Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO · Stand: Juni 2026
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Nutzers zur Erbringung des Dienstes „Auftragsbuch" (Import, Verknüpfung und Aufbereitung von Fahrt-/Schichtdaten, Erstellung digitaler Auftragsbücher).
(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages (AGB) und endet automatisch mit dessen Beendigung.
§ 2 Art, Zweck und Ort der Verarbeitung
(1) Art: Erheben, dauerhaftes Speichern (Monats-Berichtsarchiv über die Sitzungsdauer hinaus), Verknüpfen (Matching), Auswerten, Erstellen von PDF-Dokumenten, Bereitstellen zum Abruf, Löschen.
(2) Zweck: Erstellung digitaler Auftragsbücher (§ 49 PBefG) sowie zugehöriger Auswertungen aus den vom Nutzer bereitgestellten Daten.
(3) Ort: EU (Hosting in Frankfurt am Main). Drittlandbezug nur über genehmigte Unterauftragsverarbeiter (§ 7).
§ 3 Daten und betroffene Personen
Kategorien personenbezogener Daten:
- Namen der Fahrerinnen und Fahrer (Klarnamen aus Plattform-Exporten und HALE-Stammdaten), gespeichert und im Dashboard/Stundenzettel des Verantwortlichen angezeigt
- Fahrer-Kennungen / interne Fahrer-IDs
- Arbeits-/Schichtzeiten, Fahrtzeiten
- Fahrzeug-/Kennzeichendaten in Verbindung mit Fahrten
- Fahrt-/Auftragsdaten (Abhol-/Zielorte, Zeitstempel, TSE-/DSFinV-Daten)
Betroffene Personen: Fahrerinnen und Fahrer des Nutzers.
Im erzeugten Auftragsbuch-PDF werden keine Fahrernamen ausgewiesen (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).
§ 4 Weisungsrecht
(1) Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Nutzers, soweit nicht gesetzlich zu etwas anderem verpflichtet.
(2) Der Anbieter informiert den Nutzer unverzüglich, wenn er eine Weisung für rechtswidrig hält.
§ 5 Pflichten des Anbieters
(1) Vertraulichkeit: Es werden nur zur Vertraulichkeit verpflichtete Personen eingesetzt (Art. 28, 29, 32 Abs. 4 DSGVO).
(2) Datensicherheit: Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.
(3) Unterstützung: Der Anbieter unterstützt den Nutzer im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12–23) sowie bei Pflichten nach Art. 32–36 DSGVO.
(4) Datenschutzverletzungen werden dem Nutzer unverzüglich nach Bekanntwerden gemeldet.
(5) Ansprechpartner beim Anbieter: [email protected].
§ 6 Rückgabe und Löschung
Der Nutzer (Verantwortlicher) kann gespeicherte Monate jederzeit selbst löschen (Datenbank und Objektspeicher). Nach Beendigung des Hauptvertrages werden die im Auftrag verarbeiteten Daten nach einer Karenzzeit von 90 Tagen gelöscht; innerhalb dieser Frist ist ein Export möglich. Bei vollständiger Kontolöschung wird auch das Objektspeicher-Archiv (Cloudflare R2) gelöscht. Gesetzliche Aufbewahrungspflichten des Verantwortlichen (insbesondere § 147 AO) bleiben unberührt und liegen beim Verantwortlichen.
§ 7 Unterauftragsverarbeiter
(1) Der Nutzer genehmigt den Einsatz folgender Unterauftragsverarbeiter:
| Dienstleister | Zweck | Ort | Garantie |
|---|---|---|---|
| Fly.io | Hosting / Datenbank | Frankfurt (EU) | AVV |
| Cloudflare, Inc. | Objektspeicher (R2) für Uploads/PDFs | EU-Endpoint / USA (Konzern) | DPF / SCC |
| Clerk, Inc. | Authentifizierung | USA | DPF / SCC |
| Stripe, Inc. / Stripe Payments Europe | Zahlungsabwicklung | USA / Irland | DPF / SCC |
(2) Der Anbieter informiert den Nutzer über beabsichtigte Änderungen vorab; der Nutzer kann widersprechen (Art. 28 Abs. 2 DSGVO).
§ 8 Kontroll- und Nachweisrechte
Der Anbieter stellt dem Nutzer die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen.
§ 9 Haftung und Schlussbestimmungen
(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrages.
(2) Bei Widerspruch zwischen diesem AVV und dem Nutzungsvertrag gehen in Bezug auf die Datenverarbeitung die Regelungen dieses AVV vor.
(3) Es gilt deutsches Recht.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Vertraulichkeit: Zugriffskontrolle über authentifizierte Konten (Clerk); Mandantentrennung (Multi-Tenant); rollenbasierte Zugriffe.
- Integrität: Hash-Sicherung der Datensätze (SHA-256), Transportverschlüsselung (TLS).
- Verschlüsselung: TLS in Transit (HTTPS erzwungen); Verschlüsselung des Datenbank-Speichers im Ruhezustand durch Fly.io (AES-XTS) und des Objektspeichers (Cloudflare R2, serverseitige Verschlüsselung at-rest).
- Zugriff auf Archivdateien: ausschließlich über kurzlebige signierte Links (ca. 5 Minuten Gültigkeit); kein öffentlicher Bucket-Zugriff.
- Verfügbarkeit: Hosting in der EU (Fly.io Frankfurt), automatische Volume-Snapshots.
- Datenminimierung: Keine Fahrernamen im PDF-Output.