Vertrag zur Auftragsverarbeitung

1. Gegenstand ist die Bereitstellung und der Betrieb der Software KFZ Manager für Kfz-Werkstätten und Autohäuser als Software-as-a-Service einschließlich Hosting, Dateiablage, Datensicherung, E-Mail-Versand, Anbindung der technischen Sicherheitseinrichtung (TSE) für die Kasse, Wartung und Support.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet nicht vor Abschluss der Löschung nach § 11 und gilt für die nach § 11 Abs. 3 weiter verwahrten Unterlagen bis zu deren Löschung fort.

Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (z. B. per E-Mail-Versand oder an die TSE), Einschränken, Löschen und Vernichten personenbezogener Daten, jeweils soweit der Verantwortliche dies über die Funktionen der Software veranlasst. Zweck ist die Unterstützung des Verantwortlichen bei der Führung seines Werkstatt- und Handelsbetriebs, insbesondere:

• Kunden- und Fahrzeugverwaltung, Terminplanung, Aufträge und Arbeitskarten,
• digitale Fahrzeugannahme, Kostenvoranschläge und deren Freigabe durch den Werkstattkunden per Link mit Unterschrift,
• Rechnungsstellung einschließlich E-Rechnung, Zahlungen, offene Posten und Kassenführung mit TSE,
• Autoverkauf: Fahrzeugbestand, Ankauf und Inzahlungnahme, öffentliche Angebotsseiten mit Anfrageformular, Probefahrten, Kaufverträge und Übergabe, Identifizierung nach dem Geldwäschegesetz,
• Kommunikation mit Kunden per E-Mail, Dokumentenablage und Exporte für die Buchhaltung bzw. Steuerberatung,
• Verwaltung der Benutzer des Verantwortlichen und Nachvollziehbarkeit von Änderungen.

Je nach Nutzung durch den Verantwortlichen werden insbesondere folgende Datenarten verarbeitet:

• Kunden- und Kontaktdaten: Name, Firma, Anschrift, E-Mail-Adresse, Telefon- und Mobilnummer, Kundennummer, Ansprechpartner, Notizen;
• Fahrzeugdaten: amtliches Kennzeichen, Fahrzeug-Identifizierungsnummer (FIN), Hersteller, Modell, Erstzulassung, km-Stände, Termine für HU und Wartung, Fotos des Fahrzeugs (z. B. bei der Annahme);
• Auftragsdaten: Termine, Aufträge, Arbeitskarten, Befunde, Kostenvoranschläge und Freigaben einschließlich Unterschrift, Zeitpunkt und technischer Angaben zur Freigabe;
• Rechnungs-, Zahlungs- und Kassendaten: Rechnungen und Gutschriften, Zahlungseingänge, offene Posten, Mahnungen, Bankverbindung, Kassenvorgänge und Kassenabschlüsse einschließlich der Signaturdaten der TSE;
• Ankaufdaten: Angaben zum Verkäufer, Ausweisdaten und -nachweise, Zulassungsbescheinigungen Teil I und II, Ankaufverträge;
• Probefahrtdaten: Angaben zum Fahrer, Führerscheindaten (z. B. Nummer, Klassen, Ausstellungsdatum), eine Kopie des Führerscheins nur mit Einwilligung der betroffenen Person, Zeitpunkte und km-Stände;
• Identifizierungsdaten nach dem Geldwäschegesetz bei Barzahlungen ab 10.000 €: Name, Geburtsdatum und -ort, Staatsangehörigkeit, Anschrift, Art, Nummer und ausstellende Behörde des Ausweisdokuments sowie Kopien bzw. Nachweise der Identifizierung;
• Verkaufsdaten: Kaufverträge, Inzahlungnahmen, Übergabeprotokolle, Reklamationen;
• Anfragen: Angaben aus dem Anfrageformular der öffentlichen Angebotsseiten (Name, Telefonnummer, E-Mail-Adresse, Nachricht, angefragtes Fahrzeug);
• Mitarbeiter- und Nutzungsdaten: Benutzerkonten, Rollen, PIN (nur als Hash), Anmeldezeitpunkte, Sitzungen (IP-Adresse, User-Agent), Zeitstempel an Aufträgen und Vorgängen, Einträge im Änderungsprotokoll;
• Dokumente und Freitexte: hochgeladene Dateien, Notizen, Nachrichten.

