Auftragsverarbeitungsvereinbarung

Diese Auftragsverarbeitungsvereinbarung wird abgeschlossen zwischen dem Kunden (im Folgenden kurz „Verantwortlicher") und der Timesheet - Mobile Time Tracking OG, Untere Weißgerberstrasse 43 1/2, 1030 Wien, Österreich, die den Dienst FirstReply betreibt (im Folgenden kurz „Auftragsverarbeiter"), zusammen die „Parteien".

„Kunde" bedeutet in diesem Zusammenhang einerseits unabhängige einzelne Nutzer unserer Dienste, wie Freiberufler oder andere Personen, die sich unabhängig von einem Arbeitgeber oder einer sonstigen Organisation zur Nutzung registrieren („Einzelkunde"). Im Falle von Unternehmen, Organisationen, Institutionen, Personengruppen oä, die unsere Dienste zur Verwaltung des Kundensupports ihres Unternehmens nutzen und zu diesem Zweck für die ihrer FirstReply-Organisation zugeordneten Mitarbeiter oder anderen Personen Lizenzen erworben haben („Unternehmenskunden"), gelten das jeweilige Unternehmen, die Organisation, Institution, Personengruppe oä als Kunde und somit Verantwortlicher.

1. Gegenstand der Auftragsverarbeitungsvereinbarung

  1. Diese Auftragsverarbeitungsvereinbarung (in der Folge auch kurz „AVV") regelt in Ergänzung zur Datenschutzerklärung die Verarbeitung von personenbezogenen Daten (in der Folge auch kurz „Daten") durch den Auftragsverarbeiter im Rahmen des zwischen den Parteien abgeschlossenen Vertrages über die Nutzung der App FirstReply. FirstReply ist eine KI-gestützte Plattform für den Kundensupport. Sie wird als über den Browser aufrufbare Web-App angeboten, verbindet die Support-Kanäle des Verantwortlichen (etwa E-Mail-Postfächer, WhatsApp, Facebook Messenger, Instagram, LinkedIn und Google-Play-Bewertungen) und ermöglicht die automatisierte Verarbeitung von Kundensupport-Unterhaltungen mittels künstlicher Intelligenz, einschließlich Klassifizierung, KI-gestützter und automatisierter Antworten, Übersetzung, Kontaktverwaltung, einer Wissensdatenbank sowie Auswertungen und Berichten. (In der Folge kurz „Dienste" oder „App".)

  2. Die Regelung der wirtschaftlichen und rechtlichen Konditionen und eine genaue technische oder fachmännische Beschreibung dieser Dienste sind nicht Gegenstand der AVV. Diese AVV stellt sicher, dass die Verarbeitung von Daten im Rahmen der Nutzung der Dienste allen anwendbaren rechtlichen Anforderungen, insbesondere gemäß der Datenschutz-Grundverordnung („DSGVO") und dem österreichischen Datenschutzgesetz („DSG"), entspricht. Alle in dieser AVV verwendeten Begriffe haben die Bedeutung, die in der Datenschutzerklärung, den Nutzungsbedingungen oder subsidiär in der DSGVO oder weiter subsidiär in anderen anwendbaren Rechtsvorschriften definiert ist.

2. Dauer

Diese Vereinbarung wird für die Dauer der Nutzung bzw. für die Dauer des zwischen den Parteien geschlossenen Vertrages über die Nutzung der Dienste abgeschlossen.

3. Gegenstand der Auftragsverarbeitung

3.1 Zweck der Verarbeitung

Empfang, Speicherung, Organisation, Klassifizierung, Übersetzung und Beantwortung der Kundensupport-Unterhaltungen des Verantwortlichen über die verbundenen Kanäle, einschließlich KI-basierter Klassifizierung, Antwortentwürfen und automatisierter Antworten, sowie die damit verbundene Kontaktverwaltung, Wissensverwaltung, Auswertung und Berichterstellung. Zweck der Durchführung ist die Unterstützung des Verantwortlichen beim Betrieb seines Kundensupports. Diese Vereinbarung ist als Ergänzung zu dem über die Nutzung der Dienste abgeschlossenen Vertrag zu verstehen.

