Zuletzt aktualisiert: 19. Oktober 2026
1. Geltungsbereich
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen („AGB“) zwischen der RentalSaga, Inc. („RentalSaga“, „wir“) und dem Kundenunternehmen („Kunde“, „Sie“). Er gilt immer dann, wenn wir bei der Erbringung des Dienstes personenbezogene Daten in Ihrem Auftrag verarbeiten („personenbezogene Kundendaten“). Er tritt mit Ihrer Annahme der AGB in Kraft, ohne dass es einer gesonderten Unterschrift bedarf.
Für personenbezogene Kundendaten sind Sie der Verantwortliche und wir sind Ihr Auftragsverarbeiter. Sind Sie selbst Auftragsverarbeiter für ein anderes Unternehmen, sind wir Ihr Unterauftragsverarbeiter, und Sie geben diese Verpflichtungen entsprechend weiter.
Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die Datenschutz-Grundverordnung der EU („DSGVO“) gibt, und die entsprechenden Begriffe anderer Datenschutzgesetze gelten in gleicher Weise.
2. Einzelheiten der Verarbeitung
Gegenstand und Zweck: Hosting und Verarbeitung personenbezogener Kundendaten, damit Sie Ihr Vermietgeschäft mit dem Dienst führen können, sowie Erbringung von Support.
Dauer: für die Laufzeit der AGB und bis zur Löschung der Daten gemäß Abschnitt 10.
Art der Verarbeitung: Speichern, Ordnen, Anzeigen, Übermitteln (zum Beispiel per E-Mail), Exportieren und Löschen von Daten, wie durch Ihre Nutzung des Dienstes angewiesen.
Betroffene Personen: Ihre Mieter, Fahrer und potenziellen Kunden sowie deren Kontaktpersonen; Ihre Mitarbeiter und Nutzer; sowie Ansprechpartner bei Ihren Partnern, Lieferanten und Firmenkunden.
Datenkategorien: Identitäts- und Kontaktdaten; Adressen; Geburtsdaten; Angaben aus Führerscheinen und Ausweisdokumenten; Buchungs-, Miet-, Fahrzeug- und Zahlungsdatensätze; Datensätze zu Schäden, Verkehrsbußgeldern und Ansprüchen; sowie der Inhalt von Nachrichten, die über den Dienst versendet werden. Zahlungskartennummern werden im Dienst nicht verarbeitet.
Besondere Kategorien personenbezogener Daten werden für den Dienst nicht benötigt. Sie sollten sie nicht eingeben, es sei denn, Ihr lokales Recht verlangt dies und Sie verfügen über eine Rechtsgrundlage dafür.
3. Unsere Pflichten
Wir verarbeiten personenbezogene Kundendaten ausschließlich auf Ihre dokumentierte Weisung. Ihre Weisungen sind die AGB, dieser AVV sowie Ihre Nutzung und Konfiguration des Dienstes. Sind wir gesetzlich verpflichtet, sie anders zu verarbeiten, teilen wir Ihnen dies vorher mit, sofern das Gesetz dies nicht verbietet. Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilen wir Ihnen dies mit.
Wir stellen sicher, dass die Personen, die wir zur Verarbeitung personenbezogener Kundendaten befugen, zur Vertraulichkeit verpflichtet sind.
Wir verkaufen keine personenbezogenen Kundendaten, verwenden sie weder für eigene Zwecke noch für Werbung und führen sie nicht mit anderen Daten zusammen, außer um den Dienst zu erbringen.
4. Sicherheit
Wir unterhalten dem Risiko angemessene technische und organisatorische Maßnahmen, darunter: Verschlüsselung von Daten bei der Übertragung; eine separate Datenbank für jedes Kundenunternehmen; Verschlüsselung sensibler personenbezogener Felder mit einem für jedes Unternehmen eigenen Schlüssel; gehashte Passwörter und optionale Zwei-Schritt-Anmeldung; nach Rollen beschränkte Zugriffsrechte innerhalb des Dienstes; eingeschränkter, authentifizierter Zugang zu Produktivsystemen; Protokollierung von Anmeldungen und Änderungen; regelmäßige Datensicherungen; sowie die laufende Aktualisierung unserer Software und Infrastruktur.
Wir können diese Maßnahmen im Laufe der Zeit aktualisieren, sofern das Gesamtschutzniveau nicht gesenkt wird.
5. Unterauftragsverarbeiter
Sie ermächtigen uns, andere Unternehmen zur Unterstützung bei der Erbringung des Dienstes einzusetzen, etwa für Hosting, Speicherung, E-Mail-Zustellung und Bot-Schutz („Unterauftragsverarbeiter“). Die aktuelle Liste ist auf Anfrage unter [email protected] erhältlich.
Wir erlegen jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die personenbezogene Kundendaten mindestens ebenso gut schützen wie dieser AVV, und wir bleiben für die Erfüllung ihrer Pflichten verantwortlich.
Wir benachrichtigen Sie, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Sie können innerhalb von 30 Tagen nach der Benachrichtigung aus angemessenen datenschutzrechtlichen Gründen Einspruch erheben. Können wir Ihrem Einspruch nicht in zumutbarer Weise Rechnung tragen, können Sie den betroffenen Dienst beenden, und wir erstatten etwaige im Voraus gezahlte Entgelte für den Zeitraum nach dessen Beendigung.
6. Internationale Übermittlungen
Der Dienst wird hauptsächlich in der Europäischen Union gehostet. Personenbezogene Kundendaten können in anderen Ländern verarbeitet werden, einschließlich der Vereinigten Staaten, wo die RentalSaga, Inc. und einige Unterauftragsverarbeiter ihren Sitz haben.
