Die zwei Verträge

Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art 28 DSGVO — gesonderte Vereinbarung gemäß § 11 des Kooperations- und Lizenzvertrags vom 01.09.2026

---

abgeschlossen zwischen

Großarler Genuss GmbH, Sonneggweg 1, 5611 Großarl, Österreich, FN 473130 f (Landesgericht Salzburg), UID-Nr. ATU72344714, vertreten durch die gemeinsam vertretungsbefugten Geschäftsführer Thomas Ammerer und Jürgen Höllmüller — im Folgenden „Verantwortlicher“ —

und

Karl Pirker, „Kumitzberg“ (Einzelunternehmen), Obersdorf 56, 8983 Bad Mitterndorf, Österreich, UID-Nr. ATU63163533 — im Folgenden „Auftragsverarbeiter“ —

— gemeinsam die „Parteien“ —

---

Präambel

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Onlinevertrieb. Dabei verarbeitet er im Auftrag und nach Weisung des Verantwortlichen personenbezogene Daten.

Diese Vereinbarung begründet keine Leistungspflichten. Welche Leistungen geschuldet sind und wie sie vergütet werden, ergibt sich ausschließlich aus dem Kooperations- und Lizenzvertrag und aus der Zusatzvereinbarung über die Software. Diese Vereinbarung regelt nur, wie dabei mit personenbezogenen Daten umzugehen ist.

Der Verantwortliche bleibt Rechnungsaussteller gegenüber seinen Endkunden (§ 4 des Kooperations- und Lizenzvertrags) und trägt die Verantwortung für seine steuerlichen Vorgaben. Der Auftragsverarbeiter stellt dafür technische Mittel bereit und erzeugt Belege nach den Vorgaben des Verantwortlichen.

§ 11 des Kooperations- und Lizenzvertrags sieht den Abschluss dieser gesonderten Vereinbarung ausdrücklich als Voraussetzung für die Aufnahme der Verarbeitung vor. Diese Vereinbarung regelt die datenschutzrechtlichen Pflichten der Parteien gemäß Art 28 DSGVO. Bei Widersprüchen zu datenschutzrechtlichen Fragen geht sie dem Kooperations- und Lizenzvertrag vor.

---

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1.1 Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

1.2 Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des EWR statt. Eine Verarbeitung in einem Drittland erfolgt nur nach vorheriger schriftlicher Weisung des Verantwortlichen und unter Einhaltung der Kapitel-V-Voraussetzungen der DSGVO.

1.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Kooperations- und Lizenzvertrags (dessen § 8). Abweichend davon gelten für die Belegarchivierung die Fristen nach § 8.2.

1.4 Beginn der Verarbeitung. Es wird zwischen bereits laufender und geplanter Verarbeitung unterschieden:

	Beginn
a) Bereits laufende Verarbeitung — Übernahme der Bestelldaten, Erstellung von Belegen, Etiketten und Versandunterlagen, Aufbereitung der Buchhaltungsdaten	01.09.2026 (mit Beginn des Kooperations- und Lizenzvertrags; erster dokumentierter Belegdurchlauf am 18.09.2026)
b) Geplanter Lese- und Downloadbereich nach Anlage 1	noch nicht aufgenommen. Beginn mit der tatsächlichen Inbetriebnahme, frühestens nach der Prüfung nach § 5.3 und Anlage 2

Der Beginn nach lit a wird wahrheitsgemäß eingetragen. Er liegt vor der Unterzeichnung dieser Vereinbarung. Diese Vereinbarung bestätigt die zurückliegende Verarbeitung nicht rückwirkend als ordnungsgemäß (§ 11.5); sie regelt sie ab ihrem Inkrafttreten.

§ 2 Weisungsrecht des Verantwortlichen

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Drittlandübermittlungen, sofern nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten ihn zur Verarbeitung verpflichtet.

2.2 Weisungen werden in der Regel durch diese Vereinbarung und den Kooperations- und Lizenzvertrag erteilt; Einzelweisungen erfolgen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

2.2a Mitwirkung des Verantwortlichen. Der Verantwortliche verantwortet die Rechtmäßigkeit der von ihm veranlassten Verarbeitung und stellt erforderliche Informationen, Freigaben und rechtmäßige Weisungen rechtzeitig bereit. Er informiert über Änderungen, die Verarbeitung, Aufbewahrung oder Löschung beeinflussen. Eigene gesetzliche Prüf-, Hinweis- und Schutzpflichten des Auftragsverarbeiters bleiben bestehen.

2.3 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zur rechtmäßigen Klärung auszusetzen. Eine bloße Bestätigung der Weisung durch den Verantwortlichen macht eine rechtswidrige Weisung nicht rechtmäßig; hält der Verantwortliche an einer nach Auffassung des Auftragsverarbeiters rechtswidrigen Weisung fest, führt der Auftragsverarbeiter sie nicht aus.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

a) personenbezogene Daten nur wie in § 2 geregelt zu verarbeiten;

b) zu gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art 28 Abs 3 lit b, Art 29 DSGVO). Zugriff auf personenbezogene Daten haben ausschließlich namentlich benannte Personen auf Need-to-know-Basis;

c) die erforderlichen technischen und organisatorischen Maßnahmen gemäß Art 32 DSGVO zu treffen und einzuhalten; diese sind in Anlage 2 beschrieben;

d) die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter gemäß § 4 einzuhalten;

e) den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Art 12–23 DSGVO) nachzukommen;

f) den Verantwortlichen bei der Einhaltung der Pflichten aus Art 32–36 DSGVO zu unterstützen;

g) nach Abschluss der Verarbeitung die personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht besteht (§ 8);

h) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art 28 DSGVO zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 7).

§ 4 Weitere Auftragsverarbeiter (Unterauftragsverarbeiter)

4.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Abschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

4.2 Beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter teilt der Auftragsverarbeiter mindestens 14 Kalendertage vor dem vorgesehenen Einsatz mit. Die Mitteilung nennt Unternehmen, Aufgabe, Verarbeitungsort und die maßgeblichen Schutzmaßnahmen.

4.3 Innerhalb dieser Frist kann der Verantwortliche aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Bei begründetem Widerspruch wird der betreffende Unterauftragsverarbeiter für die betroffene Verarbeitung bis zur Klärung nicht eingesetzt. Die Parteien prüfen eine zumutbare Alternative. Ist eine rechtmäßige Fortsetzung nicht möglich, werden die Folgen für die betroffene Leistung gesondert geregelt; gesetzliche Auflösungsrechte bleiben unberührt.

4.4 Der Auftragsverarbeiter erlegt jedem weiteren Auftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf und bleibt dem Verantwortlichen gegenüber für dessen Handeln verantwortlich.

4.5 Rollenverteilung. Maßgeblich für die datenschutzrechtliche Rolle der Beteiligten sind die tatsächlichen Aufgaben und Vertragsbeziehungen. Ein Dienstleister wird nicht allein dadurch Auftragsverarbeiter einer Partei, dass diese Vereinbarung ihn so bezeichnet.

Nach dem gegenwärtigen Stand greift der Auftragsverarbeiter auf die Verkaufskanäle, Zahlungsdienstleister und Versanddienstleister des Verantwortlichen (insbesondere Shopify, Shopify Payments, Amazon, eBay, shöpping) lediglich mit den ihm vom Verantwortlichen eingeräumten Zugängen zu. Für die dortigen Verarbeitungsverhältnisse ist der Verantwortliche zuständig; er schließt die erforderlichen Vereinbarungen mit diesen Dienstleistern selbst ab.

§ 5 Technische und organisatorische Maßnahmen

5.1 Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen Maßnahmen (Art 32 DSGVO) um und hält sie während der gesamten Vertragsdauer aufrecht.

5.2 Fortentwicklung. Der Auftragsverarbeiter darf die technischen und organisatorischen Maßnahmen fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird und die gesetzlichen Anforderungen weiterhin erfüllt sind. Änderungen werden dokumentiert; wesentliche Änderungen werden dem Verantwortlichen rechtzeitig mitgeteilt.

5.3 Offene Maßnahmen. Maßnahmen, die in Anlage 2 als noch nicht umgesetzt ausgewiesen sind, nennen dort jeweils den Umsetzungstermin, die verantwortliche Person und die bis dahin bestehende wirksame Absicherung. Die Kenntnisnahme durch den Verantwortlichen ersetzt kein angemessenes Schutzniveau. Fehlt für eine Verarbeitung die erforderliche Absicherung, wird diese Verarbeitung bis zur Herstellung nicht aufgenommen.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

6.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Bekanntwerden.

