Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Plattform „PostMotor". Er wird geschlossen zwischen

dem Kunden (gewerblicher Nutzer der Plattform) als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher")

und

PostMotor GmbH, Griesingerstraße 5, 24116 Kiel, Deutschland, vertreten durch Kubla Elmoussa, als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter" oder „Anbieter").

Verantwortlicher und Auftragsverarbeiter nachfolgend einzeln „Partei" und gemeinsam „Parteien". Dieser AVV ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags über die Nutzung der Plattform (nachfolgend „Hauptvertrag"). Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Version dieses AVV: 2026-07-2.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen, soweit dies zur Erbringung der im Hauptvertrag vereinbarten Leistungen der Plattform „PostMotor" erforderlich ist.
2. Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage A zu diesem AVV.
3. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt, soweit nicht in diesem AVV (insbesondere § 7 und Anlage C) etwas anderes geregelt ist.

§ 2 Dauer

1. Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags, soweit sich aus den Regelungen dieses AVV keine darüber hinausgehenden Verpflichtungen ergeben (insbesondere zur Löschung oder Rückgabe der Daten nach Beendigung).

§ 3 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die im Hauptvertrag und in diesem AVV vereinbarte Nutzung der Plattform sowie die Bedienung der Funktionen durch den Verantwortlichen gelten als Weisungen. Einzelweisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, erfolgen in Textform.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 4 Vertraulichkeit

1. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
2. Der Auftragsverarbeiter stellt sicher, dass die zugriffsberechtigten Personen die personenbezogenen Daten nur auf Weisung des Verantwortlichen verarbeiten.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO).
2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist berechtigt, alternative, gleichwertige oder bessere Maßnahmen umzusetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Kapitel III DSGVO) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Hierzu stellt die Plattform insbesondere Funktionen zum Export und zur Löschung der vom Verantwortlichen verwalteten Daten bereit.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).
3. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, meldet er dies dem Verantwortlichen unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, in Textform. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie dem Auftragsverarbeiter verfügbar sind.

§ 7 Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverarbeiter)

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung zur Inanspruchnahme der in Anlage C aufgeführten weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) gemäß Art. 28 Abs. 2 Satz 1 DSGVO.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter. Die Information erfolgt durch Bereitstellung einer aktualisierten Fassung der Anlage C sowie durch Mitteilung in Textform oder über die Plattform mit einer angemessenen Vorlauffrist. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen (Art. 28 Abs. 2 Satz 2 DSGVO).
3. Widerspricht der Verantwortliche einer Änderung berechtigt und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, ist jede Partei berechtigt, den Hauptvertrag mit Wirkung zum geplanten Zeitpunkt der Änderung zu kündigen.
4. Der Auftragsverarbeiter erlegt dem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Erfüllt der weitere Auftragsverarbeiter seine Datenschutzpflichten nicht, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses weiteren Auftragsverarbeiters.
5. Soweit Unterauftragsverarbeiter personenbezogene Daten in einem Drittland verarbeiten, stellt der Auftragsverarbeiter durch geeignete Garantien nach Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln oder einen Angemessenheitsbeschluss, etwa im Rahmen des EU-US Data Privacy Framework) ein angemessenes Datenschutzniveau sicher.

§ 8 Nachweise und Kontrollen (Audit)

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis kann auch durch die Vorlage geeigneter, aktueller Bescheinigungen, Berichte oder Berichtsauszüge unabhängiger Instanzen oder durch eine geeignete Zertifizierung erfolgen.
3. Prüfungen vor Ort werden mit angemessener Vorankündigung, zu den üblichen Geschäftszeiten und so durchgeführt, dass der Geschäftsbetrieb des Auftragsverarbeiters möglichst nicht beeinträchtigt wird; sie haben die Vertraulichkeit der Daten anderer Kunden zu wahren.

§ 9 Löschung und Rückgabe nach Beendigung

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Der Verantwortliche hat während der Laufzeit des Hauptvertrags und im Rahmen der angebotenen Funktionen jederzeit die Möglichkeit, die von ihm verwalteten Daten selbst zu exportieren.
3. Soweit der Auftragsverarbeiter gesetzlichen Aufbewahrungspflichten unterliegt (insbesondere handels- und steuerrechtlich nach § 147 AO, § 257 HGB), werden die betroffenen Daten für die Dauer der gesetzlichen Aufbewahrungsfrist gesperrt bzw. in ihrer Verarbeitung eingeschränkt und nach Ablauf der Frist gelöscht.

