Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden (nachfolgend „Verantwortlicher“) und CamperOS – eine Marke von Schilawa Media (Inh. Aljoscha Schilawa), Mühlenstraße 31, 28870 Ottersberg, Deutschland, E-Mail: hallo@camper-os.com, Tel.: +49 151 20512574 (nachfolgend „Auftragsverarbeiter“). Gemeinsam die „Parteien“.

2.1 Gegenstand: Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und Nutzung der Software „CamperOS“ als SaaS, einschließlich Buchungsportal/Embed, Support, Wartung sowie vereinbarter Onboarding-/Setup-Leistungen.

2.2 Dauer: Für die Dauer des Hauptvertrags (AGB) sowie – soweit erforderlich – für die Dauer der nachvertraglichen Pflichten gemäß Ziff. 11 (Rückgabe/Löschung; Backups).

2.3 Art der Verarbeitung: Erheben, Erfassen und Strukturieren; Speichern; Auslesen/Abfragen; Übermitteln (z.B. an vom Verantwortlichen aktivierte Integrationen); Verknüpfen, Abgleichen; Löschen.

2.4 Zweck: Betrieb und Bereitstellung von CamperOS (Mandantenbetrieb); Abwicklung von Buchungs-/Vermietprozessen des Verantwortlichen; Kundenverwaltung (CRM), Kommunikation, Dokumentenmanagement; Werkstatt-/Lager-/Aufgabenprozesse des Verantwortlichen; Support, Wartung, Sicherheit, Fehleranalyse; Bereitstellung von Schnittstellen zu Drittanbietern auf Weisung/Initiative des Verantwortlichen.

3.1 Betroffene Personen: Endkunden/Mieter/Interessenten des Verantwortlichen; Ansprechpartner und Mitarbeitende des Verantwortlichen; Lieferantenkontakte; sonstige Personen, deren Daten der Verantwortliche in CamperOS verarbeitet.

3.2 Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, E-Mail, Telefonnummer); Vertrags-/Buchungsdaten (Zeiträume, Leistungen, Preise, Notizen); Kommunikationsdaten; Zahlungs-/Abrechnungsdaten des Verantwortlichen (Endkundenzahlungen laufen – sofern aktiviert – über Zahlungsanbieter des Verantwortlichen); Fahrzeug-/Objektdaten mit Personenbezug (z.B. Fahrer-/Übergabeinformationen); Nutzungs-/Telemetriedaten (pseudonymisiert), Fehler- und Performance-Logs. Besondere Kategorien i.S.d. Art. 9 DSGVO werden nicht gezielt verarbeitet; der Verantwortliche stellt sicher, dass solche Daten nicht unnötig eingetragen werden.

4.1 Weisungsrecht: Der Verantwortliche kann Weisungen zu Art, Umfang und Verfahren der Datenverarbeitung erteilen, mindestens in Textform (E-Mail, Ticket). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

4.2 Verantwortlichkeit: Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte, Informationspflichten sowie die Auswahl der in CamperOS verarbeiteten Daten verantwortlich.

5.1 Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern nicht gesetzlich zu einer Verarbeitung verpflichtet.

5.2 Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.

5.3 Unterstützung: Angemessene Unterstützung bei der Beantwortung von Betroffenenanträgen sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO; im Rahmen der technischen Möglichkeiten, bei Mehraufwand gegen angemessene Vergütung.

5.4 Nachweispflichten/Audits: Bereitstellung erforderlicher Informationen auf Anfrage; Audits mit angemessener Vorankündigung, ohne unverhältnismäßige Betriebsstörung, ggf. beschränkt auf unabhängigen Prüfer.

Der Auftragsverarbeiter trifft geeignete TOM nach Art. 32 DSGVO. Details siehe Anhang 1 (Kurzbeschreibung: Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe- und Verfügbarkeitskontrolle, Trennungsgebot, Integrität/Vertraulichkeit, Datenschutz durch Technikgestaltung – u.a. Rechenzentren der Subprozessoren mit physischer Zutrittskontrolle, rollenbasierte Berechtigungen, Mandantentrennung via organization_id + Row Level Security, TLS-Verschlüsselung, tägliche Backups mit 1-Tages-Retention). Weiterentwicklung der TOM ist zulässig, sofern das Schutzniveau nicht unterschritten wird.

