Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (der AVV) ist Bestandteil der Nutzungsbedingungen (die Bedingungen) zwischen Mycarro (Mycarro, der Auftragsverarbeiter) und dem Kunden, der die Bedingungen angenommen hat (der Kunde, der Verantwortliche). Er gilt, wann immer Mycarro bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet. Er erfüllt die Anforderungen von Artikel 28 der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) und, soweit anwendbar, des Schweizer Bundesgesetzes über den Datenschutz (DSG). In den Bedingungen oder der DSGVO definierte Begriffe haben hier dieselbe Bedeutung.

1. Rollen und Anwendungsbereich

1.1. Für die personenbezogenen Daten, die der Kunde und seine Nutzer über seine Kunden, Leads, Käufer, Verkäufer, Bürgen, Mitarbeiter und Website-Besucher in den Dienst einstellen (die personenbezogenen Kundendaten), ist der Kunde der Verantwortliche und Mycarro der Auftragsverarbeiter. Anhang 1 beschreibt die Verarbeitung.

1.2. Mycarro ist außerhalb dieses AVV eigenständiger Verantwortlicher für:

• die Kontodaten der Nutzer des Kunden;
• Abrechnungsdaten;
• Nutzungs-, Sicherheits- und Audit-Daten;
• die de-identifizierten und aggregierten Daten, die es nach den Bedingungen ableitet;

jeweils wie in seiner Datenschutzerklärung beschrieben.

1.3. Der Kunde ist für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung verantwortlich. Dies umfasst das Vorliegen einer gültigen Rechtsgrundlage und die Erteilung der erforderlichen Informationen, die Einholung etwa erforderlicher Einwilligungen, die Information der betroffenen Personen über seine Händler-Website sowie die Sicherstellung, dass die personenbezogenen Kundendaten und seine Weisungen dem Gesetz entsprechen. Der Kunde wird keine besonderen Kategorien personenbezogener Daten (etwa Gesundheitsdaten) oder Daten über strafrechtliche Verurteilungen in den Dienst einstellen, außer soweit eine Funktion dafür vorgesehen ist und das Gesetz dies erlaubt.

2. Weisungen

2.1. Mycarro verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen, sofern das Gesetz nichts anderes verlangt. In diesem Fall teilt Mycarro dies dem Kunden vorab mit, sofern das Gesetz dies nicht verbietet.

2.2. Die vollständigen Weisungen des Kunden sind: die Bedingungen, dieser AVV sowie die Nutzung und Konfiguration des Dienstes durch den Kunden, einschließlich der Handlungen seiner Nutzer und jedes KI-Assistenten oder jeder Integration, die er verbindet. Jede weitere Weisung bedarf der Schriftform und der Zustimmung von Mycarro und muss mit der Funktionalität des Dienstes vereinbar sein. Sie kann kostenpflichtig sein.

2.3. Mycarro informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt. Mycarro kann die betreffende Verarbeitung dann ohne Haftung aussetzen, bis die Weisung bestätigt oder geändert wird. Darüber hinaus ist Mycarro nicht verpflichtet, die Rechtmäßigkeit der Weisungen des Kunden zu prüfen.

3. Vertraulichkeit

Mycarro stellt sicher, dass sich die zur Verarbeitung personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass sie auf die Daten nur zugreifen, soweit dies für den Dienst erforderlich ist.

4. Sicherheit

4.1. Mycarro trifft die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung dem Risiko angemessen sind.

4.2. Mycarro kann diese Maßnahmen aktualisieren, sofern das Gesamtschutzniveau nicht verringert wird. Der Kunde hat die Maßnahmen geprüft und erkennt an, dass sie für die personenbezogenen Kundendaten angemessen sind.

4.3. Der Kunde ist verantwortlich für die Sicherheit seiner eigenen Systeme, Geräte und Zugangsdaten, für die Rollen und Berechtigungen, die er seinen Nutzern erteilt, für die Integrationen und KI-Assistenten, die er verbindet, sowie für die Konfiguration des Dienstes, soweit sie seiner Kontrolle unterliegt.

5. Unterauftragsverarbeiter

5.1. Allgemeine Genehmigung. Der Kunde erteilt Mycarro eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern, einschließlich der in Anhang 3 aufgeführten.

