Auftragsverarbeitungsvertrag (AVV)

Parteien und Rollen

Das Autohaus, das Veturas nutzt, ist der Verantwortliche: Es entscheidet, warum und wie die Daten seiner Käufer und Kunden verarbeitet werden. Vargu Digital ist der Auftragsverarbeiter: Er verarbeitet diese Daten nur, um den Dienst zu erbringen. Die Einzelheiten der Verarbeitung stehen in Anhang I.

Verhältnis zu den Geschäftsbedingungen

Dieser AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen. Widersprechen sie sich beim Datenschutz, hat dieser AVV Vorrang. Gilt eine Standardvertragsklausel und widerspricht sie diesem AVV, hat die Klausel Vorrang.

Begriffe

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die DSGVO gibt.

Unsere Pflichten als Auftragsverarbeiter

• (a) Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung. Die Geschäftsbedingungen, dieser AVV und Ihre Nutzung des Dashboards sind diese Weisungen. Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit.
• (b) Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
• (c) Wir setzen die Sicherheitsmaßnahmen aus Anhang II um.
• (d) Wir setzen Unterauftragsverarbeiter nur nach den unten stehenden Regeln ein.
• (e) Wir unterstützen Sie bei der Beantwortung von Anfragen betroffener Personen. Im Dashboard können Sie die Daten selbst einsehen, berichtigen, exportieren und löschen.
• (f) Wir unterstützen Sie bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32 bis 36 DSGVO), unter Berücksichtigung der uns vorliegenden Informationen.
• (g) Am Ende des Dienstes geben wir die Daten zurück oder löschen sie, wie unten beschrieben.
• (h) Wir stellen Ihnen die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind, und ermöglichen Prüfungen nach den unten stehenden Regeln.

Ihre Pflichten als Verantwortlicher

Sie bestätigen, dass Sie für die Daten, die Sie über Veturas erfassen oder erheben, eine Rechtsgrundlage haben, dass Sie Käufer darüber informieren, wie Sie ihre Daten verwenden, und dass Ihre Weisungen dem Gesetz entsprechen. Veturas erstellt eine Datenschutzseite für Ihre Website; prüfen Sie diese und passen Sie sie an Ihr Unternehmen an.

Support-Zugriff

Außerhalb des Support-Zugriffs sehen wir Ihre Daten nicht ein. Er wird nur mit einem dokumentierten Grund geöffnet, ist nur lesend, läuft innerhalb von 24 Stunden automatisch ab und wird protokolliert. Jeder Zugriff wird dem Inhaber des Autohauses im Dashboard mit Datum und Grund angezeigt.

Unterauftragsverarbeiter

Sie erteilen eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anhang III. Bevor wir einen hinzufügen oder ersetzen, informieren wir Sie mindestens 30 Tage vorher per E-Mail. Innerhalb dieser Frist können Sie aus begründeten Datenschutzgründen widersprechen. Können wir den Widerspruch nicht ausräumen, können Sie den Dienst ohne Kündigungsgebühr beenden und erhalten die nicht genutzten Monate erstattet. Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, die nicht schwächer sind als diese, und wir bleiben für seine Arbeit voll verantwortlich.

Verletzungen des Schutzes personenbezogener Daten

Wir informieren Sie unverzüglich, spätestens 48 Stunden nachdem uns eine Verletzung bekannt geworden ist, die Ihre Daten betrifft. Die Meldung nennt, was geschehen ist, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und einen Ansprechpartner. Liegt nicht alles sofort vor, liefern wir die Angaben schrittweise. So können Sie die Frist von 72 Stunden gegenüber der Behörde einhalten.

Übermittlungen außerhalb der Europäischen Union

Datenbank, Anmeldung, Dateispeicher und Anwendung laufen in der Europäischen Union. Verarbeitet ein Unterauftragsverarbeiter Daten in einem Land ohne Angemessenheitsbeschluss, ist die Übermittlung durch die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) geschützt. Für ein Autohaus mit Niederlassung in der Europäischen Union sind unser eigener Support-Zugriff und die Sicherungen auf unseren eigenen Servern im Land unserer Niederlassung (der Republik Kosovo) durch Modul 2 dieser Klauseln (Verantwortlicher an Auftragsverarbeiter) abgedeckt, die durch Verweis Bestandteil dieses AVV sind.

