📥 Als PDF ← Zurück zur App

Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Stand: 21. Oktober 2026 • Version 1.0 • Currio

📄 Vertrag 📋 Anlage 1: Daten & Betroffene 🏢 Anlage 2: Unterauftragsverarbeiter 🔒 Anlage 3: Technische & organisatorische Maßnahmen

Vertragsparteien

Verantwortlicher („Kunde“): die Fahrschule bzw. der selbstständige Fahrlehrer, die bzw. der Currio nutzt und diesen Vertrag in Currio abschließt. Name und Anschrift ergeben sich aus dem Kundenkonto.

Auftragsverarbeiter („Anbieter“): Currio Fahrschulsysteme, Inhaber Marcel Berghaus, Wupperstr. 3, 45701 Herten, Telefon: 0151 / 26 95 21 65, E-Mail: info@currio.de, USt-IdNr.: DE307730210.

§ 1 Gegenstand und Dauer

(1) Der Anbieter stellt dem Kunden die Software Currio nach den Allgemeinen Geschäftsbedingungen (AGB) als Online-Dienst bereit („Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag regelt die Rechte und Pflichten der Parteien hierzu und konkretisiert § 8 der AGB.

(2) Der Vertrag beginnt mit seinem Abschluss in Currio und läuft, solange der Anbieter für den Kunden personenbezogene Daten verarbeitet, mindestens bis zum Ende des Hauptvertrags und bis zur Löschung oder Rückgabe der Daten nach § 9.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

(1) Zweck der Verarbeitung ist die Bereitstellung von Currio für die Fahrausbildung des Kunden: Verwaltung von Fahrschülern, Aufzeichnung von Fahrstunden per GPS, Markierung und Nachbesprechung von Fehlern, Auswertungen, Bereitstellung des Schüler-Portals und der Teamverwaltung sowie der Versand der dafür nötigen System-E-Mails.

(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Anzeigen, Übermitteln an die vom Kunden berechtigten Personen (z. B. Fahrschüler im Portal), Anonymisieren und Löschen.

(3) Die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(4) Nicht unter diesen Vertrag fallen Daten, für die der Anbieter selbst Verantwortlicher ist, insbesondere die Vertrags-, Abrechnungs- und Prüfdaten des Kunden und seiner Nutzerkonten gegenüber dem Anbieter sowie bei einem Schüler-Abo, das ein Fahrschüler selbst mit dem Anbieter abschließt, die Vertrags- und Zahlungsdaten und das Portal-Konto dieses Fahrschülers. Hierfür gilt die Datenschutzerklärung. Alle übrigen Daten, die vom Kunden stammen oder in seinem Auftrag erhoben werden, verarbeitet der Anbieter nach diesem Vertrag, einschließlich der Fahrten von Fahrschülern mit Schüler-Abo.

(5) Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR erfolgt nur auf dokumentierte Weisung des Kunden und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Zu den Kartendiensten siehe Anlage 1 Nr. 4.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, er ist durch das Recht der EU oder Deutschlands zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen von Currio durch den Kunden und seine berechtigten Nutzer (z. B. Anlegen, Ändern und Löschen von Schülern und Fahrten). Weitere Weisungen erteilt der Kunde in Textform an info@currio.de; mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. Der Anbieter dokumentiert die erhaltenen Weisungen.

(3) Ist der Anbieter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Er darf die Umsetzung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(4) Der Anbieter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder den Verkauf an Dritte.

§ 4 Vertraulichkeit

(1) Der Anbieter gewährleistet, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Diese Personen verarbeiten die Daten nur auf Weisung (Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Der Anbieter greift auf Inhalte der Kundendaten nur zu, soweit dies für Betrieb, Wartung, Fehlerbehebung, Datensicherung oder Support erforderlich ist oder der Kunde darum bittet. Für Wartung und Entwicklung eingesetzte Werkzeuge erhalten keinen Zugriff auf Inhalte der Kundendaten, sofern sie nicht als Unterauftragsverarbeiter nach § 6 aufgeführt sind.