5.2. Änderungen. Mycarro informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters durch Aktualisierung von Anhang 3 auf dieser Seite und, bei wesentlichen Änderungen, per E-Mail oder im Dashboard, jeweils mindestens 14 Tage im Voraus. In Notfällen, etwa beim plötzlichen Ausfall eines Anbieters, kann die Frist kürzer sein.

5.3. Widerspruch. Der Kunde kann einer Änderung aus berechtigten datenschutzrechtlichen Gründen innerhalb dieser Frist schriftlich widersprechen. Die Parteien erörtern dies dann nach Treu und Glauben. Kann Mycarro die Änderung nicht in zumutbarer Weise vermeiden, besteht der einzige und ausschließliche Rechtsbehelf des Kunden darin, den betroffenen Tarif vor Wirksamwerden der Änderung zu kündigen, ohne Erstattung im Voraus gezahlter Entgelte über das hinaus, was die Bedingungen ansonsten vorsehen. Die fortgesetzte Nutzung des Dienstes nach Ablauf der Ankündigungsfrist gilt als Annahme der Änderung durch den Kunden.

5.4. Weitergabe der Pflichten. Mycarro erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die im Wesentlichen kein geringeres Schutzniveau bieten als die dieses AVV, soweit sie auf die erbrachten Leistungen anwendbar sind. Mycarro bleibt dem Kunden gegenüber nach Maßgabe der DSGVO für die Leistung seiner Unterauftragsverarbeiter verantwortlich, vorbehaltlich Abschnitt 11.

5.5. Keine Unterauftragsverarbeiter. Marktplätze, KI-Assistenten, Zahlungsdienste, Domain-Registrare und sonstige Dritte, die der Kunde verbindet oder nutzt, handeln nach ihren eigenen Bedingungen. Sie sind keine Unterauftragsverarbeiter von Mycarro, und Mycarro ist für sie nicht verantwortlich.

6. Internationale Übermittlungen

Mycarro darf personenbezogene Kundendaten nur dann außerhalb des Europäischen Wirtschaftsraums und der Schweiz übermitteln oder seinen Unterauftragsverarbeitern eine solche Übermittlung gestatten, wenn:

• ein Angemessenheitsbeschluss die Übermittlung abdeckt;
• geeignete Garantien bestehen, etwa die Standardvertragsklauseln der Europäischen Kommission (mit den schweizerischen Anpassungen, soweit das DSG anwendbar ist), ergänzt um zusätzliche Maßnahmen, soweit erforderlich; oder
• ein anderer nach der DSGVO zulässiger Übermittlungsmechanismus greift.

Der Kunde genehmigt die Übermittlungen, die die Unterauftragsverarbeiter in Anhang 3 auf diesen Grundlagen vornehmen.

7. Unterstützung

7.1. Anträge betroffener Personen. Der Dienst stellt dem Kunden Selbstbedienungswerkzeuge zur Verfügung, um personenbezogene Kundendaten einzusehen, zu berichtigen, zu exportieren und zu löschen. Erhält Mycarro von einer betroffenen Person einen Antrag zu personenbezogenen Kundendaten, leitet es diesen unverzüglich an den Kunden weiter, sofern es den Kunden identifizieren kann, und beantwortet ihn nicht selbst, außer auf Weisung des Kunden. Reichen die Selbstbedienungswerkzeuge nicht aus, leistet Mycarro unter Berücksichtigung der Art der Verarbeitung angemessene Unterstützung.

7.2. Sonstige Unterstützung. Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt Mycarro den Kunden in angemessenem Umfang bei dessen Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation von Behörden, vor allem durch Bereitstellung dieses AVV, seiner Anhänge und der Dokumentation des Dienstes.

7.3. Kosten. Unterstützung, die über die Selbstbedienungswerkzeuge und die Dokumentation hinausgeht oder durch eigenes Handeln oder eine Vertragsverletzung des Kunden veranlasst ist, wird zu den dann geltenden Standardsätzen von Mycarro berechnet.

8. Verletzungen des Schutzes personenbezogener Daten

8.1. Mycarro benachrichtigt den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Die Benachrichtigung wird an die E-Mail-Adresse des Inhabers oder Administrators des Kunden gesendet. Soweit zu diesem Zeitpunkt bekannt, beschreibt sie die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen können schrittweise bereitgestellt werden.

