Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AV-Vertrag“) wird geschlossen zwischen dem Kunden der Plattform SchadenMelden24 (nachfolgend „Auftraggeber“) und:

Hannes Werner
Flare Solutions
Karl-Marx-Weg 20
06242 Krumpa
Deutschland

E-Mail: info@schadenmelden24.com
(nachfolgend „Auftragsverarbeiter“)

Der AV-Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Auftragsverarbeitung im Rahmen des Hauptvertrags (Nutzungsvertrag der Plattform SchadenMelden24) ergeben. Er findet Anwendung auf alle Tätigkeiten, bei denen der Auftragsverarbeiter und seine Beschäftigten oder durch den Auftragsverarbeiter Beauftragte personenbezogene Daten des Auftraggebers verarbeiten.

Angekündigte Änderung — Fassung vom 18. August 2026

Wir informieren unsere Auftraggeber hiermit nach § 12 Abs. 4 dieses Vertrags über die beabsichtigte Aufnahme eines neuen Unterauftragsverarbeiters. Der nachstehende Vertragstext gilt unverändert weiter; die angekündigte Fassung wird frühestens vier Wochen nach Zugang dieser Mitteilung wirksam.

Neu: OpenAI Ireland Ltd. als Unterauftragsverarbeiter: Wir werden die OpenAI Ireland Ltd., Dublin, in unseren Vertrag aufnehmen (§ 8 Abs. 3). Sie unterstützt neue Funktionen, die Fotos, Dokumente und Texte vorauswerten und Formulierungsvorschläge machen. Diese Funktionen sind heute nicht in Betrieb.
Ob Sie davon betroffen sein werden: Alle diese Funktionen werden an einem kostenpflichtigen Zusatzpaket hängen. Ohne gebuchtes Zusatzpaket findet keine KI-Verarbeitung statt — auch nicht versuchsweise. Bei Schadenfällen einer Versicherung und bei den Funktionen der Verbundsicht wird zusätzlich eine ausdrückliche Freigabe nötig sein; die ist standardmäßig nicht erteilt.
Was übermittelt werden wird: Je nach Funktion ein Bild, ein auf der Plattform erfasster Text oder verdichtete Kennzahlen — jeweils gekürzt auf das für die Aufgabe Erforderliche. Bei Bildern werden Kennzeichen und Gesichter vorher unwiderruflich geschwärzt; schlägt das fehl, wird nichts übermittelt. Angaben zu Standorten und Verbundmitgliedern gehen nur mit Platzhaltern statt Namen.
Zwei Grenzen, die wir ausdrücklich nennen: OpenAI speichert Anfragen bis zu 30 Tage zur Missbrauchskontrolle; eine vollständige Speicherfreiheit ist nur Großkunden zugänglich. Und die Verarbeitung wird nicht garantiert innerhalb der EU stattfinden — Vertragspartner ist immerhin die irische Gesellschaft, Weitergaben außerhalb des EWR laufen über Standardvertragsklauseln.
Keine automatisierte Entscheidung: Jedes Ergebnis wird ein Vorschlag sein und nur durch die protokollierte Freigabe eines angemeldeten Menschen übernommen. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt.
Sie müssen dem nicht zustimmen: Diese Mitteilung ist eine Information, keine Zustimmungsabfrage. Sie können der Änderung nach § 8 Abs. 1 widersprechen — der Weg dazu steht unten. Solange Sie nichts tun, ändert sich für Sie nichts.

Ihr Widerspruchsrecht: Nach § 8 Abs. 1 dieses Vertrags und Art. 28 Abs. 2 DSGVO können Sie der Hinzuziehung widersprechen. Richten Sie Ihren Widerspruch an info@schadenmelden24.com. Ein Widerspruch wird technisch umgesetzt, nicht nur vermerkt: für Ihr Konto findet dann keine KI-Verarbeitung statt. Als Werkstatt wird das Zusatzpaket nicht freigeschaltet — und, falls Sie es bereits gebucht haben sollten, beendet. Als Versicherung oder Verbund wird die Verarbeitungsfreigabe nicht erteilt bzw. entzogen. Es entsteht dann kein Verarbeitungsauftrag; die übrigen Funktionen der Plattform bleiben unberührt.

Eine Zustimmung ist nicht erforderlich. Diese Mitteilung ist eine Information; solange Sie nichts unternehmen, ändert sich für Sie nichts.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Plattform SchadenMelden24 zur digitalen Verwaltung und Kommunikation von Fahrzeugschäden zwischen Versicherungen und Werkstätten.

