Vertrag über die Auftragsverarbeitung

(1) Brandilyst stellt der Fahrschule die Software „Einfach Fahrschule“ als Software-as-a-Service bereit (Hauptvertrag: die Allgemeinen Geschäftsbedingungen von Einfach Fahrschule in der jeweils vereinbarten Fassung oder ein individuell geschlossener Vertrag). Dabei verarbeitet Brandilyst personenbezogene Daten im Auftrag der Fahrschule. Dieser Vertrag regelt die Rechte und Pflichten der Parteien bei dieser Verarbeitung.

(2) Dieser Vertrag gilt auch für den Testzugang (30 Tage, ohne Zahlungsmittel). Er wird geschlossen, indem die Fahrschule ihn vor der Einrichtung des Testzugangs durch Setzen eines Häkchens auf einfach-fahrschule.de/testzugang in der dort genannten Fassung annimmt oder ihn mit dem Hauptvertrag vereinbart. Brandilyst speichert die angenommene Fassung und den Zeitpunkt der Annahme zur Fahrschule (elektronisches Format, Art. 28 Abs. 9 DSGVO).

(3) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags beziehungsweise des Testzugangs. Er endet nicht, solange Brandilyst noch Daten der Fahrschule verarbeitet, insbesondere nicht vor Abschluss der Rückgabe und Löschung nach § 10.

(1) Brandilyst verarbeitet die Daten ausschließlich, um die vertraglich vereinbarten Funktionen bereitzustellen, insbesondere:

1. Kanäle: Entgegennahme und Beantwortung von Anfragen über Website-Chat, WhatsApp, E-Mail und Telefon, je nach gebuchtem Tarif; Erzeugung von Antworten und Antwortentwürfen mit Hilfe von KI-Sprachmodellen; Weiterleitung an Mitarbeiter der Fahrschule; Posteingang.
2. Module: Schülerakte, Terminplaner, Lernstand, Prüfungs-Cockpit und Fahrschüler-Portal (Verwaltung von Fahrschülern, Terminen, Ausbildungsstand und Prüfungsterminen; Zugang der Fahrschüler zu ihren eigenen Daten).
3. Einrichtung: Auslesen der öffentlich zugänglichen Website der Fahrschule, um Inhalte für den Assistenten vorzuschlagen, die die Fahrschule prüft und freigibt.
4. Betrieb: Speicherung, Datensicherung, Fehlerbehebung, Support auf Anfrage der Fahrschule, Missbrauchsabwehr, Nachweis der Verarbeitung (Aktivitätsprotokoll), Zählung der Nutzung für die Abrechnung.

(2) Brandilyst verwendet die Daten nicht für eigene Zwecke. Insbesondere werden sie nicht zum Training eigener oder fremder KI-Modelle genutzt, nicht verkauft und nicht für Werbung verwendet. Das Gesprächsgedächtnis des Assistenten (Zusammenfassung und einzelne Merkmale eines Kontakts für spätere Gespräche) ist nur aktiv, wenn die Fahrschule es einschaltet, und dient ausschließlich dem Assistenten dieser Fahrschule. Die automatische Qualitätsprüfung der Antworten und die Stimmungsanalyse dienen allein der Überwachung und Verbesserung der Antworten für die Fahrschule.

(3) Die Verarbeitung findet in den Systemen von Brandilyst und der Unterauftragsverarbeiter nach Anlage 2 statt. Die Speicherung der Anwendungsdaten erfolgt auf Servern in Deutschland (Frankfurt am Main). Einzelne Verarbeitungsschritte, etwa die Erzeugung von KI-Antworten, erfolgen bei Unterauftragsverarbeitern auch außerhalb der EU (Anlage 2 und § 8).

(1) Betroffene Personen:

• Interessenten und Anfragende (Personen, die die Fahrschule über einen Kanal kontaktieren), einschließlich Eltern und anderer Angehöriger;
• Fahrschüler, einschließlich Minderjähriger (etwa für die Klassen AM, A1, B17), sowie deren Eltern beziehungsweise Erziehungsberechtigte;
• Inhaber, Mitarbeiter und Fahrlehrer der Fahrschule (Nutzer der Software);
• Personen, deren Daten auf der Website der Fahrschule stehen (etwa Namen von Fahrlehrern).

(2) Datenkategorien:

• Kontakt- und Stammdaten: Name, E-Mail-Adresse, Telefonnummer, WhatsApp-Nummer, Anschrift, Geburtsdatum, gewünschte Führerscheinklasse; bei Minderjährigen unter 16 der Name des Elternteils, das zugestimmt hat, mit Datum und Art der Zustimmung;
• Gesprächsverläufe: Inhalte von Website-Chat, WhatsApp-Nachrichten (einschließlich Medien und umgeschriebener Sprachnachrichten), E-Mails und Anhängen; bei Telefonaten Rufnummer, Zeitpunkt, Dauer und das Transkript beziehungsweise die Zusammenfassung des Gesprächs mit dem Assistenten (keine Audioaufzeichnung der Gespräche mit dem Assistenten);
• Termine: Fahrstunden, Theorietermine, Prüfungstermine, Buchungen, Absagen, zugeordnete Fahrlehrer;
• Lernstand: Ausbildungsstand, geübte Inhalte und Fahraufgaben, Sonderfahrten, Theorie-Teilnahme, Bemerkungen der Fahrlehrer;
• Prüfungsdaten: Prüfungstermine, Anmeldestand, Ergebnisse, Vermerke zu Nachweisen wie Sehtest und Erste-Hilfe-Kurs, Antragsstatus;
• Konto des Fahrschülers: Posten und Summen des Fahrschülers gegenüber der Fahrschule, soweit die Fahrschule sie im Terminplaner führt; keine Zahlungsdaten wie Kontonummern oder Kartendaten;
• Nutzer- und Protokolldaten: Zugangsdaten (Passwörter nur als Hash), Rollen und Rechte, Einträge im Aktivitätsprotokoll, technische Verbindungsdaten.

