Anmelden Kostenlos starten

GDPR & Vertrag zur Auftragsverarbeitung

Datum des Inkrafttretens und letzte Aktualisierung: 1. August 2026

Version: 2026-08-01

Diese Vereinbarung zur Verarbeitung personenbezogener Daten ("DPA") ist Bestandteil der ELVPro-Nutzungsbedingungen oder einer sonstigen schriftlichen Vereinbarung (die "Vereinbarung") zwischen:

(1) dem Demontagebetrieb, Demontagebetrieb, Recyclingunternehmen, Gebrauchtteilehändler oder sonstigen Unternehmen, das ELVPro vertraglich in Anspruch genommen hat ("Kunde", "Verantwortlicher"); und

(2) SYNCDEV S.R.L., eingetragen im rumänischen Handelsregister unter Nr. J36/164/2014, CUI / Steueridentifikationsnummer 33129339, mit Sitz in Str. Fetițelor nr. 4, camera nr. 1, 820035 Tulcea, Tulcea, Rumänien ("SYNCDEV", "ELVPro", "Auftragsverarbeiter").

Diese DPA soll den Anforderungen von Artikel 28 Absatz 3 und 4 der Verordnung (EU) 2016/679 ("GDPR") genügen. Die Parteien können sie elektronisch unterzeichnen oder als Bestandteil der Online-Vereinbarung annehmen.

1. Begriffsbestimmungen und Vorrang

"Personenbezogene Daten des Kunden" bezeichnet personenbezogene Daten, die von SYNCDEV im Auftrag des Kunden über ELVPro verarbeitet werden.

"Datenschutzrecht" bezeichnet die GDPR, das rumänische Gesetz Nr. 190/2018, die anwendbaren Vorschriften zur Umsetzung der Richtlinie 2002/58/EC sowie jedes weitere auf die Verarbeitung anwendbare Datenschutzrecht.

"Betroffene Person", "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde" haben die in der GDPR festgelegte Bedeutung.

"Unterauftragsverarbeiter" bezeichnet einen weiteren Auftragsverarbeiter, den SYNCDEV mit der Verarbeitung personenbezogener Daten des Kunden beauftragt.

Widerspricht diese DPA der Vereinbarung hinsichtlich des Schutzes personenbezogener Daten des Kunden, geht diese DPA vor. Widersprechen die von der Europäischen Kommission herausgegebenen Standardvertragsklauseln, die für eine internationale Übermittlung verwendet werden, dieser DPA, gehen für diese Übermittlung jene Klauseln vor.

2. Rollen und Umfang

Der Kunde legt die Zwecke und die wesentlichen Mittel der Verarbeitung personenbezogener Daten des Kunden in seiner Betriebsverwaltung und seinem öffentlichen Онline-Shop fest. Der Kunde ist Verantwortlicher und SYNCDEV ist Auftragsverarbeiter.

SYNCDEV ist eigenständiger Verantwortlicher für seine eigene Interessenten-/Kundenbeziehung, die Verwaltung des SaaS-Kontos, die Abonnementabrechnung, die direkte Support-Beziehung, Sicherheit und die Einhaltung gesetzlicher Vorschriften, wie in der ELVPro-Datenschutzerklärung beschrieben. Diese DPA gilt nicht für diese eigenständige Verarbeitung als Verantwortlicher.

Die nach Artikel 28 Absatz 3 GDPR erforderlichen Angaben zur Verarbeitung befinden sich in Anhang 1.

3. Anweisungen des Kunden

SYNCDEV wird personenbezogene Daten des Kunden nur verarbeiten:

  • um den ELVPro-Dienst bereitzustellen, abzusichern, zu pflegen und zu unterstützen;
  • wie vom Kunden und seinen berechtigten Nutzern über den Dienst konfiguriert oder veranlasst;
  • wie in der Vereinbarung, dieser DPA und ihren Anhängen beschrieben;
  • um eine vom Kunden ausdrücklich aktivierte Integration anzubinden; und
  • nach sonstigen dokumentierten schriftlichen Anweisungen, die von SYNCDEV angenommen wurden.

Die Vereinbarung, diese DPA, die Konfiguration des Kunden und die berechtigte Nutzung einer Funktion stellen dokumentierte Anweisungen dar.

SYNCDEV wird personenbezogene Daten des Kunden nicht verkaufen, nicht für eigene Werbezwecke verwenden und nicht mit Daten anderer Betriebe kombinieren, um einen betriebsübergreifenden Kundenmarktplatz zu schaffen.

Erfordert das Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung, die über die Anweisungen des Kunden hinausgeht, wird SYNCDEV den Kunden vor der Verarbeitung informieren, sofern das Recht diese Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

SYNCDEV wird den Kunden unverzüglich informieren, wenn eine Anweisung nach seiner Auffassung gegen das Datenschutzrecht verstößt. SYNCDEV kann die betroffene Verarbeitung aussetzen, während die Parteien die Anweisung klären oder ändern.