Besondere Kategorien personenbezogener Daten

Die Software sieht keine eigenen Felder für besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) vor. Solche Daten werden nur verarbeitet, wenn der Verantwortliche sie selbst eingibt, etwa in Notizen oder Dokumenten, oder wenn sie sich aus hochgeladenen Bildern ergeben (z. B. ein Lichtbild auf einer Ausweiskopie). Für das Vorliegen einer Rechtsgrundlage ist der Verantwortliche verantwortlich.

• Kunden des Verantwortlichen (Privat- und Geschäftskunden) und deren Ansprechpartner,
• Fahrzeughalter und Fahrer, soweit sie nicht selbst Kunde sind,
• Verkäufer von Fahrzeugen beim Ankauf und bei der Inzahlungnahme,
• Käufer und Interessenten, einschließlich Personen, die über die öffentlichen Angebotsseiten anfragen,
• Teilnehmer an Probefahrten,
• wirtschaftlich Berechtigte und Vertreter im Rahmen der Identifizierung nach dem Geldwäschegesetz,
• Benutzer der Software (Inhaber, Mitarbeitende und Beauftragte des Verantwortlichen, z. B. die Steuerberatung),
• sonstige Kontaktpersonen des Verantwortlichen (z. B. Lieferanten, Partner).

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Weisungen erteilt der Verantwortliche grundsätzlich durch die Nutzung der Funktionen der Software und ihrer Einstellungen (z. B. Löschfristen). Darüber hinausgehende Weisungen erfolgen in Textform an info@werbewunderbude.de. Weisungsberechtigt sind die Benutzer mit der Rolle Inhaber sowie die gesetzlichen Vertreter des Verantwortlichen.
3. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin und kann die Durchführung bis zur Bestätigung oder Änderung aussetzen.
4. Weisungen, die über den vertraglich geschuldeten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt und können gesondert vergütet werden.

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden und Zugriff auf Daten des Verantwortlichen nur erhalten, soweit dies für ihre Aufgabe erforderlich ist (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

1. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

1. Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail an die Inhaber-Adresse oder in der Software). Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.
4. Eine Verarbeitung außerhalb der EU bzw. des EWR durch Unterauftragsverarbeiter erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Derzeit findet keine solche Verarbeitung statt.
5. Keine Unterauftragsverhältnisse sind Nebenleistungen wie Telekommunikationsdienste ohne Zugriff auf Inhaltsdaten, Post- und Transportdienste oder die Entsorgung von Datenträgern unter Beachtung der Datenschutzanforderungen.

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte nach Art. 12 bis 22 DSGVO. Die Software stellt hierfür u. a. Funktionen zum Export (Auskunft, Datenübertragbarkeit), zur Berichtigung und zur Löschung bereit; Führerscheinkopien werden nach der vom Verantwortlichen eingestellten Frist automatisch gelöscht.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern nicht anders angewiesen.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

1. Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, per E-Mail an die hinterlegte Inhaber-Adresse (Art. 33 Abs. 2 DSGVO).
2. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.
3. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Verantwortlichen.

1. Während der Vertragslaufzeit legt der Verantwortliche fest, wie lange Daten gespeichert werden, und veranlasst die Löschung über die Funktionen der Software. Für seine gesetzlichen Aufbewahrungspflichten gelten insbesondere folgende Fristen, die jeweils mit dem Ende des Kalenderjahres beginnen, in dem die Unterlage entstanden ist bzw. die Geschäftsbeziehung endet:
   • Rechnungen, Kassen- und Buchungsbelege: zehn Jahre (§ 147 AO, § 257 HGB),
   • empfangene und versandte Handels- und Geschäftsbriefe sowie Verträge: sechs Jahre,
   • Aufzeichnungen und Nachweise der Identifizierung nach dem Geldwäschegesetz: fünf Jahre (§ 8 Abs. 4 GwG),
   • Kopien von Führerscheinen aus Probefahrten: Löschung automatisch nach der vom Verantwortlichen eingestellten Frist.
2. Der Verantwortliche kann seine Daten während der Vertragslaufzeit und bis 30 Tage nach Vertragsende in gängigen Formaten (insbesondere CSV, PDF und DATEV-Format) selbst exportieren. Dies gilt als Rückgabe der Daten im Sinne von Art. 28 Abs. 3 lit. g DSGVO. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche Daten des Verantwortlichen einschließlich gespeicherter Dokumente, soweit Abs. 3 nichts anderes bestimmt. Datensicherungen werden im Rahmen der regulären Rotation überschrieben. Die Löschung wird auf Anfrage bestätigt.
3. Festgeschriebene Rechnungen, Kassen- und Buchungsbelege sowie weitere aufbewahrungspflichtige Unterlagen werden in einem Archivspeicher mit Löschsperre (Object Lock) abgelegt, die eine Löschung vor Ablauf von zehn Jahren technisch ausschließt. Der Verantwortliche weist den Auftragsverarbeiter an, diese Unterlagen nach Vertragsende bis zum Ablauf der Löschsperre gesperrt weiter zu verwahren. Sie werden in dieser Zeit ausschließlich zur Erfüllung der Aufbewahrungspflichten des Verantwortlichen verarbeitet (Art. 18 DSGVO), auf Anforderung an ihn herausgegeben und nach Ablauf der Frist gelöscht.
4. Gesetzliche Aufbewahrungspflichten des Verantwortlichen (z. B. § 147 AO, § 257 HGB, § 8 Abs. 4 GwG) erfüllt der Verantwortliche selbst; er kann sich dabei auf die exportierten Daten und die nach Abs. 3 verwahrten Unterlagen stützen.

