[{"data":1,"prerenderedAt":780},["ShallowReactive",2],{"legal-avv-latest":3},{"document":4,"resolvedVersion":777,"latestVersion":777,"versions":779},{"id":5,"title":6,"body":7,"description":20,"extension":771,"meta":772,"navigation":773,"path":774,"seo":775,"stem":776,"version":777,"__hash__":778},"avv/avv/09-2026.md","Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO",{"type":8,"value":9,"toc":750},"minimark",[10,14,21,24,35,38,43,46,51,72,86,97,103,113,115,119,128,134,136,140,146,152,158,160,164,170,176,178,182,192,198,204,206,210,224,234,240,246,252,254,258,264,270,272,276,282,288,294,296,300,306,319,321,325,331,337,343,345,349,355,361,367,373,375,379,389,395,397,401,407,413,419,421,425,431,437,443,449,451,455,460,476,481,510,515,518,523,526,531,534,536,540,545,577,582,596,601,615,620,625,627,631,637,704,709,730,736,738],[11,12,6],"h1",{"id":13},"auftragsverarbeitungsvertrag-avv-gemäß-art-28-dsgvo",[15,16,17],"p",{},[18,19,20],"strong",{},"zwischen",[15,22,23],{},"dem im Hauptvertrag bezeichneten Kunden – nachfolgend „Verantwortlicher\" oder „Kunde\" –\nund",[15,25,26,29,30],{},[18,27,28],{},"Epidot IT e.U.","\nMarko Zunic, BSc\nKraftgasse 13, 3105 St. Pölten, Österreich\nFirmenbuchnummer: FN 680867a, Landesgericht St. Pölten\nE-Mail: ",[31,32,34],"a",{"href":33},"mailto:office@epidot.at","office@epidot.at",[15,36,37],{},"– nachfolgend „Auftragsverarbeiter\" oder „Epidot\" –, gemeinsam „Parteien\".",[15,39,40],{},[18,41,42],{},"Version: 09-2026 | Stand: September 2026",[44,45],"hr",{},[47,48,50],"h2",{"id":49},"_1-präambel-und-rollen","1. Präambel und Rollen",[15,52,53,56,57,60,61,66,67,71],{},[18,54,55],{},"1.1."," Epidot betreibt die cloudbasierte Software ",[18,58,59],{},"Zeitgeist"," (Arbeitszeiterfassung, Projekt-, Abwesenheits- und Fahrtenbuchverwaltung) unter ",[31,62,63],{"href":63,"rel":64},"https://zeitgeistapp.at",[65],"nofollow"," und ",[31,68,69],{"href":69,"rel":70},"https://app.zeitgeistapp.at",[65]," als Software-as-a-Service (SaaS).",[15,73,74,77,78,81,82,85],{},[18,75,76],{},"1.2."," Bei allen personenbezogenen Daten, die der Kunde oder seine Nutzer in Zeitgeist eingeben – insbesondere Daten der Beschäftigten des Kunden –, ist der ",[18,79,80],{},"Kunde Verantwortlicher"," im Sinne des Art. 4 Z 7 DSGVO. ",[18,83,84],{},"Epidot ist insoweit Auftragsverarbeiter"," im Sinne des Art. 4 Z 8 DSGVO.",[15,87,88,91,92,96],{},[18,89,90],{},"1.3."," Für Vertrags-, Konto- und Abrechnungsdaten, die Epidot für eigene Zwecke verarbeitet, ist Epidot eigenständiger Verantwortlicher; insoweit gilt die Datenschutzerklärung unter ",[31,93,94],{"href":94,"rel":95},"https://zeitgeistapp.at/datenschutz",[65],".",[15,98,99,102],{},[18,100,101],{},"1.4."," Dieser AVV konkretisiert die Pflichten der Parteien nach Art. 28 Abs. 3 DSGVO. Die Anlagen 1 bis 3 sind integraler Bestandteil.",[15,104,105,108,109,112],{},[18,106,107],{},"1.5."," Der AVV wird in Textform geschlossen; die ",[18,110,111],{},"elektronische Form genügt"," (Art. 28 Abs. 9 DSGVO). Der Abschluss erfolgt durch Bezugnahme im Hauptvertrag bzw. durch dessen Annahme; einer gesonderten Unterzeichnung bedarf es nicht. Auf Anfrage stellt Epidot eine unterzeichnete Fassung bereit.",[44,114],{},[47,116,118],{"id":117},"_2-gegenstand-art-zweck-und-dauer-der-verarbeitung","2. Gegenstand, Art, Zweck