Vereinbarung zur Auftragsverarbeitung (AVV)

Vertragsparteien und abgegrenzter Auftrag

Auftragsverarbeiter ist DM Management, Inhaber David Mißberger, Krautgärten 12, 76744 Wörth am Rhein, USt-IdNr. DE351102842. Kontakt: support@qontrakt.de.

Verantwortlicher ist der im elektronischen Abschluss benannte Betrieb mit seiner gespeicherten Firmierung und Anschrift. Die elektronisch bestätigte Fassung einschließlich der Anlagen wird mit Organisation, erklärender Person, Version und Zeitpunkt dokumentiert. Diese Vereinbarung ergänzt den Plattformvertrag nur insoweit, wie DM Management personenbezogene Daten ausschließlich auf dokumentierte Weisung des Betriebs verarbeitet.

Erfasst sind die geschützte technische Speicherung und Bearbeitung noch nicht zur eigenverantwortlichen Reparaturabwicklung übergebener Fallentwürfe, das dazugehörige Dokumentenhosting, technisch notwendiger Support und Datenexport. Nicht erfasst sind eigene Betriebsprüfung, eigene Kunden-/Partnerverträge, eigene Forderungen und gesetzliche Pflichten von DM Management oder die eigenverantwortliche Durchführung von Reparaturaufträgen. Hierfür gelten die tatsächlichen datenschutzrechtlichen Verantwortlichkeiten und die Datenschutzerklärung.

Gegenstand, Dauer und Daten

Die Verarbeitung dauert für die Nutzung der genannten Softwarefunktionen einschließlich geordneter Rückgabe und Löschung. Betroffene Personen können Kunden, berechtigte Fahrzeugnutzer, Ansprechpartner und Mitarbeiter sein. Verarbeitet werden Identifikations-/Kontaktdaten, Fahrzeug- und Falldaten, Fotos, Dokumente, Kommunikations- und Zugriffsmetadaten. Besondere Kategorien personenbezogener Daten sind für diesen Auftrag nicht vorgesehen und dürfen nicht ohne gesonderte Vereinbarung eingestellt werden.

Zulässige Vorgänge sind Erheben im Auftrag, Strukturieren, Speichern, Anzeigen, Übermitteln an ausdrücklich freigegebene Empfänger, Sichern, Wiederherstellen, Exportieren und Löschen. Eine Nutzung für fremde Werbung, Adresshandel oder Training eigener KI-Modelle ist nicht beauftragt.

Weisungen und Vertraulichkeit

Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel seines Auftrags und erteilt Weisungen elektronisch über die Plattform oder in nachvollziehbarer Textform. DM Management verarbeitet Auftragsdaten nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht. Eine solche Pflicht wird dem Verantwortlichen vor der Verarbeitung mitgeteilt, sofern dies rechtlich zulässig ist. Erscheint eine Weisung datenschutzwidrig, informiert DM Management unverzüglich und setzt den betroffenen Teil bis zur Klärung aus.

Zugriffsberechtigte Personen werden zur Vertraulichkeit verpflichtet und erhalten nur die notwendigen Berechtigungen. Der Verantwortliche benennt seine berechtigten Nutzer und verwaltet deren Firmenrechte. Gemeinsame Benutzerkonten sind nicht vorgesehen.

Sicherheit und Unterstützung

Die technischen und organisatorischen Maßnahmen in der Anlage TOM sind Bestandteil dieser Vereinbarung. Ihr Schutzniveau wird bei Weiterentwicklung mindestens gleichwertig erhalten. Sicherheitsmaßnahmen werden anhand des Risikos überprüft. Eine Behebung wesentlicher Sicherheitsmängel und ein nachvollziehbarer Wiederanlauf haben Vorrang vor neuen Funktionen.

DM Management unterstützt den Verantwortlichen im erforderlichen und zumutbaren Umfang bei Betroffenenrechten, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und Konsultationen. Anfragen betroffener Personen zu Auftragsdaten werden unverzüglich weitergeleitet und nicht eigenmächtig inhaltlich entschieden. Verletzungen des Schutzes personenbezogener Auftragsdaten werden dem Verantwortlichen ohne unangemessene Verzögerung mit den verfügbaren Informationen und fortlaufenden Ergänzungen mitgeteilt.

Unterauftragnehmer und Übermittlungen

Der Verantwortliche genehmigt die in der Anlage Unterauftragnehmer bezeichneten Dienstleister allgemein. DM Management verpflichtet weitere Auftragsverarbeiter zu mindestens gleichwertigen Datenschutzpflichten und bleibt für deren beauftragte Leistung verantwortlich. Über beabsichtigte wesentliche Hinzunahmen oder Ersetzungen informiert DM Management grundsätzlich mindestens 14 Tage vorher in Textform. Ein begründeter datenschutzrechtlicher Widerspruch wird geprüft; es wird eine zumutbare Lösung beziehungsweise geordnete Beendigung des betroffenen Leistungsteils vereinbart. Bei zwingenden Sicherheitsänderungen erfolgt die Information unverzüglich.

Verarbeitung außerhalb des EWR erfolgt nur unter einer tragfähigen Grundlage nach Kapitel V DSGVO, insbesondere erforderlichen Standardvertragsklauseln und ergänzenden Maßnahmen. Eine gewählte EU-Datenbankregion wird nicht als Zusage ausschließlich europäischer Support- oder Infrastrukturzugriffe verstanden. Tatsächliche Projektregion und Dienstleisterverträge werden im Betreiberkonto dokumentiert.

Nachweise und Kontrolle

DM Management stellt die erforderlichen Nachweise über die Einhaltung dieser Vereinbarung zur Verfügung und ermöglicht angemessene Kontrollen durch den Verantwortlichen oder einen zur Vertraulichkeit verpflichteten Prüfer. Vorrangig können geeignete Dokumente, Berichte und Remote-Nachweise verwendet werden. Anlass, Umfang, Schutz anderer Mandanten und ein angemessener Termin werden berücksichtigt. Gesetzliche Kontrollrechte werden nicht ausgeschlossen.

Rückgabe, Löschung und Ende

Nach Ende der beauftragten Leistungen werden Auftragsdaten nach Wahl des Verantwortlichen in einem gebräuchlichen Format zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrung entgegensteht. Erforderliche Aufbewahrungsdaten werden für diesen Zweck gesperrt und nicht anderweitig verwendet. Technisch unvermeidbare Sicherungskopien werden in den dokumentierten Sicherungszyklen überschrieben und bleiben bis dahin geschützt.

Die Rückgabe umfasst strukturierte Daten und die zugehörigen verfügbaren Originaldateien; ein Plattformkonto muss nicht allein zur Aufbewahrung gesetzlicher Belege aktiv bleiben. Die Löschung eines Kontos beseitigt keine gesetzlichen Aufbewahrungspflichten und keine berechtigten Ansprüche.

Anlagen und Vorrang

Bestandteile sind die Anlagen TOM und Unterauftragnehmer sowie die im Abschluss gespeicherte konkrete Organisation. Bei Widersprüchen gehen datenschutzrechtliche Pflichten für den bezeichneten Verarbeitungsauftrag vor. Änderungen des Auftrags und wesentliche Sicherheitsänderungen werden dokumentiert. Diese AVV ersetzt keine Vereinbarung über gemeinsame Verantwortlichkeit, wenn deren tatsächliche Voraussetzungen vorliegen.