Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 20.10.2026 (Version 1.1)

zwischen dem Kunden von Classiva (nachfolgend „Verantwortlicher“) und Farsad Ahmadi-Adli, Am Burghof 12a, 61130 Nidderau (nachfolgend „Auftragsverarbeiter“).

Präambel

Der Verantwortliche nutzt die Software Classiva nach den Nutzungsbedingungen (Hauptvertrag). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten, die der Verantwortliche in die Software einstellt, in dessen Auftrag. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO. Er ist Bestandteil des Hauptvertrags und geht ihm in Fragen des Datenschutzes vor.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung der Software Classiva zur Erstellung von Wert- und Zustandsgutachten und die damit verbundene Speicherung und Verarbeitung der vom Verantwortlichen eingestellten Daten. Einzelheiten ergeben sich aus Anlage 1.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Die Beendigung des Hauptvertrags beendet zugleich diesen Vertrag.
3. Der Verantwortliche ist allein für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich, insbesondere für die Rechtmäßigkeit der Verarbeitung der Daten seiner Auftraggeber und Fahrzeughalter. Er ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

§ 2 Umfang, Art und Zweck, Datenarten, Betroffene

Umfang, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

§ 3 Ort der Verarbeitung

1. Die Verarbeitung findet in Rechenzentren in Deutschland statt (Hetzner Online GmbH, Nürnberg und Falkenstein). Nur für das Einlesen des Fahrzeugscheins, das der Verantwortliche selbst freischaltet, werden die Fotos der Zulassungsbescheinigung in Rechenzentren von Amazon Web Services in der EU ausgewertet (Anlage 3, Nr. 3).
2. Eine Verarbeitung in einem Drittland findet durch den Auftragsverarbeiter nicht statt. Der Subunternehmer Mailjet SAS verarbeitet in Rechenzentren in der EU; für Support und Betrieb kann die Sinch-Gruppe außerhalb der EU auf Grundlage der Standardvertragsklauseln der EU-Kommission beteiligt sein. Hiervon sind nur E-Mail-Adresse, Name und Zustellinformationen der Nutzer des Verantwortlichen sowie der Inhalt der Systemmails betroffen, nicht die Gutachtendaten (siehe Anlage 3). Amazon Web Services verarbeitet die Fotos ausschließlich in der EU; die Konzernmutter hat ihren Sitz in den USA, ist nach dem EU-US Data Privacy Framework zertifiziert und hat zusätzlich die Standardvertragsklauseln der EU-Kommission vereinbart.

§ 4 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
2. Diese Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen. Das Sicherheitsniveau der Anlage 2 darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und stellt die aktuelle Fassung im Kundenkonto bereit.

§ 5 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur im Rahmen dieses Vertrags und der dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Der Auftragsverarbeiter ist zur Verschwiegenheit verpflichtet und hat alle mit der Verarbeitung befassten Personen auf die Vertraulichkeit verpflichtet. Derzeit hat allein der Auftragsverarbeiter selbst Zugriff auf die Systeme.
3. Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht zu bestellen. Ansprechpartner für Datenschutz ist der Auftragsverarbeiter unter info@classiva.de.
4. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
5. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen und Prüfungen der Aufsichtsbehörden, soweit sie diese Verarbeitung betreffen.
6. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, eine Weisung verstoße gegen die DSGVO oder andere Datenschutzvorschriften. Er darf die Ausführung der Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen aussetzen.

§ 6 Pflichten des Verantwortlichen

1. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
2. Weisungen erteilt der Verantwortliche in Textform an info@classiva.de. Mündliche Weisungen bestätigt er unverzüglich in Textform. Der Auftragsverarbeiter dokumentiert die Weisungen.
3. Der Verantwortliche erteilt keine Weisungen, die den vereinbarten Leistungsumfang übersteigen, ohne dies gesondert mit dem Auftragsverarbeiter zu vereinbaren.

§ 7 Subunternehmer

1. Der Verantwortliche genehmigt die in Anlage 3 genannten Subunternehmer.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Subunternehmers in Textform (E-Mail an die Kontoadresse). Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch kann jede Partei den Hauptvertrag mit einer Frist von einem Monat kündigen, sofern die Parteien keine einvernehmliche Lösung finden.
3. Der Auftragsverarbeiter legt jedem Subunternehmer dieselben Datenschutzpflichten auf, die ihn nach diesem Vertrag treffen, insbesondere ausreichende Garantien für technische und organisatorische Maßnahmen.
4. Subunternehmer, die nur für eine Zusatzfunktion tätig werden, die der Verantwortliche in der Software ausdrücklich freischaltet (Anlage 3, Nr. 3), genehmigt der Verantwortliche mit dieser Freischaltung. Vor der Freischaltung erhalten sie keine Daten. Schaltet der Verantwortliche die Funktion wieder ab, endet die Übermittlung sofort.
5. Nicht als Subunternehmer gelten Nebenleistungen wie Telekommunikation, Post, Wartung von Bürogeräten oder Reinigung, sofern dabei kein Zugriff auf personenbezogene Daten erfolgt.

§ 8 Kontrollrechte

1. Der Verantwortliche darf sich vor Beginn und während der Verarbeitung von der Einhaltung der Maßnahmen nach Anlage 2 überzeugen. Der Auftragsverarbeiter stellt hierzu die erforderlichen Auskünfte und Nachweise bereit, insbesondere die Zertifikate und Testate der Subunternehmer.
2. Kontrollen vor Ort sind nach angemessener Vorankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten möglich, sofern sie den Betrieb nicht unverhältnismäßig stören. Der Verantwortliche darf einen zur Verschwiegenheit verpflichteten Prüfer beauftragen, der nicht in unmittelbarem Wettbewerb zum Auftragsverarbeiter steht.
3. Aufwendungen für Kontrollen, die über einen Termin je Kalenderjahr hinausgehen und keinen konkreten Anlass haben, darf der Auftragsverarbeiter angemessen in Rechnung stellen.

§ 9 Weitere Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung der Rechte der betroffenen Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen.

§ 10 Weisungsbefugnis

1. Der Auftragsverarbeiter verarbeitet Daten ausschließlich nach Weisung des Verantwortlichen. Weisungen sind im Hauptvertrag, in diesem Vertrag und in dessen Anlagen niedergelegt; Einzelweisungen erfolgen nach § 6 Absatz 2.
2. Der Verantwortliche bestimmt allein über die Berichtigung, Löschung und Sperrung der Daten. Der Auftragsverarbeiter führt sie im Rahmen der Funktionen der Software aus.

§ 11 Löschung und Rückgabe

1. Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt. Ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung nötig sind.
2. Nach Beendigung der Verarbeitungsleistungen stellt der Auftragsverarbeiter dem Verantwortlichen auf Verlangen innerhalb von 30 Tagen alle Daten in einem gängigen maschinenlesbaren Format zum Download bereit. Nach Wahl des Verantwortlichen löscht er die Daten oder gibt sie zurück; spätestens drei Monate nach Vertragsende löscht er sie einschließlich Sicherungskopien, soweit keine Aufbewahrungspflicht nach dem Recht der Union oder eines Mitgliedstaats besteht. Die Löschung dokumentiert er und bestätigt sie auf Verlangen.
3. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragsverarbeiter nach den gesetzlichen Aufbewahrungsfristen aufbewahren.

§ 12 Haftung

Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelung des Hauptvertrags.

§ 13 Schlussbestimmungen

1. Änderungen dieses Vertrags bedürfen der Textform.
2. Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern der Verantwortliche Kaufmann ist.
3. Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem der Verantwortliche ihn bei der Registrierung annimmt. Der Auftragsverarbeiter speichert Zeitpunkt und Version der Annahme und stellt den Vertrag mit allen Anlagen im Kundenkonto als PDF bereit.

Anlage 1: Gegenstand der Verarbeitung

Gegenstand und Zweck: Bereitstellung der Software Classiva zur Erstellung, Speicherung und Ausgabe von Wert- und Zustandsgutachten für Fahrzeuge einschließlich Fotos und PDF-Erzeugung; Verwaltung der Nutzerkonten des Verantwortlichen.

Art der Verarbeitung: Erhebung über Eingabemasken, Speicherung in einer Datenbank und einem Objektspeicher, Anzeige, Erzeugung von PDF-Dateien, Kopieren von Gutachten auf Weisung, Ablage früherer Gutachten als PDF im Archiv, nach Freischaltung durch den Verantwortlichen automatisches Auslesen der Angaben aus Fotos der Zulassungsbescheinigung, Export auf Weisung, Löschung.

Arten personenbezogener Daten:

• Auftraggeber der Gutachten: Name, Anschrift, Kontaktdaten, Rolle (zum Beispiel Eigentümer, Versicherung)
• Fahrzeughalter und Eigentümer: Name, Fahrzeugdaten (Marke, Modell, Fahrgestellnummer, Kennzeichen, Erstzulassung, Tachostand, Vorbesitzer)
• Fotos der Fahrzeuge, gegebenenfalls mit Kennzeichen oder Personen im Hintergrund
• Fotos der Zulassungsbescheinigung mit Name und Anschrift des Halters und den Fahrzeugdaten
• Bewertungen, Beschreibungen und Werte der Gutachten
• frühere Gutachten, die der Verantwortliche als PDF im Archiv ablegt, mit ihren Kopfdaten
• Nutzer des Verantwortlichen: Name, E-Mail-Adresse, Passwort (nur als Hashwert), Qualifikation, Unterschrift, Stempel, Protokoll der Anmeldungen und Statusänderungen

Kategorien betroffener Personen: Auftraggeber und Fahrzeughalter des Verantwortlichen, Mitarbeiter und Inhaber des Verantwortlichen, Personen, die auf Fotos erkennbar sind.

Dauer: Für die Laufzeit des Hauptvertrags, Löschung nach § 11.

Anlage 2: Technische und organisatorische Maßnahmen (Stand 20.10.2026)

Die Anwendung läuft auf einem Cloud-Server der Hetzner Online GmbH im Rechenzentrum Nürnberg. Fotos liegen im Hetzner Object Storage in Falkenstein. Für die Sicherheit der Rechenzentren gelten die Maßnahmen von Hetzner (ISO 27001, BSI C5 Typ 2, jährliche Prüfung der TOM durch TÜV Rheinland). Für Betriebssystem, Anwendung und Datenbank ist der Auftragsverarbeiter verantwortlich.

Anlage 3: Subunternehmer

Die Zahlungsabwicklung über Stripe Payments Europe, Ltd. betrifft ausschließlich die Vertrags- und Rechnungsdaten des Verantwortlichen selbst, für die der Auftragsverarbeiter eigener Verantwortlicher ist (Datenschutzerklärung, Abschnitt 11). Gutachtendaten, die Gegenstand dieses Vertrags sind, erhält Stripe nicht; Stripe ist deshalb kein Subunternehmer im Sinne dieses Vertrags.