Auftragsverarbeitungsvertrag

Stand: 14.08.2026

Anlage 1 zum SaaS-Nutzungsvertrag

Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

der jeweiligen Fahrschule ("Fahrschule"), Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO,

und

Ryze Media GmbH, Walzwerkgasse 23, 8740 Zeltweg, Österreich ("Plattform"), Auftragsverarbeiterin im Sinne von Art. 4 Nr. 8 DSGVO

(jeweils einzeln auch "Partei" und gemeinsam "Parteien")

Diese Vereinbarung ist Bestandteil des SaaS-Nutzungsvertrags zwischen Plattform und Fahrschule und bedarf keiner gesonderten Unterschrift. Änderungen an Anlage 2/3 werden der Fahrschule per In-App-Hinweis beim nächsten Login angezeigt (Ausnahme: Anlage 3 folgt dem Ankündigungsverfahren nach §9.2).

Die Plattform verarbeitet im Auftrag der Fahrschule personenbezogene Daten im Rahmen der Nutzung der SaaS-Lösung (Manager-App, Schülerapp, Voice-Agent, Kassenbuch/fiskaly-Anbindung). Diese Vereinbarung konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO. Sie ergänzt den Hauptvertrag (AGB/Nutzungsvertrag) und geht diesem im Umfang der Auftragsverarbeitung vor.

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch die Plattform im Auftrag der Fahrschule bei Nutzung der SaaS-Lösung gemäß Leistungsbeschreibung des Hauptvertrags.

1.2 Die Dauer entspricht der Laufzeit des Hauptvertrags. Regelungen zu Löschung/Rückgabe nach Vertragsende (§13) gelten über das Vertragsende hinaus fort.

2. Art und Zweck der Verarbeitung

Verarbeitungsvorgang	Zweck	Kategorien betroffener Personen	Art der personenbezogenen Daten
Schülerverwaltung und Durchführung der Fahrausbildung	Durchführung des Ausbildungsvertrags	Fahrschüler:innen, Erziehungsberechtigte (bei Minderjährigen)	Stammdaten (Name, Geburtsdatum, Adresse, Kontaktdaten), Ausbildungsdaten (Ausbildungsverlauf, Prüfungsergebnisse), Sehhilfe-Vermerk (Art. 9 DSGVO)
Personalverwaltung der Fahrschul-Mitarbeitenden	Durchführung des Arbeitsverhältnisses	Beschäftigte der Fahrschule	Personalstammdaten, Krankmeldungen (Art. 9 DSGVO)
Zahlungs- und Kassenbuchführung (inkl. fiskaly-TSE-Signatur)	Abrechnung, gesetzliche Aufbewahrungspflichten (GoBD)	Fahrschüler:innen	Zahlungsdaten, Rechnungsdaten
Telefonassistenz durch den Voice-Agent (Lite- oder Vollversion, nur bei Freischaltung, §2.3)	Erreichbarkeit, Auskunft, Terminanfragen	Anrufer:innen, Interessent:innen	Rufnummer; bei der Vollversion zusätzlich Name, Gesprächsinhalt/Anliegen
Schülerapp-Self-Service	Ausbildungsbegleitende Selbstverwaltung	Fahrschüler:innen	Nutzungsdaten, Lernfortschritt
E-Mail-Kommunikation	Dokumentenzustellung, Kommunikation	Fahrschüler:innen, Erziehungsberechtigte, Beschäftigte, Interessent:innen	Kontaktdaten, Kommunikationsinhalte
Öffentliches Lead-Formular	Vorvertragliche Anfrage	Interessent:innen	Kontaktdaten, Interessensangaben

Weitere Details zu den einzelnen Verarbeitungsvorgängen: siehe die auf Anfrage erhältliche Muster-Datenschutz-Folgenabschätzung (§11.2).

2.1 Zweckbindung — keine Verarbeitung zu eigenen Zwecken

Die Plattform verarbeitet die im Auftrag erhaltenen Daten ausschließlich zu den in dieser Vereinbarung und ihren Anlagen genannten Zwecken. Insbesondere erfolgt keine Verarbeitung zu Zwecken der Produktverbesserung, KI-Training oder Analytics auf personenbezogenen Kundendaten ohne gesonderte, dokumentierte Weisung der Fahrschule.

