Nach Art. 28 Abs 3 DSGVO · zwischen dem Anbieter und Vermittco · gilt ab Veröffentlichung dieser Fassung, für bestehende Vereinbarungen nach § 10 Abs 3
Diese Vereinbarung gilt zwischen dem Anbieter, der Unternehmer ist (§ 1 Abs 2 der AGB), als Verantwortlichem und Dominik Starzengruber, Einzelunternehmen „Vermittco“, Zimmerplatz 1a/Tür 6, 4222 St. Georgen an der Gusen, Österreich, als Auftragsverarbeiter (nachfolgend „Vermittco“) und regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs 3 DSGVO. Für Anbieter, die Verbraucher sind, gilt sie nicht; soweit Vermittco deren Daten verarbeitet, geschieht das als Verantwortlicher nach der Datenschutzerklärung.
Sie greift nur dort, wo Vermittco personenbezogene Daten ausschließlich nach Weisung des Anbieters verarbeitet, nämlich:
Nicht erfasst ist alles, wofür Vermittco selbst Verantwortlicher ist — Betrieb der Plattform einschließlich veröffentlichter Inserate, eigenes Nutzerkonto des Anbieters, Bestellungen über die Plattform, Zahlungsabwicklung, Versand und Sendungsverfolgung, Belege, Provisionsabrechnung, Sicherheit, Inhaltsprüfung und gesetzliche Meldepflichten. Sobald übernommene Daten als Inserat veröffentlicht werden oder eine Bestellung über die Plattform abgewickelt wird, verarbeitet Vermittco diese Daten als eigener Verantwortlicher; die Übermittlung solcher Bestellungen an das System des Anbieters ist eine Übermittlung an ihn als eigenen Verantwortlichen. Dafür gilt die Datenschutzerklärung. Die Parteien legen Zwecke und Mittel ihrer Verarbeitungen jeweils getrennt fest; eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht nach ihrem übereinstimmenden Verständnis nicht.
Die Vereinbarung ist Teil der ergänzenden Bedingungen nach § 1 Abs 3 der AGB und gilt für jeden Anbieter, der Unternehmer ist, sobald Vermittco für ihn eine der oben genannten Verarbeitungen durchführt (§ 20 Abs 2 der AGB). Zusätzlich bestätigt der Anbieter sie ausdrücklich bei der Registrierung oder Verifizierung eines Firmenkontos und bei der Übernahme eines von Vermittco eingerichteten Kontos (§ 3 Abs 7 der AGB); die Bestätigung wird mit Datum und Fassung protokolliert. Bis zur Übernahme eines von Vermittco eingerichteten Kontos verarbeitet Vermittco dessen Daten als eigener Verantwortlicher (Abschnitt 4.26 der Datenschutzerklärung).
(1) Gegenstand und Zweck: Bereitstellung und Betrieb der Schnittstellen und Funktionen, mit denen der Anbieter seine Daten auf die Plattform überträgt, dort verwaltet, für seine eigenen Zwecke aufbereitet und wieder ausleitet; die einzelnen Verarbeitungen stehen in der Präambel.
(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Anbieter benannten Empfänger, Einschränken, Löschen und Vernichten.
(3) Kategorien betroffener Personen: Kunden und Interessenten des Anbieters, seine Mitarbeiter und Ansprechpartner, seine Lieferanten sowie sonstige Personen, deren Daten in vom Anbieter übertragenen Daten oder hochgeladenen Dokumenten enthalten sind.
(4) Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, Kontaktdaten), Bestell- und Vertragsdaten, Kommunikationsdaten, Zahlungs- und Abrechnungsinformationen ohne vollständige Kartendaten sowie Daten, die in vom Anbieter hochgeladenen Dokumenten enthalten sind. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO sind nicht Gegenstand dieser Vereinbarung und dürfen nicht übertragen oder hochgeladen werden.
(5) Dauer: Die Vereinbarung gilt, solange Vermittco personenbezogene Daten im Auftrag des Anbieters verarbeitet, und endet spätestens mit der Beendigung des Plattform-Nutzungsvertrags (§ 12 der AGB). Die Pflichten aus dieser Vereinbarung gelten fort, bis alle im Auftrag verarbeiteten Daten nach § 9 gelöscht oder zurückgegeben sind.
(1) Vermittco verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Anbieters. Als dokumentierte Weisung gelten diese Vereinbarung, die Einstellungen, die der Anbieter in seinem Konto vornimmt, und die Funktionen, die er aktiv nutzt.
(2) Einzelweisungen sind in Textform an [email protected] zu richten. Vermittco setzt sie unverzüglich um, soweit sie im Rahmen der vom Anbieter genutzten Funktionen technisch umsetzbar sind. Kann Vermittco eine Weisung nicht oder nur mit Mehraufwand umsetzen, teilt es das dem Anbieter unverzüglich in Textform mit Begründung mit; ein Mehraufwand wird nur vergütet, wenn der Anbieter der zuvor in Textform genannten Vergütung zustimmt. Lässt sich eine Weisung, die zur Einhaltung des Datenschutzrechts erforderlich ist, nicht umsetzen, kann der Anbieter die betroffene Funktion oder diese Vereinbarung samt dem Plattform-Nutzungsvertrag mit sofortiger Wirkung beenden.
(3) Vermittco informiert den Anbieter unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs 3 Unterabs 2 DSGVO), und darf deren Ausführung aussetzen, bis der Anbieter sie in Textform bestätigt oder ändert.
(4) Eine Verarbeitung außerhalb der Weisung findet nur statt, wenn Vermittco nach Unionsrecht oder österreichischem Recht dazu verpflichtet ist; in diesem Fall wird der Anbieter vor der Verarbeitung informiert, sofern das Gesetz die Mitteilung nicht verbietet.
(1) Vermittco setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit und zur Wahrung des Datengeheimnisses nach § 6 DSG verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs 3 lit. b DSGVO).
(2) Diese Personen werden vor der Aufnahme der Tätigkeit über die Anforderungen des Datenschutzes unterrichtet; die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
Vermittco trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen und weist sie auf Verlangen nach. Umgesetzt sind insbesondere:
Vermittco darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.
(1) Der Anbieter erteilt eine allgemeine schriftliche Genehmigung für den Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs 2 DSGVO). Stand dieser Liste: 26.09.2026. Eingesetzt werden:
Sendcloud und AfterShip setzt Vermittco vorrangig als eigener Verantwortlicher für den Versand von Bestellungen über die Plattform ein (Präambel); die Genehmigung gilt, soweit sie dabei im Auftrag verarbeitete Daten erhalten. Für Übermittlungen an Empfänger mit Sitz oder Verarbeitung außerhalb des Europäischen Wirtschaftsraums gilt § 6; das betrifft Cloudflare und Supabase (Vereinigte Staaten), die mögliche Verarbeitung durch Google und durch Anthropic PBC in den Vereinigten Staaten sowie AfterShip (Hongkong).
(2) Vermittco schließt mit jedem weiteren Auftragsverarbeiter einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt, die in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien dafür, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht (Art. 28 Abs 4 DSGVO). Vermittco haftet dem Anbieter für die Erfüllung der Pflichten jedes weiteren Auftragsverarbeiters wie für eigenes Verhalten.
(3) Änderungen. Beabsichtigte Änderungen — die Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters — teilt Vermittco dem Anbieter mindestens 30 Tage vorher in Textform an die Adresse nach § 11 Abs 2 und zusätzlich als Mitteilung im Konto mit; die jeweils aktuelle Liste steht mit Datum in Absatz 1 dieser Vereinbarung. Der Anbieter kann innerhalb dieser Frist aus einem sachlichen, datenschutzbezogenen Grund in Textform widersprechen. Wird der Widerspruch nicht innerhalb der Frist ausgeräumt, kann der Anbieter die betroffene Funktion oder diese Vereinbarung samt dem Plattform-Nutzungsvertrag vor dem Einsatz des neuen Auftragsverarbeiters mit sofortiger Wirkung und ohne Kosten beenden; bereits bezahlte Entgelte für den nicht mehr nutzbaren Zeitraum werden anteilig erstattet. Vermittco kann in diesem Fall die betroffene Funktion für diesen Anbieter ebenfalls mit sofortiger Wirkung beenden.
