Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch uns im Auftrag des Kunden bei der Bereitstellung der Cloud-Software SHNY OS, ihrer Zusatzmodule (Aufbereiterwecker, Wartungswecker) und der Einzelentwicklung „Eigene App“ sowie bei damit verbundenen Support- und Betreuungsleistungen (nachfolgend „Hauptvertrag“).

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags, einschließlich eines vereinbarten Testzugangs. Er endet nicht, solange wir noch personenbezogene Daten des Kunden verarbeiten, insbesondere während der Frist nach § 9.

(3) Nicht Gegenstand dieses Vertrags ist die Verarbeitung der Vertrags- und Abrechnungsdaten des Kunden selbst; dafür sind wir eigenständig verantwortlich (siehe unsere Datenschutzerklärung).

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Anzeigen, Abfragen, Übermitteln (Versand von Nachrichten), Sichern, Wiederherstellen, Exportieren und Löschen von Daten, jeweils über die Software und die in Anlage B genannten Dienste.

(2) Zweck der Verarbeitung: Bereitstellung der Software zur Organisation des Betriebs des Kunden, insbesondere Kunden- und Fahrzeugverwaltung, Terminplanung, Fahrzeugannahme mit Fotos und Unterschrift, Rechnungsstellung, Kommunikation mit Endkunden über den Posteingang, Versand von Erinnerungen per SMS und E-Mail sowie, wenn der Kunde dies nutzt, KI-gestützte Textvorschläge und die Anbindung von Messenger-Kanälen; außerdem Datensicherung, Fehleranalyse und Support.

(3) Arten personenbezogener Daten:

1. Namen und Kontaktdaten (Anschrift, Telefonnummer, E-Mail-Adresse, Messenger- und Social-Media-Kennungen),
2. Fahrzeugdaten einschließlich Kennzeichen,
3. Fotos (zum Beispiel von Fahrzeugen bei Annahme und Abgabe; darauf können Personen oder Kennzeichen erkennbar sein),
4. Unterschriften,
5. Termine und Auftragsdaten,
6. Rechnungs- und Zahlungsdaten (Rechnungen, Beträge, Zahlungsstatus),
7. Inhalte von Nachrichten und Kommunikationsverläufen,
8. Einwilligungen und Widerrufe, insbesondere für Erinnerungen,
9. Nutzer- und Protokolldaten der Mitarbeiter des Kunden (Name, E-Mail-Adresse, Rolle, Anmeldezeitpunkte, technische Protokolle).

(4) Betroffene Personen: Endkunden und Interessenten des Kunden, deren Ansprechpartner und Fahrer, Absender und Empfänger von Nachrichten im Posteingang sowie die Mitarbeiter und sonstigen Nutzer des Kunden.

(5) Die Verarbeitung findet grundsätzlich in der Europäischen Union oder im Europäischen Wirtschaftsraum oder in einem Land mit Angemessenheitsbeschluss der EU-Kommission statt. Eine Verarbeitung in anderen Drittländern erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und ist in Anlage B mit der jeweiligen Garantie ausgewiesen.

§ 3 Weisungen

(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, wir sind nach dem Recht der Union oder Deutschlands zur Verarbeitung verpflichtet. In diesem Fall teilen wir dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Kunden ergeben sich abschließend aus dem Hauptvertrag, diesem Vertrag und der Nutzung der Software durch den Kunden (zum Beispiel Anlegen, Ändern, Löschen und Versenden von Daten, Aktivieren von Funktionen und Kanälen). Weitere Weisungen erteilt der Kunde in Textform, zum Beispiel per E-Mail an hallo@shny-os.com.

(3) Ist eine Weisung nach unserer Auffassung rechtswidrig, informieren wir den Kunden unverzüglich. Wir dürfen die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(4) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln wir als Änderungswunsch; sie können nach Aufwand berechnet werden, soweit sie nicht auf einem Verstoß von uns beruhen.

§ 4 Vertraulichkeit und Pflichten des Auftragsverarbeiters

(1) Wir gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht nach Ende ihrer Tätigkeit fort.

(2) Zugriff auf die Daten des Kunden erhalten nur die Gesellschafter der SHNY GbR und von uns beauftragte Personen, soweit dies für die Leistung, insbesondere für Einrichtung, Support und Fehlerbehebung, erforderlich ist.

(3) Wir verarbeiten die Daten des Kunden nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen.

(4) Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Ansprechpartner für den Datenschutz ist Robert Alexander Pascal Bojahr, erreichbar unter hallo@shny-os.com.

§ 5 Technische und organisatorische Maßnahmen

(1) Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage A beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentieren wir.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt uns die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage B aufgeführt und gelten als genehmigt.

(2) Wir informieren den Kunden mindestens dreißig Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail an die im Kundenkonto hinterlegte Adresse. Der Kunde kann der Änderung innerhalb dieser dreißig Tage in Textform aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, versuchen wir zunächst, eine einvernehmliche Lösung zu finden. Gelingt das nicht, kann jede Seite den Hauptvertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters kündigen; im Voraus gezahlte Beträge für die Zeit danach erstatten wir anteilig. Widerspricht der Kunde nicht fristgerecht, gilt die Änderung als genehmigt.

