Der Fahrradhändler / Werkstattbetreiber, der sich über das Registrierungsformular auf samorad.de angemeldet hat.
– nachfolgend „Verantwortlicher" oder „Auftraggeber" –
Armin Imamovic · Einzelunternehmer
E-Mail: info@samorad.de
– nachfolgend „Auftragsverarbeiter" oder „samoRad" –
Der Verantwortliche nutzt auf Grundlage des Lizenzvertrags die SaaS-Plattform „samoRad". Im Rahmen dieser Leistung verarbeitet der Auftragsverarbeiter personenbezogene Daten (insbesondere Endkunden-Buchungsdaten und Kundenstammdaten der Werkstatt) im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten gemäß Art. 28 DSGVO.
Die Verarbeitung erfolgt im Rahmen der Bereitstellung der SaaS-Plattform samoRad, insbesondere zur:
Die Verarbeitung beginnt mit der erstmaligen Nutzung der Plattform und endet mit Beendigung des Lizenzvertrages (zuzüglich der in § 11 geregelten Löschfristen).
(1) Endkundendaten:
(2) Mitarbeiterdaten des Verantwortlichen: Name, Benutzername, gehashte Passwörter, Rolle/Berechtigungen, Login-Zeitpunkte, IP-Adresse, Audit-Log-Einträge.
Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden grundsätzlich nicht verarbeitet.
(1) Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen sind grundsätzlich in Textform (per E-Mail an info@samorad.de) zu erteilen.
(3) Vertraulichkeit: Der Auftragsverarbeiter verpflichtet sämtliche zur Verarbeitung berechtigten Personen schriftlich zur Vertraulichkeit.
(4) Technisch-organisatorische Maßnahmen: Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen (siehe § 7).
(5) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12 ff. DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO.
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung von Sub-Auftragsverarbeitern gemäß Art. 28 Abs. 2 Satz 2 DSGVO.
Aktuelle Sub-Auftragsverarbeiter:
| Name | Sitz | Zweck | Datenstandort |
|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Hosting (Server, Datenbanken, Backups) | Deutschland |
| E-Mail-Dienstleister (tbd) | Deutschland / EU | Versand transaktionaler E-Mails | EU |
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor Hinzuziehung eines neuen Sub-Auftragsverarbeiters. Eine Datenübermittlung in Drittländer findet derzeit nicht statt.
Der Verantwortliche stellt insbesondere sicher, dass für die Verarbeitung eine Rechtsgrundlage besteht, die betroffenen Personen ordnungsgemäß informiert werden (Art. 13, 14 DSGVO), erforderliche Einwilligungen eingeholt werden und das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) eigenständig geführt wird.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Auskunftsrecht (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).
Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden innerhalb von 5 Werktagen an den Verantwortlichen weitergeleitet.
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung in Textform — mit Beschreibung der Art der Verletzung, betroffenen Datenkategorien, wahrscheinlichen Folgen und ergriffenen Maßnahmen.
Der Auftragsverarbeiter und seine Beschäftigten dürfen die im Rahmen dieses Vertrages bekanntgewordenen personenbezogenen Daten nur im Rahmen der Weisungen des Verantwortlichen verwenden. Die Vertraulichkeitspflicht besteht über das Vertragsende hinaus fort.
Nach Vertragsende werden sämtliche personenbezogene Daten nach Wahl des Verantwortlichen (Frist: 14 Tage vor Vertragsende in Textform) entweder als strukturierter Export herausgegeben oder gelöscht. Ohne Wahl erfolgt die Löschung 30 Tage nach Vertragsende. Backups werden gemäß 60-Tage-Rolling-Konzept automatisch überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Lizenzvertrags (§ 8 Lizenzvertrag) entsprechend, soweit zwingende gesetzliche Vorschriften nicht entgegenstehen.
Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist der Geschäftssitz des Auftragsverarbeiters.
Im Konfliktfall gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV gegenüber dem Lizenzvertrag vor. Änderungen bedürfen der Textform.
Anlagen: Anlage 1: Liste der genehmigten Sub-Auftragsverarbeiter (§ 5 Abs. 2) · Anlage 2: TOM (§ 7)