Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Paragraph 1 Gegenstand und Dauer

(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") ist Anlage zum Vertrag über die Erstellung einer privatgutachterlichen Auswertung zur Ermittlung des Stammkundenumsatzanteils, zur Vereinbarung über eine kostenlose Datenprüfung oder zum Vertrag über einen Stammkunden-Zwischenstand für die in Paragraph 3 Abs. 1 oder in § 2 Abs. 1 der Ergänzung bezeichnete Station (jeweils nachfolgend "Hauptvertrag"). Er regelt, unter welchen Bedingungen der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet. Für die Datenprüfung und den Zwischenstand gilt zusätzlich die Ergänzung für die kostenlose Datenprüfung und den Stammkunden-Zwischenstand (Anlage zu diesem AVV, nachfolgend "Ergänzung").

(2) Dieser AVV tritt mit seinem Abschluss in Kraft und gilt bis zur vollständigen Löschung aller Daten gemäß Paragraph 6 oder bis zur Beendigung des Hauptvertrages, je nachdem, was später eintritt. Der Auftragnehmer nimmt Kassendaten erst nach Abschluss dieses AVV entgegen.

(3) Im Verhältnis zwischen Hauptvertrag und diesem AVV gilt bei Widersprüchen dieser AVV für datenschutzrechtliche Fragen vorrangig.

Paragraph 2 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Das gilt auch für eine Übermittlung in ein Drittland oder an eine internationale Organisation. Der Gegenstand, der Umfang, die Art und der Zweck der Verarbeitung sind in Paragraph 3 festgelegt. Der Hauptvertrag sowie die Leistungsbeschreibung gelten als dokumentierte Weisungen.

(2) Der Auftraggeber kann jederzeit in Textform weitere Weisungen erteilen oder bestehende Weisungen ändern. Der Auftragnehmer bestätigt die Änderung in Textform.

(3) Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, teilt er dies dem Auftraggeber unverzüglich schriftlich mit. Der Auftragnehmer ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Auftraggeber die Weisung bestätigt oder zurückzieht.

(4) Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke, es sei denn, dies ist gesetzlich vorgeschrieben. In diesem Fall informiert er den Auftraggeber vor der Verarbeitung, sofern das Gesetz eine solche Information nicht verbietet.

Paragraph 3 Art und Zweck der Datenverarbeitung

(1) Der Auftragnehmer verarbeitet die vom Auftraggeber übermittelten personenbezogenen Daten zum folgenden Zweck:

Ermittlung des Stammkundenumsatzanteils für die Tankstelle [Bezeichnung, Adresse] im Erhebungszeitraum vom [Datum] bis [Datum] nach einem fünfstufigen Verfahren, das die Vorgaben der Rechtsprechung des Bundesgerichtshofs zum Handelsvertreterausgleich nach Paragraph 89b HGB umsetzt, beim Gutachten ergänzt um ein Waschpass-Modul im Rahmen der Schätzung nach § 287 ZPO (zum Waschgeschäft: BGH VIII ZR 130/01). Beim Gutachten wird das Ergebnis als Gutachten-PDF mit Anlagen übergeben. Bei der kostenlosen Datenprüfung und beim Stammkunden-Zwischenstand richten sich Zweck und Ergebnis nach § 2 der Ergänzung.

(2) Eine Verarbeitung zu anderen Zwecken ist ohne vorherige dokumentierte Weisung des Auftraggebers unzulässig.

(3) Klarstellung zum Einsatz von KI-Werkzeugen. Die Verarbeitung der Auftragsdaten erfolgt durch eine deterministische, lokal in Deutschland betriebene Engine des Auftragnehmers. Es findet kein Einsatz externer KI-Dienste auf den Auftragsdaten statt. Insbesondere werden Auftragsdaten weder an Cloud-KI-Anbieter übertragen noch zur Schulung eines KI-Modells verwendet. Im Rahmen der Erbringung der vertraglichen Leistung setzt der Auftragnehmer KI-Werkzeuge in der Engine-Entwicklung, der Marktbeobachtung der einschlägigen Rechtsprechung und der Vorbereitung der mandantenspezifischen Engine-Konfiguration ein; diese Werkzeuge erhalten keinen Zugriff auf die Auftragsdaten des Auftraggebers. Der Zugriff ist auf den eingesetzten Arbeitsumgebungen zusätzlich technisch gesperrt. Eine Ausnahme besteht nur, soweit der Auftraggeber dem Einsatz KI-gestützter Werkzeuge an seinen Auftragsdaten zuvor ausdrücklich und in Textform zugestimmt hat; ohne eine solche Zustimmung erfolgt kein derartiger Einsatz. Ein Einsatz von KI-Werkzeugen außerhalb der Leistungserbringung, etwa bei der Erstellung der Texte der Website des Auftragnehmers, berührt die Auftragsdaten nicht.

