Vertrag zur Auftragsverarbeitung

Diese Vereinbarung nach Artikel 28 DSGVO gilt zwischen der registrierten Fahrschule als Verantwortlicher und der Deep Nodes AI IT Solutions UG (haftungsbeschränkt), Mittertorstraße 9, 84048 Mainburg, als Auftragsverarbeiter.

1. Gegenstand und Dauer

Gegenstand ist der technische Betrieb von MEPAS für die Fahrschule. Die Verarbeitung dauert bis zur Beendigung des MEPAS Vertrages und der anschließenden vertragsgemäßen Rückgabe oder Löschung, soweit gesetzliche Aufbewahrungspflichten nicht entgegenstehen.

2. Art, Zweck, Daten und betroffene Personen

Verarbeitet werden Stammdaten, Kontaktdaten, Zugangsdaten, Rollen, Ausbildungsdaten, Verfügbarkeiten, Termine, Abhol- und Zielorte, Kommunikationsdaten sowie technische Sicherheits- und Zustimmungsnachweise. Betroffen sind Fahrschüler:innen, Interessierte, Fahrlehrende, Beschäftigte und Ansprechpartner der Fahrschule. Zwecke sind Kontoverwaltung, Ausbildungs- und Terminplanung, Kommunikation, Routenberechnung, Datensicherung und Systemsicherheit.

3. Weisungen und Vertraulichkeit

MEPAS verarbeitet Daten nur auf dokumentierte Weisung der Fahrschule, soweit keine gesetzliche Pflicht entgegensteht. Zugriffsberechtigte Personen sind auf Vertraulichkeit verpflichtet. Rechtswidrige Weisungen werden der Fahrschule unverzüglich mitgeteilt.

4. Technische und organisatorische Maßnahmen

MEPAS verwendet Mandantentrennung, rollenbasierte serverseitige Zugriffe, verschlüsselte Übertragung, gehashte Passwörter, zeitlich begrenzte Sitzungen, verschlüsselte Versandwarteschlangen, Datensicherungen, Protokollierung sicherheitsrelevanter Zustände, Wiederherstellungsverfahren und regelmäßige Sicherheitsprüfungen. Standortfreigaben werden auf das Erforderliche begrenzt. Genaue Live Positionen und GPS Historien werden nicht dauerhaft gespeichert.

5. Unterauftragsverarbeiter

MEPAS darf Hosting-, Infrastruktur-, Sicherungs- und E-Mail-Dienstleister einsetzen, wenn diese nach Artikel 28 DSGVO verpflichtet werden. Die Fahrschule erteilt eine allgemeine Genehmigung. Änderungen werden vorab in Textform mitgeteilt. Die Fahrschule kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Bei Drittlandverarbeitung werden die Voraussetzungen der Artikel 44 bis 49 DSGVO eingehalten.

6. Unterstützung und Datenschutzvorfälle

MEPAS unterstützt die Fahrschule angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Aufsichtsbehördenanfragen und der Erfüllung der Pflichten aus den Artikeln 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten werden der Fahrschule unverzüglich mit den verfügbaren erforderlichen Angaben gemeldet.

7. Nachweise und Kontrollen

MEPAS stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht angemessene Kontrollen. Prüfungen sind unter Berücksichtigung der Vertraulichkeit, Sicherheit anderer Mandanten und Verhältnismäßigkeit rechtzeitig abzustimmen.

8. Rückgabe und Löschung

Nach Vertragsende werden personenbezogene Daten nach Wahl der Fahrschule zurückgegeben oder gelöscht, einschließlich vorhandener Kopien, soweit keine gesetzliche Speicherungspflicht besteht. Sicherungskopien werden im vorgesehenen Löschzyklus überschrieben und bis dahin gesperrt.

Die Fahrschule bleibt für Rechtmäßigkeit, Transparenz, Datenrichtigkeit, Weisungen und die Wahrung der Rechte betroffener Personen verantwortlich.