6.2 Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und -umfang, wahrscheinliche Folgen sowie ergriffene bzw. vorgeschlagene Gegenmaßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten (Art 33, 34 DSGVO).

6.3 Meldungen nach 6.1 ergehen an Thomas Ammerer unter einer Unternehmensadresse des Verantwortlichen — nicht unter einer privaten Adresse —, die ständig erreichbar ist und auch bei Abwesenheit einer einzelnen Person gelesen wird:

E-Mail: ta@grossarler-genuss.at, in Kopie jh@grossarler-genuss.at · Telefon: +43 6414 20599

Beide Geschäftsführer erhalten die Meldung, weil sie nur gemeinsam vertretungsbefugt sind und eine Frist von 24 Stunden nicht an der Abwesenheit eines Einzelnen scheitern darf.

Fristgebundene Meldungen gelten nur als zugegangen, wenn sie an diese Adresse gerichtet wurden. Der Verantwortliche teilt eine Änderung unverzüglich mit.

§ 7 Kontrollrechte des Verantwortlichen

7.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis erforderlichen Informationen zur Verfügung.

7.2 Regelmäßige Prüfungen. Prüfungen ohne besonderen Anlass finden grundsätzlich höchstens einmal innerhalb von zwölf Monaten statt und werden mindestens zehn Werktage vorher angekündigt. Sie erfolgen zu üblichen Geschäftszeiten, selbst oder durch einen zur Verschwiegenheit verpflichteten Dritten. Der Auftragsverarbeiter wirkt mit; der Geschäftsbetrieb darf nicht unverhältnismäßig beeinträchtigt werden.

7.3 Zusätzliche Prüfungen. Erforderliche zusätzliche Prüfungen bleiben möglich, insbesondere bei konkreten Anhaltspunkten für Datenschutzverstöße, bei erheblichen Sicherheitsvorfällen oder auf behördliche Anforderung. Bei Dringlichkeit entfällt die Vorankündigungsfrist.

7.4 Vertraulichkeit und vorhandene Nachweise. Prüfungen erfolgen unter Wahrung der Vertraulichkeit und der Rechte anderer Kunden des Auftragsverarbeiters. Geeignete aktuelle Nachweise werden zur Vermeidung unnötiger Mehrfachprüfungen berücksichtigt; erforderliche Inspektionen werden dadurch nicht ausgeschlossen.

7.5 Kosten. Der Verantwortliche trägt die Kosten seines Prüfers. Eine zusätzliche Vergütung des Auftragsverarbeiters für besonderen Prüfungsaufwand bedarf vorheriger Vereinbarung. Die Erfüllung gesetzlicher Prüfungs- und Mitwirkungspflichten darf nicht von einer vorherigen Zahlung abhängig gemacht werden. Gesetzliche Ersatzansprüche wegen festgestellter Pflichtverletzungen bleiben unberührt.

7.6 Unterstützungsleistungen. Für gesonderte Unterstützungsleistungen zugunsten des Verantwortlichen — insbesondere nach § 3 lit e und f — sind zwei Arbeitsstunden je Vertragsjahr im vereinbarten Entgelt enthalten. Darüber hinausgehender Aufwand wird mit 90,00 EUR je angefangener Stunde zuzüglich Umsatzsteuer nach nachgewiesenem Zeitaufwand vergütet; der Auftragsverarbeiter informiert vorab über den voraussichtlichen Aufwand. Der Stundensatz unterliegt derselben Wertsicherung wie das Entgelt nach der Zusatzvereinbarung.

Nicht auf dieses Kontingent angerechnet werden eigene gesetzliche Pflichten des Auftragsverarbeiters, bereits anderweitig vergütete Vertragsleistungen und die Behebung eigener Pflichtverletzungen. Dringende gesetzlich erforderliche Maßnahmen werden durch offene Vergütungsfragen nicht verzögert.

§ 8 Löschung, Aufbewahrung und Rückgabe

8.1 Löschfristen nach Datenkategorie. Gelöscht wird nach Kategorie und Zweck, mit eindeutigem Fristbeginn:

Kategorie	Frist	Fristbeginn
a) Auftrags- und Abwicklungsdaten, die nicht Bestandteil eines Belegs sind	30 Tage	Abschluss der Verarbeitung des jeweiligen Auftrags
b1) Belegnahe Aufzeichnungen — Belegnummernverzeichnisse, Verkettungs- und Übergabeprotokolle, Nachweise zur Nachvollziehbarkeit der Belege	wie lit c	Ende des Kalenderjahres der Belegausstellung
b2) Aufzeichnungen, die für OSS-Meldungen erforderlich sind, samt zugehöriger Nachweise	nach den dafür geltenden längeren Fristen	Ende des Kalenderjahres
b3) Zugriffs- und Anmeldeprotokolle des Lese- und Downloadbereichs	12 Monate	Entstehung des Protokolleintrags
b4) Übrige technische Protokolle ohne Belegfunktion	12 Monate	Entstehung des Protokolleintrags
c) Belege (Rechnung, Gutschrift, Storno)	gesetzliche Frist nach § 8.2	Ende des Kalenderjahres der Belegausstellung
d) Sicherungen	mit dem Ablauf der jeweiligen Aufbewahrung (Rotation)	Erstellung der Sicherung

Läuft zu einem Auftrag eine Retoure, Reklamation oder Streitigkeit, beginnt die Frist nach lit a erst mit deren Abschluss. Der Verantwortliche teilt solche Fälle mit; ohne Mitteilung gilt der Auftrag als abgeschlossen.

Anmerkung: lit b geht lit a vor, soweit eine Aufzeichnung personenbezogene Daten enthält. Ohne diese Klarstellung stünden „30 Tage“ und „mindestens 12 Monate“ in Anlage 2 gegeneinander.

Maßgeblich ist die Funktion einer Aufzeichnung als steuerlich erforderlicher Nachweis, nicht ihre Bezeichnung als „Protokoll". Eine Datei, die für die Nachvollziehbarkeit eines Belegs gebraucht wird, unterliegt der Belegfrist, auch wenn sie „Protokoll" heißt — und umgekehrt.

8.2 Belege — während der Vertragsdauer. Rechnungen, Gutschriften und Stornobelege enthalten personenbezogene Daten und unterliegen gesetzlichen Aufbewahrungspflichten. Der Auftragsverarbeiter bewahrt sie während der Laufzeit dieser Vereinbarung auf; die gesetzlichen Fristen — sieben Jahre nach § 132 BAO, für Umsätze im EU-OSS-Verfahren zehn Jahre nach Art 25a Abs 10 UStG 1994 — treffen den Verantwortlichen.

Mit dem Ende dieser Vereinbarung endet die Aufbewahrung beim Auftragsverarbeiter. Er übergibt den vollständigen Belegbestand nach § 8.3 und löscht anschließend nach § 8.4. Eine Aufbewahrung über das Vertragsende hinaus schuldet er nicht; sie bedarf eines gesonderten entgeltlichen Auftrags.

Begründung: Die abgabenrechtliche Pflicht trifft den Verantwortlichen. Eine Fassung, die daraus eine unentgeltliche Langzeitarchivierung beim Auftragsverarbeiter macht, begründet Speicher-, Sicherungs-, Auskunfts- und Datenschutzpflichten über Jahre ohne Gegenleistung — und über das Vertragsende hinaus.

8.3 Herausgabe. Der Auftragsverarbeiter stellt dem Verantwortlichen den Belegbestand jederzeit auf Verlangen und verpflichtend bei Vertragsende in einem gängigen, maschinell lesbaren Format samt den zugehörigen PDF-Dokumenten zur Verfügung, ohne gesondertes Entgelt.

8.4 Nach Vertragsende löscht der Auftragsverarbeiter sämtliche verbleibenden personenbezogenen Daten oder gibt sie nach dokumentierter Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bei Rückgabe werden anschließend die beim Auftragsverarbeiter verbleibenden Kopien gelöscht. Die Löschung wird dokumentiert und auf Verlangen bestätigt.

8.5 Koordination von Übergabe und Löschung. Übergabe und Löschung werden so abgestimmt, dass keine zur vereinbarten Übergabe erforderlichen Daten vorzeitig vernichtet werden. Eine automatische Löschung sämtlicher Daten am letzten Vertragstag findet nicht statt; maßgeblich ist der Abschluss der Übergabe und einer daran anschließenden Abrufphase.

