Vereinbarung zur Auftragsverarbeitung
nach Art. 28 Abs. 3 DSGVO
Stand 1. Oktober 2026
zwischen dem im Kundenkonto bezeichneten Unternehmer als Verantwortlichem, nachfolgend Auftraggeber, und Andreas Schäfer, handelnd unter der Geschäftsbezeichnung SW-Sales, Am Bergle 12A, 77793 Gutach (Schwarzwaldbahn), als Auftragsverarbeiter, nachfolgend Auftragnehmer.
1 Gegenstand und Rang
1.1 Diese Vereinbarung gilt, soweit der Auftragnehmer im Rahmen eines Fileservice-Auftrags personenbezogene Daten verarbeitet, für die der Auftraggeber Verantwortlicher ist. Sie ergänzt den Hauptvertrag und die AGB.
1.2 Bei Widersprüchen gehen diese Datenschutzbestimmungen für die Auftragsverarbeitung vor. Individuelle, dokumentierte Weisungen des Auftraggebers gehen innerhalb des vereinbarten Leistungsumfangs vor.
2 Dauer, Art und Zweck
2.1 Die Verarbeitung dauert vom Upload bis zur Löschung oder Rückgabe nach dieser Vereinbarung und den dokumentierten Löschfristen.
2.2 Gegenstand sind Entgegennahme, Speicherung, technische Analyse, individuelle Bearbeitung, Bereitstellung, Support, Sicherung und Löschung von ECU- oder TCU-Dateien, Fahrzeugdaten und Diagnose-Logs.
2.3 Art, Zweck, betroffene Personen und Datenkategorien ergeben sich aus Anlage 1. Eine Verarbeitung zu eigenen Werbe-, Profiling- oder Produkttrainingszwecken findet nicht statt.
3 Weisungen
3.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Weisungen zu Drittlandübermittlungen, sofern keine gesetzliche Pflicht besteht. Eine gesetzlich vorgeschriebene Verarbeitung wird dem Auftraggeber vorab mitgeteilt, soweit das Recht dies zulässt.
3.2 Die Bestellung und ihre Spezifikation sind die anfängliche Weisung. Weitere Weisungen erfolgen über das Ticketsystem oder in Textform durch autorisierte Kontakte. Mündliche Weisungen werden unverzüglich dokumentiert.
3.3 Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
4 Pflichten des Auftragnehmers
4.1 Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind und Daten nur im erforderlichen Umfang verarbeiten.
4.2 Der Auftragnehmer setzt die in Anlage 4 beschriebenen technischen und organisatorischen Maßnahmen um und überprüft ihre Wirksamkeit regelmäßig. Wesentliche nachteilige Änderungen teilt er dem Auftraggeber mit.
4.3 Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung von Art und verfügbaren Informationen bei Betroffenenrechten, Sicherheit, Meldungen nach Art. 33 und 34 DSGVO, Datenschutz-Folgenabschätzungen und Konsultationen. Zusatzaufwand darf nach vorheriger Mitteilung angemessen berechnet werden, soweit die Unterstützung nicht durch eine vom Auftragnehmer zu vertretende Pflichtverletzung erforderlich wird.
4.4 Datenschutzverletzungen im Verantwortungsbereich des Auftragnehmers werden dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, gemeldet, damit der Auftraggeber die Frist nach Art. 33 Abs. 1 DSGVO einhalten kann. Die Meldung enthält soweit verfügbar Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene Maßnahmen sowie eine Kontaktstelle. Fehlende Angaben werden nachgereicht.
4.5 Der Auftragnehmer führt die erforderlichen Verzeichnisse und stellt dem Auftraggeber die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
5 Unterauftragsverarbeiter
5.1 Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Anlage 3 aufgeführten Unterauftragsverarbeiter.
5.2 Beabsichtigte Hinzuziehungen oder Ersetzungen werden mindestens 14 Tage vorher in Textform mitgeteilt. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Dienst beendet werden.
5.3 Der Auftragnehmer verpflichtet Unterauftragsverarbeiter mindestens zu denselben Datenschutzpflichten. Er bleibt gegenüber dem Auftraggeber für deren Pflichten verantwortlich.
6 Kontrollrechte
6.1 Der Auftraggeber darf die Einhaltung in angemessenen Abständen und anlassbezogen prüfen. Vorrang haben aktuelle Nachweise, Zertifikate, Prüfberichte und schriftliche Auskünfte.
6.2 Vor-Ort-Prüfungen sind mit angemessener Frist während üblicher Geschäftszeiten durchzuführen, dürfen Betrieb und Vertraulichkeit anderer Kunden nicht beeinträchtigen und sind auf das Erforderliche zu beschränken. Prüfer müssen unabhängig und zur Vertraulichkeit verpflichtet sein.
6.3 Angemessener Aufwand für nicht anlassbezogene Prüfungen kann nach vorheriger Mitteilung berechnet werden. Das gilt nicht, soweit eine vom Auftragnehmer zu vertretende Pflichtverletzung Anlass der Prüfung ist.
7 Rückgabe und Löschung
7.1 Nach Ende der Verarbeitung löscht oder gibt der Auftragnehmer die personenbezogenen Auftragsdaten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Aufbewahrungspflicht oder erforderliche Rechtsverteidigung entgegensteht. Gesetzlich aufbewahrte Daten werden gesperrt und nur für den Aufbewahrungszweck verarbeitet.