(4) Nicht als Unterauftragsverarbeitung gelten Leistungen Dritter, bei denen diese keinen Zugriff auf die im Auftrag verarbeiteten Daten erhalten oder als eigene Verantwortliche tätig werden — etwa reine Telekommunikations- und Postdienste oder Zahlungsdienstleister wie Stripe und PayPal. Wartung und Fernwartung von Systemen, bei denen ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann, gelten als Unterauftragsverarbeitung und werden nur durch Auftragsverarbeiter nach Absatz 1 erbracht.
(1) Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 46 DSGVO erfüllt sind; auf Ausnahmen nach Art. 49 DSGVO stützt Vermittco Übermittlungen im Auftrag nicht.
(2) Grundlage ist für Empfänger in den Vereinigten Staaten der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, andernfalls die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs 2 lit. c DSGVO) samt ergänzender Maßnahmen wie Verschlüsselung und Datenminimierung. Für Empfänger in anderen Drittländern ohne Angemessenheitsbeschluss gelten ebenfalls diese Standardvertragsklauseln.
(3) Eine Kopie der jeweils herangezogenen Garantien wird auf Anfrage zur Verfügung gestellt.
(1) Betroffenenrechte. Wendet sich eine betroffene Person mit einem Antrag nach den Art. 15 bis 22 DSGVO unmittelbar an Vermittco, beantwortet Vermittco den Antrag nicht selbst, sondern leitet ihn unverzüglich an den Anbieter weiter und teilt der betroffenen Person mit, dass der Antrag an den Anbieter weitergeleitet wurde. Vermittco unterstützt den Anbieter mit geeigneten technischen und organisatorischen Maßnahmen (Art. 28 Abs 3 lit. e DSGVO): Auskunft, Berichtigung, Löschung und Export der Daten kann der Anbieter über die Funktionen im Konto selbst vornehmen, soweit diese dafür vorgesehen sind; soweit sie nicht ausreichen — etwa bei der Einschränkung der Verarbeitung oder bei einem Widerspruch —, setzt Vermittco die Weisung des Anbieters unverzüglich nach Eingang um.
(2) Verletzung des Schutzes personenbezogener Daten. Vermittco meldet dem Anbieter jede Verletzung des Schutzes personenbezogener Daten, die dessen im Auftrag verarbeitete Daten betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, in Textform an die Adresse nach § 11 Abs 2 (Art. 33 Abs 2 DSGVO). Die Meldung beschreibt, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Datenkategorien und Personengruppen samt der ungefähren Zahl der Betroffenen, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle für weitere Informationen; noch fehlende Angaben reicht Vermittco unverzüglich nach (Art. 33 Abs 3 und 4 DSGVO). Damit kann der Anbieter seine Pflichten nach Art. 33 und 34 DSGVO erfüllen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen nimmt der Anbieter vor; Vermittco übernimmt sie nur auf seine Weisung.
(3) Vermittco unterstützt den Anbieter unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO).
(1) Vermittco weist die Einhaltung dieser Vereinbarung auf Anfrage in Textform nach — durch eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, durch Selbstauskunft oder durch Bescheinigungen der eingesetzten Dienstleister.
(2) Reicht das nicht aus, kann der Anbieter nach Ankündigung in Textform mit angemessener Frist, mindestens 14 Tagen, während der üblichen Geschäftszeiten eine Überprüfung einschließlich Inspektionen durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit Vermittco im Wettbewerb stehenden Prüfer durchführen lassen (Art. 28 Abs 3 lit. h DSGVO). Die Überprüfung darf den Betrieb nicht unangemessen stören und findet höchstens einmal jährlich statt, es sei denn, es besteht ein konkreter Anlass, etwa eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde. Die Befugnisse der Aufsichtsbehörden nach Art. 58 DSGVO bleiben unberührt.