8.6 Gesetzliche Aufbewahrung trotz Löschweisung. Eine Aufbewahrung entgegen einer Löschweisung erfolgt nur, soweit eine konkret anwendbare gesetzliche Verpflichtung die weitere Speicherung beim Auftragsverarbeiter verlangt. Soweit rechtlich zulässig, teilt er Rechtsgrundlage, betroffene Daten und voraussichtliche Dauer mit. Die Daten werden für andere Verwendungszwecke gesperrt und nach Wegfall der Verpflichtung gelöscht.

Aufbewahrungspflichten, die ausschließlich den Verantwortlichen treffen, begründen keine unentgeltliche Archivierungspflicht des Auftragsverarbeiters nach Vertragsende.

8.7 Sicherungen. Für Sicherungskopien werden Löschverfahren und maximale verbleibende Speicherdauer gesondert festgelegt. Bis zur Löschung ist eine produktive Nutzung ausgeschlossen. Bei einer Wiederherstellung werden bereits wirksame Löschungen erneut umgesetzt.

___ (noch offen) Löschverfahren und Fristen für Sicherungen sind einzutragen, sobald das Sicherungsverfahren eingerichtet ist. Eine Frist, die die tatsächliche Rotation nicht einhalten kann, wäre im Vertrag schlechter als keine.

§ 9 Haftung

Ansprüche betroffener Personen nach Art 82 DSGVO und die Befugnisse der Aufsichtsbehörden werden durch diese Vereinbarung nicht begrenzt. Für den Rückgriff der Parteien untereinander gilt Art 82 Abs 5 DSGVO.

Im Übrigen gelten für die Haftung der Parteien die gesetzlichen Bestimmungen. Ansprüche betroffener Personen nach Art 82 DSGVO, der Ausgleich nach Art 82 Abs 5 DSGVO und die Befugnisse der Aufsichtsbehörden bleiben unberührt. Eine noch nicht abgeschlossene Zusatzvereinbarung oder deren Entwurf wird durch diese Vereinbarung nicht einbezogen.

Anmerkung: Die frühere Fassung verwies auf § 7 Abs 7 der Zusatzvereinbarung über die Software. Diese ist bei Unterzeichnung der vorliegenden Vereinbarung noch nicht abgeschlossen; der Verweis ginge ins Leere. Bis zum Abschluss einer wirksamen Haftungsvereinbarung besteht daher keine vereinbarte Haftungsobergrenze. Eine spätere Begrenzung gilt nicht rückwirkend.

9.2 Ausgleich im Innenverhältnis. Soweit der Verantwortliche schuldhaft rechtswidrige Daten oder Weisungen bereitstellt und dadurch berechtigte Ansprüche Dritter gegen den Auftragsverarbeiter verursacht, ersetzt er den auf seinen Verantwortungsanteil entfallenden Schaden einschließlich erforderlicher und angemessener Rechtsverteidigungskosten.

Eine eigene Mitverantwortung des Auftragsverarbeiters wird berücksichtigt. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über geltend gemachte Ansprüche und ermöglicht ihm eine angemessene Mitwirkung an der Abwehr. Behördliche Geldbußen sind von dieser Vereinbarung nicht erfasst. Art 82 Abs 5 DSGVO bleibt unberührt.

§ 10 Ansprechpartner

Ansprechpartner für Datenschutzfragen sind:

• beim Verantwortlichen: Thomas Ammerer, Geschäftsführer, Großarler Genuss GmbH, ta@grossarler-genuss.at, +43 6414 20599
• beim Auftragsverarbeiter: Karl Pirker, office@haftig.at

▲ Ob eine der Parteien einen Datenschutzbeauftragten zu bestellen hat, richtet sich nach Art 37 DSGVO und ist von jeder Partei selbst zu prüfen. Der frühere Satz „ein Datenschutzbeauftragter ist gesetzlich nicht zwingend zu bestellen“ ist entfallen — er war eine rechtliche Beurteilung, die hier niemand geprüft hatte.

§ 11 Laufzeit

11.1 Diese Vereinbarung tritt mit beiderseitiger Unterzeichnung in Kraft. Sie gilt für die in Anlage 1 beschriebenen, vom Verantwortlichen beauftragten Verarbeitungen.

11.2 Mit der Beendigung des jeweiligen Verarbeitungsauftrags endet die Befugnis zur laufenden Verarbeitung für diesen Zweck. Erforderliche Rückgabe-, Übergangs-, Abruf- und Löschvorgänge bleiben im vereinbarten und gesetzlich zulässigen Umfang erfasst.

11.3 Vertraulichkeit, Datensicherheit, zweckgebundene Rückgabe und Löschung gelten fort, solange der Auftragsverarbeiter noch entsprechende Daten verarbeitet. Hieraus entsteht keine zeitlich unbegrenzte Archivierungsleistung.

11.4 Eigenständigkeit. Diese Vereinbarung wird unabhängig vom späteren Abschluss der Zusatzvereinbarung über die Software geschlossen. Sie erfasst die tatsächlich beauftragten Verarbeitungen aus dem Kooperations- und Lizenzvertrag. Eine in Anlage 1 als geplant bezeichnete Verarbeitung stellt weder eine bereits erfolgte technische Umsetzung noch eine zusätzliche entgeltliche Beauftragung dar.

11.5 Kein Rückdatieren. Der tatsächliche Beginn der Verarbeitung wird nach § 1.4 wahrheitsgemäß angegeben; das Unterzeichnungsdatum wird nicht rückdatiert. Eine bereits erfolgte Verarbeitung wird durch die spätere Unterzeichnung nicht rückwirkend als ordnungsgemäß bestätigt.

§ 12 Schlussbestimmungen

12.1 Form. Diese Vereinbarung sowie ihre Änderungen und Ergänzungen bedürfen der Textform; dies gilt auch für ein Abgehen vom Textformerfordernis.

Die Textform wird gewahrt durch eigenhändige Unterzeichnung ebenso wie durch eine fortgeschrittene oder qualifizierte elektronische Signatur im Sinne der Verordnung (EU) Nr. 910/2014 (eIDAS-VO). Eine qualifizierte elektronische Signatur steht der eigenhändigen Unterschrift gleich (Art 25 Abs 2 eIDAS-VO).

Der Abschluss kann in getrennten, jeweils einzeln signierten Ausfertigungen erfolgen. Die Übermittlung der signierten Fassung in elektronischer Form, insbesondere per E-Mail, ist ausreichend; eine Übersendung in Papierform wird nicht geschuldet.

Ist eine Partei durch mehrere Personen gemeinsam vertretungsbefugt, kommt diese Vereinbarung erst mit der Signatur aller vertretungsbefugten Personen zustande.

Anmerkung: Art 28 Abs 9 DSGVO lässt den elektronischen Abschluss ausdrücklich zu. Die frühere Schriftformklausel hätte dem widersprochen.

12.2 Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

12.3 Es gilt österreichisches Recht unter Beachtung der DSGVO. Gerichtsstand ist Liezen — entsprechend § 13 Abs 3 des Kooperations- und Lizenzvertrags.

12.4 Diese Vereinbarung wird in zwei gleichlautenden Ausfertigungen errichtet; jede Partei erhält eine.

---

Ort, Datum: ..............................................................

Großarler Genuss GmbH (Verantwortlicher) — beide Geschäftsführer zeichnen gemeinsam

Thomas Ammerer: ..............................................................

Jürgen Höllmüller: ..............................................................

Karl Pirker, „Kumitzberg" (Auftragsverarbeiter)

Unterschrift: ..............................................................

Die Unterzeichnung kann nach § 12.1 auch elektronisch erfolgen. Bei qualifizierter elektronischer Signatur (z. B. ID Austria) tritt die Signatur an die Stelle der Unterschrift; die Unterschriftenfelder bleiben dann leer. Beide Geschäftsführer der Großarler Genuss GmbH müssen signieren — sie sind nur gemeinsam vertretungsbefugt.

---

Anlage 1 — Gegenstand der Verarbeitung

Zweck	Übernahme der Bestellungen aus Online-Shop und Marktplätzen; Erstellung von Lieferscheinen, Rechnungen, Gutschriften und Stornobelegen ab 01.09.2026; Erstellung von Artikel- und Versandetiketten; Übergabe der Belege an die Verkaufskanäle, soweit dort erforderlich; Aufbereitung und Übergabe der Buchhaltungsdaten; Abstimmung der Auszahlungen; Zuarbeit zur OSS-Meldung.
Art der Verarbeitung	Erheben, Erfassen, Ordnen, Speichern, Verändern (Belegerstellung), Übermitteln (an Verkaufskanäle, Versanddienstleister, Buchhaltung des Verantwortlichen), Archivieren, Löschen.
Art der Daten	Bestell- und Auftragsdaten; Name des Käufers; Rechnungs- und Lieferanschrift; E-Mail-Adresse; Telefonnummer; Marktplatz-Bestellnummer; Sendungs-/Trackingnummer; bei Geschäftskunden Firma und UID-Nummer; Zahlungs- und Auszahlungsdaten ohne vollständige Kartendaten.
Kategorien betroffener Personen	Endkunden (Käufer) des Verantwortlichen im Online-Shop und auf den angeschlossenen Marktplätzen; Ansprechpersonen von Geschäftskunden.
Dauer	Laufzeit des Kooperations- und Lizenzvertrags. Nicht-Belegdaten: Löschung ≤ 30 Tage nach Verarbeitung. Belege: gesetzliche Aufbewahrungsfrist (7 Jahre; OSS-Belege 10 Jahre) — siehe § 8.2.

