Auftragsverarbeitungsvertrag
zwischen der Werkstatt, die VeloOffice nutzt („Verantwortlicher“), und Paul Ernst Bike Werk („Auftragsverarbeiter“). Der Vertrag wird bei der Registrierung zusammen mit den AGB abgeschlossen.
§ 1 Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software VeloOffice (AGB § 2) und verarbeitet dabei personenbezogene Daten in dessen Auftrag (Art. 28 DSGVO). Der Vertrag läuft so lange wie der Nutzungsvertrag.
§ 2 Art der Daten und betroffene Personen
- Kunden der Werkstatt: Name, Anschrift, Telefon, E-Mail, Fahrräder (Marke, Typ, Rahmennummer), Fotos der Fahrräder, Angebote, Aufträge, Rechnungen, Zahlungen, Mahnungen, Gutscheine, Termine.
- Mitarbeiter der Werkstatt: Name, E-Mail, Rolle, Arbeitszeiten an Aufträgen, Protokoll ihrer Änderungen.
- Lieferanten und Geschäftspartner: Firmen- und Kontaktdaten auf Belegen und Rechnungen.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen.
§ 3 Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Software durch den Verantwortlichen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
§ 4 Vertraulichkeit
Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter sieht Geschäftsdaten einer Werkstatt nur, wenn deren Inhaber in der Software einen befristeten Support-Zugang freigibt; jeder solche Zugriff wird im Protokoll der Werkstatt vermerkt.
§ 5 Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen in Anlage 1 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
§ 6 Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden. Die Software stellt dafür Bearbeitungs- und Exportfunktionen bereit.
§ 7 Unterauftragnehmer
Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragnehmer. Neue oder geänderte Unterauftragnehmer teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit; der Verantwortliche kann aus wichtigem Grund widersprechen und den Vertrag dann kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragnehmer vertraglich auf dieselben Datenschutzpflichten. Eine Verarbeitung außerhalb der EU/des EWR findet nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.
§ 8 Meldung von Verletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
§ 9 Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach (z. B. diese Anlagen, Protokolle). Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu den Geschäftszeiten möglich; die Kosten trägt der Verantwortliche, soweit kein Verstoß festgestellt wird.
§ 10 Löschung und Rückgabe nach Vertragsende
Nach Ende des Nutzungsvertrags kann der Verantwortliche seine Daten noch 90 Tage einsehen und vollständig exportieren (Rückgabe). Danach löscht der Auftragsverarbeiter die Daten einschließlich der Dateien. Aus den verschlüsselten Datensicherungen verschwinden sie mit deren Ablauf nach höchstens [30] Tagen. Die Löschung wird protokolliert und auf Wunsch bestätigt.
§ 11 Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.
Anlage 2: Unterauftragnehmer
- STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin – Hosting der Anwendung und der Datenbank in Deutschland
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Speicherung der verschlüsselten Datensicherungen (Object Storage, Standort Falkenstein, Deutschland)
Fassung vom 2026-10-30