Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

zwischen

dem Kunden (Werkstatt) laut Kundenkonto – nachfolgend „Verantwortlicher“ –

und

[[FIRMA]], [[ANSCHRIFT]], vertreten durch [[VERTRETUNGSBERECHTIGT]] – nachfolgend „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung der Software „WerkstattKlar“ nach dem zwischen den Parteien geschlossenen Nutzungsvertrag und den AGB (nachfolgend „Hauptvertrag“).

(2) Der AVV gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet, einschließlich Übergangs- und Abrufzeitraum sowie Löschung nach § 11 AGB.

(3) Nicht Gegenstand dieses AVV ist die Verarbeitung von Daten, für die der Auftragsverarbeiter selbst Verantwortlicher ist: Nutzerkonten und deren Anmeldung/Absicherung, Vertrags- und Abrechnungsdaten, plattformweite Sicherheitsprotokolle (siehe Datenschutzerklärung des Auftragsverarbeiters).

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung (Art. 4 Nr. 2 DSGVO): Erheben (über die Anfrageseite und das Kundenportal), Erfassen, Speichern, Organisieren, Anzeigen, Übermitteln per E-Mail an Endkunden, Verändern, Bereinigen von Bilddateien (Entfernen von Metadaten, Verkleinern, Neu-Kodieren), Exportieren, Sichern, Einschränken, Löschen bzw. Anonymisieren nach den eingestellten Fristen.

(2) Zweck: Bereitstellung der Plattform, mit der der Verantwortliche Anfragen von Endkunden zu Reparatur- und Wartungsleistungen an Kraftfahrzeugen entgegennimmt, bearbeitet, Angebote erstellt und versendet, mit Endkunden kommuniziert und die Annahme, Ablehnung und den Widerruf von Angeboten abwickelt.

(3) Arten personenbezogener Daten

Der Verantwortliche weist Endkunden darauf hin, im Freitext keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), z. B. Gesundheitsdaten, anzugeben. Eine gezielte Verarbeitung solcher Daten ist nicht vorgesehen; eine zufällige Übermittlung im Freitext ist nicht auszuschließen.

(4) Kategorien betroffener Personen: Endkunden und Interessenten des Verantwortlichen (Verbraucher und Unternehmer) sowie ggf. deren Vertreter; Fahrzeughalter, soweit nicht identisch; auf Fotos erkennbare Dritte; Beschäftigte des Verantwortlichen.

(5) Ort der Verarbeitung: Die Datenhaltung erfolgt in Rechenzentren in Frankfurt am Main (Deutschland). Zu Zugriffen aus Drittländern siehe § 10.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen sind der Hauptvertrag, dieser AVV sowie die Einstellungen und Aktionen des Verantwortlichen in der Plattform (z. B. Löschfristen, Gültigkeit von Portal-Links, Datenexport, Löschung einzelner Vorgänge, Freigabe eines Support-Zugriffs). Einzelweisungen erteilt der Verantwortliche in Textform an [[EMAIL-DATENSCHUTZ]].

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke. Einsicht in Inhalte nimmt er nur, soweit dies zur Leistungserbringung, zur Fehlerbehebung nach Freigabe (§ 12 Abs. 4 AGB) oder zur Erfüllung gesetzlicher Pflichten, insbesondere nach Art. 16 DSA, erforderlich ist. Jeder Zugriff auf Inhalte wird protokolliert.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Pflicht besteht über das Ende der Tätigkeit hinaus. Zugriff auf Produktivdaten haben ausschließlich die Geschäftsführer bzw. Gesellschafter des Auftragsverarbeiters.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind (Art. 28 Abs. 3 lit. c DSGVO).

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 1 Alt. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher in Textform (E-Mail an den Inhaber und Hinweis im Werkstattbereich) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Er nennt Name, Sitz, Tätigkeit, Datenstandort und Übermittlungsmechanismus. Die aktuelle Liste ist unter https://[[DOMAIN]]/subprozessoren abrufbar.