(3) Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Bei Unterauftragsverarbeitern in Drittländern stellen wir sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haften wir gegenüber dem Kunden für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

(5) Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Leistungen, die der Kunde in eigener Verantwortung mit einem Dritten vereinbart, insbesondere Zahlungen seiner Endkunden über Stripe Connect und die Nutzung seiner eigenen WhatsApp-, Instagram- oder Messenger-Konten bei Meta, soweit der Kunde dafür eigene Verträge mit diesen Anbietern schließt. Anlage B weist diese Dienste zur Information gesondert aus.

§ 7 Unterstützung des Kunden

(1) Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO zu beantworten (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch). Viele dieser Rechte kann der Kunde selbst über die Funktionen der Software umsetzen.

(2) Wendet sich eine betroffene Person unmittelbar an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst, es sei denn, der Kunde weist uns dazu an.

(3) Wir unterstützen den Kunden unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Verletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

(4) Für Unterstützungsleistungen, die über die Funktionen der Software und den üblichen Support hinausgehen und nicht auf einem Verstoß von uns beruhen, können wir eine angemessene Vergütung nach Aufwand verlangen, wenn wir dies vorher ankündigen.

§ 8 Meldung von Verletzungen

(1) Wir melden dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, ohne schuldhaftes Zögern, nachdem sie uns bekannt geworden ist, per E-Mail an die im Kundenkonto hinterlegte Adresse und, soweit möglich, zusätzlich telefonisch.

(2) Die Meldung enthält, soweit uns bekannt, eine Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen sowie einen Ansprechpartner. Informationen, die noch nicht vorliegen, reichen wir unverzüglich nach.

(3) Wir ergreifen unverzüglich die erforderlichen Maßnahmen, um die Verletzung zu beheben und mögliche nachteilige Folgen für die betroffenen Personen zu mindern. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Kunden.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Ende des Hauptvertrags kann der Kunde seine Daten noch dreißig Tage lang über die Exportfunktion der Software exportieren oder ihre Herausgabe in einem gängigen, maschinenlesbaren Format verlangen.

(2) Nach Ablauf dieser dreißig Tage löschen wir sämtliche personenbezogenen Daten des Kunden einschließlich gespeicherter Dateien, es sei denn, wir sind nach dem Recht der Union oder Deutschlands zur weiteren Speicherung verpflichtet. Solche Daten sperren wir und löschen sie nach Ablauf der Aufbewahrungspflicht.

(3) Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben bzw. gelöscht; bis dahin werden sie nicht mehr verarbeitet, außer zur Wiederherstellung nach einem Ausfall.

(4) Auf Verlangen bestätigen wir dem Kunden die Löschung in Textform.

§ 10 Nachweise und Kontrollen

(1) Wir stellen dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verfügung. Zum Nachweis können auch aktuelle Bescheinigungen, Berichte oder Zertifizierungen unserer Unterauftragsverarbeiter dienen (zum Beispiel SOC-2- oder ISO-27001-Berichte), soweit diese uns zur Weitergabe vorliegen.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht in einem Wettbewerbsverhältnis zu uns steht, darf die Einhaltung dieses Vertrags überprüfen, auch durch Inspektionen. Inspektionen sind mit einer Frist von mindestens vier Wochen anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Geschäftsbetrieb nicht unverhältnismäßig stören. Anlassbezogene Kontrollen, etwa nach einer Verletzung nach § 8, sind auch kurzfristiger möglich.

(3) Da wir die Daten in Rechenzentren unserer Unterauftragsverarbeiter verarbeiten, beschränken sich Kontrollen dort auf die Nachweise nach Abs. 1, soweit die Unterauftragsverarbeiter eigene Vor-Ort-Prüfungen nicht zulassen.

(4) Jede Seite trägt ihre eigenen Kosten der Kontrolle. Für Kontrollen, die mehr als einmal im Kalenderjahr ohne Anlass stattfinden, können wir eine angemessene Vergütung für unseren Aufwand verlangen.

§ 11 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis zwischen dem Kunden und uns gelten die Haftungsregeln des Hauptvertrags (§ 13 der AGB), soweit dieser Vertrag nichts anderes bestimmt und Art. 82 DSGVO dem nicht entgegensteht.

§ 12 Schlussbestimmungen

(1) Dieser Vertrag wird elektronisch abgeschlossen; das genügt der Form nach Art. 28 Abs. 9 DSGVO. Er wird mit dem Abschluss des Hauptvertrags wirksam, ohne dass es einer gesonderten Unterschrift bedarf. Der Kunde kann diesen Vertrag jederzeit unter shny-os.com/avv/ abrufen, speichern und ausdrucken.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags zum Datenschutz vor.

