Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen personenbezogene Daten, die in hochgeladenen Zulassungsscheinen enthalten sind. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

Zweck: Automatisierte Texterkennung (OCR/KI) und Bereitstellung der ausgelesenen Daten an den Verantwortlichen; optional Speicherung/Archivierung im Kundenkonto.

Datenkategorien: Name, Anschrift und weitere im Zulassungsschein enthaltene Angaben des Zulassungsbesitzers; Fahrzeugdaten (Kennzeichen, FIN, technische Daten); Nutzerdaten des Verantwortlichen (Name, E-Mail, Protokolldaten).

Betroffene Personen: Zulassungsbesitzer bzw. Kunden des Verantwortlichen; Mitarbeiter des Verantwortlichen.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der Software gilt als solche Weisung), verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, trifft die technischen und organisatorischen Maßnahmen gemäß Anlage 1, unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten und den Pflichten nach Art. 32–36 DSGVO, meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich und stellt dem Verantwortlichen alle für den Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung (einschließlich Ermöglichung von Audits nach angemessener Vorankündigung).

4. Subauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Einbindung der in Anlage 2 genannten Subauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab; der Verantwortliche kann aus wichtigem Grund binnen 14 Tagen widersprechen.

5. Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten oder gibt sie zurück, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Das Recht des Auftragsverarbeiters, Daten in vollständig anonymisierter Form weiterzunutzen, bleibt unberührt, da anonymisierte Daten keinen Personenbezug aufweisen.

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselung: Übertragung ausschließlich via TLS; Speicherung verschlüsselt (Encryption at Rest).
• Zugriffskontrolle: Rollen- und Berechtigungskonzept, Zwei-Faktor-Authentifizierung (2FA), individuelle Zugangsdaten.
• Serverstandort: Verarbeitung der Scandaten in einem Rechenzentrum in Frankfurt am Main (EU).
• Verfügbarkeit: Regelmäßige Backups, Wiederherstellungskonzept.
• Protokollierung: Nachvollziehbarkeit von Zugriffen und Verarbeitungsvorgängen.
• Löschkonzept: Automatisierte Löschung von Quellbildern nach Verarbeitung, sofern keine Archivierung aktiviert ist.

Anlage 2 — Subauftragsverarbeiter

Für die Übermittlung dieses AVV in unterschriftsfähiger Form wenden Sie sich an office@compass-ai.at.