Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) wird zwischen dem Kunden als Verantwortlichem und prompt IT Support e.U. (Inhaber Angelo Molinaro), Lerchengasse 2, 8435 Wagna, FN 684664i, als Auftragsverarbeiter („Anbieter") geschlossen. Er ist Anlage 1 der Allgemeinen Geschäftsbedingungen und wird mit deren Annahme Vertragsbestandteil.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Cloud-Software „Werkstattpilot24" einschließlich der Zusatz-App „Werkstattpilot24 Zeit", sofern der Kunde sie nutzt (Hosting, Betrieb, Wartung, Support und Datensicherung). Die Dauer entspricht der Laufzeit des Hauptvertrags; Punkt 10 (Löschung) bleibt darüber hinaus wirksam.

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Verarbeitung und Sicherung der vom Kunden in der Software erfassten Daten zum Zweck der Werkstattverwaltung (Kunden-, Fahrzeug-, Auftrags-, Beleg- und Kassenverwaltung, Einkauf, Bankabgleich, Compliance-Dokumentation, E-Mail-Versand von Belegen im Auftrag des Kunden) sowie der Personalplanung des Betriebs (Abwesenheiten im Terminkalender, mit der Zusatz-App Zeiterfassung von Arbeitszeiten, Zeitkonten und Urlaub).

Der Anbieter verarbeitet die Daten ausschließlich für diese Zwecke. Er nutzt sie nicht für eigene Zwecke, insbesondere nicht für Statistiken, Werbung oder das Training von KI-Modellen.

3. Datenkategorien und betroffene Personen

• Datenkategorien:
  • Stammdaten von Kunden des Betriebs (Name, Adresse, Kontaktdaten, UID) und Fahrzeugdaten (Kennzeichen, FIN, Zulassungsdaten, Halterdaten aus dem Zulassungsschein);
  • Auftrags-, Angebots-, Rechnungs- und Zahlungsdaten;
  • Kassendaten (Belege, Kassabuch, Tagesabschlüsse, Datenerfassungsprotokoll der Registrierkasse);
  • Bank- und Kontoauszugsdaten für den Bankabgleich, einschließlich Auftraggeber und Verwendungszweck;
  • Lieferanten und deren Ansprechpartner, Lieferscheine und Eingangsrechnungen;
  • Mitarbeiterdaten des Betriebs (Name, E-Mail, Rolle, Arbeitszeiten auf Aufträgen, Prüfpflichten und Unterweisungen, auf Wunsch Bruttolohn für die Liquiditätsvorschau);
  • Abwesenheiten der Mitarbeiter (Urlaub, Zeitausgleich, Krankenstand, sonstige Abwesenheiten, jeweils mit Zeitraum und optionaler Notiz). Angaben zum Krankenstand sind Gesundheitsdaten im Sinne von Art. 9 DSGVO; sie sind nur für Inhaber und Büro sichtbar, Mechaniker sehen lediglich „abwesend";
  • bei Nutzung der Zusatz-App Zeiterfassung zusätzlich: Arbeitszeiten (Kommen, Gehen, Pausen), Arbeitszeitmodelle, Zeitkonten und Salden, Urlaubsansprüche, Anträge und Freigaben, Korrekturen, Monatsabschlüsse sowie Kartencodes und PIN für Stempelterminals;
  • Freigabe- und Unterschriftsprotokolle, Notizen und Kommentare, Inhalte versendeter E-Mails, hochgeladene Dokumente;
  • Protokoll- und Nutzungsdaten (Änderungsprotokoll, Anmeldungen).
• Betroffene Personen: Kunden und Ansprechpartner des Betriebs, Fahrzeughalter, Mitarbeiter des Betriebs, Lieferanten und deren Ansprechpartner, Auftraggeber in Kontoauszügen.

4. Weisungsrecht

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden; das gilt auch für eine Übermittlung in ein Drittland. Als Weisungen gelten die Nutzung der Funktionen der Software sowie ergänzende Weisungen in Textform. Ist der Anbieter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er das dem Kunden vorher mit, sofern das Gesetz es nicht verbietet. Hält der Anbieter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (§ 6 DSG). Auf Daten des Kunden greift der Anbieter nur zu, soweit es für Betrieb, Wartung, Störungsbehebung oder eine Anfrage des Kunden nötig ist.

