Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und der Carseda UG (haftungsbeschränkt), Görlitzerstraße 15a, 83395 Freilassing, Deutschland, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

Präambel

Die Parteien haben einen Vertrag über die Nutzung der Software und Leistungen von Carseda auf Grundlage der Allgemeinen Geschäftsbedingungen (AGB) geschlossen (nachfolgend „Hauptvertrag“). Dieser AVV konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien, soweit der Auftragnehmer im Rahmen des Hauptvertrags personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Er ist Bestandteil des Hauptvertrags und wird mit dessen Abschluss bzw. mit Annahme der AGB wirksam vereinbart. Die Begriffe dieses AVV sind im Sinne von Art. 4 DSGVO zu verstehen.

Nicht Gegenstand dieses AVV ist die Verarbeitung von Daten, für die der Auftragnehmer selbst Verantwortlicher ist, insbesondere die Verwaltung des Benutzerkontos, die Vertragsabwicklung und Abrechnung gegenüber dem Auftraggeber sowie der Betrieb der Website carseda.com. Hierfür gilt die Datenschutzerklärung des Auftragnehmers.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

1.1 Gegenstand

Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der Software Carseda für den Auftraggeber, insbesondere des Fahrzeugkonfigurators (auch eingebunden auf Websites des Auftraggebers oder unter carseda.com), der Händler-Websites einschließlich Formularen und Kundenkonten für Endkunden, der Verwaltung von Anfragen und Endkunden, des digitalen Fahrzeugverkaufs einschließlich Verkaufsunterlagen, der Übermittlung von Fahrzeugangeboten sowie des Versands von E-Mails an Endkunden, jeweils soweit der Auftraggeber diese Funktionen nutzt, sowie aller weiteren und künftigen Funktionen, die der Auftraggeber nutzt.

1.2 Dauer

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Innerhalb der Laufzeit werden personenbezogene Daten nach dem Löschkonzept gemäß Ziffer 9 gelöscht bzw. anonymisiert. Die Regelungen dieses AVV gelten darüber hinaus, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet.

1.3 Zweck

Die Verarbeitung dient der Erbringung der vertraglich vereinbarten Leistungen für den Auftraggeber, insbesondere der Darstellung seines Fahrzeugangebots, der Entgegennahme und Bearbeitung von Anfragen, der Verwaltung von Endkunden und Kundenkonten, der Durchführung von Verkaufsprozessen und der Kommunikation mit Endkunden.

1.4 Art der Verarbeitung

Erheben, Erfassen, Speichern, Ordnen, Anpassen und Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschränken, Löschen und Vernichten sowie Anonymisieren der Daten nach Weisung des Auftraggebers.

1.5 Kategorien betroffener Personen

• Besucher der Händler-Websites und Nutzer des Fahrzeugkonfigurators des Auftraggebers;
• Interessenten, die Anfragen oder Formulare an den Auftraggeber übermitteln;
• Endkunden des Auftraggebers, einschließlich Inhabern von Kundenkonten und Käufern;
• Ansprechpartner von Geschäftskunden des Auftraggebers;
• sonstige Personen, deren Daten der Auftraggeber in der Software erfasst.

1.6 Kategorien personenbezogener Daten

Insbesondere die folgenden Kategorien sowie weitere Daten, die im Rahmen der vom Auftraggeber genutzten Funktionen anfallen:

• Kontaktdaten (z.B. Name, E-Mail-Adresse, Telefonnummer, Anschrift);
• Stammdaten von Endkunden (z.B. Anrede, Geburtsdatum, Kundentyp, Firma, Umsatzsteuer-Identifikationsnummer) sowie Zugangsdaten zu Kundenkonten (Passwörter ausschließlich als Hash);
• Anfrage- und Kommunikationsdaten (z.B. Inhalte von Anfragen und Formularen, Nachrichten, Notizen, Merklisten);
• Konfigurations- und Vertragsdaten (z.B. konfigurierte Fahrzeuge, Preise, Verkaufsprozesse, Vertragsunterlagen und vom Endkunden oder Auftraggeber hochgeladene Dokumente, die je nach Ausgestaltung durch den Auftraggeber auch Kopien von Ausweisdokumenten enthalten können);
• Technische Daten (z.B. IP-Adresse, Browser- und Geräteinformationen, Referrer, Zeitpunkte der Nutzung).

Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nicht vorgesehen. Der Auftraggeber stellt sicher, dass solche Daten nicht über Freitextfelder, Formulare oder Uploads erhoben werden, soweit dies nicht im Einzelfall gesondert vereinbart ist.

2. Weisungen des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Die Weisungen werden durch den Hauptvertrag, diesen AVV sowie die Einstellungen und Handlungen des Auftraggebers in der Software (z.B. das Anlegen von Formularen, das Aktivieren von Funktionen und Integrationen oder das Löschen von Daten) erteilt. Einzelweisungen erfolgen in Textform. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der Weisung so lange auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

3. Pflichten des Auftragnehmers

3.1 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriffe von Personen, die für den Auftragnehmer tätig sind, auf Daten des Auftraggebers erfolgen nur, soweit dies zur Leistungserbringung, zur Fehlerbehebung, für Support-Anfragen des Auftraggebers oder auf dessen Weisung erforderlich ist.

3.2 Sicherheit der Verarbeitung

Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die bei Vertragsschluss getroffenen Maßnahmen sind in Anlage 1 beschrieben. Der Auftragnehmer darf die Maßnahmen dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

3.3 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter, soweit eine Zuordnung möglich ist. Der Auftragnehmer unterstützt den Auftraggeber zudem unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation).

3.4 Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Informationen; Informationen, die nicht zur gleichen Zeit bereitgestellt werden können, werden schrittweise nachgereicht. Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

3.5 Ort der Verarbeitung

Die Verarbeitung erfolgt grundsätzlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z.B. EU-U.S. Data Privacy Framework) oder der Standardvertragsklauseln der Europäischen Kommission.

4. Unterauftragsverhältnisse

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen im Voraus in Textform (z.B. per E-Mail oder im Dashboard) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Können sich die Parteien nicht einigen, sind beide Parteien berechtigt, die betroffene Leistung bzw. den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen. Ist eine sofortige Ersetzung aus Gründen der Sicherheit oder Verfügbarkeit erforderlich (z.B. bei Einstellung eines Dienstes), erfolgt die Information unverzüglich.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

Nicht als Unterauftragsverhältnisse gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf personenbezogene Daten des Auftraggebers erhalten (z.B. Bezug von Fahrzeugdaten, Wechselkursen oder Übersetzungen von Fahrzeugbezeichnungen).

5. Übermittlungen auf Veranlassung des Auftraggebers

Aktiviert oder nutzt der Auftraggeber Funktionen, mit denen Daten an Dritte übermittelt werden, übermittelt der Auftragnehmer die hierfür erforderlichen Daten auf Weisung des Auftraggebers. Diese Empfänger sind keine Unterauftragsverarbeiter des Auftragnehmers; die Rechtsgrundlage der Übermittlung sowie gegebenenfalls erforderliche Verträge mit den Empfängern verantwortet der Auftraggeber. Dies betrifft insbesondere:

• Fahrzeugbörsen und Export-Dienstleister (z.B. AutoScout24, audaris), an die der Auftraggeber Fahrzeugangebote übermittelt; dabei werden in der Regel nur Fahrzeug- und Anbieterdaten übermittelt;
• vom Auftraggeber freigegebene Vertriebs- und Lieferpartner (z.B. Fahrzeuglieferanten oder Importeure), die über die Partnerschnittstelle Fahrzeugangebote des Auftraggebers abrufen; ist ein Fahrzeugangebot aus der Anfrage eines Endkunden entstanden, können dabei auch dessen Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer) übermittelt werden;
• Dienste, die der Auftraggeber selbst auf seiner Händler-Website einbindet (z.B. eigene Skripte, Karten- oder Analysedienste sowie eigene reCAPTCHA-Schlüssel).

6. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage (z.B. eine Einwilligung), und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert die betroffenen Personen gemäß Art. 13 und 14 DSGVO, insbesondere über den Einsatz des Auftragnehmers und die Speicherfristen nach Ziffer 9. Hierzu kann er die vom Auftragnehmer bereitgestellte Vorlage für eine Datenschutzerklärung verwenden, die er eigenverantwortlich prüft und anpasst.

