Angebot anfordern

Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO zwischen

Verantwortlicher („Kunde“): das Unternehmen, das diesen Vertrag in FleetCred abschließt
Auftragsverarbeiter („Anbieter“): Sebastian Schmied, Marktstr. 4, 76593 Gernsbach

§ 1 Gegenstand und Dauer

  • Der Anbieter stellt dem Kunden die Plattform FleetCred bereit und betreibt sie (Hauptvertrag: Angebot und Allgemeine Geschäftsbedingungen). Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag regelt die Pflichten beider Seiten zum Datenschutz.
  • Der Vertrag gilt für die Laufzeit des Hauptvertrags. Die Pflichten nach § 8 gelten darüber hinaus.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

  • Zweck: Verwaltung von Fahrerdaten und Dokumentfristen, Erinnerungen, Kontrolle von Führerschein, ADR-Bescheinigung, Fahrerqualifizierungsnachweis (FQN) und Fahrerkarte mit Fotoaufnahme, automatischer Auswertung, Freigabe und Prüfprotokoll sowie Verwaltung der Benutzer des Kunden.
  • Art der Verarbeitung: Erheben, Speichern, Auslesen per Texterkennung, Abgleichen, Übermitteln von Benachrichtigungen, Bereitstellen von Berichten und Protokollen, Löschen.
  • Betroffene: Fahrerinnen und Fahrer und weitere Beschäftigte des Kunden, deren Dokumente geprüft werden; Benutzer der Plattform beim Kunden.
  • Daten der Fahrer: Name, Personalnummer, Kostenstelle, Geburtsdatum, E-Mail-Adresse, Mobilnummer; Angaben zu den Dokumenten (Nummern, Klassen, Ablaufdaten, ADR-Umfang, FQN, Fahrerkarte); Fotos der Dokumente; Ergebnisse, Erklärungen und Zeitpunkte der Kontrollen; technische Angaben zur Aufnahme (Gerätetyp, IP-Adresse beim Absenden, Aufnahmewerte); Benachrichtigungen mit Zustellstatus.
  • Daten der Benutzer: Name, E-Mail-Adresse, Rolle, Kostenstellen, Anmelde- und Aktivitätsprotokoll mit IP-Adresse.
  • Besondere Kategorien (Art. 9 DSGVO) werden nicht gezielt verarbeitet. Führerscheine können Schlüsselzahlen mit Gesundheitsbezug enthalten, etwa 01 für eine Sehhilfe; sie werden nur als Teil des Dokuments gelesen und gespeichert. Gesichtsbilder auf den Dokumenten werden nicht biometrisch ausgewertet.

§ 3 Weisungen

  • Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Kunde in der Plattform vornimmt, zum Beispiel Aufbewahrungsfrist der Fotos, Benachrichtigungskanäle oder automatische Bestätigung. Weitere Weisungen erteilt der Kunde in Textform.
  • Ist der Anbieter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er das dem Kunden vorher mit, soweit das Gesetz es nicht verbietet.
  • Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 4 Pflichten des Anbieters

  • Der Anbieter verarbeitet die Daten nur für die Zwecke des Kunden und nicht für eigene Zwecke. Kopien entstehen nur als Datensicherung.
  • Personen, die beim Anbieter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
  • Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
  • Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO). Die Plattform bietet dafür Auskunft per Export, Berichtigung und Löschung. Anfragen, die beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter.
  • Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.
  • Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
  • Ansprechpartner für den Datenschutz beim Anbieter: Sebastian Schmied, info@fleetcred.de.

§ 5 Unterauftragsverarbeiter

  • Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
  • Über den Einsatz oder Wechsel weiterer Unterauftragsverarbeiter informiert der Anbieter mindestens vier Wochen vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
  • Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau (Art. 28 Abs. 4 DSGVO).
  • Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation sowie die Push-Dienste der Browser- und Gerätehersteller, über die Benachrichtigungen Ende-zu-Ende-verschlüsselt zugestellt werden.

§ 6 Übermittlung in Drittländer

  • Der Anbieter verarbeitet die Daten in der EU bzw. im EWR. Eine Übermittlung in Drittländer erfolgt nur nach Art. 44 ff. DSGVO.
  • Nutzt der Kunde den Kanal WhatsApp, werden Telefonnummer, Nachrichteninhalt und technische Daten an Meta übermittelt und auch in den USA verarbeitet. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), hilfsweise die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Meta handelt dabei teilweise in eigener Verantwortung. Der Kunde entscheidet, ob er den Kanal nutzt, und holt dafür das Einverständnis der Fahrer ein.

§ 7 Nachweise und Kontrollen

  • Der Anbieter stellt dem Kunden auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind.
  • Der Kunde kann die Einhaltung nach Absprache überprüfen, auch vor Ort, mit einer Vorankündigung von zwei Wochen, zu üblichen Geschäftszeiten und ohne den Betrieb zu stören. Die Kosten trägt der Kunde, es sei denn, die Prüfung ergibt einen erheblichen Verstoß des Anbieters.

§ 8 Rückgabe und Löschung

  • Während der Laufzeit kann der Kunde seine Daten jederzeit in der Plattform exportieren und löschen.
  • Nach Vertragsende kann der Kunde seine Daten noch 30 Tage lang exportieren. Danach löscht der Anbieter alle Daten des Kunden; in den Datensicherungen werden sie mit deren Ablauf nach spätestens 14 Tagen überschrieben. Das gilt nicht, soweit eine gesetzliche Pflicht zur Aufbewahrung besteht.
  • Die Löschung bestätigt der Anbieter auf Anfrage in Textform.

