Rechtliches · Art. 28 DSGVO
Auftragsverarbeitungsvertrag (AVV)
Rechtliche Grundlage, damit deine Fahrschule Lappen DSGVO-konform einsetzen darf.
Entwurf — die verbindliche Fassung wird vor dem Launch anwaltlich geprüft eingesetzt. Struktur und Zustimmungs-Nachweis sind bereits funktionsfähig.
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die Pflichten des Auftragsverarbeiters (Lappen, nachfolgend „Auftragnehmer“) gegenüber der Fahrschule (nachfolgend „Verantwortlicher“) nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Lappen-Plattform. Fassung: 2026-07-06.
§ 1 Gegenstand, Dauer und Beendigung
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Verantwortlichen im Umfang der Nutzung der Plattform (Verwaltung von Schülern, Ausbildungsständen, Terminen, Rechnungen). Der AVV gilt für die Dauer des Nutzungsverhältnisses und endet mit dessen Beendigung.
§ 2 Art und Zweck der Verarbeitung
Der Auftragnehmer verarbeitet die Daten ausschließlich zum Zweck der Bereitstellung der Plattform-Funktionen (Ausbildungsverwaltung, Kommunikation, Abrechnung) und nur auf dokumentierte Weisung des Verantwortlichen.
§ 3 Kategorien betroffener Personen und Datenarten
- Fahrschüler (Name, Kontaktdaten, Ausbildungsstand, Prüfungen, ggf. Zahlungsdaten).
- Erziehungsberechtigte (bei minderjährigen Schülern, Kontakt- und Einwilligungsdaten).
- Mitarbeitende der Fahrschule (Fahrlehrer, Verwaltung).
§ 4 Weisungsbindung
Der Auftragnehmer verarbeitet die Daten nur nach Weisung des Verantwortlichen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Verantwortlichen.
§ 5 Vertraulichkeit
Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragnehmer trifft geeignete TOMs: Verschlüsselung der Datenbank und der Übertragung, Zugriffskontrolle mit rollenbasierter Berechtigung, mandantengetrennte Datenhaltung, Protokollierung sicherheitsrelevanter Aktionen sowie regelmäßige Sicherungen.
§ 7 Unterauftragsverhältnisse (Art. 28 Abs. 2 und 4 DSGVO)
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Ein Wechsel oder Neuzugang wird vorab mitgeteilt; der Verantwortliche kann widersprechen.
- Vercel Inc. — Hosting / Anwendungsbetrieb (EU / USA (SCC)).
- Neon Inc. — Datenbank (PostgreSQL, verschlüsselt) (EU (Frankfurt)).
- Stripe Payments Europe, Ltd. — Zahlungsabwicklung (Abo) (EU / USA (SCC)).
- SMTP-/E-Mail-Versanddienst — Transaktions-E-Mails (Magic-Link, Belege) (EU (👤 Anbieter-Wahl)).
§ 8 Unterstützung bei Betroffenenrechten
Der Auftragnehmer unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Art. 15–20 DSGVO) durch geeignete technische Maßnahmen (u. a. Datenexport).
§ 9 Meldepflichten, Löschung und Rückgabe
Der Auftragnehmer meldet Datenschutzverletzungen unverzüglich. Nach Beendigung werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht (z. B. FahrlG/HGB/AO) entgegensteht.
§ 10 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)
Der Auftragnehmer stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.