und Dauer der Verarbeitung",[15,120,121,124,125,96],{},[18,122,123],{},"2.1."," Gegenstand, Art und Zweck der Verarbeitung, die Kategorien der personenbezogenen Daten und betroffenen Personen sowie die Dauer ergeben sich aus ",[18,126,127],{},"Anlage 1",[15,129,130,133],{},[18,131,132],{},"2.2."," Epidot verarbeitet die Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Bereitstellung, Betrieb, Wartung, Support und Weiterentwicklung der Software), ausschließlich auf dokumentierte Weisung des Kunden und nicht zu eigenen Zwecken – insbesondere nicht für Werbung, Profilbildung oder Weitergabe an Dritte.",[44,135],{},[47,137,139],{"id":138},"_3-weisungsbindung","3. Weisungsbindung",[15,141,142,145],{},[18,143,144],{},"3.1."," Epidot verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden – auch bei Übermittlung in ein Drittland –, es sei denn, Epidot ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall unterrichtet Epidot den Kunden vor der Verarbeitung, es sei denn, das Recht verbietet die Unterrichtung aus Gründen eines wichtigen öffentlichen Interesses (Art. 28 Abs. 3 lit. a DSGVO).",[15,147,148,151],{},[18,149,150],{},"3.2."," Die Weisungen des Kunden sind durch diesen AVV und die Anlagen abschließend dokumentiert. Weitergehende Einzelweisungen bedürfen der Textform (E-Mail genügt) und dürfen diesem AVV sowie dem Datenschutzrecht nicht widersprechen.",[15,153,154,157],{},[18,155,156],{},"3.3."," Ist Epidot der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, unterrichtet Epidot den Kunden unverzüglich und ist berechtigt, die Ausführung bis zur Klärung auszusetzen.",[44,159],{},[47,161,163],{"id":162},"_4-vertraulichkeit-und-berechtigte-personen","4. Vertraulichkeit und berechtigte Personen",[15,165,166,169],{},[18,167,168],{},"4.1."," Epidot verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit; die Verpflichtung gilt über die Beendigung der Tätigkeit hinaus. Personen mit gesetzlicher Verschwiegenheitspflicht stehen der Verpflichtung gleich (Art. 28 Abs. 3 lit. b DSGVO).",[15,171,172,175],{},[18,173,174],{},"4.2."," Der Zugriff auf personenbezogene Daten erfolgt nur nach dem Need-to-know-Prinzip durch hierzu befugte Personen; Zugriffe werden protokolliert, soweit technisch möglich.",[44,177],{},[47,179,181],{"id":180},"_5-technische-und-organisatorische-maßnahmen-art-32-dsgvo","5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)",[15,183,184,187,188,191],{},[18,185,186],{},"5.1."," Epidot trifft die in ",[18,189,190],{},"Anlage 2"," beschriebenen technischen und organisatorischen Maßnahmen (TOM).",[15,193,194,197],{},[18,195,196],{},"5.2."," Epidot darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt Epidot dem Kunden auf Anfrage mit.",[15,199,200,203],{},[18,201,202],{},"5.3."," Der Kunde ist für die Sicherheit seiner Endgeräte und Zugangsdaten sowie für die von ihm an seine Nutzer vergebenen Rollen und Berechtigungen verantwortlich.",[44,205],{},[47,207,209],{"id":208},"_6-unterauftragsverarbeiter-art-28-abs-2-und-4-dsgvo","6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)",[15,211,212,215,216,219,220,223],{},[18,213,214],{},"6.1."," Der Kunde erteilt Epidot die ",[18,217,218],{},"allgemeine Genehmigung",", die