Fassung vom 12. November 2026
Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen dem bei der Registrierung angegebenen Zaunbaubetrieb (nachfolgend „Auftraggeber“) und der 666 Commerce GmbH, Lilienberggasse 12/4, 1130 Wien, Österreich (nachfolgend „Auftragnehmer“). Der Vertrag kommt durch die Bestätigung bei der Registrierung bzw. im Zaunplaner-Portal zustande; Zeitpunkt und Fassung der Bestätigung werden gespeichert.
1. Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber den Zaunplaner bereit – einen Online-Zaunrechner, mit dem Endkunden des Auftraggebers Angebote erstellen und Anfragen an den Auftraggeber senden. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag gilt, solange der Auftraggeber den Zaunplaner nutzt, und endet mit der Löschung seines Kontos.
2. Art, Zweck, Daten und Betroffene
- Zweck: Berechnung und Erstellung von Angeboten, Speicherung und Übermittlung von Kundenanfragen an den Auftraggeber, Versand des Angebots an den Endkunden, Anzeige der Anfragen im Portal.
- Arten von Daten: Name, Postleitzahl, E-Mail-Adresse, Telefon-/WhatsApp-Nummer, Nachricht, Wunschtermin, Zaun-Konfiguration, Positionen und Preise, Einwilligungszeitpunkt.
- Betroffene: Interessenten und Kunden des Auftraggebers.
- Art der Verarbeitung: Erheben, Speichern, Übermitteln, Anzeigen, Löschen.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und den Einstellungen und Aktionen des Auftraggebers im Portal (z. B. Löschen einzelner Anfragen). Ist der Auftragnehmer gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz dies nicht verbietet. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber darauf hin.
4. Pflichten des Auftragnehmers
- Vertraulichkeit: Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
- Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.
- Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung usw.) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Betroffenenanfragen, die beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter.
- Datenpannen: Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten.
- Löschung: Anfragen werden 24 Monate nach Eingang automatisch gelöscht, früher auf Weisung des Auftraggebers. Mit Löschung des Kontos werden alle Anfragen des Auftraggebers gelöscht. Vor der Löschung kann der Auftraggeber seine Daten im Portal herunterladen.
- Nachweise: Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung und in angemessenem Umfang.
5. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber vorab per E-Mail; der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen und den Zaunplaner in diesem Fall durch Löschung seines Kontos beenden. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.
6. Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Kunden. Er hinterlegt im Portal einen Link zu seiner Datenschutzerklärung, der im Anfrageformular angezeigt wird, und verweist dort auf den Einsatz des Zaunplaners. Er behandelt seinen persönlichen Portal-Link vertraulich.
7. Schlussbestimmungen
Es gilt österreichisches Recht. Gerichtsstand ist Wien, soweit gesetzlich zulässig. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Im Übrigen gelten die Nutzungsbedingungen des Zaunplaners.
Anlage 1 – Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung aller Daten (HTTPS/TLS).
- Datenbank in der EU (Frankfurt am Main), verschlüsselte Speicherung, kein direkter Zugriff von außen (Row Level Security gesperrt); Zugriff nur über die Server-Schnittstelle.
- Zugang zum Portal nur über einen zufälligen, langen persönlichen Link; gespeichert wird nur dessen kryptografischer Hash.
- Mandantentrennung: Jeder Auftraggeber sieht ausschließlich seine eigenen Anfragen.
- Angebotslinks für Endkunden sind zufällige, nicht erratbare Kennungen.
- Schutz vor Missbrauch durch Anfragebegrenzung und Spam-Filter; IP-Adressen werden nur kurzzeitig im Arbeitsspeicher verwendet.
- Administrativer Zugriff auf Systeme nur durch die Geschäftsführung, mit Zwei-Faktor-Authentifizierung bei den Dienstleistern.
- Automatische Löschung von Anfragen nach 24 Monaten; Löschfunktionen und Datenexport im Portal.
- Regelmäßige Datensicherung durch den Hosting-Dienstleister.
Anlage 2 – Unterauftragsverarbeiter
- Supabase Inc. (USA) – Datenbank und Server-Funktionen; Verarbeitungsort: Frankfurt am Main (AWS eu-central-1); Absicherung allfälliger Zugriffe aus Drittländern durch EU-Standardvertragsklauseln.
- Shopify International Ltd., Victoria Buildings, 1–2 Haddington Road, Dublin 4, Irland – Auslieferung der Webseiten und Medien.
- E-Mail-Versanddienst für Angebots- und Benachrichtigungs-E-Mails (Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln).
