Stand: 23. Oktober 2026 · Fassung 2026-10-23.1
cadma solutions UG, Eichenstrasse 217, 41747 Viersen, Deutschland. Kontakt: info@cadma-solutions.de.
Vertragsbestimmungen – Art. 28 DSGVO
Die folgenden Vertragsbestimmungen bilden die veröffentlichte Vertragsgrundlage. Ein verbindlicher AVV setzt die wirksame Vereinbarung mit dem jeweiligen Auftraggeber einschließlich konkretem Leistungsumfang, Datenkategorien, TOMs und Unterauftragnehmeranlage voraus. Die bloße Anzeige dieser Seite oder Erzeugung eines PDFs weist keinen Vertragsschluss nach. Der Abschluss kann auch in elektronischer Form erfolgen.
§ 1 Gegenstand, Dauer und Betroffene
Auftraggeber und Verantwortlicher ist der jeweilige Kunde; Auftragsverarbeiter ist cadma solutions UG unter der Anschrift Eichenstrasse 217, 41747 Viersen, Deutschland. Gegenstand ist die aufgetragene Bereitstellung und gegebenenfalls Betreuung der beauftragten KDFahrzeugmanager-Funktionen. Art, Zweck, Datenarten und betroffene Personen ergeben sich aus der KDFahrzeugmanager-Beschreibung, den unten stehenden Modulbeschreibungen und den individuell vereinbarten Leistungen. Die Verarbeitung umfasst, soweit beauftragt, Erhebung, Entgegennahme, Übertragung, Speicherung, Strukturierung, Auswertung, Bereitstellung, Änderung, Sicherung, Rückgabe und Löschung. Sie dauert während der Leistungserbringung und der erforderlichen Abschlussphase an.
§ 2 Verantwortung und Weisungen
Der Auftraggeber bestimmt Zwecke und Mittel in seinem Verantwortungsbereich, schafft die erforderlichen Rechtsgrundlagen und beschränkt Daten und Zugänge auf das notwendige Maß. Der Auftragsverarbeiter verarbeitet ausschließlich auf dokumentierte Weisung, auch hinsichtlich Übermittlungen. Er muss gesetzlich vorgeschriebene Verarbeitungen vorab mitteilen, soweit das betreffende Recht dies zulässt. Erscheint eine Weisung datenschutzwidrig, informiert er den Auftraggeber unverzüglich und setzt ihre Ausführung bis zur Klärung aus. Weisungen und ihre Änderungen können über die vereinbarten Ansprechpartner in Textform dokumentiert werden.
§ 3 Vertraulichkeit und Sicherheit
Der Auftragsverarbeiter verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit oder stellt ihre entsprechende gesetzliche Bindung sicher. Er beschränkt ihre Zugriffe auf die für den Auftrag erforderlichen Zwecke. Er trifft risikogerechte Maßnahmen nach Art. 32 DSGVO; die vereinbarte TOM-Anlage konkretisiert die für das Produkt und die Bereitstellung geltenden Maßnahmen. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
§ 4 Unterauftragsverarbeitung
Weitere Auftragsverarbeiter dürfen nur mit vorheriger besonderer oder allgemeiner schriftlicher Genehmigung eingesetzt werden. Bei allgemeiner Genehmigung informiert der Auftragsverarbeiter mindestens 30 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung über Dienst, Aufgabe und Verarbeitungsort und ermöglicht Einwände vor dem Einsatz. Die aktuelle, für den Auftrag vereinbarte Anlage benennt die zugelassenen Unterauftragnehmer. Diese erhalten entsprechende Datenschutzpflichten; cadma solutions bleibt dem Auftraggeber gegenüber für deren Erfüllung verantwortlich. Eine bloße Vorabinformation ersetzt die erforderliche Genehmigung nicht.
§ 5 Unterstützung und Datenschutzverletzungen
Der Auftragsverarbeiter unterstützt unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten sowie den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheitsbewertung, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Anfragen betroffener Personen leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie inhaltlich nur nach dessen Weisung, soweit keine eigene gesetzliche Pflicht besteht.
Datenschutzverletzungen meldet er dem Auftraggeber unverzüglich nach Bekanntwerden. Er übermittelt die verfügbaren Angaben zu Art und Umfang, betroffenen Kategorien, möglichen Folgen, Ansprechpartner und Gegenmaßnahmen; fehlende Angaben reicht er schrittweise nach. Die gegebenenfalls geltende 72-Stunden-Frist für die Meldung des Verantwortlichen an die Aufsichtsbehörde ist keine Wartefrist des Auftragsverarbeiters.
§ 6 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zur Prüfung der Pflichterfüllung erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Vertraulichkeit, Sicherheit und die Rechte anderer Kunden werden dabei geschützt. Dokumentationspflichten und gesetzliche Kontrollrechte bleiben unberührt.
§ 7 Abschluss, Rückgabe und Löschung
Nach Abschluss werden personenbezogene Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht; bestehende Kopien sind ebenfalls zu löschen, soweit keine gesetzliche Speicherungspflicht entgegensteht. Exportformat, Ablauf, Frist, Löschbestätigung und Umgang mit Sicherungen werden dokumentiert. Gesetzlich verbleibende Daten sind auf den erforderlichen Zweck zu beschränken. Der Entzug eines Zugangs ersetzt diesen Abschlussprozess nicht.