2.2 Audit-/Activity-Log — Zweckbindung

Das Audit-Log dient ausschließlich der Rechenschaftspflicht (Art. 5 Abs. 2) und der IT-Sicherheit. Eine Auswertung zur Leistungs- oder Verhaltenskontrolle von Mitarbeitenden der Fahrschule ist nicht von diesem Auftrag gedeckt und liegt — falls die Fahrschule sie dennoch vornimmt — außerhalb der Plattformverantwortung; die Fahrschule beachtet dabei ggf. bestehende Mitbestimmungspflichten.

2.3 Voice-Agent — Freischaltung als Weisung

Der Voice-Agent wird je Fahrschule opt-in freigeschaltet, in einer Lite- oder einer Vollversion:

Lite-Version: identifiziert Anrufer:innen nicht — kein Abgleich der Rufnummer mit Schülerdatensätzen, keine Personalisierung von Auskünften anhand einer Identität. Auskünfte sind ausschließlich generisch und für jede anrufende Person gleich (z. B. allgemeine Rahmendaten der Fahrschule, generelle Abläufe).
Vollversion: identifiziert Anrufer:innen (Rufnummer-Abgleich gegen Schülerdatensätze und/oder aktive Verifikation) und personalisiert Auskünfte sowie Aktionen (u. a. Terminbuchung, -umbuchung, -stornierung) anhand ihrer Identität.

Hinweis zur Vollversion: Die Freischaltung der Vollversion löst nach aktueller Einschätzung eine eigene Pflicht der Fahrschule aus, eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 DSGVO) und infolgedessen einen Datenschutzbeauftragten zu bestellen (§38 Abs. 1 Satz 2 BDSG) — unabhängig von der Betriebsgröße der Fahrschule.

Die jeweilige Freischaltung gilt als dokumentierte Weisung i. S. d. §6 dieser Vereinbarung. Bei der Vollversion gilt die Freischaltung erst dann als wirksam erteilte Weisung, wenn die Fahrschule den vorstehenden Hinweis ausdrücklich bestätigt hat. Ohne Freischaltung der Vollversion finden die in der Muster-DSFA (§11.2) bewerteten Voice-Risiken auf die betreffende Fahrschule keine Anwendung; der entsprechende Abschnitt ist dort als "nur bei Freischaltung der Vollversion relevant" gekennzeichnet. Die Lite-Version verarbeitet keine personenbezogenen Daten zur Steuerung der Interaktion oder zur Bewertung persönlicher Aspekte der anrufenden Person.

3. Art der personenbezogenen Daten

Einschließlich besonderer Kategorien (Art. 9): Sehhilfe-Vermerk, Krankmeldungen der Beschäftigten. Die Zuordnung der Datenarten zu den einzelnen Verarbeitungsvorgängen ergibt sich aus der Tabelle in §2.

4. Kategorien betroffener Personen

Fahrschüler:innen (inkl. Minderjährige 15–17, BF17/AM), Erziehungsberechtigte, Beschäftigte der Fahrschule, Anrufer:innen/Interessent:innen (Voice-Agent, Lead-Formular). Die Zuordnung zu den einzelnen Verarbeitungsvorgängen ergibt sich aus der Tabelle in §2.

5. Pflichten der Plattform (Art. 28 Abs. 3)

Die Plattform

verarbeitet Daten nur auf dokumentierte Weisung der Fahrschule (§6), außer bei gesetzlicher Verpflichtung (in diesem Fall informiert sie die Fahrschule vorab, sofern rechtlich zulässig);
stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind (Umsetzung: siehe interne Vertraulichkeitsverpflichtung der Mitarbeitenden);
trifft die nach Art. 32 erforderlichen technischen und organisatorischen Maßnahmen — siehe Anlage 2;
beachtet die Bedingungen für die Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 und 4 — siehe §9 und Anlage 3;
unterstützt die Fahrschule mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten — siehe §10;
unterstützt die Fahrschule bei der Einhaltung der Pflichten nach Art. 32–36, insbesondere bei der Datenschutz-Folgenabschätzung — siehe §11;
löscht oder gibt nach Ende der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht — siehe §13;
stellt der Fahrschule alle zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht Kontrollen/Audits — siehe §14.

6. Weisungsrecht der Fahrschule

6.1 Die Plattform verarbeitet Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung der Fahrschule, soweit sie nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist.

