Auftragsverarbeitungsvereinbarung

Stand: 12. Oktober 2026

zwischen

dem in der Hauptvereinbarung bezeichneten Kunden
als Auftraggeber

und

Essential Code GmbH, Glücksallee 8/Top 1, 3012 Wolfsgraben, Österreich, Firmenbuchnummer FN 605928x, Firmenbuchgericht Landesgericht St. Pölten
als Auftragnehmerin

1. Verhältnis zur Hauptvereinbarung

1.1 Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch die Auftragnehmerin im Auftrag des Auftraggebers im Zusammenhang mit Glasswise. Sie ergänzt die Vereinbarung über die Nutzung von Glasswise einschließlich der anwendbaren Geschäftsbedingungen, zusammen die „Hauptvereinbarung“.

1.2 Diese Vereinbarung konkretisiert die Pflichten nach Art. 28 Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, „DSGVO“, und dem österreichischen Datenschutzgesetz, „DSG“. Bei einem Widerspruch über die Verarbeitung personenbezogener Daten geht diese Vereinbarung der Hauptvereinbarung vor.

1.3 Der Auftraggeber ist Verantwortlicher, die Auftragnehmerin ist Auftragsverarbeiterin. Soweit eine Partei Daten für eigene Zwecke verarbeitet, handelt sie für diese Verarbeitung in eigener datenschutzrechtlicher Rolle.

2. Gegenstand und Dauer

2.1 Gegenstand ist die Bereitstellung einer Software für digitale Weinetiketten, QR-Codes und GS1 Digital Links sowie der damit verbundenen Funktionen für Hosting, Kontoverwaltung, Support, Versand betrieblicher Nachrichten, Dokumenterstellung, Weiterleitung und Nutzungsanalyse.

2.2 Die Verarbeitung beginnt mit der Aktivierung des Dienstes und dauert bis zur Beendigung der Hauptvereinbarung. Pflichten, die ihrer Natur nach darüber hinaus gelten, insbesondere Vertraulichkeit, Rückgabe, Löschung, Nachweis und Haftung, bleiben bestehen.

3. Art und Zweck der Verarbeitung

3.1 Die Auftragnehmerin darf personenbezogene Daten nur verarbeiten, soweit dies zur Bereitstellung, Sicherung, Wartung und Unterstützung von Glasswise erforderlich ist. Dazu gehören Erheben, Erfassen, Ordnen, Speichern, Abfragen, Verwenden, Übermitteln, Bereitstellen, Abgleichen, Einschränken und Löschen.

3.2 Zwecke sind insbesondere:

• Verwaltung von Benutzerkonten, Organisationen, Rollen und Berechtigungen
• Erstellung und Auslieferung digitaler Etiketten, QR-Ziele, GS1 Digital Links und Datenblätter
• Betrieb von Weiterleitungen und technisch erforderlicher Abrufprotokollierung
• Versand von Transaktions- und Servicenachrichten
• Fehleranalyse, Sicherheit, Missbrauchsschutz und Support
• vom Auftraggeber aktivierte Weitergabe veröffentlichter E-Label-Daten an E-Label Atlas, die von Essential Code betriebene gemeinsame E-Label-Datenbank, als Teil des Dienstes

3.3 Eine Verarbeitung für eigene Zwecke der Auftragnehmerin ist nicht Gegenstand dieser Vereinbarung. Sie bedarf einer eigenen Rechtsgrundlage und transparenter Information.

4. Betroffene Personen und Datenarten

4.1 Betroffene Personen können sein:

• Beschäftigte, Organe, Beauftragte und sonstige Benutzer des Auftraggebers
• Geschäftspartner, Abfüller, Hersteller, Importeure, Händler und deren Kontaktpersonen
• Personen, die digitale Etiketten oder zugehörige Links aufrufen
• Personen, die Supportanfragen stellen oder in vom Auftraggeber bereitgestellten Inhalten genannt werden