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Aktuell eingesetzt: Lovable (Lovable Labs Incorporated, USA; EU-Kontakt: Lovable Labs AB, Stockholm, Schweden) für Hosting/Backend über Lovable Cloud (Supabase-Infrastruktur) sowie KI-Textgenerierung über das AI Gateway (OpenAI, Google Gemini, OpenRouter); Brevo für Transaktions-E-Mail-Versand; Paddle für Abrechnung (Merchant of Record, UK-Konzerneinheit); Azure Blob (Germany West Central) für zusätzliches Backup. Über beabsichtigte Änderungen wird informiert; bei wichtigem Grund besteht ein Widerspruchsrecht des Verantwortlichen mit außerordentlichem Kündigungsrecht für die betroffene Leistung.

Der Auftragsverarbeiter verarbeitet Daten grundsätzlich in der EU/EWR. Durch den Einsatz von Unterauftragsverarbeitern können Daten auch in Drittländern verarbeitet werden, insbesondere USA. Soweit dies der Fall ist, stellt der Auftragsverarbeiter geeignete Garantien nach Art. 44 ff. DSGVO sicher (EU-Standardvertragsklauseln/SCC, Transfer Impact Assessments, zusätzliche technische/organisatorische Maßnahmen). Beispiel Paddle: Abrechnung über UK-Konzerneinheit, gestützt auf den Angemessenheitsbeschluss der EU-Kommission für UK (verlängert bis 27.12.2031); ergänzend SCC/TIA soweit Verarbeitung durch US-Konzerneinheiten erfolgt. Beispiel Lovable: Hosting/Backend und optionale KI-Funktion laufen über die Plattform Lovable (Vertragsentität in den USA); Lovable sichert Drittlandübermittlungen über SCC (Modul 2), UK International Data Transfer Addendum und Swiss Addendum ab. Die KI-Funktion ist so konzipiert, dass keine personenbezogenen Daten übermittelt werden; vorsorglich gelten auch insoweit die genannten Garantien.

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar.

Betroffenenanfragen, die den Auftragsverarbeiter direkt erreichen, werden unverzüglich an den Verantwortlichen weitergeleitet. Eine eigenständige Beantwortung im Namen des Verantwortlichen erfolgt nicht, sofern nicht ausdrücklich vereinbart.

11.1 Der Verantwortliche kann während der Vertragslaufzeit über die vorgesehenen Exportfunktionen Daten exportieren; bei Kündigung zwecks Anbieterwechsels unterstützt der Auftragsverarbeiter zusätzlich gemäß AGB Ziff. 8.4 (EU Data Act).

11.2 Löschung: Nach Vertragsende Löschung der personenbezogenen Daten innerhalb von 60 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Backups: tägliche Sicherungskopien, jeweils nur die Kopie des Vortags („1-Tages-Backup“), Überschreibung am Folgetag; keine selektive Löschung einzelner Datensätze innerhalb dieses Zeitfensters.

Leistungen des Auftragsverarbeiters sind durch die Vergütung des Hauptvertrags abgegolten, soweit hier nicht anders geregelt. Mehraufwand (umfangreiche Audits, Sonder-Exporte, DSFA-Unterstützung) kann gesondert berechnet werden.

Es gilt die Haftungsregelung des Hauptvertrags (AGB Ziff. 11). Zwingende Haftungsregelungen nach DSGVO (insb. Art. 82) bleiben unberührt.

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen gehen die Regelungen dieses AVV hinsichtlich der Auftragsverarbeitung denen des Hauptvertrags vor. Es gilt deutsches Recht. Dieser AVV wird im Rahmen des digitalen Vertragsabschlusses durch elektronische Bestätigung des Verantwortlichen (Checkbox-Akzeptanz von AGB und AVV im Bestell-/Checkout-Prozess) wirksam angenommen; die Textform (§ 126b BGB) ist damit gewahrt. Einer gesonderten Unterschrift bedarf es nicht.