Paragraph 4 Art der Daten und Kategorien der Betroffenen

(1) Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

• Karten-Identifikatoren (Karten-Kennungen aus Kartentyp-Kürzel, zum Teil maskierten Ziffernfolgen, Folge- und Vertragsnummern), wie sie das Kassensystem der Station erzeugt. Sie sind personenbezogene Daten; der Auftragnehmer behandelt sie nicht als pseudonymisiert im Sinne von Art. 4 Nr. 5 DSGVO.
• Kaufzeitpunkte (Datum, Uhrzeit).
• Umsatzbeträge und Artikelpositionen (Kraftstoffmenge, Shop-Umsatz, Waschumsatz).
• Zahlungsart (Karte, Bar).
• Soweit enthalten: Treuekartennummern oder vergleichbare Identifikatoren.

(2) Betroffene Personen sind Endkunden der Tankstelle des Auftraggebers, deren Zahlungsvorgänge im Kassensystem protokolliert sind.

(3) Der Auftraggeber versichert gegenüber dem Auftragnehmer, dass die übermittelten Dateien keine der folgenden Daten enthalten, die nicht für die Auswertung erforderlich sind:

1. Klarnamenzuordnungen (Name, Anschrift, Kontaktdaten der Endkunden),
2. vollständige Zahlungskartennummern oder PAN (Primary Account Numbers),
3. biometrische oder gesundheitsbezogene Daten,
4. Mitarbeiterdaten mit Personenbezug außerhalb der für den Kassenbetrieb technisch erforderlichen Bedienernummern,
5. eine Datenbank oder Kundenkartei, die Karten-Kennungen mit Klarnamen verknüpft.

Sollte der Auftraggeber erkennen oder den Verdacht haben, dass solche Daten enthalten sind, hat er den Auftragnehmer vor oder unverzüglich nach dem Upload zu informieren. Der Auftragnehmer kann in diesem Fall die Verarbeitung aussetzen und zusätzliche Weisungen anfordern.

Paragraph 4a Vertraulichkeit und Unterstützung

(1) Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, auch bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.

Paragraph 5 Technisch-organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage TOMs beschriebenen technisch-organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten gemäß Art. 32 DSGVO. Die TOMs sind verbindlicher Bestandteil dieses AVV. Der Auftragnehmer übergibt die Anlage TOMs mit diesem AVV.

(2) Der Auftragnehmer ist berechtigt, die TOMs anzupassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen, die das Schutzniveau betreffen, teilt der Auftragnehmer dem Auftraggeber im Voraus schriftlich mit. Der Auftraggeber kann innerhalb von 14 Tagen widersprechen; in diesem Fall ist eine einvernehmliche Lösung zu suchen.

Paragraph 6 Berichtigung, Löschung, Sperrung

(1) Der Auftragnehmer löscht die Kassenjournaldaten (Rohdaten) spätestens sechs Monate nach Abschluss des Auftrags sicher. Als Abschluss des Auftrags gilt die Übergabe des finalen Gutachtens an den Auftraggeber.

(2) Entscheidet der Auftraggeber, den Auftrag vor Fertigstellung des Gutachtens zu beenden, löscht der Auftragnehmer alle bis dahin erhaltenen Daten innerhalb von 30 Tagen nach Auftragsbeendigung.

(3) Weist der Auftraggeber in Textform an, die Rohdaten länger aufzubewahren, verlängert sich die Speicherdauer auf bis zu 24 Monate nach Abschluss des Auftrags. Ob die Aufbewahrung zulässig ist, verantwortet der Auftraggeber als Verantwortlicher. Er kann die Weisung jederzeit in Textform widerrufen; der Auftragnehmer löscht die Daten dann innerhalb von 30 Tagen.

(4) Rechnungen bewahrt der Auftragnehmer acht Jahre auf (§ 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4 und Abs. 3 AO). Vertragsunterlagen und Schriftverkehr zum Auftrag bewahrt er sechs Jahre auf (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO), soweit sie nicht als Buchungsbeleg acht Jahre aufzubewahren sind. Das fertige Gutachten-PDF ohne Anlagen bewahrt er zehn Jahre auf, um Ansprüche aus dem Auftrag nachweisen und abwehren zu können. Die Fristen beginnen mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden, empfangen oder abgesandt worden ist. Anlagen mit Karten-Kennungen oder Kassenbon-Auszügen löscht er wie die Rohdaten nach den Absätzen 1 bis 3.