§ 10 Haftung

1. Für die Haftung der Parteien gelten die Regelungen des Art. 82 DSGVO sowie ergänzend die haftungsrechtlichen Bestimmungen des Hauptvertrags, soweit diese den zwingenden Vorgaben der DSGVO nicht entgegenstehen.
2. Der Verantwortliche ist im Verhältnis der Parteien für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 24 DSGVO).

§ 11 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
2. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine wirksame Regelung als vereinbart, die dem mit der unwirksamen Bestimmung verfolgten Zweck am nächsten kommt.
3. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage A — Gegenstand und Einzelheiten der Verarbeitung

Gegenstand der Verarbeitung: Bereitstellung und Betrieb der SaaS-Plattform „PostMotor" für den Verantwortlichen (Autohändler) gemäß Hauptvertrag.

Art und Zweck der Verarbeitung: Erfassung, Speicherung, Organisation, Strukturierung, Anpassung, Auslesen, Abfrage, Nutzung, Übermittlung (im vom Verantwortlichen veranlassten Umfang) und Löschung personenbezogener Daten zum Zweck der Verwaltung von Fahrzeugbeständen, der Erstellung und Veröffentlichung von Inhalten, der Verkaufs- und Kundenverwaltung (CRM) sowie der Buchhaltung des Verantwortlichen.

Art der personenbezogenen Daten:

• Kontakt- und Stammdaten der Kunden und Interessenten des Verantwortlichen (z. B. Name, Anschrift, E-Mail, Telefonnummer);
• Vorgangs- und Kommunikationsdaten (Anfragen, Leads, Termine, Notizen, Aufgaben, Kommunikationsverläufe);
• Vertrags- und Abwicklungsdaten (z. B. Kauf-/Verkaufsvorgänge, Rechnungsdaten);
• gegebenenfalls auf Fahrzeugfotos erkennbare personenbezogene Daten (z. B. amtliche Kennzeichen), soweit vom Verantwortlichen hochgeladen.

Kategorien betroffener Personen: Kunden, Interessenten und sonstige Geschäftskontakte des Verantwortlichen sowie gegebenenfalls Beschäftigte des Verantwortlichen, die die Plattform nutzen.

Anlage B — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere die folgenden technischen und organisatorischen Maßnahmen um:

• Vertraulichkeit: rollenbasierte Zugriffskontrolle; strikte Mandantentrennung (jeder Kunde sieht ausschließlich seine eigenen Daten); verschlüsselte Speicherung sicherheitskritischer Zugangsdaten und Tokens; Zwei-Faktor-Authentisierung für administrative Zugänge; Schutz nicht-öffentlicher Dokumente durch zugriffsgeschützte Auslieferung mit Mandantenprüfung.
• Integrität: ausschließlich verschlüsselte Datenübertragung (TLS) mit HSTS; Schutz vor Cross-Site-Request-Forgery und Cross-Site-Scripting (u. a. Content-Security-Policy); manipulationssicheres, hashverkettetes Änderungs-/Audit-Protokoll für sicherheits- und buchhaltungsrelevante Vorgänge.
• Verfügbarkeit und Belastbarkeit: Betrieb auf Infrastruktur eines deutschen Anbieters (EU); regelmäßige Datensicherungen; Schutzmaßnahmen gegen Überlastung und Missbrauch (u. a. Begrenzung von Anmelde- und Anfrageversuchen).
• Verfahren zur regelmäßigen Überprüfung: Fehler-Monitoring ohne Übermittlung personenbezogener Daten; Sicherheits-Updates; Protokollierung sicherheitsrelevanter Ereignisse; Trennung von Test- und Produktivumgebung.

Die ausführliche Beschreibung der technischen und organisatorischen Maßnahmen wird in einem gesonderten Dokument geführt und dem Verantwortlichen auf Anfrage in der jeweils aktuellen Fassung zur Verfügung gestellt.

Anlage C — Liste der weiteren Auftragsverarbeiter (Unterauftragsverarbeiter)

Stand dieser Liste: Version 2026-07-2.