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch aktuelle Dokumentation der TOM, Zertifikate der Rechenzentrumsbetreiber (z. B. ISO/IEC 27001), Berichte unabhängiger Prüfer oder Selbstauskünfte erbracht werden.
2. Der Verantwortliche ist berechtigt, Überprüfungen einschließlich Inspektionen nach rechtzeitiger Anmeldung (in der Regel vier Wochen) während der üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchzuführen, sofern nicht ein Wettbewerber des Auftragsverarbeiters beauftragt wird. Kontrollen dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen. Der Auftragsverarbeiter kann für Vor-Ort-Kontrollen eine angemessene Aufwandsentschädigung verlangen, soweit kein Verstoß festgestellt wird.

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die auf einer von ihr zu vertretenden Verletzung dieses Vertrags oder der DSGVO beruhen. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (§ 13 der AGB), soweit Art. 82 DSGVO nicht entgegensteht.

1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.
2. Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen durch den Auftragsverarbeiter gilt das Verfahren der AGB (Ankündigung in Textform mit sechswöchiger Widerspruchsfrist) entsprechend; Änderungen der Unterauftragsverarbeiter richten sich nach § 8.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

Die folgenden Maßnahmen beschreiben die Architektur des KFZ Manager zum Stand dieses Dokuments. Betrieben wird die Software mit Webanwendung, Anwendungsserver, Datenbank (PostgreSQL) und Objektspeicher für Dateien in Containern auf Servern der Hetzner Online GmbH in Deutschland.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Die Server stehen ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (Nürnberg, Falkenstein), die nach ISO/IEC 27001 zertifiziert sind: elektronische Zutrittskontrolle, Videoüberwachung, Sicherheitspersonal, Zutritt nur für berechtigtes Personal. Der Auftragsverarbeiter selbst unterhält keine eigenen Serverräume.

Zugangskontrolle:

• Passwörter und PINs werden ausschließlich als Argon2id-Hash gespeichert; Mindestanforderungen an Passwörter werden technisch erzwungen.
• Zwei-Faktor-Anmeldung per zeitbasiertem Einmalcode (TOTP, RFC 6238) für alle Benutzer optional verfügbar.
• Anmeldung per PIN nur an Hallen-Tablets, die der Verantwortliche zuvor ausdrücklich freigeschaltet hat; die Freischaltung kann jederzeit widerrufen werden. PIN-Sitzungen enden spätestens nach 12 Stunden.
• Kurzlebige Zugangs-Tokens (15 Minuten) in httpOnly-Cookies; Sitzungs-Tokens werden bei jeder Erneuerung ausgetauscht, nur als SHA-256-Hash gespeichert und sind einzeln widerrufbar.
• Vorübergehende Sperre nach wiederholten Fehlversuchen bei Passwort und PIN sowie Begrenzung der Anfragen (Rate-Limiting) gegen Brute-Force-Angriffe.
• Administrativer Serverzugang nur per SSH mit Schlüssel für einen eng begrenzten Personenkreis; Datenbank und interne Dienste sind nicht aus dem Internet erreichbar. Eine Firewall lässt nur Web-Verkehr (HTTPS) und SSH zu.

Zugriffskontrolle:

• Rollenbasiertes Berechtigungskonzept mit den Rollen Inhaber, Service, Verkauf, Mechaniker, Büro und Steuerberater. Jede Rolle erhält nur die Rechte, die sie für ihre Aufgaben benötigt: Mechaniker sehen nur die ihnen zugewiesenen Aufträge, die Steuerberatung hat nur Lesezugriff, Stornierungen von Rechnungen sowie Einstellungen, Benutzerverwaltung und Freischaltung von Geräten sind dem Inhaber vorbehalten.
• Die Rechteprüfung erfolgt zentral serverseitig bei jeder Anfrage, nicht nur in der Benutzeroberfläche.
• Zugriffe von Mitarbeitenden des Auftragsverarbeiters auf Kundendaten erfolgen nur, soweit für Support oder Betrieb erforderlich.

