Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand, Dauer, Art und Zweck

1. AgentyAi betreibt für den Auftraggeber die Software AgentyAi nach den AGB und verarbeitet dabei personenbezogene Daten in seinem Auftrag. Zweck ist die Organisation der Fahrausbildung: Terminbuchung und -verwaltung, Schülerverwaltung, Ausbildungsnachweis, Lernmaterial, Benachrichtigungen und die öffentliche Fahrschulseite mit Anfrageformular.
2. Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln per E-Mail, Sichern und Löschen.
3. Kategorien der Daten und betroffenen Personen ergeben sich aus Anlage 1.
4. Dieser Vertrag gilt, solange AgentyAi Daten für den Auftraggeber verarbeitet, einschließlich der Testphase. Er endet mit dem Hauptvertrag; § 9 gilt darüber hinaus.

§ 2 Weisungen

1. AgentyAi verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, AgentyAi ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt AgentyAi dies vorher mit, sofern das Gesetz es nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen sind durch diesen Vertrag und die Einstellungen und Eingaben des Auftraggebers in der Software festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Hält AgentyAi eine Weisung für rechtswidrig, weist AgentyAi unverzüglich darauf hin und darf ihre Ausführung bis zur Bestätigung aussetzen.

§ 3 Vertraulichkeit

AgentyAi setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). AgentyAi greift auf Daten des Auftraggebers nur zu, soweit es für Betrieb, Fehlerbehebung oder Support erforderlich ist, und protokolliert solche Zugriffe.

§ 4 Sicherheit der Verarbeitung

AgentyAi trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. AgentyAi darf sie dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. AgentyAi verpflichtet sie vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).
2. Über beabsichtigte Änderungen informiert AgentyAi mindestens 14 Tage vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

§ 6 Unterstützung des Auftraggebers

1. AgentyAi unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch; Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person direkt an AgentyAi, leitet AgentyAi die Anfrage unverzüglich an den Auftraggeber weiter.
2. AgentyAi unterstützt den Auftraggeber bei der Sicherheit der Verarbeitung, bei Meldungen von Datenpannen, bei einer Datenschutz-Folgenabschätzung und vorherigen Konsultation der Aufsichtsbehörde (Art. 32–36 DSGVO), soweit AgentyAi die dafür nötigen Informationen hat.

§ 7 Datenpannen

AgentyAi meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, damit dieser seine Meldefrist von 72 Stunden (Art. 33 DSGVO) einhalten kann. Die Meldung enthält, soweit bekannt, Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und die ergriffenen Maßnahmen. AgentyAi ergreift unverzüglich Maßnahmen zur Eindämmung.

§ 8 Nachweise und Kontrollen

AgentyAi stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Pflichten aus diesem Vertrag zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Inspektionen sind mit angemessener Frist, in der Regel zwei Wochen, anzukündigen und während der Geschäftszeiten ohne vermeidbare Störung des Betriebs durchzuführen.

§ 9 Rückgabe und Löschung

Nach Ende der Leistungen gibt AgentyAi die Daten auf Wunsch des Auftraggebers in einem gängigen Format heraus und löscht sie anschließend, spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Datensicherungen werden im Rahmen des üblichen Sicherungszyklus überschrieben. Die Löschung bestätigt AgentyAi auf Anfrage in Textform.

§ 10 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Regelungen der AGB, soweit gesetzlich zulässig. Bei Widersprüchen geht dieser Vertrag in Datenschutzfragen den AGB vor. Änderungen bedürfen der Textform; der Vertrag kann auch elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO).

Anlage 1 – Daten und betroffene Personen

Betroffene Personen

• Fahrschüler, darunter Minderjährige (in der Regel ab 16 Jahren)
• Interessenten, die das Anfrageformular nutzen
• Inhaber, Fahrlehrer und Büropersonal des Auftraggebers
• ggf. Dritte auf hochgeladenen Fotos (soll der Auftraggeber vermeiden)

