Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird geschlossen zwischen dem die Software nutzenden Betrieb als Verantwortlichem ([Firma, Anschrift, Vertretung des Betriebs]) und Detailly Software Company by Finn Bellmann, Inhaber: Finn Bellmann, Ruthmannstraße 3a, 48712 Gescher, als Auftragsverarbeiter (nachfolgend „Detailly“).

Der AVV ist Anlage zum Nutzungsvertrag (AGB) und geht diesem in Datenschutzfragen vor. Er kann elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO, z. B. per Bestätigung beim Onboarding).

Gegenstand ist die Verarbeitung personenbezogener Daten durch Detailly im Auftrag des Verantwortlichen im Rahmen der Nutzung der Detailly-Werkstattsoftware für Fahrzeugaufbereitung, Folierung und Lackschutz (PPF). Die Laufzeit entspricht der des Nutzungsvertrags; die Pflichten zur Löschung und Rückgabe (§ 8) gelten nach dessen Ende fort. Bei Widersprüchen in Datenschutzfragen geht dieser AVV vor.

Nicht Gegenstand sind Verarbeitungen, für die Detailly eigenständig verantwortlich ist (insbesondere Abrechnung des Abos, eigene Website, Registrierung/Konto, Support); hierfür gilt die Datenschutzerklärung von Detailly.

Zweck: Bereitstellung und Betrieb der Software zur Abwicklung der Geschäftsprozesse des Betriebs (Kunden- und Fahrzeugverwaltung, Aufträge, Terminplanung, Fahrzeugannahme und Gutachten, Rechnungen, Mahnwesen, Online-Terminbuchung).

Kategorien betroffener Personen: Endkundinnen und Endkunden des Betriebs (privat und geschäftlich), deren Ansprechpartner sowie Interessenten über das öffentliche Buchungsportal.

Kategorien personenbezogener Daten:

• Kundenstammdaten (Name, Firma, USt-Nr., Kontaktdaten, Anschrift, interne Notizen)
• Fahrzeugdaten (Marke, Modell, Farbe, Kennzeichen, Fahrgestellnummer, Notizen)
• Auftrags- und Termindaten (Leistungsdetails, Vorher-/Nachher-Fotos, Terminzeiten)
• Inspektionen und Gutachten (Schadenspositionen, Fotos, digitale Unterschrift des Kunden, eingefrorener Einwilligungstext)
• Rechnungsdaten (Rechnungsnummer, Positionen, Beträge, Empfängerdaten – sensible Felder verschlüsselt)
• Online-Terminanfragen (Name, Kontakt, Leistung, Wunschtermin; Quell-IP nur gehasht)

Besondere Datenkategorien nach Art. 9 DSGVO sind bestimmungsgemäß nicht Gegenstand. Der Verantwortliche verpflichtet sich, keine derartigen Daten einzustellen.

Detailly verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die bestimmungsgemäße Nutzung der Software gilt als Weisung. Individualweisungen richtet der Verantwortliche an support@detailly.eu. Hält Detailly eine Weisung für rechtswidrig, informiert es den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen. Behördliche Auskunftsersuchen beantwortet Detailly nicht selbständig, sondern informiert den Verantwortlichen vorab, soweit rechtlich zulässig.

Detailly setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass diese die Daten nur weisungsgemäß verarbeiten.

Detailly trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO (u. a. verschlüsselte Übertragung, Verschlüsselung sensibler Datenfelder, Zugriffs- und Berechtigungskonzept, Mandantentrennung, Protokollierung, Backups). Ausdrücklich benannt sind auch die durch Betreiber und Hoster sicherzustellenden Maßnahmen (z. B. At-Rest-Verschlüsselung des Speichers, verschlüsselte Offsite-Backups). Die vollständige Übersicht ist Anlage 3 dieses Vertrags.

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter. Detailly informiert über beabsichtigte Änderungen mit einer Frist von [30] Tagen; der Verantwortliche kann aus wichtigem Grund widersprechen und bei berechtigtem Widerspruch außerordentlich kündigen. Jeder Unterauftragsverarbeiter wird auf mindestens dieselben Datenschutzpflichten verpflichtet (Art. 28 Abs. 4 DSGVO).

Eine Übermittlung in Drittländer erfolgt nur, soweit in Anlage 2 ausgewiesen, und dann auf Grundlage eines Angemessenheitsbeschlusses oder hilfsweise der Standardvertragsklauseln (Art. 46 DSGVO). Der Kernbetrieb (Hosting, Endkundendaten) findet in Deutschland bzw. der EU statt.

Betroffenenrechte (Art. 12–23 DSGVO): Detailly unterstützt den Verantwortlichen durch geeignete technische Maßnahmen. Umgesetzt ist ein DSGVO-Cockpit mit Datenauskunft/Export (Art. 15) und Löschung/Anonymisierung (Art. 17) je Kunde. Die Wahrnehmung der Rechte gegenüber den Endkunden obliegt dem Verantwortlichen; direkt an Detailly gerichtete Anfragen werden weitergereicht.

Datenpanne (Art. 33/34 DSGVO): Detailly meldet dem Verantwortlichen eine bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [24] Stunden nach Kenntnis. Die Meldung an die Aufsichtsbehörde (72 Stunden) und ggf. an Betroffene obliegt dem Verantwortlichen. Detailly unterstützt zudem bei Datensicherheit, Datenschutz-Folgenabschätzung und vorheriger Konsultation im Rahmen des Verfügbaren.

Nach Ende des Nutzungsvertrags stellt Detailly einen Datenexport bereit ([30] Tage Karenz) und löscht die Daten anschließend, einschließlich in Sicherungskopien, nach spätestens [90] Tagen. Gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO/GoBD für Rechnungen) trägt der Verantwortliche; Detailly löscht bzw. sperrt nach dessen Weisung.

Detailly stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit (vorrangig diese Anlagen, ggf. Testate). Vor-Ort-Kontrollen sind nach Ankündigung von [14] Tagen zu üblichen Geschäftszeiten möglich, höchstens [einmal jährlich], außer bei besonderem Anlass.

Es gelten Art. 82 DSGVO und die Haftungsregeln des Nutzungsvertrags; die Außenhaftung nach Art. 82 DSGVO ist nicht abdingbar. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Bestandteil dieses Vertrags sind folgende Anlagen:

• Anlage 1 – Gegenstand, Datenkategorien und betroffene Personen (siehe § 2)
• Anlage 2 – Unterauftragsverarbeiter
• Anlage 3 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Siehe auch die Allgemeinen Geschäftsbedingungen als übergeordneten Nutzungsvertrag.

Vollständige Entwurfsfassung: docs/compliance/AVV.md (nebst Anlagen SUBPROZESSOREN.md und TOMS.md) — vor Produktivnutzung anwaltlich freizugeben.