Vertrag zur Auftragsverarbeitung

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

Vertragsparteien

Verantwortlicher (Auftraggeber): das Autohaus bzw. Unternehmen, das in der Software sem. ein Autohaus angelegt hat, mit den dort hinterlegten Firmendaten (im Folgenden „Kunde“).

Auftragsverarbeiter (Auftragnehmer): Sem Schwab, Puderbacher Straße 2A, 56269 Dierdorf, E-Mail: sem.schwab@icloud.com (im Folgenden „sem.“).

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen von sem. und gilt mit dem Anlegen eines Autohauses in der Software als geschlossen (elektronisches Format nach Art. 28 Abs. 9 DSGVO). Er gilt für die Testphase und für jedes Abo. Bei Widersprüchen zu den AGB geht in Fragen des Datenschutzes dieser Vertrag vor.

Drucken oder als PDF speichern

§ 1 Gegenstand und Dauer

sem. stellt dem Kunden die Software sem. (Smart Enterprise Management) mit den Zusatzleistungen sem. WebConnect und sem. Marktplatz als Online-Dienst bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Der Vertrag läuft so lange, wie der Kunde die Software nutzt, und endet mit dem Ende des Nutzungsvertrags einschließlich der Frist zur Rückgabe und Löschung nach § 8.

§ 2 Art, Zweck und Umfang der Verarbeitung

Art und Zweck: Speichern, Organisieren, Anzeigen, Übermitteln und Löschen von Daten, damit der Kunde sein Autohaus mit der Software führen kann: Fahrzeugbestand, Einkauf und Verkauf, Werkstatt und Service, Reifeneinlagerung, Leasing, Kunden und Interessenten, Termine, Dokumente, Rechnungen, Team und Rechte. Mit WebConnect und dem Marktplatz außerdem das Entgegennehmen von Anfragen und Probefahrt-Buchungen von Webseitenbesuchern und deren Übergabe an den Kunden.

Arten von Daten:

• Stammdaten und Kontaktdaten (Name, Anschrift, Telefon, E-Mail)
• Vertrags-, Kauf-, Leasing- und Rechnungsdaten, Zahlungsinformationen
• Fahrzeugdaten mit Personenbezug (z. B. Kennzeichen, Fahrgestellnummer, Halter, Fahrzeugpapiere)
• Führerscheindaten bei Probefahrten (Geburtsdatum, Führerscheinnummer und -klasse, soweit erfasst)
• Termine, Werkstattaufträge, Notizen und Kommunikation
• hochgeladene Dokumente und Fotos
• Daten der Beschäftigten des Kunden: Name, E-Mail, Rolle, Rechte, Standort, Arbeitszeiten in der Werkstatt, Änderungsprotokoll
• Anfragen über WebConnect und Marktplatz: Name, E-Mail, Telefon, Nachricht, Fahrzeug, Wunschtermin, Einwilligungszeitpunkt

Betroffene Personen: Kunden, Interessenten, Leasingnehmer, Werkstattkunden, Lieferanten und Verkäufer von Fahrzeugen sowie Beschäftigte des Kunden.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde stellt solche Daten nicht in die Software ein.

§ 3 Weisungen

sem. verarbeitet die Daten nur nach dokumentierter Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Software durch den Kunden (zum Beispiel Anlegen, Freigeben, Löschen). Weitere Weisungen erteilt der Kunde in Textform. Hält sem. eine Weisung für rechtswidrig, weist sem. den Kunden unverzüglich darauf hin. Eine Verarbeitung für eigene Zwecke von sem. findet nicht statt, es sei denn, ein Gesetz verpflichtet dazu; dann informiert sem. den Kunden vorher, soweit das Gesetz es erlaubt.

§ 4 Pflichten von sem.

• Personen, die bei sem. Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• sem. trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.
• sem. unterstützt den Kunden mit geeigneten Maßnahmen bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Software bietet dafür Bearbeiten, Löschen und eine Datensicherung als Datei. Wendet sich eine betroffene Person direkt an sem., leitet sem. die Anfrage an den Kunden weiter.
• sem. unterstützt den Kunden bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO).
• sem. informiert den Kunden unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sem. eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und teilt die Informationen mit, die der Kunde für seine Meldung braucht.
• sem. hat keinen Datenschutzbeauftragten zu bestellen, weil die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner für den Datenschutz ist Sem Schwab (Kontakt oben).

§ 5 Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen, die Information der betroffenen Personen und die Vergabe von Rechten an seine Beschäftigten. Er informiert sem. unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. sem. darf weitere Unterauftragsverarbeiter einsetzen oder bestehende ersetzen, wenn sem. den Kunden mindestens vier Wochen vorher in der App oder per E-Mail informiert. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, kann jede Seite den Vertrag kündigen. sem. verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Übermittlungen in Länder außerhalb der EU finden nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (zum Beispiel EU-US Data Privacy Framework) oder Standardvertragsklauseln.