Ausdrücklich nicht Gegenstand der Verarbeitung: vollständige Zahlungskartendaten, Bankzugangsdaten des Verantwortlichen, besondere Kategorien personenbezogener Daten nach Art 9 DSGVO.

1.2 Weitere Verarbeitungsvorgänge

a) Newsletter und E-Mail-Marketing

Zweck	Versand von Newslettern und Werbemitteilungen im Namen und auf Weisung des Verantwortlichen
Betroffene Personen	Empfänger, die sich beim Verantwortlichen eingetragen haben
Datenarten	E-Mail-Adresse, Anrede, Name, Anmeldezeitpunkt und -nachweis, Öffnungs- und Klickverhalten, Abmeldezeitpunkt
Verarbeitungsschritte	Übernahme der Empfängerliste, Erstellung und Versand der Aussendung, Auswertung der Zustellung, Pflege der Abmeldungen
Rechtsgrundlage und Einwilligung	verantwortet der Verantwortliche. Er stellt sicher, dass für jeden Empfänger eine gültige Einwilligung bzw. eine andere Rechtsgrundlage vorliegt und dass § 174 TKG 2021 eingehalten ist.

b) Marketing und Werbeanzeigen

Zweck	Erstellung und Ausspielung von Werbemitteln für den Verantwortlichen
Betroffene Personen	Empfänger von Werbemaßnahmen; Besucher der Verkaufskanäle
Datenarten	pseudonymisierte Reichweiten- und Interaktionsdaten; bei Zielgruppenlisten E-Mail-Adressen in gehashter Form
Verarbeitungsschritte	Aufbereitung, Übermittlung an die vom Verantwortlichen beauftragten Werbeplattformen, Auswertung
Hinweis	Die Werbeplattformen sind Auftragsverarbeiter des Verantwortlichen, soweit er sie selbst beauftragt hat (§ 4.5).

c) B2B-Kontakte

Zweck	Aufbau und Pflege von Geschäftskundenbeziehungen im Auftrag des Verantwortlichen
Betroffene Personen	Ansprechpersonen bei Geschäftskunden und Interessenten
Datenarten	Name, Funktion, Firma, geschäftliche Anschrift, geschäftliche E-Mail-Adresse und Telefonnummer, UID, Gesprächs- und Angebotsverlauf
Verarbeitungsschritte	Erfassen, Ordnen, Speichern, Kontaktaufnahme auf Weisung, Übergabe an den Verantwortlichen

d) Ausweisdokumente (Verkäuferverifizierung / KYC)

Zweck	Nachweis der Identität vertretungsbefugter Personen gegenüber Marktplätzen und Zahlungsdienstleistern
Betroffene Personen	vertretungsbefugte Personen des Verantwortlichen
Datenarten	Name, Geburtsdatum, Ausweisnummer, ausstellende Behörde, Gültigkeitsdauer, Lichtbild
Besondere Kategorie nach Art 9 DSGVO	nein
Verarbeitungsschritte	Entgegennahme, Speicherung, Übermittlung an den jeweiligen Marktplatz bzw. Zahlungsdienstleister im Rahmen der Freischaltung
Aufbewahrung	___ (noch offen) (Vorschlag: sechs Monate nach abgeschlossener Freischaltung, sofern der Marktplatz nichts anderes verlangt)

e) Geplant: Lese- und Downloadbereich für den Verantwortlichen

Bereitstellung eines authentifizierten, auf den Verantwortlichen beschränkten Lese- und Downloadbereichs für ausdrücklich berechtigte Personen des Verantwortlichen. Der Bereich ermöglicht die Einsicht in offene Aufträge sowie den Download der für den Verantwortlichen bereitgestellten Rechnungen, Gutschriften, Stornobelege, Lieferscheine und Versandetiketten.

Der Zugang ermöglicht keine Anlage, Bearbeitung, Löschung oder Stornierung von Aufträgen und Belegen. Insbesondere können Belegnummern, Steuerbeträge und Summen über diesen Zugang nicht verändert werden.

Verarbeitet werden außerdem die zur Benutzerverwaltung, Authentifizierung und angemessenen Sicherheitsprotokollierung erforderlichen Daten der berechtigten Personen (Name, geschäftliche E-Mail-Adresse, Anmeldezeitpunkte, Abrufe).

Freischaltung erst nach dokumentierter Prüfung der Zugangssicherheit und der Mandantentrennung (§ 5.3). Der Nachweis der Mandantentrennung besteht darin, dass der Abruf eines fremden Dokuments abgewiesen wird — auch bei angemeldetem Benutzer und auch bei unmittelbarer Dokumentadresse. Eine erfolgreiche Anmeldung im richtigen Konto genügt als Nachweis nicht.

Benutzer werden durch den Verantwortlichen benannt, freigegeben und gesperrt. Ausgeschiedene Personen sind unverzüglich zu melden.

Anlage 2 — Technische und organisatorische Maßnahmen (Art 32 DSGVO)

Diese Anlage beschreibt Maßnahmen, die bestehen — nicht solche, die geplant sind. Punkte, die am Tag der Unterzeichnung noch nicht umgesetzt sind, stehen unter „In Umsetzung“ mit Datum. Wer eine geplante Maßnahme als bestehende zusagt, hat sie im Schadensfall zugesagt.

• Verschlüsselung ruhend — Arbeitsplatzrechner: Der Rechner, auf dem die Belege erzeugt und abgelegt werden, ist seit 19.09.2026 vollständig verschlüsselt (BitLocker, XTS-AES). Erfasst sind beide Datenträger, auf denen Daten des Verantwortlichen liegen:

Datenträger	Verfahren	aktiviert	Stand
Systemlaufwerk	BitLocker XTS-AES, TPM + numerisches Kennwort	19.09.2026	vollständig verschlüsselt, Schutz aktiviert
Arbeitslaufwerk (Belege, Kundendaten)	BitLocker XTS-AES, Kennwort + automatische Entsperrung	19.09.2026	vollständig verschlüsselt, Schutz aktiviert

Die Wiederherstellungsschlüssel werden getrennt vom Rechner auf einem eigenen Datenträger verwahrt. Bei Verlust des Geräts sind die Daten ohne Schlüssel nicht lesbar; der Verlust wird dem Verantwortlichen unverzüglich gemeldet.

Ein früher genutzter dritter Datenträger (Altbestand) ließ sich bauartbedingt nicht verschlüsseln. Sein Inhalt wurde am 19.09.2026 auf das verschlüsselte Arbeitslaufwerk übernommen. Der Datenträger trägt 38.272 Dateien. Die Übernahme wurde für 35.862 davon einzeln nachgewiesen — Größenvergleich für jede Datei, Prüfsummenvergleich für 300 Stichproben, keine fehlend. Nicht einbezogen waren 2.410 abgeleitete Dateien in __pycache__- und .git-Verzeichnissen (kompilierter Zwischencode und Versionsstände von Arbeitsverzeichnissen); die Zahlen wurden am 20.09.2026 nachgemessen. Der Datenträger bleibt bis zum Abschluss der Nachübernahme dieser 2.410 Dateien in Betrieb und wird erst danach stillgelegt.

