Vereinbarung zur Auftragsverarbeitung (AVV)

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Anwendung Flottenbasis. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Auswertung und Bereitstellung von Daten zur Verwaltung von Fuhrpark und Fahrzeugschäden, Führerscheinkontrollen, Arbeitsschutz (Gefährdungsbeurteilungen, Unterweisungen), Schulungen mit Prüfungen, Mitarbeiter-Onboarding und Dokumentenverwaltung sowie Versand hiermit zusammenhängender E-Mail-Benachrichtigungen.

3. Art der Daten und Kategorien betroffener Personen

• Betroffene: Mitarbeitende, Führungskräfte und Auftragnehmer des Verantwortlichen; Administratoren des Kundenkontos.
• Stammdaten: Name, E-Mail, Telefon, Abteilung, Position, Beschäftigungsart, Eintrittsdatum, Teamzugehörigkeit.
• Führerscheindaten: Nummer, Klassen, Ausstellungs-/Ablaufdatum, Behörde, Kontrollnachweise, Bilddateien.
• Fahrzeugbezogene Daten: Fahrzeugzuordnung, Schadensmeldungen inkl. Fotos und Beschreibungen.
• Schulungs- und Arbeitsschutzdaten: Zuweisungen, Fortschritt, Prüfungsergebnisse, elektronische Unterschriften, Zertifikate.
• Dokumente: Verträge, Nachweise, Zertifikate und sonstige hochgeladene Dateien einschließlich Metadaten.
• Nutzungsdaten: Anmeldezeitpunkte, technische Protokolle.

4. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Weisungen werden in der Regel durch die Nutzung der Anwendung erteilt; darüber hinausgehende Weisungen sind in Textform zu übermitteln. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und beschränkt den Zugriff auf das für die Leistungserbringung erforderliche Maß.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen und entwickelt sie entsprechend dem Stand der Technik fort:

• Mandantentrennung: Jeder Datensatz ist einem Unternehmen zugeordnet; der Zugriff wird auf Datenbankebene durch Row Level Security je Unternehmen und Rolle durchgesetzt, sodass kein Zugriff auf Daten anderer Kunden möglich ist.
• Zugangskontrolle: Authentifizierung über E-Mail und Passwort mit Mindestanforderungen, optional Zwei-Faktor-Authentifizierung; Sitzungen mit rotierenden Token; Einladung von Mitarbeitenden ausschließlich durch Administratoren an verifizierte E-Mail-Adressen.
• Zugriffskontrolle: Rollenmodell (Administrator/Mitarbeitende) mit datensatzgenauer Beschränkung; privilegierte Vorgänge nur serverseitig; Schutz sicherheitsrelevanter Felder gegen Änderung durch Nutzer.
• Verschlüsselung: TLS für alle Verbindungen; Verschlüsselung gespeicherter Daten und Backups; Passwörter ausschließlich als Hash.
• Dateispeicher: private Speicherbereiche je Unternehmen; Abruf nur über kurzlebige signierte Links durch berechtigte Personen; keine öffentlichen Dateien.
• Verfügbarkeit: tägliche Backups, redundante Infrastruktur in EU-Rechenzentren, Wiederherstellungsverfahren.
• Protokollierung: Zugriffe und Fehler auf Systemebene werden protokolliert und zur Sicherheitsanalyse ausgewertet.
• Datenminimierung: Führerscheinerkennung lokal im Browser; keine Analyse- oder Tracking-Dienste.
• Löschung: Selbstbedienungsfunktionen zur Anonymisierung von Personen und zur vollständigen Löschung des Unternehmenskontos einschließlich aller Dateien.
• Organisation: Verpflichtung der Beschäftigten auf Vertraulichkeit, Need-to-know-Prinzip, regelmäßige Überprüfung der Maßnahmen und Sicherheitsprüfungen vor größeren Änderungen.

7. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der nachfolgenden Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail; der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der diesem die gleichen Datenschutzpflichten auferlegt.

Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992

Datenbank, Authentifizierung, Dateispeicher – Hosting bei Amazon Web Services, Region eu-west-1 (Irland)

Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA

Hosting und Auslieferung der Anwendung – Serverstandort Europäische Union; EU-US Data Privacy Framework, Standardvertragsklauseln

Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA

Versand von Transaktions-E-Mails – EU-US Data Privacy Framework, Standardvertragsklauseln

8. Übermittlung in Drittländer

Eine Verarbeitung außerhalb des EWR erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln mit ergänzenden Maßnahmen).

9. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO), insbesondere durch Export- und Löschfunktionen in der Anwendung, sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Anfragen Betroffener, die unmittelbar beim Auftragsverarbeiter eingehen, leitet dieser unverzüglich an den Verantwortlichen weiter.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, und teilt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen mit, soweit sie ihm vorliegen; fehlende Informationen werden nachgereicht.

11. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen einschließlich Dateien und Backups innerhalb von 30 Tagen, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Zuvor kann der Verantwortliche die Daten in einem maschinenlesbaren Format exportieren. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

12. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, insbesondere aktuelle Beschreibungen der technischen und organisatorischen Maßnahmen und vorhandene Zertifizierungen der Unterauftragsverarbeiter. Überprüfungen vor Ort sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, soweit sie nicht durch die vorgelegten Nachweise ersetzt werden können.

13. Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag gehen die Regelungen dieser Vereinbarung in Datenschutzfragen vor. Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht.