Vereinbarung über Auftragsverarbeitung

(gemäß Art. 28 DSGVO)

zwischen

Auftragsverarbeiter:
Erledigt GmbH,
Schwarzenbach 16,
5360 St. Wolfgang im Salzkammergut,
Österreich –
(nachfolgend „Auftragsverarbeiter“ genannt)

und

Verantwortlicher:
Der jeweilige Kunde, der mit dem Auftragsverarbeiter einen Hauptvertrag über die Nutzung der Plattform „Erledigt" abgeschlossen hat –
(nachfolgend „Verantwortlicher“ genannt)

(Auftragsverarbeiter und Verantwortlicher im Folgenden gemeinsam „Parteien“ genannt.)

---

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der Task-Management-Plattform „Erledigt“ (Software-as-a-Service). Zweck der Verarbeitung ist insbesondere die Verarbeitung von Spracheingaben zu Aufgaben (KI-gestützte Transkription) und anschließende Aufgabenverwaltung in der Plattform, einschließlich Aufgabenmanagement, Kommunikationsfunktionen, Dateiverarbeitung, Sprachverarbeitung, KI-gestützter Assistenzfunktionen, Übersetzungsfunktionen, Echtzeit-Kommunikation zwischen Nutzern über eine integrierte Chat-Funktion (einschließlich Text-, Datei-, Bild- und Sprachnachrichten) sowie angebundener Integrationen, soweit diese vom Verantwortlichen im Rahmen der Plattform genutzt oder freigeschaltet werden. Die Verarbeitung erfolgt ausschließlich zu diesem Zweck und gemäß den Vorgaben des Verantwortlichen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags über die Nutzung der Plattform.

---

§ 2 Art der Daten und betroffene Personen

Datenkategorien:

• Identifikationsdaten (z. B. Namen, Kontaktdaten von Nutzern),
• Inhaltsdaten (z. B. Aufgabenbeschreibungen, Notizen, hochgeladene Dateien, Kommentare),
• Audiodaten (Nutzer-Sprachaufzeichnungen und daraus resultierende Transkriptionen),
• Kommunikationsdaten (z. B. E-Mail-Adresse für Benachrichtigungen) und
• technische Metadaten (IP-Adressen, Logdaten),
• Geräte- und Nutzungsdaten, Interaktionsdaten, Anhänge, Fotos,
• Daten aus angebundenen Drittsystemen, soweit diese für die Nutzung der Plattform erforderlich sind.
• Chat-Daten (Echtzeit-Chatnachrichten, im Chat geteilte Dateien, Bilder und Sprachnachrichten, Nutzer-IDs und Anzeigenamen im Chat-Kontext).

Betroffene Personen: Nutzer der Plattform (Mitarbeiter, Beauftragte des Verantwortlichen) und etwaige weitere Personen, deren Daten vom Verantwortlichen bzw. dessen Nutzern in die Plattform eingegeben werden.

---

§ 3 Pflichten des Auftragsverarbeiters

(1) Weisungen: Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Der Verantwortliche erteilt diese Weisungen zunächst durch diese Vereinbarung und den Hauptvertrag. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen Datenschutzvorschriften verstößt.

(2) Vertraulichkeit: Der Auftragsverarbeiter verpflichtet sich, nur Personal einzusetzen, das auf das Datengeheimnis verpflichtet ist (Art. 28 Abs. 3 lit. b DSGVO).

(3) Datensicherheit: Der Auftragsverarbeiter ergreift geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO). Diese umfassen insbesondere Zutritts-, Zugangs- und Zugriffskontrollen, Verfahren zur regelmäßigen Überprüfung der Sicherheit, verschlüsselte Datenübertragung, regelmäßige Datensicherungen und strikte Mandantentrennung. (Details zu den Maßnahmen können in Anlage 1 (TOM) festgehalten werden.)

(4) Unterstützung des Verantwortlichen: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (insb. Sicherheit, Meldung von Datenschutzverletzungen, Unterstützung bei Anfragen betroffener Personen, Datenschutz-Folgenabschätzungen), soweit dies erforderlich ist (Art. 28 Abs. 3 lit. f–h DSGVO). Insbesondere wird der Auftragsverarbeiter den Verantwortlichen unverzüglich über etwaige Datenschutzvorfälle informieren und ihm die zur Erfüllung etwaiger Meldepflichten erforderlichen Informationen zur Verfügung stellen.