Prüfungen

Zunächst bieten wir schriftliche Antworten, einen ausgefüllten Sicherheitsfragebogen oder vorhandene Unterlagen an, was die Anfrage meist schneller erledigt. Reicht das nicht aus, können Sie einmal im Jahr eine Prüfung durchführen, mit 30 Tagen Vorankündigung, während der Geschäftszeiten, mit so wenig Störung wie möglich und unter Vertraulichkeit. Jede Partei trägt ihre eigenen Kosten, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß unsererseits.

Rückgabe und Löschung

Sie können Ihre Daten jederzeit aus dem Dashboard exportieren. Nach Ende des Dienstes bleiben die Daten 90 Tage für den Export verfügbar; danach werden sie samt vorhandener Kopien gelöscht. Daten in automatischen Sicherungen werden im normalen Rotationszyklus gelöscht und unterliegen bis dahin diesem AVV. Wir bewahren Daten nur auf, wo ein Gesetz es verlangt, und nur so lange, wie dieses Gesetz es verlangt. Auf Anfrage bestätigen wir die Löschung schriftlich.

Haftung und Laufzeit

Dieser AVV tritt mit Beginn des Dienstes in Kraft und gilt, solange wir Daten in Ihrem Auftrag verarbeiten. Die Bestimmungen zu Vertraulichkeit, Löschung und Haftung gelten darüber hinaus fort. Für die Haftung gelten die Begrenzungen der Allgemeinen Geschäftsbedingungen. Nichts in diesem AVV beschränkt die Rechte betroffener Personen oder die Haftung einer Partei gegenüber einer Aufsichtsbehörde.

Anwendbares Recht

Dieser AVV unterliegt dem Recht der Republik Kosovo, unbeschadet der zwingenden Bestimmungen der DSGVO, die für Sie gelten.

Anhang I: Beschreibung der Verarbeitung

• Gegenstand: Bereitstellung von Veturas, also Website des Autohauses, Bestandsverwaltung, Käuferanfragen und Kundenverwaltung.
• Dauer: die Laufzeit des Dienstes zuzüglich der 90-tägigen Frist für Rückgabe und Löschung.
• Art und Zweck: Speicherung, Anzeige, Organisation, Versand von Benachrichtigungen, Sicherung, Support, Export und Löschung, ausschließlich zur Erbringung des Dienstes; dazu anonymisierte, zusammengefasste Statistiken wie in den Nutzungsbedingungen beschrieben (ohne personenbezogene Daten).
• Betroffene Personen: Käufer und Interessenten, die das Autohaus kontaktieren; Kunden des Autohauses; Mitarbeiter des Autohauses, mit oder ohne Dashboard-Zugang; frühere Halter oder Verkäufer, die in Fahrzeugdokumenten genannt sind; Besucher der Website des Autohauses.
• Datenarten: Name, Telefonnummer, E-Mail-Adresse, Nachricht und gewünschtes Fahrzeug; Notizen und Status einer Anfrage; vom Autohaus erfasste Verkaufsdaten; in den privaten Speicher hochgeladene Fahrzeugdokumente; vom Autohaus erfasste Personaldaten (Position, Kontaktdaten, Vertrag, Gehalt, Provisionen, Zahlungen, Notfallkontakt und Personaldokumente im privaten Speicher); Benutzerkonten; technische Daten wie die IP-Adresse in Protokollen.
• Besondere Kategorien: keine. Daten nach Art. 9 und 10 DSGVO werden nicht verarbeitet. Laden Sie solche Daten nicht hoch, auch keine ärztlichen Bescheinigungen bei den Personaldokumenten.
• Häufigkeit: fortlaufend.