4. Pflichten des Kunden

Der Kunde sichert zu und verpflichtet sich, dass:

  • er für jeden Verarbeitungszweck über eine gültige Rechtsgrundlage verfügt und alle nach Artikel 13 und 14 GDPR erforderlichen Informationen bereitgestellt hat;
  • seine Anweisungen dem Datenschutzrecht entsprechen;
  • er nur personenbezogene Daten erhebt und verwendet, die angemessen, relevant und erforderlich sind;
  • er über die erforderlichen Rechte und die erforderliche Befugnis verfügt, um die Daten und Inhalte hochzuladen, zu veröffentlichen, offenzulegen oder deren Verarbeitung anzuweisen;
  • er ELVPro nicht für rechtswidrige Diskriminierung oder für ausschließlich automatisierte Entscheidungen im Sinne von Artikel 22 GDPR, die verboten sind, nutzen wird;
  • er keine Daten besonderer Kategorien, Daten über strafrechtliche Verurteilungen und Straftaten oder Daten von Kindern hochladen wird, außer wenn dies unbedingt erforderlich, ausdrücklich mit SYNCDEV vereinbart und durch alle erforderlichen rechtlichen Voraussetzungen und Schutzmaßnahmen gedeckt ist;
  • er Aufbewahrung, Zugriffsberechtigungen, Cookies, Marketing-Tags, Kommunikationen und Integrationen rechtmäßig konfiguriert;
  • er als Verantwortlicher gegenüber betroffenen Personen und Behörden reagiert; und
  • seine berechtigten Nutzer Zugangsdaten und Integrationsschlüssel sicher aufbewahren.

Der Kunde ist verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten des Kunden sowie für die Art und Weise, wie sie erhoben wurden.

5. Vertraulichkeit und Personal

SYNCDEV stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten des Kunden befugt sind:

  • einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegen;
  • nur dann Zugang erhalten, wenn dies für ihre Aufgaben erforderlich ist;
  • angemessene Datenschutz- und Sicherheitsanweisungen erhalten; und
  • die Daten nur in dem von dieser DPA erlaubten Umfang verarbeiten.

Der Zugriff durch Support-Personal von SYNCDEV muss begrenzt, autorisiert und, soweit das System eine Protokollierung unterstützt, protokolliert werden. Die Übernahme der Nutzeridentität durch den Support muss zeitlich begrenzt sein und darf nur für den autorisierten Support-Zweck verwendet werden.

6. Sicherheit

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die betroffenen Personen wird SYNCDEV angemessene technische und organisatorische Maßnahmen nach Artikel 32 GDPR umsetzen und aufrechterhalten.

Die grundlegenden Maßnahmen sind in Anhang 2 beschrieben. SYNCDEV kann die Maßnahmen aktualisieren, um Risiken und der Technologieentwicklung Rechnung zu tragen, sofern der Gesamtschutz dadurch nicht wesentlich verringert wird.

Der Kunde erkennt an, dass Sicherheit eine geteilte Verantwortung ist. Der Kunde muss Rollen und Berechtigungen angemessen konfigurieren, die Multi-Faktor-Authentifizierung aktivieren, wo diese erforderlich oder verfügbar ist, Endpunkte und Zugangsdaten absichern, Listen berechtigter Benutzer führen und einen Verdacht auf Kompromittierung unverzüglich melden.

7. Verletzungen des Schutzes personenbezogener Daten

SYNCDEV wird den Kunden unverzüglich benachrichtigen, nachdem SYNCDEV von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die personenbezogenen Daten des Kunden betrifft. Die Benachrichtigung setzt weder eine Bestätigung der Verletzung noch den Abschluss einer Untersuchung voraus. Soweit durchführbar, versendet SYNCDEV eine erste Mitteilung innerhalb von 24 Stunden nach Kenntniserlangung. Diese 24 Stunden sind ein operativer Zielwert innerhalb der vorrangigen Pflicht zur unverzüglichen Benachrichtigung und verschieben diese niemals.

Die Mitteilung wird die SYNCDEV zur Verfügung stehenden Informationen enthalten zu:

  • der Art der Verletzung, den betroffenen Daten und der ungefähren Anzahl/den Kategorien betroffener Personen und Datensätze;
  • den wahrscheinlichen Folgen;
  • den ergriffenen oder vorgeschlagenen Maßnahmen zur Eindämmung und Behebung;
  • einer Kontaktstelle für Rückfragen; und
  • den Informationen, die für die Beurteilung des Kunden nach Artikel 33 und 34 GDPR angemessenerweise benötigt werden.

Stehen die Tatsachen noch nicht fest, versendet SYNCDEV eine vorläufige Mitteilung mit den zu diesem Zeitpunkt verfügbaren Informationen, ohne den Abschluss der Untersuchung abzuwarten, und ergänzt sie stufenweise, sobald weitere Informationen verfügbar werden. Die Benachrichtigung stellt kein Eingeständnis von Verschulden oder Haftung dar.

SYNCDEV wird angemessene Maßnahmen ergreifen, um die Verletzung einzudämmen, zu untersuchen und zu beheben, und wird mit dem Kunden zusammenarbeiten. Der Kunde bleibt dafür verantwortlich zu entscheiden, ob und wie eine Aufsichtsbehörde oder betroffene Personen zu benachrichtigen sind, es sei denn, das Gesetz weist diese Pflicht unmittelbar SYNCDEV zu.

8. Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung wird SYNCDEV angemessene technische und organisatorische Unterstützung leisten, um dem Kunden bei der Beantwortung von Anfragen nach Kapitel III GDPR zu helfen.

ELVPro umfasst Funktionen für den vollständigen strukturierten JSON-Export, Berichtigung, Einschränkung, Einwilligungsverlauf und Löschung. Hochgeladene Dateien werden, soweit anwendbar, gesondert zur Verfügung gestellt. Der Kunde bleibt dafür verantwortlich, die zutreffenden gesetzlichen Ausnahmen anzuwenden und seine Antwort gegenüber der betroffenen Person zu bestätigen.

Erhält SYNCDEV eine Anfrage betreffend personenbezogene Daten des Kunden unmittelbar von einer betroffenen Person, wird SYNCDEV diese nicht in der Sache beantworten, es sei denn, der Kunde hat dies genehmigt oder das Gesetz verlangt dies. Können der Anfragende und der Kunde identifiziert werden, wird SYNCDEV den Anfragenden an den Kunden verweisen oder die Anfrage unverzüglich weiterleiten.

