Vertrag zur Auftragsverarbeitung (Werkstätten)

Vertrag nach Art. 28 DSGVO zwischen der Werkstatt (Verantwortliche) und Werkstattlotse – Fatih Sürücüoglu, Flenderstr. 83, 23569 Lübeck (Auftragsverarbeiter). Er ist Bestandteil der Bedingungen für Werkstätten. Er kommt mit deren Annahme vor der ersten Nutzung der Werkstatt-Software zustande (Bedingungen für Werkstätten Nr. 2) – elektronisch, wie es Art. 28 Abs. 9 DSGVO zulässt – und gilt ab dann für alle Daten, die die Werkstatt in der Software verarbeitet, im Testzeitraum, ohne Tarif und während einer Sperre nach Nr. 4 der Bedingungen für Werkstätten. Angenommen wird er nach der Freischaltung; bis dahin öffnet die Werkstatt-Software keine Daten des Betriebs. Werkstattlotse speichert die Annahme mit Fassung, Zeitpunkt, Namen und Konto; die Vertragsbestätigung mit diesem Text lädt die Werkstatt jederzeit unter „Konto“ → „Tarif & Vertrag“ herunter.

1. Gegenstand, Art und Zweck

Der Auftragsverarbeiter betreibt die Werkstatt-Software (Kalender, Eingang, Aufträge, Kostenvoranschläge, Material und Kalkulation, Mitarbeiterzugänge) und verarbeitet dabei die Daten, die die Werkstatt für ihren Betrieb eingibt. Zweck ist die Bereitstellung der Software im Auftrag der Werkstatt. Rechnungen an ihre Kunden stellt die Werkstatt selbst. Nur wenn Werkstattlotse für sie das Zusatzpaket für Rechnungen freigeschaltet hat, speichert der Auftragsverarbeiter die Rechnungen, die die Werkstatt in der Software schreibt, und schickt sie in ihrem Auftrag an ihre Kunden; sonst erstellt, versendet und bewahrt er keine auf.

1a. Eigene Verarbeitung von Werkstattlotse

Nicht im Auftrag, sondern als eigener Verantwortlicher verarbeitet Werkstattlotse die Buchungen über die Plattform samt Zustand (etwa „nicht erschienen“) und Auftragswert für Vermittlung, Gebühren und Schutz vor Missbrauch, die Anzahl nicht wahrgenommener Termine, Kundensperren, soweit es sie auf der Plattform durchsetzt, die Zugänge der Mitarbeiter für Anmeldung und Sicherheit sowie Öffnungs- und Arbeitszeiten und das Merkmal „Elektro & Hybrid“ für Suche und Anzeige. Ebenso gibt Werkstattlotse als eigener Verantwortlicher die Kontaktdaten der Kunden frei (zum Terminbeginn, bei Nichterscheinen und später Absage) und übermittelt und speichert die Nachrichten zwischen Werkstatt und Kunde zu einer Buchung (Nummern 3, 5 und 9 der Bedingungen für Werkstätten; Datenschutzerklärung Abschnitte 4, 4d und 4f).

