zwischen der Werkstatt, die Carampel nutzt (Verantwortlicher), und Carampel (in Gründung), Ljubko Bilobrk, Velbert (Auftragsverarbeiter). Dieser Vertrag wird mit der Registrierung einer Werkstatt geschlossen und ist Bestandteil der Allgemeinen Geschäftsbedingungen.
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt die Software Carampel bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art und Zweck der Verarbeitung
Speicherung, Anzeige und Übermittlung von Daten zur digitalen Fahrzeugannahme, Inspektionsdokumentation und Kundenfreigabe, einschließlich der Erzeugung von Berichten und PDF-Dokumenten.
3. Art der Daten und Kreis der Betroffenen
- Kunden der Werkstatt: Name, Mobilfunknummer, optional E-Mail-Adresse; Antworten auf Berichte mit Zeitstempel.
- Fahrzeuge: Kennzeichen, Marke, Modell, Baujahr, Fahrgestellnummer, Kilometerstand.
- Inspektionen: Prüfergebnisse, Kommentare, Preise, Fotos, Videos, Sprachnotizen.
- Mitarbeiter der Werkstatt: Name, E-Mail-Adresse, Rolle, Nutzungszeitpunkte.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der dokumentierten Weisungen des Verantwortlichen. Weisungen erteilt der Verantwortliche durch Nutzung der Funktionen der Anwendung oder in Textform an hallo@carampel.de.
5. Technische und organisatorische Maßnahmen
- Verarbeitung und Speicherung ausschließlich in Rechenzentren in Frankfurt am Main (AWS eu-central-1).
- Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung.
- Mandantentrennung auf Datenbankebene (Row Level Security): Eine Werkstatt kann niemals Daten einer anderen sehen.
- Zugriff auf Fotos und Videos nur über kurzlebige signierte Adressen; Kundenberichte nur über lange, zufällige Links mit Ablauf nach 90 Tagen.
- Rollenbasierte Zugriffe (Mechaniker, Meister), Passwörter nur als Hash.
- Löschfunktion pro Kunde, die Fahrzeuge, Berichte und Medien vollständig entfernt.
- Tägliche Sicherungen durch den Datenbankanbieter.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 (Serverstandort Frankfurt am Main, AWS eu-central-1)
- Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA (Serverstandort Frankfurt am Main)
- Sendinblue GmbH (Brevo), Köpenicker Straße 126, 10179 Berlin
- Functional Software Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA
Änderungen werden mindestens 30 Tage vorher angekündigt; der Verantwortliche kann aus wichtigem Grund widersprechen.
7. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten, bei der Meldung von Datenschutzverletzungen (unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis) und bei Datenschutz-Folgenabschätzungen.
8. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
9. Löschung und Rückgabe
Nach Vertragsende werden alle Daten des Verantwortlichen innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann Berichte vorher als PDF exportieren.
10. Kontrollrechte
Der Verantwortliche kann sich durch Einholung von Auskünften und Nachweisen von der Einhaltung dieses Vertrags überzeugen.