AVV

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der im AVV-Kurzvertrag angekreuzten und im zugehörigen Auftrag vereinbarten Leistungen.

(2) Dauer. Diese Vereinbarung läuft synchron mit dem Auftrag und endet automatisch mit dessen Beendigung. Die nachvertraglichen Pflichten, insbesondere zur Löschung oder Rückgabe der Daten (§ 9), bleiben unberührt.

§ 2 Art und Zweck der Verarbeitung

Grundverarbeitung (bei jedem Auftrag):

a) Entgegennahme und Weiterleitung von Anfragen über das Kontaktformular der Website an den Auftraggeber, damit dieser sie beantworten kann,

b) cookielose Anfragen-Messung: Erfassung, ob und über welchen Kanal (Formularabsendung, Telefon-Klick, E-Mail-Klick, WhatsApp-Klick) eine Anfrage ausgelöst wurde, zur Erfolgsmessung der Website,

c) technischer Betrieb und Pflege der zugehörigen Website-Funktionen.

Zusätzlich, je nachdem, welcher Baustein im AVV-Kurzvertrag angekreuzt ist:

KI-gestützter Chatbot — Entgegennahme von Chat-Nachrichten der Website-Besucher, Weiterleitung des Gesprächsinhalts zur Erzeugung einer Antwort an einen KI-Anbieter (Anhang 2), Weiterleitung vom Besucher selbst hinterlassener Kontaktangaben an den Auftraggeber.

Inzahlungnahme-Formular — Entgegennahme von Fahrzeug- und Kontaktangaben einer Person, die ihr Fahrzeug in Zahlung geben möchte, Weiterleitung an den Auftraggeber.

Probefahrt-Buchung — Entgegennahme von Terminwunsch, Kontaktdaten und, soweit erhoben, Führerschein- bzw. Ausweisangaben einer Person, die eine Probefahrt vereinbaren möchte, Weiterleitung an den Auftraggeber.

Finanzierungsrechner mit Anfragefunktion — Entgegennahme der von der anfragenden Person eingegebenen Finanzierungsdaten (z. B. gewünschte Rate, Anzahlung, Laufzeit), Weiterleitung an den Auftraggeber. Ein reiner Berechnungsrechner ohne Absende-Funktion, bei dem alle Eingaben nur im Browser der besuchenden Person bleiben, verarbeitet keine personenbezogenen Daten und löst diesen Punkt nicht aus.

Newsletter- bzw. CRM-Synchronisation — Abgleich von Kontaktdaten zwischen dem System des Auftraggebers und der eingesetzten Newsletter-Plattform.

WhatsApp Business Cloud API — Versand und Empfang von WhatsApp-Nachrichten über eine an den Auftraggeber angebundene WhatsApp-Business-Nummer. Ein reiner wa.me-Verweislink auf die eigene WhatsApp-Nummer des Auftraggebers ohne API-Anbindung löst dagegen keine Verarbeitung durch den Auftragnehmer aus und ist nicht Gegenstand dieser Vereinbarung.

Airbnb-Gastgeberkonto — Einrichtung und Pflege von Inseraten im Airbnb-Gastgeberkonto des Auftraggebers, wahlweise über einen vom Auftraggeber eingeräumten Co-Host-Zugang oder gemeinsam am Gerät des Auftraggebers in dessen Anwesenheit. Der Auftragnehmer erhält dabei Einblick in die im Konto gespeicherten Gäste-, Buchungs- und Nachrichtendaten und verwendet sie ausschließlich zur Einrichtung, Prüfung und Übergabe der Inserate. Er erhält keine Zugangsdaten des Auftraggebers, führt keine laufende Gästekommunikation und speichert keine Gästedaten außerhalb des Kontos.

Klarstellung: Die reine Anzeige des Fahrzeugbestands (Übernahme von Marke, Modell, Preis, Ausstattung und Bildern aus mobile.de/AutoScout24 auf die eigene Website) verarbeitet für sich genommen keine personenbezogenen Daten Dritter und ist daher kein eigener Verarbeitungspunkt. Personenbezogene Daten entstehen erst, wenn eine besuchende Person über ein anhängendes Formular (Inzahlungnahme, Probefahrt) selbst Angaben einreicht.

(2) Art der Verarbeitung. Erhebung, Erfassung, Speicherung, Auslesen, Verwendung, Übermittlung (an den Auftraggeber sowie an die in Anhang 2 genannten Unterauftragsverarbeiter), Löschung.