(2) Dauer: Die Verarbeitung beginnt mit der Registrierung des Auftraggebers auf der Plattform und endet mit der vollständigen Löschung bzw. Anonymisierung aller personenbezogenen Daten nach Vertragsende gemäß den in der Datenschutzerklärung beschriebenen Aufbewahrungsfristen.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

Speicherung und Verwaltung von Benutzerprofilen und Zugangsdaten
Erfassung, Speicherung und Verwaltung von Schadensmeldungen (Claims)
Verarbeitung von Fahrzeug- und Kundendaten im Rahmen der Schadensabwicklung
Speicherung und Bereitstellung von hochgeladenen Dokumenten und Fotos
Verarbeitung von Kommunikationsdaten (Chat-Nachrichten zwischen den Parteien)
Bidirektionale Synchronisation von Werkstatt-Terminen mit Google Calendar (opt-in via OAuth2)
Versand automatischer Termin-Erinnerungs-E-Mails (24h/2h vor Termin) inkl. iCalendar-Anhang (.ics) an Endkunden
Werkstatt-Verbund-Ticketsystem: Tickets, Nachrichten und Datei-Anhänge zwischen Verbund-Mitglied und HQ-Administrator (10-Jahre-Aufbewahrung gemäss § 257 HGB)
Abrechnung und Provisionsberechnung (inkl. Verbund-Pflicht-Provisionen)
Versand von Benachrichtigungen (E-Mail, Push). Der manuelle Versand von Kundenportal-Zugangslinks per WhatsApp erfolgt durch den Auftraggeber selbst (via wa.me-Deep-Link in der eigenen WhatsApp-App ohne Server-Integration).
Aushandlung von Reparatur-Terminen über asynchrone Terminvorschläge zwischen Werkstatt und Endkunde
Bereitstellung des Kundenportals (gesicherter Auftragsstatus-Zugang mit E-Mail-Bestätigungscode / Zwei-Faktor-Authentifizierung)
Erstellung anonymisierter Statistiken und Berichte

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten sind Gegenstand der Verarbeitung:

Stammdaten: Firmenname, Ansprechpartner, Anschrift, Handelsregisterdaten
Kontaktdaten: E-Mail-Adresse, Telefonnummer, Faxnummer
Authentifizierungsdaten: Passwort-Hash, Auth-Token, Session-Daten sowie zur Zugangssicherung des Kundenportals gehashte Sitzungsdaten (SHA-256-Hash von IP-Adresse und User-Agent, Hash des E-Mail-Bestätigungscodes)
Zahlungsdaten: Bankverbindung (via Stripe), Rechnungsadresse, Transaktionshistorie
Vertragsdaten: Schadensmeldungen, Auftragsdaten, Reparaturdokumentation
Fahrzeugdaten: Kennzeichen, FIN/VIN, Fahrzeugtyp, Baujahr
Kundendaten (Versicherungsnehmer): Name, Adresse, Telefonnummer des Geschädigten
Kommunikationsdaten: Chat-Nachrichten, E-Mail-Inhalte
Mediendaten: Schadensfotos, Unterschriften, Dokumente
Gerätedaten (mobil): Geräte-ID, Plattform, Push-Token
Nutzungsdaten: Zugriffszeitpunkte, IP-Adressen, Browser-Informationen

§ 4 Kategorien betroffener Personen

Die Verarbeitung betrifft folgende Kategorien betroffener Personen:

Versicherungsmitarbeiter: Mitarbeiter der registrierten Versicherungsunternehmen, die die Plattform zur Schadensmeldung und -verwaltung nutzen
Werkstattmitarbeiter: Mitarbeiter der registrierten Werkstätten, die die Plattform zur Auftragsbearbeitung und Reparaturdokumentation nutzen
Endkunden (Versicherungsnehmer): Geschädigte Fahrzeughalter, deren Daten im Rahmen der Schadensmeldung erfasst werden und die ggf. über das Kundenportal den Auftragsstatus einsehen

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).
Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe § 7).
Die in § 8 genannten Bedingungen für die Inanspruchnahme von Sub-Prozessoren einzuhalten.
Den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO zu unterstützen.
Den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 15–22 DSGVO) zu unterstützen.
Den Auftraggeber unverzüglich zu informieren, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt.
Datenschutzverletzungen unverzüglich (spätestens innerhalb von 24 Stunden nach Kenntnisnahme) an den Auftraggeber zu melden.

§ 6 Weisungsrecht des Auftraggebers

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Weisung des Auftraggebers. Die anfänglichen Weisungen ergeben sich aus diesem AV-Vertrag und dem Hauptvertrag. Weitere Weisungen können vom Auftraggeber in Textform (E-Mail ausreichend) erteilt werden.

