Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag wird elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO): bei der Registrierung oder — bei bestehenden Konten — durch Bestätigung beim nächsten Anmelden. Fassung, Zeitpunkt und bestätigendes Konto werden gespeichert. Eine unterzeichnete Papierfassung ist dafür nicht erforderlich.

§ 1 Vertragsparteien

Verantwortlicher (der Kunde, der Subsumio zur Verarbeitung personenbezogener Daten nutzt):

Die Kanzlei bzw. das Unternehmen, für das das Subsumio-Konto registriert ist, mit den in den Konto- und Kanzleieinstellungen hinterlegten Angaben (Name, Anschrift, E-Mail); vertreten durch die Person, die den Vertrag bei der Registrierung bzw. Bestätigung abschließt.

Auftragsverarbeiter (Anbieter des gehosteten Subsumio-Dienstes):

Logcon East GmbH
Eßlinger Hauptstraße 188B/Haus 4
1220 Wien, Österreich
E-Mail: info@logconeast.com

§ 2 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand: Bereitstellung des gehosteten Subsumio-Cloud-Dienstes zur Organisation, Suche und Synthese von Dokumenten und Aktendaten.

(2) Dauer: Für die Laufzeit des Hauptvertrags (gemäß AGB), sofern nicht früher beendet.

(3) Art und Zweck: Speicherung, Volltext- und semantische Suche, KI-gestützte Synthese und Agenten-Workflows auf vom Verantwortlichen hochgeladenen Dokumenten. Keine Nutzung von Inhalten zum KI-Training.

(4) Art personenbezogener Daten: Bestandsdaten (E-Mail, Name) sowie alle personenbezogenen Daten, die der Verantwortliche innerhalb von Inhalten hochlädt (z. B. Akten, Mandantenkorrespondenz, Rechnungen).

(5) Kategorien betroffener Personen: Mandanten, Gegenseite, Zeugen, Mitarbeiter und weitere Personen, deren Daten in den Dokumenten des Verantwortlichen enthalten sind.

§ 3 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Der Auftragsverarbeiter:

• verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung an Drittländer, sofern nicht EU- oder mitgliedstaatliches Recht dies erfordert; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;
• informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt;
• stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; die berufliche Verschwiegenheit regelt § 4a;
• trifft geeignete technische und organisatorische Maßnahmen (TOM, § 5);
• beachtet die Bedingungen für die Heranziehung von Unterauftragsverarbeitern (§ 4);
• unterstützt den Verantwortlichen bei der Beantwortung von Auskunftsersuchen betroffener Personen;
• unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach den Art. 32–36 DSGVO (Sicherheit, Verletzungsmitteilung, DSFA, Vorabkonsultation);
• löscht oder gibt alle personenbezogenen Daten nach Ende der Leistung zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• macht alle Informationen verfügbar, die zur Demonstration der Compliance erforderlich sind, und ermöglicht und trägt zu Audits bei.

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung für die in der Datenschutzerklärung (Abschnitt 8) aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinzuzufügender oder ersetzender Unterauftragsverarbeiter und gibt ihm die Möglichkeit zum Widerspruch.

(2) Aktuelle Unterauftragsverarbeiter (identisch mit Abschnitt 8 der Datenschutzerklärung). Einträge mit Zusatz sind nur beteiligt, wenn der Verantwortliche die jeweilige Funktion aktiviert bzw. die genannte Bedingung erfüllt ist; PostHog betrifft ausschließlich die Website, nicht die Inhalte des Verantwortlichen.

(3) Bei Unterauftragsverarbeitern außerhalb des EWR erfolgen Übermittlungen auf der in der Tabelle je Anbieter genannten Grundlage (Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 bzw. 47 DSGVO) und mit ergänzenden Maßnahmen, soweit erforderlich.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen, einschließlich einer Pflicht zur Vertraulichkeit (Art. 28 Abs. 4 DSGVO).