(3) Änderungen dieses Vertrags, insbesondere von Anlage B, richten sich nach § 6 Abs. 2. Im Übrigen gilt § 16 der AGB.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Hamburg.

(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen der DSGVO entspricht.

Anlage A: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

1. Zutrittskontrolle: Wir betreiben keine eigenen Server. Die Daten liegen in Rechenzentren der in Anlage B genannten Unterauftragsverarbeiter; die physische Zutrittskontrolle liegt bei diesen und ist durch deren eigene Sicherheitsmaßnahmen und Nachweise abgedeckt.
2. Zugangskontrolle: Anmeldung an der Software nur mit persönlichem Konto und Passwort; Passwörter werden nicht im Klartext, sondern nur als Hashwert gespeichert. Administrative Zugänge zu Datenbank und Hosting sind auf die Gesellschafter beschränkt und passwortgeschützt.
3. Zugriffskontrolle: Rollen- und Rechtekonzept in der Software; Trennung der Daten der einzelnen Betriebe in der Datenbank durch Zeilensicherheitsregeln (Row Level Security), sodass ein Betrieb nur auf eigene Daten zugreifen kann.
4. Trennungskontrolle: Mandantentrennung durch Row Level Security (siehe Nr. 3); Trennung von Test- bzw. Demodaten und Echtdaten.

2. Integrität

1. Weitergabekontrolle: Übertragung aller Daten zwischen Browser, App, Servern und Diensten verschlüsselt per TLS (HTTPS).
2. Eingabekontrolle: Protokollierung von Zugriffen und Vorgängen in den Systemprotokollen der Datenbank- und Hostingdienste; Nachvollziehbarkeit von Anmeldungen.

3. Verfügbarkeit und Belastbarkeit

1. Tägliche Datensicherung der Datenbank.
2. Betrieb auf der Infrastruktur etablierter Cloud-Anbieter mit eigener Ausfallsicherung.
3. Wiederherstellung von Daten aus der Datensicherung nach einem Ausfall.

4. Löschkonzept

1. Der Kunde kann Daten einzelner Endkunden in der Software selbst löschen.
2. Nach Vertragsende werden die Daten des Kunden nach Ablauf der Exportfrist von dreißig Tagen gelöscht (§ 9); Datensicherungen werden im regulären Zyklus überschrieben.
3. Löschung auf Weisung des Kunden auch vor Vertragsende.

5. Verfahren zur regelmäßigen Überprüfung

1. Verpflichtung aller Personen mit Datenzugriff auf Vertraulichkeit.
2. Auswahl der Unterauftragsverarbeiter nach ihren Datenschutz- und Sicherheitsgarantien; Abschluss von Auftragsverarbeitungsverträgen mit ihnen.
3. Überprüfung und Anpassung dieser Maßnahmen bei wesentlichen technischen Änderungen, mindestens einmal jährlich.

Anlage B: Unterauftragsverarbeiter und weitere Dienste

B.1 Unterauftragsverarbeiter (Stand Oktober 2026)

1. Supabase, Inc. (USA/Singapur) – Datenbank, Anmeldung und Dateispeicher. Ort der Speicherung: Rechenzentrum in London (Vereinigtes Königreich). Garantie: Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (Art. 45 DSGVO); für Zugriffe aus den USA und Singapur zur Wartung und für den Support: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
2. Netlify, Inc. (USA) – Hosting der Web-Anwendung und Server-Funktionen. Garantie: EU-US Data Privacy Framework (Art. 45 DSGVO).
3. Resend (USA) – Versand von E-Mails, zum Beispiel Erinnerungen und Benachrichtigungen. Garantie: EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.
4. seven.io (Deutschland) – Versand von SMS, zum Beispiel Erinnerungen. Verarbeitung in Deutschland.
5. OpenAI (USA) – KI-gestützte Textvorschläge im Posteingang; nur wenn der Kunde diese Funktion nutzt. Garantie: EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

B.2 Dienste in eigener Verantwortung des Kunden oder von SHNY (keine Unterauftragsverarbeitung, zur Information)

1. Stripe Payments Europe Ltd. (Dublin, Irland) – Zahlungsabwicklung. Für die Abrechnung unseres Abonnements mit dem Kunden sind wir eigenständig verantwortlich (siehe Datenschutzerklärung). Für Zahlungen der Endkunden an den Kunden über Stripe Connect sind der Kunde und Stripe jeweils eigenständig verantwortlich.
2. Meta Platforms Ireland Ltd. (Dublin, Irland) – Posteingang für WhatsApp, Instagram und Messenger; nur wenn der Kunde seine Kanäle verbindet. Für die Nutzung dieser Kanäle gelten die Bedingungen, die der Kunde mit Meta vereinbart (siehe § 6 Abs. 5). Meta kann Daten auch in die USA übermitteln (Garantie laut Meta: EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln).

Änderungen dieser Liste teilen wir nach § 6 Abs. 2 mindestens dreißig Tage vorher per E-Mail mit.

Stand: Oktober 2026