Anhang II: Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung: alles wird über HTTPS/TLS ausgeliefert.
• Verschlüsselung im Ruhezustand: durch die Infrastruktur-Unterauftragsverarbeiter auf der Speicherebene.
• Trennung der Autohäuser: Sicherheitsregeln auf Zeilenebene in der Datenbank stellen sicher, dass jedes Autohaus nur seine eigenen Daten sieht. Das wird in der Datenbank durchgesetzt, nicht nur in der Anwendung.
• Privater Speicher: Fahrzeug- und Personaldokumente liegen in einem privaten Speicher, der nicht öffentlich zugänglich ist.
• Persönliche Konten: jeder Benutzer hat sein eigenes Konto; gemeinsame Konten verwenden wir nicht.
• Begrenzter Support-Zugriff: zeitlich begrenzt, nur lesend, protokolliert und für den Inhaber sichtbar.
• Verwaltung: die Verwaltungskonsole hat keine öffentliche Registrierung und ist auf das namentlich benannte Team beschränkt.
• Sicherungen: tägliche Sicherungen, 30 Tage aufbewahrt, auf Servern, die wir selbst betreiben.
• Datenminimierung: wir fragen nur die Daten ab, die der Dienst braucht.
• Reaktion auf Vorfälle: Bewertung und Meldung wie in diesem AVV beschrieben.
• Löschung: dokumentierter Ablauf für Export und Löschung.

Wir halten diesen Anhang ehrlich statt beeindruckend. Ist eine Maßnahme nicht aufgeführt, gehen Sie nicht davon aus, dass sie besteht. Fragen Sie uns, und wir sagen es Ihnen offen.

Anhang III: Genehmigte Unterauftragsverarbeiter

• Vercel Inc.: Hosting der Anwendung und der Websites. Standort: Anwendungsfunktionen in Dublin, Irland (Europäische Union); statische Inhalte über ein weltweites Netzwerk.
• Supabase Inc.: Datenbank, Anmeldung und Dateispeicher. Standort: Irland (Europäische Union).
• Vargu Digital, eigene Infrastruktur: tägliche Sicherungen auf Servern, die wir selbst betreiben. Standort: Prishtina, Kosovo.
• Porkbun LLC: Domainregistrierung und DNS, nur für Domains, die wir für das Autohaus registrieren. Standort: Vereinigte Staaten; die Übermittlung ist durch die Standardvertragsklauseln geschützt.
• Groq, Inc.: das Sprachmodell hinter den KI-Funktionen von Veturas (Lesen von Inseraten, Fahrzeugschein und Ausstattungslisten; Schreiben von Beschreibungen, Social-Media-Texten und Übersetzungen der Website; der Assistent im Dashboard, der Fragen zu Bestand, Verkäufen, Anfragen und Geld des eigenen Autohauses beantwortet). Gesendet werden nur die Fahrzeugdaten und der Text, den das Autohaus senden möchte; beim Assistenten die eingegebene Frage und die Zahlen, die für die Antwort nötig sind (Fahrzeugdaten, Anzahlen, Summen und Daten). Aus dem Fahrzeugschein werden Namen, Adressen und persönliche Nummern vor dem Senden auf dem Gerät des Autohauses entfernt, das Foto wird nicht gesendet. Namen, Telefonnummern, E-Mail-Adressen und Nachrichten von Käufern werden nicht gesendet, außer das Autohaus tippt sie selbst in eine Frage: Der Assistent kennt einen Käufer nur als kurzen Code, der erst auf dem Bildschirm des Autohauses wieder zum Namen wird. Gespräche mit dem Assistenten speichern wir nicht: Sie bleiben im geöffneten Browser-Tab und sind weg, sobald er geschlossen wird. Standort: Vereinigte Staaten; die Übermittlung ist durch die Standardvertragsklauseln geschützt.

Später hinzukommende KI-Funktionen (z. B. Antworten auf Nachrichten von Käufern) sind nicht aktiv. Bevor sie personenbezogene Daten von Käufern verarbeiten, wird dieser Anhang mit 30 Tagen Vorankündigung aktualisiert.

Wie dieser AVV abgeschlossen wird

• Durch Verweis: er gilt automatisch mit der Annahme der Allgemeinen Geschäftsbedingungen, ohne gesonderte Unterschrift.
• Unterschriebene Fassung: schreiben Sie an info@veturas.com mit dem Betreff „AVV“, und wir senden Ihnen ein PDF zur Unterschrift.
• Ihr eigener Vertrag: wenn Ihre Organisation einen eigenen AVV verwendet, senden Sie ihn uns. Wir prüfen ihn und unterschreiben ihn in den meisten Fällen.