• Verschlüsselung ruhend — Server: firmeneigener Server mit AES-256-Datenträgerverschlüsselung; Schlüsselverwaltung getrennt vom System in einem verschlüsselten Passwort-Manager.
• Verschlüsselung im Transit: ausschließlich TLS-verschlüsselte Verbindungen zu allen Schnittstellen.
• Zugangs- und Zugriffskontrolle: personengebundene Konten, Multi-Faktor-Authentifizierung, Zugriff auf Käuferdaten beschränkt auf namentlich benannte Personen (Need-to-know); Fernzugriff nur über personengebundenen, geschützten Zugang.
• Mandantentrennung: die Daten des Verantwortlichen werden getrennt von denen anderer Auftraggeber verarbeitet und gespeichert; je Mandant ein eigener Zugangsdatensatz. Jeder automatische Lauf prüft vor der Verarbeitung, dass Ziel und Mandant zusammenpassen, und bricht bei Abweichung ab.
• Keine Verarbeitung personenbezogener Daten durch KI-Systeme. Sprachmodelle werden ausschließlich auf Artikel- und Systemdaten angewandt; Käuferdaten, Belege und Adressen werden nicht an solche Dienste übermittelt.
• Zugangsdaten und Schlüssel: ausschließlich in geschützter Umgebungskonfiguration bzw. verschlüsseltem Passwort-Manager; niemals im Quellcode, in Repositories, in Protokollen oder in Nachrichten; Wechsel bei Verdacht auf Kompromittierung.
• Trennung Test/Produktion: Tests ausschließlich mit erfundenen Daten; Schreibvorgänge stehen standardmäßig auf aus und werden je Mandant und Baustein bewusst freigegeben.
• Protokollierung: Verarbeitungsläufe und Zugriffe werden protokolliert. Protokolle werden 12 Monate aufbewahrt und anschließend gelöscht; enthalten sie personenbezogene Daten, gilt diese Frist abweichend von § 8.1 als deren Aufbewahrungsfrist (§ 8.1 lit b).
• Änderungen an Belegen werden sichtbar. Die Anwendung bietet keinen Weg, einen ausgegebenen Beleg zu ändern: Korrekturen erfolgen ausschließlich als Storno oder Gutschrift mit Verweis auf den Ursprungsbeleg, und die Nummernvergabe ist so verkettet, dass ein Entfernen oder Ändern einer Zeile auffällt. Eine darüber hinausgehende Eigenschaft — „unveränderlich“, „manipulationssicher“, „revisionssicher“ — wird nicht zugesagt; sie wäre gegenüber einem Zugriff auf Betriebssystemebene auch nicht haltbar.
• Vollständigkeit der Übergabe: zu jedem an die Buchhaltung übergebenen Stapel wird ein Protokoll mit Belegnummern erstellt, das eine Lücke sichtbar macht.
• Sicherung und Wiederherstellung: Die Belegdaten liegen auf einem verschlüsselten Laufwerk (BitLocker, seit 19.09.2026); die Schlüssel werden getrennt von den Datenträgern verwahrt. Sicherungen werden vor dem Verlassen der Quelle verschlüsselt (AES-256). Das Wiederherstellungsverfahren ist dokumentiert und wird mindestens einmal jährlich erprobt; die Erprobung wird mit Datum protokolliert. Der Verantwortliche selbst erhält auf Anforderung jederzeit eine verschlüsselte Kopie des Belegbestands zur Verwahrung in seinen eigenen Räumen; für deren Verwahrung ist er verantwortlich.

Die zweite räumlich getrennte Ausfertigung — auf eigener Infrastruktur und bei einem Hosting-Anbieter in der EU — ist noch nicht eingerichtet und steht deshalb unten unter „In Umsetzung", nicht hier. Eine Zusage, die derselbe Text zurücknimmt, wäre keine. - Wiederherstellung und Löschung: Wird eine Sicherung eingespielt, werden Daten, die zwischenzeitlich zu löschen waren, unverzüglich erneut gelöscht. Eine Wiederherstellung setzt eine Löschung nicht dauerhaft zurück. - Standort: Verarbeitung und Sicherung ausschließlich innerhalb EU/EWR. Eine Ablage in einem Rechenzentrum außerhalb der EU ist ausgeschlossen.

In Umsetzung — Stand ___ (noch offen) (Tag der Unterzeichnung)

Diese Punkte sind am Tag der Unterzeichnung noch nicht vollständig umgesetzt. Sie stehen hier, damit die Anlage nicht mehr zusagt, als besteht. Zu jeder Maßnahme ist angegeben, welche wirksame Absicherung bis zur Fertigstellung besteht — eine Kenntnisnahme des Verantwortlichen ersetzt kein angemessenes Schutzniveau (§ 5.3).

Maßnahme	Stand	Absicherung bis dahin	umgesetzt bis	verantwortlich
Zweite verschlüsselte Sicherung der Belegdaten auf eigener Infrastruktur	Verfahren vorhanden, noch nicht eingerichtet	Die Daten liegen auf dem verschlüsselten Arbeitslaufwerk (BitLocker seit 19.09.2026). Belege können aus den Quelldaten der Verkaufskanäle neu erzeugt werden; die Belegnummern sind im verketteten Register geführt.	___ (noch offen)	Karl Pirker
Zweite verschlüsselte Sicherung bei einem EU-Hoster (siehe Anlage 3)	gebaut und dokumentiert, noch nicht scharf geschaltet	wie vorstehend	___ (noch offen)	Karl Pirker
Erprobte Wiederherstellung mit protokollierter Dauer und Prüfung von Datenbank, Belegregister und PDF-Dateien	Verfahren vorhanden und erstmals nachgewiesen: Rückholung am 20.09.2026, 13:09 UTC aus dem verschlüsselten restic-Repository, Prüfsumme der Stichprobe gleich, Dauer 9 Sekunden, Rückholkopie anschließend gelöscht. Der Nachweis betrifft den Serverbestand des Auftragsverarbeiters; die Belegdaten des Verantwortlichen liegen am Arbeitsplatzrechner und sind in diese Sicherung noch nicht einbezogen.	Für die Belegdaten gilt bis zum eigenen Rückholnachweis: die Sicherung ist nicht belastbar. Der Verantwortliche kann jederzeit eine eigene verschlüsselte Kopie des Belegbestands anfordern.	___ (noch offen)	Karl Pirker
Mandantenbezogene Prüfung vor jedem automatischen Lauf, kanalübergreifend	im Belegregister und in der Belegkontrolle umgesetzt und durch eigene Prüfungen abgesichert; in einzelnen Auswertungswerkzeugen ausständig	Für die betroffenen Auswertungswerkzeuge werden keine Echtdaten mehrerer Mandanten gleichzeitig verarbeitet. Die Belegdaten selbst liegen je Mandant in getrennten Datenbanken.	___ (noch offen)	Karl Pirker
Getrennte Exportverfahren je Mandant	noch nicht festgelegt	Exporte erfolgen derzeit einzeln und je Mandant von Hand angestoßen.	___ (noch offen)	Karl Pirker
Zugangssicherheit des geplanten Lese- und Downloadbereichs, einschließlich Prüfung auf mandantenfremde Abrufe	nicht umgesetzt — der Bereich besteht noch nicht	Die Verarbeitung nach Anlage 1 lit e wird bis zum Nachweis nicht aufgenommen.	___ (noch offen)	Karl Pirker

Klarstellung: Die Belege werden derzeit auf einem Arbeitsplatzrechner erzeugt und dort abgelegt, nicht auf dem Server. Dieser Rechner ist seit 19.09.2026 verschlüsselt; die Zusagen oben unterscheiden zwischen Arbeitsplatzrechner und Server.

Bis zu den genannten Terminen gilt der jeweils beschriebene Ist-Stand samt der genannten Absicherung.

Anlage 3 — Weitere Auftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (HRB 6089, Amtsgericht Ansbach)	Betrieb des Servers und Ablage der verschlüsselten Sicherungskopie	ausschließlich Rechenzentren innerhalb der EU — vertraglich festzulegen
Backblaze Inc., San Mateo, Kalifornien, USA	Ablage des verschlüsselten Sicherungsarchivs (Backblaze B2)	Bucket-Region ist vor dem Einsatz auf EU festzulegen und nachzuweisen

Hinweis zu Backblaze — Stand 20.09.2026: Das Sicherungsverfahren wurde am 20.09.2026 erstmals mit einer Rückholung aus einem restic-Repository bei Backblaze B2 nachgewiesen. Dieses Repository enthält heute keine Daten des Verantwortlichen. Backblaze wird hier bereits genannt, damit die Frist nach § 4.2 (Information 14 Kalendertage vor dem Einsatz) läuft, bevor Belegdaten dorthin gesichert werden. Vor dem Einsatz sind zu klären und dem Verantwortlichen nachzuweisen: die Region des Buckets, der Auftragsverarbeitungsvertrag nach § 4.3 und — weil Backblaze ein Unternehmen mit Sitz in den USA ist — die Grundlage für eine etwaige Drittlandsübermittlung nach Art 44 ff DSGVO. Die Sicherung ist vor dem Verlassen der Quelle verschlüsselt (restic, AES-256); der Schlüssel verbleibt beim Auftragsverarbeiter.

