Auftragsverarbeitungsvertrag

1. Parteien und Vertragsschluss

Verantwortlicher: der Kunde, der ein FrameCRM-Abonnement abgeschlossen hat (der „Verantwortliche“).

Auftragsverarbeiter: Pavlo Okhmak, Einzelunternehmer (gewerbetreibende natürliche Person), eingetragen im tschechischen Gewerberegister, Identifikationsnummer (IČO) 29485941, mit Sitz (Ort der Geschäftstätigkeit) Bezručova 4201, 430 03 Chomutov, Tschechische Republik, nicht als Umsatzsteuerzahler registriert (der „Auftragsverarbeiter“).

Dieser Auftragsverarbeitungsvertrag (der „AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen. Der Verantwortliche nimmt ihn durch Bestätigung seiner Zustimmung bei der Registrierung für FrameCRM an; eine Unterschrift ist nicht erforderlich. Der AVV erfüllt das Erfordernis eines Vertrags nach Art. 28(3) der Verordnung (EU) 2016/679 (DSGVO).

Verbindlich ist die tschechische Fassung dieses AVV. Dieser deutsche Text ist eine Übersetzung, die ausschließlich der Information dient; im Falle von Abweichungen hat die tschechische Fassung Vorrang. In Fragen des Schutzes personenbezogener Daten hat der AVV Vorrang vor den Allgemeinen Geschäftsbedingungen.

2. Gegenstand, Dauer, Art und Zweck

• Gegenstand: Verarbeitung personenbezogener Daten, die der Verantwortliche oder seine Nutzer in FrameCRM eingeben.
• Dauer: für die Laufzeit des Abonnements und danach bis zur Löschung der Daten gemäß Artikel 10.
• Art der Verarbeitung: Erhebung (einschließlich Anfragen und Buchungen über die Website oder das Online-Buchungsformular des Verantwortlichen, sofern genutzt), Speicherung, Organisation, Anzeige, Suche, Änderung, Export, Vorbereitung von Erinnerungen und Nachrichten, die die Nutzer des Verantwortlichen selbst an Kunden senden (z. B. über einen WhatsApp-Link), Benachrichtigungen an die Nutzer des Verantwortlichen (über Telegram, sofern vom Verantwortlichen aktiviert), Ausstellung von Dokumenten wie Rechnungen, Sicherung und Löschung.
• Zweck: Erbringung des Dienstes FrameCRM — Verwaltung der Kunden, Fahrzeuge, Aufträge, des Kalenders, der Erinnerungen, Bewertungen, Rechnungen, des Lagers, der Lohnabrechnung und der Statistiken des Verantwortlichen.

3. Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen: Kunden und Interessenten des Verantwortlichen, deren Kontaktpersonen, Beschäftigte und sonstige Nutzer des Verantwortlichen.

Datenkategorien:

• Identifikations- und Kontaktdaten (Name, Telefon, E-Mail, Anschrift);
• Fahrzeugdaten (Marke, Modell, amtliches Kennzeichen, FIN, Kilometerstand);
• Auftragshistorie, Termine, Preise und Zahlungsaufzeichnungen, Notizen;
• Rechnungsdaten (Rechnungsname, Anschrift, Identifikationsnummer / USt-IdNr.);
• Fotos (vor allem von Fahrzeugen), die auch andere personenbezogene Daten enthalten können;
• Kommunikation mit Kunden und Bewertungen;
• Daten der Nutzer des Verantwortlichen (Name, E-Mail, Telefon, Rolle, Anmeldeprotokolle, Aktivitätsprotokoll) und, sofern der Verantwortliche die Lohnabrechnung nutzt, deren Vergütungsregeln, Verdienste und Auszahlungen.

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen ist nicht vorgesehen; der Verantwortliche gibt solche Daten nicht in FrameCRM ein.

4. Pflichten des Verantwortlichen

Der Verantwortliche ist dafür verantwortlich, dass für die Verarbeitung eine Rechtsgrundlage besteht, dass die betroffenen Personen ordnungsgemäß informiert werden, dass die eingegebenen Daten richtig sind und dass seine Weisungen an den Auftragsverarbeiter rechtmäßig sind. Der Verantwortliche schützt die Zugangsdaten seiner Nutzer.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

• verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen — als solche Weisungen gelten die Allgemeinen Geschäftsbedingungen, dieser AVV sowie die Einstellungen und Handlungen des Verantwortlichen in der Anwendung —, auch in Bezug auf Übermittlungen in Drittländer; ist er der Auffassung, dass eine Weisung rechtswidrig ist, informiert er den Verantwortlichen unverzüglich;
• gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben;
• trifft technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (Artikel 7);
• hält die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter ein (Artikel 6);
• unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen — insbesondere durch Funktionen der Anwendung zum Auffinden, Berichtigen, Exportieren und Löschen von Daten;
• unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO;
• löscht die Daten nach Beendigung des Dienstes oder gibt sie zurück (Artikel 10);
• stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Artikel 11);
• verwendet die Daten des Verantwortlichen nicht für eigene Zwecke.