Erfordert eine Übermittlung Garantien nach der DSGVO, der UK-DSGVO, Schweizer Recht oder einem anderen Gesetz, werden die Standardvertragsklauseln der Europäischen Kommission (Modul 2, Übermittlung von Verantwortlichen an Auftragsverarbeiter, oder Modul 3, Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter, je nach Anwendbarkeit) durch Verweis in diesen AVV einbezogen, zusammen mit dem International Data Transfer Addendum des Vereinigten Königreichs und den Schweizer Anpassungen, soweit diese gelten. Für die Klauseln gilt: Die fakultative Kopplungsklausel findet Anwendung; für Unterauftragsverarbeiter gilt die allgemeine Genehmigung nach Abschnitt 5; Klausel 17 und Klausel 18 verweisen auf das Recht und die Gerichte Irlands; und die Angaben in Abschnitt 2 sowie die Maßnahmen in Abschnitt 4 vervollständigen die Anhänge.
7. Unterstützung für Sie
Anträge betroffener Personen: Der Dienst ermöglicht es Ihnen, die personenbezogenen Daten Ihrer Mieter und Nutzer einzusehen, zu berichtigen, zu exportieren und zu löschen. Wenn Sie etwas nicht über den Dienst erledigen können, unterstützen wir Sie, soweit dies zumutbar möglich ist. Wendet sich eine betroffene Person wegen personenbezogener Kundendaten direkt an uns, leiten wir den Antrag an Sie weiter und beantworten ihn nicht selbst, es sei denn, Sie bitten uns darum.
Folgenabschätzungen und Behörden: Wir stellen Ihnen angemessene Informationen und Unterstützung für Datenschutz-Folgenabschätzungen und für Konsultationen von Behörden in Bezug auf den Dienst zur Verfügung.
8. Verletzungen des Schutzes personenbezogener Daten
Wir benachrichtigen Sie unverzüglich, in jedem Fall aber innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Wir teilen Ihnen mit, was wir über ihre Art, die betroffenen Daten und Personen, ihre wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen wissen, und ergänzen weitere Informationen, sobald sie verfügbar werden.
Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Auswirkungen zu begrenzen. Unsere Benachrichtigung ist kein Schuldeingeständnis.
9. Anfragen von Behörden
Ersucht uns eine Behörde um personenbezogene Kundendaten, verweisen wir sie, soweit möglich, an Sie, benachrichtigen Sie, sofern das Gesetz dies nicht verbietet, und legen nach Prüfung der Rechtmäßigkeit der Anfrage nur das offen, wozu wir gesetzlich verpflichtet sind.
10. Rückgabe und Löschung
Sie können Ihre Daten jederzeit aus dem Dienst exportieren, solange Ihr Konto aktiv ist, sowie, wenn Sie Ihr Konto schließen, noch 30 Tage nach dem Ende des bezahlten Zeitraums.
Am 90. Tag nach diesem Enddatum löschen wir die personenbezogenen Kundendaten endgültig, es sei denn, ein Gesetz verpflichtet uns, einen Teil davon aufzubewahren. Kopien in Datensicherungen werden gelöscht, sobald die Datensicherungen ablaufen, und bleiben bis dahin durch diesen AVV geschützt.
11. Überprüfungen
Auf Anfrage stellen wir Ihnen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um nachzuweisen, dass wir diesen AVV einhalten, etwa Antworten auf Sicherheitsfragebögen und Beschreibungen unserer Maßnahmen.
Reichen diese Informationen nicht aus oder verlangt eine Behörde dies, können Sie die Einhaltung durch uns einmal jährlich überprüfen, und zwar mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen, während der Geschäftszeiten, auf Ihre eigenen Kosten und durch einen zur Vertraulichkeit verpflichteten Prüfer, der nicht unser Wettbewerber ist. Die Prüfung darf die Sicherheit des Dienstes oder die Daten anderer Kunden nicht gefährden.
12. Ihre Pflichten
Sie sind verantwortlich für die Rechtmäßigkeit der personenbezogenen Kundendaten, die Sie in den Dienst einbringen, und Ihrer Weisungen: für das Vorliegen einer Rechtsgrundlage, die Information der betroffenen Personen durch Ihre eigenen Datenschutzhinweise und die Beschränkung auf die Daten, die Sie benötigen.
13. Andere Datenschutzgesetze
Soweit der California Consumer Privacy Act gilt, handeln wir als Ihr Dienstleister („Service Provider“): Wir verkaufen oder teilen keine personenbezogenen Kundendaten, wir bewahren sie nicht auf, verwenden sie nicht und legen sie nicht offen, soweit dies außerhalb unserer direkten Geschäftsbeziehung mit Ihnen oder zu einem anderen Zweck als der Erbringung des Dienstes geschähe, und wir führen sie nicht mit anderen Daten zusammen, außer soweit das Gesetz dies erlaubt.
Soweit das brasilianische LGPD oder ein anderes nationales Gesetz gilt, handeln wir als Ihr Operator bzw. Auftragsverarbeiter im Sinne dieses Gesetzes, und die Verpflichtungen dieses AVV gelten mit gleicher Wirkung.
14. Haftung und Rangfolge
Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen der AGB, außer soweit das Gesetz diese nicht zulässt. Widersprechen sich dieser AVV und die AGB in Bezug auf personenbezogene Daten, hat dieser AVV Vorrang; finden die Standardvertragsklauseln Anwendung und widersprechen sie diesem AVV, haben die Klauseln Vorrang.
15. Kontakt
Fragen zu diesem AVV oder dazu, wie wir personenbezogene Daten für Sie verarbeiten? Schreiben Sie uns an [email protected].