4.2 Verarbeitete Daten können umfassen:

• Stamm- und Kontaktdaten wie Name, geschäftliche E-Mail-Adresse, Telefonnummer, Unternehmen und Funktion
• Konto-, Mandanten-, Rollen- und Berechtigungsdaten
• Produkt-, Wein-, Jahrgangs-, Zutaten-, Nährwert-, Herkunfts-, Betreiber- und Kennzeichnungsdaten, soweit sie Personenbezug haben
• Link-, QR-, Abruf- und Nutzungsdaten wie Zeit, Ziel, Referrer, Land, Gerätetyp, Browser- und Netzwerkmetadaten
• Nachrichten-, Support-, Fehler- und Protokolldaten
• technische Kennungen, externe Dienstkennungen sowie Abonnement- und Statusdaten
• vom Auftraggeber hochgeladene Dateien, Bilder und für Datenblätter bestimmte Inhalte

4.3 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und strafrechtliche Daten nach Art. 10 DSGVO sind nicht vorgesehen. Der Auftraggeber darf solche Daten nur nach vorheriger schriftlicher Vereinbarung eingeben.

5. Weisungen und Pflichten des Auftraggebers

5.1 Die Auftragnehmerin verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern nicht Unionsrecht oder österreichisches Recht eine Verarbeitung verlangt. In diesem Fall informiert sie den Auftraggeber vorab, soweit das Recht dies zulässt.

5.2 Die Hauptvereinbarung, die Nutzung der vorgesehenen Funktionen, Supportaufträge sowie schriftliche Weisungen bilden dokumentierte Weisungen. Änderungen, die Leistung, Aufwand oder Risiko wesentlich erweitern, können einer gesonderten Vereinbarung bedürfen.

5.3 Hält die Auftragnehmerin eine Weisung für datenschutzwidrig, informiert sie den Auftraggeber unverzüglich und darf deren Ausführung bis zur Klärung aussetzen.

5.4 Der Auftraggeber ist verantwortlich für Rechtmäßigkeit, Transparenz, Datenminimierung, Richtigkeit, Rechtsgrundlagen, Einwilligungen und die Beantwortung von Betroffenenanfragen. Er vergibt Zugänge nur an berechtigte Personen und verwendet den Dienst nicht für die in Ziffer 4.3 ausgeschlossenen Daten.

6. Pflichten der Auftragnehmerin und Vertraulichkeit

6.1 Die Auftragnehmerin stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeit gilt auch nach Ende ihrer Tätigkeit.

6.2 Die Auftragnehmerin trifft und unterhält alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Anlage 2 beschreibt den derzeit anhand von Konfiguration oder Code verifizierten Umsetzungsstand und begrenzt diese risikobasierte Verpflichtung nicht. Zugriffe werden auf das für Betrieb, Sicherheit und Support erforderliche Maß beschränkt.

6.3 Sie unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO und der anwendbaren Bestimmungen des DSG.

6.4 Behördenanfragen zu Auftragsdaten werden, soweit rechtlich zulässig, an den Auftraggeber verwiesen. Die Auftragnehmerin informiert den Auftraggeber vor einer verpflichtenden Offenlegung, soweit dies gesetzlich zulässig ist.

7. Rechte betroffener Personen und Datenschutz-Folgenabschätzung

7.1 Die Auftragnehmerin unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

7.2 Geht ein Antrag unmittelbar bei der Auftragnehmerin ein und betrifft er Auftragsdaten, leitet sie ihn ohne unangemessene Verzögerung an den Auftraggeber weiter. Sie antwortet nicht in dessen Namen, außer auf dokumentierte Weisung.

7.3 Die Auftragnehmerin stellt auf angemessene Anfrage verfügbare Informationen für Datenschutz-Folgenabschätzungen und vorherige Konsultationen bereit. Außergewöhnlicher Zusatzaufwand kann nach vorheriger Vereinbarung verrechnet werden, soweit die Unterstützung nicht auf einer Pflichtverletzung der Auftragnehmerin beruht.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Die Auftragnehmerin meldet dem Auftraggeber eine Verletzung des Schutzes von Auftragsdaten unverzüglich, spätestens binnen 48 Stunden, nachdem sie davon Kenntnis erlangt hat. Eine noch nicht abgeschlossene Untersuchung schiebt die erste Meldung nicht auf.

8.2 Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

8.3 Die Auftragnehmerin trifft angemessene Maßnahmen zur Eindämmung, Behebung und Untersuchung und dokumentiert den Vorfall. Eine Meldung ist kein Anerkenntnis einer Pflichtverletzung oder Haftung.

