration in der eos-Plattform an, die Verarbeitung innerhalb der EU bzw. des EWR oder in vom AG zu benennenden Regionen durchzuführen. Die vom AG gewählte Konfiguration gilt als Weisung im Sinne dieser Vereinbarung.

1.4. Der AN benennt dem AG die Region und das Land der Verarbeitung sowie die nach Kapitel 8 eingesetzten weiteren Auftragsverarbeiter. Die genaue Bezeichnung und Anschrift einzelner Rechenzentrumsstandorte gibt der AN aus Gründen der physischen Sicherheit und des Schutzes der Daten sämtlicher Kunden nicht bekannt. Die Parteien halten fest, dass die Angabe von Region, Land und weiteren Auftragsverarbeitern für die Beurteilung der Rechtmäßigkeit der Verarbeitung, insbesondere nach Kapitel V DSGVO, ausreichend ist.

1.5. Die Laufzeit der Auftragsverarbeitung richtet sich nach der Laufzeit der Verträge, sofern sich nicht aus dieser Vereinbarung oder aus dem Gesetz darüberhinausgehende Verpflichtungen ergeben.

2. Anwendungsbereich und Verantwortlichkeit #

2.1. Der AN verarbeitet Daten im Auftrag des AG im Umfang der Verträge. Der AG ist für die Einhaltung der datenschutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Verarbeitung und der Datenweitergabe an den AN, allein verantwortlich.

2.2. Die Weisungen des AG werden durch die Verträge festgelegt und können durch Konfiguration in der eos-Plattform sowie durch Erklärung in Textform geändert, ergänzt oder ersetzt werden.

2.3. Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, die der AN als eigener Verantwortlicher durchführt, insbesondere die Verwaltung der Benutzerkonten und Organisationen, die Abrechnung, die Protokollierung zur Sicherheit der Plattform sowie die Erhebung technischer Betriebskennzahlen. Hierüber informiert die Datenschutzerklärung des AN.

3. Pflichten des AN als Auftragsverarbeiter #

3.1. Der AN verarbeitet Daten und Verarbeitungsergebnisse nur im Rahmen des Auftrages und der Weisungen des AG, außer es liegt ein Ausnahmefall nach Art 28 Abs 3 lit a DSGVO vor. Der AN informiert den AG unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt, und darf deren Umsetzung bis zur Klärung aussetzen.

3.2. Der AN verpflichtet sich zur Sicherheit der Verarbeitung nach Art 32 Abs 1 lit a bis c DSGVO und gewährleistet nach Art 32 Abs 1 lit d DSGVO ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen. Einzelheiten ergeben sich aus ANHANG 1. Die auftragsspezifische Ausgestaltung ergibt sich aus den in den Verträgen vereinbarten Leistungen. Eine Änderung der Sicherheitsmaßnahmen bleibt dem AN ohne gesonderte Ankündigung vorbehalten, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

3.3. Die Maßnahmen gemäß ANHANG 1 gelten unternehmensgruppenweit und damit auch für den AN. Die dem Betrieb der eos-Plattform zugrunde liegende Infrastruktur wird von den in ANHANG 2 genannten weiteren Auftragsverarbeitern betrieben. Die in ANHANG 1 angeführten Zertifizierungen beziehen sich auf die dort genannten Teile der Unternehmensgruppe und den Rechenzentrumsbetrieb; der AN selbst unterliegt keiner eigenen Zertifizierung nach diesen Normen.

3.4. Der AN gewährleistet, dass den mit der Verarbeitung befassten Personen die unbefugte Verarbeitung untersagt ist (Datengeheimnis entsprechend § 6 DSG). Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

3.5. Ein Zugriff von Mitarbeitern des AN auf die vom AG eingebrachten Daten erfolgt ausschließlich, soweit dies zur Erbringung der vereinbarten Leistungen, zur Bearbeitung einer Support-Anfrage des AG oder zur Abwehr einer konkreten Gefahr für die Sicherheit der Plattform erforderlich ist. Derartige Zugriffe werden protokolliert.