§ 3 Art der personenbezogenen Daten

Je nach den im AVV-Kurzvertrag angekreuzten Bausteinen werden insbesondere verarbeitet:

a) Stammdaten: Vor- und Nachname,

b) Kontaktdaten: E-Mail-Adresse, Telefonnummer,

c) Anfragedaten: Nachrichteninhalt, gewünschter Termin bzw. Zeitraum, Angaben zum Fahrzeug (z. B. Marke, Modell, Baujahr, amtliches Kennzeichen, soweit angegeben),

d) bei gebuchter Probefahrt-Buchung, soweit erhoben: Führerschein- bzw. Ausweisangaben,

e) bei gebuchtem Finanzierungsrechner mit Anfragefunktion: die eingegebenen Finanzierungsdaten,

f) bei gebuchtem Chatbot: der Inhalt des Gesprächsverlaufs,

g) bei gebuchtem Airbnb-Gastgeberkonto: Gästestammdaten (Name, Profilangaben), Buchungsdaten (Zeitraum, Personenzahl, Preis) und Nachrichten zwischen Gast und Auftraggeber, soweit sie im Konto einsehbar sind,

h) technische Metadaten: IP-Adresse (während der Sitzung bzw. kurzzeitig zur Missbrauchsabwehr), Zeitstempel, grobe Geräteklasse.

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO werden weder erhoben noch angefordert. Gibt eine anfragende Person solche Angaben unaufgefordert von sich aus an, werden diese ausschließlich zur Bearbeitung des Anliegens an den Auftraggeber weitergeleitet und vom Auftragnehmer nicht darüber hinaus ausgewertet.

§ 4 Kategorien betroffener Personen

a) Kunden und Interessenten, die über die Website des Auftraggebers eine der im AVV-Kurzvertrag angekreuzten Funktionen nutzen,

b) Personen, die über das Kontaktformular der Website eine Nachricht senden,

c) bei gebuchtem Airbnb-Gastgeberkonto: Gäste und Buchungsinteressenten des Auftraggebers, deren Daten im Gastgeberkonto gespeichert sind.

§ 5 Pflichten des Auftragnehmers

(1) Verarbeitung nach Weisung. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Auftrag samt dieser Vereinbarung stellt die initiale Generalweisung dar. Weitere Weisungen erteilt der vom Auftraggeber benannte verantwortliche Ansprechpartner in Textform.

(2) Vertraulichkeit. Der Auftragnehmer hat alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet. Setzt der Auftragnehmer weitere Personen ein (§ 3 Abs. 4 der AGB), wird deren Verschwiegenheitsverpflichtung sichergestellt.

(3) Technische und organisatorische Maßnahmen (TOMs). Der Auftragnehmer trifft alle erforderlichen Maßnahmen nach Art. 32 DSGVO. Die bestehenden TOMs sind in Anhang 1 beschrieben.

(4) Unterstützung des Verantwortlichen. Der Auftragnehmer unterstützt den Auftraggeber bei Anträgen betroffener Personen (Art. 15-22 DSGVO), bei Meldungen von Datenschutzverletzungen (Art. 33, 34 DSGVO) sowie bei Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO).

(5) Meldung von Verletzungen. Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens binnen 24 Stunden nach Kenntnisnahme, über jede Verletzung des Schutzes personenbezogener Daten.

(6) Verarbeitungsverzeichnis. Der Auftragnehmer führt ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag gemäß Art. 30 Abs. 2 DSGVO.

(7) Anzeige bei rechtlich zweifelhaften Weisungen. Hält der Auftragnehmer eine Weisung für rechtswidrig, zeigt er dies unverzüglich an und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

§ 6 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber ist berechtigt, sich regelmäßig (mindestens einmal jährlich) von der Einhaltung der TOMs zu überzeugen, grundsätzlich durch schriftliche Selbstauskunft. Vor-Ort-Prüfungen sind nach Anmeldung mit angemessener Frist (mindestens 14 Tage) während der üblichen Geschäftszeiten möglich.

(2) Die Kosten einer Vor-Ort-Prüfung trägt der Auftraggeber, sofern keine wesentlichen Verstöße festgestellt werden.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anhang 2 aufgeführten Unterauftragsverarbeiter, jeweils nur soweit der zugehörige Baustein im AVV-Kurzvertrag angekreuzt ist.

