Auftragsverarbeitung (AVV)

1. Parteien und Abschluss

Verantwortliche: die tirescan nutzende Werkstatt (Kontoinhaberin). Auftragsverarbeiter: David Steiner, Alte Schiffstraße 5a, 78464 Konstanz.

Nachweis des Abschlusses: Mit der Registrierung wird der Abschluss an der Werkstatt festgehalten — Zeitpunkt, handelndes Konto und der Wortlaut dieses Vertrags, wie er an jenem Tag galt. Der Wortlaut, nicht ein Verweis: Dieser Vertrag wird weitergepflegt (neue Unterauftragsverarbeiter, neue Anschrift), und die Frage „was habe ich zugestimmt?“ beantwortet der heutige Text nicht. Werkstätten, deren Konto vor Einführung dieses Nachweises entstanden ist, bestätigen den Abschluss einmal in ihren Einstellungen.

Dieser AVV wird mit der Registrierung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für die gesamte Laufzeit des Nutzungsvertrags. Auf Anfrage an datenschutz@tirescan.de stellen wir ihn zusätzlich als unterzeichenbares Dokument bereit. Bei Widersprüchen zu den AGB geht in Fragen des Datenschutzes dieser AVV vor.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der tirescan-Software zur Reifen-/Fahrzeugprüfung einschließlich Speicherung, Sicherung (Backups) und Auswertung der von der Werkstatt erfassten Daten. Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags; Ziffer 11 regelt Löschung und Rückgabe nach dessen Ende.

3. Art und Zweck der Verarbeitung

Verarbeitet werden Fahrzeug-, Reifen- und Kundendaten, die die Werkstatt erfasst, zum Zweck der Erstellung von Prüfprotokollen, Reports und Erinnerungen. Die automatische Erkennung von Kennzeichen und HU-Plakette läuft ausschließlich lokal auf dem Endgerät der Werkstatt. Die Reifen-Seitenwand und die Profiltiefe wertet der Auftragsverarbeiter auf eigener Hardware in Deutschland aus, und zwar aus den Belegfotos, die dort ohnehin gespeichert sind. In beiden Fällen werden hierfür keine Bilddaten an externe KI-Dienste oder sonstige Dritte übermittelt.

4. Kategorien betroffener Personen und Daten

Betroffene: Endkunden der Werkstatt sowie Halter/Fahrer der geprüften Fahrzeuge. Datenkategorien: Kontaktdaten der Kunden (soweit erfasst: Name, E-Mail, Telefon, Anschrift, Notizen), Fahrzeugdaten (Kennzeichen, Marke, Modell, FIN, HU-Fälligkeit), Reifen-/Messdaten (Profiltiefen, Reifenkennungen, Kilometerstand, Einlagerung) sowie Foto-, Video- und Unterschriftsdaten aus der Dokumentation. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags.

5. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Weisungen werden in der Regel durch die Bedienung der Software erteilt (Erfassen, Ändern, Teilen, Exportieren, Löschen); ergänzende Weisungen bedürfen der Textform an datenschutz@tirescan.de. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er die Verantwortliche unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Eine Verarbeitung für eigene Zwecke findet nicht statt; Pflichten aus dem Recht der Union oder der Mitgliedstaaten bleiben unberührt (dann Information der Verantwortlichen vor der Verarbeitung, soweit rechtlich zulässig).

6. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

7. Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die im Anhang (Ziffer 15) beschriebenen Maßnahmen nach Art. 32 DSGVO und schreibt sie dem Stand der Technik entsprechend fort; dabei darf das vereinbarte Schutzniveau nicht unterschritten werden.

8. Unterauftragsverarbeiter

Die Verantwortliche erteilt die allgemeine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO):

• Hetzner Online GmbH — Server-Hosting & Betrieb der Anwendung/Datenbank (Deutschland). AVV vorhanden (Hetzner).
• Hetzner Online GmbH — Versand technischer Betreiber-Benachrichtigungen (System-Monitoring). Es werden keine Endkundendaten übermittelt; Fehlermeldungen sind vor dem Versand PII-bereinigt (Deutschland). AVV vorhanden (Hetzner).