(5) KI-gestützte Funktionen und Übersetzungsdienste: Soweit der Auftragsverarbeiter KI-gestützte Funktionen, Übersetzungsfunktionen oder externe KI- bzw. Übersetzungsdienstleister einsetzt, erfolgt dies ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und auf Grundlage der Weisungen des Verantwortlichen. Im Rahmen der KI-gestützten Verarbeitung können auch personenbezogene Daten der Nutzer, insbesondere Namen, an den jeweiligen KI-Dienst übermittelt werden, soweit dies zur Leistungserbringung erforderlich ist. Erledigt konfiguriert die eingesetzten KI-Dienste so, dass übermittelte Inhalte nicht zum Training oder zur Verbesserung allgemeiner KI-Modelle verwendet werden, soweit dies vom jeweiligen Dienst technisch unterstützt und vertraglich vereinbart ist.

(6) Besondere Kategorien personenbezogener Daten: Die Plattform und die darin enthaltenen KI-Funktionen sind grundsätzlich nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO vorgesehen. Der Verantwortliche hat vor der Eingabe entsprechender Daten sicherzustellen, dass hierfür eine ausreichende datenschutzrechtliche Grundlage besteht. Soweit solche Daten verarbeitet werden, erfolgt dies ausschließlich auf Grundlage der Weisungen des Verantwortlichen und im Rahmen der vereinbarten Leistungen.

(7) Kontrolle: Der Verantwortliche hat das Recht, Kontrollen durchzuführen oder durchführen zu lassen, um die Einhaltung dieser Vereinbarung und der gesetzlichen Vorschriften zu prüfen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter wird die erforderliche Mitwirkung leisten und dem Verantwortlichen auf Anfrage Nachweise zur Einhaltung der in § 3(3) genannten Maßnahmen und Pflichten vorlegen (z. B. Zertifikate, Auditberichte, Selbstauskünfte).

---

§ 4 Unterauftragsverhältnisse

(1) Genehmigen und informieren: Der Verantwortliche erteilt seine allgemeine Einwilligung zur Beauftragung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Der Auftragsverarbeiter führt eine Liste aller aktuellen Unterauftragsverarbeiter in Anlage 2 dieses Vertrags. Vor dem Einsatz neuer oder austauschender Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Kalendertage im Voraus schriftlich darüber; der Verantwortliche kann aus wichtigen Gründen der Änderung widersprechen. Widerspricht der Verantwortliche aus wichtigem datenschutzrechtlichem Grund, werden die Parteien eine angemessene Lösung suchen. Ist eine solche Lösung wirtschaftlich oder technisch nicht zumutbar, kann jede Partei den betroffenen Leistungsteil kündigen, soweit der Unterauftragsverarbeiter für dessen Erbringung erforderlich ist.

(2) Pflichtenweitergabe: Der Auftragsverarbeiter stellt sicher, dass jeder Unterauftragsverarbeiter die Pflichten aus dieser Vereinbarung vollständig übernimmt (insb. hinsichtlich Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Löschpflichten). Kommt ein Subdienstleister seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen, als hätte er den Verstoß selbst begangen (Art. 28 Abs. 4 DSGVO).

(3) Datenübermittlung ins Drittland: Soweit der Auftragsverarbeiter oder ein Subunternehmer personenbezogene Daten außerhalb der EU/EWR verarbeitet (z. B. beim Einsatz von Cloud-Diensten in den USA), stellt der Auftragsverarbeiter sicher, dass gesetzlich vorgesehene Garantien für das Datenschutzniveau getroffen werden (z. B. EU-Standardvertragsklauseln oder EU-US Data Privacy Framework). Die jeweils einschlägigen Transfermechanismen für einzelne Unterauftragsverarbeiter ergeben sich aus Anlage 2. Der Auftragsverarbeiter wird die dortigen Angaben aktuell halten und dem Verantwortlichen auf Anfrage geeignete Nachweise zur Verfügung stellen.

---

§ 5 Beendigung der Verarbeitung

Nach Abschluss der Verarbeitung oder Beendigung des Hauptvertrags wird der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten nach Weisung des Verantwortlichen entweder löschen oder an diesen herausgeben (Art. 28 Abs. 3 lit. g DSGVO); dies gilt vorbehaltlich einer vom Verantwortlichen gewünschten und im Hauptvertrag vorgesehenen Reaktivierungs- oder Aufbewahrungsfrist. Sofern eine Speicherung der Daten aufgrund gesetzlicher Aufbewahrungspflichten erforderlich ist, werden die betreffenden Daten stattdessen bis zum Fristablauf gesperrt aufbewahrt und anschließend gelöscht.

