Vertrag zur Auftragsverarbeitung (AVV)

zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und [Firma des Betreibers], [Straße Nr.], [PLZ Ort] („Auftragnehmer“), nach Art. 28 DSGVO.

1. Gegenstand und Dauer

Der Auftragnehmer betreibt für den Auftraggeber den Verleih-Shop „Leihdock“. Der Vertrag gilt für die Dauer der Nutzung des Dienstes einschließlich der Löschfrist nach Vertragsende.

2. Art der Daten und betroffene Personen

Betroffene	Endkunden (Mieter) des Auftraggebers, Interessenten, Mitarbeiter des Auftraggebers
Daten	Name, Anschrift, E-Mail, Telefon, Buchungen und Verträge, Zahlungsstatus, Fahrzeugangaben und -fotos, Kennzeichen, Ausweisprüfung (nur Vermerk, keine Kopie), Übergabeprotokolle mit Unterschrift und Schadensfotos, Benutzerkonten der Mitarbeiter
Zweck	Online-Buchung, Vertragsabwicklung, Übergabe und Rücknahme, Kommunikation mit Endkunden

3. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers; die Weisungen ergeben sich aus diesem Vertrag und der Nutzung des Dienstes.
• Vertraulichkeit aller Personen, die Zugang zu den Daten haben.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage).
• Unterstützung bei Betroffenenrechten, Meldungen von Datenschutzverletzungen (unverzüglich, spätestens innerhalb von 48 Stunden) und Datenschutz-Folgenabschätzungen.
• Nach Vertragsende Löschung aller Daten nach Ablauf von 60 Tagen, sofern keine Aufbewahrungspflicht besteht.
• Nachweis der Einhaltung und Ermöglichung von Überprüfungen nach angemessener Vorankündigung.

4. Unterauftragsverarbeiter

Der Auftraggeber genehmigt folgende Unterauftragsverarbeiter: [Hosting-Anbieter, Deutschland], [E-Mail-Versand]. Über Änderungen informiert der Auftragnehmer mindestens 30 Tage vorher per E-Mail; der Auftraggeber kann aus wichtigem Grund widersprechen. Zahlungsdienstleister (PayPal, Stripe), die der Auftraggeber selbst anbindet, sind eigene Verantwortliche des Auftraggebers und keine Unterauftragsverarbeiter.

Anlage: Technische und organisatorische Maßnahmen

• Hosting in einem ISO-27001-zertifizierten Rechenzentrum in Deutschland.
• Logische Trennung: eigenes Datenbankschema und eigener Dateibereich je Shop.
• Verschlüsselte Übertragung (TLS) für alle Verbindungen; Zahlungsschlüssel des Auftraggebers verschlüsselt gespeichert.
• Tägliche verschlüsselte Backups mit Aufbewahrung von 30 Tagen; regelmäßige Wiederherstellungstests.
• Zugriff der Administratoren des Auftragnehmers nur mit zweitem Faktor; Protokollierung von Anmeldungen.
• Zeitnahe Sicherheitsupdates von Betriebssystem und Software.