(5) Der Auftragsverarbeiter haftet voll für Unterauftragsverarbeiter wie für eigene Verarbeitung.

§ 4a Berufliche Verschwiegenheit und behördlicher Zugriff

(1) Rechtsanwältinnen und Rechtsanwälte sind zur Verschwiegenheit über die ihnen anvertrauten Angelegenheiten verpflichtet (§ 9 Abs. 2 RAO). Der Verantwortliche überbindet diese Verschwiegenheitspflicht mit diesem Vertrag nachweislich auf den Auftragsverarbeiter als externen Dienstleister der elektronischen Datenverarbeitung (§ 40 Abs. 2 und 3 RL-BA 2015). Der Auftragsverarbeiter verpflichtet sich, über alle Angelegenheiten des Verantwortlichen und seiner Klienten, die ihm bei der Erbringung des Dienstes bekannt werden, Verschwiegenheit zu wahren. Diese Pflicht gilt über das Ende des Vertrags hinaus.

(2) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu Daten des Verantwortlichen haben können, nachweislich in gleicher Weise zur Verschwiegenheit und gewährt Zugang nur so verpflichteten Personen.

(3) Unterauftragsverarbeiter sind vertraglich zur Vertraulichkeit verpflichtet (§ 4 Abs. 4). Die berufsrechtliche Verschwiegenheit und die Informationspflicht nach Abs. 4 sind einem Unterauftragsverarbeiter nur überbunden, soweit dies mit ihm ausdrücklich vereinbart ist; die Tabelle in § 4 Abs. 2 weist das je Anbieter aus. Mehrere Anbieter arbeiten zu Standardbedingungen, die eine solche Vereinbarung nicht vorsehen; der Verantwortliche berücksichtigt das bei der Auswahl nach § 40 Abs. 3 RL-BA 2015. Der Auftragsverarbeiter bemüht sich, die Überbindung mit Unterauftragsverarbeitern zu vereinbaren, die Daten dauerhaft speichern. Nicht erforderlich ist die Informationspflicht bei Anbietern, die Daten nur kurzzeitig, nicht dauerhaft und ausschließlich für die zwingend erforderliche Dauer und das zwingend erforderliche Ausmaß der Verarbeitung durch ein automatisiertes System verarbeiten (§ 40 Abs. 3 Z 3 RL-BA 2015).

(4) Erfährt der Auftragsverarbeiter von einer Hausdurchsuchung, einer Sicherstellung oder Beschlagnahme, einem Auftrag zur Herausgabe von Daten oder einem sonstigen behördlichen oder gerichtlichen Zugriff auf Daten des Verantwortlichen — bei sich oder, soweit er davon erfährt, bei einem Unterauftragsverarbeiter —, informiert er den Verantwortlichen unverzüglich, soweit ihm dies rechtlich nicht untersagt ist (§ 40 Abs. 3 Z 3 RL-BA 2015). Er weist die zugreifende Stelle darauf hin, dass die Daten der anwaltlichen Verschwiegenheit unterliegen, die durch Herausgabeaufträge oder Beschlagnahme nicht umgangen werden darf (§ 9 Abs. 3 RAO), gibt Daten nur aufgrund einer vollziehbaren Anordnung und nur in deren Umfang heraus und unterstützt den Verantwortlichen dabei, die Verschwiegenheit geltend zu machen, insbesondere durch einen Widerspruch gegen die Sicherstellung (§ 112 StPO). Ist der Verantwortliche nicht rechtzeitig erreichbar, erhebt der Auftragsverarbeiter diesen Widerspruch selbst, soweit dies rechtlich möglich ist.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft folgende TOM:

• Verschlüsselung: TLS 1.2 oder höher bei der Übertragung. Hochgeladene Originaldateien werden mit AES-256-GCM verschlüsselt abgelegt; Zugangsdaten angebundener Dienste (z. B. Postfach-Passwörter) werden verschlüsselt gespeichert; externe Sicherungskopien werden vor der Übertragung verschlüsselt. Die Datenbank selbst ist nicht zusätzlich auf Anwendungsebene verschlüsselt.
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (RBAC), Least-Privilege, eindeutige Benutzerkonten, MFA verfügbar.
• Authentifizierung: Scrypt-gehashte Passwörter, Session-Tokens signiert mit HMAC-SHA-256.
• Netzwerksicherheit: Firewall, isoliertes Datenbanknetzwerk, kein öffentlicher DB-Zugriff.
• Protokollierung & Monitoring: Unveränderliches Audit-Log mit Hash-Chain (manipulationssicher), Sentry Fehler-Monitoring.
• Backup: Tägliche verschlüsselte Sicherung von Datenbank und Dateien, wöchentliche Wiederherstellungsprobe; rollierende Aufbewahrung der Sicherungen bis zu sechs Monate.
• Datenisolation: Multi-Tenant-Isolation via brain_id; Source-Level-Zugriffskontrolle verhindert Cross-Tenant-Datenlecks.
• Verfügbarkeit: Health-Checks, Auto-Restart, EU-Rechenzentrum in Wien.
• Pseudonymisierung: Interne IDs wo möglich; keine Nutzung von Inhalten zum KI-Training.
• Incident Response: Dokumentiertes Verfahren zur Meldung von Datenschutzverletzungen an den Verantwortlichen — unverzüglich, spätestens binnen 48 Stunden nach Kenntniserlangung (§ 7).

§ 6 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht, auf Auskunftsersuchen betroffener Personen zu antworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Der Verantwortliche kann alle Daten über Einstellungen → Datenschutz → Daten exportieren exportieren. Nutzt eine Einzelperson ohne Team den Dienst, kann sie die Löschung ihres Kontos samt Inhalten selbst in den Einstellungen auslösen. Bei Kanzleien mit mehreren Nutzern löscht die Selbstlöschung nur das persönliche Konto, nicht die gemeinsamen Kanzleidaten; deren Löschung nimmt der Auftragsverarbeiter auf Weisung des Verantwortlichen vor.

§ 7 Verletzung des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.

(2) Die Meldung beschreibt Art der Verletzung, voraussichtliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und betroffene Personen (Art. 34 DSGVO), soweit erforderlich.

§ 8 Audit-Rechte

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV und des Art. 28 DSGVO durch den Auftragsverarbeiter zu prüfen, nach angemessener Ankündigung und während der Geschäftszeiten.

(2) Prüfungen werden durch eigenes Personal des Verantwortlichen oder durch eine verschwiegenheitsgebundene dritte Partei durchgeführt. Der Auftragsverarbeiter stellt die erforderlichen Informationen und Zugänge bereit.

(3) Audit-Berichte, etwaige Zertifizierungen und das unveränderliche Audit-Log können beim Auftragsverarbeiter angefordert werden.

§ 9 Löschung bei Vertragsende

Auf Wunsch des Verantwortlichen löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Ende des Dienstvertrages, sofern keine gesetzliche Aufbewahrungspflicht (§ 132 BAO) besteht. Ein vollständiger Export kann vor der Löschung ausgelöst werden. Die Löschung wird im unveränderlichen Audit-Trail protokolliert.

§ 10 Haftung

Die Haftung unter diesem AVV richtet sich nach den AGB (§ 8), ergänzt durch Art. 82 DSGVO. Der Auftragsverarbeiter haftet für Schäden, die durch eine Verarbeitung in Verletzung der DSGVO entstanden sind, nur soweit er seinen spezifischen Pflichten nicht nachgekommen ist.

§ 11 Schlussbestimmungen

(1) Dieser AVV ist Teil des Hauptvertrags und geht im Konfliktfall bezüglich Datenschutz vor. (2) Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts. (3) Ausschließlicher Gerichtsstand für Unternehmer ist Wien, Österreich. (4) Änderungen werden mit angemessener Frist mitgeteilt.

Siehe auch: Datenschutz · AGB · Impressum · Barrierefreiheit