Der Auftraggeber ist für die Inhalte verantwortlich, die er selbst oder Endkunden in Freitextfelder, Formulare und Uploads eintragen, sowie für die Gestaltung seiner Formulare und Verkaufsprozesse nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

7. Nachweise und Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch Selbstauskünfte, die Beschreibung der technischen und organisatorischen Maßnahmen sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter erbracht werden.

Der Auftraggeber ist berechtigt, Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist, durchzuführen, soweit die vorgelegten Nachweise im Einzelfall nicht ausreichen. Inspektionen sind mit einer Frist von mindestens 14 Tagen anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betriebsablauf nicht unverhältnismäßig stören. Der Auftragnehmer kann für seinen Aufwand eine angemessene Vergütung verlangen, sofern die Überprüfung nicht durch einen Verstoß des Auftragnehmers veranlasst wurde.

8. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Hauptvertrags kann der Auftraggeber seine Daten innerhalb von 30 Tagen exportieren bzw. deren Herausgabe verlangen. Danach löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Daten in Datensicherungen werden im Rahmen der regulären Rotation der Sicherungen gelöscht. Die Löschung wird dem Auftraggeber auf Verlangen in Textform bestätigt.

9. Löschkonzept (Speicherfristen während der Vertragslaufzeit)

Der Auftragnehmer löscht bzw. anonymisiert personenbezogene Daten während der Laufzeit des Hauptvertrags automatisch nach den folgenden Fristen. Diese Fristen gelten als dokumentierte Weisung des Auftraggebers im Sinne der Ziffer 2:

• Anfragen über Formulare der Händler-Website samt hochgeladener Dateien: Löschung 3 Jahre nach Eingang.
• Fahrzeuganfragen und Interessenten, die nicht mit einem Kundenkonto oder einem Verkaufsprozess verknüpft sind: Anonymisierung 2 Jahre nach der letzten Änderung; IP-Adressen und Browserinformationen werden bereits nach 90 Tagen entfernt.
• Fahrzeugkonfigurationen: Entfernung von IP-Adresse, Browserinformationen und Referrer 90 Tage nach Erstellung; die Konfiguration selbst bleibt erhalten.
• Nicht bestätigte Selbstregistrierungen von Endkunden: Löschung 30 Tage nach der Registrierung.
• Systembenachrichtigungen im Dashboard: Löschung 1 Jahr nach Erstellung.
• Änderungsprotokolle: Löschung 1 Jahr nach Erstellung; ausgenommen sind Protokolle zu Verkaufsprozessen und Exporten, die deren Nachvollziehbarkeit dienen.
• Abgelaufene Bestätigungs-, Einladungs- und Passwort-Links: Löschung nach Ablauf bzw. spätestens 1 Tag nach Erstellung bei Links zum Zurücksetzen von Passwörtern.
• Nicht verwendete Uploads aus Formularen: Löschung nach 1 Woche.

Nicht automatisch gelöscht werden Kundenkonten von Endkunden, Endkunden, die der Auftraggeber selbst angelegt hat, sowie Verkaufsprozesse und Verkaufsunterlagen, da diese regelmäßig handels- und steuerrechtlichen Aufbewahrungspflichten des Auftraggebers unterliegen (z.B. § 257 HGB, § 147 AO). Über deren Aufbewahrung entscheidet der Auftraggeber selbst; er löscht diese Daten in der Software, sobald die Aufbewahrung nicht mehr erforderlich ist.

Bei der Anonymisierung werden Namen, Kontaktdaten, Anmerkungen, IP-Adressen und Browserinformationen entfernt; nicht personenbezogene Daten (z.B. Fahrzeug, Zeitpunkt) bleiben für Auswertungen erhalten. Die Anonymisierung ist nicht umkehrbar und stellt keinen Datenverlust dar. Benötigt der Auftraggeber Daten über diese Fristen hinaus, hat er sie vor Ablauf der Frist selbst zu sichern. Für Daten aus Funktionen, für die oben keine Frist genannt ist, gilt Ziffer 8. Abweichende Fristen können gesondert vereinbart werden.