Diese Vereinbarung tritt automatisch mit Abschluss des Hauptvertrags über die Nutzung der Plattform „Erledigt" in Kraft und bedarf keiner gesonderten Unterzeichnung. Mit Zustimmung zu den Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters akzeptiert der Verantwortliche zugleich diese Vereinbarung über Auftragsverarbeitung.

---

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft insbesondere folgende technische und organisatorische Maßnahmen:

• Authentifizierung der Nutzer durch individuelle Benutzerkonten und sichere Zugangsdaten;
• rollen- und berechtigungsbasierte Zugriffskontrollen innerhalb der Plattform;
• Verschlüsselung der Datenübertragung nach dem Stand der Technik, insbesondere mittels TLS;
• Hinweis zur Chat-Funktion: Chat-Nachrichten werden per TLS transportverschlüsselt übertragen. Eine Ende-zu-Ende-Verschlüsselung der Chat-Nachrichten erfolgt nicht. Chat-Nachrichten sowie im Chat geteilte Dateien, Bilder und Sprachnachrichten werden beim Chat-Infrastrukturdienstleister (CometChat) für 6 Monate gespeichert;
• geeignete Maßnahmen zur Trennung von Mandanten- und Kundendaten;
• Protokollierung sicherheitsrelevanter Zugriffe und Systemereignisse;
• regelmäßige Datensicherungen und Wiederherstellungsverfahren;
• organisatorische Verfahren zur Behandlung von Sicherheitsvorfällen und Datenschutzverletzungen;
• beschränkter Zugriff auf personenbezogene Daten durch befugte Mitarbeiter und Dienstleister nach dem Need-to-know-Prinzip;
• regelmäßige Aktualisierung, Wartung und Absicherung der eingesetzten Systeme, einschließlich angemessener Patch-Management-Prozesse;
• Verfahren zur Löschung oder Sperrung personenbezogener Daten nach Maßgabe des Hauptvertrags, dieser Vereinbarung und der Weisungen des Verantwortlichen.

---

Anlage 2: Unterauftragsverarbeiter (Subprozessoren)

Stand: November 2026.

Der Auftragsverarbeiter ist berechtigt, die nachfolgend aufgeführten Unterauftragsverarbeiter zur Erbringung der vertraglich geschuldeten Leistungen einzusetzen:

Hinweis zu Stripe

Soweit Stripe personenbezogene Daten im Auftrag des Auftragsverarbeiters verarbeitet, erfolgt der Einsatz als Unterauftragsverarbeiter. Soweit Stripe personenbezogene Daten zur Erbringung eigener Zahlungsdienste in eigener datenschutzrechtlicher Verantwortung verarbeitet, handelt Stripe als eigenständiger Verantwortlicher.

Hinweis zu CometChat

CometChat Inc. agiert als Unterauftragsverarbeiter im Auftrag des Auftragsverarbeiters. Die im Rahmen der Chat-Funktion verarbeiteten Daten (insbesondere Chatnachrichten, im Chat geteilte Dateien, Bilder und Sprachnachrichten, Nutzer-IDs und Anzeigenamen) werden primär auf Servern in der AWS-Region Irland (EU) gespeichert. Chat-Nachrichten und geteilte Medien werden für 6 Monate gespeichert und anschließend gelöscht. Die genannten Sub-Prozessoren von CometChat (Akamai, AWS, Inscripts, Mydbops, Microsoft) wurden von CometChat entsprechend dem DPA verpflichtet. Änderungen der Sub-Prozessorenliste werden von CometChat veröffentlicht; der Auftragsverarbeiter wird den Verantwortlichen gemäß § 4 Abs. 1 dieser AVV informieren.

Drittlandübermittlungen

Soweit im Rahmen der Leistungserbringung personenbezogene Daten an Unterauftragsverarbeiter in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies ausschließlich auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere der jeweils gültigen Standardvertragsklauseln der Europäischen Kommission.

Änderungen der Unterauftragsverarbeiter

Der Auftragsverarbeiter ist berechtigt, weitere Unterauftragsverarbeiter einzusetzen oder bestehende Unterauftragsverarbeiter zu ersetzen, sofern:

1. der Verantwortliche vorab in geeigneter Weise informiert wird;
2. dem Verantwortlichen eine angemessene Frist zur Erhebung datenschutzrechtlich begründeter Einwände eingeräumt wird; und
3. die Voraussetzungen des Art. 28 DSGVO eingehalten werden.