9. Weitere Auftragsverarbeiter

9.1 Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Anlage 1 genannten weiteren Auftragsverarbeiter.

9.2 Die Auftragnehmerin informiert mindestens 30 Tage vor dem geplanten Einsatz oder Austausch eines weiteren Auftragsverarbeiters. Der Auftraggeber kann innerhalb von 14 Tagen ab Zugang aus sachlichen Datenschutzgründen widersprechen.

9.3 Die Parteien bemühen sich um eine angemessene Lösung. Ist eine solche nicht möglich, kann die Auftragnehmerin die betroffene Funktion nicht bereitstellen oder der Auftraggeber den betroffenen Dienstteil außerordentlich beenden. Andere Rechte aus der Hauptvereinbarung bleiben unberührt.

9.4 Die Auftragnehmerin bindet weitere Auftragsverarbeiter durch Vertrag oder einen anderen nach Unionsrecht oder dem Recht eines Mitgliedstaats zulässigen Rechtsakt an dieselben anwendbaren Datenschutzpflichten, einschließlich geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO. Sie bleibt gegenüber dem Auftraggeber für deren Pflichterfüllung nach Art. 28 Abs. 4 DSGVO voll verantwortlich.

10. Verarbeitung außerhalb des EWR

10.1 Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfordert eine dokumentierte Weisung und die Einhaltung des Kapitels V DSGVO. Verlangt Unionsrecht oder österreichisches Recht die Verarbeitung, gilt Ziffer 5.1; die anwendbaren Übermittlungsvoraussetzungen bleiben unberührt.

10.2 Soweit kein Angemessenheitsbeschluss gilt, verwendet die Auftragnehmerin ein zulässiges Übermittlungsinstrument, insbesondere die Standardvertragsklauseln der Europäischen Kommission, und ergänzt dieses bei Bedarf um angemessene zusätzliche Maßnahmen.

10.3 Vor einer Übermittlung legen die Parteien anhand der tatsächlichen Rollen das zutreffende Modul der Standardvertragsklauseln und die Vertragsparteien fest. Die Auftragnehmerin schließt Standardvertragsklauseln als Datenexporteurin selbst ab, soweit dies für eine Übermittlung an einen weiteren Auftragsverarbeiter erforderlich ist. Ein Abschluss im Namen des Auftraggebers erfolgt nur, wenn das zutreffende Modul dies erfordert und der Auftraggeber ihn gesondert dokumentiert genehmigt. Die Auftragnehmerin stellt auf Anfrage Informationen über das verwendete Instrument bereit, soweit Vertraulichkeits- und Sicherheitsinteressen gewahrt bleiben.

11. Rückgabe und Löschung

11.1 Nach Ende der Leistungen gibt die Auftragnehmerin Auftragsdaten nach Wahl des Auftraggebers in einem verfügbaren, gängigen Format zurück oder löscht sie. Nach einer Rückgabe löscht sie alle verbleibenden Kopien, einschließlich der Kopien bei weiteren Auftragsverarbeitern, sofern Unionsrecht oder österreichisches Recht keine weitere Speicherung verlangt.

11.2 Die Rückgabe oder der Export steht während der Übergangszeit und während des anwendbaren Abrufzeitraums zur Verfügung. Die Löschung erfolgt erst, nachdem die anwendbaren Abrufschutzvorschriften erfüllt sind; gesetzliche Aufbewahrungspflichten und rechtmäßige dokumentierte Weisungen des Auftraggebers bleiben unberührt.

11.3 Gesetzlich aufzubewahrende Daten und vorübergehend bis zum Ablauf ihres bestätigten Zyklus verbleibende Sicherungskopien werden gesperrt, vor einer Wiederverwendung geschützt und nur für den jeweiligen Aufbewahrungs- oder Wiederherstellungszweck verarbeitet.

12. Nachweise und Kontrollen

12.1 Die Auftragnehmerin stellt alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen.

12.2 Die Auftragnehmerin erlaubt notwendige Prüfungen und Inspektionen durch den Auftraggeber oder eine zur Vertraulichkeit verpflichtete unabhängige Prüferin und wirkt daran mit. Im normalen Geschäftsbetrieb ist eine Prüfung pro Kalenderjahr vorgesehen; weitere Prüfungen sind bei begründetem Verdacht, einem erheblichen Vorfall, einer behördlichen Anforderung oder sonstiger Erforderlichkeit zum Nachweis der Einhaltung zulässig. Dokumentenprüfungen und vorhandene Berichte werden nach Möglichkeit zuerst genutzt.

12.3 Prüfungen sind grundsätzlich mindestens zwei Wochen vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und so zu gestalten, dass Betrieb, Sicherheit, andere Kunden und Geheimhaltungsinteressen nicht unangemessen beeinträchtigt werden. Kosten trägt der Auftraggeber, außer die Prüfung weist eine wesentliche Pflichtverletzung der Auftragnehmerin nach. Diese Regeln dürfen wirksame gesetzliche Prüfrechte oder dringende behördliche Kontrollen nicht verhindern oder unangemessen verzögern.

12.4 Die Auftragnehmerin informiert den Auftraggeber, wenn sie der Ansicht ist, dass eine Prüfung oder Weisung gegen Datenschutzrecht verstößt.

13. Haftung und Rangfolge

13.1 Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und, soweit gesetzlich zulässig, nach den Haftungsregeln der Hauptvereinbarung. Gesetzlich zwingende Ansprüche betroffener Personen und zwingende behördliche Befugnisse bleiben unberührt.

13.2 Keine Bestimmung beschränkt eine Haftung, die nach anwendbarem Recht nicht wirksam beschränkt werden kann.

14. Recht, Gerichtsstand und Schlussbestimmungen

14.1 Es gilt österreichisches Recht unter Ausschluss seiner Verweisungsnormen und des UN-Kaufrechts.

14.2 Ausschließlicher Gerichtsstand für Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist, soweit gesetzlich zulässig, das sachlich zuständige Gericht in St. Pölten, Österreich.

14.3 Änderungen dieser Vereinbarung bedürfen der Textform. Sollte eine Bestimmung unwirksam sein oder werden, bleibt der übrige Vertrag wirksam. Die Parteien ersetzen die Bestimmung durch eine wirksame Regelung, die ihrem wirtschaftlichen und datenschutzrechtlichen Zweck möglichst nahekommt.

Anlage 1: Genehmigte weitere Auftragsverarbeiter

Anbieter	Zweck	Daten	Ort oder Region und Übermittlungsgrundlage
Nhost AB, Tallåsstigen 4, 141 71 Segeltorp, Schweden	Authentifizierung, Datenbank, Objektspeicher, Backend und Funktionen	Konto-, Organisations-, Rollen-, Produkt-, Inhalts-, Datei- und Protokolldaten	Produktionsendpunkt in eu-central-1, Frankfurt; Übermittlungen außerhalb des EWR erfordern die vorherige schriftliche Zustimmung und erfolgen, soweit nichts anderes vereinbart ist, auf Grundlage der EU-Standardvertragsklauseln
Vercel, Inc.	Hosting der Verwaltungsanwendung und Auslieferung digitaler Etiketten	Anfrage- und Protokolldaten, technische Kennungen sowie ausgelieferte Inhalte	Rechenregion fra1, Frankfurt; mögliche globale Support- und Sicherheitsverarbeitung auf Grundlage geeigneter Garantien, insbesondere Standardvertragsklauseln
Dub Technologies, Inc., 2261 Market Street STE 5906, San Francisco, CA 94114, Vereinigte Staaten	Kurzlinks, Weiterleitungen, geografische Regeln und Abrufstatistik	Ziel-URL, Linkkennung, Mandantenkennung, Land, Gerätetyp und Anfragemetadaten	Vereinigte Staaten und andere Länder, in denen Dub oder seine Unterauftragsverarbeiter tätig sind; bei Übermittlungen in Länder ohne Angemessenheitsbeschluss gelten die EU-Standardvertragsklauseln
AC PM LLC, 1 North Dearborn Street, 5th floor, Chicago, IL 60602, Vereinigte Staaten, Dienst Postmark	Versand von Transaktions- und Servicenachrichten	Empfängeradresse, Name, Nachrichteninhalt, Vorlagendaten und gegebenenfalls Anhänge	Primäre Daten und Server im Deft-Rechenzentrum außerhalb von Chicago und bei Amazon Web Services; EU-US Data Privacy Framework, bei Bedarf ergänzt durch EU-Standardvertragsklauseln für regulierte Übermittlungen
PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, Vereinigte Staaten	Vom Auftraggeber angewiesene Produktanalyse und Fehlerdiagnose in der Anwendung; eine Verarbeitung für eigene Zwecke der Auftragnehmerin ist nicht von dieser Genehmigung umfasst	Benutzer- und Mandantenkennung, E-Mail-Adresse, Name, Seiten- und Nutzungsereignisse sowie Fehlerkontext	EU-Endpunkt eu.i.posthog.com; in der EU gehostete Daten werden in Deutschland gespeichert und verarbeitet; EU-US Data Privacy Framework und EU-Standardvertragsklauseln
Gleap GmbH, Am Dorfplatz 3, 6858 Schwarzach, Österreich	Vom Auftraggeber angewiesener Support, Feedback und Fehlerdiagnose; eine Verarbeitung für eigene Zwecke der Auftragnehmerin ist nicht von dieser Genehmigung umfasst	Benutzerkennung, Name, E-Mail-Adresse, Supportinhalt sowie Abonnement- und Statusmetadaten	Kundendaten-Hosting je nach gewählter Region in Frankfurt, Deutschland, oder NYC3, New York, Vereinigte Staaten; weitere Verarbeitung kann außerhalb der gewählten Region stattfinden
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, Vereinigte Staaten	Turnstile Missbrauchs- und Bot-Schutz bei der Anmeldung	IP-Adresse, Browser-, Geräte-, Anfrage- und Challenge-Daten	Informationen werden hauptsächlich in den Vereinigten Staaten und im EWR gespeichert und können weltweit abgerufen werden; EU-US Data Privacy Framework, bei dessen Wegfall EU-Standardvertragsklauseln mit ergänzenden Maßnahmen
PDFMonkey, 49 rue de Ponthieu, Lot 41, 75008 Paris, Frankreich	Erstellung von PDF-Datenblättern	Produkt-, Wein-, Betreiber-, Bild- und Dokumentinhalte, soweit sie Personenbezug haben	Anwendungsserver, Dateispeicher und Dokumenterstellung in Paris, Frankreich; Datenbank in Frankfurt, Deutschland

