Vertrag zur Auftragsverarbeitung.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Scharf Software bereit und verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Der Vertrag gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.

2. Art, Zweck und Umfang

Zweck ist die Bereitstellung der Programme Werkstatt, Vermietung, Flotte und Rechnung: Speichern, Anzeigen, Ändern, Übermitteln (z. B. PDF per E-Mail) und Löschen der vom Verantwortlichen erfassten Daten.

Je nach Paket und Einstellung versendet die Software im Namen des Verantwortlichen Nachrichten an dessen Kunden (z. B. „Ihr Fahrzeug ist fertig“ mit Link zum Auftragsstand, TÜV-Erinnerungen, Bewertungsanfragen – letztere nur bei vom Verantwortlichen erfasstem Einverständnis des Kunden).

Die Software zeigt der Geschäftsführung Hinweise auf Funktionen anderer Pakete auf Grundlage der eigenen Daten (z. B. „diesen Monat 14 Fahrzeuge mit fälliger HU“). Diese Anzahlen werden beim Aufruf berechnet und nur dem Verantwortlichen angezeigt; eine Auswertung der Daten durch den Auftragsverarbeiter für eigene Zwecke findet nicht statt.

Arten der Daten: Stammdaten und Kontaktdaten (Name, Anschrift, Telefon, E-Mail), Fahrzeugdaten (Kennzeichen, Fahrzeugdaten, Kilometerstand), Auftrags- und Protokolldaten, Angebote, Rechnungen und Zahlungsdaten (Bankverbindungen, Umsätze aus hochgeladenen Kontoauszügen), Fotos, Unterschriften, Kopien von Führerscheinen und Ausweisen, Arbeitszeiten, Anwesenheiten, Urlaub und Abwesenheiten einschließlich Krankmeldungen und angehängter Bescheinigungen (Gesundheitsdaten nach Art. 9 DSGVO), Benutzerkonten und Protokolle der Nutzung.

Betroffene: Beschäftigte des Verantwortlichen, seine Kunden, Fahrer und Ansprechpartner, Zahlungspflichtige und sein Steuerberater sowie Personen, die über die Buchungsseite Termine anfragen oder eine Bewertungsanfrage beantworten.

3. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen – die Nutzung der Software und Einstellungen im Firmenportal gelten als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Zugriff auf Kundendaten erfolgt nur, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Hosting in Rechenzentren in Deutschland (Hetzner, zertifiziert nach ISO/IEC 27001); Zutritt nur für berechtigtes Personal.
• Verschlüsselte Übertragung (HTTPS/TLS); Passwörter nur als sicherer Hash gespeichert (mindestens 10 Zeichen); Anmeldungen zeitlich begrenzt.
• Strikte Mandantentrennung in der Datenbank (Zeilenschutz je Firma); Rollen- und Rechtekonzept innerhalb der Firma.
• Private Dateispeicher mit zeitlich begrenzten Zugriffslinks; automatische Löschung von Führerschein- und Ausweisfotos nach der eingestellten Frist.
• Tägliche Datensicherung.
• Aktuelle Software durch regelmäßige Updates; automatisierte Tests vor jeder Änderung; Überwachung von Erreichbarkeit und Speicherplatz.
• Änderungsverlauf für Protokolle (wer hat wann was geändert).

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 4 Wochen vorher; der Verantwortliche kann aus wichtigem Grund widersprechen.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Rechenzentrum und Server (Hosting, Datenbank, Dateien, Sicherungen) (Deutschland)
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur – Versand von E-Mails der Plattform (Deutschland)

Eine Verarbeitung außerhalb der EU bzw. des EWR findet nicht statt.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenschutzverletzungen. Viele dieser Aufgaben kann der Verantwortliche direkt im Firmenportal erledigen (z. B. Export, Löschen).

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen.

9. Löschung und Rückgabe

Nach Vertragsende kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter die Daten einschließlich Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung, in der Regel durch Vorlage von Unterlagen und Zertifikaten.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Allgemeinen Geschäftsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.