Auftragsverarbeitungsvertrag

1. Parteien

2. Gegenstand

CamperTech verarbeitet in seiner Eigenschaft als Auftragsverarbeiter personenbezogene Daten im Auftrag der Kundenwerkstatt (Verantwortlicher) ausschließlich zur Erbringung des im Dienstleistungsvertrag beschriebenen Dienstes zur Verwaltung von Camper-Ausbau-Werkstätten und in keinem Fall für eigene oder andere als die dort festgelegten Zwecke.

3. Art und Zweck der Verarbeitung

4. Pflichten des Auftragsverarbeiters (CamperTech)

• Die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten. Ist er der Auffassung, dass eine Weisung gegen die DSGVO verstößt, teilt er dies unverzüglich mit.
• Zu gewährleisten, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind.
• Geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit der Daten zu gewährleisten (Verschlüsselung bei der Übertragung, Zugriffskontrolle, Sicherungen).
• Die Bedingungen für die Inanspruchnahme eines weiteren Auftragsverarbeiters (Unterauftragsverarbeiter) einzuhalten und den Verantwortlichen vorab über jede beabsichtigte Änderung zu informieren, die ihn betrifft, wobei ihm die Möglichkeit eingeräumt wird, Einspruch zu erheben.
• Den Verantwortlichen bei der Erfüllung seiner Pflichten im Zusammenhang mit der Ausübung der Rechte der betroffenen Personen zu unterstützen.
• Den Verantwortlichen bei der Einhaltung der Pflichten zur Sicherheit (Art. 32-36 DSGVO), zur Meldung von Datenschutzverletzungen und zu Folgenabschätzungen zu unterstützen.
• Nach Beendigung des Vertrags alle Daten nach Weisung des Verantwortlichen zu löschen oder an ihn zurückzugeben und vorhandene Kopien zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus diesem Vertrag zur Verfügung zu stellen.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt CamperTech, die folgenden Unterauftragsverarbeiter in Anspruch zu nehmen, die für die Erbringung des Dienstes erforderlich sind:

• Supabase Inc. — Datenbank und Authentifizierung (Region Irland, EU)
• Hetzner Online GmbH — Anwendungsserver (Nürnberg, Deutschland)
• Stripe Inc. — Zahlungsgateway (USA, mit Standardvertragsklauseln)
• Resend — Versand der E-Mails, die die Plattform im Namen der Werkstatt verschickt, etwa Angebote und Erinnerungen (USA, mit Standardvertragsklauseln)

Darüber hinaus nutzt CamperTech Google Analytics (Google Ireland Limited), um Nutzungsstatistiken der Plattform zu erstellen, und zwar nur, wenn der Nutzer im Cookie-Banner einwilligt. Bei dieser Verarbeitung handelt CamperTech in eigener Verantwortung und nicht als Unterauftragsverarbeiter: Google Analytics erhält keine Daten, die der Verantwortliche in die Plattform eingibt (Kunden, Fahrzeuge, Angebote), und wird auf den öffentlichen Seiten des Angebots und des Kundenportals nicht geladen.

CamperTech informiert den Verantwortlichen rechtzeitig über jede beabsichtigte Änderung der Liste der Unterauftragsverarbeiter und räumt ihm eine angemessene Frist für einen Einspruch ein.

6. Internationale Datenübermittlungen

Die Daten werden hauptsächlich auf Servern in der EU bzw. im EWR gespeichert (Supabase Irland, Hetzner Deutschland). Die Nutzung von Stripe beinhaltet eine Übermittlung in die USA, die durch von der Europäischen Kommission genehmigte Standardvertragsklauseln gemäß Art. 46 DSGVO abgedeckt ist. Der E-Mail-Versand über Resend beinhaltet ebenfalls eine Übermittlung in die USA, die durch dieselben Garantien abgedeckt ist.

7. Laufzeit

Dieser Vertrag gilt, solange der Dienstleistungsvertrag zwischen der Werkstatt und CamperTech in Kraft ist. Nach dessen Beendigung wird CamperTech die Daten gemäß Klausel 4 löschen oder zurückgeben.

8. Verantwortlichkeiten

Der Verantwortliche gewährleistet, dass er über eine Rechtsgrundlage für die Verarbeitung der Daten seiner Endkunden verfügt und seine eigenen Informations- und Transparenzpflichten erfüllt hat. CamperTech übernimmt keinerlei Haftung für Verarbeitungen außerhalb des Rahmens des beauftragten Dienstes oder für Daten, die der Verantwortliche ohne geeignete Rechtsgrundlage eingegeben hat. Keine der vorstehenden Bestimmungen beschränkt die Haftung der Parteien gegenüber den betroffenen Personen nach Art. 82 DSGVO oder die Haftung für Vorsatz und grobe Fahrlässigkeit.

9. Anwendbares Recht

Dieser Vertrag unterliegt der Verordnung (EU) 2016/679 (DSGVO) und dem spanischen Organgesetz 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte (LOPDGDD). Für alle Streitigkeiten unterwerfen sich die Parteien den Gerichten von Girona, unbeschadet von Beschwerden bei der Agencia Española de Protección de Datos (spanische Datenschutzbehörde, www.aepd.es).