Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Fassung 2026-11-02-2. Die Angaben in eckigen Klammern setzen wir aus Ihrer Anmeldung ein.

Parteien

Auftraggeber (Verantwortlicher): [Name Ihrer Werkstatt], vertreten durch [Ansprechpartner], [Straße], [PLZ] [Ort], E-Mail [E-Mail].

Auftragnehmer (Auftragsverarbeiter): T-Log-Solutions (Einzelunternehmen), Inhaber Tunahan Göktürk, Zum Walkmüller 7, 47269 Duisburg, E-Mail tlogsolutions@gmail.com.

Die Vereinbarung kommt zustande, wenn der Auftraggeber sie bei der Anmeldung ausdrücklich bestätigt. Eine Unterschrift ist nicht nötig. Der Auftragnehmer speichert den Nachweis (Fassung, Zeitpunkt, IP-Adresse).

1. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber den Werkstattkalender als Online-Anwendung bereit (Terminkalender mit Kennzeichen, Kundennamen und Telefonnummern) und betreibt sie auf eigener Infrastruktur. Der Auftraggeber trägt dort personenbezogene Daten seiner Kunden ein. Der Auftragnehmer verarbeitet diese Daten ausschließlich in seinem Auftrag.

Die Vereinbarung gilt für die Dauer der Nutzung. Der Testzugang ist kostenlos und von beiden Seiten jederzeit ohne Frist kündbar (Mitteilung per E-Mail genügt).

2. Art, Zweck, Daten und Betroffene

Art der Verarbeitung: Speichern, Anzeigen, Ändern, Löschen und Sichern von Termindaten im Auftrag des Auftraggebers.

Zweck: Terminplanung und Fahrzeugverwaltung der Werkstatt des Auftraggebers.

Datenarten: Kundenname, Telefonnummer, Kfz-Kennzeichen, Termintitel und Notizen, Kürzel und Namen der Mitarbeiter des Auftraggebers, Zeitpunkte der Änderungen.

Betroffene: Kunden des Auftraggebers sowie dessen Mitarbeiter.

Der Auftraggeber soll keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) eintragen.

3. Pflichten des Auftragnehmers

Verarbeitung nur nach dokumentierter Weisung des Auftraggebers. Die Weisung ergibt sich aus dieser Vereinbarung und der Bedienung der Anwendung. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er darauf hin.

Vertraulichkeit: Wer beim Auftragnehmer Zugriff haben kann, ist zur Vertraulichkeit verpflichtet.

Technische und organisatorische Maßnahmen: Es gelten die Maßnahmen in Anlage 1.

Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen, bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit es um diese Anwendung geht.

Meldung: Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

Löschung und Rückgabe: Nach Ende der Nutzung stellt der Auftragnehmer dem Auftraggeber auf Wunsch eine vollständige Datensicherung (Datei) bereit und löscht danach alle Daten des Auftraggebers einschließlich Datenbank, spätestens 30 Tage nach Ende der Nutzung. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Nachweis: Der Auftragnehmer stellt die Informationen bereit, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen, soweit sie sich auf diese Anwendung beziehen (nach Anmeldung, zu üblichen Zeiten).

4. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung gegenüber seinen Kunden verantwortlich, insbesondere für Informationspflichten (Art. 13 DSGVO) und die Beachtung der Löschfristen.

Der Auftraggeber hält Zugangsdaten geheim, ändert die Start-Passwörter sofort und gibt sie nur an berechtigte Mitarbeiter weiter.

Der Auftraggeber nennt dem Auftragnehmer eine Ansprechperson für Datenschutzfragen (die Person der Anmeldung).

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Änderungen teilt der Auftragnehmer vorab per E-Mail mit. Der Auftraggeber kann widersprechen und die Nutzung beenden.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau.

6. Haftung und Schlussbestimmungen

Es gilt die gesetzliche Haftung. Bei Widersprüchen geht diese Vereinbarung allgemeinen Nutzungsbedingungen vor.

Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Verschlüsselung: Die gesamte Übertragung läuft über HTTPS (TLS). Die Datenbank liegt beim Unterauftragsverarbeiter (Anlage 2) und ist im Ruhezustand verschlüsselt.

Zugangskontrolle: Die Anwendung verlangt Benutzername und Passwort (Mitarbeiter) und zusätzlich ein Inhaber-Passwort für Export, Datensicherung und Passwörter. Passwörter werden nicht im Klartext gespeichert. Fehlversuche beim Inhaber-Passwort werden gebremst. Der Zugang zur Verwaltung der Infrastruktur beim Auftragnehmer ist durch Zwei-Faktor-Anmeldung geschützt.

Trennung: Jeder Auftraggeber hat einen eigenen Dienst mit eigener Datenbank. Daten verschiedener Auftraggeber werden nicht gemeinsam gespeichert.

Datenminimierung und Löschung: Gelöschte Termine liegen 30 Tage im Papierkorb und werden dann endgültig entfernt. Telefonnummern in Terminen, die älter als 12 Monate sind, werden automatisch entfernt (Voreinstellung).

Wiederherstellbarkeit: Der Inhaber kann jederzeit eine vollständige Datensicherung als Datei herunterladen und wieder einspielen.

Verfügbarkeit: Betrieb auf der weltweit verteilten Infrastruktur des Unterauftragsverarbeiters (Anlage 2).

Protokollierung: Änderungen an Terminen werden mit Kürzel und Zeitpunkt im Verlauf festgehalten.

Zugriff des Auftragnehmers: Der Auftragnehmer greift auf Inhaltsdaten nur zu, soweit es zur Fehlerbehebung oder auf Wunsch des Auftraggebers nötig ist.

Anlage 2: Unterauftragsverarbeiter

Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (Cloudflare Workers und D1: Rechenleistung und Datenbank). Der Standort der Datenbank wird nach Europa ausgerichtet, Cloudflare kann Daten aber über sein weltweites Netz verarbeiten. Datenübermittlung in Drittländer auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln der EU-Kommission (Cloudflare Data Processing Addendum).