(3) Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Die Parteien suchen dann nach einer einvernehmlichen Lösung. Kommt sie nicht zustande, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen; bereits gezahlte Vergütung für die Zeit danach wird anteilig erstattet.

(4) In einem Notfall (z. B. plötzlicher Ausfall oder Insolvenz eines Dienstleisters, akute Sicherheitsgefahr) kann der Auftragsverarbeiter einen Ersatz ohne Vorankündigung einsetzen. Er informiert den Verantwortlichen unverzüglich; Abs. 3 gilt entsprechend ab der Information.

(5) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Bei großen Anbietern (Vercel, Supabase) geschieht dies durch Abschluss von deren Standard-Datenverarbeitungsvertrag; der Auftragsverarbeiter prüft diese Verträge vor Abschluss auf Gleichwertigkeit. ⚠ PRÜFEN: Gleichwertigkeit der Standard-DPAs (insbesondere Unterauftragsverarbeiter, Audit, Löschung) dokumentieren. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen dafür.

(6) Keine Unterauftragsverarbeitung im Sinne dieser Regelung sind Nebenleistungen ohne Zugriff auf personenbezogene Daten des Verantwortlichen, z. B. Quellcode-Verwaltung (GitHub), Domain-Registrierung oder die Buchhaltung des Auftragsverarbeiters.

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Dafür stehen in der Plattform insbesondere zur Verfügung:

• Suche,
• Einsicht,
• Berichtigung,
• Löschung bzw. Anonymisierung einzelner Anfragen samt Fotos und Nachrichten,
• Export einzelner Vorgänge.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich, spätestens innerhalb von 3 Werktagen, an den Verantwortlichen weiter und beantwortet es nicht selbst, außer auf Weisung.

§ 8 Unterstützung bei Pflichten nach Art. 32–36 DSGVO; Datenpannen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Er strebt an, die Meldung spätestens innerhalb von 48 Stunden abzugeben, damit der Verantwortliche die Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO einhalten kann.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO:

• Art der Verletzung,
• betroffene Kategorien und ungefähre Zahl der Personen und Datensätze,
• Kontakt,
• wahrscheinliche Folgen,
• ergriffene oder vorgeschlagene Maßnahmen.

Informationen, die noch nicht vorliegen, werden schrittweise nachgereicht.

(3) Der Auftragsverarbeiter trifft unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall. Er unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde und ggf. bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO). Eine Benachrichtigung von Endkunden nimmt er nur auf Weisung vor.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm vorliegenden Informationen bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 35, 36 DSGVO), insbesondere durch Bereitstellung der Beschreibung der Verarbeitung und der TOMs.

(5) Unterstützungsleistungen nach §§ 7 und 8 sind mit der Vergütung abgegolten, soweit sie über die Funktionen der Plattform abgewickelt werden oder ihre Ursache beim Auftragsverarbeiter liegt. Darüber hinausgehenden, erheblichen Aufwand kann der Auftragsverarbeiter nach vorheriger Ankündigung angemessen berechnen. ⚠ PRÜFEN

§ 9 Löschung und Rückgabe

(1) Während der Vertragslaufzeit löscht bzw. anonymisiert die Plattform Endkundendaten automatisch nach den vom Verantwortlichen eingestellten Fristen (Voreinstellungen: abgeschlossene Anfragen nach 24 Monaten, Fotos nach 6 Monaten, Nachrichten nach 24 Monaten; Portal-Links laufen nach 30 Tagen ab).

(2) Nach Vertragsende stellt der Auftragsverarbeiter die Daten entsprechend § 11 AGB zum Export bereit (Übergangszeitraum, mindestens 30 Tage Abrufzeitraum) und löscht anschließend alle personenbezogenen Daten des Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO), sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht. Datensicherungen werden rollierend nach höchstens 7 Tagen überschrieben. Die Löschung wird dem Verantwortlichen in Textform bestätigt.

