Datenschutzerklärung für AUTO POS
Stand: 12. September 2026
1. Verantwortlicher / Anbieter
Vor dem Produktivbetrieb sind hier die vollständigen Angaben des AUTO-POS-Betreibers einzutragen: Firmenname, Rechtsform, ladungsfähige Anschrift, E-Mail-Adresse, Telefonnummer sowie – soweit erforderlich – Kontaktdaten des Datenschutzbeauftragten.
Wichtig: Diese Platzhalter müssen vor öffentlicher Bereitstellung ersetzt werden.
2. Rollen nach der DSGVO
Bei Daten, die ein Autohaus in AUTO POS über seine Kunden, Verkäufer, Beschäftigten, Fahrzeuge und Geschäftsvorgänge einträgt, ist grundsätzlich das jeweilige Autohaus Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Soweit der AUTO-POS-Betreiber diese Daten ausschließlich im Auftrag des Autohauses verarbeitet, handelt er als Auftragsverarbeiter. Vor Produktivnutzung ist mit jedem gewerblichen Kunden ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen.
3. Verarbeitete Daten
Je nach Nutzung können insbesondere Konto- und Benutzerangaben, Kunden- und Lieferantendaten, Kontaktdaten, Fahrzeug- und VIN-Daten, Vertrags- und Rechnungsdaten, Zahlungsstatus, Dokumente, Beschäftigtendaten, Zugriffs- und Sicherheitsprotokolle sowie technische Metadaten verarbeitet werden. AUTO POS ist nach dem Grundsatz der Datenminimierung zu konfigurieren; nicht erforderliche Angaben sollen nicht erhoben werden.
4. Zwecke und Rechtsgrundlagen
Die Verarbeitung erfolgt zur Bereitstellung und Absicherung des Dienstes, Benutzer- und Rechteverwaltung, Durchführung der Vertragsbeziehung mit dem Autohaus, Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten sowie – soweit vom Autohaus ausgelöst – zur Durchführung externer Prüf- oder Integrationsfunktionen. Die konkrete Rechtsgrundlage für Kundendaten bestimmt das jeweilige Autohaus entsprechend seinem Verarbeitungsvorgang, insbesondere Art. 6 Abs. 1 DSGVO.
5. Keine Werbung, kein Verkauf von Daten
Personenbezogene Mandantendaten werden nicht verkauft, nicht für fremde Werbung genutzt und nicht zum Aufbau werblicher Profile verwendet. AUTO POS soll ohne Drittanbieter-Tracking, Social-Media-Pixel oder Werbe-SDKs betrieben werden.
6. Empfänger und externe Funktionen
Eine Datenübermittlung an externe Stellen findet nur statt, wenn dies für die jeweilige Funktion erforderlich ist, der Nutzer diese Funktion auslöst bzw. konfiguriert oder eine gesetzliche Verpflichtung besteht. Dazu können insbesondere die EU-VIES-Schnittstelle für USt-IdNr.-Prüfungen, ein vom Autohaus ausgewählter VIN-Datenanbieter, E-Rechnungs-/DATEV-/Bank-/Marktplatz-/Signaturdienste oder Infrastruktur-Auftragsverarbeiter gehören. Nicht aktivierte Integrationen erhalten keine Mandantendaten. Alle produktiv eingesetzten Unterauftragsverarbeiter sind in einer aktuellen Unterauftragsverarbeiterliste zu dokumentieren.
7. Drittlandübermittlungen
Produktiv soll AUTO POS Daten bevorzugt in Deutschland bzw. im EWR verarbeiten. Dienste mit Drittlandübermittlung dürfen nur nach rechtlicher Prüfung und mit den erforderlichen Garantien nach Kapitel V DSGVO aktiviert werden. Ein externer Dienst darf nicht allein deshalb eingesetzt werden, weil er technisch verfügbar ist.
8. Speicherdauer und Löschung
Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck und gesetzliche Pflichten erforderlich ist. Das Autohaus muss Lösch- und Aufbewahrungsfristen für seine Daten festlegen. Sicherheitsprotokolle sind zeitlich zu begrenzen. Bei Vertragsende sind personenbezogene Auftragsdaten nach Weisung zurückzugeben oder zu löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
9. Sicherheit
AUTO POS ist mit rollenbasierter Zugriffskontrolle, sicheren Passwort-Hashes, Sitzungswiderruf, Mandantentrennung, Sicherheits-Headern, restriktiven Browserberechtigungen und No-Store-Caching ausgelegt. Für den Produktivbetrieb sind zusätzlich TLS/HTTPS, verschlüsselte Datenträger und Backups, MFA/Passkeys, Secret-Management, regelmäßige Updates, Wiederherstellungstests, Monitoring, Protokollierung administrativer Zugriffe, Schwachstellenmanagement und ein dokumentiertes Berechtigungs- und Incident-Response-Verfahren einzusetzen.
10. Betroffenenrechte
Betroffene Personen haben nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Soweit das Autohaus Verantwortlicher ist, sind Anfragen grundsätzlich an das jeweilige Autohaus zu richten. Der AUTO-POS-Betreiber unterstützt das Autohaus im Rahmen des Auftragsverarbeitungsverhältnisses.
11. Datenschutzverletzungen
Für Datenschutzverletzungen ist ein dokumentierter Melde- und Reaktionsprozess vorzuhalten. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich. Der Verantwortliche prüft insbesondere die Meldepflicht gegenüber der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO.
12. Cookies / lokale Speicherung
Für die Anmeldung werden technisch notwendige Sitzungsmechanismen verwendet. Werbe- oder Tracking-Cookies sind nicht vorgesehen. Soweit Browser-Speicher für lokale Anwendungseinstellungen genutzt wird, darf dieser nicht für fremde Werbeprofile verwendet werden.
13. Änderungen
Diese Erklärung ist bei Änderungen der Verarbeitung, eingesetzter Anbieter oder Rechtslage anzupassen. Die tatsächlich eingesetzten Hosting-, E-Mail-, Signatur-, VIN-, Bank-, DATEV-, Marktplatz- und sonstigen Dienstleister müssen vor dem Produktivstart konkret benannt werden.