Vertrag zur Auftragsverarbeitung (AVV)

Auftragsverarbeiter

E-Mail: kontakt@software-fuhrmeister.de

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand des Auftrags ist die Bereitstellung der Software FristLotse zur Organisation von Prüf-, Wartungs- und Qualifikationsfristen gemäß den AGB. Im Rahmen der Bereitstellung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

(2) Art und Zweck der Verarbeitung umfassen das Speichern, Ordnen, Auslesen, Versenden von Erinnerungen, Bereitstellen, Exportieren und Löschen der vom Verantwortlichen eingegebenen Daten zum Zweck des Betriebs der Software.

(3) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt, soweit in der Liste der Unterauftragsverarbeiter (Anlage 2) nichts anderes geregelt ist.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art der Daten und Kategorien betroffener Personen

Kategorien personenbezogener Daten

• Stammdaten (Namen, Funktionen/Rollen)
• Kontaktdaten (E-Mail-Adressen) interner Verantwortlicher und externer Prüfdienstleister
• Qualifikations- und Unterweisungsdaten (z. B. Erste-Hilfe, Staplerschein, Fristen)
• Daten zu Erledigungen von Prüfungen (Datum, Ergebnis, prüfende Person, Bemerkungen)
• hochgeladene Nachweisdateien (Fotos, PDF), soweit darin personenbezogene Daten enthalten sind
• Anmelde- und Nutzungsdaten der vom Verantwortlichen angelegten Nutzer

Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (einschließlich Personen mit Qualifikationen)
• vom Verantwortlichen angelegte Nutzer (Administratoren, Mitarbeiter, externe Lesezugriffe)
• externe Prüfdienstleister und sonstige Kontaktpersonen

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er keine derartigen Daten in die Software einstellt.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der durch die Nutzung der Software erteilten Weisungen, sofern er nicht durch das Recht der EU oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 Pflichten des Auftragsverarbeiters

• Er verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits gesetzlich einer Verschwiegenheitspflicht unterliegen.
• Er ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1).
• Er unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, damit dieser seinen Pflichten nach Art. 33, 34 DSGVO nachkommen kann.
• Er stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen zur Verfügung.
• Er löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Er kann diese im Lauf der Zeit weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter hinzuziehen oder ersetzen. Er informiert den Verantwortlichen in Textform vorab über beabsichtigte Änderungen. Der Verantwortliche kann einer Änderung aus wichtigem, datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen.

(3) Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind.

§ 7 Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Der Auftragsverarbeiter weist die Einhaltung in der Regel durch Auskünfte und geeignete Nachweise nach. Vor-Ort-Prüfungen werden mit angemessener Vorankündigung und während der üblichen Geschäftszeiten durchgeführt, ohne den Betriebsablauf unverhältnismäßig zu beeinträchtigen.

§ 8 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die personenbezogenen Daten innerhalb von 90 Tagen, sofern der Verantwortliche nicht zuvor einen Export vorgenommen oder die Rückgabe verlangt hat und soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann seine Daten jederzeit selbständig über die Exportfunktion ausleiten.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelung des Nutzungsvertrags (AGB), soweit gesetzlich zulässig.

(2) Bei Widersprüchen zwischen diesem AVV und den AGB gehen für Fragen des Datenschutzes die Regelungen dieses AVV vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb in einem Rechenzentrum in Deutschland mit Zutrittsschutz beim Hosting-Dienstleister.
• Zugangskontrolle: persönliche, passwortgeschützte Konten; Speicherung von Passwörtern ausschließlich als kryptografischer Hash (bcrypt); kryptografisch signierte Sitzungs-Token; Begrenzung fehlgeschlagener Anmeldeversuche je Konto und IP-Adresse (Rate-Limiting).
• Zugriffskontrolle: rollenbasiertes Rechtekonzept (Administrator, Mitarbeiter, externer Lesezugriff); mandantengetrennte Speicherung, sodass jeder Betrieb nur auf seine eigenen Daten zugreifen kann.

Integrität

• Verschlüsselte Übertragung sämtlicher Daten über TLS (HTTPS).
• Verschlüsselte Speicherung hochgeladener Nachweisdateien (AES-256-GCM).
• Unveränderbare Historie der Erledigungen; Korrekturen nur als neuer, nachvollziehbarer Eintrag.

Verfügbarkeit und Belastbarkeit

• Regelmäßige, automatisierte Datensicherungen der Datenbank und der Dateiablage.
• Self-Service-Export aller Daten (CSV) und Dateien (ZIP) durch den Verantwortlichen.
• Überwachung der Dienstverfügbarkeit.

Verfahren zur regelmäßigen Überprüfung

• Einsatz aktueller, sicherheitsgepflegter Softwarekomponenten.
• Trennung von Entwicklungs- und Produktivumgebung.
• Datenminimierung: Erhebung nur der für den Dienst erforderlichen Daten.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland – Hosting und Serverbetrieb (Verarbeitung in Deutschland).
• Brevo / Sendinblue GmbH, Köln, Deutschland (bzw. Brevo SAS, Paris, Frankreich) – Versand von System- und Erinnerungs-E-Mails (Verarbeitung in der EU).
• Optional, sofern aktiviert: S3-kompatibler Objektspeicher eines Anbieters mit Standort in Deutschland – Ablage hochgeladener Nachweisdateien.

Die Abrechnung kostenpflichtiger Tarife erfolgt per Rechnung ohne externen Zahlungsdienstleister; die dabei verarbeiteten Vertrags- und Rechnungsdaten des Verantwortlichen (Kontoinhabers) fallen in unsere eigene Verantwortlichkeit und sind nicht Gegenstand dieser Auftragsverarbeitung.