in ",[18,221,222],{},"Anlage 3"," aufgeführten Unterauftragsverarbeiter einzusetzen.",[15,225,226,229,230,233],{},[18,227,228],{},"6.2."," Epidot informiert den Kunden mindestens ",[18,231,232],{},"30 Tage"," vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform – einschließlich Name, Verarbeitungsort und datenschutzrechtlicher Garantien.",[15,235,236,239],{},[18,237,238],{},"6.3."," Der Kunde kann aus wichtigem datenschutzrechtlichem Grund schriftlich widersprechen. Widerspricht er fristgerecht und findet sich innerhalb von 30 Tagen keine Lösung, kann jede Partei den Hauptvertrag zum Änderungszeitpunkt mit sofortiger Wirkung kündigen.",[15,241,242,245],{},[18,243,244],{},"6.4."," Epidot verpflichtet jeden Unterauftragsverarbeiter vertraglich zu im Wesentlichen denselben Datenschutzpflichten wie Epidot nach diesem AVV, insbesondere zu geeigneten TOM nach Art. 32 DSGVO (Art. 28 Abs. 4 DSGVO), und haftet dem Kunden für deren Einhaltung.",[15,247,248,251],{},[18,249,250],{},"6.5."," Auf begründete Anfrage stellt Epidot eine aktuelle Kopie der Verträge mit den Unterauftragsverarbeitern bereit, soweit datenschutzrechtlich erforderlich; Geschäftsgeheimnisse können geschwärzt werden.",[44,253],{},[47,255,257],{"id":256},"_7-unterstützung-bei-betroffenenrechten","7. Unterstützung bei Betroffenenrechten",[15,259,260,263],{},[18,261,262],{},"7.1."," Epidot unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Die Software stellt hierzu Auskunfts-, Export- und Löschfunktionen zur Verfügung.",[15,265,266,269],{},[18,267,268],{},"7.2."," Richtet sich ein Antrag direkt an Epidot, leitet Epidot ihn unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde weist dies an oder Epidot ist gesetzlich dazu verpflichtet.",[44,271],{},[47,273,275],{"id":274},"_8-meldepflichten-datenschutz-folgenabschätzung-und-konsultation","8. Meldepflichten, Datenschutz-Folgenabschätzung und Konsultation",[15,277,278,281],{},[18,279,280],{},"8.1."," Epidot unterrichtet den Kunden unverzüglich nach Kenntnisnahme von einer Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, und übermittelt die zur Erfüllung der Melde- und Benachrichtigungspflichten des Kunden erforderlichen Angaben, soweit verfügbar.",[15,283,284,287],{},[18,285,286],{},"8.2."," Epidot unterstützt den Kunden angemessen bei seinen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an eine Aufsichtsbehörde oder Benachrichtigungen betroffener Personen nimmt Epidot nur auf vorherige Weisung des Kunden vor, sofern keine eigene gesetzliche Pflicht besteht.",[15,289,290,293],{},[18,291,292],{},"8.3."," Epidot unterstützt den Kunden angemessen bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO), soweit Epidot die erforderlichen Informationen zur Verfügung stehen.",[44,295],{},[47,297,299],{"id":298},"_9-löschung-und-rückgabe-nach-beendigung","9. Löschung und Rückgabe nach Beendigung",[15,301,302,305],{},[18,303,304],{},"9.1."," Nach Beendigung der Verarbeitung löscht Epidot die personenbezogenen Daten nach Wahl des Kunden oder gibt sie zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).",[15,307,308,311,312,314,315,318],{},[18,309,310],{},"9.2."," Es gilt der in AGB Z 9 und Datenschutzerklärung Z 7 beschriebene Ablauf: Das Konto bleibt nach Vertragsende ",[18,313,232],{}," im Lesemodus und kann exportiert werden; anschließend werden die Daten spätestens ",[18,316,317],{},"48 Tage"," nach Kontoablauf gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten – insbesondere für Rechnungs- und buchhalterische Unterlagen (in Österreich in der Regel sieben Jahre) – entgegenstehen.",[44,320],{},[47,322,324],{"id":323},"_10-kontroll-und-nachweispflichten","10. Kontroll- und Nachweispflichten",[15,326,327,330],{},[18,328,329],{},"10.1."," Epidot stellt dem Kunden alle zur Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).",[15,332,333,336],{},[18,334,335],{},"10.2."," Überprüfungen erfolgen nach Vorankündigung von mindestens 30 Tagen in den üblichen Geschäftszeiten, durch den Kunden oder durch von ihm beauftragte Dritte, die zur Verschwiegenheit verpflichtet und keine Wettbewerber von Epidot sind. Aufwand und Kosten trägt der Kunde; ein direkter Zugriff auf Produktivsysteme kann aus Sicherheitsgründen beschränkt werden.",[15,338,339,342],{},[18,340,341],{},"10.3."," Als Nachweis dienen in der Regel standardisierte Sicherheitsfragebögen oder gleichwertige Auskünfte von Epidot.",[44,344],{},[47,346,348],{"id":347},"_11-pflichten-des-verantwortlichen","11. Pflichten des Verantwortlichen",[15,350,351,354],{},[18,352,353],{},"11.1."," Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Zulässigkeit der Erfassung von Arbeitszeiten, Standorten, Tätigkeits- und Abwesenheitsdaten sowie für die Einhaltung arbeits- und kollektivvertragsrechtlicher Vorschriften (insbesondere §§ 26 ff AZG, § 10 AVRAG, anwendbare Kollektivverträge).",[15,356,357,360],{},[18,358,359],{},"11.2."," Der Kunde informiert die betroffenen Personen und bezieht die Arbeitnehmervertretung (Betriebsrat) rechtzeitig ein, soweit dies gesetzlich erforderlich ist – insbesondere bei Systemen, die zur Kontrolle von Beschäftigten geeignet sind (§ 96a ArbVG).",[15,362,363,366],{},[18,364,365],{},"11.3."," Soweit der Kunde besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO eingibt oder hochlädt (z. B. Gesundheitsdaten im Zusammenhang mit Krankenstand oder ärztliche Bestätigungen), ist er allein für das Vorliegen einer Rechtsgrundlage verantwortlich.",[15,368,369,372],{},[18,370,371],{},"11.4."," Der Kunde erteilt nur rechtmäßige Weisungen und informiert Epidot unverzüglich, wenn er eine Weisung als nicht mehr rechtmäßig erachtet.",[44,374],{},[47,376,378],{"id":377},"_12-drittlandübermittlungen","12. Drittlandübermittlungen",[15,380,381,384,385,388],{},[18,382,383],{},"12.1."," Das Hosting erfolgt auf Servern in ",[18,386,387],{},"Wien, Österreich"," (EU). Die Schweiz ist durch einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO abgedeckt.",[15,390,391,394],{},[18,392,393],{},"12.2."," Sollte ein Unterauftragsverarbeiter Daten in ein Drittland ohne Angemessenheitsbeschluss übermitteln, schließt Epidot die EU-Standardvertragsklauseln nach dem Beschluss (EU) 2021/915 ab und führt eine Risikobewertung durch; der Kunde wird gemäß Z 6 informiert.",[44,396],{},[47,398,400],{"id":399},"_13-haftung","13. Haftung",[15,402,403,406],{},[18,404,405],{},"13.1."," Es gelten die Haftungsbestimmungen des Hauptvertrags (AGB Z 10).",[15,408,409,412],{},[18,410,411],{},"13.2."," Epidot haftet gegenüber dem Kunden für die Einhaltung der Pflichten der von ihm eingesetzten Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO).",[15,414,415,418],{},[18,416,417],{},"13.3."," Ansprüche betroffener Personen nach der DSGVO bleiben unberührt.",[44,420],{},[47,422,424],{"id":423},"_14-laufzeit-änderungen-schlussbestimmungen","14. Laufzeit, Änderungen, Schlussbestimmungen",[15,426,427,430],{},[18,428,429],{},"14.1."," Dieser AVV tritt mit Abschluss des Hauptvertrags in Kraft und endet mit dessen Beendigung. Eine isolierte Kündigung ist ausgeschlossen. Die Pflichten zur Löschung bzw. Rückgabe (Z 9) und zur Vertraulichkeit (Z 4) bleiben nach Beendigung aufrecht.",[15,432,433,436],{},[18,434,435],{},"14.2."," Änderungen dieses AVV bedürfen der Textform. Epidot kann den AVV bei geänderter Rechtslage, geänderten Leistungen oder geänderter Unterauftragsverarbeitung anpassen. Änderungen mit Auswirkungen auf die Verarbeitung teilt Epidot dem Kunden spätestens 30 Tage vor Inkrafttreten mit; Z 6 bleibt unberührt.",[15,438,439,442],{},[18,440,441],{},"14.3."," Es gilt österreichisches materielles Recht unter Ausschluss des UN-Kaufrechts (CISG) und der Kollisionsnormen des internationalen Privatrechts. Gerichtsstand und Streitbeilegung richten sich nach den AGB (Z 12).",[15,444,445,448],{},[18,446,447],{},"14.4."," Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt der übrige AVV wirksam; die unwirksame Bestimmung wird durch eine wirksame Regelung ersetzt, die dem wirtschaftlichen Zweck am nächsten kommt. Dies gilt auch für Regelungslücken.",[44,450],{},[47,452,454],{"id":453},"anlage-1-gegenstand-art-zweck-und-dauer-der-verarbeitung","Anlage 1 – Gegenstand, Art, Zweck und Dauer der Verarbeitung",[15,456,457],{},[18,458,459],{},"Kategorien betroffener Personen",[461,462,463,467,470,473],"ul",{},[464,465,466],"li",{},"Beschäftigte des Kunden (Mitarbeiter, Lehrlinge, Praktikanten)",[464,468,469],{},"freie Mitarbeiter und Auftragnehmer des Kunden",[464,471,472],{},"Nutzer des Kundenkontos (Administratoren, Vorgesetzte, Lohnverrechner)",[464,474,475],{},"soweit vom Kunden eingegeben: Bewerber",[15,477,478],{},[18,479,480],{},"Kategorien personenbezogener Daten",[461,482,483,486,489,492,495,498,501,504,507],{},[464,484,485],{},"Identifikations- und Kontaktdaten: Name, Personalnummer, E-Mail-Adresse, Team-/Rollen-Zuordnung",[464,487,488],{},"Arbeitszeitdaten: Kommen/Gehen, Pausen, Soll-/Ist-Stunden, Überstunden, Zuschläge, Zeitausgleich",[464,490,491],{},"Projekt- und Tätigkeitsdaten: Projektzuordnung, Tätigkeiten, Anmerkungen",[464,493,494],{},"Abwesenheitsdaten: Urlaub, Krankenstand, Zeitausgleich, sonstige Abwesenheitsarten",[464,496,497],{},"Arbeitsort-/Standortdaten: Arbeitsort (z. B. Büro, Baustelle, Home Office), soweit vom Kunden aktiviert",[464,499,500],{},"Fahrtenbuchdaten: Fahrten, Strecken, Fahrzeugbezug",[464,502,503],{},"Stammdaten: Arbeitszeitmodell, Normalarbeitszeit, Beschäftigungsausmaß",[464,505,506],{},"Authentifizierungsdaten: Benutzername, Passwort (nicht im Klartext), Sitzungs-/Sicherheitsdaten",[464,508,509],{},"Protokoll- und Metadaten: Änderungshistorien, Zeitstempel, technische Logs",[15,511,512],{},[18,513,514],{},"Besondere Kategorien (Art. 9 DSGVO)",[15,516,517],{},"Soweit der Kunde Angaben