10. Haftung und Schlussbestimmungen

Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses AVV vor, soweit sie den Schutz personenbezogener Daten betreffen. Änderungen dieses AVV erfolgen nach dem im Hauptvertrag geregelten Verfahren für Änderungen der AGB. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb der Systeme ausschließlich in Rechenzentren professioneller Anbieter (Anlage 2) mit zertifiziertem Sicherheitsmanagement (z.B. ISO/IEC 27001), Zutrittsschutz, Videoüberwachung und Sicherheitspersonal.
• Zugangskontrolle: Anmeldung nur mit persönlichen Zugangsdaten; Speicherung von Passwörtern ausschließlich als Hash (bcrypt); Mindestanforderungen an Passwörter; Begrenzung von Anmeldeversuchen (Rate Limiting); sichere, verschlüsselt übertragene Sitzungs-Cookies mit CSRF-Schutz; administrative Zugänge zur Infrastruktur nur für berechtigte Personen.
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept; strikte logische Trennung der Daten der Auftraggeber (Mandantentrennung) mit serverseitiger Prüfung jedes Datenzugriffs; Zugriffe von Personen, die für den Auftragnehmer tätig sind, nur nach dem Need-to-know-Prinzip.
• Trennungskontrolle: mandantengetrennte Datenhaltung; getrennte Speicherbereiche für öffentliche und private Dateien; Trennung von Entwicklungs- und Produktivsystemen.
• Verschlüsselung und Pseudonymisierung: Übertragung ausschließlich verschlüsselt (TLS); private Dateien (z.B. Uploads aus Formularen und Verkaufsprozessen) verschlüsselt gespeichert und nur über kurzzeitig gültige, signierte Links abrufbar.

Integrität

• Weitergabekontrolle: verschlüsselte Übertragung; signierte Anfragen zwischen Weboberfläche und Server mit zeitlicher Begrenzung; signierte Links für sicherheitsrelevante Vorgänge (z.B. Änderung der E-Mail-Adresse).
• Eingabekontrolle: Protokollierung relevanter Änderungen und Vorgänge (Änderungsprotokolle); Validierung aller Eingaben; Begrenzung von Dateitypen und -größen bei Uploads.

Verfügbarkeit und Belastbarkeit

• Redundante Infrastruktur der Rechenzentrumsbetreiber mit unterbrechungsfreier Stromversorgung, Brandschutz und Klimatisierung.
• Regelmäßige Datensicherungen der Datenbanken und Möglichkeit zur Wiederherstellung.
• Schutz vor Missbrauch und Überlastung durch Begrenzung von Anfragen sowie Spam-Schutz für öffentliche Formulare.

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Aktualisierung der eingesetzten Software und Abhängigkeiten.
• Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO), insbesondere automatisierte Löschfristen gemäß Ziffer 9.
• Auswahl und Kontrolle der Unterauftragsverarbeiter anhand ihrer Garantien und Zertifizierungen.
• Prozess zur Meldung und Behandlung von Datenschutzverletzungen.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Betrieb der Server und Datenbanken (Rechenzentren in Deutschland).
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Hosting der Weboberflächen, der Händler-Websites und des Fahrzeugkonfigurators (Rechenzentrum in Frankfurt am Main); Garantien: EU-U.S. Data Privacy Framework und Standardvertragsklauseln.
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg – Speicherung von Dateien (z.B. Uploads aus Formularen und Verkaufsprozessen) (Rechenzentrum in Frankfurt am Main).
• ActiveCampaign, LLC (Postmark), 1 North Dearborn Street, 5th Floor, Chicago, IL 60602, USA – Versand von E-Mails; Garantien: EU-U.S. Data Privacy Framework und Standardvertragsklauseln.
• ImageKit Inc., USA, bereitgestellt über webomat – Johannes Klaushofer, Rupertigasse 17, 5301 Eugendorf, Österreich – Speicherung und Auslieferung von Bildern; Garantien: Standardvertragsklauseln.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – Spamschutz für Formulare und Registrierungen (reCAPTCHA) sowie Kartendarstellung (Google Maps), soweit genutzt.

Stand: 07.10.2026