(2) Der Auftragnehmer informiert den Auftraggeber rechtzeitig in Textform über die geplante Beauftragung weiterer oder den Austausch bestehender Unterauftragsverarbeiter. Der Auftraggeber kann innerhalb von 14 Kalendertagen aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf vergleichbare Datenschutzpflichten.

(4) Drittlandtransfer. Soweit Unterauftragsverarbeiter außerhalb des EWR eingesetzt werden (insbesondere Vercel Inc., Anthropic PBC und ggf. Meta Platforms, Inc., jeweils USA), erfolgt der Transfer ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO, derzeit der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3, Auftragsverarbeiter→Unterauftragsverarbeiter) bzw., soweit der jeweilige Anbieter danach zertifiziert ist, des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzt um technische Schutzmaßnahmen (Transportverschlüsselung, Zugriffsbeschränkung, Datenminimierung).

§ 8 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Wahrnehmung der Rechte betroffener Personen (Art. 15-22 DSGVO).

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Mit Beendigung des Auftrags gibt der Auftragnehmer die verarbeiteten Daten in einem gängigen, maschinenlesbaren Format (CSV oder JSON) heraus.

(2) Innerhalb von 30 Kalendertagen nach Übergabe löscht der Auftragnehmer alle bei ihm und seinen Unterauftragsverarbeitern gespeicherten personenbezogenen Daten, einschließlich Sicherungskopien, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung wird auf Anfrage in Textform bestätigt.

(3) Aufbewahrungspflichten nach Handels- und Steuerrecht (§ 257 HGB, § 147 AO) bleiben unberührt.

§ 10 Haftung und Schlussbestimmungen

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie nach den Regelungen der AGB des Auftragnehmers, auf die der zugehörige Auftrag Bezug nimmt.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Auftrag bzw. den AGB gehen für datenschutzrechtliche Fragen die Regelungen dieser Vereinbarung vor.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht, ergänzend die DSGVO. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anhang 1: Technische und organisatorische Maßnahmen (TOMs)

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO). Arbeitsgeräte ausschließlich am privaten Arbeitsplatz des Auftragnehmers (verschlossene Räume, Zugang nur durch den Auftragnehmer); Festplattenverschlüsselung; Login per Benutzerkonto, komplexes Passwort und biometrische Zwei-Faktor-Authentifizierung; Bildschirmsperre nach 5 Minuten. Konten externer Dienste mit individuellen, mindestens 16-stelligen Passwörtern und durchgängiger Zwei-Faktor-Authentifizierung; Verwaltung im verschlüsselten Passwortmanager. Logische Mandantentrennung (eigene Workflows, Datenbank-Schemata, Listen, Repositories je Auftraggeber).

Integrität. Datenübertragung ausschließlich über TLS 1.2 oder höher; API-Schlüssel in serverseitigen Umgebungsvariablen, nicht im Quellcode; Änderungen an Konfiguration und Quellcode versioniert (Git) mit Autoren- und Zeitstempel.

Verfügbarkeit und Belastbarkeit. Eigener Automatisierungsserver (n8n) auf einem verschlüsselten EU-Server mit täglichem Backup; externe Dienste mit eigenen Hochverfügbarkeitskonzepten; Wiederherstellung innerhalb von 24 Stunden möglich.

Regelmäßige Überprüfung. Jährliche Überprüfung der TOMs; Incident-Response binnen 24 Stunden; Datenminimierung; Pseudonymisierung interner Vorgangs-IDs in Benachrichtigungen.

Anhang 2: Verzeichnis der Unterauftragsverarbeiter

Grundverarbeitung (immer, bei jedem Auftrag):

Zusätzlich, nur wenn der zugehörige Baustein im AVV-Kurzvertrag angekreuzt ist:

Beim Baustein Airbnb-Gastgeberkonto setzt der Auftragnehmer keinen Unterauftragsverarbeiter ein. Airbnb Ireland UC steht mit dem Auftraggeber in einem eigenen Vertragsverhältnis und ist nicht Unterauftragsverarbeiter des Auftragnehmers; die Daten verbleiben im Konto des Auftraggebers.

Hinweis (vor Live-Schaltung zu bestätigen): Wird zu einem späteren Zeitpunkt eine zusätzliche Funktion aktiviert, über die personenbezogene Daten verarbeitet werden, so wird der jeweils eingesetzte Anbieter vor Einbindung gemäß § 7 Abs. 2 als Unterauftragsverarbeiter aufgenommen bzw., sofern er als eigener Verantwortlicher auftritt, gesondert vertraglich geregelt.