Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird geschlossen zwischen dem die Software nutzenden Betrieb als Verantwortlichem ( Firma, Anschrift und Vertretung gemäß den bei der Registrierung hinterlegten Angaben) und Detailly Software Company, Inhaber & Geschäftsführer: Finn Bellmann, Ruthmannstraße 3a, 48712 Gescher, als Auftragsverarbeiter (nachfolgend „Detailly“).

Der AVV ist Anlage zum Nutzungsvertrag (AGB) und geht diesem in Datenschutzfragen vor. Er kann elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO, z. B. per Bestätigung beim Onboarding).

Gegenstand ist die Verarbeitung personenbezogener Daten durch Detailly im Auftrag des Verantwortlichen im Rahmen der Nutzung der Detailly-Werkstattsoftware für Fahrzeugaufbereitung, Folierung und Lackschutz (PPF). Die Laufzeit entspricht der des Nutzungsvertrags; die Pflichten zur Löschung und Rückgabe (§ 8) gelten nach dessen Ende fort. Bei Widersprüchen in Datenschutzfragen geht dieser AVV vor.

Nicht Gegenstand sind Verarbeitungen, für die Detailly eigenständig verantwortlich ist (insbesondere Abrechnung des Abos, eigene Website, Registrierung/Konto, Support); hierfür gilt die Datenschutzerklärung von Detailly.

Zweck: Bereitstellung und Betrieb der Software zur Abwicklung der Geschäftsprozesse des Betriebs (Kunden- und Fahrzeugverwaltung, Aufträge, Terminplanung, Fahrzeugannahme und Gutachten, Rechnungen, Mahnwesen, Online-Terminbuchung).

Kategorien betroffener Personen: Endkundinnen und Endkunden des Betriebs (privat und geschäftlich), deren Ansprechpartner sowie Interessenten über das öffentliche Buchungsportal.

Kategorien personenbezogener Daten:

• Kundenstammdaten (Name, Firma, USt-Nr., Kontaktdaten, Anschrift, interne Notizen)
• Fahrzeugdaten (Marke, Modell, Farbe, Kennzeichen, Fahrgestellnummer, Notizen)
• Auftrags- und Termindaten (Leistungsdetails, Vorher-/Nachher-Fotos, Terminzeiten)
• Inspektionen und Gutachten (Schadenspositionen, Fotos, digitale Unterschrift des Kunden, eingefrorener Einwilligungstext)
• Rechnungsdaten (Rechnungsnummer, Positionen, Beträge, Empfängerdaten – sensible Felder verschlüsselt)
• Online-Terminanfragen (Name, Kontakt, Leistung, Wunschtermin; Quell-IP nur gehasht)

Besondere Datenkategorien nach Art. 9 DSGVO sind bestimmungsgemäß nicht Gegenstand. Der Verantwortliche verpflichtet sich, keine derartigen Daten einzustellen.

Detailly verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die bestimmungsgemäße Nutzung der Software gilt als Weisung. Individualweisungen richtet der Verantwortliche an support@detailly.eu. Hält Detailly eine Weisung für rechtswidrig, informiert es den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen. Behördliche Auskunftsersuchen beantwortet Detailly nicht selbständig, sondern informiert den Verantwortlichen vorab, soweit rechtlich zulässig.

Detailly setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass diese die Daten nur weisungsgemäß verarbeiten.

Detailly trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO (u. a. verschlüsselte Übertragung, Verschlüsselung sensibler Datenfelder, Zugriffs- und Berechtigungskonzept, Mandantentrennung, Protokollierung, Backups). Ausdrücklich benannt sind auch die durch Betreiber und Hoster sicherzustellenden Maßnahmen (z. B. At-Rest-Verschlüsselung des Speichers, verschlüsselte Offsite-Backups). Die vollständige Übersicht ist Anlage 3 dieses Vertrags.

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter. Detailly informiert über beabsichtigte Änderungen mit einer Frist von 30 Tagen; der Verantwortliche kann aus wichtigem Grund widersprechen und bei berechtigtem Widerspruch außerordentlich kündigen. Jeder Unterauftragsverarbeiter wird auf mindestens dieselben Datenschutzpflichten verpflichtet (Art. 28 Abs. 4 DSGVO).

Eine Übermittlung in Drittländer erfolgt nur, soweit in Anlage 2 ausgewiesen, und dann auf Grundlage eines Angemessenheitsbeschlusses oder hilfsweise der Standardvertragsklauseln (Art. 46 DSGVO). Der Kernbetrieb (Hosting, Endkundendaten) findet in Deutschland bzw. der EU statt.

Detailly stellt einen KI-gestützten Assistenten bereit („Deta“ im angemeldeten Bereich, ggf. ein Chat auf den öffentlichen Seiten). Die Antworten erzeugt ein Sprachmodell des in Anlage 2 genannten Unterauftragsverarbeiters Anthropic; die Verarbeitung kann in den USA stattfinden.

Übermittelt wird ausschließlich der Text, den die nutzende Person selbst eintippt, zusammen mit höchstens acht vorangegangenen Beiträgen desselben Gesprächs. Der Assistent hat keinen Zugriff auf die Datenbank des Verantwortlichen: keine Kunden-, Fahrzeug-, Auftrags-, Termin-, Inspektions- oder Rechnungsdaten, keine Fotos, keine Unterschriften. Detailly speichert keinen Gesprächsverlauf; er besteht nur im Browser der nutzenden Person.