Bedingungen für diesen Einsatz:

• Mit dem Anbieter ist ein eigener Auftragsverarbeitungsvertrag abzuschließen, der diesem gleichwertige Pflichten auferlegt (§ 4.3).
• Die Sicherung wird ausschließlich verschlüsselt übertragen und abgelegt; der Schlüssel verbleibt beim Auftragsverarbeiter und wird dem Anbieter zu keinem Zeitpunkt zugänglich gemacht. Der Anbieter verarbeitet dadurch keine im Klartext lesbaren personenbezogenen Daten.
• Der Standort ist auf die EU festzulegen. Rechenzentren außerhalb der EU sind ausgeschlossen.

Die zweite Sicherungskopie beim Verantwortlichen selbst ist keine Auftragsverarbeitung — dort verwahrt der Verantwortliche seine eigenen Daten.

Weitere Unterauftragsverarbeiter werden nur nach dem Verfahren gemäß § 4 (Information und Einspruchsrecht) und unter Auferlegung gleichwertiger Datenschutzpflichten eingesetzt.

---

Hinweis: Dieses Dokument wurde nicht von einem Rechtsanwalt erstellt. Es ist eine strukturierte AVV-Fassung nach Art 28 DSGVO und österreichischem Recht und ersetzt keine Rechtsberatung.

Vor der Unterzeichnung ist zu prüfen, ob die in Anlage 2 beschriebenen Maßnahmen tatsächlich vollständig umgesetzt sind — insbesondere die räumlich getrennte verschlüsselte Zweitkopie, die Mandantenprüfung vor jedem Lauf und das Übergabeprotokoll. Was dort steht, ist eine Zusage. Eine Zusage, die nicht stimmt, ist schlechter als eine fehlende.

Zusatzvereinbarung: Überlassung und Nutzung der Softwarelösung „HAFTIG OS“

Zusatz zum Kooperations- und Lizenzvertrag vom 01.09.2026

ENTWURF — vor Unterzeichnung anwaltlich prüfen zu lassen.

---

abgeschlossen zwischen

Karl Pirker, „Kumitzberg“ (Einzelunternehmen), Obersdorf 56, 8983 Bad Mitterndorf, UID ATU63163533 — „Anbieter“

und

Großarler Genuss GmbH, Sonneggweg 1, 5611 Großarl, FN 473130 f (LG Salzburg), UID ATU72344714, vertreten durch die gemeinsam vertretungsbefugten Geschäftsführer Thomas Ammerer und Jürgen Höllmüller — „Kunde“

---

§ 1 Verhältnis zum Kooperations- und Lizenzvertrag

(1) Der Kooperations- und Lizenzvertrag vom 01.09.2026 regelt die Betreuung des Onlinevertriebs und bleibt davon unberührt. Die dort vereinbarte Vergütung (Fixum und Provision) gilt unverändert weiter.

(2) Gegenstand dieser Zusatzvereinbarung ist eine eigenständige, davon zu unterscheidende Leistung: die Überlassung einer Softwarelösung zur Nutzung durch den Kunden.

(3) Abgrenzung. § 3 des Kooperations- und Lizenzvertrags umfasst die Betreuung der Schnittstellen und das Reporting. Er umfasst nicht die Bereitstellung eines Systems zur Erstellung von Rechnungen, Gutschriften und Stornobelegen, die Führung eines Belegarchivs und die Aufbereitung der Buchhaltungsübergabe. Diese Leistungen werden hiermit gesondert vereinbart und gesondert vergütet.

§ 2 Gegenstand der Überlassung

(1) Der Anbieter überlässt dem Kunden für die Dauer dieser Vereinbarung die Nutzung der Softwarelösung „HAFTIG OS“ in der jeweils bereitgestellten Fassung.

(2) Der Leistungsumfang ergibt sich aus Anlage A.

(3) Die Software wird nicht verkauft. Der Kunde erhält ein einfaches, nicht übertragbares und nicht unterlizenzierbares Nutzungsrecht für den eigenen Geschäftsbetrieb, beschränkt auf die Dauer dieser Vereinbarung. Eine Weitergabe an Dritte — einschließlich verbundener Unternehmen — bedarf der vorherigen schriftlichen Zustimmung des Anbieters.

(4) Sämtliche Rechte an der Software, am Quelltext und an den zugrundeliegenden Verfahren verbleiben beim Anbieter. Das gilt auch für Erweiterungen, die auf Anregung des Kunden entstehen. Die Daten des Kunden gehören dem Kunden (§ 6).

§ 3 Betrieb, Verfügbarkeit und Mitwirkung

(1) Der Betrieb erfolgt auf Infrastruktur des Anbieters innerhalb der EU. Die datenschutzrechtlichen Pflichten regelt die zwischen den Parteien geschlossene Vereinbarung zur Auftragsverarbeitung vom selben Tag.

(2) Verfügbarkeit. Der Anbieter bemüht sich um durchgehende Verfügbarkeit, sagt jedoch keine bestimmte Verfügbarkeitsquote zu. Wartungsarbeiten werden nach Möglichkeit angekündigt. (Sollte eine Quote zugesagt werden, muss sie messbar und einhaltbar sein — sonst ist sie eine Zusage, die man nicht halten kann.)

(3) Mitwirkungspflichten des Kunden. Der Kunde stellt rechtzeitig und vollständig bereit: Artikelstammdaten einschließlich Steuerkategorie je Artikel und Verkaufspreis je Kanal, die Zugänge zu Shop und Marktplätzen, die Kontendaten seiner Buchhaltung sowie die Entscheidungen, die seiner Steuerberatung obliegen. Solange diese Angaben fehlen, kann die Software den betroffenen Vorgang nicht verarbeiten; sie hält ihn sichtbar an. Daraus entstehende Verzögerungen hat der Anbieter nicht zu vertreten.

(4) Der Kunde benennt eine Ansprechperson: Thomas Ammerer.

§ 4 Entgelt

Einrichtung	entfällt. Die Leistungen nach Anlage A, Abschnitt A.1, sind mit dem Fixum nach § 5 Abs 1 des Kooperations- und Lizenzvertrags abgegolten und werden nicht gesondert verrechnet.
Die ersten 30 Tage ab dem Beginn nach § 5 (1)	kostenfrei hinsichtlich des laufenden Entgelts
Laufendes Entgelt, monatlich	290,00 EUR netto, zahlbar bis zum 15. des Folgemonats
Mengenanteil	entfällt. Übersteigt die Zahl der erstellten Belege in drei aufeinanderfolgenden Monaten je 500 je Monat, verhandeln die Parteien das laufende Entgelt neu. Bis dahin ist die Belegzahl nicht preisbestimmend.
Wertsicherung	Verbraucherpreisindex 2020 der Statistik Austria. Ausgangsbasis ist der für den Monat des Vertragsbeginns verlautbarte Index; die Anpassung erfolgt erstmals zum 1. Jänner des zweitfolgenden Jahres, danach jährlich. Schwankungen bis 3 % bleiben unberücksichtigt.

(1) Alle Beträge verstehen sich zuzüglich gesetzlicher Umsatzsteuer, Zahlung gegen ordnungsgemäße Rechnung.

(2) Einrichtung. Für die Einrichtung wird kein gesondertes Entgelt verrechnet. Sie ist Teil der Leistungen, die der Anbieter nach dem Kooperations- und Lizenzvertrag gegen das dort vereinbarte Fixum erbringt. Das laufende Entgelt nach dieser Vereinbarung gilt ausschließlich die Überlassung und den Betrieb der Software ab dem Beginn nach § 5 (1) ab.

(3) Sonderentwicklungen auf Wunsch des Kunden sind nicht enthalten und werden gesondert beauftragt und verrechnet.

§ 5 Laufzeit und Beendigung

(1) Beginn. Diese Vereinbarung beginnt am 1. Oktober 2026.

(2) Laufzeit — gleichlaufend mit dem Hauptvertrag. Diese Vereinbarung wird für dieselbe feste Dauer geschlossen wie der Kooperations- und Lizenzvertrag, somit bis zum 31.08.2031. Die ordentliche Kündigung ist während dieser Zeit ausgeschlossen. Verlängert sich der Kooperations- und Lizenzvertrag nach dessen § 8 Abs 3 um jeweils zwölf Monate, verlängert sich diese Vereinbarung im gleichen Umfang und zu denselben Fristen.