§ 9 Haftung

  • Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 10 Schlussbestimmungen

  • Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
  • Änderungen und Ergänzungen bedürfen der Textform. Der Abschluss in elektronischer Form, etwa durch Bestätigung in der Plattform, genügt (Art. 28 Abs. 9 DSGVO).
  • Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritt zu den Servern

  • Die Server stehen im Rechenzentrum von Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Falkenstein/Vogtland, Deutschland). Zutritt hat nur dessen Personal nach dessen Sicherheitskonzept. Der Anbieter betreibt keine eigenen Serverräume. Das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert, der Betreiber hält ein BSI-C5-Testat (Typ 2), und seine technischen und organisatorischen Maßnahmen sind von TÜV Rheinland geprüft.

Zugang zur Plattform und zu den Servern

  • Anmeldung nur mit persönlichem Konto; Passwörter mit mindestens 10 Zeichen, gespeichert nur als Hashwert (bcrypt).
  • Zwei-Faktor-Anmeldung (TOTP) für alle Konten verfügbar.
  • Sperre für 15 Minuten nach 8 falschen Passwörtern; Sitzungen enden acht Stunden nach der letzten Aktivität.
  • Schutz gegen Cross-Site-Request-Forgery und Sicherheits-Header (u. a. Content-Security-Policy, HSTS).
  • Datenbank und Anwendung sind nur auf dem Server selbst erreichbar; von außen nur HTTPS über den Webserver. Die Anwendung läuft unter einem eingeschränkten Dienstkonto.
  • Laufen auf einem Server weitere Dienste des Anbieters, ist FleetCred davon getrennt: eigene Datenbank mit eigenem Benutzer, Programm und Dateien nur für Administratoren und das Dienstkonto zugänglich, kein Zugriff über Dateiübertragungsdienste.
  • Die Server verwaltet nur der Anbieter über verschlüsselte Fernzugänge (SSH mit Schlüssel bzw. Remotedesktop).

Zugriff auf Daten

  • Rollen mit abgestuften Rechten (Admin, Prüfer, Nur lesen); Prüfer und Lesezugriff lassen sich auf Kostenstellen beschränken.
  • Strikte logische Trennung der Kunden: Jede Abfrage ist an das Unternehmen des Benutzers gebunden.
  • Fahrer sehen nur die eigenen Daten über einen persönlichen Link. Er ist zufällig erzeugt, nur als Prüfwert gespeichert, läuft ab und lässt sich sperren.
  • Entwicklung und Tests erfolgen mit Testdaten auf getrennten Systemen.

Verschlüsselung und Pseudonymisierung

  • Alle Verbindungen sind per TLS verschlüsselt (Zertifikate von Let’s Encrypt).
  • Dokumentfotos werden mit AES-256-GCM verschlüsselt gespeichert, Datensicherungen mit AES-256.
  • Metadaten wie der Aufnahmeort werden beim Foto entfernt; das Livebild der Kamera wird nur auf dem Gerät ausgewertet.
  • Der öffentliche Echtheitsnachweis eines Protokolls zeigt nur die Initialen der kontrollierten Person.

Weitergabe und Eingabe

  • Keine Weitergabe an Dritte außer an die Unterauftragsverarbeiter nach Anlage 2. Push-Nachrichten sind Ende-zu-Ende-verschlüsselt.
  • Aktivitätsprotokoll: wer hat wann was angelegt, geändert, entschieden, exportiert oder gelöscht.
  • Abgeschlossene Kontrollen werden versiegelt (Zeitstempel, SHA-256-Prüfsumme, Verkettung); spätere Änderungen fallen auf.

Verfügbarkeit und Wiederherstellung

  • Tägliche verschlüsselte Sicherung von Datenbank, Fotos und Konfiguration; Aufbewahrung 14 Tage. Die Wiederherstellung ist beschrieben und erprobt.
  • Der Dienst startet bei Fehlern automatisch neu; Updates werden vor dem Einspielen automatisiert getestet.

Löschung und Datensparsamkeit

  • Fotos werden nach der vom Kunden gewählten Frist automatisch gelöscht, auf Wunsch direkt nach der Entscheidung.
  • IP-Adressen bei Einreichungen und im Aktivitätsprotokoll werden nach 90 Tagen gelöscht.
  • Löscht der Kunde einen Fahrer, werden dessen Daten, Kontrollen, Fotos und Benachrichtigungen entfernt.
  • Keine Analyse-, Werbe- oder Trackingdienste; keine Einbindung externer Inhalte.

Organisation

  • Weisungen und Unterauftragsverarbeiter werden dokumentiert; Unterauftragsverarbeiter werden vertraglich verpflichtet.
  • Die Maßnahmen werden bei Änderungen der Plattform, mindestens einmal jährlich, überprüft.
  • Für Datenschutzverletzungen gibt es ein festes Vorgehen: Eindämmen, Bewerten, Meldung an den Kunden nach § 4.

Anlage 2: Unterauftragsverarbeiter

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Bereitstellung und Betrieb der Server (Rechenzentrum, Netzanbindung), Standort Falkenstein/Vogtland, Deutschland
  • seven communications GmbH & Co. KG, Willestr. 4-6, 24103 Kiel – Versand von SMS und WhatsApp-Nachrichten, nur wenn der Kunde diese Kanäle nutzt. Für WhatsApp ist Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland eingebunden; die Infrastruktur betreibt Meta Platforms, Inc. in den USA (siehe § 6).
  • DeinServerHost, Inhaber Christian Ralph Hennig, Grubenstr. 21, 66265 Heusweiler – Betrieb des E-Mail-Servers für den Versand der Benachrichtigungen und das Postfach info@fleetcred.de

Stand

16.10.2026