(5) Auf Verlangen des Auftraggebers bestätigt der Auftragnehmer schriftlich die vollzogene Löschung.

Paragraph 7 Unterauftragsverhältnisse

(1) Der Auftragnehmer darf Unterauftragsverarbeiter einsetzen, soweit sie in der nachfolgenden Liste (Abs. 2) vorab genehmigt sind (Pauschal-Genehmigung).

(2) Vorab genehmigte Unterauftragsverarbeiter:

(3) Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem AVV inhaltlich entspricht (Art. 28 Abs. 4 DSGVO). Der Auftragnehmer haftet gegenüber dem Auftraggeber für Verstöße des Unterauftragsverarbeiters wie für eigene Verstöße.

(4) Jede Änderung der Liste (Abs. 2) teilt der Auftragnehmer dem Auftraggeber mindestens 14 Tage im Voraus schriftlich mit. Der Auftraggeber kann die Änderung innerhalb dieser Frist schriftlich ablehnen; in diesem Fall sind die Parteien zur einvernehmlichen Lösung verpflichtet.

(5) Cloudflare verarbeitet keine Kassenjournaldaten; es werden lediglich DNS-Abfragen und Netzwerk-Metadaten verarbeitet. Soweit Cloudflare Daten außerhalb der EU verarbeitet, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln. Der Auftraggeber nimmt dies zur Kenntnis.

(6) Für Nachrichten ohne Kassendaten und ohne Karten-Kennungen nutzt der Auftragnehmer auch sein E-Mail-Postfach bei der Telekom Deutschland GmbH, Bonn. Über dieses Postfach überträgt er keine Kassendaten, keine Karten-Kennungen und keine Lieferpakete mit solchen Anlagen. Gehen dort Kassendaten ein, informiert er den Auftraggeber unverzüglich und löscht sie aus dem Postfach, sobald sie gesichert übernommen sind.

Paragraph 8 Kontroll- und Weisungsrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, sich durch Anfragen, Unterlagenvorlage oder Vor-Ort-Kontrollen von der Einhaltung dieses AVV zu überzeugen. Der Auftragnehmer unterstützt entsprechende Prüfungen im angemessenen Umfang.

(2) Vor-Ort-Kontrollen sind mindestens sieben Werktage im Voraus anzukündigen. Sie finden zu den üblichen Geschäftszeiten statt. Vertrauliche Informationen anderer Kunden sind vor der Kontrolle zu schützen.

(3) Der Auftragnehmer stellt alle Informationen zur Verfügung, die der Auftraggeber zur Überprüfung der Einhaltung seiner Pflichten gemäß Art. 28 DSGVO benötigt.

Paragraph 9 Meldepflichten bei Datenpannen

(1) Der Auftragnehmer hat Verletzungen des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, spätestens aber innerhalb von 48 Stunden nach Kenntnis, dem Auftraggeber zu melden.

Zur Meldepflicht gehören insbesondere: unberechtigter Zugriff auf Kassenjournaldaten, Datenverlust, Verschlüsselung durch Schadsoftware, versehentliches Weitergeben an Dritte, Verlust von Datenpartitionen oder Datenträgern mit Kundendaten.

(2) Die Meldung enthält mindestens:

1. Zeitpunkt und Art des Vorfalls,
2. betroffene Datenkategorien und ungefähre Anzahl betroffener Personen soweit bekannt,
3. voraussichtliche Folgen,
4. bereits eingeleitete oder geplante Maßnahmen.

(3) Der Auftraggeber ist allein verantwortlich dafür, zu entscheiden, ob er den Vorfall der Datenschutzaufsichtsbehörde nach Art. 33 DSGVO meldet (unverzüglich und möglichst binnen 72 Stunden) und ob betroffene Personen nach Art. 34 DSGVO zu informieren sind. Der Auftragnehmer unterstützt den Auftraggeber dabei mit allen verfügbaren Informationen.

Paragraph 10 Mitwirkung bei Anfragen Betroffener

(1) Soweit der Auftraggeber Auskunfts-, Berichtigungs-, Löschungs- oder sonstige Anfragen von Betroffenen erhält, die sich auf Daten beziehen, die beim Auftragnehmer verarbeitet werden, unterstützt der Auftragnehmer den Auftraggeber auf Anfrage und im angemessenen Umfang.

(2) Der Auftragnehmer leitet Anfragen von Betroffenen, die direkt an ihn gerichtet werden, unverzüglich an den Auftraggeber weiter. Er beantwortet solche Anfragen nicht selbst, es sei denn, der Auftraggeber erteilt eine entsprechende Weisung.