6. Weitere Auftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter. Zum Zeitpunkt des Inkrafttretens dieses AVV sind dies:

Zahlungen für das Abonnement werden von Stripe abgewickelt; Stripe verarbeitet jedoch keine personenbezogenen Daten der Kunden des Verantwortlichen.

Nachrichten an Kunden über WhatsApp senden die Nutzer des Verantwortlichen aus ihrer eigenen WhatsApp-App (Click-to-Chat-Link); WhatsApp (Meta) ist daher kein weiterer Auftragsverarbeiter des Auftragsverarbeiters, und die Nutzung von WhatsApp durch den Verantwortlichen richtet sich nach dessen eigenem Verhältnis zu Meta. Wenn ein Nutzer eine FIN entschlüsselt, wird nur die FIN (ohne weitere Daten) an die kostenlose öffentliche Datenbank NHTSA vPIC (U.S. Department of Transportation) gesendet, um Marke und Modell zu ermitteln; Adressen von Studios können in OpenStreetMap (Nominatim) gesucht werden.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters. Der Verantwortliche kann aus berechtigten Gründen des Datenschutzes Einspruch erheben; finden die Parteien keine Lösung, kann der Verantwortliche das Abonnement mit Wirkung zum Tag der Änderung kündigen. Der Auftragsverarbeiter erlegt seinen weiteren Auftragsverarbeitern dieselben Datenschutzpflichten auf und haftet für deren Erfüllung.

Übermittlungen in Drittländer erfolgen nur mit Garantien nach Kapitel V DSGVO (Angemessenheitsbeschlüsse, Standardvertragsklauseln).

7. Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung (HTTPS/TLS) und Verschlüsselung der gespeicherten Daten durch den Datenbankanbieter;
• Anmeldung mit Passwörtern oder einmaligen Anmeldelinks (zeitlich begrenzt gültig), sichere Sitzungen, Benutzerrollen und Berechtigungen innerhalb des Kontos;
• logische Trennung der Daten der einzelnen Kunden;
• Zugriff des Auftragsverarbeiters auf Produktionsdaten nur im erforderlichen Umfang (Support, Fehlerbehebung), geschützt durch starke Authentifizierung;
• regelmäßige Sicherungen beim Datenbankanbieter mit Wiederherstellungsmöglichkeit;
• laufende Aktualisierung von Software und Abhängigkeiten, Verwaltung von Geheimnissen außerhalb des Quellcodes;
• Protokollierung von Vorgängen und Sicherheitsereignissen;
• Datenminimierung — an die Analyse werden keine personenbezogenen Daten von Kunden übermittelt;
• ein Verfahren zur Reaktion auf Sicherheitsvorfälle.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt geworden ist. Die Meldung enthält die dem Auftragsverarbeiter vorliegenden Informationen nach Art. 33(3) DSGVO und wird ergänzt, sobald weitere Informationen verfügbar sind. Der Auftragsverarbeiter ergreift angemessene Maßnahmen, um die Folgen abzumildern.

9. Anträge betroffener Personen

Erhält der Auftragsverarbeiter einen Antrag einer betroffenen Person, der Daten des Verantwortlichen betrifft, leitet er ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche hat ihn dazu ermächtigt.

10. Löschung und Rückgabe der Daten

Während des Abonnements kann der Verantwortliche die Daten jederzeit exportieren und löschen. Nach Ende des Abonnements bewahrt der Auftragsverarbeiter die Daten 90 Tage lang auf; in dieser Zeit kann der Verantwortliche sie in einem maschinenlesbaren Format anfordern. Danach löscht der Auftragsverarbeiter die Daten endgültig; Kopien in Sicherungen verfallen im Rahmen der Sicherungsrotation spätestens innerhalb weiterer 30 Tage. Dies gilt nicht, soweit eine Aufbewahrung gesetzlich vorgeschrieben ist.

11. Informationen und Überprüfungen

Auf Anfrage stellt der Auftragsverarbeiter dem Verantwortlichen die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung, in der Regel in Form schriftlicher Antworten und Unterlagen. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann mit einer Vorankündigung von mindestens 30 Tagen höchstens einmal jährlich (außer bei der Untersuchung einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde) auf Kosten des Verantwortlichen eine Überprüfung oder Inspektion vor Ort durchführen.

12. Haftung und Schlussbestimmungen

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und im Übrigen nach den Allgemeinen Geschäftsbedingungen. Dieser AVV bleibt in Kraft, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet. Er unterliegt dem Recht der Tschechischen Republik.

Kontakt in Datenschutzangelegenheiten: info@frame-webs.com.