§ 8 Vertragsform und Module
Datenschutzbezogene Regelungen des wirksam vereinbarten AVV gehen widersprechenden Bestimmungen des Hauptvertrags vor. Eine neue öffentliche Fassung ändert bestehende Verträge nicht ohne die vereinbarte Grundlage. Für KdCrossUploader und KdElsaUploader können firmenbezogene Vertrags-PDFs mit Modulbeschreibung und TOM-Anlage erstellt werden. Erstellung, technische Freischaltung und dokumentierte Annahme sind gesondert zu unterscheiden. Bestehende Nachweise werden durch eine Textaktualisierung nicht rückwirkend ersetzt.
Verarbeitung im KDFahrzeugmanager
KDFahrzeugmanager, KdCrossUploader und KdElsaUploader
Zur Bestandssteuerung, Pflege, Auslieferung, Aufbereitung, Werkstatt- und Jahresabschlussarbeit werden Nutzer- und Firmendaten, FIN, Kennzeichen, Fahrzeug- und Standortangaben, Kunden- und Kontaktdaten, Vertrags- und Bewertungsangaben, Termine, Aufgaben, Fotos, Notizen, Unterschriftsbilder und Bearbeitungsnachweise verarbeitet. Die Teamplanung verarbeitet außerdem Abwesenheiten; die Kennzeichnung „Krankheit“ kann Gesundheitsdaten betreffen. Die Anwendung ist herstellerunabhängig; eine TSQ-Dokumentation ist nur einer der möglichen Zwecke.
KdCrossUploader übernimmt bei Freischaltung ausgewählte CROSS-Kunden-, Fahrzeug-, Bestands- und Verkaufsdaten. KdElsaUploader bzw. der manuelle ELSA-Upload verarbeitet Original-PDFs, darin enthaltene Personenangaben, Prüfpunkte, Vorschaubilder, Bearbeitungswerte und Versionen. Die ELSA-PDF-Analyse erfolgt auf dem Anwendungsserver und verwendet dafür keinen externen KI-Dienst. Eine aktivierte CADMA-Verbindung kann Fotos und Dateiinformationen übertragen; die Verbindung zum KDFahrdienstplaner kann Fahrer-, Kunden-, Fahrzeug- und Termindaten austauschen. Eigene Webhooks und Exporte gehen an die vom Kunden eingerichteten Empfänger.
Im angemeldeten Bereich werden Diagrammressourcen von jsDelivr geladen; der optionale FIN-Kamerascanner lädt über Tesseract.js ebenfalls Erkennungsressourcen von diesem CDN. Dabei fallen Verbindungsdaten beim CDN an. Die FIN-Erkennung selbst erfolgt im Browser; eine Übertragung der Kamerabilder an jsDelivr ist dafür nicht vorgesehen. Weitere Angaben enthalten die produktspezifischen Datenschutzhinweise.
Betroffen sind Nutzer, Beschäftigte, Fahrer, Prüfer und Unterzeichnende, Kunden, Interessenten, Vorbesitzer sowie weitere in Dokumenten und Vorgängen genannte Personen des Auftraggebers. Abwesenheitsangaben können Gesundheitsdaten betreffen und erfordern eine geeignete Grundlage nach Art. 9 Abs. 2 DSGVO.
6. Hosting, E-Mail und weitere Empfänger
Die bisher für die Bereitstellung benannten Infrastrukturdienste sind nachfolgend aufgeführt. Die für den einzelnen Auftrag tatsächlich eingesetzten Dienste, Leistungen und Verarbeitungsorte sind in der aktuellen Unterauftragnehmeranlage verbindlich zu konkretisieren. Eigene Installationen des Kunden können davon abweichen.
| Dienstleister | Leistung | Informationen |
|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland | Hosting und Serverinfrastruktur, soweit für das Produkt beauftragt. | Datenschutz IONOS |
| ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland | E-Mail-Hosting und SMTP-Versand bei Verwendung von kasserver.com. | Datenschutz ALL-INKL.COM |
Ein Infrastrukturanbieter wird als Auftragsverarbeiter eingesetzt, soweit er personenbezogene Daten weisungsgebunden verarbeitet; hierfür ist ein Vertrag nach Art. 28 DSGVO erforderlich. Ein abgeschlossener Vertrag, eine bestimmte Zertifizierung oder ein konkreter Serverstandort wird nicht allein durch diese öffentliche Nennung nachgewiesen. Zahlungsdienste werden hier nicht als tatsächlich angebunden oder PCI-DSS-zertifiziert dargestellt, solange kein konkreter Dienst für das jeweilige Produkt benannt ist.
Weitere Empfänger können berechtigte Kundenadministratoren, vom Kunden aktivierte Integrationspartner und aufgrund gesetzlicher Pflichten zuständige Stellen sein. Ein Social-Login-Anbieter oder CDN ist hinsichtlich seiner konkreten Rolle gesondert zu beurteilen und nicht automatisch ein für sämtliche Fachinhalte eingesetzter Unterauftragsverarbeiter.