9. Unterstützung bei der Einhaltung

Unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen wird SYNCDEV angemessene Unterstützung bei den Pflichten des Kunden nach den Artikeln 32 bis 36 GDPR leisten, einschließlich Sicherheit, Bewertung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation.

Unterstützung, die in den Standardfunktionen des Produkts enthalten ist, ist durch die Abonnementgebühr abgedeckt. Umfangreiche individuelle Arbeiten können zum vereinbarten Satz für professionelle Dienstleistungen in Rechnung gestellt werden, vorausgesetzt, SYNCDEV informiert im Voraus und die Berechnung hindert den Kunden nicht daran, eine gesetzliche Pflicht zu erfüllen.

10. Unterauftragsverarbeiter

Der Kunde erteilt SYNCDEV die allgemeine schriftliche Genehmigung, die im aktuellen Register der Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter einzusetzen.

Bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten des Kunden beginnt, wird SYNCDEV:

  • eine verhältnismäßige Datenschutz-/Sicherheitsbewertung durchführen;
  • einen schriftlichen Vertrag schließen, der Datenschutzpflichten auferlegt, die nicht weniger schützend sind als die entsprechenden Pflichten in dieser DPA;
  • das Register aktualisieren; und
  • den Kunden mindestens 15 Tage im Voraus per E-Mail oder durch eine Mitteilung innerhalb des Dienstes benachrichtigen, es sei denn, ein dringender Ersatz ist notwendig, um die Sicherheit zu schützen, eine Dienstunterbrechung zu verhindern oder gesetzliche Vorgaben einzuhalten.

Der Kunde kann innerhalb der Ankündigungsfrist aus angemessenen und dokumentierten datenschutzrechtlichen Gründen widersprechen. Die Parteien werden nach Treu und Glauben an einer wirtschaftlich vernünftigen Lösung arbeiten, etwa der Vermeidung der betroffenen Funktion. Ist keine angemessene Lösung verfügbar, kann jede Partei nur die betroffene optionale Funktion kündigen, oder, sofern der Unterauftragsverarbeiter für die Kernleistung notwendig ist, kann der Kunde den Vertrag kündigen, bevor der Unterauftragsverarbeiter mit der Verarbeitung beginnt. Kündigungsrechte begründen keine Rückerstattung über die nach dem Vertrag oder zwingendem Recht geschuldeten Beträge hinaus.

SYNCDEV bleibt dem Kunden gegenüber für die Erfüllung der Pflichten als Auftragsverarbeiter durch jeden Unterauftragsverarbeiter verantwortlich, soweit dies nach Artikel 28 Absatz 4 GDPR erforderlich ist.

Anhang 3 muss das tatsächliche Produktions-Register der Unterauftragsverarbeiter enthalten, bevor diese DPA zur Annahme angeboten wird. Eine allgemeine Angabe wie „Cloud-, E-Mail- und KI-Anbieter“ stellt kein ausreichendes operatives Register dar.

11. Internationale Übermittlungen

SYNCDEV wird personenbezogene Daten des Kunden nicht außerhalb des EWR übermitteln oder den Zugriff aus einem Drittland ermöglichen, außer:

  • auf dokumentierte Anweisung des Kunden; oder
  • wenn ein gültiger Übermittlungsmechanismus nach Kapitel V GDPR und die erforderlichen zusätzlichen Maßnahmen vorhanden sind.

Je nach Empfänger kann der Mechanismus ein anwendbarer Angemessenheitsbeschluss, die gültige Teilnahme des Empfängers am EU-US Data Privacy Framework für erfasste Daten oder die von der Europäischen Kommission angenommenen Standardvertragsklauseln gemäß Beschluss (EU) 2021/914 sein.

Sofern Standardvertragsklauseln erforderlich sind:

  • gilt das jeweils zutreffende Modul Verantwortlicher-zu-Auftragsverarbeiter oder Auftragsverarbeiter-zu-Auftragsverarbeiter;
  • können die Anhänge 1 bis 3 dieser DPA die entsprechenden faktischen Anhangsinformationen liefern, soweit vollständig;
  • gilt die optionale Beitrittsklausel (docking clause);
  • ist rumänisches Recht maßgeblich für die Klauseln, sofern das Recht eines Mitgliedstaats zu wählen ist;
  • sind rumänische Gerichte der gewählte Gerichtsstand, soweit zulässig; und
  • wird SYNCDEV eine Übermittlungs-Folgenabschätzung sowie zusätzliche Schutzmaßnahmen, soweit erforderlich, durchführen und dokumentieren.

SYNCDEV wird dem Kunden auf Anfrage Informationen über die maßgebliche Schutzmaßnahme zur Verfügung stellen, vorbehaltlich notwendiger Vertraulichkeitsschwärzungen.

12. Rückgabe, Export und Löschung

Während der Laufzeit des Vertrags und des anwendbaren Exit-Zeitraums kann der Kunde die verfügbaren Exportfunktionen nutzen, um den vollständigen Bestand der personenbezogenen Daten des Kunden in strukturierter, gängiger, maschinenlesbarer Form abzurufen: zeilenweise begrenztes JSON, eine Datei je Tabelle, zusammen mit sämtlichen hochgeladenen Dateien, in einem einzigen herunterladbaren Archiv. Strukturen, Formate, Kennungen und bekannte technische Grenzen sind im Register für Datenexport und Anbieterwechsel unter https://elvpro.eu/data-export-and-switching dargestellt.