Ebenfalls nicht übermittelt werden die Zahlen des Betriebs – Einkaufspreise, Stundensätze, Kalkulationen, Aufschläge, Margen und Umsätze. Diese Angaben sind keine personenbezogenen Daten, das Datenschutzrecht greift für sie also nicht; für einen Betrieb sind sie gleichwohl regelmäßig schutzwürdiger als ein Kundenname. Detailly sagt deshalb ausdrücklich zu, dass sie die eigene Infrastruktur im Rahmen dieser Funktion nicht verlassen.

Der Verantwortliche weist die von ihm eingesetzten Personen an, in das Chatfeld keine personenbezogenen Daten seiner Endkundinnen und Endkunden und keine Zugangs- oder Zahlungsdaten einzugeben. Wird der Assistent nicht betrieben, findet keine Übermittlung statt.

Betroffenenrechte (Art. 12–23 DSGVO): Detailly unterstützt den Verantwortlichen durch geeignete technische Maßnahmen. Umgesetzt ist ein DSGVO-Cockpit mit Datenauskunft/Export (Art. 15) und Löschung/Anonymisierung (Art. 17) je Kunde. Die Wahrnehmung der Rechte gegenüber den Endkunden obliegt dem Verantwortlichen; direkt an Detailly gerichtete Anfragen werden weitergereicht.

Datenpanne (Art. 33/34 DSGVO): Detailly meldet dem Verantwortlichen eine bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Meldung an die Aufsichtsbehörde (72 Stunden) und ggf. an Betroffene obliegt dem Verantwortlichen. Detailly unterstützt zudem bei Datensicherheit, Datenschutz-Folgenabschätzung und vorheriger Konsultation im Rahmen des Verfügbaren.

Nach Ende des Nutzungsvertrags stellt Detailly einen Datenexport bereit ( 30 Tage Karenz) und löscht die Daten anschließend, einschließlich in Sicherungskopien, nach spätestens 90 Tagen. Gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO/GoBD für Rechnungen) trägt der Verantwortliche; Detailly löscht bzw. sperrt nach dessen Weisung.

Detailly stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit (vorrangig diese Anlagen, ggf. Testate). Vor-Ort-Kontrollen sind nach Ankündigung von 14 Tagen zu üblichen Geschäftszeiten möglich, höchstens einmal jährlich, außer bei besonderem Anlass.

Es gelten Art. 82 DSGVO und die Haftungsregeln des Nutzungsvertrags; die Außenhaftung nach Art. 82 DSGVO ist nicht abdingbar. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Stand: August 2026. Genannt sind die tatsächlich eingesetzten sowie die optional aktivierbaren Unterauftragsverarbeiter. Mit jedem besteht ein Vertrag nach Art. 28 DSGVO; Änderungen zeigt Detailly nach § 6 vorab an.

• 1. Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

  Zweck: Betrieb von Servern, Datenbank, Foto-Ablage, Backups und Mailhosting – damit sämtliche in der Plattform gespeicherten Endkundendaten.
  Ort der Verarbeitung: Rechenzentrum Nürnberg, Deutschland (EU).
  Drittland: nein.

• 2. E-Mail-/SMTP-Dienstleister: Hetzner Online GmbH (Anschrift wie Nr. 1)

  Zweck: Versand system- und kontobezogener E-Mails (Bestätigungen, Passwort-Zurücksetzung, Benachrichtigung des Betriebs über eingehende Terminanfragen). Übermittelt werden Empfängeradresse und Mailinhalt.
  Ort der Verarbeitung: Nürnberg, Deutschland.
  Drittland: nein.

• 3. Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland (Mutterunternehmen: Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA)

  Zweck: Erzeugung der Antworten des KI-Assistenten („Deta“ im angemeldeten Bereich sowie ein Chat auf den öffentlichen Seiten von Detailly). Übermittelt wird ausschließlich der eingetippte Fragetext samt höchstens acht vorangegangenen Beiträgen desselben Gesprächs – keine Datenbankinhalte, siehe § 6a.
  Ort der Verarbeitung: Vereinigte Staaten von Amerika.
  Drittland: ja – Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Art. 46 DSGVO). Anthropic löscht Ein- und Ausgaben nach eigenen Angaben innerhalb von 30 Tagen und nutzt sie standardmäßig nicht zum Training seiner Modelle.
  Nur aktiv, wenn Detailly den Assistenten betreibt.

• 4. sevDesk GmbH, Deutschland (Oldenburg, Deutschland)

  Zweck: Übergabe von Kontakt- und Rechnungsdaten an die Buchhaltung – nur, wenn der Verantwortliche die Anbindung selbst aktiviert und seinen Zugangsschlüssel hinterlegt.
  Ort der Verarbeitung: Deutschland (EU).
  Drittland: nein.

Ausdrücklich kein Unterauftragsverarbeiter von Detailly ist der eigene Mailanbieter des Verantwortlichen: Hinterlegt ein Betrieb seine eigenen SMTP-Zugangsdaten, gehen seine Kundenmails über seinen eigenen Mailserver unter seinem eigenen Absender hinaus. Dieser Anbieter ist Auftragsverarbeiter des Betriebs.

Bestandteil dieses Vertrags sind folgende Anlagen:

• Anlage 1 – Gegenstand, Datenkategorien und betroffene Personen (siehe § 2)
• Anlage 2 – Unterauftragsverarbeiter
• Anlage 3 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Siehe auch die Allgemeinen Geschäftsbedingungen als übergeordneten Nutzungsvertrag.