Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz im Rahmen der Nutzung der Software KEPwise (Flottenverwaltung). Der Kunde („Verantwortlicher“) entscheidet über Zwecke und Mittel der Verarbeitung der von ihm eingegebenen personenbezogenen Daten; der Betreiber von KEPwise („Auftragsverarbeiter“) verarbeitet diese ausschließlich in dessen Auftrag (Art. 28 DSGVO).

Hinweis: Alternativ können die von der EU-Kommission angenommenen Standardvertragsklauseln für Auftragsverarbeitung (Durchführungsbeschluss (EU) 2021/915) verwendet werden; diese erfüllen Art. 28 Abs. 3 unmittelbar.

§ 1 Gegenstand, Dauer und Beendigung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen des Nutzungsvertrags über KEPwise.

(2) Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags. Eine Kündigung des Nutzungsvertrags gilt zugleich als Kündigung dieses AVV.

§ 2 Art, Umfang, Zweck der Verarbeitung; Datenarten; Betroffene

(1) Art und Zweck: Speicherung, Anzeige, Änderung, Auswertung, Archivierung und Löschung von Daten zum Betrieb der Flottenverwaltung (Fahrzeuge, Personal, Wartung, Beanstandungen, Tank- und Kontrolldaten).

(2) Datenarten (Anlage 1): Konto-/Anmeldedaten; Mitarbeiter-/Fahrerstammdaten (Name, Kontakt, Beschäftigung, ggf. Geburtsdatum, Urlaub); besondere Kategorien gem. Art. 9 (Krankmeldungen); Fahrzeug- und Betriebsdaten; Nutzungsprotokoll der Anwendung (Anwesenheit, aufgerufene Bereiche, betätigte Schaltflächen, ausgeführte Aktionen — nur Bezeichnung und Pfad, ohne Inhalte und ohne Gesundheitsdaten).

(3) Kreis der Betroffenen: Beschäftigte/Fahrer des Verantwortlichen sowie Nutzer der Anwendung.

§ 3 Weisungsrecht (Art. 28 Abs. 3 lit. a)

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der bestimmungsgemäßen Nutzung der Funktionen von KEPwise, sofern keine gesetzliche Pflicht zur Verarbeitung besteht.

(2) Support-/Administrationszugriffe des Auftragsverarbeiters auf Kundendaten erfolgen ausschließlich zweckgebunden zur Einrichtung, Wartung und Störungsbehebung. Der Support-Zugriff ist ab Einrichtung des Mandanten aktiv; der Verantwortliche kann ihn jederzeit in den Einstellungen deaktivieren. Ist er deaktiviert, erfolgt ein Zugriff nur nach vorheriger Freigabe durch den Verantwortlichen und mit dokumentiertem Grund. Jeder Zugriff wird protokolliert; das Protokoll ist dem Verantwortlichen jederzeit einsehbar. Das Nutzungsprotokoll nach § 2 Abs. 2 wird unabhängig vom Support-Zugriff geführt, enthält keine Inhalte und dient dem Auftragsverarbeiter zu Support, Fehlersuche und Weiterentwicklung; der Verantwortliche informiert seine Beschäftigten hierüber.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit und stellt sicher, dass sie nur auf Weisung handeln und über die einschlägigen Datenschutzpflichten unterrichtet sind.

§ 5 Technisch-organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

(1) Der Auftragsverarbeiter trifft die in Anlage 2 (TOM) beschriebenen Maßnahmen, u. a.: Mandantentrennung mittels Row Level Security; Verschlüsselung bei Übertragung (TLS) und im Ruhezustand; Zugriffskontrolle über ein Rollen-/Rechtemodell; Protokollierung sicherheitsrelevanter Vorgänge; Hosting in der EU (Frankfurt); regelmäßige Backups.

(2) Die Maßnahmen können fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4)

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu (derzeit: Supabase — Datenbank/Auth/Speicher, EU/Frankfurt; Vercel — Hosting, EU/Frankfurt).

(2) Wechsel oder Hinzunahme werden rechtzeitig im Voraus mitgeteilt; der Verantwortliche kann aus wichtigem Grund widersprechen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf (Art. 28 Abs. 4).

§ 7 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). In KEPwise stehen u. a. Export und endgültige Löschung von Mitarbeiterdaten zur Verfügung.

§ 8 Unterstützung & Meldepflichten (Art. 28 Abs. 3 lit. f, Art. 33/34/35/36)

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36.

(2) Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die für dessen Meldung (72-Stunden-Frist) erforderlichen Informationen bereit.

§ 9 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung von Art. 28 erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (Audits), auch durch beauftragte Prüfer.

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Abschluss der Leistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht (vgl. Löschkonzept). Einträge des Nutzungsprotokolls werden spätestens 90 Tage nach Entstehung gelöscht.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis tragen die Parteien die Verantwortung entsprechend ihrem Verursachungsbeitrag. <Weitere Haftungsregelungen mit Anwalt abstimmen.>

§ 12 Schlussbestimmungen

(1) Dieser Vertrag wird in Textform/elektronischer Form geschlossen (Art. 28 Abs. 9). Die Annahme erfolgt durch ausdrückliche Bestätigung in der Anwendung; Zeitpunkt, Person und IP werden protokolliert.

(2) Es gilt deutsches Recht. <Gerichtsstand einsetzen.>

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.

Anlagen: 1 — Datenarten & Betroffene · 2 — TOM · 3 — Unterauftragsverarbeiter.