Bei Beendigung oder auf schriftliche Löschanweisung des Kunden wählt der Kunde zwischen Rückgabe oder Löschung, sofern der Vertrag diese Wahl nicht bereits festlegt. Vorbehaltlich Sicherheits- und Identitätsprüfung:

  • Der Kunde sollte Daten vor dem Löschdatum exportieren;
  • ein genehmigter Antrag auf dauerhafte Yard-Löschung tritt standardmäßig in eine umkehrbare 30-tägige Karenzfrist ein;
  • nach Ablauf der Karenzfrist werden aktive personenbezogene Daten des Kunden gelöscht oder unumkehrbar anonymisiert;
  • Daten in Hetzner-Infrastruktur-Backups laufen durch sieben rollierende tägliche Wiederherstellungspunkte ab; Anwendungsebenen-Backups vor Löschung oder Wiederherstellungs-Backups laufen, sofern erstellt, innerhalb von 90 Tagen ab;
  • wird ein Backup wiederhergestellt, müssen anwendbare Löschprotokolle nachvollzogen werden; und
  • SYNCDEV stellt auf Anfrage angemessene Bestätigung der abgeschlossenen Löschung zur Verfügung.

Der Kunde weist SYNCDEV an, vollständige steuerliche Rechnungen/Aufträge und ELV-Compliance-Aufzeichnungen nur für den vom Kunden konfigurierten Zeitraum oder den gesetzlich vorgeschriebenen Zeitraum aufzubewahren und danach personenbezogene Identifikatoren zu entfernen oder den Datensatz zu löschen. Gemäß dem derzeitigen Artikel 25 des rumänischen Buchhaltungsgesetzes Nr. 82/1991 beträgt die allgemeine Aufbewahrungsfrist für Buchhaltungsunterlagen fünf Jahre ab dem 1. Juli des Folgejahres, vorbehaltlich anderer spezifischer gesetzlicher Fristen und dokumentierter rechtlicher Aufbewahrungspflichten (Legal Holds).

Sofern Unions- oder mitgliedstaatliches Recht, dem SYNCDEV unterliegt, eine Speicherung nach der Löschanweisung des Kunden erfordert, isoliert SYNCDEV die Daten, verarbeitet sie nur zu diesem rechtlichen Zweck, schützt sie und löscht sie, sobald die Anforderung endet. Soweit rechtlich zulässig, informiert SYNCDEV den Kunden über die Anforderung.

Beendigung, Aussetzung, Downgrade oder Zahlungsverzug stellen für sich genommen keine Anweisung zur dauerhaften Löschung dar. ELVPro kann während dieser nicht-destruktiven Zustände verborgene/wiederherstellbare Mandantendaten aufbewahren, wie im Vertrag beschrieben.

13. Nachweis der Compliance und Audits

SYNCDEV stellt Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 GDPR und dieser DPA nachzuweisen.

Höchstens einmal innerhalb eines Zeitraums von 12 Monaten, es sei denn, ein Verstoß, eine behördliche Anfrage oder eine glaubhafte wesentliche Nichteinhaltung rechtfertigt mehr, kann der Kunde die Einhaltung prüfen (auditieren). Die Parteien wenden die am wenigsten störende Methode an:

  1. aktuelle unabhängige Berichte/Zertifizierungen und schriftliche Antworten;
  2. eine eingegrenzte Fernprüfung; und
  3. eine Vor-Ort-Prüfung nur dann, wenn die vorherigen Nachweise unzureichend sind.

Der Kunde muss mindestens 30 Tage im Voraus ankündigen, es sei denn, ein dringender rechtlicher Grund verhindert dies. Prüfer müssen unabhängig, qualifiziert, keine direkten Wettbewerber von SYNCDEV sein und der Vertraulichkeit unterliegen. Ein Audit darf die Daten, die Systemsicherheit oder vertrauliche Informationen eines anderen Kunden nicht gefährden. Der Kunde trägt seine Kosten; SYNCDEV trägt seine gewöhnlichen Kooperationskosten, kann jedoch für ungewöhnlich aufwendige, maßgeschneiderte Arbeiten vorab vereinbarte angemessene Kosten berechnen.

Audit-Beschränkungen schränken die Befugnisse einer zuständigen Aufsichtsbehörde nicht ein.

14. Aufzeichnungen und behördliche Zusammenarbeit

SYNCDEV führt die einem Auftragsverarbeiter nach Artikel 30 Absatz 2 GDPR vorgeschriebenen Aufzeichnungen und arbeitet mit den zuständigen Aufsichtsbehörden zusammen, wie in Artikel 31 und 58 GDPR vorgeschrieben.

15. Haftung

Die Haftung zwischen den Parteien richtet sich nach dem Vertrag, vorbehaltlich der Artikel 82 und 83 GDPR sowie jeder Haftung, die rechtlich nicht ausgeschlossen oder beschränkt werden kann. Nichts in dem Vertrag oder der DPA nimmt einer betroffenen Person Rechte oder Rechtsbehelfe nach dem Datenschutzrecht.

16. Dauer und Beendigung

Diese DPA beginnt, wenn SYNCDEV erstmals personenbezogene Daten des Kunden im Rahmen des Vertrags verarbeitet, und läuft weiter, bis diese Verarbeitung endet, einschließlich des Lösch-/Rückgabezeitraums. Bestimmungen, die logischerweise fortbestehen müssen, einschließlich Vertraulichkeit, Beschränkungen für aufbewahrte Daten, Audits im Zusammenhang mit der Laufzeit und Schutzmaßnahmen für internationale Übermittlungen, bleiben wirksam, solange relevante Daten aufbewahrt werden.

17. Anwendbares Recht

Diese DPA unterliegt rumänischem Recht, unbeschadet zwingender Rechte nach der GDPR und der Gerichtsstandsbestimmungen etwaiger anwendbarer Standardvertragsklauseln.