3.6. Der AN unterstützt den AG im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen nach Kapitel III DSGVO sowie bei der Einhaltung der Pflichten nach Art 32 bis 36 DSGVO im Rahmen der technischen und organisatorischen Machbarkeit. Für Unterstützungsleistungen, die über den vereinbarten Leistungsumfang hinausgehen, kann der AN eine angemessene Vergütung verlangen.

3.7. Der AN unterrichtet den AG unverzüglich, wenn ihm Verletzungen des Schutzes der Daten des AG bekannt werden, trifft die erforderlichen Maßnahmen zur Sicherung der Daten und spricht sich hierzu unverzüglich mit dem AG ab.

3.8. Der AN berichtigt oder löscht die vertragsgegenständlichen Daten auf Weisung des AG, soweit dies vom Weisungsrahmen umfasst ist. Ist eine datenschutzkonforme Löschung nicht möglich, übernimmt der AN auf Einzelweisung die datenschutzkonforme Vernichtung betroffener Datenträger oder gibt diese an den AG zurück.

3.9. Nach Vertragsende werden Daten, Datenträger und sonstige Materialien auf Verlangen des AG analog Punkt 3.8 herausgegeben oder gelöscht.

3.10. Löscht der AG Daten selbst über die Funktionen der eos-Plattform, werden diese aus den aktiven Systemen unverzüglich und aus turnusmäßigen Sicherungskopien spätestens innerhalb von 30 Tagen entfernt. Zusätzliche Kosten durch davon abweichende, marktunübliche und nicht aus geltendem Recht oder aus den Verträgen resultierende Vorgaben des AG trägt der AG.

3.11. Im Falle einer Inanspruchnahme des AG durch eine betroffene Person nach Art 82 DSGVO unterstützt der AN den AG bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten.

4. Pflichten des AG als Verantwortlicher #

4.1. Der AG stellt sicher, dass die Verarbeitung nach den Grundsätzen des Kapitels II DSGVO erfolgt und dass die Maßnahmen nach ANHANG 1 sowie die sich aus den Verträgen ergebenden Maßnahmen unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen ein angemessenes Schutzniveau bieten.

4.2. Der AG ist für die Konfiguration der von ihm genutzten Ressourcen allein verantwortlich, insbesondere für die Wahl der Verarbeitungsregion, die Vergabe von Rollen und Zugriffsberechtigungen, die Verwaltung der Zugangsdaten seiner Benutzer sowie die Sicherung der eingebrachten Daten, soweit die Sicherung nicht ausdrücklich als Leistung vereinbart ist.

4.3. Der AG informiert den AN unverzüglich und vollständig, wenn er Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.

4.4. Im Falle einer Inanspruchnahme des AG nach Art 82 DSGVO gilt Punkt 3.11 sinngemäß.

5. Datenschutzbeauftragter und Kontakt #

5.1. Datenschutzfragen können jederzeit per E-Mail an data-protection@anexia-it.com gestellt werden. Die Unternehmensgruppe, der der AN angehört, hat einen gemeinsamen Datenschutzbeauftragten gemäß Art 37 Abs 2 DSGVO benannt, der für den AG als Hauptansprechpartner zu Datenschutzfragen fungiert. Name und Kontaktdaten werden jeweils aktuell auf der Unternehmenshomepage veröffentlicht.

5.2. Der AG nennt dem AN einen oder mehrere Ansprechpartner für Datenschutzfragen.

6. Anfragen betroffener Personen #

6.1. Wendet sich eine betroffene Person mit Forderungen nach Kapitel III DSGVO an den AN, verweist dieser sie an den AG, sofern eine Zuordnung möglich ist, und leitet den Antrag unverzüglich weiter. Der AN unterstützt den AG bei der Erfüllung von Betroffenenanfragen im Rahmen seiner Möglichkeiten und auf Weisung des AG.

6.2. Der AN haftet nicht, wenn das Ersuchen der betroffenen Person vom AG nicht, nicht richtig oder nicht fristgerecht beantwortet wird.

