Vereinbarung zur Auftragsverarbeitung

1. Parteien, Gegenstand und Dauer

Diese Vereinbarung wird zwischen dem Händler als Verantwortlichem und der VanVergleich GmbH, Im Grün 4, 79252 Stegen (nachfolgend „Anbieter“) als Auftragsverarbeiter geschlossen. Sie ist Bestandteil der Allgemeinen Geschäftsbedingungen für die Händlerplattform CamperNexus und gilt ab Aktivierung des Händlerkontos für die Dauer des Hauptvertrags. Nach dessen Ende gilt Ziffer 10.

2. Rollen der Parteien

2.1 Daten im Händlerkonto. Für alle personenbezogenen Daten, die der Händler oder seine Mitarbeiter in CamperNexus eingeben oder die über die Domain des Händlers eingehen (Anfragen, Angebote, Kunden, Termine, Werkstattaufträge, Bestellscheine), ist der Händler Verantwortlicher. Der Anbieter verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Händlers.

2.2 Anfragen über vanvergleich.de. Interessenten, die auf vanvergleich.de konfigurieren und ein Angebot anfordern, willigen in die Übermittlung ihrer Angaben an die teilnehmenden Händler ein. Für die Erhebung auf vanvergleich.de, den persönlichen Angebotsbereich des Interessenten und die Übermittlung an die Händler ist der Anbieter eigener Verantwortlicher. Mit der Übermittlung in das Händlerkonto wird der Händler für den dort angelegten Datensatz Verantwortlicher; der Anbieter verarbeitet ihn ab diesem Zeitpunkt für den Händler als Auftragsverarbeiter. Dieselbe Person kann so bei mehreren Händlern als getrennter Datensatz geführt werden.

2.3 Vorhaltung und Mandantentrennung. Der Anbieter hält die Kundendaten jedes Händlers in einer gemeinsamen Infrastruktur, logisch getrennt nach Händler. Jeder Händler und seine Mitarbeiter sehen ausschließlich die Datensätze des eigenen Hauses. Der Anbieter greift auf Händlerdaten nur zu, soweit es für Betrieb, Fehlerbehebung, Support oder die Erfüllung dieser Vereinbarung erforderlich ist.

2.4 Mitarbeiterdaten. Name, E-Mail-Adresse und Rolle der vom Händler angelegten Mitarbeiter verarbeitet der Anbieter als Auftragsverarbeiter zur Bereitstellung der Zugänge.

3. Art und Zweck der Verarbeitung

Speicherung und Bereitstellung der Daten im Händlerkonto; Erstellung von Angeboten, Bestellscheinen und Werkstattaufträgen; Versand und Empfang von E-Mails im Namen des Händlers (Angebote, Terminbestätigungen, automatische Folge-E-Mails der Assistenzfunktion „Mia“, Weiterleitung von Kundenantworten); Abgleich von Anfragen mit dem Fahrzeugbestand des Händlers; Terminverwaltung; KI-gestützte Textvorschläge; Auswertungen für den Händler. Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt, ausgenommen anonymisierte Statistiken ohne Personenbezug.

4. Betroffene Personen und Datenkategorien

Betroffene: Interessenten und Kunden des Händlers; Mitarbeiter des Händlers.

Datenkategorien: Name, Anrede, Kontaktdaten (E-Mail, Telefon), Anschrift und Bundesland; Fahrzeugkonfiguration und Angebotsdaten (Modell, Ausstattung, Preise, Lieferzeit); Vertrags- und Bestelldaten einschließlich der für den Bestellschein erforderlichen Angaben (Geburtsdatum, Geburtsort, Ausweisnummer, sofern vom Händler erfasst); Termin- und Werkstattdaten; Kommunikationsverlauf mit dem Händler; Zuordnung des Beraters. Besondere Kategorien nach Art. 9 DSGVO werden nicht planmäßig verarbeitet.

5. Weisungen

Weisungen erteilt der Händler in erster Linie durch die Nutzung der Plattformfunktionen (z. B. Anlegen, Ändern, Löschen von Datensätzen, Aktivieren oder Deaktivieren von Folge-E-Mails). Darüber hinausgehende Weisungen bedürfen der Textform an info@vanvergleich.de. Der Anbieter informiert den Händler unverzüglich, wenn eine Weisung seiner Ansicht nach gegen Datenschutzrecht verstößt, und darf die Ausführung bis zur Klärung aussetzen.

6. Pflichten des Anbieters

Der Anbieter verarbeitet die Daten nur im Rahmen dieser Vereinbarung und der Weisungen des Händlers, verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, trifft die technischen und organisatorischen Maßnahmen nach Ziffer 8, unterstützt den Händler bei der Beantwortung von Betroffenenanfragen (Ziffer 9), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten, und stellt dem Händler die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung.

