Vereinbarung zur Auftragsverarbeitung

§ 1 Parteien und Vertragsschluss

Verantwortlicher (nachfolgend „Kunde“): der Betreiber der Kfz-Werkstatt, der die Aucaro-Software nutzt. Firma, Anschrift und Vertretung ergeben sich aus den bei der Registrierung angegebenen und in den Einstellungen der Werkstatt hinterlegten Stammdaten.

Auftragsverarbeiter (nachfolgend „Aucaro“): Aucaro Software, Inhaber Gerwin Schulze, Bremer Str. 65a, 27211 Bassum, Deutschland, E-Mail info@aucaro.tech.

Diese Vereinbarung wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Kunde akzeptiert sie bei der Registrierung seiner Werkstatt oder nachträglich unter Einstellungen → Datenschutz. Zeitpunkt der Annahme und Version werden bei Aucaro gespeichert. Sie ist Bestandteil des Nutzungsvertrags (Allgemeine Geschäftsbedingungen) und geht diesem bei Widersprüchen in Datenschutzfragen vor.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

Aucaro stellt dem Kunden eine Werkstatt-Management-Software als Online-Dienst (Software as a Service) bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Einzelheiten zu Gegenstand, Datenarten und betroffenen Personen regelt Anlage 1.

Die Verarbeitung dauert so lange wie der Nutzungsvertrag. Nach dessen Ende gilt § 10.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Verändern, Auslesen, Abfragen, Übermitteln an die vom Kunden bestimmten Empfänger, Sichern, Löschen. Zweck: Betrieb der Werkstattverwaltung des Kunden (Kunden-, Fahrzeug-, Auftrags-, Kalender-, Rechnungs-, Kassen-, Lager- und Personalzeitverwaltung sowie die vom Kunden aktivierten Schnittstellen).

§ 3 Weisungen

1. Aucaro verarbeitet die Daten ausschließlich nach den dokumentierten Weisungen des Kunden. Weisungen erteilt der Kunde durch die Nutzung der Software (Eingaben, Einstellungen, Aktivieren von Schnittstellen, Auslösen von Übermittlungen) sowie in Textform an info@aucaro.tech. Weisungsberechtigt sind die Benutzer des Kunden mit der Berechtigungsstufe „Verwaltung“.
2. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur nach Anlage 3 oder wenn Unionsrecht oder deutsches Recht Aucaro dazu verpflichtet; in diesem Fall informiert Aucaro den Kunden vor der Verarbeitung, sofern das Recht dies nicht verbietet.
3. Hält Aucaro eine Weisung für rechtswidrig, informiert Aucaro den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung durch den Kunden aussetzen.

§ 4 Vertraulichkeit

Aucaro gewährt nur Personen Zugang zu den Daten, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO). Derzeit hat allein der Inhaber administrativen Zugang zu den Systemen. Zugriffe auf Kundendaten erfolgen nur zur Vertragserfüllung, zur Fehlerbehebung auf Anforderung des Kunden oder zur Datensicherung.

§ 5 Sicherheit der Verarbeitung

Aucaro trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht unterschreiten. Auf Anfrage erhält der Kunde die aktuelle Fassung.

§ 6 Unterauftragsverarbeiter

1. Der Kunde genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO). Aucaro verpflichtet diese vertraglich auf dasselbe Schutzniveau wie in dieser Vereinbarung.
2. Beabsichtigt Aucaro einen Wechsel oder eine Hinzunahme, informiert Aucaro den Kunden mindestens vier Wochen vorher in Textform (E-Mail an die Inhaber-Adresse und Hinweis in der Software). Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird keine einvernehmliche Lösung gefunden, kann der Kunde den Nutzungsvertrag zum Zeitpunkt des Wechsels kündigen.
3. Dienste, die der Kunde selbst beauftragt und mit eigenen Zugangsdaten in der Software aktiviert (Anlage 4), sind keine Unterauftragsverarbeiter von Aucaro. Aucaro übermittelt an sie ausschließlich auf Weisung des Kunden. Der Kunde ist dafür verantwortlich, mit diesen Anbietern die erforderlichen Verträge zu schließen.

§ 7 Unterstützung des Kunden

1. Betroffenenrechte (Art. 12–22 DSGVO): Die Software stellt dem Kunden Auskunft (Kundenakte, Datenexport), Berichtigung, Datenübertragbarkeit (Export) und Löschung/Anonymisierung (unter Wahrung der handels- und steuerrechtlichen Aufbewahrungspflichten) unmittelbar bereit. Darüber hinausgehende Anfragen bearbeitet Aucaro innerhalb von 10 Werktagen. Wendet sich eine betroffene Person direkt an Aucaro, leitet Aucaro die Anfrage unverzüglich an den Kunden weiter.
2. Sicherheit, Meldungen, Folgenabschätzung (Art. 32–36 DSGVO): Aucaro unterstützt den Kunden mit den ihm vorliegenden Informationen, insbesondere mit Anlage 2 und den Angaben in Anlage 3.
3. Verletzungen des Schutzes personenbezogener Daten: Aucaro meldet dem Kunden jede Verletzung, die dessen Daten betrifft, unverzüglich, spätestens 24 Stunden nach Kenntnis, an die Inhaber-E-Mail-Adresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen. Aucaro dokumentiert den Vorfall.