Kontakt für Datenschutz und Vorfälle: dpa@elvpro.eu

ANLAGE 1 — EINZELHEITEN DER VERARBEITUNG

A. Gegenstand

Bereitstellung des Multi-Tenant-SaaS-Dienstes ELVPro, einschließlich Yard-Verwaltung, Bestandsführung, öffentlichem Storefront, Mitglieder-/Kundenkonten, Anfragen, Live-Chat, Aufträgen, Reservierungen, Zahlungs-/Rechnungsstellungsabläufen, Lieferintegrationen, Kundenverwaltung, Analytik, GDPR-Tools, Support, Importen/Exporten, API/Produktfeeds, KI-gestützten Entwürfen, Referenzdaten zu Fahrzeugen/Teilen und ELV-Compliance-Abläufen, soweit vom Kunden aktiviert und genutzt.

B. Dauer

Fortlaufend für die Laufzeit des Vertrags, den dokumentierten Exit-/Löschzeitraum und jeden rechtmäßigen Aufbewahrungszeitraum gemäß Abschnitt 12.

C. Art und Zweck

Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Anpassung, Abruf, Einsichtnahme, Nutzung, Übermittlung an vom Kunden autorisierte Anbieter, Einschränkung, Export, Anonymisierung und Löschung, ausschließlich zur Bereitstellung, Sicherung, Unterstützung und Verbesserung des vertraglich vereinbarten Dienstes gemäß den Anweisungen des Kunden.

„Verbesserung“ berechtigt nicht dazu, ein allgemeines KI-Modell eines Anbieters mit personenbezogenen Daten des Kunden zu trainieren. Jede derartige Nutzung erfordert eine gesonderte rechtmäßige Anweisung sowie gegebenenfalls eine angemessene Benachrichtigung/Einwilligung.

D. Kategorien betroffener Personen

  • Eigentümer, Geschäftsführer, Mitarbeiter, Auftragnehmer und autorisierte Nutzer des Kunden;
  • Besucher der Storefront, Interessenten, Käufer und registrierte Mitglieder;
  • Personen, die Anfragen, Chatnachrichten, Kommentare, Bewertungen oder Newsletter-Anmeldungen übermitteln;
  • Vertreter von Kunden, Empfänger von Lieferungen und Unternehmensbeauftragte;
  • Fahrzeugeigentümer/-halter und andere Personen, die in rechtmäßigen ELV-Aufnahme-, Verwahrkettennachweis- oder Bescheinigungsunterlagen erscheinen;
  • Lieferanten, Frachtführer, Partner und geschäftliche Kontakte, deren Daten der Kunde eingibt; und
  • Personen, deren Abbildungen, Stimmen oder andere Identifikatoren in vom Kunden hochgeladenen Inhalten erscheinen.

E. Kategorien personenbezogener Daten

  • Identitäts- und Kontaktdaten: Namen, E-Mail, Telefon, Adressen, Unterschriften und Kundenkennungen;
  • Geschäfts-/Steuerdaten: Firmenname, Handelsregisternummer und USt-IdNr., Vertreter, Bank-/IBAN- und Rechnungsdaten;
  • Konto-/Sicherheitsdaten: Benutzername, Passwort-Hash, Rolle, Berechtigungen, MFA-Daten, Anmelde-/Sicherheitsmetadaten und Audit-Ereignisse;
  • Kunden-/Mitgliedsdaten: Profil, Adressen, Werkstatt-/Fahrzeugpräferenzen, Favoriten, Benachrichtigungen und Einwilligungshistorie;
  • Transaktionsdaten: Anfragen, Chats, Nachrichten, Anhänge, Warenkörbe, Reservierungen, Bestellungen, Retouren, Rückerstattungen, Rechnungen, Liefer- und Zahlungsdienstleisterreferenzen;
  • Geräte-/Online-Daten: IP-Adresse, User-Agent, pseudonyme Hashes, Cookie-/Einwilligungsauswahl, Anfrage-/API-/Feed-Protokolle, ungefährer Standort und Geräte-/Browserkategorien;
  • Fahrzeug-/ELV-Daten: VIN, Zulassungsdaten, Referenz auf den vorherigen Eigentümer/Halter, Fotos, Aufnahme-/Verwahr-/Behandlungs-/Bescheinigungsinformationen und Belegdokumente;
  • Inhalte: Angebote, Fotos, Dokumente, Kommentare, Support-Inhalte und KI-Prompts/-Ausgaben;
  • Mitarbeiter-/Betriebsdaten: zugewiesenes Personal, Identität des Technikers, Handlungen und Vermerke; und
  • alle sonstigen personenbezogenen Daten, die der Kunde im Einklang mit diesem DPA eingibt.

F. Sensible Daten

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten nach Artikel 9 GDPR, Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 oder Daten über Kinder bestimmt. Solche Daten dürfen nur im Rahmen einer ausdrücklichen schriftlichen Änderungsvereinbarung verarbeitet werden, die Erforderlichkeit, Rechtsgrundlage und zusätzliche Schutzmaßnahmen abdeckt.

G. Häufigkeit

Fortlaufend oder wie vom Kunden und dessen Nutzern/betroffenen Personen veranlasst.

H. Rechte und Pflichten des Verantwortlichen

Wie in der Vereinbarung, dem DPA und der GDPR festgelegt, einschließlich der Festlegung von Zwecken/Rechtsgrundlagen, der Erteilung von Hinweisen, der Bearbeitung von Rechten, der Konfiguration von Funktionen und der Erteilung rechtmäßiger Weisungen.

