WirtUp

Vereinbarung über die Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO — Anlage zu den Nutzungsbedingungen (dort § 19)

Stand: 25. August 2026 · Version 1.0

Inhaltsübersicht

1. Vertragsparteien und Zustandekommen

Auftraggeber (Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO) ist der Nutzer gemäß den Nutzungsbedingungen, konkretisiert durch die im Konto hinterlegten Angaben. Auftragsverarbeiterin ist:

Schaubmair EDV-Leistungen GmbH
Blittersdorffstrasse 20
4100 Ottensheim
Österreich
E-Mail: office@wirtup.at
Firmenbuch: FN 448804 g, Landesgericht Linz
UID: ATU70440203

Kontaktstelle für Anliegen im Zusammenhang mit dieser Vereinbarung: office@wirtup.at.

Diese Vereinbarung wird gemäß § 19 der Nutzungsbedingungen automatisch Bestandteil des Vertrags über die Nutzung von WirtUp, sobald und soweit die Auftragsverarbeiterin für den Auftraggeber personenbezogene Daten verarbeitet. Ein gesonderter Abschluss oder eine gesonderte Unterschrift ist dafür nicht erforderlich (Art. 28 Abs. 9 DSGVO lässt die Textform ausdrücklich zu). Mit Annahme der Nutzungsbedingungen im Konto — dokumentiert samt Fassung und Zeitpunkt — nimmt der Auftraggeber zugleich diese Vereinbarung in ihrer jeweils gültigen Fassung an.

2. Präambel und Anwendungsbereich

Der Auftraggeber setzt WirtUp ein, um Speisekarte, Öffnungszeiten, Betriebsdaten sowie — sobald aktiviert — Team, Rollen und Arbeitszeiten seines Betriebs zu verwalten. Dabei verarbeitet die Auftragsverarbeiterin in seinem Auftrag personenbezogene Daten von dessen Mitarbeitern. Diese Vereinbarung regelt Gegenstand, Dauer, Art und Zweck dieser Verarbeitung, die Kategorien betroffener Personen und Daten, die Pflichten und Rechte beider Parteien sowie die technischen und organisatorischen Maßnahmen gemäß Art. 28 DSGVO.

Datenschutzrechtlich unberührt bleibt die Verarbeitung von Daten des Auftraggebers selbst (Registrierungs-, Rechnungs- und Nutzungsdaten des Betriebs) sowie von Gästedaten, für die keine Auftragsverarbeitung vorliegt — hierzu gilt die Datenschutzerklärung.

3. Begriffsbestimmungen

Die Begriffe „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Dritter" und „Verletzung des Schutzes personenbezogener Daten" haben die Bedeutung der Begriffsbestimmungen in Art. 4 DSGVO.

4. Gegenstand, Dauer und Art der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und personenbezogener Daten ergeben sich aus Anhang 1. Die Verarbeitung erfolgt für die Dauer der Nutzung von WirtUp durch den Auftraggeber gemäß den Nutzungsbedingungen.

5. Weisungsbefugnis

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, sie ist nach dem Recht der Union oder der Mitgliedstaaten, dem sie unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt sie dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erteilt der Auftraggeber durch die bestimmungsgemäße Konfiguration und Nutzung von WirtUp (insbesondere Rollen- und Berechtigungsvergabe, Freigabe von Änderungen, Löschanfragen über die vorgesehenen Funktionen) sowie ergänzend in Textform an die Kontaktstelle gemäß Abschnitt 1. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie den Auftraggeber unverzüglich.

6. Vertraulichkeit

Die Auftragsverarbeiterin gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugriff auf die Daten des Auftraggebers auf das für die jeweilige Tätigkeit erforderliche Maß beschränkt ist.

7. Technische und organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und passt sie dem Stand der Technik entsprechend an, ohne das vereinbarte Schutzniveau zu unterschreiten.

8. Unterstützung des Auftraggebers

Die Auftragsverarbeiterin unterstützt den Auftraggeber im Rahmen ihrer Möglichkeiten bei der Erfüllung von dessen Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit) sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde, soweit dies die von WirtUp verarbeiteten Daten betrifft.

9. Meldung von Datenschutzverletzungen

Die Auftragsverarbeiterin meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich nach Bekanntwerden — grundsätzlich innerhalb von 48 Stunden — samt den ihr bekannten Angaben nach Art. 33 Abs. 3 DSGVO, damit der Auftraggeber seiner eigenen Meldepflicht nach Art. 33 Abs. 1 DSGVO fristgerecht nachkommen kann.