Verletzungen des Schutzes personenbezogener Daten, die Daten des Händlers betreffen, meldet der Anbieter dem Händler unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den dem Anbieter bekannten Angaben zu Art, Umfang, Folgen und ergriffenen Maßnahmen.

Der Händler kann die Einhaltung dieser Vereinbarung einmal jährlich sowie bei konkretem Anlass überprüfen. Der Anbieter stellt hierfür in erster Linie Dokumentation bereit; Prüfungen vor Ort erfolgen nach Terminabsprache während der Geschäftszeiten.

7. Unterauftragsverarbeiter

Der Händler stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Der Anbieter hat mit ihnen Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen; bei Dienstleistern außerhalb des Europäischen Wirtschaftsraums bestehen Standardvertragsklauseln der EU-Kommission.

Der Zahlungsdienstleister Stripe verarbeitet ausschließlich Daten des Händlers als Vertragspartner (Firmen-, Rechnungs- und Zahlungsdaten) und keine Kundendaten des Händlers; insoweit ist der Anbieter eigener Verantwortlicher. Schnittstellen, die der Händler mit eigenen Zugangsdaten verbindet (z. B. Lexoffice, MeinBüro, die mobile.de-Inseratseinbindung), nutzt der Händler in eigener Verantwortung.

Für das Einstellen von Bestandsfahrzeugen auf mobile.de handelt der Anbieter als Datenpartner im Auftrag des Händlers. Empfänger ist die mobile.de GmbH, Dernburgstraße 50, 14057 Berlin, als eigener Verantwortlicher und Vertragspartner des Händlers. Einzelheiten regelt die Vereinbarung mobile.de-Anbindung, die der Händler gesondert in CamperNexus annimmt.

Über den Wechsel oder die Hinzunahme von Unterauftragsverarbeitern informiert der Anbieter den Händler mindestens vier Wochen vorab in Textform. Der Händler kann aus wichtigem datenschutzrechtlichem Grund widersprechen; können sich die Parteien nicht einigen, kann der Händler den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

8. Technische und organisatorische Maßnahmen

• Zutritt und Infrastruktur: Betrieb in einem ISO-27001-zertifizierten Rechenzentrum in Deutschland (Hetzner, Nürnberg); keine Serverräume beim Anbieter.
• Zugang: Passwörter werden ausschließlich als bcrypt-Hash gespeichert; Sitzungen laufen nach vier Stunden Inaktivität ab; Mitarbeiterkonten werden per E-Mail-Einladung mit zeitlich begrenztem Aktivierungslink angelegt; der administrative Zugang des Anbieters ist auf die Geschäftsführung beschränkt.
• Zugriff und Mandantentrennung: Jeder Datensatz ist einem Händler zugeordnet; jede Abfrage ist auf diesen Händler beschränkt. Rollen (Händler, Buchhaltung, Verkauf, Werkstatt) begrenzen die sichtbaren Bereiche.
• Übertragung: Sämtliche Verbindungen sind per TLS verschlüsselt; Händler-Domains erhalten automatisch Zertifikate. Kundenantworten werden über eine Relay-Adresse weitergeleitet, ohne private E-Mail-Adressen gegenüber Dritten offenzulegen.
• Eingabe und Nachvollziehbarkeit: Verkauf, Storno, Zuweisung und Versand werden mit Zeitstempel und handelnder Person protokolliert; Server-Protokolle werden 30 Tage aufbewahrt.
• Verfügbarkeit: Tägliche Sicherung der Datenbank mit Integritätsprüfung, Aufbewahrung 30 Tage; Produktiv- und Entwicklungsumgebung sind getrennt.
• Datensparsamkeit: Keine Tracking-Cookies auf den Plattformen; an KI-Dienste werden nur die für den jeweiligen Text erforderlichen Angaben übermittelt.

Der Anbieter darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird.

9. Rechte der betroffenen Personen

Anfragen betroffener Personen beantwortet der Händler. Der Anbieter unterstützt ihn innerhalb von fünf Werktagen mit den erforderlichen Informationen und Funktionen (Auskunft, Berichtigung, Löschung, Export). Wenden sich betroffene Personen direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Händler weiter, soweit sie dessen Datensätze betrifft.

10. Löschung und Rückgabe

Der Händler kann Datensätze jederzeit selbst löschen. Nach Ende des Hauptvertrags hält der Anbieter die Daten 30 Tage zum Export bereit und löscht sie anschließend aus den Produktivsystemen; Sicherungen werden spätestens 30 weitere Tage danach überschrieben. Gesetzliche Aufbewahrungspflichten des Anbieters bleiben unberührt.

11. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in datenschutzrechtlichen Fragen vor. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Änderungen dieser Vereinbarung teilt der Anbieter dem Händler mindestens sechs Wochen vor Wirksamwerden in Textform mit.