Paragraph 11 Verantwortlichkeiten nach Vertragsende

(1) Nach Vertragsende löscht der Auftragnehmer alle Kassenjournaldaten gemäß den in Paragraph 6 festgelegten Fristen.

(2) Auf ausdrücklichen schriftlichen Wunsch des Auftraggebers werden die Daten statt Löschung in einem gängigen Format an den Auftraggeber zurückgegeben und danach sicher gelöscht.

(3) Der Auftragnehmer bestätigt die Löschung oder Rückgabe schriftlich.

(4) Rechnungen, Vertragsunterlagen, Schriftverkehr und das fertige Gutachten-PDF ohne Anlagen bleiben von der Löschpflicht ausgenommen. Für sie gilt Paragraph 6 Abs. 4.

Paragraph 12 Haftung

(1) Der Auftraggeber und der Auftragnehmer haften gegenüber Betroffenen nach Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für die Pflichtverletzungen, die in ihrer Sphäre liegen. Der Auftragnehmer haftet insbesondere, wenn er gegen ausdrückliche Weisungen des Auftraggebers gehandelt hat, die ihm rechtmäßig erteilt wurden.

(2) Für Umfang und Grenzen der Haftung der Parteien untereinander gilt der Hauptvertrag: bei der Stammkundenanalyse § 8 der AGB für Gutachterleistungen, bei der kostenlosen Datenprüfung und beim Stammkunden-Zwischenstand § 9 der Bedingungen für die kostenlose Datenprüfung und den Stammkunden-Zwischenstand. Art. 82 DSGVO bleibt unberührt.

Paragraph 13 Dauer und Kündigung

(1) Dieser AVV ist unlösbar mit dem Hauptvertrag verbunden. Er endet automatisch mit der vollständigen Löschung aller Daten gemäß Paragraph 6 und Paragraph 11.

(2) Kein selbständiges Kündigungsrecht besteht für diesen AVV; die Kündigungsregelungen des Hauptvertrages gelten entsprechend.

(3) Bei einer außerordentlichen Kündigung des Hauptvertrages aus wichtigem Grund endet dieser AVV mit dem Hauptvertrag; die Löschpflicht aus Paragraph 6 gilt danach weiterhin.

Paragraph 14 Anwendbares Recht

Es gilt das Recht der Bundesrepublik Deutschland.

§ 1 Verhältnis zum AVV

(1) Diese Ergänzung ist Teil des AVV. Sie gilt für die kostenlose Datenprüfung und den Stammkunden-Zwischenstand nach den „Bedingungen für die kostenlose Datenprüfung und den Stammkunden-Zwischenstand“ (nachfolgend „Bedingungen“). Soweit sie nichts anderes regelt, gilt der AVV. Für die Datenprüfung gelten zwischen den Parteien die Bedingungen in der Fassung, die bei Abschluss dieser Ergänzung auf der Website des Auftragnehmers veröffentlicht ist. Für den Zwischenstand gilt die Fassung, die der Auftragsbestätigung beiliegt.

(2) AVV und Ergänzung gelten ab ihrem Abschluss, auch wenn noch kein Vertrag über einen Zwischenstand oder eine Stammkundenanalyse besteht. Der Auftragnehmer nimmt Kassendaten erst nach ihrem Abschluss entgegen. Sie enden mit der Löschung aller Kassendaten nach § 5.

(3) Bei Widersprüchen geht diese Ergänzung dem AVV vor.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Datenprüfung: Der Auftragnehmer speichert die übergebenen elektronischen Kassenjournale der Station [Bezeichnung, Anschrift] für den Zeitraum [von] bis [bis], liest sie mit seiner Auswertungssoftware ein und prüft, ob sie den Zeitraum vollständig abdecken und auswertbar sind. Er ermittelt dabei keinen Stammkundenanteil.

(2) Zwischenstand: Nach Beauftragung ermittelt der Auftragnehmer aus denselben Kassenjournalen den Stammkundenanteil für Kraftstoff, Shop und Wäsche im Auswertungszeitraum nach § 3 der Bedingungen. Das Ergebnis enthält nur Summen und Anteile, keine Kartenkennungen und keine anderen Angaben zu einzelnen Kunden der Station.

(3) Das in den Bedingungen beschriebene Verfahren gilt als dokumentierte Weisung des Auftraggebers (AVV § 2 Abs. 1).

(4) Art der Daten und Kreis der Betroffenen richten sich nach AVV § 4.

