Vertragsparteien
Auftragsverarbeiter: Lukas Dombert, Erich-Kästner-Straße 6a, 65232 Taunusstein (Anbieter der Software „Fahrschul-Planer", nachfolgend „Auftragsverarbeiter")
Verantwortlicher: Die bei der Registrierung unter /register angegebene Fahrschule (nachfolgend „Verantwortlicher" oder „Kunde")
Dieser Vertrag wird durch das Setzen des Häkchens „Ich akzeptiere … den Auftragsverarbeitungsvertrag (AVV)" im Registrierungsformular wirksam geschlossen und ergänzt die Allgemeinen Geschäftsbedingungen des Anbieters.
§ 1 Gegenstand und Dauer
Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten von Fahrlehrern, Mitarbeitern und Fahrschülern des Verantwortlichen durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software „Fahrschul-Planer" (App und Web-Dashboard).
Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags (Abonnement bzw. Lifetime-Zugang) zwischen den Parteien.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zu folgenden Zwecken:
- Verwaltung von Fahrstunden, Terminen und Verfügbarkeiten
- Automatische Stundenplanung
- Versand von Push-Benachrichtigungen
- Verwaltung von Preislisten, Abrechnungen und Zahlungssalden zwischen Fahrschule und Fahrschüler
- Optionale Synchronisation mit dem Gerätekalender
- Speicherung und Hosting der Daten in der App-Datenbank (Firebase/Google Cloud)
§ 3 Kategorien betroffener Personen und Daten
Betroffene Personen: Fahrlehrer, Mitarbeiter (Manager/Staff) und Fahrschüler des Verantwortlichen.
Datenkategorien: Name, E-Mail-Adresse, Telefonnummer (optional), Wohnadresse (optional), Geburtsdatum, Verfügbarkeiten/Termine, Ausbildungsfortschritt, Zahlungs- und Abrechnungsdaten (Preislisten, Zahlungen, offene Salden – keine Kartendaten), Push-Notification-Token, optional Kalender-Referenz-IDs.
§ 4 Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung an Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten dazu verpflichtet ist. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
Die Konfiguration und der Funktionsumfang der Software (z. B. aktivierte Module je Tarif) gelten als generelle Weisung des Verantwortlichen im Rahmen des Hauptvertrags.
§ 5 Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass die mit der Verarbeitung der Daten befassten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 6 Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, und passt diese bei Bedarf an den Stand der Technik an.
§ 7 Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter durch den Auftragsverarbeiter zu:
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Google LLC / Firebase (Google Cloud) | Hosting, Datenbank (Firestore), Authentifizierung, Push-Benachrichtigungen | EU (Region europe-west3, Frankfurt) |
| Stripe (Stripe Payments Europe, Ltd. / Stripe, Inc.) | Zahlungsabwicklung des Abonnements | Irland (EU) / USA – auf Grundlage von EU-Standardvertragsklauseln |
| Vercel Inc. | Hosting der Web-Anwendung (Landingpage, Dashboard) | EU/USA – auf Grundlage von EU-Standardvertragsklauseln |
| IONOS SE | Domain-Registrierung/DNS, Hosting geschäftlicher E-Mail-Postfächer | Deutschland (EU) |
Der Auftragsverarbeiter informiert den Verantwortlichen über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter, sodass der Verantwortliche die Möglichkeit hat, Einspruch zu erheben.
§ 8 Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 15–22 DSGVO) sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (u. a. Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung).
§ 9 Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt ihn bei der Erfüllung etwaiger Meldepflichten gegenüber Aufsichtsbehörden und Betroffenen.
§ 10 Löschung und Rückgabe
Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, oder gibt sie auf Wunsch zurück, sofern nicht eine gesetzliche Verpflichtung zur weiteren Speicherung besteht (z. B. handels- und steuerrechtliche Aufbewahrungsfristen für Rechnungsdaten, § 147 AO).
§ 11 Kontroll- und Nachweisrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag niedergelegten Pflichten zur Verfügung und ermöglicht in zumutbarem Rahmen Überprüfungen, einschließlich Inspektionen.
§ 12 Haftung
Es gelten die Haftungsregelungen aus Art. 82 DSGVO sowie ergänzend die Haftungsbeschränkungen der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters, soweit gesetzlich zulässig.
§ 13 Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Anlage 1: Technische und organisatorische Maßnahmen (Zusammenfassung)
- Verschlüsselte Datenübertragung (TLS) zwischen App/Web und Servern
- Zugriffskontrollen über rollenbasierte Berechtigungen (admin/manager/staff/instructor/student) und Firestore-Sicherheitsregeln
- Speicherung der Daten innerhalb der EU (Firebase-Region europe-west3, Frankfurt)
- Verschlüsselte Speicherung von Passwörtern (Firebase Authentication)
- Regelmäßige Aktualisierung der eingesetzten Software-Abhängigkeiten
- Beschränkung des administrativen Zugriffs auf den Auftragsverarbeiter selbst
Diese Zusammenfassung kann auf Anfrage des Verantwortlichen detailliert ausgeführt werden.