ANLAGE 2 — TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

1. Zugangskontrolle

  • eindeutige Konten und keine gemeinsam genutzten privilegierten Zugangsdaten;
  • rollenbasierter Zugang und Prinzip der geringsten Rechtevergabe;
  • obligatorische Multi-Faktor-Authentifizierung für Plattform-Administratoren und konfigurierbare/erforderliche MFA für Mandanten-Nutzer;
  • regelmäßige Überprüfung und umgehender Entzug von Zugriffsrechten;
  • kontrollierte, protokollierte Support-Impersonation; und
  • Vertraulichkeitsverpflichtungen und Sicherheitsschulungen.

2. Mandanten- und Anwendungssicherheit

  • logische Mandantentrennung durch Mandantenkennungen, eingegrenzte Abfragen und serverseitige Autorisierung;
  • Berechtigungsprüfungen bei geschützten Aktionen und Ressourcen;
  • sicheres Passwort-Hashing;
  • Eingabevalidierung, Ausgabe-Escaping, CSRF-Schutz und Ratenbegrenzung, soweit angemessen;
  • sichere Handhabung von Geheimnissen/Integrationszugangsdaten; und
  • Prozess zum Abhängigkeits- und Schwachstellenmanagement.

3. Verschlüsselung und Übertragung

  • TLS für Produktions-Browser-/API-Datenverkehr;
  • HTTP-Only-, Secure- und Same-Site-Cookie-Attribute, soweit angemessen;
  • Verschlüsselung im Ruhezustand für ausgewählte hochriskante personenbezogene Datenfelder und Integrationszugangsdaten;
  • verwaltete Verschlüsselung für Produktionsdatenträger/-datenbanken/-sicherungen, soweit unterstützt; und
  • eingeschränkter und von Anwendungsdaten getrennter Schlüsselzugriff.

4. Protokollierung und Überwachung

  • Sicherheits-, API-, Audit- und Verwaltungsereignisprotokolle im Verhältnis zum Risiko;
  • Überwachung fehlgeschlagener Aufträge/Systemfehler und anomaler Aktivitäten;
  • Schutz von Protokollen vor unbefugter Änderung/unbefugtem Zugriff;
  • Schwärzung und Begrenzung der Nutzlastgröße für KI-/API-Protokolle; und
  • durchgesetzte Aufbewahrungsfristen.

5. Verfügbarkeit, Sicherung und Wiederherstellung

  • die Produktion wird auf einem virtuellen privaten Server Hetzner Cloud CX33 in Deutschland gehostet; Datenbank, Anwendungsdateien und DNS verbleiben innerhalb der Hetzner-Umgebung im EWR;
  • Hetzner erstellt tägliche Sicherungen der Server-Festplatte mit sieben rollierenden Wiederherstellungspunkten; angeschlossene Volumes erfordern, sofern eingeführt, eine gesonderte dokumentierte Sicherungskontrolle;
  • anwendungsseitige Sicherungen vor Löschung oder zur Wiederherstellung können bis zu 90 Tage aufbewahrt werden;
  • der Zugriff auf Sicherungen ist auf autorisiertes SYNCDEV-Personal beschränkt, und ausgewählte sensible Felder und Zugangsdaten bleiben in Sicherungskopien verschlüsselt;
  • SYNCDEV unterhält ein dokumentiertes Wiederherstellungsverfahren und verpflichtet sich, es mindestens jährlich sowie nach einer wesentlichen Infrastrukturänderung zu testen — auf einem isolierten, aus einem Backup-Image erstellten Server statt durch Neuaufbau der Produktivumgebung — und jeden Test samt Ergebnis zu dokumentieren;
  • nach jeder Wiederherstellung in die Produktivumgebung werden die nach dem Wiederherstellungspunkt erfassten Löschungen erneut angewendet, bevor der Dienst wieder freigegeben wird, damit bereits gelöschte Daten einer betroffenen Person nicht unbemerkt zurückkehren;
  • der Administrator SYNCDEV verantwortet Wiederherstellungsentscheidungen, das Wiederherstellungsprotokoll und den Eskalationspfad bei Vorfällen; und
  • nach einem Sicherungsdatum erfasste Löschanweisungen werden nach jeder Wiederherstellung erneut angewandt.

6. Sichere Entwicklung und Änderungsmanagement

  • Peer-Review oder gleichwertige Freigabe für wesentliche Änderungen;
  • automatisierte Tests für Authentifizierung, Autorisierung, Mandantentrennung, Abrechnung und Löschpfade;
  • unterstützte Abhängigkeiten und Sicherheitsupdates;
  • Trennung von Produktionszugangsdaten von Quellcode und Nicht-Produktionsumgebungen;
  • keine personenbezogenen Produktionsdaten in Entwicklung/Test, es sei denn, sie sind besonders geschützt und erforderlich; und
  • Rollback-Verfahren für Änderungen/Vorfälle.

7. Datenlebenszyklus

  • Grundsätze der Datenminimierung und feldbezogene Aufbewahrungsregeln;
  • strukturierte Export- und Berichtigungsfunktionen;
  • Lösch-/Anonymisierungsworkflow, der zugehörige Datensätze und hochgeladene Dateien erfasst;
  • minimiertes Löschprotokoll für Backup-Wiederherstellung/Rechenschaftspflicht;
  • Löschung abgelaufener Analyse-, Einwilligungs-, Chat-, Feed-, KI-/API-Nutzlast- und Backup-Daten durch geplante Aufgaben; und
  • gesetzliche Aufbewahrungssperren (legal holds), die dokumentiert, zugriffsbeschränkt und überprüft werden.

