Data Processing Agreement

Vertragsparteien und Geltung

Dieser Vertrag gilt zwischen dem Kunden von RentalHandover als Verantwortlichem und TM Systems Till Merlé, Birkenstr. 19, 61440 Oberursel, Deutschland, als Auftragsverarbeiter. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und kommt mit der Registrierung zustande. Auf Wunsch wird er gesondert unterschrieben; ein individuell geschlossener Vertrag geht diesem vor. Er gilt für die Dauer des Nutzungsverhältnisses und darüber hinaus, solange der Auftragsverarbeiter Daten des Kunden verarbeitet.

1. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt die Plattform RentalHandover (Web-App und Apps für iOS und Android) für digitale Übergabe- und Rücknahmeprotokolle bereit. Dabei werden personenbezogene Daten erhoben, gespeichert, angezeigt, als PDF aufbereitet, per E-Mail versandt, exportiert und gelöscht, ausschließlich zur Erbringung dieses Dienstes.

Betroffene Personen

• Mieter und Kunden des Verantwortlichen, bei Firmenkunden deren Ansprechpartner und Fahrer
• vom Kunden abweichende Fahrer, soweit im Benutzervertrag des Verantwortlichen erfasst
• Beschäftigte des Verantwortlichen, die die Plattform nutzen
• im Werkstattmodus: Halter von Kundenfahrzeugen

Arten von Daten

• Kundendaten: Name, Firma, E-Mail-Adresse, Telefon, Anschrift, Sprache
• Angaben, die der Benutzervertrag des Verantwortlichen abfragt, etwa Geburtsdatum und Führerscheindaten
• Protokolldaten: Fahrzeug und Kennzeichen, Kilometer- und Tankstand, Inventar, Schäden, Bemerkungen, Name des Mitarbeiters
• Fotos von Fahrzeugen und Schäden
• Unterschriften mit Zeitpunkt, IP-Adresse, Gerätekennung und Zeitzone; den Standort nur, wenn die unterzeichnende Person ihn auf ihrem Gerät freigibt
• erzeugte Protokoll-PDFs und unterschriebene Verträge
• Nutzerdaten der Beschäftigten: Name, E-Mail-Adresse, Rolle, Anmeldedaten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen.

2. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind dieser Vertrag, die Nutzung und Einstellungen der Plattform sowie Einzelweisungen in Textform an hello@rentalhandover.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit. Eine Verarbeitung für eigene Zwecke findet nicht statt.

3. Vertraulichkeit und Sicherheit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter trifft insbesondere diese technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO:

• strikte Trennung der Kunden: jede Abfrage ist auf das eigene Konto beschränkt
• Verschlüsselung aller Verbindungen (TLS 1.2 oder 1.3) und der gespeicherten Dateien
• Dateien nur über befristete, signierte Links (24 Stunden), unter nicht erratbaren Namen
• Passwörter und Gerätekennungen nur als Hash, Rollen für Administratoren und Mitarbeiter, Begrenzung von Anmeldeversuchen
• unterschriebene Protokolle sind unveränderlich
• tägliche Sicherung der Datenbank, 30 Tage aufbewahrt, in der EU
• Fehlerüberwachung ohne IP-Adressen, Cookies, Formularinhalte oder Unterschriften
• Testumgebung getrennt von der Produktion, ohne Produktionsdaten

Im Offline-Modus der App liegen die Daten eines Protokolls bis zur Übertragung nur auf dem Gerät. In den Apps bleibt eine Anmeldung bestehen, bis sie abgemeldet wird. Der Verantwortliche sichert seine Geräte deshalb mit einer Bildschirmsperre.

4. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz dieser Unterauftragsverarbeiter:

• OVH GmbH, Köln: Server und Datenbank in einem Rechenzentrum in Deutschland, Versand der E-Mails über Mailserver in Frankreich
• Cloudflare, Inc., USA: Dateispeicher R2 für Fotos, Unterschriften, PDFs, Exporte und Datenbank-Sicherungen, mit Jurisdiktionsbindung EU
• Functional Software, Inc. (Sentry), USA: Fehlerüberwachung in der EU-Datenregion; übermittelt werden die Fehlermeldung mit Adresse und Methode der fehlerhaften Anfrage, pseudonyme Nutzer- und Kontokennung, Rolle und Tarif

Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag zum Zeitpunkt des Wechsels kündigen. Daten werden an keinen Anbieter künstlicher Intelligenz übermittelt; das würde ebenso vorher angekündigt.

5. Übermittlung in Drittländer

Die Daten werden ausschließlich in der EU gespeichert. Cloudflare und Sentry haben ihren Sitz in den USA; ein Zugriff von dort ist nicht ausgeschlossen. Er stützt sich auf das EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln.

6. Unterstützung, Datenschutzverletzungen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und gegenüber Aufsichtsbehörden. Anfragen, die ihn direkt erreichen, leitet er weiter. Eine Verletzung des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den bekannten Angaben zu Art, Umfang, Folgen und Gegenmaßnahmen.

7. Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen durch den Verantwortlichen oder einen zur Verschwiegenheit verpflichteten Prüfer, nach Anmeldung mit angemessener Frist und in der Regel höchstens einmal im Jahr. Für die Rechenzentren der Unterauftragsverarbeiter genügen deren Zertifizierungen und Prüfberichte.

8. Löschung und Rückgabe

Während der Laufzeit kann der Verantwortliche seine Protokolle als Excel- oder CSV-Datei und als ZIP-Archiv aller PDFs exportieren. In der Plattform entfernte Kunden, Objekte und Nutzer werden zunächst archiviert, damit bestehende Protokolle vollständig bleiben; unterschriebene Protokolle sind unveränderlich. Die endgültige Löschung einzelner Datensätze, etwa auf Antrag einer betroffenen Person, führt der Auftragsverarbeiter auf Weisung in Textform aus.

Nach Ende des Vertrags bleiben die Daten 90 Tage abrufbar und werden danach gelöscht; in den Datenbank-Sicherungen spätestens 30 Tage später. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

9. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Verhältnis der Parteien zueinander die Haftungsregelung der Allgemeinen Geschäftsbedingungen. Es gilt deutsches Recht; Gerichtsstand ist Frankfurt am Main, soweit gesetzlich zulässig. Bei Widersprüchen geht dieser Vertrag den Allgemeinen Geschäftsbedingungen in Fragen des Datenschutzes vor.