Nach Art. 28 DSGVO · zwischen bms future energy GmbH (Auftragsverarbeiter) und dem Kunden (Verantwortlicher) · Stand: November 2026
Dieser Vertrag ergänzt den Nutzungsvertrag über bms ERP und regelt ausschließlich die Verarbeitung personenbezogener Daten durch die bms future energy GmbH („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“). Er gilt mit Vertragsschluss nach § 8 AGB als vereinbart.
Nicht Gegenstand dieses Vertrags sind jene Verarbeitungen, die der Auftragsverarbeiter in eigener datenschutzrechtlicher Verantwortlichkeit vornimmt — insbesondere Registrierung, Abrechnung, Systemsicherheit und die Erfüllung eigener gesetzlicher Pflichten. Diese sind in der Datenschutzerklärung beschrieben.
Gegenstand ist die Verarbeitung personenbezogener Daten des Verantwortlichen sowie seiner Kunden, Mitarbeiter und Lieferanten im Rahmen der SaaS-Software bms ERP. Der Vertrag läuft parallel zum Nutzungsvertrag und endet mit dessen Beendigung.
Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der Software und der darin enthaltenen Funktionen, insbesondere zum Speichern, Auslesen, Verändern, Löschen und Übermitteln der vom Verantwortlichen eingegebenen Daten (Rechnungen, Belege, Kunden- und Lieferantendaten, Aufträge, Projekte, Zeiterfassung, Energie-Modul).
Zur Verarbeitung gehört auch der optionale KI-Assistent. Dieser wertet auf Anfrage des Benutzers Daten aus dem Mandanten aus und bereitet Vorgänge vor oder führt sie aus; Vorgänge mit Wirkung gegenüber Dritten führt er erst nach ausdrücklicher Bestätigung durch den Benutzer aus. Einzelheiten ergeben sich aus § 10 AGB und Punkt 5 der Datenschutzerklärung. Hochgeladene und per E-Mail eingegangene Belege werden automatisch ausgelesen (Beleg-Erkennung).
Der Auftragsverarbeiter verpflichtet sich,
Der Auftragsverarbeiter ist berechtigt, die folgenden Unterauftragsverarbeiter einzusetzen. Der Verantwortliche stimmt diesen mit Vertragsschluss zu:
Hinterlegt der Verantwortliche in seinem Mandanten einen eigenen Postausgangsserver, wird dieser vorrangig verwendet; dessen Anbieter ist dann nicht Unterauftragsverarbeiter des Auftragsverarbeiters, und für diese Übermittlung ist der Verantwortliche selbst verantwortlich. Andernfalls erfolgt der Versand über Twilio SendGrid; der Postausgang bei world4you wird für jene E-Mails verwendet, die über das eigene Absenderkonto des Auftragsverarbeiters laufen.
Der Austausch bestehender oder das Hinzufügen neuer Unterauftragsverarbeiter wird dem Verantwortlichen mindestens 30 Tage vorher in Textform mitgeteilt. Der Verantwortliche kann innerhalb dieser Frist widersprechen. Führt der Widerspruch dazu, dass dem Auftragsverarbeiter die Leistungserbringung ohne den betroffenen Unterauftragsverarbeiter nicht zumutbar möglich ist, steht dem Auftragsverarbeiter das Recht zu, den Vertrag zum Wirksamwerden der Änderung außerordentlich zu kündigen.
Soweit der Auftragsverarbeiter oder seine Unterauftragsverarbeiter personenbezogene Daten in Drittländer übermitteln, erfolgt dies ausschließlich nach Maßgabe der Art. 44 ff DSGVO. Der Auftragsverarbeiter stützt sich dabei je nach betroffenem Unterauftragsverarbeiter auf einen Angemessenheitsbeschluss der Europäischen Kommission, insbesondere das EU-US Data Privacy Framework, oder auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 DSGVO.
Die primär eingesetzten Verarbeitungsstandorte für Anwendung und Datenbank befinden sich in Frankfurt am Main, Deutschland. Der Versand von Transaktions-E-Mails erfolgt je nach Konfiguration innerhalb Österreichs oder über einen Anbieter in den Vereinigten Staaten; im letzteren Fall stützt sich die Übermittlung auf die Standardvertragsklauseln. Für den KI-Assistenten ist keine Verarbeitung innerhalb der Europäischen Union zugesichert; die Übermittlung an Anthropic PBC in den Vereinigten Staaten stützt sich ebenfalls auf die Standardvertragsklauseln.
Die Nachweise der eingesetzten Unterauftragsverarbeiter werden mindestens jährlich überprüft und dem Verantwortlichen auf Anfrage vorgelegt.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf schriftliche Anfrage zeitnah alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages und der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Nachweis kann insbesondere durch den TOM-Anhang, Beschreibungen der technischen und organisatorischen Maßnahmen, Informationen zu Unterauftragsverarbeitern sowie durch vorhandene Zertifizierungen oder Prüfberichte erbracht werden.
Vor-Ort-Kontrollen und Audits sind zulässig. Sie sind mindestens 14 Kalendertage im Voraus in Textform anzukündigen und dürfen nur während der üblichen Geschäftszeiten sowie ohne unangemessene Beeinträchtigung des Geschäftsbetriebs durchgeführt werden. Dabei sind Geschäfts- und Betriebsgeheimnisse des Auftragsverarbeiters, die Sicherheit seiner Systeme sowie die Rechte anderer Kunden zu wahren. Die damit verbundenen Kosten trägt der Verantwortliche.
Es gelten die Haftungsregelungen des Nutzungsvertrags (§ 13 AGB) sowie die gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82.
Änderungen bedürfen der Schriftform; E-Mail genügt. Für diesen Vertrag gilt österreichisches Recht. Als Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag wird — übereinstimmend mit § 16 AGB — das sachlich zuständige Gericht in Steyr, Österreich, vereinbart.