_Letzte Aktualisierung: 13. September 2026_
Dieser Auftragsverarbeitungsvertrag („AVV", „DPA") ist ein Vertrag nach Art. 28 DSGVO zwischen dem Detailing-Studio, das DetailingManager nutzt („Firma", „Verantwortlicher"), und Radoslav Moshev, Sofia, ul. Pirin, Bulgarien, admin@detailingmanager.com („Auftragsverarbeiter").
Er gilt, wenn die Firma personenbezogene Daten eigener Kunden, Mitarbeiter oder anderer natürlicher Personen in der Plattform speichert. Er ersetzt nicht die Datenschutzerklärung oder die AGB. Der Text ist ein Arbeitsentwurf, kein anwaltlich geprüfter Vertrag.
1. Gegenstand und Zweck
Der Auftragsverarbeiter stellt die DetailingManager-SaaS bereit (Kunden- und Fahrzeugakten, Aufträge, Dokumente, Erinnerungen, E-Mail-Kampagnen, Statistiken, VIN-Suche), damit die Firma ihr Studio betreiben kann. Die Verarbeitung erfolgt nur zu diesem Zweck, auf dokumentierte Weisung der Firma (Nutzung des Produkts und schriftliche Anfragen an admin@detailingmanager.com).
2. Dauer
Der AVV gilt, solange die Firma ein aktives Konto hat. Nach bestätigter Schließung werden Livedaten und Dateien im Speicher sofort gelöscht. Sicherungskopien auf demselben Hetzner-Server in Nürnberg werden bis zu 7 Tage aufbewahrt und danach überschrieben. Wird in diesem Zeitraum ein Backup wiederhergestellt, wird die Löschung erneut angewendet.
3. Datenkategorien und betroffene Personen
Betroffene: Kunden der Firma und deren Kontakte; Studiomitarbeiter mit Konten; Empfänger von E-Mails, die die Firma sendet.
Typische Daten: Namen, Telefon, E-Mail, Adresse, Geburtsdatum, Marketingeinwilligung, Fahrzeuge (einschließlich VIN und Kennzeichen), Auftragsnotizen und Fotos, PDF-Dokumente, Kampagnenempfänger-Snapshots.
Die Firma entscheidet, was sie eingibt. Der Auftragsverarbeiter erhebt keine Studiokundendaten aus anderen Quellen.
Schaltet die Firma den KI-Assistenten ein, werden auch die von ihren Mitarbeitern eingegebenen Fragen und die Datensätze, die der Assistent zur Beantwortung liest, wie in den Abschnitten 5 und 6 beschrieben verarbeitet.
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter wird:
- personenbezogene Daten nur auf Weisung der Firma verarbeiten, sofern EU- oder bulgarisches Recht nichts anderes verlangt
- sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
- die Sicherheitsmaßnahmen in Abschnitt 7 umsetzen
- weitere Verarbeiter nur wie in Abschnitt 5 beschrieben einsetzen
- die Firma bei Betroffenenanfragen unterstützen (Auskunft, Berichtigung, Löschung, Übertragbarkeit), einschließlich des CSV-Kundenexports im Produkt
- die Firma bei Sicherheit, Verletzungen und DSFA unterstützen, soweit die Art der Verarbeitung es zulässt
- personenbezogene Daten am Ende der Leistung löschen oder zurückgeben, wie in Abschnitt 2
- Informationen bereitstellen, die vernünftigerweise zur Nachweisführung nötig sind, und Prüfungen wie in Abschnitt 9 gestatten
5. Unterauftragsverarbeiter
Die Firma genehmigt die folgenden Unterauftragsverarbeiter. Wesentliche Änderungen werden in diesem AVV und in der Datenschutzerklärung abgebildet.
| Anbieter | Rolle | Standort |
|---|---|---|
| Supabase | Datenbank, Authentifizierung, Dateispeicher | Irland (AWS eu-west-1) |
| Hetzner / Coolify | Anwendungshosting und Sicherungskopien (bis zu 7 Tage) | Nürnberg, Deutschland |
| Resend | Transaktions- und Kampagnen-E-Mail | Irland (eu-west-1) |
| Upstash Redis | Rate-Limiting (IP / Zähler) | Belgien (GCP europe-west1) |
| OpenAI Ireland Limited | KI-Assistent (nur wenn die Firma ihn aktiviert) | Irland; Modellverarbeitung ggf. außerhalb der EU |
| db.vin | Primäre VIN-Dekodierung | Nur VIN |
| NHTSA vPIC | Fallback-VIN-Dekodierung | USA (nur VIN) |
Der KI-Assistent ist standardmäßig deaktiviert. Ein Firmenadmin muss ihn einschalten und einen Hinweis bestätigen, der den Anbieter nennt; bis dahin gelangt nichts zu OpenAI. Der Chatverlauf wird in der Plattform gespeichert und nach höchstens 14 Tagen automatisch gelöscht.