Begründung: Fixum, Softwareentgelt und Provision sind ein Gesamtpaket. Eine Software, die nach zwölf Monaten einseitig abbestellt werden kann, während die Betreuungspflicht fünf Jahre läuft, nimmt dem Anbieter den Teil der Vergütung, der die Bereitstellung trägt — die Pflicht bliebe, die Gegenleistung fiele weg.

(3) Kein Überdauern des Hauptvertrags. Diese Vereinbarung endet spätestens mit dem Kooperations- und Lizenzvertrag, gleich aus welchem Grund dieser endet. Sie begründet keine eigene Bindung über dessen Laufzeit hinaus.

(3a) Nichtnutzung befreit nicht. Das laufende Entgelt ist für die Bereitstellung geschuldet. Nutzt der Kunde die vertragsgemäß bereitgestellte Software nicht oder nur teilweise, berührt das die Entgeltpflicht nicht. Unberührt bleiben die Rechte des Kunden bei Mängeln nach § 7.

(3b) Kumulative Vergütung. Fixum und Provision nach § 5 des Kooperations- und Lizenzvertrags und das laufende Entgelt nach § 4 dieser Vereinbarung stehen nebeneinander. Eine gegenseitige Anrechnung findet nicht statt.

(4) Außerordentliche Kündigung. Das Recht zur Auflösung aus wichtigem Grund bleibt beiden Teilen unberührt. Ein wichtiger Grund liegt für den Anbieter insbesondere vor, wenn der Kunde mit dem Entgelt mehr als 60 Tage in Verzug ist und trotz schriftlicher Mahnung mit Nachfrist nicht zahlt.

(5) Form. Kündigungen bedürfen der Textform nach § 9 (2); E-Mail an die in § 9 (4) genannten Adressen genügt.

§ 6 Daten des Kunden, Zugriff und Herausgabe

(1) Eigentum. Sämtliche im System verarbeiteten Daten des Kunden — Stammdaten, Aufträge, Belege, Buchungsstapel und Protokolle — stehen dem Kunden zu. Der Anbieter erwirbt daran kein Recht und nutzt sie ausschließlich zur Erbringung der Leistungen nach dieser Vereinbarung.

(2) Kein Zurückbehaltungsrecht an Belegen. Der Anbieter macht an Belegen und Belegdaten kein Zurückbehaltungsrecht geltend, auch nicht bei Zahlungsverzug.

Begründung: Der Kunde trifft die abgabenrechtliche Aufbewahrungspflicht nach § 132 BAO. Ein Zurückbehalten seiner eigenen Belege würde ihn in eine gesetzwidrige Lage bringen, für die er einstehen muss — und den Anbieter mit hineinziehen.

(3) Laufender Zugriff. Der Kunde kann seinen Belegbestand jederzeit im System einsehen und in einem gängigen, maschinell lesbaren Format samt der zugehörigen PDF-Dokumente ausleiten.

(4) Herausgabe bei Vertragsende. Spätestens mit Ende dieser Vereinbarung übergibt der Anbieter dem Kunden ohne gesondertes Entgelt den vollständigen Belegbestand: die Belegdaten in maschinell lesbarer Form, die PDF-Belege, die Buchungsstapel und das Verzeichnis der vergebenen Belegnummern. Die Übergabe wird protokolliert. Ergänzend gilt § 8.3 der Vereinbarung zur Auftragsverarbeitung.

(5) Aufbewahrung endet mit der Vereinbarung. Der Anbieter führt das Belegarchiv während der Laufzeit dieser Vereinbarung. Mit deren Ende erbringt er die Übergabe nach Absatz 4 und löscht danach nach dem in § 8 der Vereinbarung zur Auftragsverarbeitung festgelegten Verfahren.

Eine Aufbewahrung über das Vertragsende hinaus schuldet der Anbieter nicht. Wünscht der Kunde sie, wird sie gesondert beauftragt und gesondert vergütet.

Begründung: Die abgabenrechtliche Aufbewahrungspflicht nach § 132 BAO und Art 25a Abs 10 UStG 1994 trifft den Kunden, nicht den Anbieter. Sieben bzw. zehn Jahre Speicherung, Sicherung, Auskunft und Datenschutzbetreuung ohne laufendes Entgelt wären eine Leistung ohne Gegenleistung — und eine Pflicht, die den Vertrag um Jahre überdauert.

(6) Eigene Aufbewahrung des Kunden. Der Kunde hat die übergebenen Daten selbst so zu verwahren, dass er seine gesetzlichen Pflichten auch ohne den Anbieter erfüllen kann. Gesetzliche Aufbewahrungspflichten, die den Anbieter selbst treffen, bleiben davon unberührt.

§ 7 Gewährleistung, Haftung und Abgrenzung der Verantwortung

(1) Beschaffenheit. Der Anbieter schuldet die Software in der in Anlage A beschriebenen Beschaffenheit. Eine Eignung für darüber hinausgehende Zwecke wird nicht zugesagt.

(2) Mängel. Mängel sind nachvollziehbar zu melden. Der Anbieter beseitigt sie in angemessener Frist. Gelingt das zweimal nicht, kann der Kunde das Entgelt angemessen mindern oder aus wichtigem Grund auflösen.

(3) Keine Steuer-, Rechts- oder Buchhaltungsberatung. Die Software berechnet auf Grundlage der vom Kunden und seiner Steuerberatung hinterlegten Vorgaben. Sie ersetzt weder Steuerberatung noch Buchhaltung. Die Verantwortung für Steuerkategorien, Kontenzuordnung, Registrierungen und Meldungen — insbesondere OSS — trägt der Kunde.

(4) Belege und Abgabenrecht. Die Richtigkeit und Vollständigkeit der Belege gegenüber Finanzverwaltung und Prüfern verantwortet der Kunde. Der Anbieter stellt das Werkzeug und weist auf Erkennbares hin; er tritt nicht an die Stelle des Abgabepflichtigen.

(5) Was das System nicht verspricht. Die Software protokolliert Änderungen, sodass Änderungen sichtbar werden (vgl. § 131 Abs 1 Z 6 lit b BAO). Eine darüber hinausgehende Eigenschaft — etwa „revisionssicher“, „manipulationssicher“, „unveränderlich“ oder „fälschungssicher“ — wird ausdrücklich nicht zugesagt.

(6) Angehaltene Vorgänge sind kein Mangel. Hält die Software einen Vorgang an, weil eine Angabe fehlt oder ein Wert nicht zusammenpasst, ist das die vereinbarte Arbeitsweise und kein Mangel. Ein unvollständiger Vorgang darf nicht aussehen wie ein erledigter.

(7) Haftung — einheitlich für die gesamte Zusammenarbeit.

▲ Diese Bestimmung ist von einem österreichischen Rechtsanwalt zu prüfen. Sie greift in den bereits unterzeichneten Kooperations- und Lizenzvertrag ein und bedarf dafür der Zustimmung beider Parteien.

a) Geltungsbereich. Dieser Absatz regelt die Haftung des Anbieters aus allen drei Vereinbarungen — dem Kooperations- und Lizenzvertrag, dieser Zusatzvereinbarung und der Vereinbarung zur Auftragsverarbeitung —, soweit nicht zwingendes Recht entgegensteht. Der Kooperations- und Lizenzvertrag enthält keine eigene Haftungsregelung; diese tritt insoweit ergänzend an ihre Stelle.

b) Verschuldensgrad. Der Anbieter haftet für Vorsatz unbegrenzt. Für grobe Fahrlässigkeit haftet er der Höhe nach begrenzt nach lit d. Für leichte Fahrlässigkeit haftet er nur bei Verletzung wesentlicher Vertragspflichten und der Höhe nach begrenzt nach lit d.

c) Ausgeschlossene Schadensarten. Bei leichter Fahrlässigkeit ist die Haftung für entgangenen Gewinn, Betriebsunterbrechung, mittelbare Schäden und Folgeschäden ausgeschlossen.

d) Obergrenze. Die Haftung ist je Schadensfall und insgesamt je Kalenderjahr begrenzt auf ___ (noch offen) EUR (zu entscheiden — Vorschlag: 15.480 EUR, das entspricht zwölf Monaten Fixum und Softwareentgelt zusammen; die Provision bleibt bewusst außer Betracht, weil sie mit dem Umsatz des Kunden schwankt und die Haftung sonst unkalkulierbar würde). Mehrere Schadensfälle aus derselben Ursache oder aus einem einheitlichen Lebenssachverhalt gelten als ein Schadensfall.

e) Datenverlust. Für Datenverlust haftet der Anbieter nur in dem Umfang, der auch bei ordnungsgemäßer Sicherung nach Anlage 2 der Vereinbarung zur Auftragsverarbeitung eingetreten wäre, höchstens jedoch mit dem Aufwand der Wiederherstellung aus der letzten ordnungsgemäßen Sicherung.

f) Vorgaben des Kunden. Für Schäden aus unrichtigen oder unvollständigen Vorgaben des Kunden — insbesondere Steuerkategorien, Preise, Kontenzuordnung und Weisungen — haftet der Anbieter nicht. Ein Mitverschulden des Kunden ist anzurechnen.

g) Unberührt bleiben: die Haftung für Personenschäden, die Haftung nach dem Produkthaftungsgesetz, die Haftung bei arglistigem Verschweigen und jede weitere zwingend gesetzlich angeordnete Haftung.

h) Datenschutz. Ansprüche betroffener Personen nach Art 82 DSGVO und die Befugnisse der Aufsichtsbehörden werden durch diese Vereinbarung nicht berührt und nicht begrenzt. Im Innenverhältnis zwischen den Parteien gilt der Rückgriff nach Art 82 Abs 5 DSGVO, im Übrigen dieser Absatz.