Datenkategorien

• Kontakt- und Kontodaten: Name, E-Mail, Telefon, Anmelde- und Sitzungsdaten (Zeitpunkt, Browserkennung)
• Stammdaten der Schüler: Führerscheinklasse, Geburtsdatum, Anschrift, zuständiger Fahrlehrer, Notizen
• Gesundheitsdaten (Art. 9 DSGVO): Sehhilfe beim Fahren – nur mit Einwilligung des Schülers, die er in der App erteilt und widerruft
• Termine: Zeit, Dauer, Art, Preis, Treffpunkt oder Abholadresse, Status, Absagen und Ausfallgebühren
• Ausbildungsnachweis: Inhalte, Bewertungen, Unterschrift des Schülers (Zeichnung) mit Name und Zeitpunkt, Prüfsumme
• Prüfungen: Art, Datum, Ergebnis, Notiz
• Lerndaten: Lesestatus des Lernmaterials, Antworten auf Fragen, Serien
• Inhalte des Auftraggebers: Texte, Fotos, PDFs, Orte, Fragen
• Planungsdaten der Fahrlehrer: Arbeitszeiten, Abwesenheiten (Art der Abwesenheit), Tageslimits
• Anfragen: Name, E-Mail, Telefon, Klasse, Nachricht
• Protokoll wichtiger Aktionen (Zeitpunkt, handelnde Person)

Anlage 2 – Technische und organisatorische Maßnahmen

• Verschlüsselung: Übertragung ausschließlich per TLS (HTTPS mit HSTS); Datenbank und Sicherungen beim Hosting-Anbieter verschlüsselt gespeichert.
• Zugang: Anmeldung ohne Passwort über einmalige, 20 Minuten gültige E-Mail-Links bzw. -Codes (gesperrt nach mehreren Fehlversuchen) oder Passkeys (Face ID/Fingerabdruck auf dem Gerät); Anmelde-, Einladungs- und Sitzungs-Token werden nur als Hash gespeichert; Sitzungs-Cookies sind httpOnly; Grenzen gegen massenhafte Anfragen.
• Zugriff: Rollen (Inhaber, Admin, Fahrlehrer, Schüler); strikte Trennung der Fahrschulen in jeder Datenbankabfrage; Schüler sehen nur eigene Daten und freigegebenes Material; deaktivierte Mitarbeiter verlieren den Zugriff sofort; Dateien nur für berechtigte Nutzer über kurzlebige Links.
• Integrität: unterschriebene Ausbildungsnachweise werden versiegelt (Prüfsumme) und sind danach nicht mehr änderbar; Protokoll wichtiger Aktionen; Prüfung von Dateitypen anhand des Inhalts.
• Verfügbarkeit: laufende Datensicherung der Datenbank beim Hosting-Anbieter mit Wiederherstellung auf einen Zeitpunkt der letzten Tage; Betrieb in einem Rechenzentrum in Frankfurt am Main.
• Datenminimierung: keine Tracking-, Analyse- oder Werbedienste, keine Drittanbieter-Skripte; Schriften lokal ausgeliefert; Bilder werden im Browser verkleinert; ungenutzte Uploads nach einem Tag gelöscht.
• Organisation: Vertraulichkeitsverpflichtung; Zugriff auf Kundendaten nur, soweit es für Betrieb, Fehlerbehebung oder eine Weisung des Auftraggebers nötig ist; Sicherheits-Header gegen Einbetten in fremde Seiten; regelmäßige Updates und automatisierte Tests; Datenpannen werden nach § 7 gemeldet.

Anlage 3 – Unterauftragsverarbeiter

• Hosting: Render Services, Inc., San Francisco, USA – Betrieb der Anwendung und der Datenbank einschließlich Datensicherung. Standort: Frankfurt am Main, Deutschland (EU). Drittlandübermittlung: Daten liegen in der EU; für mögliche Zugriffe aus den USA EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• E-Mail-Versand: Resend, Inc., San Francisco, USA – Versand von Anmeldelinks, Einladungen, Terminbenachrichtigungen und Erinnerungen. Standort: EU (Irland). Drittlandübermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Dateispeicher: Cloudflare, Inc., San Francisco, USA (Cloudflare R2) – Speicherung von Bildern und PDFs des Lernmaterials – derzeit nicht im Einsatz (Dateien liegen in der Datenbank beim Hosting-Anbieter); ein Einsatz wird vorher angekündigt. Standort: EU-Jurisdiktion (Speicherung in Rechenzentren in der EU). Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend Standardvertragsklauseln.

Der Dateispeicher ist derzeit nicht im Einsatz; vor einem Einsatz informiert AgentyAi nach § 5.