2. Daten und Betroffene

3. Pflichten des Auftragsverarbeiters

• Verarbeitung – auch eine Übermittlung in ein Land außerhalb der EU und des EWR – nur auf dokumentierte Weisung der Werkstatt, es sei denn, der Auftragsverarbeiter ist durch das Recht der EU oder Deutschlands dazu verpflichtet; dann teilt er ihr das vorher mit, soweit das Gesetz es nicht verbietet. Weisungen gibt die Werkstatt durch die Nutzung der Software und in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Werkstatt unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).
• Vertraulichkeit aller Personen, die Zugriff haben.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Nr. 5).
• Unterstützung bei Anfragen Betroffener, bei Meldungen von Datenschutzverletzungen (unverzüglich, möglichst binnen 24 Stunden nach Kenntnis) und bei Datenschutz-Folgenabschätzungen.
• Nach Vertragsende Löschung oder Herausgabe der Daten nach Wahl der Werkstatt, soweit keine gesetzliche Aufbewahrungspflicht besteht. Herausgabe heißt: Die Werkstatt lädt in der Software herunter, was sie behalten will („Meine Daten“, Bedingungen für Werkstätten Nr. 9) – bis zum Vertragsende und danach noch mindestens 30 Tage; dann löscht der Auftragsverarbeiter die Daten. Löscht der Inhaber den Betrieb selbst in der Software („Konto“ → „Betrieb löschen“, Bedingungen für Werkstätten Nr. 11), gilt das als Wahl der Löschung: Zugänge, Angaben zu Mitarbeitern, Fotos, Kalender, blockierte Zeiten, Ansprechpartner bei Händlern, Prüftage sowie Namen, Telefonnummern, Kennzeichen, Titel und Rechnungsanschriften in selbst eingetragenen Terminen löscht der Auftragsverarbeiter sofort; Verbindungen zu Prüfdiensten enden. Buchungen der Autofahrer bleiben in deren Termin-Historie. Das Ereignisprotokoll bleibt als unveränderlicher Nachweis bestehen; es enthält keine Kontaktdaten, kann aber kurze Freitexte enthalten, etwa den Grund einer Absage oder – bei Einträgen bis 22.09.2026 – Titel eigener Termine und blockierter Zeiten. Belege, die die Werkstatt steuerlich aufbewahren muss – vor allem ihre Rechnungen an Kunden –, führt sie selbst. Hat sie das Zusatzpaket für Rechnungen genutzt, lädt sie diese Rechnungen vor Vertragsende bzw. vor dem Löschen in der Software herunter. Die Kundenrechnungen aus dem Zusatzpaket bewahrt der Auftragsverarbeiter nach Vertragsende auf Weisung der Werkstatt bis zum Ende der Frist nach § 147 AO auf und stellt sie der Kundin bzw. dem Kunden in der App bereit; diese Weisung erteilt die Werkstatt mit der Nutzung des Zusatzpakets. Danach werden sie gelöscht.
• Nachweis und Kontrolle: Der Auftragsverarbeiter stellt der Werkstatt auf Anfrage alle Informationen zur Verfügung, die sie zum Nachweis dieser Pflichten braucht, etwa eine Beschreibung der Maßnahmen nach Nr. 5. Er ermöglicht Überprüfungen einschließlich Inspektionen durch die Werkstatt oder einen von ihr beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist; Prüfungen vor Ort stimmen beide Seiten mit angemessenem Vorlauf ab.

4. Unterauftragsverarbeiter

Neue oder andere Unterauftragsverarbeiter – auch einen Wechsel des Hosters – kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Die Werkstatt kann bis dahin widersprechen; einigen sich beide Seiten nicht, kann sie den Vertrag zum Wechsel kündigen. Unterauftragsverarbeiter verpflichtet der Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie nach diesem Vertrag (Art. 28 Abs. 4 DSGVO). Mitteilungen an Werkstatt-Zugänge weckt der Auftragsverarbeiter über den Push-Dienst, den der Browser des Geräts vorgibt (etwa von Google, Apple oder Mozilla); dieser erhält nur die Push-Adresse und ein Wecksignal ohne Inhalt. Der Zahlungsdienstleister Stripe verarbeitet nur die Zahlungsdaten der Werkstatt für ihren eigenen Vertrag mit Werkstattlotse, nicht die Daten, die die Werkstatt in der Software pflegt; er ist deshalb kein Unterauftragsverarbeiter nach diesem Vertrag. Ebenso wenig Google Firebase Cloud Messaging: Darüber stellt Werkstattlotse Mitteilungen seiner Kunden-App in eigener Verantwortung zu, nicht im Auftrag der Werkstatt. Auch der SMS-Anbieter seven communications GmbH & Co. KG, Kiel (seven.io) ist kein Unterauftragsverarbeiter nach diesem Vertrag: Er stellt nur bei einem bestehenden SMS-Zugang den Code der freiwilligen Zwei-Faktor-Anmeldung an die Handynummer zu, die eine Person selbst für ihren eigenen Zugang hinterlegt hat – in eigener Verantwortung von Werkstattlotse (Datenschutzerklärung, Abschnitt 9b).