3.2 Art und Kategorien der Daten

3.2.1 Nutzerdaten

a) Nur Unternehmenskunden: Name, Profilbild (sofern angegeben) und Sprache der einzelnen Lizenznutzer (Teammitglieder).

b) Alle Inhalte, die über die Dienste und die dort verfügbaren Funktionen eingegeben, hochgeladen, bereitgestellt, erhoben oder in jeder anderen Form verarbeitet werden, wie insbesondere Support-Unterhaltungen und Nachrichten einschließlich Anhängen, Kontaktdaten der Kunden des Verantwortlichen (etwa Namen, E-Mail-Adressen, Telefonnummern und Messaging-Kennungen), Postfächer, Vorlagen, Prompts, Klassifizierungen, Wissenseinträge und verbundene Wissensquellen sowie sonstige Uploads, sofern und nur in dem Ausmaß, in dem diese Daten bereitgestellt werden. Davon sind auch sämtliche Daten und Informationen umfasst, die aufgrund der individuell verbindbaren Kanäle und Integrationen zur Verfügung gestellt werden.

c) Der Inhalt von Support-Unterhaltungen und Wissensquellen, der durch künstliche Intelligenz zum Zweck der Klassifizierung, der Antwortentwürfe, der Übersetzung und der Assistenzfunktionen verarbeitet wird und der personenbezogene Daten des Verantwortlichen und Dritter (etwa der Kunden des Verantwortlichen) enthalten kann.

d) Informationen, die von nutzerseitig aktivierten und verbundenen bzw. integrierten Anwendungen von Drittanbietern übermittelt werden, etwa Messaging-Plattformen, Bewertungsplattformen und Wissensquellen-Integrationen.

e) Personenbezogene Daten einzelner Personen, die die Kunden des Verantwortlichen im Rahmen von Support-Unterhaltungen übermitteln, etwa in Nachrichteninhalten oder Anhängen.

4. Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter ist verpflichtet, die Daten ausschließlich im Rahmen der oben genannten Zwecke und in Übereinstimmung mit den Bedingungen dieser Vereinbarung sowie den dokumentierten Anweisungen des Verantwortlichen zu verarbeiten. Erhält der Auftragsverarbeiter einen behördlichen Auftrag, Daten des Verantwortlichen herauszugeben, so hat er, sofern gesetzlich zulässig, den Verantwortlichen unverzüglich darüber zu informieren und die Behörde an diesen zu verweisen. Desgleichen bedarf eine Verarbeitung der Daten für eigene Zwecke des Auftragsverarbeiters eines schriftlichen Auftrages. Die Beschreibung der Datenverarbeitung und der Dienste in den Nutzungsbedingungen, der Datenschutzerklärung und dieser Vereinbarung enthalten abschließend die Anweisungen des Verantwortlichen hinsichtlich der Auftragsverarbeitung.

  2. Der Auftragsverarbeiter erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung beauftragten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen. Insbesondere bleibt die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung beauftragten Personen auch nach Beendigung ihrer Tätigkeit und ihrem Ausscheiden beim Auftragsverarbeiter aufrecht.

  3. Der Auftragsverarbeiter erklärt rechtsverbindlich, dass er alle erforderlichen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art 32 DSGVO ergriffen hat. Der Verantwortliche erklärt, dass diese Maßnahmen iSd Art 32 DSGVO ein angemessenes Schutzniveau gewährleisten. Diese Maßnahmen sind jederzeit auf Anfrage verfügbar und können in Zukunft zwar geändert werden, jedoch darf das derzeitige Schutzniveau nicht unterschritten werden.

  4. Der Auftragsverarbeiter ergreift die technischen und organisatorischen Maßnahmen, damit der Verantwortliche die Rechte der betroffenen Person nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann, und überlässt dem Verantwortlichen alle dafür notwendigen Informationen. Wird ein entsprechender Antrag an den Auftragsverarbeiter gerichtet und lässt dieser erkennen, dass der Antragsteller ihn irrtümlich für den Verantwortlichen der von ihm betriebenen Datenverarbeitung hält, hat der Auftragsverarbeiter den Antrag unverzüglich an den Verantwortlichen weiterzuleiten und dies dem Antragsteller mitzuteilen.

  5. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art 32 bis 36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgenabschätzung, vorherige Konsultation).

  6. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind. Primär wird der Nachweis der Einhaltung durch Überlassung von Urkunden, Bestätigungen oder sonstigen Dokumenten erbracht. Sollten an der Einhaltung dennoch begründete Zweifel aufkommen, wird dem Verantwortlichen hinsichtlich der Verarbeitung der von ihm überlassenen Daten das Recht zur Einsichtnahme und Kontrolle, sei es auch durch von ihm beauftragte Dritte, der Datenverarbeitungseinrichtungen eingeräumt. Die Kosten dafür trägt in jedem Fall der Verantwortliche.