(2) Der Auftragsverarbeiter hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstößt gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

(3) Weisungsberechtigte Personen des Auftraggebers: Weisungsberechtigt sind die Geschäftsführung des Auftraggebers sowie die von dieser benannten Personen. Weisungen sind an info@schadenmelden24.com zu richten.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter setzt die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

7.1 Verschlüsselung

Transport: TLS 1.3 für alle Datenübertragungen zwischen Client und Server
Speicherung: AES-256-Bit-Verschlüsselung für ruhende Daten (at rest) in der Datenbank und im Dateispeicher
Passwörter: Bcrypt-Hashing mit individuellem Salt (kein Klartextspeicherung)

7.2 Zugriffskontrolle

Row Level Security (RLS): Datenbankweite Zugriffskontrolle auf Zeilenebene, die sicherstellt, dass jeder Benutzer ausschließlich auf die ihm zugeordneten Daten zugreifen kann
Rollenbasierte Berechtigung: Drei strikt getrennte Rollen (Versicherung, Werkstatt, Administrator) mit jeweils definierten Zugriffsrechten
JWT-basierte Authentifizierung: Kurzlebige Access-Token mit automatischer Erneuerung
Standort-Isolation: Werkstätten mit mehreren Standorten können nur auf Daten ihrer eigenen Standorte zugreifen

7.3 Pseudonymisierung

Interne Identifikation über UUIDs statt Klarnamen
Auftragsnummern (Format: GS-YYYY-NNNN) als externe Referenz ohne direkten Personenbezug
Anonymisierung personenbezogener Daten bei Kontolöschung unter Beibehaltung anonymisierter Geschäftsdaten

7.4 Integrität und Verfügbarkeit

Audit-Logging: Lückenlose Protokollierung aller Änderungen an sensiblen Daten (alte und neue Werte, Zeitstempel, ausführender Benutzer)
Automatische Backups: Tägliche Sicherungskopien mit 30 Tagen Aufbewahrung
Verfügbarkeit: 99% Uptime-SLA durch redundante Cloud-Infrastruktur
Soft-Delete: Daten werden nicht physisch gelöscht, sondern zunächst als gelöscht markiert, um versehentlichen Datenverlust zu verhindern

7.5 Regelmäßige Überprüfung

Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen
Monitoring auf Sicherheitsvorfälle und ungewöhnliche Zugriffsmuster
Regelmäßige Updates und Patches der eingesetzten Software und Bibliotheken

§ 8 Sub-Prozessoren

(1) Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Sub-Prozessoren) hinzuzuziehen. Der Auftragsverarbeiter informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Sub-Prozessoren und gibt dem Auftraggeber die Möglichkeit, gegen diese Änderungen Einspruch zu erheben (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragsverarbeiter stellt sicher, dass mit allen Sub-Prozessoren Auftragsverarbeitungsverträge geschlossen werden, die mindestens den gleichen Datenschutzverpflichtungen unterliegen wie dieser AV-Vertrag.

(3) Aktuelle Sub-Prozessoren-Liste:

Dienstleister	Zweck	Standort	Garantie Drittland
Supabase Inc.	Datenbank, Authentifizierung, Dateispeicherung, Echtzeit-Kommunikation	EU (Paris, AWS eu-west-3) / Unternehmenssitz USA	AV-Vertrag + SCC gem. Art. 46 Abs. 2 lit. c DSGVO
Stripe Inc.	Zahlungsabwicklung (Abonnements, Checkout)	USA	SCC gem. Art. 46 DSGVO
Google LLC (Firebase Cloud Messaging)	Push-Benachrichtigungen	USA	SCC gem. Art. 46 DSGVO
Google LLC (Places API)	Adressvervollständigung	USA	SCC gem. Art. 46 DSGVO
Google LLC (Calendar API)	Bidirektionale Kalender-Synchronisation (Werkstatt opt-in via OAuth2/PKCE)	USA (TADPF-zertifiziert)	SCC gem. Art. 46 DSGVO + TADPF Adequacy Decision
Resend Inc.	Transaktionale E-Mails (inkl. Termin-Erinnerungen mit iCalendar-Anhang)	USA	SCC gem. Art. 46 Abs. 2 lit. c DSGVO
Vercel Inc.	Hosting der Web- und API-Infrastruktur, Edge-Funktionen, Cron-Jobs	EU (Frankfurt, fra1) / Unternehmenssitz USA	SCC gem. Art. 46 Abs. 2 lit. c DSGVO
Amazon Web Services Inc. (AWS)	Sub-Sub-Verarbeiter ueber Supabase/Vercel (Storage, Datenbank-Infrastruktur)	EU (Frankfurt) / Unternehmenssitz USA	SCC gem. Art. 46 Abs. 2 lit. c DSGVO
OpenStreetMap Foundation (Nominatim)	Geocoding / Adress-Aufloesung	UK / EU	Adequacy Decision UK + Art. 6(1)(f) DSGVO
CARTO Inc.	Map-Tile-CDN (Kartenkacheln im Browser des Nutzers)	EU (Spanien) / USA	Art. 6(1)(f) DSGVO + SCC gem. Art. 46 DSGVO
Functional Software Inc. (Sentry)	Fehler-Monitoring und Performance-Tracking (PII wird per beforeSend-Scrubbing vor dem Versand entfernt)	USA	SCC gem. Art. 46 Abs. 2 lit. c DSGVO

