CoachDesk · Fassung beta-2026-11-14

Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO

zwischen

Verantwortliche:r („Auftraggeber:in“): die Nutzerin bzw. der Nutzer von CoachDesk laut Konto (Name, Anschrift und E-Mail aus der Registrierung)

und

Auftragsverarbeiter („Auftragnehmer“): Bernhard Millauer, Margaretengürtel 116/25, 1050 Wien, E-Mail: [email protected]

1. Gegenstand, Dauer, Art und Zweck

1.1 Der Auftragnehmer stellt der Auftraggeberin die Web-Anwendung CoachDesk zur Verwaltung von Klient:innen, Terminen, Protokollen, Dokumenten und Kommunikation bereit (Software as a Service) und verarbeitet dabei personenbezogene Daten im Auftrag. Einzelheiten zu Datenarten und Betroffenen: Anlage 1.

1.2 Art der Verarbeitung: Speichern, Organisieren, Anzeigen, Durchsuchen, Auswerten (Statistiken, Berichte), Umwandeln (Vorschauen von Dokumenten), Übermitteln auf Anweisung (Versand von E-Mails an Klient:innen über den Versand des Auftragnehmers unter @coachdesk.at, optional an einen von der Auftraggeberin gewählten KI-Anbieter), Sichern und Löschen.

1.3 Der Vertrag gilt, solange der Auftragnehmer Daten der Auftraggeberin verarbeitet, also bis zur vollständigen Löschung nach Punkt 10, und endet nicht vorher durch Löschung des Kontos.

2. Weisungen

2.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung der Auftraggeberin, auch bei Übermittlungen in Drittländer, außer er ist gesetzlich dazu verpflichtet; dann teilt er ihr das vorher mit, sofern das Gesetz es nicht verbietet (Art. 28 Abs. 3 lit. a).

2.2 Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Bedienung der Anwendung durch die Auftraggeberin (z. B. Senden einer E-Mail, Einschalten der KI, Löschen einer Akte). Weitere Weisungen erteilt sie per E-Mail an [email protected].

2.3 Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er die Auftraggeberin unverzüglich (Art. 28 Abs. 3 Satz 3).

2.4 Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung, Statistiken über die Auftraggeberin hinaus oder zum Training von KI-Modellen.

3. Vertraulichkeit

3.1 Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b; § 6 DSG). Derzeit ist das ausschließlich Bernhard Millauer als Systemadministrator.

3.2 Datenbank, Dokumente und Sicherungen jedes Mandanten sind mit einem eigenen Schlüssel verschlüsselt gespeichert; Zugangsdaten (Passwörter für E-Mail-Konten, Zwei-Faktor-Geheimnisse, API-Schlüssel) ebenso. Die Hauptschlüssel verwahrt der Auftragnehmer. Er kann daher technisch auf Inhalte zugreifen; er tut das nur, wenn es zur Behebung einer Störung nötig ist oder die Auftraggeberin darum bittet, und informiert sie darüber. Die Betreiber-Konsole der Anwendung zeigt keine Inhalte der Mandanten.

3.3 Die Auftraggeberin unterliegt in der Regel einer gesetzlichen Verschwiegenheitspflicht (für Lebens- und Sozialberater:innen § 119 Abs. 4 GewO). Der Auftragnehmer wahrt die ihm dabei zugänglichen Geheimnisse ebenso und verpflichtet alle Personen mit Zugang entsprechend.

4. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 (TOM-Blatt, tom.md) beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen teilt er mit.

5. Unterauftragsverarbeiter

5.1 Die Auftraggeberin genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung, Art. 28 Abs. 2).

5.2 Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 30 Tage vorher per E-Mail an. Die Auftraggeberin kann aus wichtigem datenschutzrechtlichem Grund widersprechen; wird keine Lösung gefunden, kann sie den Vertrag beenden und ihre Daten nach Punkt 10 zurückerhalten.

5.3 Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4) und haftet für dessen Einhaltung.

5.4 Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die die Auftraggeberin selbst auswählt und mit denen sie selbst einen Vertrag hat: ihr KI-Anbieter (eigener Endpunkt und API-Schlüssel; nur nach Freischaltung auf ihren Antrag und ihrer ausdrücklichen Zustimmung, in ihrer eigenen Verantwortung) und Messenger-Dienste, aus denen sie Verläufe importiert (siehe Frage A-4).