7.2 Sicherungskopien werden im Rahmen des dokumentierten Backupzyklus überschrieben. Bis dahin bleiben sie geschützt und werden nicht produktiv genutzt.
7.3 Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform.
8 Verantwortung und Haftung
8.1 Der Auftraggeber ist für Zulässigkeit, Transparenz, Datenminimierung und Rechtmäßigkeit seiner Weisungen verantwortlich. Er informiert betroffene Personen und bearbeitet ihre Rechte.
8.2 Die Haftung richtet sich nach Art. 82 DSGVO, den zwingenden gesetzlichen Vorschriften und ergänzend dem Hauptvertrag. Eine Regelung zulasten betroffener Personen ist nicht beabsichtigt.
9 Schlussbestimmungen
9.1 Diese Vereinbarung und ihre Änderungen bedürfen einer dokumentierbaren Form; das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Die Annahme im Portal mit gespeicherter Fassung, Konto, Zeitstempel und Bestätigung erfüllt diese Form.
9.2 Sollte eine Regelung unwirksam sein, gelten die gesetzlichen Bestimmungen; die übrigen Regelungen bleiben wirksam.
Anlagen zur Auftragsverarbeitung
Anlage 1 Beschreibung der Verarbeitung
Merkmal | Beschreibung
Betroffene Personen | Endkunden und Fahrzeughalter des Auftraggebers; Beschäftigte und Ansprechpartner, soweit in Dateien oder Logs enthalten
Datenarten | VIN und Fahrzeugzuordnung; Steuergeräte-, Hardware- und Softwaredaten; Diagnosewerte und CSV-Logs; Dateiinhalte; Ticketinhalte; technische Metadaten
Keine vorgesehenen Daten | Besondere Kategorien nach Art. 9 DSGVO, Strafdaten, Ausweiskopien und private Kommunikationsinhalte
Zwecke | Auftragsannahme, technische Analyse, individuelle Bearbeitung, Bereitstellung, Fehleranalyse, Support, Wiederherstellung und dokumentierte Löschung
Verarbeitungsschritte | Erheben durch Upload, Speichern, Ordnen, Auslesen, Analysieren, Verändern, Bereitstellen, Sichern, Einschränken und Löschen
Ort | Deutschland; Abweichungen nur nach dokumentierter Freigabe und Erfüllung von Art. 44 ff. DSGVO
Dauer | Je Auftrag bis zur Löschung nach Datenschutzerklärung und Weisungen; gesetzliche Sperrfristen bleiben möglich
Anlage 2 Weisungs- und Kontaktmatrix
Rolle | Festlegung
Weisungsberechtigte des Auftraggebers | Im Kundenkonto hinterlegte Inhaber- und Administratorrollen
Empfänger bei Datenschutzvorfällen | Im Kundenkonto hinterlegte Datenschutz- und Administratorkontakte
Kontakt des Auftragnehmers | Andreas Schäfer, info@sw-sales.de, +49 151 68460682
Weisungskanal | Portal-Ticket mit Vorgangsbezug; hilfsweise E-Mail in Textform
Authentisierung | Angemeldetes Konto; bei E-Mail zusätzliche Identitätsprüfung, wenn Zweifel bestehen
Anlage 3 Genehmigte Unterauftragsverarbeiter
Unternehmen | Leistung | Ort der Verarbeitung | Garantien
noxtec GmbH, Rilkestraße 24, 63110 Rodgau | Managed Webhosting des Kundenportals einschließlich täglicher Datensicherung | Deutschland (Rechenzentrum maincubes FRA-01, Offenbach am Main); Daten und Sicherungen ausschließlich in Deutschland | Vertrag nach Art. 28 DSGVO vom 30. September 2026
maincubes one GmbH, Offenbach am Main (Unterauftragsverarbeiter der noxtec GmbH) | Rechenzentrumsfläche für die Serverhardware; kein logischer Zugriff auf Daten | Deutschland (Offenbach am Main) | Verpflichtung über den Vertrag der noxtec GmbH nach Art. 28 Abs. 4 DSGVO
STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin | Versand von Benachrichtigungs-E-Mails des Portals; die E-Mails enthalten nur Text und Links ins Portal, keine Dateien | Deutschland | Vertrag nach Art. 28 DSGVO
Externe Entwickler oder Wartungsdienstleister mit Zugriff auf Auftragsdaten werden nur nach vorheriger Ankündigung nach Ziffer 5.2, schriftlicher Verpflichtung und Ergänzung dieser Anlage eingesetzt.
Lexware Office und PayPal sind keine Unterauftragsverarbeiter nach dieser Vereinbarung. Lexware verarbeitet Rechnungsdaten für eigene Zwecke von SW-Sales; PayPal handelt bei Zahlungsdaten in eigener datenschutzrechtlicher Verantwortung. An beide Dienste werden keine Steuergerätedateien, Protokolle oder FIN übermittelt.
Anlage 4 Technische und organisatorische Maßnahmen
Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO stehen im gesonderten Dokument „Technische und organisatorische Maßnahmen nach Art. 32 DSGVO“ in der jeweils im Kundenkonto hinterlegten Fassung.
Anlage: Technische und organisatorische Maßnahmen, Stand 1. Oktober 2026 PDF