10. Kontrollrechte

Der Auftraggeber ist berechtigt, sich in angemessenem Umfang von der Einhaltung dieser Vereinbarung zu überzeugen. Die Auftragsverarbeiterin stellt hierzu auf Anfrage geeignete Nachweise zur Verfügung (insbesondere diese Vereinbarung samt Anhängen sowie eine Beschreibung der technischen und organisatorischen Maßnahmen) und duldet Prüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer, die mit angemessenem Vorlauf und unter Wahrung der Vertraulichkeit anderer Kunden anzukündigen sind.

11. Unterauftragsverarbeiter

Der Auftraggeber erteilt der Auftragsverarbeiterin die allgemeine Genehmigung, die in Anhang 3 genannten Unterauftragsverarbeiter einzusetzen. Die Auftragsverarbeiterin informiert den Auftraggeber vor der Hinzuziehung eines neuen Unterauftragsverarbeiters oder dem Austausch eines bestehenden; der Auftraggeber kann innerhalb von 14 Tagen ab Mitteilung aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Die Auftragsverarbeiterin legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in dieser Vereinbarung vorgesehen sind, und bleibt gegenüber dem Auftraggeber für dessen Pflichterfüllung verantwortlich.

12. Ort der Verarbeitung

Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit einzelne in Anhang 3 genannte Unterauftragsverarbeiter Daten in einem Drittland verarbeiten, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf die Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

13. Pflichten des Auftraggebers

Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für die Erfüllung der Informationspflichten nach Art. 13 f. DSGVO gegenüber seinen Mitarbeitern. Er stellt sicher, dass die von ihm in WirtUp eingegebenen oder über Rollen freigegebenen Daten zutreffend sind und im Rahmen einer zulässigen Rechtsgrundlage verarbeitet werden dürfen.

14. Haftung

Für Schäden aus einer Verletzung dieser Vereinbarung oder der DSGVO gilt die Haftungsregelung der Nutzungsbedingungen entsprechend, unbeschadet der gesetzlichen Haftung der Parteien gegenüber betroffenen Personen nach Art. 82 DSGVO.

15. Löschung und Herausgabe

Nach Beendigung der Erbringung von Verarbeitungsleistungen löscht die Auftragsverarbeiterin sämtliche personenbezogenen Daten, die im Auftrag des Auftraggebers verarbeitet wurden, oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht gesetzliche Aufbewahrungspflichten (insbesondere arbeits- und abgabenrechtliche Aufzeichnungspflichten) entgegenstehen. Näheres regelt § 20 der Nutzungsbedingungen.

16. Laufzeit

Diese Vereinbarung gilt für die Dauer des Hauptvertrags gemäß den Nutzungsbedingungen und endet automatisch mit dessen Beendigung, unbeschadet der in Abschnitt 15 vorgesehenen Nachwirkungen.

17. Schlussbestimmungen

Es gilt österreichisches Recht. Gerichtsstand ist der Sitz der Auftragsverarbeiterin, soweit zwingende Vorschriften nicht entgegenstehen. Änderungen dieser Vereinbarung, insbesondere von Anhang 3 bei einem neuen Unterauftragsverarbeiter, werden dem Auftraggeber mit Fassungsdatum bekannt gegeben und im Konto abrufbar gehalten. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anhang 1 — Gegenstand der Verarbeitung

Betroffene Personen

Kategorien personenbezogener Daten

Zweck der Verarbeitung

Bereitstellung der Zeiterfassungs-, Team- und Rollenverwaltungsfunktionen von WirtUp, einschließlich der revisionssicheren Nachvollziehbarkeit nachträglicher Korrekturen im Sinne des § 26 AZG.

Art der Verarbeitung

Erheben, Speichern, Anzeigen, Ändern, Exportieren und — nach Ablauf der Aufbewahrungsfrist bzw. auf Weisung — Löschen.

Anhang 2 — Technische und organisatorische Maßnahmen

Anhang 3 — Unterauftragsverarbeiter

Meta Platforms Ireland Ltd. und Plausible Insights OÜ verarbeiten im Rahmen von WirtUp keine Mitarbeiterdaten im Auftrag des Auftraggebers und sind daher nicht Unterauftragsverarbeiter im Sinne dieser Vereinbarung; siehe hierzu die Datenschutzerklärung.