Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wird zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der MUCA Software UG (haftungsbeschränkt) (nachfolgend „Auftragsverarbeiter“) geschlossen und ist Bestandteil des Nutzungsvertrags über die Carmuca-Software.

Der Auftragsverarbeiter verarbeitet im Rahmen der Erbringung der vertraglich vereinbarten Leistungen personenbezogene Daten im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO. Dieser AVV regelt die Rechte und Pflichten beider Parteien hinsichtlich des Datenschutzes.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die Bereitstellung der Carmuca Dealer Management Software als SaaS-Lösung, einschließlich aller damit verbundenen Speicher-, Verarbeitungs- und Übermittlungsvorgänge personenbezogener Daten.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag).

§ 2 Art der Daten und Kategorien betroffener Personen

Kategorien personenbezogener Daten:

• Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer)
• Kundendaten (Kommunikationshistorie, Kaufhistorie)
• Fahrzeugdaten (Fahrgestellnummer, Kennzeichen, technische Daten)
• Transaktionsdaten (Verträge, Rechnungen, Zahlungen, Kassenbucheinträge)
• Bankdaten (IBAN, BIC, Kontoumsätze: Betrag, Datum, Verwendungszweck, Gegenkontoinhaber) — ausschließlich über den regulierten Kontoinformationsdienst finAPI GmbH (PSD2/BaFin-lizenziert) abgerufen; Carmuca speichert keine Bankzugangsdaten
• Nutzerdaten des Autohauses (Benutzername, E-Mail-Adresse, Rolle, Gerätekennungen der Carmuca-Apps)
• KI-Copilot-Daten (Chat-Nachrichten, Tool-Ergebnisse, Session-Kontext — nur wenn der Kunde die Funktion freigeschaltet hat)

Kategorien betroffener Personen:

• Kunden und Interessenten des Autohauses
• Mitarbeiter und Nutzer des Autohauses
• Lieferanten und Geschäftspartner

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — im Rahmen des Nutzungsvertrags — und nicht für eigene Zwecke.

Alle mit der Verarbeitung befassten Personen wurden zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

Der Auftragsverarbeiter ergreift alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (vgl. § 4 dieses AVV).

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO.

§ 3a Zugriff durch Support und Betrieb

Berechtigte, zur Vertraulichkeit verpflichtete Mitarbeiter des Auftragsverarbeiters können auf das Kundenkonto des Verantwortlichen zugreifen, soweit dies zur Bearbeitung von Supportanfragen, zur Fehleranalyse, zur Unterstützung bei der Einrichtung oder zur Sicherstellung des Betriebs und der Sicherheit des Dienstes erforderlich ist. Eine Supportanfrage des Verantwortlichen gilt als Weisung für die zu ihrer Bearbeitung erforderlichen Zugriffe.

Der Zugriff erfolgt über eine zeitlich begrenzte Sitzung und nur im jeweils erforderlichen Umfang. Daten werden dabei nur verändert, soweit dies zur Erfüllung der Anfrage erforderlich oder vom Verantwortlichen gewünscht ist.

Ein im Dienst als „Support-Zugriff“ angezeigter Zugriff ist für den Verantwortlichen sichtbar und ausschließlich lesend.

Jeder Zugriff wird mit Zeitpunkt, Mitarbeiter und betroffenem Konto protokolliert. Der Verantwortliche erhält auf Anfrage Auskunft über die Zugriffe auf sein Konto.

§ 4 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen getroffen:

• Transportverschlüsselung (TLS 1.2/1.3) und Verschlüsselung der Daten in der Datenbank (Encryption at Rest)
• Zugriffskontrolle: Starkes Passwort-Hashing (bcrypt), rollenbasiertes Berechtigungsmanagement, Prinzip der minimalen Rechtevergabe
• Pseudonymisierung sensibler Felder (z. B. Bankkonten via AES-256-GCM-Verschlüsselung)
• Regelmäßige automatisierte Datensicherungen mit Wiederherstellungsmöglichkeit
• Serverstandorte ausschließlich innerhalb der EU (Frankfurt, Deutschland)
• Umfangreiches Audit-Log-System zur Nachvollziehbarkeit von Datenänderungen
• Kontinuierliche Fehler- und Sicherheitsüberwachung
• Mandantentrennung: Strikte logische Trennung der Daten aller Kunden durch dealership-basierte Zugriffskontrollen

§ 5 Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Beauftragung der nachfolgend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung oder Austausch) mit angemessener Vorlaufzeit.

