1. Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der cloudbasierten Software GlowManager zur Verwaltung von Kunden, Rechnungen, Einnahmen/Ausgaben, digitalen Formularen und — je nach gebutetem Paket — von Terminbuchungen und Galerie-Inhalten des Verantwortlichen.
2. Die Auftragsverarbeitung beginnt mit der Registrierung des Verantwortlichen auf der Plattform und endet mit der Löschung des Accounts oder der Kündigung des Nutzungsvertrags, je nachdem, was zuerst eintritt.
3. Nach Beendigung des Vertragsverhältnisses werden alle personenbezogenen Daten gemäß § 9 dieses Vertrages behandelt.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich für folgende Zwecke:

Eine Verarbeitung zu anderen als den hier genannten Zwecken ist dem Auftragsverarbeiter nicht gestattet. Eine Nutzung der Daten für eigene Zwecke des Auftragsverarbeiters, insbesondere für Werbung oder Profilbildung, ist ausdrücklich ausgeschlossen.

Betroffene Personengruppen:

• Kunden (Endkunden) des Verantwortlichen
• Geschäftspartner und Lieferanten des Verantwortlichen
• Mitarbeitende des Verantwortlichen (sofern als Nutzer angelegt)

Verarbeitete Datenkategorien:

• Stammdaten: Vor- und Nachname, Firmenname, Geburtsdatum
• Kontaktdaten: Anschrift, E-Mail-Adresse, Telefonnummer
• Vertragsdaten: Leistungsvereinbarungen, Einverständniserklärungen, Vertragsunterlagen
• Finanzdaten: Rechnungsbeträge, Zahlungsstatus, Kontoverbindung (IBAN/BIC des Verantwortlichen)
• Biometrische Identifikationsdaten: digitale Unterschriften (grafische Signatur)
• Bilddaten: Fotos (Vorher/Nachher, nur Premium)
• Termindaten: Wunschtermine, Buchungsanfragen, Servicewahl
• Metadaten: Zeitstempel von Aktionen, IP-Adressen (Session-Logs)

Es werden keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten, Daten zur ethnischen Herkunft) systematisch verarbeitet. Sollte der Verantwortliche solche Daten in Freitextfeldern erfassen, liegt die datenschutzrechtliche Verantwortung dafür beim Verantwortlichen.

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der in diesem Vertrag und in den Nutzungsbedingungen enthaltenen Weisungen.
2. Der Auftragsverarbeiter gewährleistet, dass sich die mit der Verarbeitung beauftragten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung (siehe § 7 dieses Vertrags).
4. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Erfüllung der Pflichten zur Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit).
5. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Datenpannenmeldung, DSFA).
6. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen.
7. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn nach seiner Auffassung eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

1. Der Verantwortliche ist allein verantwortlich für die rechtmäßige Erhebung und Verarbeitung der personenbezogenen Daten seiner Kunden sowie für die Erteilung rechtmäßiger Weisungen an den Auftragsverarbeiter.
2. Der Verantwortliche stellt sicher, dass er über ausreichende Rechtsgrundlagen für die Verarbeitungsvorgänge verfügt, zu deren Zweck er den Auftragsverarbeiter beauftragt.
3. Der Verantwortliche informiert seine Kunden über die Verarbeitung ihrer personenbezogenen Daten durch GlowManager im Rahmen seiner eigenen Datenschutzerklärung.
4. Der Verantwortliche meldet ihm bekannte Sicherheitsvorfälle oder Datenschutzverletzungen unverzüglich an den Auftragsverarbeiter.
5. Der Verantwortliche stellt sicher, dass nur berechtigte Personen Zugang zu den Systemen des Auftragsverarbeiters erhalten, und verwaltet Zugangsdaten sorgfältig.

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein, denen gegenüber er die gleichen datenschutzrechtlichen Verpflichtungen auferlegt wie in diesem Vertrag:

Der Verantwortliche erteilt hiermit eine generelle Genehmigung für den Einsatz weiterer Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen (Hinzufügung oder Ersetzung) mit einer Frist von mindestens 30 Tagen per E-Mail. Der Verantwortliche kann eine geplante Änderung innerhalb von 14 Tagen schriftlich widersprechen.

Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO folgende Maßnahmen zur Sicherheit der Verarbeitung:

Der Auftragsverarbeiter verpflichtet sich, die TOMs regelmäßig zu überprüfen und dem Stand der Technik anzupassen.

1. Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten (Datenpannen) gemäß Art. 33 Abs. 2 DSGVO unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden per E-Mail.
2. Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung, die ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.
3. Meldungen an die Datenschutzbehörde (DSB) gemäß Art. 33 Abs. 1 DSGVO sowie Benachrichtigungen betroffener Personen gemäß Art. 34 DSGVO obliegen dem Verantwortlichen.
4. Für Datenpannenmeldungen ist folgende Kontaktadresse des Auftragsverarbeiters maßgeblich: info@glowmanager.at

1. Nach Beendigung des Nutzungsvertrags kann der Verantwortliche innerhalb von 30 Tagen einen vollständigen Export seiner Daten (Kunden, Rechnungen, EAR-Buchungen) als CSV/PDF anfordern.
2. Nach Ablauf dieser Frist werden alle personenbezogenen Daten des Verantwortlichen und seiner Endkunden aus den Systemen des Auftragsverarbeiters unwiderruflich gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
3. Gesetzlich vorgeschriebene Aufbewahrungsfristen (insbesondere nach der österreichischen Bundesabgabenordnung, 7 Jahre) bleiben unberührt und werden vom Auftragsverarbeiter für seine eigenen Buchhaltungsunterlagen (Zahlungsbelege) eingehalten.
4. Auf Wunsch bestätigt der Auftragsverarbeiter die erfolgte Löschung schriftlich per E-Mail.

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen soweit technisch möglich bei der Erfüllung von Betroffenenanfragen (Auskunft gem. Art. 15, Berichtigung gem. Art. 16, Löschung gem. Art. 17, Einschränkung gem. Art. 18, Datenübertragbarkeit gem. Art. 20 DSGVO).
2. Betroffenenrechte können vom Verantwortlichen direkt über die GlowManager-Oberfläche ausgeübt werden (Kundendaten bearbeiten, löschen, exportieren). Für darüber hinausgehende Anfragen wendet sich der Verantwortliche an info@glowmanager.at.
3. Anfragen betroffener Personen, die sich direkt an den Auftragsverarbeiter wenden, werden unverzüglich an den Verantwortlichen weitergeleitet.

1. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für Schäden, die durch eine vertragswidrige Verarbeitung oder Verletzung dieses AVV entstehen, nach Maßgabe der allgemeinen gesetzlichen Bestimmungen.
2. Der Verantwortliche haftet für alle Schäden, die aus einer unrechtmäßigen Weisung, einer unzureichenden Rechtsgrundlage oder einer fehlerhaften Dateneingabe in das System entstehen.
3. Im Übrigen gilt die im Nutzungsvertrag zwischen den Parteien vereinbarte Haftungsbeschränkung.

1. Anwendbares Recht: Dieser Vertrag unterliegt österreichischem Recht, insbesondere der DSGVO, dem österreichischen Datenschutzgesetz (DSG 2018) und dem TKG 2021.
2. Gerichtsstand: Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Baden, Niederösterreich, Österreich.
3. Schriftform: Änderungen dieses Vertrags bedürfen der Schriftform. Die Schriftformerfordernis gilt als gewahrt, wenn Änderungen per E-Mail mitgeteilt und vom Verantwortlichen nicht innerhalb von 30 Tagen widersprochen wird.
4. Salvatorische Klausel: Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit des Vertrags im Übrigen unberührt.
5. Vorrang: Im Widerspruchsfall haben die Regelungen dieses AVV Vorrang vor den Allgemeinen Nutzungsbedingungen, soweit datenschutzrechtliche Fragen betroffen sind.
6. Akzeptanz bei Registrierung: Durch Abschluss des Registrierungsvorgangs auf glowmanager.at bestätigt der Verantwortliche, diesen AVV gelesen, verstanden und akzeptiert zu haben. Der Zeitstempel der Akzeptanz wird vom Auftragsverarbeiter gespeichert.