Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Dieser Vertrag gilt zwischen der Werkstatt, die das Digitale Serviceheft nutzt („Auftraggeber“), und dem Betreiber der Plattform („Auftragnehmer“):

Auto-Zentrum Bauer
Inhaber: Christian Bauer
Heid 20
77855 Achern
Deutschland

Er wird mit der Registrierung der Werkstatt geschlossen und gilt für die gesamte Nutzungsdauer.

1. Gegenstand, Art und Zweck

Der Auftragnehmer stellt dem Auftraggeber eine Software zur Führung digitaler Servicehefte bereit und verarbeitet dabei personenbezogene Daten der Kunden des Auftraggebers ausschließlich in dessen Auftrag und nach dessen Weisung.

2. Art der Daten und Betroffene

• Betroffene: Kunden des Auftraggebers (Fahrzeughalter und -nutzer) sowie Mitarbeiter des Auftraggebers.
• Daten: Name, Kundennummer, Kontaktdaten, Anschrift, Fahrzeugdaten (Kennzeichen, FIN, HSN/TSN, Erstzulassung, Kilometerstand), Service- und Wartungsdaten, Dokumente, Sprachnachrichten und Fotos zu Terminanfragen, Einwilligungszeitpunkt.

3. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO).
• Vertraulichkeit aller zur Verarbeitung befugten Personen (Art. 28 Abs. 3 lit. b DSGVO).
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere verschlüsselte Übertragung (HTTPS), Zugriffsregeln je Werkstatt in der Datenbank, verschlüsselt gespeicherte Passwörter, nicht öffentlicher Dateispeicher und Datenhaltung in Rechenzentren in Frankfurt am Main.
• Unterstützung bei Anfragen Betroffener (Art. 15–22 DSGVO) und bei den Pflichten nach Art. 32–36 DSGVO.
• Meldung von Datenschutzverletzungen an den Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
• Löschung oder Rückgabe aller Daten nach Vertragsende, soweit keine gesetzliche Speicherpflicht besteht.
• Nachweis der Einhaltung dieser Pflichten und Ermöglichung von Überprüfungen.

4. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hostinger International Ltd., Zypern – Hosting der Anwendung (Frankfurt am Main)
• Supabase Inc., USA – Datenbank, Anmeldung und Dateispeicher (Serverstandort Frankfurt am Main; Standardvertragsklauseln der EU-Kommission)
• Anthropic PBC, USA – automatisches Auslesen des Kilometerstands aus Fotos, nur wenn der Kunde diese Funktion nutzt (Standardvertragsklauseln der EU-Kommission)

Über neue Unterauftragsverarbeiter informiert der Auftragnehmer vorab; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

5. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Einwilligung seiner Kunden. Er informiert seine Kunden über die Verarbeitung und meldet dem Auftragnehmer festgestellte Fehler oder Unregelmäßigkeiten.

6. Laufzeit

Der Vertrag läuft so lange wie die Nutzung der App durch den Auftraggeber. Im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen hat dieser Vertrag in Fragen des Datenschutzes Vorrang.