Vertrag zur Auftragsverarbeitung

§ 1 Parteien und Gegenstand

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde — der Betrieb, der Werkstattdesk nutzt (nachfolgend „Auftraggeber").

(2) Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist AxisR UG (haftungsbeschränkt), Erlanger Str. 180, 90765 Fürth, Deutschland (nachfolgend „Auftragnehmer").

(3) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers, soweit sie zur Erbringung der in den AGB beschriebenen Leistungen erforderlich ist. Dieser Vertrag kommt mit dem Hauptvertrag zustande und gilt fort, solange der Auftragnehmer Daten des Auftraggebers verarbeitet, insbesondere im Archiv nach § 8 Abs. 3.

(4) Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Zweck: Bereitstellung und Betrieb einer Werkstattsoftware zur Verwaltung von Aufträgen, Kunden, Fahrzeugen, Rechnungen, Terminen, Lager und — je nach Tarif — Buchhaltung, einschließlich der Kommunikation mit den Kunden des Auftraggebers (E-Mail, SMS, Kundenportal, Online-Terminbuchung, digitale Unterschrift) und KI-gestützter Funktionen.

(2) Betroffene Personengruppen:

• Kunden des Auftraggebers und deren Ansprechpartner
• Fahrzeughalter und -nutzer
• Mitarbeiter des Auftraggebers (Zeiterfassung, Zuordnung zu Aufträgen und Nachrichten)
• Lieferanten und deren Ansprechpartner
• Absender und Empfänger von E-Mails in einem angebundenen Postfach
• Zahlungspartner aus abgerufenen Kontoumsätzen
• im Fahrzeughandel: Käufer, Verkäufer und Probefahrer

(3) Datenarten:

• Stammdaten (Name, Anschrift, Kundennummer)
• Kontaktdaten (Telefon, E-Mail)
• Fahrzeugdaten (Kennzeichen, FIN, Kilometerstand, Historie) sowie Bilder der Zulassungsbescheinigung Teil I
• Auftrags- und Rechnungsdaten einschließlich Zahlungsstatus
• Termin- und Kommunikationsdaten, einschließlich Inhalt und Anhängen von E-Mails in einem angebundenen Postfach
• Fotos und Videos, etwa von Fahrzeugen, Schäden und Belegen
• Unterschriften (auf dem Tablet oder am Mobiltelefon) mit Zeitpunkt, IP-Adresse und Browserkennung
• Einwilligungen und Bewertungen der Kunden des Auftraggebers
• Bankdaten des Auftraggebers und Kontoumsätze einschließlich Name und Kontoverbindung der Zahlungspartner, soweit die Bankanbindung genutzt wird
• im Fahrzeughandel: Ausweisdaten und Ausweiskopien nach dem Geldwäschegesetz sowie Führerscheindaten bei Probefahrten
• Arbeitszeiten der Mitarbeiter (Zeiterfassung)
• Eingaben an die KI-Funktionen und deren Ergebnisse, einschließlich ausgelesener Dokumente und Bilder
• Protokolldaten (Änderungsprotokoll, Protokoll der KI-Anfragen)

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Enthalten Freitexte, Fotos oder E-Mails im Einzelfall doch solche Daten, gilt für sie dieser Vertrag.

(5) Dauer: für die Laufzeit des Hauptvertrages zuzüglich der in § 8 geregelten Fristen.

§ 3 Weisungsbindung

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch bei einer Übermittlung in ein Drittland. Die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung. Ist der Auftragnehmer gesetzlich zu einer Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz die Mitteilung nicht verbietet.

(2) Weisungen darüber hinaus erfolgen in Textform an info@werkstattdesk.pro. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt; er darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Davon unberührt bleibt die Verarbeitung, für die der Auftragnehmer selbst Verantwortlicher ist (Anmeldedaten und Rollen der Benutzerkonten, Abrechnung, Reichweitenmessung der angemeldeten Anwendung; AGB § 12 Abs. 2).

§ 4 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind, auch über das Ende ihrer Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft insbesondere folgende Maßnahmen und hält sie während der Vertragslaufzeit aufrecht:

• Verschlüsselung: Übertragung ausschließlich über TLS. Zugangsdaten zu E-Mail-Postfächern und Lieferantenschnittstellen sowie Ausweisdaten nach dem Geldwäschegesetz werden verschlüsselt gespeichert.
• Mandantentrennung: Jeder Betrieb erhält eine eigene Mandanten-Kennung. Jede Datenbankabfrage ist auf diese Kennung eingegrenzt; zusätzlich sichern Zugriffsregeln auf Datenbankebene (Row Level Security) die Trennung ab.
• Zugriffskontrolle: Benutzerkonten mit Rollen und abgestuften Rechten; Finanz- und Preisdaten sind gesondert geschützt.
• Eingabekontrolle: Änderungen an abrechnungsrelevanten Dokumenten sind nachvollziehbar; festgeschriebene Rechnungen sind unveränderbar (Storno erfolgt als Gutschrift, nicht als Löschung).
• Verfügbarkeit: Hosting: EU-Region Irland (Dublin, dub1); Datenbank: EU-Region Irland (AWS eu-west-1). Eine tägliche, verschlüsselte Sicherung von Datenbank und Dateien bei einem vom Datenbankbetreiber unabhängigen Anbieter beginnt nach der Ankündigung nach § 6 Abs. 3. Bis dahin hält der Auftragnehmer keine eigenen Sicherungskopien vor.
• Belastbarkeit: Begrenzung der Aufrufhäufigkeit einzelner Endpunkte.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt der Beauftragung der nachfolgend genannten Unterauftragsverarbeiter zu:

Vorgesehen für die Datensicherung (ab Wirksamwerden nach Absatz 3):

(2) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich mindestens die Datenschutzpflichten auf, die ihn selbst aus diesem Vertrag treffen (Art. 28 Abs. 4 DSGVO). Übermittlungen außerhalb der EU/des EWR erfolgen auf der in Absatz 1 genannten Grundlage; eine Kopie der Garantien erhält der Auftraggeber auf Anfrage.

(3) Der Auftragnehmer teilt jede beabsichtigte Änderung dieser Liste mindestens 4 Wochen vorher in Textform mit. Der Auftraggeber kann der Änderung aus wichtigem, datenschutzrechtlichem Grund widersprechen; kann die Leistung dann nicht erbracht werden, darf jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(4) Nicht Unterauftragsverarbeiter ist der Zahlungsdienstleister Stripe Payments Europe, Limited; für die Abrechnung des Abonnements ist der Auftragnehmer selbst Verantwortlicher.

(5) Nicht Unterauftragsverarbeiter sind Stellen, an die der Auftragnehmer Daten übermittelt, weil der Auftraggeber es einrichtet oder auslöst (§ 3 Abs. 1):

Beim Diktieren verarbeitet die Spracherkennung des Browsers (bei Chrome: Google) die Sprachaufnahme; sie läuft nicht über den Auftragnehmer.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter.

(2) Der Auftragnehmer unterstützt bei der Einhaltung der Art. 32–36 DSGVO.

(3) Verletzung des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, und stellt die Angaben zur Verfügung, die der Auftraggeber für seine Meldung nach Art. 33 DSGVO benötigt.

§ 8 Löschung und Rückgabe

(1) Nach Ende der bezahlten Periode bleiben die Daten des Auftraggebers 30 Tage lesend zugänglich; in dieser Zeit kann er sie exportieren (Rückgabe).

(2) Der Auftragnehmer löscht die Daten spätestens 90 Tage nach Vertragsende, soweit nicht Absatz 3 oder 4 gilt.

(3) In Tarifen mit Cloud-Archiv (ab Paket „Werkstatt") weist der Auftraggeber mit der Wahl des Tarifs an (Art. 28 Abs. 3 lit. g DSGVO): Rechnungen, Buchungsbelege, Kassenbuch und GoBD-Archiv samt den dafür nötigen Stammdaten und das Änderungsprotokoll bleiben nach Vertragsende gesperrt gespeichert, bis zum Ende des 10. Kalenderjahres nach Vertragsende. Bis dahin ist das GoBD-Archiv als Download abrufbar (Rechnungen, Buchungsbelege und Kassenbuch samt den dafür nötigen Stammdaten); das Änderungsprotokoll wird auf Anfrage bereitgestellt. Danach werden sie gelöscht.

(4) Bestehen für den Auftragnehmer gesetzliche Aufbewahrungspflichten, bleiben die betroffenen Daten für deren Dauer gespeichert und werden ausschließlich zu diesem Zweck verarbeitet.

(5) Sicherungskopien werden nach festen Fristen gelöscht: tägliche Stände nach 30 Tagen, Monatserste nach 12 Monaten, gelöschte Dateien nach 30 Tagen. Bis dahin sind sie verschlüsselt und dienen nur der Wiederherstellung.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung dieses Vertrages auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft über die getroffenen Maßnahmen.

(2) Der Auftraggeber ist berechtigt, die Einhaltung selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer zu überprüfen, auch durch Inspektionen. Kontrollen erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und unter Vermeidung vermeidbarer Störungen des Betriebsablaufs.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrages vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.

(2) Änderungen bedürfen der Textform.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Kontakt für Datenschutzanfragen

AxisR UG (haftungsbeschränkt)
Erlanger Str. 180
90765 Fürth, Deutschland
E-Mail info@werkstattdesk.pro