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags hat der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur weiteren Speicherung besteht.

(2) Datenexport: Der Auftraggeber kann vor Vertragsende alle personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON/ZIP) exportieren.

(3) Anonymisierung: Nach der Rückgabe bzw. dem Export werden alle personenbezogenen Daten anonymisiert. Anonymisierte Geschäftsdaten (ohne Personenbezug) werden gemäß den gesetzlichen Aufbewahrungsfristen (§257 HGB, §147 AO) für bis zu 10 Jahre aufbewahrt.

(4) Löschbestätigung: Der Auftragsverarbeiter bestätigt dem Auftraggeber die ordnungsgemäße Löschung bzw. Anonymisierung in Textform.

(5) Backup-Daten: Daten in Backup-Systemen werden spätestens 30 Tage nach der Anonymisierung überschrieben.

§ 10 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der in diesem AV-Vertrag getroffenen Regelungen zu überprüfen. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Durchführung von Audits und stellt die hierfür erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Inspektionsrecht: Der Auftraggeber oder ein von ihm beauftragter Prüfer kann nach vorheriger Ankündigung (in der Regel 4 Wochen) die Einhaltung der technischen und organisatorischen Maßnahmen vor Ort oder durch Fernprüfung überprüfen.

(3) Auskunftsrecht: Der Auftragsverarbeiter erteilt dem Auftraggeber auf Anfrage alle Auskünfte, die zur Durchführung einer Kontrolle erforderlich sind.

(4) Kosten: Die Kosten für eine Vor-Ort-Inspektion trägt der Auftraggeber, sofern die Inspektion keine Verstöße gegen diesen AV-Vertrag ergibt.

§ 11 Haftung und Schadensersatz

(1) Die Haftung der Parteien richtet sich nach den Bestimmungen des Art. 82 DSGVO.

(2) Der Auftragsverarbeiter haftet gegenüber betroffenen Personen für Schäden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden, oder wenn er seinen speziell auferlegten Pflichten nicht nachgekommen ist.

(3) Die Haftung des Auftragsverarbeiters ist ausgeschlossen, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

§ 12 Schlussbestimmungen

(1) Dieser AV-Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.

(2) Sollten einzelne Bestimmungen dieses AV-Vertrags unwirksam sein oder werden, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen.

(3) Dieser AV-Vertrag tritt mit der Nutzung der Plattform SchadenMelden24 in Kraft und gilt für die gesamte Dauer der Vertragsbeziehung.

(4) Änderungen dieses AV-Vertrags bedürfen der Textform. Der Auftragsverarbeiter informiert den Auftraggeber über Änderungen mindestens 4 Wochen vor deren Inkrafttreten.

§ 13 Anhang — Vereinbarung zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) bei Werkstatt-Verbund-Mitgliedschaft

Geltungsbereich: Dieser Anhang gilt zusätzlich zum vorstehenden AV-Vertrag (Art. 28 DSGVO) ausschließlich dann, wenn der Auftraggeber (Werkstatt) Mitglied eines auf der Plattform abgebildeten Werkstatt-Verbunds (nachfolgend „Verbund-HQ“) ist und der Verbund-HQ über das HQ-Cockpit aggregierte Auftragsdaten der Mitglieder einsehen kann. Für „freie Werkstatt“-Mitgliedschaften ohne Verbund-Anbindung entfällt dieser Anhang.

(1) Gemeinsame Verarbeitungstätigkeiten: Werkstatt und Verbund-HQ sind gemeinsam für folgende Verarbeitungstätigkeiten verantwortlich (Art. 26 Abs. 1 DSGVO):

Aggregation und Auswertung von Auftragskennzahlen (Anzahl Aufträge, Bearbeitungsdauer, Status-Verteilung) auf Standort-Ebene.
Verarbeitung von Co-Branding-Inhalten (Logo, Farbpalette, Slogan, Auszeichnungen) der Mitglieder-Standorte zur kundengerichteten Darstellung.
Interner Nachrichtenaustausch zwischen Verbund-HQ und Mitglieds-Werkstatt über das Verbund-Ticketsystem (sofern aktiviert).
Verwaltung von Verbund-internen Provisions- und Aufschlagskonfigurationen (Geschäftsgeheimnis — nur für die jeweilige Vertragsbeziehung sichtbar).