§ 3 Übertragungsweg

(1) Der Auftraggeber übergibt Kassendaten nur über das Upload-Portal des Auftragnehmers (TLS-verschlüsselt), auf einem verschlüsselten Datenträger oder auf einem anderen vorher in Textform vereinbarten, gleich sicheren Weg. Unverschlüsselte E-Mail ist ausgeschlossen.

(2) Erhält der Auftragnehmer Kassendaten auf einem anderen Weg, etwa per E-Mail, informiert er den Auftraggeber unverzüglich und löscht die Daten aus dem Eingangsweg, einschließlich weitergeleiteter Kopien, sobald sie gesichert übernommen sind. AVV § 9 bleibt unberührt.

(3) Das Ergebnis der Datenprüfung und das Ergebnis-PDF des Zwischenstands enthalten keine personenbezogenen Daten der Kunden der Station. Der Auftragnehmer darf sie per E-Mail übermitteln.

§ 4 Keine eigenen Zwecke

(1) Der Auftragnehmer verwendet die Kassendaten nicht für eigene Zwecke. AVV § 2 Abs. 4 und § 3 Abs. 2 und 3 (kein Einsatz externer KI-Dienste auf den Auftragsdaten) gelten unverändert.

(2) Muss der Auftragnehmer seine Auswertungssoftware an das Kassensystem des Auftraggebers anpassen, um die Leistung zu erbringen, ist das Teil der Verarbeitung im Auftrag. Die Anpassung der Software darf er behalten; sie enthält keine Kassendaten. Testdateien für die Software enthalten keine Bestandteile aus Kassenjournalen von Auftraggebern; sie bilden nur den Aufbau der Dateien mit erfundenen Werten nach. Erkenntnisse ohne personenbezogene Daten, etwa über Dateiaufbau und Kassensystem, darf er festhalten. Kassendaten bewahrt er dafür nicht über die Fristen des § 5 hinaus auf.

§ 5 Löschung

Für Datenprüfung und Zwischenstand gilt anstelle von AVV § 6 Abs. 1 bis 3:

(1) Wird nach der Datenprüfung weder ein Zwischenstand noch eine Stammkundenanalyse beauftragt, löscht der Auftragnehmer die Kassendaten spätestens 30 Tage, nachdem er dem Auftraggeber das Ergebnis der Datenprüfung mitgeteilt hat.

(2) Nach einem Zwischenstand löscht der Auftragnehmer die Kassendaten und alle Zwischendateien mit Kartenkennungen spätestens drei Monate nach Lieferung des Ergebnisses. Bis dahin bewahrt er sie für eine Nachbesserung nach § 8 der Bedingungen auf.

(3) Der Auftraggeber kann in Textform anweisen, die Kassendaten bis zu 24 Monate nach dem Datum der Rechnung über den Zwischenstand aufzubewahren, damit eine spätere Stammkundenanalyse ohne erneute Übergabe möglich ist. Ob die Aufbewahrung für diesen Zweck zulässig ist, verantwortet der Auftraggeber als Verantwortlicher. Ohne Weisung gilt Absatz 2. Er kann sie jederzeit in Textform widerrufen; der Auftragnehmer löscht dann innerhalb von 30 Tagen.

(4) Beauftragt der Auftraggeber eine Stammkundenanalyse für dieselbe Station, gelten ab Vertragsschluss für die Kassendaten die Fristen des AVV für die Stammkundenanalyse.

(5) Die Löschung umfasst alle Orte, an denen der Auftragnehmer die Kassendaten gespeichert hat. Sicherungskopien löscht er spätestens 30 Tage nach Ablauf der jeweiligen Frist. Er vermerkt jede Löschung im Löschprotokoll.

(6) Ergebnis-PDF, Prüfergebnis, Rechnung und Vertragsunterlagen enthalten keine Kassendaten. Für Rechnungen, Vertragsunterlagen und Schriftverkehr gilt AVV § 6 Abs. 4. Das Ergebnis-PDF und das Prüfergebnis bewahrt der Auftragnehmer zehn Jahre nach dem Schluss des Kalenderjahres auf, in dem er sie übermittelt hat, um Ansprüche aus dem Auftrag nachweisen und abwehren zu können.

(7) Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform (AVV § 6 Abs. 5).

(8) AVV § 11 Abs. 2 (Rückgabe statt Löschung auf Wunsch des Auftraggebers) bleibt unberührt.

§ 6 Haftung

Für die Haftung gilt AVV § 12.

§ 7 Abschluss

Diese Ergänzung wird mit dem AVV vor der ersten Übergabe von Kassendaten geschlossen, schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9 DSGVO), etwa durch Bestätigung per E-Mail.