(3) Die Software ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Trägt die Fahrschule in Freitextfelder oder Vermerke zu Nachweisen dennoch solche Angaben ein, geschieht das auf ihre Weisung; sie prüft, ob dafür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht, und beschränkt die Angaben auf das Nötige.

(4) Minderjährige unter 16 Jahren nutzen das Fahrschüler-Portal erst, nachdem das Büro der Fahrschule die Zustimmung eines Elternteils eingetragen hat. Die Fahrschule holt die Zustimmung ein und hält sie fest; die Software speichert den Eintrag.

(1) Brandilyst verarbeitet die Daten nur auf dokumentierte Weisung der Fahrschule, auch bei Übermittlungen in Drittländer, sofern Brandilyst nicht durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt Brandilyst der Fahrschule diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die die Fahrschule in der Software vornimmt (etwa freigegebene Inhalte, Antwortmodus, Rollen, Löschungen). Weitere Weisungen erteilt die Fahrschule in Textform an support@einfach-fahrschule.de. Weisungsberechtigt sind die Inhaber und die von ihnen benannten Personen.

(3) Hält Brandilyst eine Weisung für rechtswidrig, weist Brandilyst die Fahrschule unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(1) Brandilyst setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den maßgeblichen Datenschutzvorschriften vertraut gemacht wurden.

(2) Gesprächsinhalte der Fahrschule sieht der Support von Brandilyst nur in einer Support-Sitzung. Brandilyst öffnet eine Support-Sitzung nur zur Bearbeitung einer Anfrage der Fahrschule oder zur Behebung einer Störung; sie gilt für eine Fahrschule, ist auf 60 Minuten begrenzt und wird mit Person und Zeitpunkt bei Brandilyst protokolliert.

Brandilyst trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Sie dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und der Fahrschule auf Anfrage mitgeteilt.

(1) Die Fahrschule genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Brandilyst informiert die Fahrschule in Textform mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Fahrschule kann innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann die Fahrschule den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Brandilyst erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

Eine Verarbeitung außerhalb der EU beziehungsweise des EWR erfolgt nur bei den in Anlage 2 so gekennzeichneten Unterauftragsverarbeitern und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder von EU-Standardvertragsklauseln. Mit jedem dieser Anbieter bestehen Verträge zur Auftragsverarbeitung einschließlich der jeweils genannten Übermittlungsgrundlage.

(1) Rechte der Betroffenen: Brandilyst unterstützt die Fahrschule bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die Software stellt dafür Werkzeuge bereit: Die Daten einer Person löscht die Fahrschule über alle Kanäle hinweg, mit Vorschau, was gelöscht wird, und entscheidet selbst über den Umfang; die Daten einer Person für eine Auskunft nach Art. 15 DSGVO exportiert sie ebenso. Wendet sich eine betroffene Person direkt an Brandilyst, leitet Brandilyst die Anfrage unverzüglich an die Fahrschule weiter.

(2) Verletzungen des Schutzes personenbezogener Daten: Brandilyst meldet der Fahrschule eine Verletzung unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt, und unterstützt bei Meldung und Benachrichtigung.

(3) Weitere Pflichten: Brandilyst unterstützt die Fahrschule bei der Datenschutz-Folgenabschätzung und der vorherigen Konsultation (Art. 35, 36 DSGVO) im Rahmen der ihr vorliegenden Informationen.

(4) Unterstützung, die über die Werkzeuge der Software hinausgeht und nicht auf einem Verstoß von Brandilyst beruht, erbringt Brandilyst in angemessenem Umfang ohne gesonderte Vergütung; darüber hinausgehender Aufwand wird vorher in Textform vereinbart.

(1) Nach Ende des Hauptvertrags stellt Brandilyst der Fahrschule auf Anforderung innerhalb von 30 Tagen einen Export ihrer Daten bereit und löscht die Daten spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht (AGB § 9 Abs. 5).

(2) Nach Ende eines Testzugangs, der nicht in einen bezahlten Vertrag übergeht, werden die Daten 30 Tage nach Ende des Testzugangs durch einen automatischen Lauf gelöscht; die Frist beginnt am Tag nach dem Ende des Testzugangs. Bis dahin kann die Fahrschule ihre Fahrschülerliste selbst als CSV exportieren; Gesprächsverläufe und weitere Daten exportiert Brandilyst auf Anfrage.

(3) Kopien in Datensicherungen werden mit deren regulärer Rotation gelöscht, spätestens 14 Tage nach der Löschung im Produktivsystem. Brandilyst bestätigt die Löschung auf Anfrage in Textform.

(1) Brandilyst stellt der Fahrschule auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, vorrangig in Form von Dokumentation, Selbstauskünften und, soweit vorhanden, Bescheinigungen.

(2) Die Fahrschule oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Überprüfungen, einschließlich Inspektionen, nach rechtzeitiger Ankündigung (in der Regel zwei Wochen) während der üblichen Geschäftszeiten durchführen, ohne den Betrieb unverhältnismäßig zu stören. Prüfer, die im Wettbewerb mit Brandilyst stehen, können abgelehnt werden.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags (AGB § 12), soweit Art. 82 DSGVO nicht entgegensteht.

(1) Änderungen dieses Vertrags bedürfen der Textform. Brandilyst versioniert den Vertrag; maßgeblich ist die von der Fahrschule angenommene Fassung, bis eine neue Fassung angenommen ist.

(2) Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags zum Datenschutz vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam. Es gilt deutsches Recht.