Trennungskontrolle (Mandantentrennung): Jeder fachliche Datensatz ist einem Betrieb zugeordnet. Die Trennung wird zusätzlich zur Prüfung in der Anwendung in der Datenbank selbst durch Row-Level-Security erzwungen: Jede Abfrage sieht nur die Datensätze des Betriebs, für den die Anfrage gestellt wird. Dateien werden je Betrieb getrennt abgelegt. Automatisierte Tests prüfen, dass ein Betrieb keine Daten eines anderen Betriebs lesen kann. Test- und Entwicklungssysteme arbeiten nicht mit Produktivdaten.

Verschlüsselung: Übertragung ausschließlich per TLS (HTTPS, automatische Zertifikate); Cookies mit Secure- und SameSite-Attribut. Zwei-Faktor-Schlüssel werden in der Datenbank zusätzlich mit AES-256-GCM verschlüsselt gespeichert. Datensicherungen werden vor dem Speichern mit AES-256 verschlüsselt.

Datensparsamkeit: Kopien von Führerscheinen werden nur mit Einwilligung der betroffenen Person gespeichert und nach der eingestellten Frist automatisch gelöscht; die Löschung wird protokolliert. Passwörter, PINs und Sitzungs-Tokens werden nur gehasht gespeichert.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle: Daten werden nur verschlüsselt übertragen. Exporte (z. B. CSV, PDF, DATEV) können nur von Benutzern mit entsprechender Berechtigung erstellt werden. Eine Weitergabe an Dritte erfolgt nur an die Unterauftragsverarbeiter nach Anlage 2.

Eingabekontrolle: Schreibende Aktionen werden in einem unveränderlichen Änderungsprotokoll mit Benutzer, Zeitpunkt, betroffenem Datensatz und Änderungen festgehalten. Die Einträge sind über eine Hash-Kette miteinander verknüpft, sodass nachträgliche Änderungen oder Löschungen erkennbar sind. Eingaben werden an jeder Schnittstelle serverseitig validiert.

Unveränderbarkeit von Belegen (GoBD): Rechnungen, Kassen- und Buchungsbelege können nach der Festschreibung nicht mehr geändert, sondern nur storniert bzw. korrigiert werden. Sie werden zusätzlich mit Prüfsumme in einem Archivspeicher mit Löschsperre (Object Lock) für zehn Jahre abgelegt, die auch Administratoren keine vorzeitige Löschung erlaubt. Kassenvorgänge werden über die TSE signiert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche verschlüsselte Sicherung der Datenbank und der Dateiablage; Sicherungen werden für einen begrenzten Zeitraum rotierend aufbewahrt.
• Regelmäßige Tests der Wiederherstellung aus den Sicherungen.
• Rechenzentren mit redundanter Stromversorgung (USV, Notstromaggregate), Klimatisierung, Brandfrüherkennung und redundanter Netzanbindung.
• Automatischer Neustart von Diensten bei Ausfall und laufende Zustandsprüfung der Dienste.
• Begrenzung von Anfragen (Rate-Limiting) zum Schutz vor Überlastung.

4. Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

Datenbank und Dateien können aus den täglichen Sicherungen wiederhergestellt werden. Die Infrastruktur ist als Code beschrieben (Container-Konfiguration), sodass die Anwendung kurzfristig auf neuer Hardware aufgebaut werden kann.

5. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Aktualisierung von Betriebssystem, Container-Images und Software-Abhängigkeiten; zeitnahes Einspielen von Sicherheitsupdates.
• Automatisierte Tests (u. a. Mandantentrennung, Berechtigungen) vor jeder Auslieferung neuer Versionen.
• Überprüfung und Aktualisierung dieser Maßnahmen mindestens jährlich sowie anlassbezogen nach Sicherheitsvorfällen.
• Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): kein Tracking, nur technisch notwendige Cookies, Rechte nach dem Minimalprinzip.

6. Auftragskontrolle

Unterauftragsverarbeiter werden sorgfältig ausgewählt und vertraglich nach Art. 28 DSGVO gebunden; ihre Maßnahmen werden vor Beauftragung und in angemessenen Abständen geprüft. Mitarbeitende sind auf Vertraulichkeit verpflichtet.