8. Vorfallreaktion

  • dokumentiertes Verfahren zur Vorfall-Triage, Eindämmung, Untersuchung, Beweissicherung, Wiederherstellung und Benachrichtigung;
  • die verantwortliche Rolle liegt beim Administrator SYNCDEV, und die operative Kontaktadresse für Vorfälle ist dpa@elvpro.eu;
  • nur autorisiertes SYNCDEV-Personal verfügt über administrativen Zugriff auf den Server und die Backups;
  • kritische Vorfälle werden außerhalb der normalen Arbeitszeiten eskaliert, vorbehaltlich der verfügbaren Bereitschaftsabdeckung; eine durchgehende nächtliche Reaktionszeit wird nicht zugesichert;
  • ein Verletzungsregister sowie Korrekturmaßnahmen nach einem Vorfall werden geführt; und
  • die Benachrichtigung des Kunden erfolgt gemäß Abschnitt 7 unverzüglich, nachdem SYNCDEV von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, und, soweit durchführbar, innerhalb des genannten operativen Zielwerts von 24 Stunden ab dieser Kenntniserlangung, gegebenenfalls durch eine vorläufige Mitteilung während der laufenden Untersuchung.

ANLAGE 3 — VERZEICHNIS DER UNTERAUFTRAGSVERARBEITER

Datum des Inkrafttretens des Verzeichnisses: 1 August 2026

1. Hetzner Online GmbH (Hetzner)

  • Dienst und Zweck: produktiver virtueller Server, Datenbank- und Dateispeicherung, DNS und tägliche Infrastruktur-Backups.
  • Daten: sämtliche personenbezogene Daten des Kunden, die über den Kerndienst gespeichert oder übermittelt werden.
  • Standort: Deutschland, EWR.
  • Status: wesentlich.
  • Übermittlungsgrundlage: keine Übermittlung nach Kapitel V für den deutschen Kern-Hostingdienst.
  • Bedingungen: https://www.hetzner.com/legal/terms-and-conditions/ und die von Hetzner bereitgestellte Auftragsverarbeitungsvereinbarung.

2. Sendinblue SAS (Brevo)

  • Dienst und Zweck: SMTP-Relay für transaktionale, konto-, support- und vom Kunden veranlasste E-Mails.
  • Daten: Empfänger- und Absenderangaben, Nachrichteninhalt, Zustellmetadaten und technische Protokolle.
  • Standort: überwiegend Frankreich/Deutschland innerhalb des EWR; eingeschränkter Support- oder Unterauftragsverarbeiterzugriff kann in anderen von Brevo benannten Ländern erfolgen.
  • Status: wesentlich für die E-Mail-Zustellung.
  • Übermittlungsgrundlage: Angemessenheitsbeschluss, soweit anwendbar; andernfalls die Standardvertragsklauseln der Europäischen Kommission und ergänzende Schutzmaßnahmen gemäß den Auftragsverarbeitungsbedingungen von Brevo.
  • Bedingungen: https://www.brevo.com/legal/termsofuse/

3. OpenAI Ireland Ltd. und ihre gelisteten Unterauftragsverarbeiter (OpenAI)

  • Dienst und Zweck: optionale KI-gestützte Erzeugung, Extraktion und Klassifizierung auf Anfrage eines autorisierten Kundennutzers.
  • Daten: Prompts, ausgewählter Angebots-/Fahrzeug-/Kundenkontext, sofern erforderlich, Ausgaben und begrenzte technische Metadaten. Nutzer werden angewiesen, keine besonderen Kategorien personenbezogener Daten oder unnötige personenbezogene Daten zu übermitteln.
  • Standort: Irland/EWR und weitere Länder, die im aktuellen Unterauftragsverarbeiterverzeichnis von OpenAI aufgeführt sind, wozu die Vereinigten Staaten gehören können.
  • Status: optional; wird nur genutzt, wenn der entsprechende KI-Anbieter/die entsprechende Funktion ausgewählt wird.
  • Übermittlungsgrundlage: Angemessenheitsbeschluss, soweit anwendbar; andernfalls Standardvertragsklauseln der Kommission und ergänzende Schutzmaßnahmen.
  • Bedingungen: https://openai.com/policies/data-processing-addendum/

4. Anthropic Ireland, Limited und ihre gelisteten Unterauftragsverarbeiter (Anthropic)

  • Dienst und Zweck: optionale KI-gestützte Erzeugung, Extraktion und Klassifizierung auf Anfrage eines autorisierten Kundennutzers.
  • Daten: Prompts, ausgewählter Angebots-/Fahrzeug-/Kundenkontext, sofern erforderlich, Ausgaben und begrenzte technische Metadaten.
  • Standort: Irland/EWR und weitere Länder, die im aktuellen Unterauftragsverarbeiterverzeichnis von Anthropic aufgeführt sind, wozu die Vereinigten Staaten gehören können.
  • Status: optional; wird nur genutzt, wenn der entsprechende KI-Anbieter/die entsprechende Funktion ausgewählt wird.
  • Übermittlungsgrundlage: Angemessenheitsbeschluss, soweit anwendbar; andernfalls Standardvertragsklauseln der Kommission und ergänzende Schutzmaßnahmen.
  • Bedingungen: https://www.anthropic.com/legal/commercial-terms

5. Google Cloud EMEA Limited und ihre gelisteten Unterauftragsverarbeiter (Gemini API)

  • Dienst und Zweck: optionale KI-gestützte Erzeugung, Extraktion und Klassifizierung auf Anfrage eines autorisierten Kundennutzers.
  • Daten: Prompts, ausgewählter Angebots-/Fahrzeug-/Kundenkontext, sofern erforderlich, Ausgaben und begrenzte technische Metadaten.
  • Standort: EWR und weitere Länder, die im aktuellen Unterauftragsverarbeiterverzeichnis von Google aufgeführt sind, wozu die Vereinigten Staaten gehören können.
  • Status: optional; wird nur genutzt, wenn der entsprechende KI-Anbieter/die entsprechende Funktion ausgewählt wird.
  • Übermittlungsgrundlage: Angemessenheitsbeschluss, soweit anwendbar; andernfalls Standardvertragsklauseln der Kommission und ergänzende Schutzmaßnahmen.
  • Bedingungen: https://cloud.google.com/terms/data-processing-addendum

