Auftragsverarbeitungsvertrag

Dieser Vertrag regelt, wie die Autoblicker GesmbH („wir“) personenbezogene Daten im Auftrag des Autohauses verarbeitet, das Autoblicker nutzt („Sie“). Sie sind Verantwortlicher, wir sind Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Der Vertrag ist Teil der Allgemeinen Geschäftsbedingungen und kommt mit deren Annahme zustande. Er gilt, solange wir Daten für Sie verarbeiten. Widerspricht eine Regel der AGB diesem Vertrag in Fragen des Datenschutzes, gilt dieser Vertrag.

Wir verarbeiten Daten, um Ihnen Autoblicker nach den AGB bereitzustellen: Wir speichern und ordnen die Daten, die Sie erfassen, zeigen sie den Mitarbeitern Ihres Autohauses an, erstellen daraus Dokumente, versenden in Ihrem Auftrag E-Mails, holen Unterschriften ein, übermitteln Inserate und Meldungen an die Börsen, Plattformen und Behörden, die Sie anbinden, betreiben Ihre Händler-Website, lesen Belege aus und sichern die Daten.

Für eigene Zwecke verwenden wir die Daten nur in zwei Fällen. Wir erstellen anonyme Statistiken, die keinen Rückschluss auf Personen oder Ihr Autohaus zulassen. Außerdem verbessern wir mit hochgeladenen Belegen unsere Belegerkennung, nachdem wir die personenbezogenen Daten darin unkenntlich gemacht haben. Das geschieht auf unseren eigenen Servern; die Belege gehen dabei an niemanden außerhalb unseres Unternehmens. Für diese Verarbeitung sind wir selbst verantwortlich.

Welche Daten wir verarbeiten, bestimmen Sie durch das, was Sie in Autoblicker erfassen. Typischerweise sind es:

Kontakte

Namen, Firma, Anschrift, Telefon, E-Mail, Geburtsdatum, UID-Nummer, Bankverbindung, interne Notizen und Dokumente.

Verkäufe und Ankäufe

Verträge, Bestellungen, Rechnungen, Zahlungen, Erklärungen der Verkäufer, Übergabeprotokolle.

Fahrzeuge

FIN, Kennzeichen, Zahl der Vorbesitzer, Fotos und Fahrzeugdokumente mit Angaben zum Zulassungsbesitzer.

Probefahrten

Fahrer, Zeitraum, Kennzeichen, Ziel und Zweck der Fahrt.

Anfragen

Kontaktdaten, Nachricht, Zeitpunkt der Einwilligung, angebotenes Fahrzeug und Wünsche zur Finanzierung.

Unterschriften

Name, E-Mail-Adresse, Bild der Unterschrift, Zeitpunkt, IP-Adresse und Browser der unterzeichnenden Person.

Ausgaben und Belege

Lieferanten mit Bankverbindung, Bilder der Belege, Belege der Registrierkasse.

Händler-Website

Inhalte, Bewertungen mit dem Namen der Bewertenden, Anfragen der Besucher.

Ausweisdokumente

Kopien von Ausweisen, Reisepässen und Führerscheinen, soweit Sie solche hochladen.

Aktivitäten

Was die Mitarbeiter Ihres Autohauses in Autoblicker tun, mit Zeitpunkt.

Betroffen sind Ihre Kunden und Interessenten, Verkäufer und Lieferanten, Ansprechpartner Ihrer Geschäftspartner, Fahrer bei Probefahrten, Unterzeichner, Besucher und Bewertende Ihrer Händler-Website und die Mitarbeiter Ihres Autohauses.

Sie sind dafür verantwortlich, dass die Verarbeitung rechtmäßig ist, dass Sie die betroffenen Personen informieren und dass Sie für jede Verarbeitung eine Rechtsgrundlage haben.

Kopien von Ausweisen, Reisepässen und Führerscheinen speichern Sie nur, wenn eine Rechtsgrundlage dafür besteht, etwa eine Pflicht nach den Regeln zur Verhinderung von Geldwäsche oder die Zustimmung der Person. In Deutschland verlangen Personalausweis- und Passgesetz für Kopien ohne gesetzliche Pflicht die Zustimmung der Person und eine Kennzeichnung als Kopie. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO) erfassen Sie in Autoblicker nicht, außer ein Gesetz verlangt es.

Wir verarbeiten die Daten nur nach Ihren dokumentierten Weisungen. Ihre Weisungen sind die AGB, dieser Vertrag, Ihre Einstellungen und Handlungen in Autoblicker und Weisungen, die Sie uns in Textform geben. Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen und dürfen sie aussetzen, bis Sie sie bestätigen oder ändern.

Verpflichtet uns ein Gesetz der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung, teilen wir Ihnen das vorher mit, sofern das Gesetz die Mitteilung nicht verbietet.

Wer bei uns mit Ihren Daten arbeitet, ist zur Vertraulichkeit verpflichtet. Auf Ihre Daten greifen wir nur zu, soweit es für den Betrieb, die Behebung von Störungen, die Sicherheit oder Ihre Anfrage an den Support nötig ist.

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die im Abschnitt „Technische und organisatorische Maßnahmen“ beschrieben sind. Wir dürfen sie dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

Sie erlauben uns, Unterauftragsverarbeiter einzusetzen. Die eingesetzten stehen in der „Liste der Unterauftragsverarbeiter“. Wir verpflichten jeden von ihnen vertraglich zu denselben Pflichten zum Datenschutz, die wir Ihnen gegenüber haben, und haften Ihnen für ihn wie für uns selbst.