zu Gesundheit (z. B. Krankenstand, ärztliche Bestätigungen) oder andere besondere Kategorien eingibt oder hochlädt, obliegt die Rechtsgrundlage nach Art. 9 DSGVO dem Kunden (vgl. Z 11.3).",[15,519,520],{},[18,521,522],{},"Art und Zweck der Verarbeitung",[15,524,525],{},"Erheben, Speichern, Verändern, Auslesen, Übermitteln innerhalb der Plattform, Auswerten, Exportieren und Löschen von Daten zum Zweck der Bereitstellung der Zeiterfassungs-, Projekt-, Abwesenheits- und Fahrtenbuchfunktionen, der Reports/Lohnverrechnungsvorbereitung sowie des Supports.",[15,527,528],{},[18,529,530],{},"Dauer",[15,532,533],{},"Für die Laufzeit des Hauptvertrags; anschließend gelten die Löschfristen gemäß Z 9.",[44,535],{},[47,537,539],{"id":538},"anlage-2-technische-und-organisatorische-maßnahmen-art-32-dsgvo","Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)",[15,541,542],{},[18,543,544],{},"Vertraulichkeit",[461,546,547,553,559,565,571],{},[464,548,549,552],{},[18,550,551],{},"Zutrittskontrolle:"," Die Server werden im Rechenzentrum von netcup GmbH am Standort Wien (Österreich) betrieben; physische Zugangs- und Videoüberwachungskontrollen liegen beim Rechenzentrumsbetreiber. Epidot hat keinen physischen Zugang zu den Servern.",[464,554,555,558],{},[18,556,557],{},"Zugangskontrolle:"," Individuelle Benutzerkonten mit starken Passwörtern; Passwörter werden nicht im Klartext gespeichert.",[464,560,561,564],{},[18,562,563],{},"Zugriffskontrolle:"," Rollen- und Berechtigungskonzept in Zeitgeist; Zugriff auf Produktivdaten nur durch hierzu befugte Personen.",[464,566,567,570],{},[18,568,569],{},"Trennungskontrolle:"," Kundendaten werden nach Mandanten getrennt.",[464,572,573,576],{},[18,574,575],{},"Verschlüsselung:"," Alle Verbindungen sind transportverschlüsselt (TLS/HTTPS).",[15,578,579],{},[18,580,581],{},"Integrität",[461,583,584,590],{},[464,585,586,589],{},[18,587,588],{},"Weitergabekontrolle:"," Keine Weitergabe an Dritte außer an die in Anlage 3 genannten Unterauftragsverarbeiter; Übertragung ausschließlich verschlüsselt.",[464,591,592,595],{},[18,593,594],{},"Protokollierung:"," Änderungen an Daten werden mit Zeitstempel und Benutzerzuordnung protokolliert (Änderungshistorie).",[15,597,598],{},[18,599,600],{},"Verfügbarkeit",[461,602,603,609],{},[464,604,605,608],{},[18,606,607],{},"Verfügbarkeit:"," Der Dienst läuft auf der Infrastruktur von netcup GmbH mit redundanter Strom- und Netzanbindung; DDoS-Schutz und Monitoring sind im Rahmen der eingesetzten Infrastruktur vorhanden. Die Verfügbarkeit richtet sich nach AGB Z 8.7.",[464,610,611,614],{},[18,612,613],{},"Notfallmanagement:"," Epidot behandelt Sicherheits- und Betriebsvorfälle nach einem geregelten Ablauf und informiert den Kunden bei Vorfällen mit Bezug zu dessen Daten gemäß Z 8.",[15,616,617],{},[18,618,619],{},"Überprüfung",[461,621,622],{},[464,623,624],{},"Epidot aktualisiert die eingesetzte Software regelmäßig und überprüft die eingeräumten Berechtigungen.",[44,626],{},[47,628,630],{"id":629},"anlage-3-unterauftragsverarbeiter-art-28-abs-2-dsgvo","Anlage 3 – Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO)",[15,632,633,636],{},[18,634,635],{},"Allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO):"," Der Kunde genehmigt auf allgemeiner