§ 8 Nachweise und Kontrollen

Aucaro stellt dem Kunden alle Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung. Der Kunde kann einmal jährlich sowie bei konkretem Anlass eine Überprüfung verlangen – zunächst durch Auskunft und Vorlage von Unterlagen (Anlage 2, Sicherungsprotokolle, Vertragsnachweise der Unterauftragsverarbeiter), bei begründetem Bedarf durch eine Vor-Ort-Prüfung oder durch einen zur Vertraulichkeit verpflichteten Dritten nach Ankündigung von mindestens 14 Tagen zu den üblichen Geschäftszeiten.

§ 9 Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 5, 6, 9, 13, 14 DSGVO), insbesondere für Informationen an seine Kunden und Mitarbeiter, für Einwilligungen (etwa bei WhatsApp- oder SMS-Nachrichten), für die Rechtmäßigkeit der von ihm aktivierten Übermittlungen nach Anlage 4 und für die Vergabe und Pflege der Benutzerrechte in der Software. Aucaro stellt hierfür Vorlagen bereit (Datenschutzhinweise für Werkstattkunden, Information für Mitarbeiter).

§ 10 Löschung und Rückgabe

1. Während der Laufzeit kann der Kunde jederzeit einen vollständigen Export seines Datenbestands abrufen (Einstellungen → Datenschutz → Datenexport).
2. Nach Ende des Nutzungsvertrags hält Aucaro die Daten 30 Tage zum Export bereit und löscht sie anschließend einschließlich der Datensicherungen innerhalb weiterer 30 Tage, sofern nicht der Kunde die frühere Löschung verlangt. Die Löschung wird dem Kunden in Textform bestätigt.
3. Der Kunde ist dafür verantwortlich, aufbewahrungspflichtige Unterlagen (Rechnungen, Kassendaten, DSFinV-K-Export) vor der Löschung zu exportieren. Aucaro weist bei Kündigung darauf hin.

§ 11 Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags.

§ 12 Schlussbestimmungen

1. Es gilt deutsches Recht. Gerichtsstand ist, soweit der Kunde Kaufmann ist, der Sitz von Aucaro.
2. Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag geht diese Vereinbarung vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
3. Änderungen dieser Vereinbarung teilt Aucaro dem Kunden in Textform mit; sie gelten als angenommen, wenn der Kunde nicht innerhalb von vier Wochen widerspricht. Auf diese Folge wird in der Mitteilung hingewiesen. Die jeweils geltende Fassung ist unter aucaro.tech/avv abrufbar; frühere Fassungen erhält der Kunde auf Anfrage.

Anlage 1 – Gegenstand der Verarbeitung

Kategorien betroffener Personen

• Kunden des Werkstattbetreibers (Privat- und Firmenkunden, deren Ansprechpartner, Fahrzeughalter und Fahrer)
• Mitarbeiter und Aushilfen des Werkstattbetreibers sowie Benutzer der Software
• Kontaktpersonen bei Lieferanten, Versicherungen, Leasing- und Flottengesellschaften, Prüforganisationen
• Interessenten, die über Terminanfrage-Postfächer oder Online-Buchungen Kontakt aufnehmen

Arten personenbezogener Daten

Besondere Kategorien (Art. 9 DSGVO): Krankmeldungen von Mitarbeitern werden als Abwesenheitszeitraum ohne Diagnose verarbeitet (§ 26 Abs. 3 BDSG). Weitere besondere Kategorien sind nicht vorgesehen.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 3 – Unterauftragsverarbeiter von Aucaro

Dienste ohne Verarbeitung personenbezogener Kundendaten, der Vollständigkeit halber: OpenPLZ API (openplzapi.org, Deutschland) für die Postleitzahl-/Straßensuche (nur die eingegebene Postleitzahl); OpenMeteo GmbH (Schweiz) für die optionale Wetteranzeige der Stempeluhr – der Aufruf erfolgt direkt aus dem Browser des Benutzers mit dem Ort der Werkstatt, Aucaro übermittelt dabei nichts.

Anlage 4 – Vom Kunden beauftragte Drittdienste (keine Unterauftragsverarbeiter von Aucaro)

Diese Anbindungen sind ausgeschaltet, bis der Kunde sie in den Einstellungen aktiviert und seine eigenen Zugangsdaten hinterlegt. Aucaro übermittelt dann auf Weisung des Kunden die genannten Daten. Der Kunde schließt mit dem Anbieter den erforderlichen Vertrag (in der Regel einen eigenen Auftragsverarbeitungsvertrag) selbst.