Auftragsverarbeitungsvertrag (DPA)
Gültig ab: September 2026
Este documento tiene validez legal únicamente en su versión en español. Las versiones en otros idiomas son traducciones de referencia. / This document is legally binding only in its Spanish version.
1. Parteien und Geltungsbereich
Dieser Vertrag ist Bestandteil der AGB und regelt die Verarbeitung personenbezogener Daten, die MecánicOS im Auftrag der Werkstatt bei Nutzung des Dienstes vornimmt (Art. 28 DSGVO).
- Auftragsverarbeiter: der im Impressum genannte Anbieter (Handelsname MecánicOS).
- Verantwortlicher: die Werkstatt (natürliche oder juristische Person), die Inhaberin des Kontos ist und deren Daten dort hinterlegt sind.
Er gilt mit der Annahme der Bedingungen und der Nutzung des Dienstes als akzeptiert. Die Werkstatt kann ihn jederzeit auf dieser Seite einsehen und eine Kopie aufbewahren.
2. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um den in den Bedingungen beschriebenen Werkstattverwaltungsdienst zu erbringen. Die Dauer entspricht der des Vertragsverhältnisses (einschließlich Testphase) zuzüglich der angemessenen Frist für Rückgabe oder Löschung der Daten.
3. Art, Zweck, Daten und Betroffene
- Art der Verarbeitung: Hosting, Speicherung, Abfrage, Organisation und Dokumentenerstellung; Versand von E-Mails auf Veranlassung des Verantwortlichen; Sicherungskopien.
- Zweck: laufende Verwaltung der Werkstatt des Verantwortlichen.
- Datenarten: Identifikations- und Kontaktdaten von Kunden; Fahrzeuge; Verlauf von Aufträgen, Reparaturen und Dokumenten (Angebote, Lieferscheine, Rechnungen); Fotos, Unterschriften und Notizen; Daten der Nutzer der Werkstatt (Name, E-Mail, Rolle).
- Kategorien Betroffener: Kunden der Werkstatt und deren Kontakte, Nutzer und Mitarbeiter der Werkstatt sowie Lieferanten, die natürliche Personen sind.
- Die Verarbeitung besonderer Datenkategorien ist nicht vorgesehen; der Verantwortliche vermeidet deren Eingabe.
4. Pflichten des Auftragsverarbeiters
- Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten. Die Bedingungen, dieser Vertrag und die Nutzung der Funktionen des Dienstes stellen diese Weisungen dar.
- Den Verantwortlichen informieren, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.
- Sicherstellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
- Dem Risiko angemessene technische und organisatorische Maßnahmen ergreifen (Art. 32 DSGVO), darunter: Verschlüsselung bei der Übertragung, Nutzerauthentifizierung, rollenbasierte Zugriffskontrolle, logische Trennung der Daten jeder Werkstatt und Aktivitätsprotokolle.
- Dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung stellen und angemessene Prüfungen zulassen – mit angemessener Vorankündigung, zu Geschäftszeiten, ohne Sicherheit oder Daten Dritter zu gefährden und vorzugsweise anhand von Unterlagen und Zertifizierungen. Die Kosten trägt, wer die Prüfung verlangt, es sei denn, sie deckt einen Verstoß des Auftragsverarbeiters auf.
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die folgenden Unterauftragsverarbeiter. Der Auftragsverarbeiter legt ihnen gleichwertige Pflichten auf und haftet gegenüber dem Verantwortlichen für deren Einhaltung.