Der Verantwortliche kann beabsichtigten Änderungen aus datenschutzrechtlichen Gründen innerhalb von 14 Tagen nach Ankündigung widersprechen.

Aktuelle Unterauftragsverarbeiter:

• Railway Corporation — Hosting der Anwendungs- und Hintergrundprozesse (Deploy-Region EU West / Amsterdam, Niederlande) — DPA gemäß Art. 28 DSGVO; Standardvertragsklauseln soweit erforderlich
• Supabase Inc. — Datenbankhosting und Authentifizierung (AWS eu-central-1, Frankfurt, Deutschland) — Standardvertragsklauseln gemäß Art. 46 DSGVO
• Hetzner Online GmbH — Objektspeicher (Nürnberg, Deutschland) — EU-Rechenzentrum
• Mollie B.V. — SEPA-Lastschrift Zahlungsabwicklung (Amsterdam, Niederlande) — EU-Rechenzentrum
• Stripe Payments Europe Ltd. — Zahlungsabwicklung (Dublin, Irland) — EU-Rechenzentrum
• Functional Software Inc. (Sentry) — Fehlerüberwachung und Performance-Monitoring (USA) — Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO
• Google Ireland Limited / Google LLC — Zustellung von Push-Mitteilungen an die Carmuca-Apps (Firebase Cloud Messaging); verarbeitet Gerätekennung und Mitteilungsinhalt (Titel, Kurztext, Zielseite), auch in den USA — Firebase-Datenverarbeitungsbedingungen mit Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO
• Apple Inc. — Zustellung von Push-Mitteilungen an iPhone und iPad (Apple Push Notification Service), nur bei Nutzung der iOS-App; verarbeitet Gerätekennung und Mitteilungsinhalt (USA)
• finAPI GmbH — BaFin-regulierter Kontoinformationsdienst (AIS) gemäß PSD2 für den Abruf von Bankumsätzen (München, Deutschland) — EU-Rechenzentrum; Carmuca speichert keine Bankzugangsdaten — diese verbleiben ausschließlich bei finAPI
• OpenAI, L.L.C. — KI-Verarbeitung (Chat Completions API) für optional freigeschaltete Funktionen, insbesondere den KI Copilot sowie weitere KI-gestützte Text-, Bild- und OCR-Funktionen (USA) — Standardvertragsklauseln (SCCs) gem. Art. 46 DSGVO; API-Daten werden gemäß OpenAI Business/API-Bedingungen nicht zum Training der Modelle verwendet

§ 5a Optionale KI-Verarbeitung (KI Copilot)

Sofern der Verantwortliche den KI Copilot in den Einstellungen aktiviert, verarbeitet der Auftragsverarbeiter Chat-Anfragen von berechtigten Nutzern des Autohauses mittels der OpenAI API im Auftrag des Verantwortlichen.

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen durch Aktivierung der Funktion und Vergabe der Berechtigung ai_agent. Der Verantwortliche ist dafür verantwortlich, Betroffene angemessen zu informieren und die Datenminimierung zu beachten.

Chat-Verläufe und ausstehende Aktionen werden zusätzlich in der Carmuca-Datenbank (EU) gespeichert, bis sie gelöscht werden oder die Session endet.

Der Verantwortliche kann die Funktion jederzeit deaktivieren; danach werden keine neuen KI-Anfragen mehr an OpenAI übermittelt.

§ 6 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen — soweit möglich und zumutbar — bei der Erfüllung von Betroffenenrechten gemäß Art. 12–23 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

Datenexport- und Löschfunktionen stehen dem Verantwortlichen direkt in der Software zur Verfügung.

§ 7 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags werden alle personenbezogenen Daten des Verantwortlichen für 30 Tage aufbewahrt, um einen abschließenden Datenexport zu ermöglichen. Danach werden die Daten unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Verantwortliche kann jederzeit und insbesondere vor der Löschung einen vollständigen Datenexport in maschinenlesbarem Format anfordern.