Google Analytics 4 und Meta Pixel laufen nur, wenn der Besucher eine Marketingeinwilligung erteilt. Sie verarbeiten nicht die Kundendatenbank der Firma.
6. Internationale Übermittlungen
Kernhosting, Datenbank, Dateien, Anwendung, Redis und E-Mail-Versand liegen in der EU (Irland, Deutschland, Belgien).
Die VIN kann an NHTSA vPIC in den Vereinigten Staaten gesendet werden, wenn der EU-Decoder kein Ergebnis liefert. Name, Telefon oder E-Mail werden dabei nicht übermittelt.
Ist der KI-Assistent aktiviert, gehen die Fragen und die zur Beantwortung nötigen Datensätze an OpenAI Ireland Limited, das EWR-Daten nach dem Auftragsverarbeitungszusatz von OpenAI verarbeitet und nur auf Grundlage von Standardvertragsklauseln außerhalb des EWR übermittelt. API-Eingaben und -Ausgaben werden nicht zum Training der Modelle von OpenAI verwendet. Protokolle zur Missbrauchserkennung können sie enthalten und werden bis zu 30 Tage aufbewahrt, sofern das Gesetz keine längere Aufbewahrung verlangt.
Marketing-Pixel (bei Einwilligung) können Daten außerhalb der EU gemäß den Bedingungen dieser Anbieter übermitteln.
7. Sicherheit
- Verschlüsselung in Transit (TLS 1.3) und im Ruhezustand (AES-256)
- Row-Level Security, sodass jeder Mandant nur eigene Zeilen sieht
- Optionale Zwei-Faktor-Authentifizierung
- Von der Firma konfigurierbares Sitzungstimeout
- Need-to-know-Rollen (Admin / Manager / Mitarbeiter)
8. Verletzung des Schutzes personenbezogener Daten
Erfährt der Auftragsverarbeiter von einer Verletzung, die Daten der Firma betrifft, benachrichtigt er die Firma ohne unangemessene Verzögerung, mit dem Ziel von 72 Stunden, an die hinterlegte Admin-E-Mail, mit bekannten Fakten, wahrscheinlichen Folgen und ergriffenen Maßnahmen. Die Firma bleibt verantwortlich, Aufsichtsbehörde und Betroffene zu informieren, soweit die DSGVO dies verlangt.
9. Prüfungen
Die Firma kann höchstens einmal jährlich — außer nach einer Verletzung — schriftliche Informationen oder eine Zusammenfassung relevanter Maßnahmen anfordern. Vor-Ort- oder invasive Prüfungen erfordern angemessene Ankündigung und dürfen andere Mandanten nicht gefährden. Der Auftragsverarbeiter kann die Anfrage mit aktuellen Zertifikaten oder Berichten der Unterauftragsverarbeiter erfüllen (z. B. Supabase SOC 2).
10. Löschung und Export
Die Firma kann einzelne Kunden im Produkt löschen. Dabei werden Name, Telefon, E-Mail und vergleichbare Kontaktdaten entfernt; Fahrzeug und abgeschlossene Aufträge bleiben ohne diese Kontaktdaten (VIN und Kennzeichen bleiben als Leistungshistorie). Offene Aufträge werden entfernt.
Ein maschinenlesbarer CSV-Export der Kundenliste (und der Firmen) steht Firmenadmins zur Verfügung.
Zur Löschung des gesamten Firmenkontos schreiben Sie an admin@detailingmanager.com. Livedaten werden nach Bestätigung entfernt; Sicherungskopien auf demselben Hetzner-Server in Nürnberg werden bis zu 7 Tage aufbewahrt und danach überschrieben.
11. Anwendbares Recht
Dieser AVV unterliegt dem Recht der Republik Bulgarien. Streitigkeiten entscheidet das zuständige bulgarische Gericht.
12. Kontakt
- E-Mail: admin@detailingmanager.com
- Betreff: DPA / Auftragsverarbeitung