Rechtliches
Auftragsverarbeitungsvertrag
Fassung v1 · 4. September 2026 · Verbindlich ist die albanische Fassung; diese Übersetzung dient dem Verständnis.
1. Parteien und Gegenstand
Dieser Vertrag wird geschlossen zwischen dem Autohaus, das das Cockpit nutzt (Verantwortlicher), und dem Betreiber der Plattform MerrVetura, Berat Murati (Auftragsverarbeiter). Er regelt die Verarbeitung personenbezogener Daten, die der Verantwortliche im Cockpit führt, nach Neni 32 Ligji Nr. 06/L-082.
Der Vertrag gilt neben den Nutzungsbedingungen und nur für Cockpit-Daten. Für Konto- und Inseratsdaten ist MerrVetura selbst Verantwortlicher — siehe Datenschutzerklärung.
2. Dauer, Art und Zweck
Die Verarbeitung dauert an, solange der Verantwortliche das Cockpit nutzt. Art: Speichern, Ordnen, Anzeigen und Löschen mit automatisierten Mitteln. Zweck: Verwaltung der Kunden, Anfragen, Termine und Angebote des Autohauses.
3. Datenarten und Kategorien betroffener Personen
- Daten: Name, Telefonnummer, Freitextnotizen bis 2000 Zeichen, Suchprofil, Termine, Angebote und Inzahlungnahme-Anfragen.
- Betroffene: Interessenten und Kunden des Autohauses — einschließlich Personen ohne MerrVetura-Konto.
Der Verantwortliche trägt keine besonderen Kategorien ein (Gesundheit, Religion, ethnische Herkunft, sexuelle Orientierung, Straftaten). Das Cockpit ist dafür nicht gebaut.
4. Pflichten des Auftragsverarbeiters
- Verarbeitet die Daten ausschließlich nach Weisung des Verantwortlichen und nicht für eigene Zwecke. Ausnahme ist nur eine rechtliche Verpflichtung; darüber wird vorab informiert, soweit das Gesetz es zulässt.
- Wahrt Vertraulichkeit: Personen mit Zugriff sind schriftlich oder gesetzlich zur Verschwiegenheit verpflichtet.
- Trifft technische und organisatorische Maßnahmen nach Neni 31: Zeilensicherheit (RLS), spaltenweise Rechte, verschlüsselte Übertragung, Geheimnisse im Vault, automatisierte Tests der Zugriffsregeln, Sicherungen.
- Unterauftragsverarbeiter: Für Speicherung und Betrieb werden Supabase Inc. (Server in Frankfurt, EU) und Vercel Inc. (europäische Infrastruktur) eingesetzt. Der Verantwortliche stimmt diesen allgemein zu. Jeder weitere wird vorab angekündigt und kann abgelehnt werden; im Fall der Ablehnung kann die Nutzung des Cockpits ohne Nachteil beendet werden.
- Unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) und bei den Pflichten aus Neni 31 bis 34.
- Meldet unverzüglich jede Sicherheitsverletzung, die seine Daten betrifft, mit den Angaben, die er für die Meldung an die AIP binnen 72 Stunden braucht.
- Löschung am Ende: Nach Beendigung werden die Cockpit-Daten binnen 90 Tagen gelöscht, sofern kein Gesetz eine längere Aufbewahrung verlangt. Auf Wunsch auch früher.
- Stellt die Informationen bereit, die zum Nachweis dieser Pflichten nötig sind.
5. Pflichten des Verantwortlichen
- Trägt nur Daten ein, für die er eine Rechtsgrundlage hat, und nur so viele, wie er wirklich braucht.
- Informiert die erfassten Personen selbst nach Neni 13 — dass er sie erfasst hat, zu welchem Zweck, und dass die technische Verarbeitung durch MerrVetura erfolgt. Diese Pflicht geht nicht auf den Auftragsverarbeiter über.
- Beantwortet Anfragen betroffener Personen selbst. Erreicht uns eine Anfrage, leiten wir sie an ihn weiter.
- Trägt keine beleidigenden, überflüssigen oder besonderen Kategorien von Daten ein.
6. Übermittlung ins Ausland
Cockpit-Daten liegen in der Europäischen Union. Eine Übermittlung außerhalb der EU erfolgt nicht, bevor die Zulässigkeit nach Neni 44 bis 49 geklärt und der Verantwortliche informiert ist.
7. Haftung
Jede Partei haftet für die Verletzung ihrer eigenen Pflichten. Der Auftragsverarbeiter haftet nicht für die Rechtmäßigkeit der Daten, die der Verantwortliche einträgt.
8. Änderungen und anwendbares Recht
Änderungen werden mindestens 30 Tage vorher angekündigt und erfordern eine neue Annahme; bis dahin gilt die angenommene Fassung. Es gilt das Recht der Republik Kosovo, Gerichtsstand ist Prishtina.
9. Annahme
Die Annahme erfolgt elektronisch bei der Registrierung als Autohaus oder im Cockpit. Festgehalten werden Datum, Fassung und annehmendes Konto — das ist der Nachweis, den Neni 32 für die Schriftform verlangt.