(8) Keine Zusage für Entscheidungen Dritter. Der Anbieter steht nicht dafür ein, wie Amazon, Shopify, eBay, Zahlungsdienste oder Behörden entscheiden — insbesondere nicht für Freischaltungen, Rollenvergaben, den Fortbestand von Angeboten oder Bewertungen. Ändert ein Dritter seine Schnittstelle, ist deren Anpassung nach § 4 (3) gesondert zu beauftragen.

§ 8 Vertraulichkeit

(1) Beide Teile behandeln die ihnen zugänglichen Geschäfts- und Betriebsgeheimnisse des anderen vertraulich, auch über das Ende dieser Vereinbarung hinaus.

(2) Der Kunde behandelt Aufbau, Arbeitsweise und Bedienoberflächen der Software vertraulich und macht sie Wettbewerbern des Anbieters nicht zugänglich.

(3) Der Anbieter darf den Kunden nach vorheriger Zustimmung als Referenz nennen. Ohne Zustimmung erfolgt keine Nennung.

§ 9 Schlussbestimmungen

(1) Verhältnis der Urkunden. Diese Zusatzvereinbarung, der Kooperations- und Lizenzvertrag vom 01.09.2026 und die Vereinbarung zur Auftragsverarbeitung bilden eine Einheit. Bei Widersprüchen gilt für die Überlassung und Nutzung der Software diese Zusatzvereinbarung, für die Verarbeitung personenbezogener Daten die Vereinbarung zur Auftragsverarbeitung, im Übrigen der Kooperations- und Lizenzvertrag.

(2) Form. Diese Vereinbarung sowie ihre Änderungen und Ergänzungen bedürfen der Textform; dies gilt auch für ein Abgehen vom Textformerfordernis.

Die Textform wird gewahrt durch eigenhändige Unterzeichnung ebenso wie durch eine fortgeschrittene oder qualifizierte elektronische Signatur im Sinne der Verordnung (EU) Nr. 910/2014 (eIDAS-VO). Eine qualifizierte elektronische Signatur steht der eigenhändigen Unterschrift gleich (Art 25 Abs 2 eIDAS-VO).

Der Abschluss kann in getrennten, jeweils einzeln signierten Ausfertigungen erfolgen. Die Übermittlung der signierten Fassung in elektronischer Form, insbesondere per E-Mail, ist ausreichend; eine Übersendung in Papierform wird nicht geschuldet.

Ist eine Partei durch mehrere Personen gemeinsam vertretungsbefugt, kommt diese Vereinbarung erst mit der Signatur aller vertretungsbefugten Personen zustande.

(3) Salvatorische Klausel. Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt, was ihr wirtschaftlich am nächsten kommt.

(4) Zustellungen. Erklärungen sind wirksam an: Anbieter: office@haftig.at Kunde: Thomas Ammerer, ta@grossarler-genuss.at, in Kopie Jürgen Höllmüller, jh@grossarler-genuss.at

(5) Recht und Gerichtsstand. Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und der Verweisungsnormen. Gerichtsstand ist — wie in § 13 Abs 3 des Kooperations- und Lizenzvertrags — das sachlich zuständige Gericht in Liezen. Beide Parteien sind Unternehmer im Sinne des UGB.

(6) Rangfolge. Bei Widersprüchen gilt:

1. für die Verarbeitung personenbezogener Daten die Vereinbarung zur Auftragsverarbeitung,
2. für Überlassung, Betrieb und Entgelt der Software diese Zusatzvereinbarung,
3. im Übrigen der Kooperations- und Lizenzvertrag.

Die Haftungsregelung nach § 7 (7) geht allen drei Urkunden vor.

(7) Keine Einschränkung bestehender Rechte. Die Rechte des Anbieters aus dem Kooperations- und Lizenzvertrag — insbesondere Markeninhaberschaft (§ 2), Provisionsbasis und Schutzklausel Markenkonvergenz (§ 5 Abs 4), Nachweis und Einsicht (§ 5 Abs 6), Rückfall bei Vertragsende (§ 10) und die Agenturtätigkeit für Dritte (§ 12 Abs 1) — bleiben durch diese Vereinbarung unberührt. § 6 Abs 1 dieser Vereinbarung ordnet dem Kunden die im System verarbeiteten Geschäftsdaten zu; er berührt weder die Marken- und Nutzungsrechte noch den Rückfallanspruch an Kundenstamm und Verteiler nach § 10 des Kooperations- und Lizenzvertrags.

---

Anlage A — Leistungsumfang

A.1 Einrichtung (einmalig, ohne gesondertes Entgelt — § 4 (2))

Mandantendatei	Rechtsträgerdaten, Firmenbuchdaten, UID, Fußzeilenangaben
Kontenplan	Abstimmung mit der Buchhaltung des Kunden, Verrechnungskonto je Kanal
Steuermatrix	Steuersatz je Zielland und Kategorie, einschließlich OSS-Fälle
Kanäle	Anlage je Vertriebskanal mit Preisen und Zustand (geplant / aktiv / stillgelegt)
Belegvorlage	Logo, Pflichtangaben nach § 11 UStG, Nummernkreise je Belegart
Schnittstellen	Registrierung und Einrichtung der Zugänge (Shop, Marktplätze, Zahlung)
Datenübernahme	Übernahme und Abgleich des Bestands
Einschulung	Einweisung der Ansprechperson

Nicht enthalten: Zugänge, Konten und Registrierungen, die auf den Namen des Kunden lauten müssen — diese beantragt der Kunde selbst; der Anbieter unterstützt dabei.

A.2 Laufend (monatlich)

Belege	Erstellung von Rechnungen, Gutschriften und Stornobelegen; Übergabe an die Buchhaltung mit Übergabeprotokoll und Belegnummern
Auszahlungen	Abstimmung je Kanal: Saldo gegen Bericht, Bankreferenz gegen Kontoauszug
Gebührenbelege	Beschaffung der Abrechnungsunterlagen je Kanal zu festen Terminen
Befunde	Nachgehen bei Abweichungen ohne Grund, fehlenden Preisen und angehaltenen Belegen
Kanäle	Überwachung neuer, geänderter und stillgelegter Kanäle sowie Preisänderungen
Belegarchiv	Führung und Sicherung des Belegbestands

A.3 Quartalsweise und jährlich

OSS-Zuarbeit	zum 30.04. / 31.07. / 31.10. / 31.01., einschließlich Nullmeldung
Jahresabschluss	Zuarbeit für Buchhaltung und Steuerberatung
Aufbewahrung	jährliche Prüfung von Bestand, Sicherung und Rückspielbarkeit

A.4 Nicht Gegenstand dieser Vereinbarung

Steuerberatung, Buchhaltung und die Abgabe von Meldungen · Freigaben und Bestätigungen in Systemen des Kunden · Sonderentwicklungen · die laufende Betreuung des Onlinevertriebs (diese regelt der Kooperations- und Lizenzvertrag).

---

Unterschriften

Ort, Datum: ______

Anbieter

 

---

Karl Pirker, „Kumitzberg“

Kunde — Großarler Genuss GmbH (gemeinsame Vertretungsbefugnis: beide Geschäftsführer zeichnen)

 

---

Thomas Ammerer, Geschäftsführer

 

---

Jürgen Höllmüller, Geschäftsführer

---

Dieser Entwurf wurde nach bestem Wissen erstellt. Er ist keine Rechtsberatung und sollte vor Unterzeichnung anwaltlich geprüft werden — insbesondere § 7 (Haftungsbegrenzung) und § 5 (Laufzeit im Verhältnis zum Hauptvertrag).