(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Verbund-HQ und den Endkunden) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse beider Verantwortlicher an Qualitätssicherung im Verbund). Endkunden-Personendaten fließen NICHT in das HQ-Cockpit ein — HQ-Mitarbeiter sehen ausschließlich pseudonymisierte / aggregierte Kennzahlen (siehe Datenschutzerklärung § 17.5).

(3) Aufgabenverteilung gemäß Art. 26 Abs. 1 Satz 2 DSGVO:

Werkstatt (Auftraggeber): Erfassung und Pflege der Stammdaten der Endkunden, Erteilung von Einwilligungen, Beantwortung von Aus- und Löschauskunftsanfragen der eigenen Endkunden, Information der Endkunden über die Verbund-Mitgliedschaft im Rahmen ihrer Datenschutzerklärung.
Verbund-HQ: Korrekte Konfiguration der HQ-Cockpit-Sichten (keine PII-Drift), Pflege der Co-Branding-Inhalte (eigene Logos / Farben / Auszeichnungen), Nachweis der Lizenzrechte für eingesetzte Branding-Assets, vertrauliche Behandlung der Mitglieds-bezogenen Provisionsdaten als Geschäftsgeheimnis.
SchadenMelden24 (Flare Solutions) als Auftragsverarbeiter beider Parteien: Technische Trennung mittels Row-Level-Security, FORCE RLS auf Verbund-Ticketsystem-Tabellen, PII-Maskierung in Audit-Logs (mask_audit_pii_jsonb), Bereitstellung der Pseudonymisierungs-Mechanik, signierte URLs für Storage-Zugriffe, AAL2-Pflicht für HQ-Cockpit.

(4) Wahrnehmung der Betroffenenrechte (Art. 26 Abs. 1 Satz 2 lit. b DSGVO): Betroffene Personen (Endkunden) können ihre Rechte aus Art. 15 bis 22 DSGVO gegenüber jeder der beiden Verantwortlichen (Werkstatt ODER Verbund-HQ) geltend machen (Art. 26 Abs. 3 DSGVO). Erste Anlaufstelle ist die Werkstatt als operativ verantwortliche Stelle für die Kundenbeziehung. Anfragen über die öffentliche DSAR-Auskunftsseite (/dsgvo/auskunft) werden an die in der Plattform hinterlegten Kontakte beider Verantwortlicher weitergeleitet.

(5) Wesentlicher Inhalt für betroffene Personen (Art. 26 Abs. 2 DSGVO): Die wesentlichen Inhalte dieser Vereinbarung werden den betroffenen Personen über die Datenschutzerklärung der Plattform (§ 17.5 „Werkstatt-Verbund (HQ-Funktion)“) zugänglich gemacht. Auf Verlangen erhält jede betroffene Person eine vollständige Ausfertigung dieser Vereinbarung in Textform.

(6) Kontakt des Verbund-HQ: Die jeweils aktuelle Anschrift und der Datenschutz-Ansprechpartner des für die Werkstatt zuständigen Verbund-HQ werden im HQ-Cockpit-Impressum sowie im Standort-Profil der Werkstatt hinterlegt und sind dort jederzeit einsehbar.

(7) Haftung gegenüber Betroffenen (Art. 26 Abs. 3 DSGVO): Im Außenverhältnis haftet jeder gemeinsame Verantwortliche gesamtschuldnerisch für Schäden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden. Im Innenverhältnis erfolgt ein Ausgleich gemäß der in Absatz (3) festgelegten Aufgabenverteilung.

(8) Geltungsdauer: Diese Vereinbarung tritt mit dem ersten Datentransfer in das HQ-Cockpit in Kraft (typischerweise bei Annahme der Verbund-Einladung durch die Werkstatt) und endet automatisch mit dem Austritt der Werkstatt aus dem Verbund (Statuswechsel auf „ausgetreten“) oder mit der Beendigung des Hauptvertrags.

Kontakt

Bei Fragen zu diesem Auftragsverarbeitungsvertrag wenden Sie sich bitte an:

Hannes Werner
Flare Solutions
Datenschutz-Ansprechpartner
Karl-Marx-Weg 20
06242 Krumpa
Deutschland

E-Mail: info@schadenmelden24.com