6.2 Weisungen erfolgen grundsätzlich in Textform (E-Mail, In-App-Konfiguration — z. B. Voice-Agent-Freischaltung nach §2.3) oder mündlich mit unverzüglicher Textform-Bestätigung.

6.3 Hält die Plattform eine Weisung für rechtswidrig, weist sie die Fahrschule unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung/Änderung aussetzen.

7. Vertraulichkeit

Die Plattform gewährleistet, dass mit der Verarbeitung befraute Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Nachweis: siehe interne Vertraulichkeitsverpflichtung der Mitarbeitenden). Need-to-know ist zusätzlich technisch über das Feature-Permission-Modell durchgesetzt (siehe Anlage 2, Abschnitt 1.1).

8. Technische und organisatorische Maßnahmen

Die von der Plattform getroffenen Maßnahmen nach Art. 32 sind in Anlage 2 beschrieben und Bestandteil dieser Vereinbarung. Änderungen der Maßnahmen sind zulässig, solange das Schutzniveau nicht unterschritten wird; wesentliche Verschlechterungen sind der Fahrschule anzuzeigen.

9. Unterauftragsverhältnisse (Art. 28 Abs. 2, Abs. 4)

9.1 Die Fahrschule erteilt hiermit eine allgemeine Genehmigung zur Beauftragung der in Anlage 3 gelisteten Sub-Auftragsverarbeiter. Die dortigen Pflichten (Art. 28 Abs. 4) werden den Sub-Auftragsverarbeitern vertraglich gleichwertig auferlegt.

9.2 Ankündigungsverfahren bei Änderungen: Beabsichtigt die Plattform, einen neuen Sub-Auftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert sie die Fahrschule mindestens 30 Tage vor der Umstellung in Textform (E-Mail an die hinterlegte Fahrschul-Kontaktadresse und/oder In-App-Hinweis). Die Fahrschule kann innerhalb dieser Frist widersprechen. Widerspricht die Fahrschule berechtigt (d. h. der neue Sub-Auftragsverarbeiter bietet kein angemessenes Schutzniveau), wirkt die Plattform mit angemessenen Bemühungen auf eine Lösung hin. Ein hartes Sonderkündigungsrecht oder ein Anspruch auf Fortführung des alten Sub-Auftragsverarbeiters für die widersprechende Fahrschule besteht nicht.

9.3 Solange für einen Sub-Auftragsverarbeiter kein wirksamer AVV/SCC vorliegt, darf die entsprechende Verarbeitung nicht produktiv erfolgen. Aktueller Status der Sub-Auftragsverarbeiter-AVVs: siehe Anlage 3.

10. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Die Plattform unterstützt die Fahrschule bei der Beantwortung von Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) mit geeigneten technischen Mitteln, soweit die Fahrschule die Anfrage nicht selbst mit den bereitgestellten Werkzeugen (JSON-Export, Löschfunktionen) erledigen kann. Prozess im Detail: siehe internen Betroffenenrechte-Prozess der Plattform.

Dokumentierte Lücke: E-Mail-Verläufe werden bei Schülerlöschung nicht kaskadiert, Inhalte altern über die 24-Monats-Retention aus. Die Plattform weist Betroffene bzw. die Fahrschule bei Löschbegehren auf diese Restfrist hin (siehe internes Löschkonzept sowie die auf Anfrage erhältliche Muster-DSFA, Risikoregister R-P5).

11. Unterstützung bei DSFA und Art. 32–36 (Art. 28 Abs. 3 lit. f)

11.1 Die Plattform unterstützt die Fahrschule bei der Einhaltung der in Art. 32 bis Art. 36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde).

11.2 Auf Anfrage stellt die Plattform der Fahrschule eine Muster-Datenschutz-Folgenabschätzung zur Plattformnutzung zur Verfügung. Diese ist insbesondere relevant, wenn die Fahrschule die Vollversion des Voice-Agents nutzt (siehe §2.3). Die Fahrschule kann die Muster-Datenschutz-Folgenabschätzung als eigene DSFA übernehmen und ergänzt in diesem Fall die dort genannten Punkte (eigene Verantwortliche Stelle, zuständige Aufsichtsbehörde, Verarbeitungen außerhalb der Plattform, Bestätigung der Voice-Agent-Freischaltung, ggf. Betriebsratsbeteiligung, Datum/Unterschrift/DSB-Stellungnahme).

11.3 Die Plattform informiert die Fahrschule unverzüglich, wenn eine Änderung der Verarbeitung (neuer Sub-Auftragsverarbeiter, neue Funktion mit Risikorelevanz, Änderung der Anbieter-Defaults mit Regionen-/Speicherwirkung) eine Neubewertung der DSFA auslösen kann.

11.4 Bei Nutzung der Vollversion des Voice-Agents gelten bestimmte, in der Muster-Datenschutz-Folgenabschätzung benannte Restrisiken bis zur vollständigen Umsetzung der dort beschriebenen Maßnahmen als nicht abgestellt; die Plattform informiert die Fahrschule über den Umsetzungsstand auf Anfrage.

12. Meldung von Datenschutzverletzungen (Art. 33, 34)

Die Plattform meldet der Fahrschule eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Bekanntwerden, damit die Fahrschule ihre 72-Stunden-Frist gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1) einhalten kann. Prozess im Detail: siehe internes Breach-Runbook der Plattform. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, die Angaben nach Art. 33 Abs. 3.

13. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g)

Nach Beendigung des Hauptvertrags löscht die Plattform alle personenbezogenen Daten der Fahrschule oder gibt sie auf Wunsch heraus, sofern keine gesetzliche Aufbewahrungspflicht (z. B. GoBD/§147 AO für Kassenbuchdaten) entgegensteht. Das Herausgabefenster beträgt 30 Tage nach Vertragsende, danach erfolgt die Löschung. Format der Herausgabe:

Fiskaldaten (Kassenbuch/fiskaly, GoBD-/§147-AO-pflichtig): über die bestehende Export-Funktion, maschinenlesbar (JSON/CSV).
Alle übrigen Daten (Schülerverwaltung, Personal, Kommunikation): PDF-Zusammenfassung, beschränkt auf die gesetzlich notwendigen personenbezogenen Daten.

Fristen und Verfahren im Detail: siehe internes Löschkonzept der Plattform.

14. Kontrollrechte der Fahrschule (Art. 28 Abs. 3 lit. h)

Die Fahrschule kann sich die Einhaltung der in dieser Vereinbarung geregelten Pflichten durch die Plattform nachweisen lassen, insbesondere durch Vorlage geeigneter Nachweise (Zertifizierungen soweit vorhanden, Selbstauskünfte, Anlage 2/3). Ein Vor-Ort-Audit kann die Fahrschule mit 14 Tagen Vorankündigung verlangen; Kosten und Zumutbarkeit sind verhältnismäßig zu regeln.

14.1 Superadmin-/Support-Zugriff

Der plattformseitige Support-Zugriff ist von den Fahrschul-Rollen entkoppelt und wird ausschließlich über die interne Administrationsebene der Plattform vergeben (siehe Anlage 2, Abschnitt 1.1). Die Plattform führt eine namentliche Liste der berechtigten Personen und protokolliert Support-Zugriffe auf Mandantendaten im Audit-Log; dieser Nachweis wird der Fahrschule auf Anfrage zugänglich gemacht — kein proaktiver Einzelbenachrichtigungsmechanismus je Zugriff.

15. Haftung

Der Innenausgleich zwischen Plattform und Fahrschule bei gesamtschuldnerischer Außenhaftung nach Art. 82 Abs. 4 richtet sich nach dem jeweiligen Verursachungs-/Verschuldensanteil. Zusätzlich gilt ein Haftungscap der Plattform gegenüber der Fahrschule auf den Jahresvertragswert, außer bei Vorsatz oder grober Fahrlässigkeit.

16. Schlussbestimmungen

16.1 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Das Ankündigungsverfahren für Sub-Auftragsverarbeiter-Änderungen (§9.2) gilt hiervon abweichend als vereinbartes vereinfachtes Verfahren.

16.2 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung im Umfang der Auftragsverarbeitung vor.

16.3 Es gilt österreichisches Recht. Gerichtsstand ist der Sitz der Plattform (Zeltweg, AT).

16.4 Änderungen an Anlage 2 und Anlage 3 wirken automatisch auf diese Vereinbarung ein (dynamische Verweisung), mit Ausnahme von Anlage 3, für die das Ankündigungsverfahren nach §9.2 gilt.