Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

§ 1 Parteien und Gegenstand

1. (1)Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Kunde“) und der EUVIRA UG (haftungsbeschränkt), Gotenstraße 7, 85652 Pliening, vertreten durch den Geschäftsführer Felix Kerger, eingetragen im Handelsregister des Amtsgerichts München unter HRB 316412, als Auftragsverarbeiter („EUVIRA“).
2. (2)Gegenstand ist die Verarbeitung personenbezogener Daten durch EUVIRA im Auftrag des Kunden bei der Erbringung der Leistungen nach den Allgemeinen Geschäftsbedingungen der EUVIRA („Hauptvertrag“).
3. (3)Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO). Er wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), indem der Kunde ihm auf der Plattform zustimmt.
4. (4)Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. (1)Zweck: Ermittlung der Halter von im Ausland zugelassenen Fahrzeugen über Partner im jeweiligen Zulassungsland, Versand von Schreiben im Namen des Kunden an die ermittelten Halter, Weitergabe der Ergebnisse an den Kunden sowie die dazugehörige Abrechnung.
2. (2)Art der Verarbeitung: Erheben, Speichern, Übermitteln an Partner, Abgleichen, Zusammenstellen von Fallpaketen, Erstellen und Versenden von Schreiben, Bereitstellen zum Abruf und Löschen.
3. (3)Kategorien personenbezogener Daten:
   • Fahrzeugdaten: amtliches Kennzeichen, Zulassungsland, Fahrzeugmerkmale
   • Vorgangsdaten: Ort, Datum und Uhrzeit, Anlass und Höhe der Forderung, Aktenzeichen des Kunden
   • Bilddaten: Fotos des Fahrzeugs und des Vorgangs, die der Kunde übermittelt
   • Halterdaten: Name, Anschrift und weitere Angaben, die die Partner aus dem Register liefern oder der Kunde selbst übermittelt
   • Versanddaten: Inhalt der Schreiben, Versanddatum, Zustell- und Rücklaufvermerke
4. (4)Kategorien betroffener Personen: Halter und Fahrer der Fahrzeuge sowie Personen, die auf übermittelten Fotos zu erkennen sind.
5. (5)Nicht von diesem Vertrag erfasst sind die Daten der Nutzer des Kunden auf der Plattform (Name, E-Mail-Adresse, Anmeldedaten). Diese verarbeitet EUVIRA als eigener Verantwortlicher zur Durchführung des Hauptvertrags.
6. (6)EUVIRA und ihre technischen Dienstleister verarbeiten die Daten in der Europäischen Union. An Partner in Zulassungsländern außerhalb der Europäischen Union werden Daten nur nach § 5 übermittelt.
7. (7)Dauer: Dieser Vertrag gilt, solange der Hauptvertrag besteht und darüber hinaus, bis EUVIRA alle Daten des Kunden nach § 7 gelöscht hat.

§ 3 Weisungen und Pflichten von EUVIRA

1. (1)EUVIRA verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind der Hauptvertrag, dieser Vertrag und die Aufträge, die der Kunde auf der Plattform erteilt. Weitere Weisungen erteilt der Kunde in Textform.
2. (2)Hält EUVIRA eine Weisung für rechtswidrig, teilt sie dies dem Kunden unverzüglich mit und darf die Ausführung bis zur Bestätigung durch den Kunden aussetzen.
3. (3)Ist EUVIRA gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt sie dem Kunden diese Pflicht vorher mit, soweit das Gesetz die Mitteilung nicht verbietet.
4. (4)EUVIRA verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
5. (5)EUVIRA unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Wendet sich eine betroffene Person direkt an EUVIRA, leitet EUVIRA den Antrag unverzüglich an den Kunden weiter.
6. (6)EUVIRA unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.
7. (7)EUVIRA meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 4 Technische und organisatorische Maßnahmen

1. (1)EUVIRA trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind.
2. (2)EUVIRA darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

1. (1)Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

   Unterauftragsverarbeiter	Sitz	Leistung	Ort der Verarbeitung
   PN Italia S.r.l.	Italien	Halterermittlung und Briefversand für italienische Kennzeichen	Italien
   provaznik.legal s.r.o.	Slowakei	Halterermittlung für slowakische Kennzeichen	Slowakei
   Spreksel Advocaten	Niederlande	Halterermittlung und Briefversand für niederländische Kennzeichen	Niederlande
   Inkassolution AG	Schweiz	Halterermittlung für Schweizer Kennzeichen	Schweiz
   Advokat Nemanja Injac (Injac Attorneys)	Serbien	Halterermittlung für serbische Kennzeichen	Serbien
   Supabase, Inc.	USA	Datenbank und Dateispeicher	EU (Frankfurt)
   Vercel Inc.	USA	Betrieb der Plattform	EU (Frankfurt)
   Scaleway SAS	Frankreich	Versand von E-Mails	EU (Paris)

2. (2)Ein Partner erhält nur die Daten der Fälle aus seinem Zulassungsland.
3. (3)EUVIRA verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die diesem Vertrag entsprechen.
4. (4)Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Für Serbien schließt EUVIRA mit dem Partner die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3) ab. Für Anbieter mit Sitz in den USA gelten deren Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln.
5. (5)EUVIRA informiert den Kunden mindestens 30 Tage vorher in Textform über neue oder ersetzte Unterauftragsverarbeiter. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei einem Widerspruch setzt EUVIRA den Unterauftragsverarbeiter für Fälle des Kunden nicht ein; ist die Leistung dann nicht möglich, können beide Parteien den Hauptvertrag für das betroffene Land kündigen.
6. (6)Neue Länder nimmt EUVIRA mit einem Partner auf, über den sie nach Absatz 5 informiert. Der Kunde reicht Fälle für ein Land erst nach dieser Information ein.

§ 6 Nachweise und Kontrollen

1. (1)EUVIRA stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag erforderlich sind.
2. (2)Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung dieses Vertrags nach Anmeldung mit einer Frist von mindestens 14 Tagen während der Geschäftszeiten prüfen. Prüfungen dürfen den Betrieb nicht unverhältnismäßig stören. Statt einer Vor-Ort-Prüfung kann EUVIRA geeignete Nachweise vorlegen, etwa Zertifikate oder Prüfberichte ihrer Unterauftragsverarbeiter.

§ 7 Löschung und Rückgabe

1. (1)EUVIRA löscht Daten eines Falls automatisch, sobald sie für die Durchführung des Falls, die Abrechnung und die Nachweise gegenüber dem Kunden nicht mehr benötigt werden.
2. (2)Nach Ende des Hauptvertrags löscht EUVIRA alle Daten des Kunden innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Bis dahin kann der Kunde seine Ergebnisse über die Plattform herunterladen.
3. (3)Daten, die gesetzlich aufzubewahren sind, insbesondere Rechnungen, sperrt EUVIRA für jede andere Verarbeitung und löscht sie nach Ablauf der Frist.

§ 8 Haftung und Schlussbestimmungen

1. (1)Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. (2)Änderungen dieses Vertrags bedürfen der Zustimmung des Kunden auf der Plattform oder der Textform.
3. (3)Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz der EUVIRA.
4. (4)Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage: Technische und organisatorische Maßnahmen