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (HTTPS/TLS); Kennzeichen, Fahrgestellnummern, Namen, Telefonnummern und Anschriften von Kunden liegen verschlüsselt in der Datenbank. Fotos des Fahrzeugs liegen verschlüsselt als Datei außerhalb des öffentlich erreichbaren Verzeichnisses; sie werden mit dem Abschluss des Auftrags gelöscht – sobald der Auftraggeber die Abholung meldet, spätestens 3 Tage nach der Fertigmeldung, bei Nichterscheinen oder Storno sofort, bei Löschung des Kundenkontos sofort; in Sicherungskopien liegen sie danach höchstens noch 14 Tage. Benötigt der Auftraggeber ein Foto als Nachweis, lädt er es vor dem Abschluss herunter.
• Anmeldung mit Einmal-Code per E-Mail, über Google (nur für Adressen, für die Google zuständig ist) bzw. Apple oder mit dem Passwort des persönlichen Kontos, das nur als Hash (Argon2id, sonst bcrypt, mit einem geheimen Schlüssel des Servers) gespeichert wird; nach 5 Fehlversuchen je Adresse in 15 Minuten nimmt der Server vorerst keine weiteren an; freiwillige Zwei-Faktor-Anmeldung (Authenticator-App, dazu Notfallcodes; neu eingerichtet wird nur die App, ein bestehender SMS-Zugang erhält den Code bis zur Umstellung weiter per SMS), die jede Person für ihren Zugang unter „Einstellungen und Sicherheit“ einschalten kann und die der Auftragsverarbeiter empfiehlt; Sperre nach wiederholten Fehlversuchen; Rollen Inhaber und Mitarbeiter mit einzeln freischaltbaren Bereichen, die der Server prüft; Zugänge und Rechte vergibt nur der Inhaber, jede Änderung steht im Protokoll.
• Mandantentrennung: jede Werkstatt sieht nur ihre eigenen Daten; einzige Ausnahme ist die Anzahl nicht wahrgenommener Termine eines Kunden, die Werkstattlotse als eigener Verantwortlicher zählt (Nr. 1a). Zugriffe auf Kundendaten werden protokolliert.
• Kundendaten: vor dem Beginn des Termins weder Name noch Kontaktdaten oder Kennzeichen, auf keinem Weg der Software; Name und Telefonnummer ab dem Beginn des Termins, ebenso E-Mail-Adresse und Kennzeichen, eine hinterlegte Anschrift ab der Annahme des Fahrzeugs, der gemeldete Kilometerstand nach der Bestätigung (bei Buchungen bis zum 09.10.2026 Kilometerstand und E-Mail-Adresse nur nach Freigabe durch den Kunden, zeitlich begrenzt und widerrufbar); Ausnahmen bei Nichterscheinen und später Absage nach Nr. 5 der Bedingungen für Werkstätten. Die Annahme eines Fahrzeugs lässt die Software erst am Tag des Termins und höchstens 120 Minuten vor der gebuchten Zeit zu, früher nur nach Freigabe durch den Kunden in seiner App („Fahrzeug jetzt abgeben“).
• Nachweise am Auftrag: Fahrzeugannahme und Fertigstellung sind in der Datenbank gegen Löschen und Zurücknehmen gesperrt; die Freigaben des Kunden zu Kostenvoranschlägen bleiben mit Zeitpunkt erhalten.
• Datenbank und Schlüssel außerhalb des öffentlich erreichbaren Verzeichnisses. Die Verwaltung der Plattform ist nur eingetragenen Betreibern zugänglich; der zweite Faktor (Authenticator-App; ein bestehender SMS-Zugang bis zur Umstellung) wird dort besonders empfohlen und, wenn eingeschaltet, spätestens alle 8 Stunden erneut abgefragt; Anmeldungen, Fehlversuche und Änderungen stehen in einem Sicherheitsprotokoll.
• Tägliche Datensicherung mit Rückholprobe (Unversehrtheit, Lesbarkeit mit dem Schlüssel); zweite Kopie über verschlüsselte Verbindung (SFTP) auf einem geschützten Rechner des Auftragsverarbeiters in Deutschland; Aufbewahrung höchstens zwölf Monate. Ausgenommen sind Belegjournal und Belegablage: Rechnungen der Werkstatt an ihre Kundschaft (Zusatzpaket „Rechnungen“) liegen dort verschlüsselt an beiden Orten, damit sie einen Datenverlust überstehen und keine Rechnungsnummer zweimal vergeben wird; sie bleiben nach den steuerlichen Fristen 8 Jahre ab dem Ende des Kalenderjahres (§ 147 AO).

6. Laufzeit

Dieser Vertrag gilt, solange die Werkstatt die Software nutzt, und darüber hinaus, solange der Auftragsverarbeiter Daten der Werkstatt nach Nr. 3 noch aufbewahrt.

Stand: 27.10.2026 · Vertragsfassung 2026-10-25