Auftragsverarbeitungsvertrag (AVV)

§ 1 Rollenabgrenzung und Anwendungsbereich

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Kunde AnkaufTurbo im Rahmen der Nutzung des Dienstes anvertraut (nachfolgend „Kundendaten“). Hierzu zählen insbesondere Team- und Nutzerdaten (Namen, Einladungs-E-Mail-Adressen), die vom Kunden hinterlegten Kontaktendpunkte seiner Benachrichtigungskanäle sowie Gerätedaten für Push-Benachrichtigungen.

Nicht Gegenstand dieses Vertrags ist die Auswertung öffentlich zugänglicher Fahrzeuginserate. Insoweit ist die Wintic GmbH eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO und nicht Auftragsverarbeiterin des Kunden; die maßgeblichen Informationen hierzu enthält unsere Datenschutzerklärung.

§ 2 Gegenstand, Art und Zweck, Dauer

Gegenstand ist die Verarbeitung der Kundendaten zur Erbringung der vertraglich vereinbarten Leistungen (Betrieb der Monitore, Zustellung von Benachrichtigungen, Team- und Kontoverwaltung). Betroffene Personengruppen sind Beschäftigte und Ansprechpartner des Kunden sowie vom Kunden benannte Empfänger von Benachrichtigungen. Die Verarbeitung erfolgt ausschließlich weisungsgebunden für die Dauer des Hauptvertrags.

§ 3 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3)

• Verarbeitung der Kundendaten nur auf dokumentierte Weisung des Kunden, auch bei Drittlandübermittlungen.
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe § 4).
• Einsatz von Unterauftragsverarbeitern nur nach Maßgabe des § 5.
• Unterstützung des Kunden bei der Beantwortung von Betroffenenanfragen (Art. 12–23) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit möglich und angemessen.
• Nach Wahl des Kunden Löschung oder Rückgabe der Kundendaten nach Abschluss der Leistungserbringung, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen (Art. 28 Abs. 3 lit. h).
• Unverzügliche Information des Kunden, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

§ 4 Technische und organisatorische Maßnahmen (Art. 32)

• Verschlüsselung: Transportverschlüsselung (TLS); vertrauliche Kanal-Konfigurationen werden verschlüsselt gespeichert.
• Zugriffskontrolle: rollenbasierte Zugriffsrechte, Authentifizierung, Protokollierung sicherheitsrelevanter Zugriffe.
• Datenhaltung in der EU: die Produktivdatenbank wird in einer EU-Region (Neon, eu-central-1) betrieben.
• Verfügbarkeit und Wiederherstellbarkeit: regelmäßige Sicherungen und Wiederherstellungsverfahren.
• Trennungskontrolle: mandantengetrennte Verarbeitung der Kundendaten.

Die Maßnahmen werden nach dem Stand der Technik fortgeschrieben; maßgeblich ist die jeweils aktuelle Fassung dieses Anhangs.

§ 5 Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu. Wir informieren den Kunden über beabsichtigte Änderungen und räumen ihm ein Widerspruchsrecht ein.

• Vercel Inc. (Hosting/Betrieb der Anwendung): USA; DPF, ergänzend SCC.
• Neon / Amazon Web Services (Datenbank): EU-Region eu-central-1.
• Upstash (Redis, Live-Aktualisierungen).
• Resend, Inc. (E-Mail-Versand und -Empfang): USA; DPF, ergänzend SCC.
• Anthropic PBC (KI-gestützte Analyse): USA; DPF, ergänzend SCC.
• Mapbox, Inc. (Kartendarstellung): USA; DPF, ergänzend SCC.

Der Zahlungsdienstleister Stripe ist hinsichtlich der Zahlungsverkehrsdaten in der Regel eigenständig Verantwortlicher und daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

§ 6 Drittlandübermittlung

Soweit Kundendaten in Drittländer (insbesondere die USA) übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend auf Grundlage der Standardvertragsklauseln der EU-Kommission nebst geeigneter zusätzlicher Maßnahmen.

§ 7 Abschluss und Vorrang

Dieser AVV wird mit Abschluss des kostenpflichtigen Hauptvertrags einbezogen. Im Verhältnis zu den Allgemeinen Geschäftsbedingungen geht dieser AVV in datenschutzrechtlichen Fragen der Verarbeitung von Kundendaten vor. Bei Fragen erreichen Sie uns unter erik.winter@wintic.de.