6. Technische und organisatorische Maßnahmen (TOM)

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Transportverschlüsselung (TLS) für sämtliche Verbindungen;
• Verschlüsselung besonders sensibler gespeicherter Geheimnisse (z. B. Zugangsdaten zu Signatur- und Schnittstellendiensten, 2FA-Secrets) nach Stand der Technik (AES-256-GCM);
• Passwort-Hashing, gehashte Sitzungs-Token, Begrenzung von Anmeldeversuchen, optionale Zwei-Faktor-Authentifizierung, automatische Sitzungsabmeldung, rollenbasiertes Berechtigungskonzept;
• Mandantentrennung auf Datenbankebene;
• Gesundheitsdaten (Krankenstand) nur für berechtigte Rollen (Inhaber, Büro bzw. Verwaltung der Zeiterfassung) sichtbar;
• laufende Datensicherung der Datenbank mit mehrstufiger Sicherung an einem zweiten Standort, Überwachung des Sicherungsalters und erprobte Wiederherstellung;
• Überwachung von Diensten, Speicherplatz und Fehlern; regelmäßige Sicherheitsupdates;
• Hosting in der Europäischen Union;
• manipulationssicheres Protokoll sicherheitsrelevanter Aktionen;
• regelmäßige Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen.

Der Anbieter darf die TOM an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

7. Subauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Subauftragsverarbeiter:

• digitalnova GmbH, Krottendorfer Strasse 9a/9, 8052 Graz (Österreich) — Hosting, Serverbetrieb, Datensicherung und Mailserver für System-E-Mails (EU).

Der Anbieter überträgt Subauftragsverarbeitern dieselben Datenschutzpflichten, die ihn nach diesem AVV treffen, und haftet dem Kunden für deren Einhaltung wie für eigenes Handeln. Auf Anfrage stellt er dem Kunden die maßgeblichen Vertragsteile zur Verfügung.

Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Anbieter den Kunden mindestens 30 Tage im Voraus per E-Mail. Der Kunde kann bis dahin widersprechen. Hält der Anbieter an der Änderung fest, kann der Kunde den Hauptvertrag mit Wirkung zum Einsatz des neuen Subauftragsverarbeiters kündigen; im Voraus bezahlte Entgelte werden anteilig erstattet.

Nicht Teil dieses AVV sind Dienste, die der Kunde eigenständig in der Software aktiviert und für die er selbst Vertragspartner ist — z. B. Cloud-Texterkennung mit eigenem Schlüssel, E-Mail-Versand über den eigenen Provider, Lieferanten-Anbindungen sowie Signaturdienste der Registrierkasse (A-Trust als Vertrauensdiensteanbieter, fiskaly oder fiskaltrust mit eigenen Zugangsdaten des Kunden). Meldungen an FinanzOnline erfolgen aufgrund gesetzlicher Pflicht des Kunden. Ebenfalls nicht umfasst ist die Verarbeitung der Vertrags- und Abrechnungsdaten des Kunden selbst (z. B. durch Stripe); dafür ist der Anbieter Verantwortlicher (siehe Datenschutzerklärung).

8. Unterstützungspflichten

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO, u. a. durch Export-, Lösch- und Anonymisierungsfunktionen der Software) sowie bei den Pflichten nach Art. 32–36 DSGVO, einschließlich einer Datenschutz-Folgenabschätzung, soweit ihm dies möglich ist. Wenden sich Betroffene direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter. Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

9. Meldung von Verletzungen

Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich, spätestens binnen 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Was noch nicht bekannt ist, liefert der Anbieter nach, sobald es vorliegt.

10. Löschung und Rückgabe

Nach Ende des Hauptvertrags gibt der Anbieter die Daten nach Wahl des Kunden zurück (Export nach Punkt 6.3 bis 6.5 der AGB) oder löscht sie. Datensicherungen werden im regulären Sicherungszyklus überschrieben. Die Löschung bestätigt der Anbieter auf Wunsch in Textform. Das gilt nicht, soweit gesetzliche Aufbewahrungspflichten des Anbieters entgegenstehen.

11. Nachweis und Kontrolle

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung (insbesondere Beschreibung der TOM und Nachweise der Subauftragsverarbeiter). Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen einschließlich Inspektionen vor Ort durchführen. Diese sind mindestens 14 Tage vorher anzukündigen, bei konkretem Anlass auch kurzfristiger, und finden während üblicher Geschäftszeiten ohne unnötige Störung des Betriebs statt. Für das Rechenzentrum genügen in der Regel die Nachweise des Subauftragsverarbeiters. Jede Seite trägt ihre eigenen Kosten.

12. Anfragen von Behörden

Verlangt eine Behörde Zugang zu Daten des Kunden, informiert der Anbieter den Kunden unverzüglich, sofern dies nicht gesetzlich verboten ist, und gibt nur heraus, wozu er rechtlich verpflichtet ist.

13. Verstöße

Verstößt der Anbieter gegen diesen AVV, kann der Kunde verlangen, dass die Verarbeitung bis zur Behebung ausgesetzt wird. Bei schweren oder andauernden Verstößen kann der Kunde den Hauptvertrag aus wichtigem Grund kündigen.

14. Haftung

Für die Haftung gilt Punkt 8 der AGB; Art. 82 DSGVO bleibt unberührt.