Anlage 2: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind anhand der derzeitigen Konfiguration oder des Codes nachweisbar. Sie beschreiben keinen Anspruch auf eine bestimmte Zertifizierung.

1. Transportverschlüsselung: Öffentlich konfigurierte Anwendungs-, API-, Speicher- und Webhook-Endpunkte verwenden HTTPS.
2. Authentifizierung: Für Konten mit E-Mail und Passwort ist Nhost so konfiguriert, dass die E-Mail-Adresse verifiziert werden muss und das Passwort mindestens neun Zeichen hat. Kurzlebige Zugriffstoken und getrennte Aktualisierungstoken sind konfiguriert.
3. Autorisierung und Mandantentrennung: Datenbank- und API-Berechtigungen berücksichtigen Rollen, Kontomitgliedschaften und Mandantenzuordnung. Privilegierte Backend-Aktionen verwenden serverseitige Berechtigungen.
4. Produktionshärtung: Der Hasura-Entwicklungsmodus ist deaktiviert. Die konfigurierte Hasura-CORS-Herkunft ist die Verwaltungsanwendung.
5. Missbrauchsschutz: Turnstile ist für Authentifizierungsabläufe konfiguriert. Für diese Abläufe bestehen konfigurierte Anfragelimits.
6. Integrität externer Aufrufe: Eingehende Zahlungs- und Dienstereignisse werden anhand von Signaturen oder gemeinsam vereinbarten Geheimnissen geprüft, soweit die jeweilige Integration dies vorsieht. Eingaben werden gegen definierte Schemas geprüft.
7. Regionale Konfiguration: Der produktive Backend-Endpunkt liegt in eu-central-1; die konfigurierte Rechenregion der Verwaltungs- und Etikettenanwendung ist fra1.
8. Vertraulichkeit und Zugriffsbeschränkung: Die vertragliche Vertraulichkeitsbindung und das Erforderlichkeitsprinzip nach Ziffer 6 gelten für Personen mit administrativem Zugriff.

Nicht angeführte Maßnahmen richten sich nach der risikobasierten Pflicht in Ziffer 6.2 und werden nicht als gesondert geprüfte Vertragsmerkmale dargestellt.