6. Das RapidAPI-Gateway und der Herausgeber der Auto-Parts-Catalog-API

Es handelt sich um zwei getrennte Empfänger, nicht um einen. Die Anfragen gehen an das Marktplatz-Gateway von RapidAPI unter auto-parts-catalog.p.rapidapi.com, das sie anhand des Plattformschlüssels von SYNCDEV authentifiziert und an den Herausgeber weiterleitet, der den Katalog tatsächlich betreibt. Rechtsträger, Niederlassung und Verarbeitungsort des Herausgebers sind diejenigen, die im aktuellen Eintrag dieser API angegeben sind; SYNCDEV prüft und dokumentiert sie, bevor die Funktion produktiv geschaltet wird, und gibt sie hier nicht allein auf Grundlage des Marktplatzeintrags an.

  • Dienst und Zweck: Gateway und Quell-API für die optionale VIN-Decodierung sowie für Fahrzeug-, Teile-, OEM- und Querverweis-Abfragen im Katalog.
  • Übermittelte Daten: die VIN beziehungsweise die Fahrzeug- oder Teileabfrage selbst, dazu die Metadaten, die jeder HTTPS-Aufruf mitführt (Server-IP, Zeitstempel, API-Schlüssel). Es werden weder Kunden-, Mitglieds-, Bestell- oder Mitarbeiterkennungen noch die Kennung des Betriebs übermittelt. Eine VIN kann sich auf einen identifizierbaren Fahrzeughalter beziehen und wird daher als personenbezogenes Datum behandelt.
  • Zurückgegebene Daten: ausschließlich Referenzdaten — Hersteller, Modelle, Motorisierungen, Artikel, Querverweise und technische Angaben.
  • Standort: Das Gateway wird außerhalb des EWR betrieben; der Standort des Herausgebers ist der für die aktivierte API dokumentierte.
  • Status: optional; wird nur genutzt, wenn die Referenzdatenfunktion aufgerufen wird.
  • Übermittlungsgrundlage: Angemessenheitsbeschluss, sofern anwendbar; andernfalls Standardvertragsklauseln der Kommission und ergänzende Garantien.
  • Bedingungen: https://rapidapi.com/privacy/ und die für die aktivierte API angezeigten Herausgeberbedingungen.

Die optionalen KI- und Katalogdienste nutzen die zentral verwalteten Zugangsdaten von ELVPro. SYNCDEV bleibt für die Unterauftragsverarbeiterbeziehung gemäß Abschnitt 10 verantwortlich. Der ausgewählte Anbieter und die Funktion werden im jeweiligen Anfrage-/Nutzungsprotokoll festgehalten. Personenbezogene Daten des Kunden sind nicht dazu autorisiert, zum Training eines allgemeinen Modells eines Anbieters verwendet zu werden.

Zum Stichtag des Inkrafttretens des Registers nutzt ELVPro in der Produktivumgebung weder Cloudflare, Sentry, einen externen Redis-Dienst noch serverseitige Tag-Auslieferung. Suchindizierung (Meilisearch) und Echtzeit-Messaging (Reverb) laufen auf demselben Hetzner-Server wie die Anwendung, ohne Beteiligung eines Drittdienstes. Die Geolokalisierung greift auf eine Offline-Datenbank auf diesem Server zu, sodass keine Abfrage ihn verlässt.

Google- und Meta/Facebook-Social-Login werden auf Wunsch des Nutzers aktiviert und agieren im Allgemeinen als separate Verantwortliche für ihren eigenen Identitätsdienst; sie sind Empfänger im Sinne der Datenschutzerklärung und keine Unterauftragsverarbeiter im Sinne dieser Anlage.

Stripe und SmartBill werden für SYNCDEVs eigene SaaS-Abonnementzahlungen und die steuerliche Rechnungsstellung genutzt. Sie verarbeiten Daten für SYNCDEVs eigenständige Verantwortlichentätigkeiten und sind daher in der Datenschutzerklärung aufgeführt, nicht als Unterauftragsverarbeiter personenbezogener Daten des Kunden im Sinne dieser Auftragsverarbeitungsvereinbarung.

Der Zahlungsdienstleister, das Kurierunternehmen, der Rechnungsstellungsanbieter, der Analysedienst oder die Werbeplattform eines Demontagebetriebs werden direkt von diesem Demontagebetrieb beauftragt. ELVPro stellt den technischen Austausch unter Verwendung der vom Kunden konfigurierten Zugangsdaten bereit und handelt auf Anweisung des Kunden; diese Anbieter werden nicht von SYNCDEV als Unterauftragsverarbeiter im Sinne dieser Anlage beauftragt.

Web-Push. Aktiviert eine Besucherin oder ein Mitglied des Shops Browser-Benachrichtigungen, wird die verschlüsselte Nachricht über den Push-Dienst des jeweiligen Browserherstellers zugestellt — je nach Browser Google, Mozilla oder Apple — und zwar über die von diesem Browser ausgestellte Abonnement-Adresse. SYNCDEV unterhält bei diesen Diensten kein Konto und übermittelt keine Inhalte im Klartext: Die Nutzlast ist mit den VAPID-Schlüsseln Ende-zu-Ende verschlüsselt, und der Empfänger ist allein durch die vom Browser ausgestellte Adresse bestimmt. Sie sind Empfänger dieser Zustellung, nicht Auftragsverarbeiter der in ELVPro gespeicherten personenbezogenen Daten des Kunden.