Über beabsichtigte Änderungen (Austausch oder Hinzunahme) informiert der Auftragsverarbeiter die Verantwortliche vorab in Textform. Die Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund binnen vier Wochen widersprechen; ist eine zumutbare Lösung nicht möglich, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in diesem AVV bestehen (Art. 28 Abs. 4 DSGVO).

Der E-Mail-Versand (Service-E-Mails, Rechnungen, technische Betreiber-Benachrichtigungen) erfolgt über einen betreibereigenen Mailserver; ein zusätzlicher Unterauftragsverarbeiter entsteht dadurch derzeit nicht — ein künftiger externer E-Mail-Dienstleister würde in die Liste nach dieser Ziffer aufgenommen. Monitoring-Benachrichtigungen enthalten keine Endkundendaten; Fehlermeldungen werden vor dem Versand von personenbezogenen Daten bereinigt.

9. Unterstützung der Verantwortlichen

Der Auftragsverarbeiter unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO; Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation), Art. 28 Abs. 3 lit. e und f DSGVO. Anträge Betroffener, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an die Verantwortliche weiter und beantwortet sie nicht selbst.

10. Meldung von Datenschutzverletzungen

Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen, meldet der Auftragsverarbeiter der Verantwortlichen unverzüglich nach Kenntnis (Art. 33 Abs. 2 DSGVO) — mit den verfügbaren Angaben zu Art und Umfang der Verletzung, betroffenen Datenkategorien, voraussichtlichen Folgen und ergriffenen bzw. vorgeschlagenen Maßnahmen. Die Meldung an Aufsichtsbehörden und Betroffene obliegt der Verantwortlichen.

11. Löschung und Rückgabe

Laufende Löschung während des Vertrags: Die Verantwortliche kann in den Einstellungen zwei Aufbewahrungsfristen setzen — eine für die Belegfotos (die gelesenen Werte und der Ausdruck bleiben) und eine für die Protokolle (vollständige Löschung samt Ausdruck und Fotos; das zugehörige Fahrzeug mit seinem Kennzeichen geht mit, sofern kein weiteres Protokoll und keine Einlagerung mehr daran hängt, und der zugehörige Kunde, sofern ihm danach kein Fahrzeug mehr bleibt — Fahrzeuge und Kunden ohne Bezug zu einem gelöschten Protokoll bleiben unangetastet). Diese Einstellungen sind die Weisung nach Art. 28 Abs. 3 lit. a DSGVO; der Auftragsverarbeiter führt sie täglich aus und hält jede Löschung im Vorgangsprotokoll fest. Ohne gesetzte Frist wird nichts automatisch gelöscht.

Für die Belegfotos kann der Auftragsverarbeiter zwei Grenzen des Rahmens setzen: den Wert, mit dem ein neues Konto startet, und eine Höchstdauer, über die hinaus er Bilder nicht vorhält. Beides wirkt nur in eine Richtung — auf eine kürzere Aufbewahrung (Art. 5 Abs. 1 lit. e DSGVO) — und lässt der Verantwortlichen innerhalb dieses Rahmens die Wahl. Eine bestehende Einstellung wird davon nicht rückwirkend verändert; eine später eingeführte Höchstdauer wirkt erst, wenn die Verantwortliche ihre Frist das nächste Mal ändert. Die Protokoll-Frist bestimmt allein die Verantwortliche.

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie zurück (Export) — nach Wahl der Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO). Erteilt die Verantwortliche binnen 30 Tagen nach Vertragsende keine Weisung, werden die Inhaltsdaten gelöscht: Prüfprotokolle, Fahrzeuge, Kunden, Einlagerungen sowie Fotos und sonstige Medien der Werkstatt. Gesetzliche Aufbewahrungspflichten für Abrechnungsbelege bleiben unberührt: Rechnungen, Zahlungen und SEPA-Vorgänge bleiben für die gesetzliche Aufbewahrungsfrist (§ 147 AO, § 14b UStG) gesperrt und werden von dieser Löschung nicht erfasst — insoweit wird die Verarbeitung eingeschränkt. In Backups verbleiben gelöschte Daten nur für die feste Vorhaltezeit der Sicherungen (Ziffer 15) und rotieren danach automatisch aus.

12. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere die Dokumentation der Maßnahmen nach Ziffer 15. Die Verantwortliche kann höchstens einmal je Kalenderjahr — bei konkretem Anlass auch darüber hinaus — eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen: mit mindestens vier Wochen Vorlauf, zu üblichen Geschäftszeiten und ohne Störung des Betriebs; jede Partei trägt ihre eigenen Kosten. Rechte von Aufsichtsbehörden bleiben unberührt.

13. Ort der Verarbeitung

Die Kernverarbeitung (Anwendung, Datenbank, Medien, Erkennung der Reifen-Seitenwand) erfolgt in einem Rechenzentrum in Deutschland. Eine Verarbeitung in Drittländern findet nur statt, soweit sie in der Liste nach Ziffer 8 ausgewiesen ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss).

14. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gilt ergänzend die Haftungsregelung der [AGB](/agb). Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen dieses AVV bedürfen der Textform.

15. Anhang: Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung: Alle Verbindungen zwischen Endgerät und Server sind TLS-verschlüsselt.
• Mandantentrennung: Die Daten jeder Werkstatt sind auf Datenebene je Firma getrennt; jede Abfrage der Anwendung filtert auf die Firma des angemeldeten Kontos. Ausgenommen sind ausdrücklich: von der Werkstatt selbst erzeugte Freigabelinks (ohne Anmeldung, Zugang im Link) und die Zugriffe des Auftragsverarbeiters auf seine eigenen Bücher und die Verwaltung. Die Einhaltung prüft ein Prüflauf im Testsatz, der die Schnittstellen und Seiten der Werkstatt-Oberfläche über den Syntaxbaum liest und jede abweist, deren erster Datenbankzugriff die Firma nicht aus der Sitzung führt; er gehört zur Prüfkette vor jeder Freigabe und ergänzt das Code-Review. Eine Erzwingung in der Datenbank ist damit nicht verbunden.
• Zugriffskontrolle: Rollenbasierte Anmeldung je Nutzer; Passwörter werden ausschließlich als Hash gespeichert; Sitzungen sind gegen Anfrage-Fälschung (CSRF) geschützt.
• Serverstandort: Betrieb in einem Rechenzentrum in Deutschland (Anbieter s. Ziffer 8); die Auswertung der Reifen-Seitenwand läuft auf eigener Hardware im selben Rechenzentrum.
• Datenminimierung: Kennzeichen und HU-Plakette werden nur auf dem Endgerät erkannt und nicht zu diesem Zweck übertragen; bei unsicherer Erkennung bleiben Felder leer statt geraten zu werden („lieber leer als falsch“).
• Verfügbarkeit und Wiederherstellbarkeit: Tägliche Backups mit fester Vorhaltezeit — ältere Tagessicherungen rotieren automatisch aus, lokal wie am zweiten Aufbewahrungsort; zusätzlich wird je Monat eine Monatssicherung vorgehalten (lokal die letzten zwölf, am zweiten Ort bis zum turnusmäßigen Aufräumen — gelöschte Daten können dort entsprechend länger in verschlüsselten Archiven verbleiben). Das Backup-Alter und die Auslagerung werden überwacht. Der Datenteil des Wiederherstellungswegs (Archivformat, Zurückspielen in eine leere Datenbank, inhaltlicher Abgleich) wird in der Prüfkette vor jeder Freigabe automatisiert geprobt; die Betriebsmechanik der Wiederherstellung (Container, Datenträger) wird anlassbezogen von Hand auf einer Testmaschine durchgespielt.
• Protokollierung: Administrative und abrechnungsrelevante Vorgänge werden in einem nicht nachträglich veränderbaren Vorgangsprotokoll festgehalten.
• Fehlerdiagnose ohne Personenbezug: Fehlerprotokolle werden vor Benachrichtigungen von personenbezogenen Daten bereinigt; Betriebs- und Diagnosedaten unterliegen festen Löschfristen (s. Datenschutzerklärung, Abschnitt 15).