8.2. Mycarro ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen abzumildern. Der Kunde ist dafür verantwortlich, zu entscheiden, ob Aufsichtsbehörden und betroffene Personen benachrichtigt werden, und diese Benachrichtigung vorzunehmen.

8.3. Eine Benachrichtigung oder geleistete Unterstützung stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar. Erfolglose Versuche oder Aktivitäten, die die Sicherheit personenbezogener Kundendaten nicht beeinträchtigen, etwa Pings, Port-Scans, fehlgeschlagene Anmeldeversuche oder Denial-of-Service-Angriffe, sind keine Verletzungen und erfordern keine Benachrichtigung.

9. Rückgabe und Löschung

9.1. Während der Vertragslaufzeit kann der Kunde personenbezogene Kundendaten mit den Werkzeugen des Dienstes exportieren und löschen.

9.2. Nach Beendigung der Bedingungen kann der Kunde innerhalb der in den Bedingungen festgelegten Frist einen abschließenden Export verlangen. Nach Ablauf dieser Frist löscht Mycarro die personenbezogenen Kundendaten, sofern das Gesetz keine Aufbewahrung vorschreibt. Kopien in Datensicherungen werden im regulären Sicherungszyklus gelöscht, in der Regel innerhalb von 90 Tagen, bleiben bis dahin nach diesem AVV geschützt und werden nicht aktiv verwendet. Mycarro darf de-identifizierte und aggregierte Daten behalten, die keine personenbezogenen Daten sind.

10. Audits und Informationen

10.1. Mycarro stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind. Dies geschieht durch Bereitstellung dieses AVV, seiner Anhänge, Antworten auf einen angemessenen schriftlichen Sicherheitsfragebogen und, soweit verfügbar, Zertifizierungen oder Prüfberichte Dritter (einschließlich derjenigen seiner Unterauftragsverarbeiter).

10.2. Weist der Kunde nachvollziehbar nach, dass diese Informationen nicht ausreichen, oder verlangt eine Aufsichtsbehörde dies, kann der Kunde selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer, der kein Wettbewerber von Mycarro ist, ein Audit durchführen. Das Audit unterliegt folgenden Bedingungen:

• höchstens einmal innerhalb von 12 Monaten, außer bei einer Verletzung oder auf behördliche Anordnung;
• mit einer schriftlichen Ankündigung von mindestens 30 Tagen und einem im Voraus vereinbarten Umfang;
• während der Geschäftszeiten, nach Möglichkeit aus der Ferne, ohne Störung des Dienstes und ohne Zugang zu Daten anderer Kunden oder zu Einrichtungen von Unterauftragsverarbeitern;
• ausschließlich auf Kosten des Kunden, einschließlich der angemessenen Kosten von Mycarro zu dessen Standardsätzen;
• der Kunde stellt Mycarro den Auditbericht zur Verfügung und behandelt ihn vertraulich.

11. Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV, gleich ob aus Vertrag, unerlaubter Handlung oder sonstigem Rechtsgrund, unterliegt den Haftungsausschlüssen und -beschränkungen der Bedingungen und wird, soweit gesetzlich zulässig, auf denselben Gesamthöchstbetrag angerechnet. Der Kunde stellt Mycarro, wie in den Bedingungen vorgesehen, von Ansprüchen und Bußgeldern frei, die sich aus den Weisungen des Kunden, den personenbezogenen Kundendaten oder seinem Verstoß gegen Datenschutzrecht ergeben.

12. Laufzeit, Vorrang und Änderungen

12.1. Dieser AVV gilt, solange Mycarro personenbezogene Kundendaten verarbeitet, und endet automatisch, sobald dies nicht mehr der Fall ist.

12.2. Widerspricht dieser AVV den Bedingungen hinsichtlich der Verarbeitung personenbezogener Kundendaten, hat dieser AVV Vorrang. In jeder anderen Hinsicht haben die Bedingungen Vorrang. Die Bestimmungen der Bedingungen zu anwendbarem Recht, Gerichtsstand, Sprache, Mitteilungen und Änderungen gelten für diesen AVV.

12.3. Mycarro kann diesen AVV aktualisieren, auch um Änderungen des Rechts oder des Dienstes Rechnung zu tragen, wie in den Bedingungen beschrieben. Eine Aktualisierung verringert nicht das Gesamtschutzniveau der personenbezogenen Kundendaten.

Anhang 1. Beschreibung der Verarbeitung

• Gegenstand und Dauer: Erbringung des Dienstes für den Kunden für die Laufzeit der Bedingungen und den anschließenden Abwicklungszeitraum.
• Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung (auch an vom Kunden aktivierte Marktplätze und Integrationen), Abgleichen, Einschränken, Löschen und Vernichten, mit automatisierten Mitteln, einschließlich KI-Modellen.
• Zweck: die vom Kunden genutzten Funktionen zur Verwaltung des Autohauses. Dazu gehören Bestands- und Fahrzeugverwaltung, die Händler-Website, die Veröffentlichung auf Marktplätzen, Lead- und Kundenverwaltung, Verkauf, Verträge, Garantien, Rechnungen und Finanzverwaltung, Kampagnen, Dokumente sowie die KI-Funktionen und Konnektoren.
• Kategorien betroffener Personen:
  • Kunden und Interessenten des Kunden (Käufer, Verkäufer, Eigentümer von Inzahlungnahmefahrzeugen, Bürgen);
  • Leads und Personen, die Anfragen stellen;
  • Besucher der Händler-Website des Kunden;
  • Mitarbeiter und Auftragnehmer des Kunden;
  • sonstige vom Kunden erfasste Personen.
• Kategorien personenbezogener Daten:
  • Identifikations- und Kontaktdaten: Name, E-Mail, Telefon, Postanschrift;
  • Identifikations- und Steuernummern, Ausweisnummern und Geburtsdaten, soweit der Kunde sie für Verträge, Rechnungen oder Zulassungen erfasst;
  • mit einer Person verknüpfte Fahrzeug- und Transaktionsdaten (Fahrzeug-Identifizierungsnummer, Kennzeichen, Ankauf, Verkauf, Inzahlungnahme, Preise, Zahlungen, Finanzierung, Garantie);
  • Kommunikation und Notizen;
  • vom Kunden hochgeladene Dokumente;
  • technische Daten über Besucher der Händler-Website.
• Besondere Kategorien: keine vorgesehen. Siehe Abschnitt 1.3.

Anhang 2. Technische und organisatorische Maßnahmen

• Verschlüsselung: Datenverkehr bei der Übertragung mit TLS verschlüsselt; Geheimnisse und Zugangsdaten im Ruhezustand verschlüsselt.
• Zugriffskontrolle: jeder Nutzer meldet sich einzeln über einen spezialisierten Authentifizierungsanbieter an, wobei Multi-Faktor-Authentifizierung verfügbar ist; der Zugriff ist rollenbasiert und auf das eigene Autohaus des Kunden beschränkt; der Zugriff von Mitarbeitern auf die Produktionsumgebung folgt dem Prinzip der minimalen Rechtevergabe und ist auf das Erforderliche beschränkt.
• Audit: Änderungen im Dashboard und über Konnektoren werden mit dem Nutzer oder Assistenten protokolliert, der sie vorgenommen hat.
• Trennung: jeder Datensatz ist seinem Autohaus zugeordnet, und Zugriffsprüfungen werden serverseitig durchgesetzt.
• Verfügbarkeit und Belastbarkeit: Hosting in der Europäischen Union, regelmäßige Datensicherungen, Überwachung und Alarmierung sowie Wiederherstellungsverfahren.
• Entwicklung und Änderungsmanagement: automatisierte Tests, Code-Reviews, Abhängigkeits- und Secret-Scanning sowie getrennte Entwicklungs-, Staging- und Produktionsumgebungen.
• Datenminimierung: Fehlerberichte enthalten keine Sitzungsaufzeichnung und keine identifizierenden Nutzerdaten; die Website-Analyse erfolgt ohne Cookies.
• Anbieter: Unterauftragsverarbeiter werden nach ihrer Sicherheit ausgewählt und vertraglich gebunden.
• Reaktion auf Vorfälle: dokumentierte Verfahren zur Erkennung, Eindämmung, Untersuchung und Meldung von Verletzungen des Schutzes personenbezogener Daten.

Anhang 3. Unterauftragsverarbeiter