(3) Für eine Vor-Ort-Überprüfung kann Vermittco den Ersatz der nachgewiesenen, angemessenen Kosten verlangen, wenn es deren voraussichtliche Höhe vor der Überprüfung in Textform mitgeteilt hat. Kein Kostenersatz fällt an, wenn die Überprüfung einen Verstoß gegen diese Vereinbarung oder die DSGVO aufdeckt, von einer Aufsichtsbehörde verlangt wird oder wegen einer Verletzung des Schutzes personenbezogener Daten erfolgt.
(1) Nach Abschluss der Verarbeitungsleistungen — mit der Beendigung der jeweiligen Funktion, etwa der Anbindung, spätestens mit der Beendigung des Plattform-Nutzungsvertrags — löscht Vermittco die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Anbieters zurück und löscht danach die vorhandenen Kopien (Art. 28 Abs 3 lit. g DSGVO). Der Anbieter teilt seine Wahl innerhalb von 30 Tagen nach der Beendigung in Textform mit; ohne Mitteilung werden die Daten nach Ablauf dieser Frist gelöscht. Vermittco bestätigt die Löschung auf Verlangen in Textform. Übernommene Daten, die der Anbieter nach der Beendigung einer Anbindung in seinem Konto weiterführt (Abschnitt 12 Abs 2 der Bedingungen für Anbindungen, Datenfeeds und Import), verarbeitet Vermittco bis zu ihrer Löschung durch den Anbieter, spätestens bis zur Beendigung des Plattform-Nutzungsvertrags, nach dieser Vereinbarung weiter.
(2) Für die Rückgabe stehen die Export-Funktionen im Konto in einem gängigen, maschinenlesbaren Format zur Verfügung. Ist das Konto nicht mehr zugänglich, übermittelt Vermittco die Daten auf Verlangen innerhalb der Frist nach Absatz 1 in diesem Format.
(3) Ausgenommen von der Löschung sind nur Daten, zu deren Speicherung Vermittco nach Unionsrecht oder österreichischem Recht verpflichtet ist (Art. 28 Abs 3 lit. g DSGVO). Diese Daten werden für jede andere Verwendung gesperrt und nach Ablauf der Pflicht gelöscht. Daten, die Vermittco nicht im Auftrag, sondern als eigener Verantwortlicher verarbeitet (siehe Präambel) — etwa Bestellungen über die Plattform, Belege und die Plattform-Aufzeichnungen nach § 18 Abs 11 UStG —, sind nicht Gegenstand dieser Vereinbarung; für ihre Aufbewahrung gilt die Datenschutzerklärung.
(4) Aus verschlüsselten Sicherungskopien verschwinden gelöschte Daten mit dem Ablauf der Sicherungskopie, spätestens nach 30 Tagen.
(1) Für die Haftung im Verhältnis zwischen den Parteien gilt § 10 der AGB. Die Beschränkungen in § 10 Abs 4 der AGB gelten nicht für den Ausgleich nach Art. 82 Abs 5 DSGVO, soweit der Schaden auf Vorsatz oder grober Fahrlässigkeit von Vermittco beruht. Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO; Geldbußen der Aufsichtsbehörden richten sich nach Art. 83 DSGVO.
(2) Pflichten des Anbieters. Der Anbieter bleibt als Verantwortlicher dafür zuständig, dass er die Daten rechtmäßig erhebt und an Vermittco übermittelt, seine Kunden nach Art. 13 und 14 DSGVO auch über die Verarbeitung durch Vermittco informiert und eine gegebenenfalls erforderliche Einwilligung einholt. Er informiert Vermittco unverzüglich in Textform, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung im Auftrag feststellt. Für Anbindungen hinterlegt er, wo möglich, nur Zugangsdaten mit den geringsten erforderlichen Berechtigungen und widerruft sie im Quellsystem, wenn die Anbindung endet (Abschnitt 6 Abs 2 der Bedingungen für Anbindungen, Datenfeeds und Import).