7. Nachweismöglichkeiten und Inspektionsrechte #

7.1. Der AN weist die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten auf Anfrage des AG mit geeigneten Mitteln nach. Dies kann umfassen:

• das aktualisierte Verzeichnis der technischen und organisatorischen Maßnahmen (ANHANG 1)
• Datenschutzzertifizierungen, soweit vorhanden
• Berichte über durchgeführte Sicherheitsüberprüfungen, soweit vorhanden und soweit deren Weitergabe die Sicherheit der Plattform nicht beeinträchtigt

7.2. Die Parteien halten fest, dass die Nachweise nach Punkt 7.1 den Kontroll- und Inspektionsrechten des AG regelmäßig genügen. Reichen sie im Einzelfall nachweislich nicht aus, kann der AG eine Inspektion verlangen. Diese ist mit einer Vorlaufzeit von mindestens vier Wochen anzukündigen, auf einen Termin pro Kalenderjahr begrenzt und auf den Gegenstand beschränkt, der durch die Nachweise nicht abgedeckt ist. Der AN kann für den entstehenden Personalaufwand eine angemessene Vergütung verlangen. Da der AN keine eigenen Rechenzentrumsstandorte betreibt, richten sich Inspektionen der physischen Infrastruktur nach den Regelungen des jeweiligen weiteren Auftragsverarbeiters gemäß ANHANG 2.

7.3. Der AN kann Inspektionen von der Unterzeichnung einer Vertraulichkeitsvereinbarung hinsichtlich firmeninterner Informationen, der Daten anderer Kunden und der eingerichteten Maßnahmen abhängig machen. Steht der beauftragte Prüfer in einem Wettbewerbsverhältnis zum AN, hat der AN ein Einspruchsrecht; der AG stimmt in diesem Fall der Benennung eines unabhängigen externen Prüfers durch den AN zu, dessen Bericht dem AG zur Verfügung gestellt wird.

7.4. Zwingende Rechte nach der DSGVO gehen im Falle von Widersprüchen den Bestimmungen dieses Kapitels vor.

7.5. Nimmt eine Aufsichtsbehörde eine anlassbezogene Inspektion vor, ist eine Vertraulichkeitsvereinbarung nach Punkt 7.3 nicht erforderlich, sofern die Behörde bereits einer strafbewehrten Verschwiegenheitspflicht unterliegt.

8. Weitere Auftragsverarbeiter #

8.1. Der AG stimmt der Verarbeitung durch die in ANHANG 2 festgelegten Unternehmen als weitere Auftragsverarbeiter zu, soweit dies für die Leistungserbringung erforderlich ist. Dies umfasst insbesondere die Unternehmen, die die zugrunde liegende Infrastruktur bereitstellen. Der AN überbindet diesen sämtliche gesetzlichen und vertraglichen Datenschutzverpflichtungen vollinhaltlich. Für die Unternehmen der Unternehmensgruppe bestehen hierfür „Corporate Binding Rules" als verbindliches schriftliches Rechtsinstrument, eine gruppenweite Datenschutzrichtlinie sowie ein Datenschutzmanagementsystem.

8.2. Der AG erteilt dem AN die allgemeine schriftliche Genehmigung nach Art 28 Abs 2 DSGVO, weitere Auftragsverarbeiter hinzuzuziehen oder zu ersetzen. Der AN informiert den AG mindestens 30 Tage vor Wirksamwerden durch Mitteilung an die im Benutzerkonto hinterlegte E-Mail-Adresse sowie durch Aktualisierung des ANHANG 2. Der AG kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Kommt keine Einigung zustande, kann der AG die betroffene Leistung zum Zeitpunkt des Wirksamwerdens außerordentlich kündigen.

8.3. Ein Verhältnis als weiterer Auftragsverarbeiter liegt vor, wenn der AN weitere Unternehmen mit der ganzen oder einer Teilleistung beauftragt und dabei personenbezogene Daten des AG verarbeitet werden; dies umfasst auch den Betrieb der Infrastruktur. Nicht erfasst sind untergeordnete Nebenleistungen, bei denen die Tätigkeit nicht in der Verarbeitung personenbezogener Daten des AG liegt (z. B. Telekommunikations-, Post- oder Reinigungsdienstleistungen, Wachschutz).