  7. Der Auftragsverarbeiter ist nach Beendigung dieser Vereinbarung verpflichtet, alle Verarbeitungsergebnisse und Unterlagen, die personenbezogene Daten des Verantwortlichen enthalten, nach Wahl des Verantwortlichen entweder zu löschen oder dem Verantwortlichen in einem gängigen Format herauszugeben.

  8. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Verantwortlichen verstoße gegen Datenschutzbestimmungen der Union oder der Mitgliedstaaten.

5. Ort der Durchführung der Datenverarbeitung

  1. Der Kunde anerkennt, dass die Erbringung der vertragsgegenständlichen Dienstleistungen die Übertragung oder Verarbeitung personenbezogener Daten in Länder außerhalb des EWR erfordern kann. Die Bestimmungen dieser Vereinbarung sind auch die Anweisungen des Kunden in Bezug auf Übertragungen in Drittstaaten.

  2. Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der Standardvertragsklauseln in der Fassung des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates bei Übermittlungen personenbezogener Daten an Auftragsverarbeiter mit Sitz in Drittstaaten, die kein angemessenes Datenschutzniveau gewährleisten.

6. Sub-Auftragsverarbeiter

  1. Der Auftragsverarbeiter ist berechtigt, weitere Auftragsverarbeiter („Sub-Auftragsverarbeiter") hinzuzuziehen. Der Auftragsverarbeiter zieht aktuell die unter firstreply.ai/sub-processors genannten Sub-Auftragsverarbeiter hinzu.

  2. Der Auftragsverarbeiter ist berechtigt, zusätzliche Sub-Auftragsverarbeiter hinzuzuziehen.

  3. Er hat den Verantwortlichen von der beabsichtigten Erweiterung oder Änderung der Sub-Auftragsverarbeiter so rechtzeitig zu verständigen, dass er dies allenfalls untersagen kann. Der Auftragsverarbeiter schließt die erforderlichen Vereinbarungen im Sinne des Art 28 Abs 4 DSGVO mit den Sub-Auftragsverarbeitern ab.

7. Pflichten des Kunden

  1. Der Kunde gewährleistet, dass sämtliche personenbezogenen Daten, die dem Auftragsverarbeiter zur Verfügung gestellt werden, in Übereinstimmung mit den geltenden Datenschutzgesetzen erhoben und zur Verfügung gestellt werden und dass er diesbezüglich alle Pflichten, insbesondere zur Information der Betroffenen, der allfälligen Einholung entsprechender Einwilligungen sowie der Dokumentation und Transparenz, einhält.

  2. Der Kunde gewährleistet weiter, dass alle Anweisungen, die er dem Auftragsverarbeiter in Bezug auf die Verarbeitung personenbezogener Daten erteilt, in Übereinstimmung mit den geltenden Gesetzen erfolgen.

  3. Der Kunde wird den Auftragsverarbeiter bei Verstößen gegen diese Pflichten klag- und schadlos halten.

8. Schlussbestimmungen

  1. Diese Vereinbarung unterliegt österreichischem Recht unter Ausschluss des internationalen Privatrechts und des UN-Kaufrechts. Gerichtsstand ist das örtlich und sachlich zuständige Gericht am Sitz des Auftragsverarbeiters.

  2. Sollte eine Bestimmung dieser Vereinbarung unwirksam oder undurchführbar sein oder werden, berührt dies die Wirksamkeit ihrer übrigen Bestimmungen nicht. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine neue, wirksame Regelung zu vereinbaren, die dem Sinn und Zweck der unwirksamen Regelung am nächsten kommt. Dasselbe gilt für Lücken in dieser Vereinbarung.

  3. Die Haftung des Auftragsverarbeiters beschränkt sich auf Schäden, die durch eine Verarbeitung verursacht wurden, die nicht den Verpflichtungen des Auftragsverarbeiters gemäß der DSGVO und dieser Vereinbarung entsprach, oder wenn der Auftragsverarbeiter außerhalb oder entgegen den rechtmäßigen Anweisungen des Verantwortlichen gehandelt hat. Die Haftung ist zudem auf grobe Fahrlässigkeit und Vorsatz sowie auf das dreifache Jahresentgelt des abgeschlossenen Vertrages beschränkt.

Version: 16. Juli 2026