(3) Änderungen dieser Vereinbarung werden nach § 13 der AGB angekündigt und wirksam; dabei gilt auch die Mindestfrist nach Art. 3 Abs 2 der Verordnung (EU) 2019/1150 (§ 13 Abs 5 der AGB). Für die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter gilt ausschließlich § 5 Abs 3. Änderungen, die das Schutzniveau dieser Vereinbarung oder die Rechte des Anbieters nach Art. 28 DSGVO verringern, werden nur mit ausdrücklicher Zustimmung des Anbieters wirksam.
(4) Widersprechen sich diese Vereinbarung und die AGB, geht in Fragen der Auftragsverarbeitung diese Vereinbarung vor.
(5) Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
(6) Für das anwendbare Recht, den Gerichtsstand und die Vertragssprache gilt § 21 der AGB: Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts; ausschließlicher Gerichtsstand ist das für 4222 St. Georgen an der Gusen, Österreich, sachlich und örtlich zuständige Gericht, je nach sachlicher Zuständigkeit also das Bezirksgericht Perg oder das Landesgericht Linz; Vermittco kann den Anbieter auch vor dem Gericht seines allgemeinen Gerichtsstands klagen, sofern dieses in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Übereinkommens von Lugano liegt; Vertragssprache ist Deutsch. Die Befugnisse der Aufsichtsbehörden und die Rechte betroffener Personen nach der DSGVO bleiben unberührt.
(7) Diese Vereinbarung wird in elektronischem Format geschlossen (Art. 28 Abs 9 DSGVO). Die jeweils geltende Fassung ist unter vermittco.com/avv.html abrufbar und kann gedruckt oder als PDF gespeichert werden; die Fassung, der der Anbieter zugestimmt hat, sowie frühere Fassungen übermittelt Vermittco auf Verlangen in Textform. Zwingende Pflichten aus der DSGVO gehen dieser Vereinbarung vor; fehlt eine nach Art. 28 Abs 3 DSGVO erforderliche Regelung oder ist sie unwirksam, gilt die gesetzliche Pflicht als vereinbart.
(1) Ansprechpartner von Vermittco für alle Fragen zu dieser Vereinbarung, für Einzelweisungen, für Anträge betroffener Personen und für Rückfragen zu Meldungen nach § 7 ist Dominik Starzengruber, erreichbar unter [email protected], telefonisch unter +43 677 63664711 und über die Anschrift im Impressum. Ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen des Art. 37 Abs 1 DSGVO nicht vorliegen.
(2) Mitteilungen von Vermittco an den Anbieter nach dieser Vereinbarung gehen in Textform an die im Konto hinterlegte E-Mail-Adresse; Vermittco kann sie zusätzlich als Mitteilung im Konto anzeigen. Der Anbieter hält diese E-Mail-Adresse aktuell und kann in Textform an [email protected] eine gesonderte Adresse für Mitteilungen in Datenschutzangelegenheiten benennen; Mitteilungen nach dieser Vereinbarung gehen dann an diese Adresse.
(1) Vermittco führt ein Verzeichnis zu allen Kategorien von im Auftrag des Anbieters durchgeführten Tätigkeiten der Verarbeitung (Art. 30 Abs 2 DSGVO) und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.
(2) Vermittco arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO). Es informiert den Anbieter unverzüglich über Kontrollhandlungen, Anfragen und Maßnahmen der Aufsichtsbehörde, soweit sie die Verarbeitung im Auftrag des Anbieters betreffen und die Mitteilung nicht gesetzlich untersagt ist. Wird der Anbieter von einer Aufsichtsbehörde, einer betroffenen Person oder einem Dritten wegen der Verarbeitung im Auftrag in Anspruch genommen, unterstützt ihn Vermittco mit den ihm vorliegenden Informationen.