6. Rechte der betroffenen Personen

Der Auftragnehmer unterstützt die Auftraggeberin bei Anfragen von Betroffenen (Art. 12–22) durch Funktionen der Anwendung: Bearbeiten und Löschen von Daten, Datenauskunft je Klient:in (ZIP-Export), Anonymisieren einer Klientenakte, Gesamtarchiv (Punkt 10). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

7. Unterstützung bei Art. 32–36

Der Auftragnehmer unterstützt die Auftraggeberin bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation, soweit ihm Informationen vorliegen (Art. 28 Abs. 3 lit. f), insbesondere durch dieses Vertragswerk und das TOM-Blatt.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet der Auftraggeberin eine Verletzung unverzüglich, spätestens 24 Stunden nach Kenntnis, per E-Mail an die Kontoadresse, mit den Angaben nach Art. 33 Abs. 3, soweit bekannt (Art. 33 Abs. 2). Die Meldung an die Datenschutzbehörde (binnen 72 Stunden, Art. 33 Abs. 1) und die Benachrichtigung der Betroffenen bleiben Sache der Auftraggeberin; der Auftragnehmer unterstützt sie dabei.

9. Nachweise und Kontrollen

Der Auftragnehmer stellt alle Informationen zum Nachweis der Pflichten aus Art. 28 bereit und ermöglicht Überprüfungen durch die Auftraggeberin oder einen von ihr beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Vorankündigung von 14 Tagen (Art. 28 Abs. 3 lit. h). Für das Rechenzentrum genügt der jährliche Prüfbericht von Hetzner (TÜV Rheinland / i-sec), soweit Hetzner die Weitergabe erlaubt.

10. Rückgabe und Löschung bei Vertragsende

10.1 Am Ende der Leistung kann die Auftraggeberin ein vollständiges Archiv aller ihrer Daten anfordern (strukturiertes, maschinenlesbares Format wie JSON/XLSX und alle Dokumente als Dateien). Es wird im Hintergrund erstellt und ist 7 Tage abrufbar.

10.2 Nach der Löschung des Kontos und einer Frist von 14 Tagen löscht der Auftragnehmer den Mandanten (Datenbank, Dokumente, Vorschauen, Mail-Zwischenablagen) vollständig, einschließlich des Mandantenschlüssels. Sicherungskopien werden nicht einzeln bereinigt, sondern laufen nach 30 Tagen aus; bis dahin sind sie verschlüsselt und nur für eine Wiederherstellung zugänglich.

10.3 Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt; Klientendaten betrifft das nicht.

10.4 Auf Wunsch bestätigt der Auftragnehmer die Löschung schriftlich.

11. Haftung und Schlussbestimmungen

11.1 Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Nutzungsbedingungen.

11.2 Der Vertrag wird elektronisch abgeschlossen (Art. 28 Abs. 9): durch Bestätigung bei der Registrierung, mit gespeicherter Fassung und Zeitpunkt. Änderungen werden wie Änderungen der Nutzungsbedingungen mitgeteilt.

11.3 Es gilt österreichisches Recht. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor.

Anlage 1 – Datenarten und betroffene Personen

Betroffene Personen

• Klient:innen der Auftraggeberin (auch ehemalige und Interessent:innen),
• Personen, die in Notizen, Protokollen, Dokumenten oder Nachrichten erwähnt werden (z. B. Angehörige, zuweisende Stellen, Arbeitgeber),
• Absender:innen und Empfänger:innen von E-Mails und Nachrichten,
• die Auftraggeberin selbst und – bei Teams – weitere Nutzer:innen ihres Mandanten.

Datenarten (Stand ajour-manager 1.34.0)

• Stammdaten der Klient:innen: Name, Anrede, Titel, Ansprache (Sie/Du), Klientennummer, E-Mail-Adresse, Mobilnummer, Status, Eintritts-/Austrittsdatum, Beendigungsgrund, Anmerkungen, Foto (optional), Budget.
• Termine: Datum, Uhrzeit, Art, Einheiten, Entgelt, Bestätigungen, Absagen und Verschiebungen, Gesprächsprotokoll und nächste Schritte (Freitext, oft diktiert), KI-Zusammenfassungen (optional).
• Dokumente: hochgeladene Dateien (PDF, Word, Excel, Bilder bis 25 MB, z. B. Lebensläufe, Berichte, Erstgesprächsbögen) samt erzeugter Vorschauen.
• Kommunikation: ausgehende und eingehende E-Mails (Betreff, Text, Anhänge), Telefon- und Gesprächsnotizen, erfasste oder importierte Messenger-Nachrichten (z. B. WhatsApp-Export).
• Aufgaben (To-dos), monatliche Budget-Stände, Berichte.
• Protokolldaten: Änderungsprotokoll (wer hat wann was geändert oder vertrauliche Inhalte geöffnet).

Besondere Kategorien (Art. 9 DSGVO): Die Anwendung hat keine eigenen Felder für Gesundheitsdaten. In Protokollen, Notizen, Dokumenten und Nachrichten aus psychosozialer Beratung sind Gesundheitsdaten und andere besondere Kategorien aber regelmäßig zu erwarten. Der Vertrag und das TOM-Blatt sind darauf ausgelegt.

Anlage 2 – Technische und organisatorische Maßnahmen

Siehe tom.md (Fassung 0.2).

Anlage 3 – Unterauftragsverarbeiter