Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer des Vertrags

Der Auftragsverarbeiter betreibt die Software „FahrSync" – eine digitale Schülerkartei und Ausbildungsdokumentation für Fahrschulen. Im Rahmen der Nutzung dieser Software verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten aus dem zwischen den Parteien bestehenden Hauptvertrag (Nutzungsvertrag über FahrSync) und ist dessen Bestandteil.

Die Dauer dieses Vertrags entspricht der Dauer des Hauptvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung dient folgenden Zwecken:

• Führen einer digitalen Ausbildungsdokumentation (Lernstand, Fahrstunden, Sonderfahrten, Verkehrszeichen-Kenntnis) je Fahrschüler
• Bereitstellung eines Schüler-Zugangs (Fortschrittseinsicht, Chat mit dem Fahrlehrer, Terminübersicht)
• Terminverwaltung und -buchung (sofern das Kalender-Modul genutzt wird), optional inklusive Synchronisation mit dem Google-Kalender des Fahrlehrers
• Rechnungsstellung gegenüber dem Verantwortlichen für die Nutzung der Software

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind insbesondere folgende Datenkategorien:

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO, z.B. Gesundheitsdaten) ist im Rahmen der bestimmungsgemäßen Nutzung nicht vorgesehen. Der Verantwortliche wird gebeten, keine solchen Daten in Freitextfeldern zu erfassen.

§ 4 Kategorien betroffener Personen

• Fahrschüler des Verantwortlichen
• Fahrlehrer und ggf. weitere Mitarbeitende, die im System des Verantwortlichen angelegt sind

§ 5 Pflichten und Rechte des Verantwortlichen

Der Verantwortliche ist im Rahmen der Vorschriften der DSGVO für die Beurteilung der Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen (Art. 12–22 DSGVO) allein verantwortlich. Der Verantwortliche ist berechtigt, dem Auftragsverarbeiter jederzeit Weisungen zu Art, Umfang und Verfahren der Verarbeitung zu erteilen; im Regelfall erfolgt dies durch die bestimmungsgemäße Nutzung der Software (z.B. Eingabe, Änderung oder Löschung von Daten durch den Verantwortlichen selbst).

§ 6 Pflichten des Auftragsverarbeiters

1. Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet.
2. Vertraulichkeit: Personen, die zur Verarbeitung befugt sind, wurden zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
3. Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen (siehe Anlage 1).
4. Unterauftragsverarbeiter: Der Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) bedarf der vorherigen Genehmigung des Verantwortlichen. Mit Zustimmung zu diesem Vertrag genehmigt der Verantwortliche pauschal die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Über die Absicht der Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter wird der Auftragsverarbeiter den Verantwortlichen rechtzeitig informieren, sodass diesem die Möglichkeit gegeben wird, der Änderung zu widersprechen.
5. Unterstützung des Verantwortlichen: Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–22 DSGVO).
6. Unterstützung bei Sicherheitspflichten: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten (u.a. Meldung von Datenschutzverletzungen).
7. Löschung und Rückgabe: Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten innerhalb von 30 Tagen unwiderruflich, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen (dies betrifft insbesondere die Aufbewahrung von Rechnungsdaten nach § 14b UStG).
8. Nachweis- und Kontrollrechte: Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

§ 7 Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums (Drittländer) findet im Rahmen der bestimmungsgemäßen Nutzung grundsätzlich nicht statt. Die Datenverarbeitung erfolgt bei dem in Anlage 2 genannten Hauptauftragnehmer ausschließlich in einem Rechenzentrum innerhalb der Europäischen Union (Region europe-west3, Frankfurt am Main). Soweit im Einzelfall dennoch Verarbeitungsschritte außerhalb der EU/des EWR stattfinden (z.B. konzerninterne Wartungszugriffe des Cloud-Anbieters), ist dies über die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, nachdem der Auftragsverarbeiter selbst Kenntnis davon erlangt hat. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die betroffenen Datenkategorien und Personengruppen (ggf. ungefähre Angaben), die absehbaren Folgen sowie die bereits ergriffenen oder vorgeschlagenen Maßnahmen. Die Beurteilung, ob eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) oder eine Benachrichtigung betroffener Personen (Art. 34 DSGVO) erforderlich ist, obliegt dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn hierbei nach besten Kräften.

§ 9 Unterstützung bei Datenschutz-Folgenabschätzung

Soweit der Verantwortliche zur Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) oder zu einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) verpflichtet ist, stellt der Auftragsverarbeiter die dafür erforderlichen, ihm vorliegenden Informationen zur Verfügung, insbesondere zu den in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen.

§ 10 Laufzeit und Beendigung

Dieser Vertrag ist an die Laufzeit des Hauptvertrags gebunden (§ 1) und kann nicht gesondert von diesem gekündigt werden. Mit Beendigung des Hauptvertrags gelten die Löschungspflichten aus § 6 Nr. 7.

§ 11 Haftung

Für die Haftung gelten die gesetzlichen Regelungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis haften die Parteien nur für Schäden, die sie durch Verletzung der ihnen nach diesem Vertrag oder der DSGVO obliegenden Pflichten schuldhaft verursacht haben.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: Eigene Serverräume werden nicht betrieben; die physische Zutrittskontrolle zu den Rechenzentren obliegt dem Unterauftragsverarbeiter Google (siehe dessen Sicherheitsnachweise, u.a. ISO 27001)
• Zugangskontrolle: Zugriff auf Daten ausschließlich über individuelle, passwortgeschützte Fahrlehrer-Konten (Firebase Authentication); Schülerzugriff nur über zeitlich begrenzte, individuelle Zugangscodes
• Zugriffskontrolle / Mandantentrennung: Serverseitige Sicherheitsregeln stellen pro Datensatz sicher, dass ausschließlich der zugeordnete Fahrlehrer bzw. die zugeordnete Fahrschule zugreifen kann; ein Zugriff auf Daten anderer Fahrschulen ist technisch ausgeschlossen
• Weitergabekontrolle: Verschlüsselte Datenübertragung ausschließlich über HTTPS/TLS
• Speicherort: Datenspeicherung bei Google Cloud/Firebase in der Region europe-west3 (Frankfurt am Main, Deutschland)
• Eingabekontrolle: Änderungen an Schülerdaten sind ausschließlich dem jeweils zugeordneten Fahrlehrer möglich; Bewertungen und Notizen sind dem eingebenden Konto zugeordnet
• Verfügbarkeit: Betrieb auf der Infrastruktur von Google Cloud/Firebase mit deren Redundanz- und Backup-Mechanismen
• Trennung nach Zweck: Test- und Entwicklungsumgebungen verwenden keine echten Kundendaten
• Schwachstellenmanagement: Zeitnahes Einspielen sicherheitsrelevanter Aktualisierungen der eingesetzten Software-Bibliotheken
• Verfahren im Sicherheitsvorfall: Internes Verfahren zur Erkennung, Eindämmung und Meldung von Datenschutzverletzungen gemäß § 8 dieses Vertrags
• Überprüfung: Regelmäßige Überprüfung und Aktualisierung dieser Maßnahmen im Rahmen der Weiterentwicklung der Software

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Zahlungsabwicklung über PayPal erfolgt nicht als Unterauftragsverarbeitung im Sinne dieses Vertrags, da PayPal insoweit als eigenständig Verantwortlicher für die Zahlungsabwicklung auftritt.