§ 5 Sicherheit der Verarbeitung

(1) Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Die bei Vertragsschluss umgesetzten Maßnahmen sind in Anlage 3 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert er in dieser Anlage.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vorher per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen; für die Zeit danach bereits gezahlte Entgelte erstattet der Anbieter anteilig.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für dessen Einhaltung.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen der Dienstleister nicht auf die Daten zugreift, etwa Telekommunikations- und Transportleistungen.

§ 7 Rechte der betroffenen Personen

(1) Der Anbieter unterstützt den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Currio enthält hierfür Funktionen zum Anzeigen, Bearbeiten und Löschen von Schülerdaten. Was darüber hinausgeht, etwa ein Export, stellt der Anbieter auf Anfrage in einem gängigen maschinenlesbaren Format bereit.

(2) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist ihn dazu an. § 9 Abs. 4 lit. b bleibt unberührt.

§ 8 Unterstützung und Meldung von Datenschutzverletzungen

(1) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), Art. 28 Abs. 3 Satz 2 lit. f DSGVO.

(2) Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten des Kunden (Art. 4 Nr. 12 DSGVO) bekannt oder besteht ein begründeter Verdacht darauf, meldet er dies dem Kunden unverzüglich (Art. 33 Abs. 2 DSGVO), in der Regel innerhalb von 24 Stunden, per E-Mail an die im Kundenkonto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: die Art der Verletzung mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, einen Ansprechpartner, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Noch fehlende Angaben reicht der Anbieter nach, sobald sie vorliegen. Er ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung zu beheben und nachteilige Folgen für die betroffenen Personen zu mindern, und stimmt sich dabei mit dem Kunden ab.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Kunden. Der Anbieter nimmt sie nur auf Weisung des Kunden vor.

(4) Der Anbieter informiert den Kunden außerdem unverzüglich, wenn

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Ende des Hauptvertrags löscht der Anbieter nach Wahl des Kunden alle personenbezogenen Daten des Kunden oder gibt sie ihm zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der EU oder Deutschlands eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).

(2) Bis zur Löschung hat der Kunde lesenden Zugriff auf seine Daten und kann ihre Rückgabe in Textform verlangen; der Anbieter stellt sie dann in einem gängigen maschinenlesbaren Format bereit. Wählt der Kunde nichts, gilt die Löschung als gewählt. Gelöscht wird, wenn der Kunde nach der Kündigung sein Konto in Currio löscht (sieben Tage nach dem Löschauftrag, jedoch nicht vor dem Vertragsende), spätestens aber, wenn das Konto nach dem Vertragsende ein Jahr lang nicht aktiv war (keine Anmeldung und keine Fahrt). Die automatische Löschung kündigt der Anbieter mindestens 25 Tage vorher per E-Mail an. Er bestätigt dem Kunden die Löschung in Textform. Bis zur Löschung gilt dieser Vertrag weiter.

(3) Datensicherungen werden nicht einzeln bereinigt, sondern laufen nach ihren Fristen aus, spätestens sieben Monate nach der Löschung (Anlage 3). Bis dahin sind sie gegen Zugriff geschützt und werden nur zur Wiederherstellung nach einem Ausfall verwendet.

(4) Während der Vertragslaufzeit löscht der Anbieter die Stammdaten eines Schülers (Name, Geburtsdatum, Anschrift, E-Mail-Adresse, Telefonnummer), seinen Zugang zum Schüler-Portal sowie die GPS-Spuren seiner Fahrten und die Orte der Fehlermarkierungen
a) sofort, wenn der Kunde den Schüler in Currio löscht;
b) sofort, wenn der Schüler seine Daten im Schüler-Portal selbst löscht. Der Kunde weist den Anbieter hiermit an, solche Löschungen ohne Rückfrage auszuführen;
c) automatisch sechs Monate nach Ablauf des Schülerpasses bzw., ohne Schülerpass, sechs Monate nach der letzten Aktivität des Schülers (letzte Fahrt oder letzte Anmeldung im Schüler-Portal).
Die Fahrten werden dabei anonymisiert.