Dienst / Anbieter	Zweck	Standort	Garantie / Hinweis
IONOS IONOS SE	Hosting der Plattform und Datenbank sowie E-Mail-Versand und -Empfang (u. a. Lead-Erfassung aus weitergeleiteten Portal-Anfragen) Daten: Sämtliche im Auftrag verarbeiteten Daten auf Infrastruktur-/Server-Ebene	Montabaur, Deutschland (EU)	Verarbeitung ausschließlich in Deutschland (EU); AV-Vertrag nach Art. 28 DSGVO
Google Gemini Google Ireland Limited / Google LLC	KI-gestützte Bild- und Textverarbeitung (Car Studio, Fahrzeugbeschreibungen, Beleg-Erkennung, Ausweis-Prüfung bei E-Signatur/Ankauf) sowie Sprachausgabe (Text-to-Speech), Videogenerierung (Verarbeitung ausschließlich in den USA) und Musikgenerierung Daten: Fahrzeugfotos und Fahrzeugdaten; bei Nutzung von Beleg-Scan bzw. E-Signatur/Ankauf-Dokumenten auch personenbezogene Endkundendaten (Beleginhalte, Ausweisdokument-Bilder zur automatischen Datenübernahme — keine dauerhafte Speicherung des Ausweisbilds durch den Anbieter)	Dublin, Irland (EU) / Mountain View, USA	EU-Standardvertragsklauseln (Art. 46 DSGVO) bzw. EU-US Data Privacy Framework
Meta (Instagram/Facebook) Meta Platforms Ireland Ltd.	Veröffentlichung vom Kunden freigegebener Inhalte (Social Studio) Daten: Veröffentlichte Inhalte (Bilder/Texte); nur bei aktiv verbundenem Meta-Konto	Dublin, Irland (EU) / USA	EU-Standardvertragsklauseln; Meta ist für die veröffentlichten Daten datenschutzrechtlich eigenverantwortlich
YouTube (Google) Google Ireland Limited / Google LLC (nur bei aktivierter Funktion)	Veröffentlichung vom Kunden freigegebener Videos auf dem verbundenen YouTube-Kanal sowie Abruf von Kanal-Basisdaten und Kommentaren (YouTube API Services) Daten: Veröffentlichte Videos und Metadaten, Kanal-Basisdaten, Kommentare Dritter zu Beiträgen des Kunden; über die API abgerufene autorisierte Daten werden höchstens 30 Kalendertage gespeichert; nur bei aktiv verbundenem YouTube-Konto	Dublin, Irland (EU) / USA	EU-US Data Privacy Framework (Google LLC zertifiziert) bzw. EU-Standardvertragsklauseln; YouTube ist für die veröffentlichten Daten datenschutzrechtlich eigenverantwortlich
TikTok TikTok Technology Limited (ByteDance-Gruppe) (nur bei aktivierter Funktion)	Veröffentlichung vom Kunden freigegebener Inhalte auf dem verbundenen TikTok-Konto (Social Studio) Daten: Veröffentlichte Inhalte (Videos/Texte), Konto-Basisdaten; nur bei aktiv verbundenem TikTok-Konto	Dublin, Irland (EU) / Drittländer (u. a. USA)	EU-Standardvertragsklauseln; TikTok ist für die veröffentlichten Daten datenschutzrechtlich eigenverantwortlich
Vincario (VIN-Decoder) Vincario, Tschechien (nur bei aktivierter Funktion)	Technische Fahrzeugdaten-Anreicherung anhand der Fahrzeug-Identifizierungsnummer Daten: Ausschließlich die FIN (VIN); keine Halter- oder Endkundendaten	Tschechien (EU)	Verarbeitung innerhalb der EU; AV-Vertrag nach Art. 28 DSGVO
Pexels Pexels (Canva-Gruppe) (nur bei aktivierter Funktion)	Bereitstellung lizenzfreier Stockfotos für Hintergründe von Händler-Websites Daten: Nicht-personenbezogener Suchbegriff sowie Server-IP des Anbieters; keine Endkundendaten	EU/USA	EU-Standardvertragsklauseln; keine personenbezogenen Endkundendaten
Sentry Functional Software, Inc. (Sentry) (nur bei aktivierter Funktion)	Technisches Fehler-Monitoring zur Sicherstellung des stabilen Plattformbetriebs Daten: Technische Fehlerdaten (Stacktraces, URLs); personenbezogene Daten bewusst deaktiviert	USA (EU-Datenregion möglich)	EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework; send_default_pii deaktiviert
fal.ai Features & Labels, Inc. (nur bei aktivierter Funktion)	Optionale KI-Engine für Bildbearbeitung und Videogenerierung (Car Studio) Daten: Fahrzeugfotos; keine Halter- oder Endkundendaten	USA	EU-Standardvertragsklauseln; nur bei aktivierter Funktion
Anthropic (Claude) Anthropic PBC (nur bei aktivierter Funktion)	KI-Unterstützung im internen Marken-/Content-Studio des Anbieters Daten: Marken- und Marketinginhalte des Anbieters; keine Händler- oder Endkundendaten	USA	EU-Standardvertragsklauseln; nur bei aktivierter Funktion