Bankumsatzdaten werden nur so lange gespeichert, wie sie für den Abgleich mit Vorgängen (z. B. Rechnungen, Verkäufen, Einkäufen) erforderlich sind. Abruf und Speicherung nicht zugeordneter Umsätze sind auf höchstens zwölf Monate begrenzt; die jeweils geltende Frist wird in der Anwendung im Bereich „Konten“ angezeigt. Ältere nicht zugeordnete Umsätze werden automatisch gelöscht. Zugeordnete Umsätze bleiben gespeichert, solange die Bankverbindung besteht; die daraus entstandene Zahlung (Betrag, Datum, Verwendungszweck) ist Teil des jeweiligen Vorgangs und unterliegt den Löschregeln dieses Vertrags sowie gesetzlichen Aufbewahrungspflichten. Beim Trennen einer Bankverbindung werden die zugehörigen finAPI-Tokens (Access/Refresh) und die zwischengespeicherten Umsatzdaten unverzüglich aus den Systemen des Auftragsverarbeiters gelöscht. Die Löschung beim Unterauftragsverarbeiter finAPI GmbH wird automatisch veranlasst.

§ 8 Kontrollrechte des Verantwortlichen

Der Verantwortliche ist berechtigt, die Einhaltung der Datenschutzvorschriften und der vereinbarten Maßnahmen durch den Auftragsverarbeiter in angemessenem Rahmen zu überprüfen oder durch Dritte überprüfen zu lassen.

Prüfungen sind mit einer Vorankündigung von mindestens 14 Tagen durchzuführen, auf die Betriebsabläufe des Auftragsverarbeiters Rücksicht zu nehmen und auf das Notwendige zu beschränken.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnisnahme.

Die Meldung an den Verantwortlichen erfolgt ohne unangemessene Verzögerung. Der Verantwortliche ist selbst für die Meldung an die zuständige Aufsichtsbehörde verantwortlich (gemäß Art. 33 DSGVO: möglichst innerhalb von 72 Stunden nach Kenntnisnahme durch den Verantwortlichen).

§ 10 Drittlandübermittlungen

Einzelne Unterauftragsverarbeiter (insbesondere Supabase Inc., Functional Software Inc./Sentry, Google LLC und Apple Inc. für Push-Mitteilungen an die Carmuca-Apps sowie — bei aktiviertem KI Copilot oder anderen KI-Funktionen — OpenAI, L.L.C.) haben ihren Sitz in den USA oder verarbeiten Daten auf Servern außerhalb der EU. Für diese Übermittlungen gelten die Standardvertragsklauseln (SCCs) der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO bzw. ein Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework), soweit der Empfänger danach zertifiziert ist. Eine aktuelle Übersicht der Übermittlungsgrundlagen ist auf Anfrage beim Anbieter erhältlich.

§ 10a Änderungen dieses Vertrags

Der Auftragsverarbeiter ist berechtigt, diesen Vertrag jederzeit zu ändern. Änderungen werden dem Verantwortlichen mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail und/oder durch einen Hinweis im Dienst bekannt gegeben. Widerspricht der Verantwortliche der Änderung nicht innerhalb dieser Frist schriftlich oder per E-Mail, gilt der geänderte Vertrag als angenommen. Auf dieses Widerspruchsrecht und die Folgen eines ausbleibenden Widerspruchs wird in der Ankündigung ausdrücklich hingewiesen. Bei Widerspruch ist der Auftragsverarbeiter berechtigt, den Nutzungsvertrag zum Zeitpunkt des Inkrafttretens der Änderungen zu kündigen. Für Änderungen bei Unterauftragsverarbeitern gilt § 5.

§ 11 Ansprechpartner

Für datenschutzrechtliche Anfragen im Rahmen dieses AVV ist der Anbieter wie folgt erreichbar:

Ein gesetzlich bestellter Datenschutzbeauftragter ist derzeit nicht erforderlich. Bei datenschutzrechtlichen Fragen wenden Sie sich bitte direkt an die oben genannte E-Mail-Adresse.