Vertrag zur Auftragsverarbeitung (AVV)

Entwurf – rechtlich prüfen. Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist ein Arbeitsentwurf und noch nicht anwaltlich geprüft. Er wird vor dem produktiven Verkauf ersetzt.

1. Gegenstand und Dauer

Der Auftragnehmer (Steve Knöfler, Anbieter von Schadenlotse) verarbeitet personenbezogene Daten im Auftrag des Kunden (Verantwortlicher) für die Dauer des Hauptvertrags: Empfang, Speicherung und Anzeige von Schadenakten, Verwaltung von Portal-Nutzern, Audit-Log.

2. Art der Daten und Betroffene

Versicherte, Unfallbeteiligte und Zeugen (Namen, Kontaktdaten, Kennzeichen, Fahrzeug- und Versicherungsdaten, Fotos mit Ort und Zeit, Skizzen, Hergang, 3D-Scans, KI-Einschätzungen); Beschäftigte des Kunden (Name, E-Mail, Rolle, Anmeldezeitpunkte, IP-Adressen im Audit-Log).

3. Weisungen und Vertraulichkeit

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Kunden und verpflichtet alle Personen mit Zugriff zur Vertraulichkeit.

4. Technische und organisatorische Maßnahmen

Transportverschlüsselung (TLS), Speicherung bei Cloudflare (D1, R2)
Strikte Mandantentrennung in jeder Abfrage, Rollen- und Rechtekonzept
Passwörter mit PBKDF2-SHA256, Sitzungen mit sicheren Cookies, CSRF-Schutz, Sperre nach Fehlversuchen
Integritätsprüfung übermittelter Akten per SHA-256, signierte Übermittlung von attestierten Geräten
Audit-Log für Anmeldung, Statuswechsel, Downloads, Löschungen und Konfigurationsänderungen
Automatische Löschung nach der vom Kunden festgelegten Aufbewahrungsfrist

5. Unterauftragsverarbeiter

Cloudflare, Inc. (Hosting, Datenbank, Dateispeicher); Google (Gemini API, nur für KI-Einschätzungen nach Einwilligung der Versicherten); Stripe (nur Vertrags- und Zahlungsdaten des Kunden). Über Änderungen informiert der Auftragnehmer vorab; der Kunde kann widersprechen.

6. Unterstützung, Meldungen, Löschung

Der Auftragnehmer unterstützt bei Betroffenenanfragen und Datenschutz-Folgenabschätzungen, meldet Datenschutzverletzungen unverzüglich und löscht bzw. übergibt nach Vertragsende alle Daten nach Wahl des Kunden.