9. Informationspflichten, Änderungen, Rechtswahl #

9.1. Werden die Daten des AG beim AN durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der AN den AG unverzüglich und weist die Beteiligten darauf hin, dass die Hoheit über die Daten ausschließlich beim AG liegt.

9.2. Änderungen dieser Vereinbarung sind nur zulässig, soweit sie zur Anpassung an geänderte rechtliche Vorgaben oder an Entscheidungen von Aufsichtsbehörden erforderlich sind und das Schutzniveau nicht verringern. Der AN informiert mindestens sechs Wochen vor Inkrafttreten in Textform. Punkt 1.4 und 1.5 der AGB finden keine Anwendung; Punkt 8.2 bleibt unberührt.

9.3. Bei datenschutzrechtlichen Widersprüchen gehen die Regelungen dieser Vereinbarung den AGB und den übrigen Verträgen vor. Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen nicht.

9.4. Es gilt österreichisches Recht.

10. Haftung #

Der AG und der AN haften gegenüber betroffenen Personen nach Art 82 DSGVO. Im Innenverhältnis zwischen den Parteien gelten ergänzend die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.

11. Vertraulichkeit #

Beide Parteien behandeln die Inhalte dieser Vereinbarung vertraulich. Ausgenommen sind gesetzliche Offenlegungspflichten gegenüber Behörden und in Verfahren sowie die Weitergabe an zur Vertraulichkeit verpflichtete Personen, Auditoren, weitere Auftragsverarbeiter und verbundene Unternehmen.

ANHANG 1 ZUR AVV — TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN #

Stand: Jänner 2026

Dieses Dokument ergänzt die zwischen AG und AN abgeschlossene Vereinbarung zur Auftragsverarbeitung gemäß Art 28 DSGVO.

Die technischen und organisatorischen Maßnahmen werden von Anexia entsprechend Art 32 DSGVO umgesetzt. Sie werden laufend nach Machbarkeit und Stand der Technik verbessert und auf ein höheres Sicherheits- und Schutzniveau gebracht.

Vertraulichkeit #

Zutrittskontrolle #

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

Zugangskontrolle #

Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Zugriffskontrolle #

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Trennungskontrolle #

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

Integrität #

Weitergabekontrolle und Eingabekontrolle #

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung bzw. Eingabe während ihres Transports oder ihrer Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung vorgesehen ist.

Verfügbarkeit und Belastbarkeit #

Verfügbarkeitskontrolle #

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind.

Wiederherstellbarkeit #

Maßnahmen, die dazu befähigen, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung #

Datenschutzmanagement #

Incident-Response-Management #

Unterstützung bei der Reaktion auf Sicherheitsverletzungen sowie Data-Breach-Prozess.

Datenschutzfreundliche Voreinstellungen #

„Privacy by design" / „Privacy by default" gem. Art 25 Abs 2 DSGVO.

Auftragskontrolle #

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.

ANHANG 2 ZUR AVV — WEITERE AUFTRAGSVERARBEITER #

Version 1.0 – Stand: Juli 2026

Nachfolgend sind die weiteren Auftragsverarbeiter angeführt, deren Einsatz der AG gemäß Punkt 8.1 der Vereinbarung zur Auftragsverarbeitung genehmigt.

Sämtliche vorgenannten Unternehmen gehören der Unternehmensgruppe an, der auch der AN angehört. Für sie gelten die in Punkt 8.1 der Vereinbarung genannten „Corporate Binding Rules" sowie die konzernweite Rahmenvereinbarung zu Datenschutz und Auftragsverarbeitung.

Drittlandübermittlung: Alle vorgenannten weiteren Auftragsverarbeiter haben ihren Sitz innerhalb der Europäischen Union. Eine Übermittlung personenbezogener Daten des AG in Länder außerhalb der EU bzw. des EWR findet im Rahmen der Auftragsverarbeitung nicht statt, sofern Sie keinen Serverstandort außerhalb der europäischen Union über die eos Plattform konfigurieren.

Über beabsichtigte Änderungen dieses Anhangs informiert der AN nach Maßgabe von Punkt 8.2 der Vereinbarung mindestens 30 Tage vor deren Wirksamwerden.