Auftragsverarbeitungsvertrag (AVV)

Fassung Oktober 2026 · zwischen dem Kunden (Verantwortlicher) und der Techlogic Solutions GmbH (Auftragsverarbeiter)

§ 1 Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die Techlogic Solutions GmbH, Riedl 1, 4372 St. Georgen am Walde („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) bei der Bereitstellung der Software Flowo nach den AGB unter flowo.at/agb und dem jeweiligen Angebot („Hauptvertrag“).
Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet (§ 9).

Zweck: Bereitstellung, Betrieb, Wartung und Weiterentwicklung von Flowo, Datensicherung, Support sowie die vom Verantwortlichen ausgelösten Funktionen (z. B. Versand von Angeboten und Rechnungen, Exporte, Belegerkennung).
Arten von Daten: Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon), Vertrags-, Angebots- und Rechnungsdaten einschließlich Bankverbindungen, Arbeitszeit-, Projekt-, Abwesenheits- und Spesendaten, Kommunikationsdaten (E-Mails, Notizen, Anfragen), elektronische Unterschriften, Benutzer- und Protokolldaten. Abwesenheiten können einen Krankenstand ausweisen; Diagnosen werden in Flowo nicht erfasst.
Kategorien betroffener Personen: Mitarbeiter des Verantwortlichen, seine Kunden, Interessenten und Lieferanten sowie deren Ansprechpartner.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, außer er ist nach Unionsrecht oder österreichischem Recht dazu verpflichtet. Weisungen sind dieser Vertrag, der Hauptvertrag sowie die Einstellungen und Aktionen des Verantwortlichen in Flowo. Weitere Weisungen erfolgen schriftlich; E-Mail genügt.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind bzw. einer gesetzlichen Verschwiegenheitspflicht unterliegen (Datengeheimnis nach § 6 DSG). Zugriff auf Daten des Verantwortlichen erfolgt nur, soweit dies für Betrieb, Wartung oder Support erforderlich ist.

Der Auftragsverarbeiter trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere: Betrieb in einem Rechenzentrum in der EU mit Zutritts- und Zugangsschutz; Belegerkennung (OCR) auf einem eigenen Server des Auftragsverarbeiters in Österreich; verschlüsselte Übertragung (TLS); gehashte Passwörter und optionale Zwei-Faktor-Anmeldung; logische Trennung der Daten je Mandant; Rollen- und Rechtekonzept; Protokollierung wesentlicher Änderungen; tägliche Datensicherung mit mindestens 10 Tagen Aufbewahrung; regelmäßige Sicherheitsupdates.
Die Maßnahmen werden dem Stand der Technik angepasst. Das Schutzniveau darf dabei nicht unterschritten werden.

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt: Contabo GmbH, Aschauer Straße 32a, 81549 München (Hosting, Rechenzentrum in der EU). Die Belegerkennung läuft auf einem eigenen Server des Auftragsverarbeiters in Österreich. Wählt der Verantwortliche in Flowo selbst einen externen KI-Anbieter (z. B. für Belegerkennung oder KI-Assistent) und stimmt dessen Nutzung zu, wird dieser Anbieter tätig; eine Übermittlung in Drittländer erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln.
Neue oder ersetzte Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens 4 Wochen vorher per E-Mail mit. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Flowo stellt dafür Export- und Löschfunktionen bereit. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.

Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter die Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im regulären Sicherungszyklus überschrieben.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Kontrollen vor Ort sind nach Ankündigung mit mindestens 14 Tagen Vorlauf während der Geschäftszeiten möglich, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Kontrollkosten trägt der Verantwortliche, außer es wird ein Verstoß des Auftragsverarbeiters festgestellt.

Die Verarbeitung erfolgt in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Verarbeitung in Drittländern erfolgt nur nach § 6 und unter den Voraussetzungen der Art. 44 ff. DSGVO.

In Datenschutzfragen geht dieser Vertrag dem Hauptvertrag vor. Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
Es gilt österreichisches Recht. Gerichtsstand ist das für 4020 Linz sachlich zuständige Gericht.
Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

Stand: Oktober 2026

Techlogic Solutions GmbH, Riedl 1, 4372 St. Georgen am Walde