1. Parteien und Gegenstand
Verantwortlicher ist der Kunde (Fahrzeughändler), der die Software WebSofort Auto Marketing nutzt. Auftragsverarbeiter ist Serkan Türkoglu, Salzburger Straße 61/4, 4600 Wels, Österreich („WebSofort“). Gegenstand ist die Verarbeitung personenbezogener Daten, die in den vom Kunden hochgeladenen oder übernommenen Fahrzeuginhalten enthalten sein können, zum Zweck der Erstellung von Studiofotos, Texten, Social-Media-Formaten, Videos und Fahrzeugseiten.
2. Art der Daten, betroffene Personen, Dauer
- Datenarten
- Fahrzeugfotos (mit möglichen Kennzeichen, Spiegelungen oder zufällig abgebildeten Personen), Fahrzeugdaten, Inseratstexte, Logo und Firmenangaben des Kunden.
- Betroffene Personen
- Vorbesitzer oder Halter der Fahrzeuge (über Kennzeichen), zufällig abgebildete Personen, Mitarbeiter des Kunden.
- Dauer
- Für die Dauer des Nutzungsvertrags; Löschung gemäß Punkt 7.
3. Weisungen
WebSofort verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisung ist die Nutzung der Software (Hochladen, Erstellen, Veröffentlichen, Löschen). Hält WebSofort eine Weisung für rechtswidrig, weist es den Kunden darauf hin. Zusätzliche Weisungen sind per E-Mail an office@websofort.at zu richten.
4. Pflichten von WebSofort
- Verarbeitung nur für die vereinbarten Zwecke, keine Nutzung der Kundendaten für eigene Zwecke oder zum Training von KI-Modellen.
- Vertraulichkeit aller mit der Verarbeitung befassten Personen.
- Technische und organisatorische Maßnahmen nach Punkt 6.
- Unterstützung des Kunden bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Behördenanfragen im zumutbaren Umfang.
- Meldung von Verletzungen des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, spätestens 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Kunden.
- Bereitstellung der Informationen, die der Kunde zum Nachweis der Einhaltung von Art 28 DSGVO benötigt. Prüfungen erfolgen vorrangig durch Beantwortung schriftlicher Fragen; Vor-Ort-Prüfungen nach Ankündigung von 14 Tagen, höchstens einmal jährlich, auf Kosten des Kunden.
5. Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort, Absicherung |
|---|---|---|
| Supabase, Inc. | Datenbank, Anmeldung, Datei-Speicher | Frankfurt (EU) |
| Vercel, Inc. | Hosting, Ausführung der Software | USA / EU-Server; Data Privacy Framework, Standardvertragsklauseln |
| fal.ai (Features and Labels, Inc.) | KI-Bildbearbeitung, Kennzeichen-Erkennung, Text- und Sprachmodelle (Google Gemini, ElevenLabs, MiniMax) | USA; Standardvertragsklauseln |
| Google Ireland Ltd. / Google LLC | Sprecherstimme (nur wenn direkt genutzt) | Irland / USA; Data Privacy Framework |
| Stripe Payments Europe Ltd. | Zahlung und Rechnung (nur Konto- und Abrechnungsdaten, keine Fahrzeugdaten) | Irland; Data Privacy Framework für US-Anteile |
| Resend, Inc. | E-Mail-Versand (nur Konto-E-Mails) | USA / EU-Region; Data Privacy Framework |
Über den Wechsel oder die Aufnahme eines Unterauftragsverarbeiters informiert WebSofort per E-Mail mindestens 30 Tage im Voraus. Der Kunde kann aus wichtigem Grund widersprechen; in diesem Fall kann jede Seite den Vertrag zum Monatsende beenden. Drittlandübermittlungen (USA) werden über das EU-US Data Privacy Framework oder Standardvertragsklauseln nach Art 46 DSGVO abgesichert.
6. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (TLS) für alle Verbindungen; verschlüsselte Speicherung bei den Rechenzentrumsanbietern.
- Mandantentrennung: Jeder Kunde sieht nur die eigenen Daten; Zugriffsregeln werden in der Datenbank erzwungen (Row Level Security).
- Originalfotos in nicht öffentlichem Speicher; Ergebnisse nur über nicht erratbare Adressen; öffentliche Fahrzeugseiten nur über vom Kunden erzeugte Links, jederzeit abschaltbar.
- Anmeldung mit Passwort-Hash und E-Mail-Bestätigung; Schutz gegen Mehrfachanmeldung und automatisierte Anfragen (Ratenbegrenzung).
- Zugriff auf Produktionssysteme nur durch den Inhaber, mit persönlichen Zugangsdaten; Geheimnisse werden nicht im Quellcode gespeichert.
- Tägliche Sicherungen der Datenbank durch den Datenbankanbieter.
- Protokollierung von Verarbeitungsschritten und Fehlern ohne Fahrzeugfotos in den Protokollen.
7. Löschung und Rückgabe
Der Kunde kann Fahrzeuge und Inhalte jederzeit selbst löschen. Nach Ende des Nutzungsvertrags kann der Kunde seine Ergebnisse 30 Tage lang herunterladen; danach löscht WebSofort alle Fahrzeugdaten, Fotos und Ergebnisse innerhalb von 90 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Bei Unterauftragsverarbeitern erfolgt die Löschung nach deren Fristen.
8. Haftung und Schlussbestimmungen
Für die Haftung gilt Punkt 8 der AGB. Es gilt österreichisches Recht, Gerichtsstand Wels. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Datenschutzfragen vor.