Vertrag zur Auftragsverarbeitung

Vertragsparteien

§ 1 Gegenstand und Dauer der Verarbeitung

1. Gegenstand: Der AN verarbeitet personenbezogene Daten im Auftrag des AG im Rahmen der Bereitstellung und des Betriebs der SaaS-Anwendung „Flario".
2. Art und Zweck der Verarbeitung: Speicherung, Änderung, Übermittlung, Löschung, Wiederherstellung und sonstige Nutzung personenbezogener Daten zum Zweck der Verwaltung des Fahrschul- bzw. Ausbildungsbetriebs des AG (Teilnehmer-, Kurs-, Termin-, Rechnungs-, Kommunikations- und Dokumentenverwaltung).
3. Art der personenbezogenen Daten:
   • Stammdaten (Name, Anschrift, Kontaktdaten, Geburtsdatum, Geschlecht)
   • Vertrags- und Zahlungsdaten (Rechnungen, Zahlungshistorie, IBAN, SEPA-Mandate)
   • Ausbildungsdaten (Kursanmeldungen, Anwesenheiten, Prüfungsergebnisse, Bescheinigungen, Fahrlehrerlaubnisse, Fahrerlaubnisse)
   • Personalausweis- und Führerschein-Scans (soweit für den Betrieb erforderlich)
   • Kommunikationsdaten (E-Mails, Nachrichten, Portal-Chat)
   • Zugangs- und Nutzungsdaten (Login-Zeitpunkte, Audit-Log)
   • ggf. GPS-Daten aus Praxistrainings (nur mit Einwilligung des Betroffenen)
4. Kategorien betroffener Personen: Teilnehmer, Auszubildende Fahrlehrer, Fahrschüler, Dozenten, angestellte Mitarbeiter, Firmenkunden des AG.
5. Dauer: Der AVV gilt für die Laufzeit des Hauptvertrages über die Nutzung der Software.

§ 2 Weisungsrechte des Auftraggebers

1. Der AN verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der Weisungen des AG. Weisungen erfolgen grundsätzlich in Textform (E-Mail genügt).
2. Der AG ist berechtigt, den Umfang der Verarbeitung durch weitergehende Weisungen anzupassen. Zusätzliche Weisungen, die einen erheblichen Mehraufwand bedeuten, können vom AN nach vorheriger Ankündigung zusätzlich vergütet werden.
3. Der AN informiert den AG unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt.

§ 3 Vertraulichkeit und Sorgfaltspflichten

1. Der AN verpflichtet seine mit der Verarbeitung befassten Beschäftigten schriftlich auf das Datengeheimnis nach Art. 28 Abs. 3 lit. b, Art. 29 DSGVO.
2. Die zur Verarbeitung eingesetzten Personen werden entsprechend geschult und über die datenschutzrechtlichen Pflichten informiert.
3. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung des Vertrages fort.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der AN trifft die in Anlage 1 dieses Vertrages beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko der Verarbeitung angemessenes Schutzniveau zu gewährleisten. Er ist berechtigt, alternative angemessene Maßnahmen zu ergreifen; das Sicherheitsniveau darf sich hierdurch nicht verringern.

Zusammenfassung der wesentlichen Maßnahmen:

• Vertraulichkeit: Zugangskontrolle (Passwort + 2FA für Administratoren), Zugriffskontrolle (Rollen- und Rechtekonzept, Audit-Log), TLS-Verschlüsselung sämtlicher Verbindungen (HTTPS), verschlüsselte Speicherung sensibler Konfigurationsdaten (Fernet).
• Integrität: Prüfung sämtlicher Datei-Uploads gegen Schadcode (ClamAV), Path-Traversal-Schutz, Content-Security-Policy, DOMPurify für benutzergenerierte HTML-Inhalte.
• Verfügbarkeit: Tägliche Datenbank-Backups (14 Tage Retention), tägliche Datei-Backups (7 Tage Retention), wöchentlicher automatischer Restore-Test.
• Belastbarkeit: Serverstandort Deutschland/EU, HTTPS mit HSTS, Refresh-Token-Rotation mit Reuse-Detection, Account-Lock nach 5 Fehlversuchen.
• Verfahren zur Überprüfung: Audit-Log aller schreibenden Zugriffe und aller Zugriffe auf sensible Daten, Datenschutzeinstellungen im Kundenzugang einsehbar.

§ 5 Unterauftragsverhältnisse

1. Der AG erteilt hiermit die allgemeine Genehmigung zur Beauftragung nachfolgend genannter Unterauftragsverarbeiter:

   Unterauftragsverarbeiter	Zweck	Standort
   Hosting-Anbieter (deutscher Cloud-Provider)	Server- und Datenbankbetrieb	Deutschland
   SMTP-Anbieter	E-Mail-Versand (Zugangsdaten, Erinnerungen, Rechnungen)	Deutschland/EU
   OpenAI (nur wenn KI-Feature durch AG aktiviert)	Sprach-Transkription für Berichtsheft/Bewertungen	USA (Standardvertragsklauseln)
   Anthropic (nur wenn KI-Feature durch AG aktiviert)	KI-gestützte Textanalyse	USA (Standardvertragsklauseln)

2. Über beabsichtigte Änderungen (Wechsel oder Hinzunahme weiterer Unterauftragsverarbeiter) informiert der AN den AG mindestens 4 Wochen vor der Änderung. Der AG kann Widerspruch aus wichtigem Grund einlegen. Bei berechtigtem Widerspruch, den die Parteien nicht einvernehmlich beilegen, hat der AG ein außerordentliches Kündigungsrecht.
3. Der AN stellt sicher, dass der Unterauftragsverarbeiter mindestens die im vorliegenden AVV vereinbarten Pflichten schriftlich übernimmt.

§ 6 Rechte betroffener Personen

1. Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) richten sich grundsätzlich an den AG als Verantwortlichen.
2. Wendet sich eine betroffene Person direkt an den AN, leitet der AN die Anfrage unverzüglich an den AG weiter.
3. Der AN unterstützt den AG bei der Beantwortung solcher Anfragen im Rahmen seiner technischen Möglichkeiten. Aufwände über das übliche Maß hinaus können nach Aufwand berechnet werden.

§ 7 Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten

1. Der AN meldet dem AG jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung.
2. Die Meldung enthält, soweit möglich: Beschreibung der Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, mögliche Folgen, ergriffene bzw. vorgeschlagene Maßnahmen.
3. Der AN unterstützt den AG bei der Erfüllung seiner Meldepflichten nach Art. 33 und 34 DSGVO.

§ 8 Kontrollrechte des Auftraggebers

1. Der AG hat das Recht, sich vor Aufnahme der Datenverarbeitung und danach regelmäßig von der Einhaltung der beim AN getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
2. Die Kontrolle kann erfolgen durch:
   • Anforderung schriftlicher Auskünfte (bevorzugt)
   • Vorlage anerkannter Zertifikate oder Audit-Berichte
   • im begründeten Einzelfall Vor-Ort-Kontrollen nach angemessener Vorankündigung (mindestens 4 Wochen)
3. Vor-Ort-Kontrollen sind auf das absolut Notwendige zu beschränken. Der Aufwand kann in Rechnung gestellt werden, es sei denn, die Kontrolle deckt einen datenschutzrechtlichen Verstoß auf.

§ 9 Rückgabe und Löschung nach Vertragsende

1. Nach Beendigung der Datenverarbeitung stellt der AN dem AG alle im Zusammenhang mit dem Auftrag verarbeiteten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung.
2. Der AG ruft die Daten innerhalb von 30 Tagen nach Vertragsende über die integrierte Export-Funktion ab.
3. Nach Ablauf dieser Frist löscht der AN sämtliche personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Anfrage bestätigt.
4. Backups, die die Daten enthalten, werden im Rahmen der regulären Retention-Zyklen (14 Tage DB, 7 Tage Uploads) gelöscht.

§ 10 Haftung

Für die Haftung der Vertragsparteien gelten die Bestimmungen des Art. 82 DSGVO. Ergänzend gelten die Haftungsregelungen der AGB des Hauptvertrages.

§ 11 Schlussbestimmungen

1. Sollten einzelne Teile dieses AVV unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.
2. Bei Widersprüchen zwischen diesem AVV und Regelungen des Hauptvertrages haben die Regelungen dieses AVV in Bezug auf die Datenschutzpflichten Vorrang.
3. Änderungen und Ergänzungen dieses AVV bedürfen der Textform.
4. Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist der Sitz des AN, soweit gesetzlich zulässig.

Urheberrecht und Nutzungsvorbehalt

Sämtliche Inhalte dieser Website sind urheberrechtlich geschützt. Jede Nutzung, Vervielfältigung, Verarbeitung, Bearbeitung oder öffentliche Zugänglichmachung — analog oder digital, ganz oder in Auszügen, für private, kommerzielle, wissenschaftliche oder sonstige Zwecke — ist ohne vorherige schriftliche Zustimmung der Appvanta GmbH untersagt.

Dies gilt insbesondere auch für das automatisierte Auslesen (Scraping, Crawling) und die Nutzung zum Text- und Data-Mining oder zum Training von KI- bzw. Machine-Learning-Modellen — hiermit wird ein maschinenlesbarer Nutzungsvorbehalt gemäß § 44b Abs. 3 UrhG erklärt.

→ Vollständige Regelung im Impressum