Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software „KDFahrzeugpflege".

(2) Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Verantwortlichen zum Zweck der Bereitstellung der Software-as-a-Service-Lösung „KDFahrzeugpflege", insbesondere:

• Speicherung und Verwaltung von Nutzerdaten (Name, E-Mail, Passwort-Hash, Rolle)
• Speicherung und Verarbeitung von Fahrzeugdaten (VIN, Zulassungsdatum, Pflegemaßnahmen)
• Versand von E-Mail-Benachrichtigungen an Nutzer des Verantwortlichen
• Erstellung von Berichten und PDF-Exporten

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

§ 4 Kategorien betroffener Personen

• Mitarbeiter und Nutzer des Verantwortlichen
• Fahrzeugverantwortliche und Pflegepersonal des Verantwortlichen

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

1. Personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).
2. Sicherzustellen, dass alle zur Verarbeitung befugten Personen einer Vertraulichkeitspflicht unterliegen.
3. Alle erforderlichen technisch-organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu treffen (vgl. TOMs).
4. Die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten (§ 6).
5. Den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflichten (Betroffenenrechte, Datenschutz-Folgenabschätzung) zu unterstützen.
6. Alle Daten nach Abschluss der Dienstleistung auf Wunsch des Verantwortlichen zu löschen oder zurückzugeben.
7. Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten bereitzustellen (Nachweispflicht).
8. Datenschutzverletzungen gemäß Art. 33 DSGVO unverzüglich, spätestens innerhalb von 72 Stunden, zu melden.

§ 6 Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

(2) Der Einsatz weiterer Unterauftragsverarbeiter bedarf der vorherigen Zustimmung des Verantwortlichen. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen durch Ergänzung oder Austausch von Unterauftragsverarbeitern mindestens 30 Tage im Voraus, sodass der Verantwortliche Einwände erheben kann.

§ 7 Rechte der betroffenen Personen

Soweit betroffene Personen ihre Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) gegenüber dem Auftragsverarbeiter geltend machen, leitet dieser die Anfragen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Beantwortung.

§ 8 Datenschutz-Folgenabschätzung

Soweit erforderlich, unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO sowie bei der vorherigen Konsultation gemäß Art. 36 DSGVO.

§ 9 Weisungsrecht

(1) Der Verantwortliche ist berechtigt, dem Auftragsverarbeiter Weisungen zur Verarbeitung personenbezogener Daten zu erteilen. Weisungen können schriftlich oder per E-Mail erfolgen.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen DSGVO oder andere anwendbare Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche diese bestätigt oder ändert.

§ 10 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen werden alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder gelöscht oder zurückgegeben, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht. Standardmäßig erfolgt die Löschung 30 Tage nach Vertragsende. Datenexporte (CSV) sind auf Anfrage vorab möglich.

§ 11 Kontroll- und Nachweisrechte

Der Verantwortliche hat das Recht, sich durch Inspektionen oder Überprüfungen von der Einhaltung der Anforderungen dieses Vertrags zu überzeugen. Auf Anfrage stellt der Auftragsverarbeiter alle erforderlichen Informationen und Nachweise (Zertifikate, Auditberichte) zur Verfügung.

§ 12 Schlussbestimmungen

(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.

(2) Änderungen bedürfen der Textform. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV vor, soweit es Datenschutzpflichten betrifft.