| Unterauftragsverarbeiter | Leistung | Hinweise |
|---|---|---|
| Google (Firebase) | Datenbank, Authentifizierung und Dateispeicherung | Kann Übermittlungen außerhalb des EWR umfassen (Abschnitt 10) |
| Vercel | Hosting und Betrieb der Anwendung | Kann Übermittlungen außerhalb des EWR umfassen (Abschnitt 10) |
| Cloudinary | Speicherung und Auslieferung von Fotos | Kann Übermittlungen außerhalb des EWR umfassen (Abschnitt 10) |
| Resend | Versand von E-Mails auf Veranlassung des Verantwortlichen | Kann Übermittlungen außerhalb des EWR umfassen (Abschnitt 10) |
| Anthropic | KI-Assistent, nur wenn ein Nutzer ihn verwendet und mit dem von ihm gesendeten Kontext | Kann Übermittlungen außerhalb des EWR umfassen (Abschnitt 10) |
| Sentry | Fehlerüberwachung (Server in der EU); Endkundendaten sollen nicht gesendet werden | Technische Daten |
Der Auftragsverarbeiter informiert den Verantwortlichen über jede Hinzufügung oder Ersetzung von Unterauftragsverarbeitern mit mindestens 30 Tagen Vorlauf, per E-Mail an den Kontokontakt oder durch einen Hinweis im Dienst. Der Verantwortliche kann in dieser Frist aus vernünftigen Datenschutzgründen widersprechen; wird keine Lösung gefunden, kann er den Dienst ohne Vertragsstrafe kündigen.
6. Unterstützung des Verantwortlichen
- Rechte der Betroffenen: eingehende Anfragen innerhalb angemessener Frist an den Verantwortlichen weiterleiten und ihm die Werkzeuge des Dienstes (Export, Berichtigung und Löschung) zu deren Bearbeitung bereitstellen.
- Sicherheit, Verletzungen, Folgenabschätzungen und vorherige Konsultationen: die verfügbaren Informationen bereitstellen und angemessen mitwirken, wenn der Verantwortliche diese durchführen muss.
7. Verletzungen des Schutzes personenbezogener Daten
Wird dem Auftragsverarbeiter eine Verletzung des Schutzes der im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten bekannt, teilt er sie dem Verantwortlichen unverzüglich per E-Mail an den Kontokontakt der Werkstatt (den registrierten Inhaber oder Administrator) mit. Die Mitteilung enthält, soweit verfügbar: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle. Der Verantwortliche entscheidet, ob er die Aufsichtsbehörde und die Betroffenen benachrichtigen muss.
8. Rückgabe oder Löschung
Nach Ende des Dienstes kann der Inhaber in den Einstellungen eine versionierte, verschlüsselte lokale Sicherung erstellen. Sie enthält die wiederherstellbaren Daten und herunterladbaren Dateien; das Manifest weist Auslassungen aus und schließt Zugangsdaten und Geheimnisse aus. Nach der Kündigung löscht oder gibt der Auftragsverarbeiter die Daten innerhalb angemessener Frist zurück, sofern keine rechtliche Aufbewahrungspflicht besteht, unbeschadet der Sicherungskopien der Unterauftragsverarbeiter nach deren Aufbewahrungsrichtlinien.
9. Pflichten des Verantwortlichen
Der Verantwortliche sichert zu, für die eingegebenen Daten über eine Rechtsgrundlage und ausreichende Informationen zu verfügen und dass seine Weisungen dem Recht entsprechen.
10. Internationale Übermittlungen
Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (etwa das EU-US Data Privacy Framework, wenn der Anbieter zertifiziert ist), auf Standardvertragsklauseln der Europäischen Kommission oder auf eine andere Garantie nach Kapitel V DSGVO.
11. Anwendbares Recht
Dieser Vertrag unterliegt der DSGVO (EU) 2016/679 und dem LOPDGDD (spanisches Organgesetz 3/2018). Es gilt spanisches Recht; zuständig sind die nach den anwendbaren Vorschriften bestimmten Gerichte.
12. Laufzeit und Änderungen
Gültig, solange das Vertragsverhältnis besteht. Bei wesentlichen Rechtsänderungen wird er mit 30 Tagen Vorlauf per E-Mail oder Hinweis im Dienst aktualisiert.