(AVV nach Art. 28 DSGVO)

Auftragsverarbeitungsvertrag

Vereinbarung zur Verarbeitung personenbezogener Daten Ihrer Endkunden in unserem Auftrag.

§ 1 Gegenstand und Dauer des Auftrags

Der Verantwortliche (nachfolgend „Partner“) beauftragt den Auftragsverarbeiter (nachfolgend „Zulassungshero“, K & S Business Solutions GmbH) mit der Verarbeitung personenbezogener Daten zur Durchführung von Vorgängen über die i-Kfz-Schnittstelle des Kraftfahrt-Bundesamtes (Fahrzeugzulassung, Ummeldung, Abmeldung, Wiederzulassung, Technische Änderung).

Die Laufzeit dieses Auftragsverarbeitungsvertrags entspricht der Laufzeit des zugrundeliegenden Hauptvertrags zwischen den Parteien und endet mit dessen Beendigung, soweit aus den nachfolgenden Regelungen nichts anderes hervorgeht.

§ 2 Art und Zweck der Verarbeitung

Anlegen und Bearbeiten von Zulassungsvorgängen im Auftrag des Partners.
Übermittlung der für die Zulassung erforderlichen Daten an die Kommunikationspartner: MyDigitalCar GmbH (i-Kfz-Gateway, Tech-Provider des Anbieters), Verimi GmbH (PhotoIdent), Kraftfahrt-Bundesamt, jeweils zuständige Zulassungsbehörde.
Speicherung der Vorgangs- und Bescheid-Dokumente, Bereitstellung im Partnerportal.

§ 3 Art der personenbezogenen Daten

Verarbeitet werden insbesondere folgende Datenkategorien der Endkunden des Partners:

Stammdaten (Name, Anschrift, Geburtsdatum, Geburtsort)
Ausweis- und Identifikationsdaten (im Rahmen Verimi-PhotoIdent)
Fahrzeugdaten (FIN, ZB I, ZB II, eVB, Halterdaten)
Kontaktdaten (E-Mail, ggf. Telefon)
Zahlungsdaten (SEPA-Mandat des Partners, nicht des Endkunden)

§ 4 Kategorien der betroffenen Personen

Endkunden des Partners (Privatpersonen und juristische Personen) sowie deren bevollmächtigte Vertreter, soweit diese im Vorgang erfasst werden.

§ 5 Pflichten des Auftragsverarbeiters

Verarbeitung der personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Partners.
Verpflichtung der mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
Umsetzung der gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage TOM).
Unterstützung des Partners bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO).
Unverzügliche Meldung von Datenschutzverletzungen gemäß Art. 33 DSGVO.

§ 6 Unterauftragsverarbeiter

Der Partner stimmt der Beauftragung folgender Unterauftragsverarbeiter zu, ohne dass dies einer gesonderten Genehmigung im Einzelfall bedarf:

MyDigitalCar GmbH (Tech-Provider i-Kfz-Gateway, Sitz Deutschland)
Verimi GmbH (PhotoIdent-Anbieter, Sitz Deutschland)
Stripe Payments Europe Ltd. (Zahlungsabwicklung SEPA-Lastschrift Wochenrechnung, Sitz EU)
Cloudflare, Inc. (CDN, DDoS-Schutz; nur Verbindungsmetadaten)
Hetzner Online GmbH / Cloudflare R2 (Hosting, Dokumenten-Speicher; Standort EU/DE)

Eine Änderung des Bestands der Unterauftragsverarbeiter wird dem Partner mindestens vier Wochen im Voraus mitgeteilt. Der Partner kann der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen.

§ 7 Rechte des Verantwortlichen

Der Partner ist berechtigt, die Einhaltung dieser AVV durch den Auftragsverarbeiter zu kontrollieren, insbesondere durch Einholung von Auskünften und durch Vor-Ort-Audits nach vorheriger Anmeldung mit einer Frist von vier Wochen.

§ 8 Löschung und Rückgabe

Nach Beendigung dieses Auftragsverarbeitungsvertrags löscht der Auftragsverarbeiter alle in seinem Verantwortungsbereich befindlichen personenbezogenen Daten, soweit nicht handelsrechtliche oder steuerrechtliche Aufbewahrungspflichten einer Löschung entgegenstehen. In letzterem Fall werden die Daten gesperrt und nach Ablauf der jeweiligen Aufbewahrungsfristen gelöscht.

§ 9 Schlussbestimmungen

Bei Widersprüchen zwischen dem Hauptvertrag und dieser AVV gehen die Regelungen dieser AVV vor. Änderungen und Ergänzungen bedürfen der Textform.

Stand: 26. Mai 2026 · Entwurf · K & S Business Solutions GmbH