Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) | Stand: Juni 2026

§ 1 Vertragsgegenstand und Parteien

Dieser Auftragsverarbeitungsvertrag (AVV) wird geschlossen zwischen:

Auftraggeber (Verantwortlicher):
Der jeweilige Betreiber der Kfz-Werkstatt, der die Aucaro-Software nutzt (im Folgenden „Kunde").

Auftragnehmer (Auftragsverarbeiter):
Aucaro Software, vertreten durch Gerwin Schulze, Musterstraße 1, 27211 Bassum
E-Mail: info@aucaro.tech (im Folgenden „Aucaro").

Aucaro verarbeitet personenbezogene Daten im Auftrag des Kunden im Rahmen der Bereitstellung der Aucaro Werkstatt-Management-Software.

§ 2 Gegenstand und Dauer der Verarbeitung

Art der Verarbeitung: Speicherung, Verwaltung und Verarbeitung personenbezogener Daten über die Aucaro-Softwareplattform.

Zweck der Verarbeitung: Betrieb einer digitalen Werkstatt-Management-Lösung inklusive Kundenverwaltung, Auftragsverwaltung, Zeiterfassung, Rechnungsstellung und Fahrzeugverwaltung.

Dauer: Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags. Nach Vertragsende werden alle Daten innerhalb von 30 Tagen gelöscht oder dem Kunden auf Wunsch übergeben.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

Kategorien betroffener Personen:

Kunden der Werkstatt (Name, Adresse, Kontaktdaten, Fahrzeugdaten)
Mitarbeiter der Werkstatt (Name, Kontaktdaten, Arbeitszeitdaten)
Benutzer der Software (Zugangsdaten, Aktivitätsprotokolle)

Arten personenbezogener Daten:

Stammdaten: Name, Anschrift, Telefon, E-Mail
Fahrzeugdaten: Kennzeichen, FIN, Fahrzeugtyp
Auftragsdaten: Reparaturhistorie, Kostenvoranschläge, Rechnungen
Zeiterfassungsdaten: Arbeitsbeginn, -ende, Pausen
Kommunikationsdaten: E-Mail-Verläufe (sofern in der Software erfasst)

§ 4 Pflichten des Auftragnehmers

Aucaro verpflichtet sich insbesondere:

Daten ausschließlich auf Weisung des Kunden zu verarbeiten
Vertraulichkeit der Daten zu gewährleisten und nur befugtes Personal einzusetzen
Geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO umzusetzen
Den Kunden unverzüglich über Datenschutzverletzungen zu informieren (Art. 33 DSGVO)
Keine Weitergabe der Daten an Dritte ohne ausdrückliche Genehmigung
Löschung oder Rückgabe aller Daten nach Vertragsende
Dem Kunden alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der DSGVO nachzuweisen

§ 5 Technische und organisatorische Maßnahmen (TOMs)

Maßnahme	Umsetzung
Zugangskontrolle	Passwortgeschützter Serverzugang, SSH-Key-Authentifizierung
Zugriffskontrolle	Rollenbasiertes Berechtigungssystem, getrennte Mandanten-Datenbanken
Datentrennung	Jede Werkstatt erhält eine eigene, isolierte SQLite-Datenbank
Verschlüsselung	HTTPS/TLS für alle Datenübertragungen
Datensicherung	Regelmäßige Backups der Datenbanken
Verfügbarkeit	Monitoring und automatischer Neustart bei Ausfällen
Protokollierung	Audit-Log aller sicherheitsrelevanten Aktionen (GoBD-konform)
Löschkonzept	Sichere Löschung bei Vertragsende, Quarantäne 30 Tage

§ 6 Unterauftragsverhältnisse

Aucaro setzt folgende Unterauftragnehmer ein:

Dienstleister	Zweck	Standort
Hetzner Online GmbH	Server-Hosting	Deutschland (EU)
Twilio Inc.	SMS/WhatsApp-Benachrichtigungen (optional)	USA (SCCs)

Der Einsatz weiterer Unterauftragnehmer bedarf der vorherigen Genehmigung des Kunden.

§ 7 Rechte des Auftraggebers

Der Kunde ist berechtigt:

Kontrollen der Datenverarbeitung durchzuführen oder durch Dritte durchführen zu lassen
Vollständigen Export aller seiner Daten zu verlangen (Art. 20 DSGVO)
Löschung aller Daten zu verlangen (Art. 17 DSGVO)
Auskunft über alle verarbeiteten Daten zu verlangen (Art. 15 DSGVO)

§ 8 Datenpannen und Meldepflichten

Bei Bekanntwerden einer Datenpanne wird Aucaro den Kunden unverzüglich, spätestens innerhalb von 72 Stunden, informieren. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags werden alle personenbezogenen Daten des Kunden auf Wunsch zurückgegeben oder gelöscht. Die Löschung wird schriftlich bestätigt. Eine gesetzlich vorgeschriebene Aufbewahrungspflicht bleibt unberührt.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Gerichtsstand ist Bassum. Änderungen und Ergänzungen bedürfen der Schriftform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des Vertrags im Übrigen unberührt.

Aucaro Software · info@aucaro.tech · Stand: Juni 2026