§ 10 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist, und trägt dazu bei (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Prüfungen sind in angemessenen Abständen oder bei Anhaltspunkten für einen Verstoß zulässig. Überprüfungen erfolgen vorrangig digital und schriftlich, etwa durch Bereitstellung von Sicherheitszertifikaten, Nachweisen zu den technischen und organisatorischen Maßnahmen oder durch Beantwortung eines Fragenkatalogs. Der Anbieter betreibt die Server nicht selbst in einem eigenen Rechenzentrum; die Kontrolle der Rechenzentren erfolgt über die Nachweise und Zertifikate des jeweiligen Unterauftragsverarbeiters (z. B. ISO 27001). Vor-Ort-Kontrollen an der Betriebsstätte des Anbieters sind mit einer Frist von mindestens 14 Tagen anzukündigen, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören; sie können im Wege eines Remote-Audits (z. B. per Videokonferenz) durchgeführt werden.

(3) Für Vor-Ort-Kontrollen kann der Anbieter eine angemessene Aufwandsentschädigung verlangen, wenn er dies vorher mitteilt, es sei denn, die Kontrolle ist durch einen Verstoß des Anbieters gegen diesen Vertrag veranlasst. Auskünfte nach Absatz 2 Satz 2 sind kostenlos.

§ 11 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Fahrschüler und die Wahrung ihrer Rechte (Art. 24 DSGVO).

(2) Der Kunde stellt sicher, dass nur berechtigte Personen Zugang zu seinem Konto haben, und teilt dem Anbieter unverzüglich mit, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Notiz- und Freitextfelder sind ausschließlich für die Beschreibung des Fahrverhaltens bestimmt. Der Kunde stellt sicher, dass dort keine Angaben eingetragen werden, die einen Fahrschüler erkennbar machen (z. B. Name, Anschrift, Kontaktdaten, Gesundheitsangaben). Diese Felder werden bei der Anonymisierung nach § 9 Abs. 4 nicht verändert; für Inhalte entgegen dieser Vorgabe ist der Kunde verantwortlich.

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gilt die Haftungsregelung des Hauptvertrags (§ 14 der AGB), soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 13 Schlussbestimmungen

(1) Der Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO). Der Abschluss wird mit Zeitpunkt und Version im Kundenkonto gespeichert und dem Kunden per E-Mail bestätigt.

(2) Verstößt der Anbieter gegen diesen Vertrag, kann der Kunde ihn anweisen, die Verarbeitung auszusetzen, bis der Verstoß behoben ist. Ist der Verstoß nicht innerhalb eines Monats behoben oder verstößt der Anbieter erheblich oder fortdauernd gegen diesen Vertrag oder die DSGVO, kann der Kunde den Hauptvertrag außerordentlich kündigen. Der Anbieter kann außerordentlich kündigen, wenn der Kunde auf einer Weisung besteht, die nach Hinweis des Anbieters gegen Datenschutzvorschriften verstößt.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(4) Änderungen dieses Vertrags teilt der Anbieter dem Kunden in Textform mit. Sie werden mit erneuter Bestätigung durch den Kunden in Currio wirksam. Änderungen der Anlage 2 richten sich nach § 6, Änderungen der Anlage 3 nach § 5 Abs. 2.

(5) Ein Datenschutzbeauftragter ist beim Anbieter gesetzlich nicht zu benennen (§ 38 Abs. 1 BDSG). Ansprechpartner für Datenschutzfragen ist Marcel Berghaus, info@currio.de.

(6) Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam; an die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften, insbesondere Art. 28 DSGVO.

Anlage 1: Daten und betroffene Personen

1. Fahrschüler des Kunden

2. Fahrlehrer und Büro-Mitarbeiter des Kunden

3. Besondere Kategorien

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht planmäßig verarbeitet. Der Kunde trägt keine solchen Daten, etwa Gesundheitsangaben, in Freitextfelder ein, soweit dies nicht für die Ausbildung erforderlich und rechtlich zulässig ist.

4. Kartendienste

Anlage 2: Unterauftragsverarbeiter

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)