§ 10 Übermittlung in Drittländer

(1) Eine Verarbeitung außerhalb des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Die in Anlage 1 genannten Unterauftragsverarbeiter Vercel Inc. (USA) und Supabase Pte. Ltd. (Singapur, Betrieb und Support durch Supabase Inc., USA) haben ihren Sitz außerhalb des EWR. Die Datenhaltung ist auf Frankfurt am Main konfiguriert. Zugriffe aus Drittländern (z. B. Support, Betrieb, Unterauftragsverarbeiter dieser Anbieter) und die Entgegennahme von Anfragen über das weltweite Netz von Vercel können nicht ausgeschlossen werden. Sie sind abgesichert durch

• bei Vercel Inc. den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (⚠ vor Launch im DPF-Register bestätigen), und
• EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3 „Auftragsverarbeiter an Auftragsverarbeiter“), jeweils als Bestandteil des DPA des Anbieters.

(3) Der Verantwortliche erteilt hiermit die Weisung zu diesen Übermittlungen.

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Dazu gehören insbesondere

• aktuelle TOMs,
• die Subprozessorliste,
• das Verzeichnis nach Art. 30 Abs. 2 DSGVO (Auszug),
• die Zertifikate bzw. Prüfberichte der Unterauftragsverarbeiter, soweit diese sie bereitstellen.

(2) Der Verantwortliche kann Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber des Auftragsverarbeiters ist. Inspektionen sind mit angemessener Frist (in der Regel 30 Tage, außer bei konkretem Anlass wie einer Datenpanne) anzukündigen und während der Geschäftszeiten ohne vermeidbare Störung des Betriebs durchzuführen. Eine Vor-Ort-Prüfung der Rechenzentren von Unterauftragsverarbeitern ist nicht möglich; insoweit genügen deren Prüfberichte.

(3) Der Auftragsverarbeiter kann für Inspektionen, die über eine pro Kalenderjahr hinausgehen und nicht anlassbezogen sind, eine angemessene Vergütung verlangen. ⚠ PRÜFEN

§ 12 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gilt: Jede Partei trägt den Schaden, der auf ihren Verstoß gegen die DSGVO bzw. diesen AVV zurückzuführen ist. Im Übrigen gelten die Haftungsregeln des Hauptvertrags (§ 15 AGB), soweit Art. 82 DSGVO dem nicht entgegensteht. ⚠ PRÜFEN: Verhältnis zur Haftungsbegrenzung der AGB.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.

(2) Sollte das Eigentum des Verantwortlichen an den Daten beim Auftragsverarbeiter durch Maßnahmen Dritter (Pfändung, Beschlagnahme, Insolvenz) gefährdet werden, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich.

(3) Es gilt deutsches Recht. Gerichtsstand wie im Hauptvertrag.

(4) Datenschutzkontakt des Auftragsverarbeiters: [[EMAIL-DATENSCHUTZ]]; Meldung von Sicherheitsvorfällen: [[EMAIL-SICHERHEIT]].

Anlage 1 – Genehmigte Unterauftragsverarbeiter

Stand: 11.10.2026. Aktuelle Fassung: https://[[DOMAIN]]/subprozessoren (Inhalt siehe subprozessoren.md).

Die Unterauftragsverarbeiter von Vercel und Supabase (u. a. Amazon Web Services) sind in deren jeweils aktuellen Subprozessorlisten aufgeführt.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die TOMs sind in docs/compliance/toms.md beschrieben. Für die Veröffentlichung wird daraus eine Kundenfassung ohne sicherheitskritische Details erzeugt (z. B. ohne konkrete Rate-Limit-Werte und interne Hostnamen). Sie ist unter https://[[DOMAIN]]/toms abrufbar und Bestandteil dieses AVV.

Version [[VERSION]] · Stand: 11.10.2026