NAMOR-AI – VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG
Fassung avv-2026-09-07-v1 · Bestandteil bestätigter Werkstatt-Bestellungen

1. Parteien und Auftrag
Verantwortlicher ist die bei der Bestellung mit Name und Rechnungsanschrift bezeichnete Werkstatt. Auftragsverarbeiter ist Roman Resch, KFZ Meisterbetrieb Resch / Namor-AI Diagnose, Kellergasse 4a, 2431 Enzersdorf an der Fischa, Österreich; support@namor-ai-diag.at. Diese Vereinbarung betrifft die vom Werkstattkonto beauftragte Speicherung, strukturierte Auswertung, Diagnoseunterstützung und Dokumentation von Fahrzeugfällen sowie Export, Sicherung und Löschung. Sie gilt für die Dauer der Verarbeitung einschließlich geordneter Rückgabe/Löschung. Konto- und eigene Abrechnungsdaten verarbeitet der Anbieter in eigener Verantwortlichkeit.

2. Daten und betroffene Personen
Betroffen sein können Fahrzeughalter, Kunden, Ansprechpartner und Mitarbeiter der Werkstatt. Der Auftrag umfasst die von der Werkstatt eingegebenen Kontakt-/Auftragsbezüge, Fahrzeugdaten einschließlich FIN/VIN und Kennzeichen, Symptome, Fehlercodes, Fotos/Screenshots, Messwerte, Reparaturergebnisse, Zeiten und Notizen. Besondere Kategorien personenbezogener Daten sollen nicht eingestellt werden. Die Werkstatt verantwortet Rechtsgrundlage, Information der Betroffenen und Rechtmäßigkeit ihrer Weisungen.

3. Weisungen und Vertraulichkeit
Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung der Werkstatt im Rahmen des Diensts oder ergänzender schriftlicher Weisungen. Eine anderweitig gesetzlich angeordnete Verarbeitung wird vorab mitgeteilt, soweit rechtlich zulässig. Unzulässige Weisungen werden unverzüglich beanstandet und bis zur Klärung ausgesetzt. Der Anbieter verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit. Eine Veröffentlichung personenbezogener Werkstattdaten oder deren Verwendung zum Training fremder Modelle ist nicht vom Auftrag gedeckt. Eine Aufnahme technischer Erfahrungen in gemeinsames Wissen darf nur nach wirksamer Anonymisierung ohne Rückschluss auf Personen erfolgen; ein bloßes Entfernen der FIN allein genügt dafür nicht.

4. Sicherheit
Die technischen Maßnahmen umfassen kontobezogene Zugriffsprüfung, rollenabhängige Betreiberrechte, Passwort-Hashes mit Salt, HttpOnly-Sitzungscookies, HTTPS-Zugang, signierte Zahlungsnachrichten und begrenzte Authentifizierungsanfragen. Verifikations-/Reset-Links werden einmalig mit Ablaufdatum und nur gehasht als Token geprüft; ausgehende Warteschlangen-Inhalte werden verschlüsselt.
Der Betreiber gewährleistet geeigneten physischen Zugriffsschutz des Rechners, aktuelle Betriebssysteme, eingeschränkte Administrationsrechte, verschlüsselte Datenträger und Sicherungen sowie getestete Wiederherstellung und einen dokumentierten Löschplan. Die SQLite-Datei selbst ist nicht anwendungsseitig vollständig verschlüsselt; die erforderliche Datenträger-Verschlüsselung ist eine Betriebsmaßnahme. Änderungen dürfen das Schutzniveau nicht senken. Regelmäßige Überprüfung erfolgt risikogerecht.

5. Weitere Auftragsverarbeiter und Auslandsverarbeitung
Für Tunnel-/Transport-Infrastruktur wird Cloudflare eingesetzt. Der vor Bestellung konkret benannte SMTP-Dienst wird für notwendige Transaktions-E-Mails eingesetzt; Fahrzeugakten sind nicht Bestandteil dieser E-Mails. Der Betreiber muss mit den eingesetzten Auftragsverarbeitern erforderliche Verträge und gegebenenfalls Übermittlungsinstrumente nach Kapitel V DSGVO abschließen und diese der Werkstatt nachweisen können. Die aktuelle Liste einschließlich Dienst, Standort und Übermittlungsgrundlage ist vor Freischaltung bereitzustellen.
Die Werkstatt genehmigt die so offengelegten Dienstleister allgemein. Beabsichtigte Änderungen werden mindestens 30 Tage vorher mitgeteilt; die Werkstatt kann aus begründeten Datenschutzgründen widersprechen. Bis zur Klärung wird die betroffene neue Verarbeitung nicht begonnen. Werden keine geeigneten Alternativen vereinbart, kann der betroffene Leistungsteil beendet werden. Weitere Auftragsverarbeiter erhalten entsprechende Datenschutzpflichten; die gesetzliche Verantwortlichkeit des Anbieters bleibt bestehen.

6. Unterstützung und Meldungen
Der Anbieter unterstützt unter Berücksichtigung von Art der Verarbeitung und verfügbaren Informationen bei Betroffenenanfragen, Datenschutz-Folgenabschätzung, Sicherheitspflichten und erforderlicher Behördenkonsultation. Direkt eingehende Betroffenenanfragen werden unverzüglich der Werkstatt zugeleitet. Datenschutzverletzungen betreffend Werkstattdaten werden ohne unangemessene Verzögerung nach Bekanntwerden mit verfügbaren Angaben zu Art, Betroffenen, Folgen und Maßnahmen gemeldet; fehlende Angaben werden nachgereicht.

7. Rückgabe, Löschung und Kontrolle
Nach Auftragsende werden Daten nach Wahl der Werkstatt in einem nutzbaren Export bereitgestellt und gelöscht oder unmittelbar gelöscht, soweit keine gesetzliche Aufbewahrung entgegensteht. Gesetzlich gebundene Daten werden gesperrt und nicht für andere Zwecke verwendet. Sicherungskopien werden im dokumentierten Sicherungszyklus gelöscht; nach einer Wiederherstellung sind bereits erteilte Löschweisungen erneut anzuwenden. Der Anbieter dokumentiert die Ausführung.
Der Anbieter stellt die zur Kontrolle dieser Vereinbarung nötigen Informationen bereit und ermöglicht geeignete Überprüfungen durch die Werkstatt oder einen zur Vertraulichkeit verpflichteten Prüfer. Berechtigte Interessen anderer Konten und Verhältnismäßigkeit der Durchführung werden berücksichtigt; gesetzliche Kontrollrechte werden nicht ausgeschlossen. Ansprechpartner für Weisungen und Nachweise: support@namor-ai-diag.at.