Einen neuen oder anderen Unterauftragsverarbeiter kündigen wir mindestens 14 Tage vorher per E-Mail an die Admins Ihres Autohauses an. Sie können innerhalb von 14 Tagen nach der Ankündigung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Finden wir keine Lösung, können Sie und wir den Vertrag zum Zeitpunkt des Wechsels kündigen.

Börsen, Plattformen, Banken und Behörden, an die Sie über Autoblicker Daten übermitteln, sind keine Unterauftragsverarbeiter. Sie erhalten die Daten auf Ihre Weisung und verarbeiten sie in eigener Verantwortung nach ihren Bedingungen.

Daten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeiten wir oder unsere Unterauftragsverarbeiter nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Die Grundlage steht unter der „Liste der Unterauftragsverarbeiter“.

Wendet sich eine betroffene Person an uns, leiten wir die Anfrage an Sie weiter und beantworten sie nicht selbst. Mit den Funktionen von Autoblicker können Sie Daten einsehen, berichtigen, exportieren und löschen. Wo diese nicht reichen, helfen wir Ihnen.

Wir unterstützen Sie außerdem bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit es unsere Verarbeitung betrifft. Unterstützung, die über die Funktionen von Autoblicker hinausgeht und nicht auf einem Fehler von uns beruht, können wir nach Aufwand berechnen.

Erfahren wir von einer Verletzung des Schutzes Ihrer Daten, melden wir sie Ihnen unverzüglich mit den Angaben, die Sie für Ihre Meldung an die Aufsichtsbehörde brauchen (Art. 33 Abs. 3 DSGVO), soweit sie uns vorliegen. Wir ergreifen die Maßnahmen, die nötig sind, um den Schaden zu begrenzen.

Während des Vertrags löschen Sie Daten selbst in Autoblicker.

Am Ende des Vertrags erhalten Sie Ihre Daten nach dem Abschnitt „Datenexport und Anbieterwechsel“ der AGB zurück. Danach löschen wir alle Daten Ihres Autohauses. In unseren Sicherungen bleiben sie bis zu deren Ablauf und werden nicht mehr verwendet. Ihre eigenen Aufbewahrungspflichten, etwa für Rechnungen und Kassenbelege, erfüllen Sie mit dem Export.

Wir stellen Ihnen die Informationen zur Verfügung, die Sie brauchen, um die Einhaltung dieses Vertrags nachzuprüfen. Reichen diese nicht, können Sie oder ein zur Verschwiegenheit verpflichteter Prüfer, der nicht unser Wettbewerber ist, uns einmal im Jahr nach mindestens 30 Tagen Ankündigung während der Geschäftszeiten prüfen. Die Prüfung geht auf Ihre Kosten, einschließlich unseres Aufwands, außer sie deckt einen Verstoß von uns auf.

Gegenüber betroffenen Personen haften Sie und wir nach Art. 82 DSGVO. Im Verhältnis zwischen Ihnen und uns gelten die Haftungsregeln der AGB.

Autoblicker läuft auf unseren eigenen Servern in der EU. Dazu setzen wir diese Unterauftragsverarbeiter ein:

DigitalOcean, LLC, USA

Speicherung von Fotos, Dokumenten und anderen Dateien. Speicherort: EU.

Amazon Web Services EMEA SARL, Luxemburg

Speicherung der Sicherungen. Speicherort: EU.

Cloudflare, Inc., USA

Auslieferung der Plattform, Betrieb der Händler-Websites, Spamschutz der Formulare.

Resend, Inc., USA

Versand von E-Mails, zum Beispiel Einladungen zur Unterschrift und Terminerinnerungen an Ihre Kunden.

fiskaly GmbH, Österreich

Sicherheitseinrichtung der Registrierkasse, nur mit dem Add-on Registrierkasse.

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, wenn der Empfänger danach zertifiziert ist, und sonst auf die Standardvertragsklauseln der Europäischen Kommission.

Zutritt

Zu den Räumen mit unseren Servern haben nur berechtigte Personen Zutritt.

Zugang

Anmeldung mit persönlichem Konto und Passwort; Passwörter nur in nicht umkehrbarer Form gespeichert; begrenzte Zahl von Anmeldeversuchen; Sitzungen laufen ab.

Zugriff

Rollen und Rechte je Autohaus, die Sie selbst vergeben; die Daten jedes Autohauses sind von denen anderer getrennt; Zugriff unseres Personals nur, soweit es die Aufgabe verlangt.

Weitergabe

Übertragung nur verschlüsselt; Dateien nur über Links, die ablaufen; Zugangsdaten zu Börsen, Plattformen und Behörden verschlüsselt gespeichert.

Eingabe

Protokoll, wer wann welche Daten angelegt, geändert oder entfernt hat; manipulationssicheres Protokoll jeder Unterschrift.

Verfügbarkeit

Tägliche Sicherungen, verschlüsselt an einem getrennten Ort gespeichert; Überwachung der Systeme mit Alarmierung.

Trennung

Getrennte Umgebungen für Entwicklung, Test und Betrieb; Testmodus mit eigenen Daten je Autohaus.

Überprüfung

Regelmäßige Aktualisierung der Software und Prüfung der Maßnahmen; Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern.