Auftragsverarbeitungsvertrag

1. Parteien

Verantwortlicher: die CarPulse abonnierende Werkstatt mit den bei der Registrierung angegebenen Daten. Auftragsverarbeiter: Blaze Data Solution Korlátolt Felelősségű Társaság (Blaze Data Solution Kft.), Sitz: Gadó utca 8. TT 7. ajtó, 7636 Pécs, Ungarn, Handelsregisternummer: 02-09-088407 (Registergericht des Landgerichts Pécs), E-Mail: support@blazedata.hu.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand: Dienst zur Auftragsorganisation und Kundenkommunikation im Zusammenhang mit den Daten der Kunden und Fahrzeuge der Werkstatt. Dauer: die Laufzeit des Abonnements sowie der Zeitraum für Löschung oder Rückgabe der Daten nach Vertragsende.

3. Art und Zweck der Verarbeitung

Speicherung, Organisation, Anzeige, Übermittlung an den Kunden (Tracking-Link, Benachrichtigungen), Versand von Einmalcodes für Freigaben, Erstellung von Auftragsblättern als PDF.

4. Kategorien betroffener Personen

Die Kunden der Werkstatt (Fahrzeugeigentümer, Halter, Ansprechpartner) sowie die Mitarbeitenden der Werkstatt.

5. Arten personenbezogener Daten

Name, Telefonnummer, E-Mail-Adresse, Kennzeichen und Fahrzeugdaten, Fotos und Videos, Fehlerbeschreibung, Kostenvoranschläge und Freigaben, gekürzte IP-Adresse. Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen; die Werkstatt darf solche Daten nicht hochladen.

6. Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich der bestimmungsgemäßen Nutzung des Dienstes — und informiert unverzüglich, wenn eine Weisung gegen geltendes Recht verstößt.

7. Vertraulichkeit

Mitarbeitende mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet. Der Zugriff von Plattform-Administratoren wird protokolliert.

8. Sicherheitsmaßnahmen

Gemäß Art. 32 DSGVO trifft der Auftragsverarbeiter dem Risiko angemessene technische und organisatorische Maßnahmen, insbesondere:

Verschlüsselung: Alle Datenübertragungen sind verschlüsselt (HTTPS/TLS, HSTS). Passwörter werden als starke, gesalzene Hashes gespeichert (bcrypt, Kostenfaktor mindestens 12); Sitzungs-, Tracking-Link- und Einmalcodes werden nur als Hash gespeichert. Datenbank und Dateispeicher laufen auf der verschlüsselten Infrastruktur des Hosting-Anbieters in der EU.

Zugriffskontrolle: rollenbasierte Berechtigungen (Inhaber, Werkstattleiter, Mechaniker, Kunde); Mechaniker sehen standardmäßig keine Kontaktdaten der Kunden. Eine Werkstatt kann nie die Daten einer anderen Werkstatt sehen (jede Abfrage ist an die Werkstatt gebunden, geprüft durch automatisierte Tests). Pro Nutzer besteht höchstens eine Web- und eine Mobil-Sitzung; sensible Aktionen erfordern eine bestätigte E-Mail-Adresse.

Dateien: Fotos und Dokumente liegen in privatem Speicher und sind nur über kurzlebige (wenige Minuten), signierte Links erreichbar.

Protokollierung und Integrität: Freigaben, Phasenwechsel, unterschriebene Protokolle, versendete Inspektionen und das Audit-Protokoll können nachträglich nicht geändert werden (auf Datenbankebene durchgesetzt). Zugriffe von Plattform-Administratoren werden protokolliert.

Missbrauchsschutz: Begrenzung der Anfragerate, nicht aufzählende Registrierung und Passwort-Zurücksetzung, Einmalcodes mit begrenzten Versuchen, Content Security Policy (CSP), isolierte (Sandbox-)PDF-Erstellung.

Verfügbarkeit: regelmäßige Datenbanksicherungen, Zustandsüberwachung und automatischer Neustart.

Organisatorische Maßnahmen: Zugriffe sind auf das notwendige Minimum beschränkt, alle Zugriffsberechtigten sind zur Vertraulichkeit verpflichtet; die Entwicklung umfasst Code-Reviews und regelmäßige Sicherheitsprüfungen; gemäß dem Verfahren zur Behandlung von Sicherheitsvorfällen wird der Verantwortliche spätestens innerhalb von 48 Stunden benachrichtigt.

9. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Aktuelle Liste: Hosting Railway Corporation (EU-Region, Niederlande), Dateispeicherung Railway (EU-Region, Niederlande), E-Mail Resend, SMS SeeMe / Twilio, Push Google Firebase, Zahlungen Stripe, RevenueCat. Über Änderungen informiert der Auftragsverarbeiter 30 Tage im Voraus; der Verantwortliche kann widersprechen.

10. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Funktionen (Datenexport, Löschung, Berichtigung) und auf Anfrage mit individueller Mitwirkung bei der Erfüllung von Betroffenenanfragen und bei Datenschutz-Folgenabschätzungen.

11. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen nach Kenntniserlangung ohne unangemessene Verzögerung, spätestens innerhalb von 48 Stunden, mit den in Art. 33 Abs. 3 DSGVO genannten Informationen.

12. Löschung oder Rückgabe der Daten

Bei Vertragsende gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen in exportierbarer Form zurück oder löscht sie innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Personenbezogene Daten im unveränderlichen Freigabeprotokoll werden anonymisiert.

13. Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht im Voraus vereinbarte Überprüfungen.

14. Übermittlung in Drittländer

Eine Übermittlung außerhalb des EWR erfolgt nur mit geeigneten Garantien gemäß Kapitel V DSGVO (z. B. Standardvertragsklauseln).

15. Schlussbestimmungen

Diese Vereinbarung ist untrennbarer Bestandteil der AGB. Bei Widersprüchen in Datenschutzfragen hat diese Vereinbarung Vorrang. Anwendbares Recht: ungarisches Recht.