Basis den Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter (vgl. Z 6.1).",[638,639,640,662],"table",{},[641,642,643],"thead",{},[644,645,646,650,653,656,659],"tr",{},[647,648,649],"th",{},"Unternehmen",[647,651,652],{},"Anschrift",[647,654,655],{},"Leistung",[647,657,658],{},"Verarbeitungsort",[647,660,661],{},"Datenschutzrechtliche Garantie",[663,664,665,685],"tbody",{},[644,666,667,673,676,679,682],{},[668,669,670],"td",{},[18,671,672],{},"netcup GmbH",[668,674,675],{},"Emmy-Noether-Straße 10, D-76131 Karlsruhe, Deutschland",[668,677,678],{},"Hosting und Betrieb der Server-Infrastruktur",[668,680,681],{},"Wien, Österreich (EU)",[668,683,684],{},"Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Verarbeitung innerhalb der EU/des EWR",[644,686,687,692,695,698,701],{},[668,688,689],{},[18,690,691],{},"Proton AG",[668,693,694],{},"Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz",[668,696,697],{},"Versand transaktionaler E-Mails (SMTP)",[668,699,700],{},"Schweiz",[668,702,703],{},"Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (proton.me/legal/dpa); Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO für die Schweiz",[15,705,706],{},[18,707,708],{},"Nicht als Unterauftragsverarbeiter eingesetzt:",[461,710,711,717,724],{},[464,712,713,716],{},[18,714,715],{},"Selbst betriebene Dienste von Epidot"," (Umami-Webanalyse, Forms-API, Push-Backend auf Basis VAPID, Monitoring) laufen auf der von Epidot betriebenen Infrastruktur und sind keine Unterauftragsverarbeiter.",[464,718,719,720,723],{},"Der ",[18,721,722],{},"Web-Push-Versand (VAPID)"," nutzt den Push-Dienst des jeweiligen Browser-Herstellers nur zum Transport verschlüsselter Nutzlasten; eine Verarbeitung personenbezogener Klardaten durch Dritte findet nicht statt.",[464,725,726,729],{},[18,727,728],{},"Stripe Payments Europe, Ltd."," ist für die Zahlungsabwicklung eigenständiger Verantwortlicher (siehe Datenschutzerklärung Z 6) und nicht Unterauftragsverarbeiter dieses AVV.",[15,731,732,735],{},[18,733,734],{},"Änderungen:"," Epidot informiert den Kunden mindestens 30 Tage vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters gemäß Z 6.2; der Kunde hat das Widerspruchsrecht nach Z 6.3.",[44,737],{},[15,739,740,742,743,745,746],{},[18,741,28],{},"\nSt. Pölten, Österreich\nE-Mail: ",[31,744,34],{"href":33},"\nWebsite: ",[31,747,748],{"href":748,"rel":749},"https://epidot.at",[65],{"title":751,"searchDepth":752,"depth":752,"links":753},"",2,[754,755,756,757,758,759,760,761,762,763,764,765,766,767,768,769,770],{"id":49,"depth":752,"text":50},{"id":117,"depth":752,"text":118},{"id":138,"depth":752,"text":139},{"id":162,"depth":752,"text":163},{"id":180,"depth":752,"text":181},{"id":208,"depth":752,"text":209},{"id":256,"depth":752,"text":257},{"id":274,"depth":752,"text":275},{"id":298,"depth":752,"text":299},{"id":323,"depth":752,"text":324},{"id":347,"depth":752,"text":348},{"id":377,"depth":752,"text":378},{"id":399,"depth":752,"text":400},{"id":423,"depth":752,"text":424},{"id":453,"depth":752,"text":454},{"id":538,"depth":752,"text":539},{"id":629,"depth":752,"text":630},"md",{},true,"/avv/09-2026",{"title":6,"description":20},"avv/09-2026","09-2026","eoS8XCgFcXcz1j8m0MpVF73Ay6gSuwbgKcGnbi3dsq8",[777],1790021645045]