Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Auftragsverarbeitung
gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Auftragnehmer (Auftragsverarbeiter):
VinChat, Inh. Melf Haack
Wedeler Weg 93
25421 Pinneberg, Deutschland

Auftraggeber (Verantwortlicher):
Das Autohaus, das die VinChat-Plattform gemäß dem zugrunde liegenden Nutzungsvertrag (AGB) nutzt und diesen Auftragsverarbeitungsvertrag im Rahmen des Online-Vertragsschlusses akzeptiert. Die Identität und Anschrift des Auftraggebers ergeben sich aus den bei Vertragsschluss angegebenen Registrierungsdaten.

– nachfolgend gemeinsam „Parteien“ –

§ 1 Gegenstand, Dauer und Spezifizierung der Verarbeitung

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag und nach Weisung des Auftraggebers im Rahmen der Nutzung der Software-as-a-Service-Plattform „VinChat“ (KI-gestützte Lead-Verwaltung für Autohäuser, einschließlich automatisierter Erstreaktion auf Kundenanfragen per E-Mail und Web-Chat-Widget sowie Übergabe an Vertriebsmitarbeitende).

(2) Die Verarbeitung erfolgt ausschließlich zu dem Zweck, dem Auftraggeber die vertraglich vereinbarten Leistungen der VinChat-Plattform bereitzustellen. Eine Verarbeitung der Daten zu eigenen Zwecken des Auftragnehmers findet nicht statt.

(3) Die Dauer dieses Vertrages entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag / AGB über die VinChat-Plattform). Er endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

Art und Zweck der Verarbeitung

Erhebung, Speicherung, Organisation, Anpassung, Auslesen, Verwendung, automatisierte Auswertung mittels KI-Sprachmodellen, Übermittlung an berechtigte Mitarbeitende des Auftraggebers, Einschränkung und Löschung personenbezogener Daten zur Bearbeitung von Kundenanfragen (Leads) des Auftraggebers.

Art der personenbezogenen Daten

• Kontaktdaten der Endkunden des Auftraggebers (Name, E-Mail-Adresse, Telefonnummer, soweit angegeben)
• Inhalt der Kundenanfragen sowie Chat- und E-Mail-Kommunikationsverläufe
• Fahrzeug- und interessenbezogene Angaben, die der Endkunde freiwillig mitteilt
• Zugangs- und Nutzungsdaten der Mitarbeitenden des Auftraggebers (Dashboard-Konten: Name, E-Mail, Rolle)
• Metadaten der Kommunikation (Zeitstempel, Kommunikationskanal)

Kategorien betroffener Personen

• Endkunden und Interessenten des Auftraggebers
• Mitarbeitende des Auftraggebers mit Zugang zum Dashboard

§ 2 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, der Auftragnehmer ist nach dem Recht der Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden anfänglich durch diesen Vertrag festgelegt und können vom Auftraggeber danach in Textform geändert, ergänzt oder ersetzt werden (Einzelweisungen). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 3 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, soweit er nicht gesetzlich zu einer bestimmten Verarbeitung verpflichtet ist.

2. Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Da der Auftragnehmer als Einzelunternehmer derzeit ohne Beschäftigte tätig ist, gilt diese Verpflichtung für ihn selbst sowie für etwaige künftige Beschäftigte und Auftragnehmer.

3. Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und hält diese während der Vertragslaufzeit aufrecht.

4. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.

5. Der Auftragnehmer benennt dem Auftraggeber eine Kontaktstelle für datenschutzrechtliche Belange: info@vinchat.de.

§ 4 Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten, die im Verantwortungsbereich des Auftragnehmers oder seiner Unterauftragsverarbeiter eingetreten sind.

(2) Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit dem Auftragnehmer bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen.

(3) Die Meldepflicht nach Art. 33 DSGVO an die zuständige Aufsichtsbehörde sowie die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegt dem Auftraggeber als Verantwortlichem. Der Auftragnehmer unterstützt ihn hierbei.

§ 5 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und der vertraglichen Vereinbarungen sowie der getroffenen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung und sodann regelmäßig in angemessenem Umfang zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragnehmer kann den Nachweis der getroffenen Maßnahmen führen durch die Vorlage der dokumentierten technischen und organisatorischen Maßnahmen (Anlage 1), durch geeignete Zertifikate oder Testate seiner Unterauftragsverarbeiter (z. B. ISO 27001, SOC 2) oder durch sonstige geeignete Nachweise.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (i. d. R. mindestens zwei Wochen), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Der durch eine Kontrolle entstehende Aufwand des Auftragnehmers kann angemessen vergütet werden, sofern die Kontrolle nicht durch konkrete Anhaltspunkte für einen Verstoß veranlasst ist.

§ 6 Unterauftragsverhältnisse

(1) Die Beauftragung von Unterauftragsverarbeitern ist nur mit allgemeiner schriftlicher Genehmigung des Auftraggebers zulässig. Der Auftraggeber genehmigt mit Abschluss dieses Vertrages die in Anlage 2 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in Textform mit einer Frist von mindestens 14 Tagen. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen (Art. 28 Abs. 2 DSGVO).

(3) Der Auftragnehmer erlegt dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO).

(4) Als Unterauftragsverarbeitung im Sinne dieser Regelung sind nicht solche Nebenleistungen zu verstehen, die der Auftragnehmer bei Dritten als reine Nebenleistung in Anspruch nimmt (z. B. Telekommunikationsleistungen, Postdienste, Reinigung). Wartungs- und Prüfleistungen, die sich auf IT-Systeme beziehen, mit denen personenbezogene Daten verarbeitet werden, stellen jedoch genehmigungspflichtige Unterauftragsverhältnisse dar.

§ 7 Datenübermittlung in Drittländer

(1) Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EWR) findet nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO statt.

(2) Die KI-Verarbeitung erfolgt über Microsoft Azure OpenAI in der Region Sweden Central (EU) unter dem Tarif „EU Data Zone Standard“; eine Verarbeitung über „Global Standard“ ist ausgeschlossen. Die primäre Datenbankverarbeitung (Supabase) erfolgt in der Region eu-central-1 (Frankfurt am Main, Deutschland).

(3) Sämtliche vertraglichen Hauptleistungen (Datenbank, Hosting, KI) werden in Rechenzentren innerhalb der Europäischen Union erbracht. Für etwaige zukünftige Übermittlungen an Unterauftragsverarbeiter ohne Angemessenheitsbeschluss werden die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), nebst erforderlicher zusätzlicher Maßnahmen herangezogen. Einzelheiten sind in Anlage 2 dargestellt.

§ 8 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Auftraggeber kann die Wahl zwischen Löschung und Rückgabe bis spätestens zum Ende der Vertragslaufzeit in Textform mitteilen. Erfolgt keine Mitteilung, werden die Daten innerhalb von 30 Tagen nach Vertragsende gelöscht.

(3) Die Löschung erstreckt sich auch auf Datensicherungen (Backups). Soweit eine sofortige Löschung aus Backups technisch nicht möglich ist, werden die betreffenden Daten von der weiteren Verarbeitung ausgeschlossen und nach Ablauf des regulären Backup-Zyklus endgültig gelöscht. Die Dokumentation der Löschung ist dem Auftraggeber auf Anforderung nachzuweisen.

§ 9 Haftung

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis zwischen den Parteien haftet jede Partei für Schäden, die durch eine ihr zurechenbare Verletzung dieses Vertrages oder datenschutzrechtlicher Pflichten verursacht wurden.

(2) Im Übrigen gelten die Haftungsregelungen des zugrunde liegenden Hauptvertrags (AGB / Nutzungsvertrag), soweit diese mit zwingendem Datenschutzrecht vereinbar sind.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Bei Widersprüchen zwischen diesem Vertrag und Regelungen des Hauptvertrags gehen die Regelungen dieses Vertrages zur Auftragsverarbeitung vor.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Zustandekommen des Vertrages

Dieser Auftragsverarbeitungsvertrag wird im Rahmen des elektronischen Vertragsschlusses über die VinChat-Plattform geschlossen. Der Auftraggeber akzeptiert ihn durch ausdrückliche Bestätigung (z. B. durch Setzen des entsprechenden Häkchens) im Zuge der Registrierung bzw. Buchung. Eine handschriftliche Unterschrift ist nicht erforderlich; der Vertrag gilt mit dieser elektronischen Bestätigung als wirksam zwischen den Parteien geschlossen. Der Zeitpunkt der Bestätigung sowie die dabei angegebenen Registrierungsdaten werden vom Auftragnehmer dokumentiert.

Anlage 1

Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

Die nachfolgenden Maßnahmen beschreiben das Schutzniveau, das der Auftragnehmer unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung gewährleistet.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle (physisch): Die Verarbeitung erfolgt vollständig in zertifizierten Rechenzentren der eingesetzten Cloud- und Hosting-Dienstleister (siehe Anlage 2). Der Auftragnehmer selbst betreibt keine eigene Server-Hardware. Die physische Sicherheit (Zutrittskontrollen, Videoüberwachung, Brandschutz) wird durch die Rechenzentrumsbetreiber gewährleistet und durch deren Zertifizierungen (u. a. ISO 27001) belegt.
• Zugangskontrolle (Systemzugang): Zugang zu den Verwaltungsoberflächen (Datenbank, Workflow-Automatisierung, Server) ausschließlich für den Auftragnehmer über persönliche, individuelle Zugangsdaten. Verwendung starker, einzigartiger Passwörter. Aktivierung der Zwei-Faktor-Authentifizierung (2FA), wo vom Anbieter unterstützt. Absicherung der Server-Infrastruktur durch SSH-Key-Authentifizierung (Deaktivierung des Passwort-Logins) sowie Einsatz von fail2ban gegen automatisierte Brute-Force-Angriffe.
• Zugriffskontrolle (Datenzugriff): Mandantentrennung auf Datenbankebene durch Row-Level-Security (RLS): Jeder Datensatz ist einem eindeutigen Mandanten (dealership_id) zugeordnet; RLS-Richtlinien stellen sicher, dass Nutzende ausschließlich auf Daten des eigenen Mandanten zugreifen können. Rollenbasiertes Berechtigungskonzept im Dashboard (z. B. Verkauf/Inhaber).
• Trennungskontrolle: Logische Trennung der Mandantendaten innerhalb der mandantenfähigen Architektur über die genannte dealership_id und RLS. Trennung von Produktiv- und Entwicklungsumgebung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle (Transportverschlüsselung): Verschlüsselte Datenübertragung ausschließlich über TLS/HTTPS für alle Verbindungen (Web-Dashboard, Chat-Widget, API-Aufrufe, Datenbankverbindungen mit erzwungenem SSL). E-Mail-Versand über authentifizierte, transportverschlüsselte Verbindungen (STARTTLS) mit SPF, DKIM und DMARC.
• Eingabekontrolle (Nachvollziehbarkeit): Protokollierung relevanter Verarbeitungsvorgänge mit Zeitstempel. Kommunikationsverläufe werden mit Rollen-, Inhalts- und Zeitangaben gespeichert, sodass nachvollziehbar bleibt, durch wen bzw. durch welches System (Mensch oder KI) Daten erstellt oder verändert wurden.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Verfügbarkeitskontrolle: Automatisierte, regelmäßige Datensicherungen der Datenbank durch den Datenbank-Provider. Schutz vor Datenverlust durch redundante Speicherung auf Anbieterseite. Einsatz von Schutzmaßnahmen gegen Überlastung und Angriffe auf Netzwerkebene (u. a. über den eingesetzten DNS-/CDN-Dienstleister).
• Rasche Wiederherstellbarkeit: Wiederherstellung von Daten aus Sicherungen über die Point-in-Time-Recovery- bzw. Backup-Funktionen des Datenbank-Providers. Die Wirksamkeit der Wiederherstellungsprozesse wird durch regelmäßige, dokumentierte Restore-Tests der Datenbank verifiziert.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Auftragskontrolle: Auswahl der Unterauftragsverarbeiter nach Datenschutz- und Sicherheitskriterien; Abschluss von Auftragsverarbeitungsverträgen mit allen Unterauftragsverarbeitern; KI-Verarbeitung ausschließlich über EU-Region mit vertraglich zugesichertem Verzicht auf Trainingsnutzung der Eingabedaten.
• Datenschutz-Management: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO). Technische Durchsetzung von Datenminimierung durch festgelegte, automatisierte Löschroutinen für nicht mehr benötigte Daten (z. B. per zeitgesteuerter Datenbankaufgabe). Führung eines Verzeichnisses von Verarbeitungstätigkeiten.
• Incident-Response-Management: Definierter Prozess zur unverzüglichen Meldung von Datenschutzverletzungen an den Auftraggeber.

5. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Verschlüsselung im Ruhezustand: Verschlüsselte Speicherung der Daten („encryption at rest“) durch die eingesetzten Cloud-Dienstleister.
• Verschlüsselung bei der Übertragung: Durchgängige Transportverschlüsselung (TLS), siehe Ziffer 2.

Anlage 2

Verzeichnis der genehmigten Unterauftragsverarbeiter

Der Auftraggeber genehmigt mit Abschluss des Hauptvertrags die Beauftragung der nachfolgend aufgeführten Unterauftragsverarbeiter:

Hinweis: Sollte bei Hostinger ein anderes EU-Rechenzentrum gebucht sein, passen Sie den Ort in der Tabelle (z. B. auf Litauen oder Frankreich) an. Solange es innerhalb der EU liegt, bleibt es rechtlich beim „kein Drittlandtransfer“.

Stand des Verzeichnisses: 20.07.2026. Änderungen werden dem Auftraggeber gemäß § 6 Abs. 2 des Hauptvertrags mitgeteilt.