§ 7 Nachweise und Kontrollen

sem. weist dem Kunden auf Anfrage die Einhaltung dieser Pflichten nach, insbesondere durch Auskünfte, Beschreibungen der Maßnahmen und Nachweise der Unterauftragsverarbeiter (zum Beispiel Zertifikate nach ISO 27001 oder SOC 2). Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten Kontrollen durchführen, soweit Nachweise nicht ausreichen. Kontrollen bei den Rechenzentren der Unterauftragsverarbeiter richten sich nach deren Bedingungen.

§ 8 Rückgabe und Löschung

Nach Ende des Nutzungsvertrags kann der Kunde 30 Tage lang eine vollständige Datensicherung herunterladen. Danach löscht sem. die Daten des Kunden einschließlich der Dokumente, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Gelöschte Daten können für bis zu 30 Tage in den Sicherungen des Hosters enthalten bleiben und werden danach überschrieben. Auf Wunsch bestätigt sem. die Löschung in Textform.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Änderungen dieses Vertrags werden wie Änderungen der AGB mitgeteilt. Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: sem. betreibt keine eigenen Server. Die Daten liegen in Rechenzentren der Unterauftragsverarbeiter (Anlage 2) mit Zutrittskontrolle, Videoüberwachung und Zertifizierung nach ISO 27001 bzw. SOC 2.
• Zugang: Anmeldung mit E-Mail-Adresse und Passwort (mindestens 8 Zeichen), Bestätigung der E-Mail-Adresse. Der Betreiber-Bereich von sem. ist zusätzlich mit Zwei-Faktor-Anmeldung (Einmalcode aus einer Authenticator-App) geschützt. Die Verwaltungszugänge zu Datenbank, Hosting und Quellcode nutzt nur sem. selbst.
• Zugriff: strikte Trennung der Autohäuser in der Datenbank (Row Level Security, jede Abfrage wird gegen die Zugehörigkeit zum Autohaus geprüft). Rollen- und Rechtesystem je Bereich (Anzeigen, Erstellen, Bearbeiten, Löschen, Freigeben) und je Standort, das der Kunde selbst verwaltet. Deaktivierte Mitarbeiter verlieren sofort den Zugriff.
• Dateien: Dokumente und Fotos liegen in einem nicht öffentlichen Speicher und sind nur für berechtigte Nutzer des jeweiligen Autohauses abrufbar. Für die Webseite oder den Marktplatz freigegebene Fahrzeugfotos werden nur über befristete, signierte Links (6 Stunden) ausgeliefert.
• Trennung: Daten verschiedener Autohäuser werden logisch getrennt verarbeitet; öffentliche Schnittstellen (WebConnect, Marktplatz) geben nur ausdrücklich freigegebene Felder heraus, nie Einkaufspreis, Fahrgestellnummer, Kennzeichen, Schäden oder Kundendaten.
• Pseudonymisierung: IP-Adressen von Webseitenbesuchern werden für Statistik und Missbrauchsschutz nur als täglich wechselnder, nicht umkehrbarer Prüfwert verarbeitet.

Integrität

• Weitergabe: alle Verbindungen sind mit TLS (HTTPS) verschlüsselt. Gespeicherte Daten sind beim Hoster verschlüsselt (AES-256).
• Eingabe: Änderungen an Datensätzen werden mit Nutzer und Zeitpunkt protokolliert; Fahrzeuge haben einen eigenen Verlauf. Gelöschte Daten landen zunächst im Papierkorb.

Verfügbarkeit und Belastbarkeit

• Hosting in redundant ausgelegten Rechenzentren in der EU (Irland) mit Schutz vor Überlastung und Angriffen.
• Tägliche Datenbanksicherungen beim Hoster; zusätzlich kann der Kunde jederzeit eine vollständige Datensicherung als Datei herunterladen.
• Die App funktioniert auch bei kurzer Netzunterbrechung weiter und gleicht Änderungen danach ab.

Überprüfung und Bewertung

• Jede Änderung an der Datenbank wird vor dem Einspielen mit automatisierten Angriffstests auf Mandantentrennung und Rechte geprüft.
• Regelmäßige Prüfung der Sicherheitshinweise des Hosters und Aktualisierung der eingesetzten Software.
• Datenschutzfreundliche Voreinstellungen: Fahrzeuge erscheinen auf Webseite und Marktplatz nur mit Verkaufspreis und ohne interne Daten; Karten und andere fremde Inhalte werden auf öffentlichen Seiten erst nach Einwilligung geladen.

Anlage 2: Unterauftragsverarbeiter

Stand

November 2026.

Zurück zur Startseite