Auftragsverarbeitungsvertrag (AVV)

Parteien und Abschluss

Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO wird geschlossen zwischen dem Kunden der Plattform CoDriver als Verantwortlichem („Auftraggeber“) und Kreativwerk Albert Dobra, Inhaber Albert Dobra, Industriestr. 12a, 91325 Adelsdorf als Auftragsverarbeiter („Auftragnehmer“).

Der AVV wird mit Annahme der AGB bzw. mit Abschluss des Abonnements Bestandteil des Hauptvertrags; er gilt bereits für die Testphase. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer eine unterzeichnete Fassung bereit.

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand ist die Bereitstellung und der Betrieb der SaaS-Plattform CoDriver, mit der der Auftraggeber Daten seiner Beschäftigten, Bewerber und Fahrzeuge verwaltet. Art und Zweck der Verarbeitung: Speicherung, Organisation, Anzeige, Auswertung, Übermittlung an vom Auftraggeber angebundene Systeme sowie Löschung der Daten zur Unterstützung des Delivery-Betriebs.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Fristen zur Rückgabe und Löschung nach § 9.

(3) Art der Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

§ 2 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht gesetzlich zu einer Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Weisungen sind der Hauptvertrag, dieser AVV und die vom Auftraggeber in der Plattform vorgenommenen Einstellungen und Aktionen.

(2) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin.

§ 3 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und nur auf Daten zugreifen, soweit dies für ihre Aufgabe erforderlich ist.

§ 4 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet diese vertraglich auf ein gleichwertiges Datenschutzniveau.

(2) Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage im Voraus in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; ist keine Einigung möglich, kann er den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Anbieter, mit denen der Auftraggeber selbst Verträge geschlossen hat und deren Systeme er über Schnittstellen anbindet (z. B. Kenjo, Geotab, Samsara, Slack, Twilio, eigener E-Mail-Server), sowie Mollie als eigenständiger Verantwortlicher für die Zahlungsabwicklung.

§ 6 Betroffenenrechte

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO), insbesondere durch Export-, Berichtigungs- und Löschfunktionen in der Plattform. Wenden sich Betroffene direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

§ 7 Unterstützungs- und Meldepflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit ihm die Informationen zur Verfügung stehen.

(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.

§ 8 Drittlandübermittlungen

Die Daten werden in der EU gespeichert und verarbeitet. Soweit Unterauftragsverarbeiter Daten in Drittländern verarbeiten oder ein Zugriff aus Drittländern nicht ausgeschlossen werden kann, erfolgt dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln (siehe Anlage 3).

§ 9 Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer alle Daten des Auftraggebers, sofern keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden rollierend nach 30 Tagen überschrieben. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, nach rechtzeitiger Ankündigung und zu den üblichen Geschäftszeiten. Nachweise der Unterauftragsverarbeiter (z. B. Zertifizierungen nach ISO 27001 und SOC-Berichte von Google Cloud) können zur Erfüllung herangezogen werden.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(2) Bei Widersprüchen gehen die Regelungen dieses AVV den Regelungen des Hauptvertrags in Fragen des Datenschutzes vor. Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1 – Daten und betroffene Personen

Kategorien betroffener Personen

• Beschäftigte des Auftraggebers: Fahrer, Dispatcher, Administratoren
• Bewerber
• Ansprechpartner von Werkstätten, Vermietern und Leasinggebern

Arten von Daten

• Stamm- und Kontaktdaten (Name, Anschrift, Telefon, E-Mail, Transporter-ID, Station)
• Vertrags- und Beschäftigungsdaten, Arbeitsvertragsunterlagen
• Bewerbungsangaben und -unterlagen
• Dokumente mit Ablaufdaten: Führerschein, Aufenthaltstitel bzw. Arbeitserlaubnis, Ausweisdaten, soweit vom Auftraggeber erfasst
• Planungsdaten: Schicht-, Wellen- und Monatspläne, Abwesenheiten, Urlaubs- und Zeitkonten, Login- und Stempelzeiten
• Leistungs- und Qualitätsdaten (Amazon-Scorecards und -Berichte), Aufgaben, Bestätigungen, Aufforderungen
• Schulungs- und Unterweisungsnachweise
• Fahrzeugdaten, Fahrzeug-Checks mit Fotos, Unfall- und Schadensberichte
• Telematikdaten: Standort, Kilometerstand, Fahrzeugzustand, Ladezustand, Fahr-Ereignisse und deren Zuordnung zum Fahrer
• Kommunikations- und Protokolldaten der Plattform

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet die Plattform nur, soweit der Auftraggeber sie selbst einträgt (z. B. Angaben zu Krankmeldungen ohne Diagnose); der Auftraggeber stellt die Rechtmäßigkeit sicher.

Anlage 2 – Technische und organisatorische Maßnahmen

• Zutrittskontrolle: Betrieb ausschließlich in zertifizierten Rechenzentren von Google Cloud (ISO 27001, SOC 2); keine eigenen Server.
• Zugangskontrolle: Anmeldung über Firebase Authentication mit gehashten Passwörtern; administrative Zugänge zur Cloud-Umgebung nur für den Inhaber, geschützt durch starke Authentifizierung.
• Zugriffskontrolle: Mandantentrennung je DSP und Rollenmodell (Admin, Dispatcher mit freigegebenen Bereichen, Fahrer nur eigene Daten), durchgesetzt durch serverseitige Sicherheitsregeln der Datenbank und des Dateispeichers.
• Weitergabekontrolle: Verschlüsselung aller Verbindungen (TLS); Speicherung verschlüsselt; Zugangsdaten zu Drittsystemen (z. B. Telematik, HR, E-Mail-Server) zusätzlich mit eigenem Schlüssel verschlüsselt; Schlüssel im Secret Manager.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter und administrativer Vorgänge (Audit-Ereignisse, Cloud-Protokolle).
• Auftragskontrolle: Unterauftragsverarbeiter nur nach Anlage 3 mit Vertrag nach Art. 28 DSGVO.
• Verfügbarkeitskontrolle: tägliche Datensicherung in der EU mit 30 Tagen Aufbewahrung; redundante Infrastruktur von Google Cloud.
• Trennungsgebot: logische Trennung der Daten je Mandant; Änderungen werden vor der Auslieferung mit lokalen Builds und einem Demo-Mandanten mit fiktiven Daten getestet.
• Datenminimierung und Löschung: automatische Löschroutinen (Fahr-Ereignisse nach 12 Monaten; bei gelöschten Fahrern Login, Stammdaten und Dateien nach 180 Tagen; gelöschte Fahrzeuge nach 7 Tagen; Backups nach 30 Tagen).
• Überprüfung: regelmäßige Kontrolle der Maßnahmen und Sicherheitsregeln bei Änderungen der Software.

Anlage 3 – Unterauftragsverarbeiter