Auftragsverarbeitungsvertrag (AVV)

Zuletzt aktualisiert: 15.08.2026

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV”) konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien, die sich aus dem zwischen ihnen geschlossenen Nutzungsvertrag über den Dienst Log06 (nachfolgend „Hauptvertrag”) ergeben.

Auftraggeber (nachfolgend „Verantwortlicher”) ist das im Kundenkonto hinterlegte Unternehmen.

Auftragnehmer (nachfolgend „Auftragsverarbeiter”) ist:

[FIRMENNAME] [RECHTSFORM] [STRASSE UND HAUSNUMMER] [PLZ] [ORT] Deutschland

Dieser AVV wird durch Verweis Bestandteil des Hauptvertrags und gilt mit dessen Abschluss als geschlossen. Er gilt für die gesamte Laufzeit des Hauptvertrags.

Klarstellung zur Rollenverteilung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten in zwei unterschiedlichen Rollen:

1. Als Auftragsverarbeiter im Sinne dieses AVV verarbeitet er alle Inhaltsdaten, die der Verantwortliche im Rahmen der Nutzung des Dienstes verarbeitet – insbesondere die Daten der Beschäftigten des Verantwortlichen sowie sämtliche Fahrt-, Fahrzeug- und Kennzeichendaten.
2. Als eigener Verantwortlicher verarbeitet er die Vertrags-, Abrechnungs- und Kontostammdaten des Verantwortlichen sowie Daten zur Sicherstellung des Betriebs und der Sicherheit des Dienstes. Diese Verarbeitung ist nicht Gegenstand dieses AVV; sie richtet sich nach der Datenschutzerklärung.

§ 1 Gegenstand, Dauer und Beendigung

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zum Zweck der Bereitstellung des Dienstes Log06 – einer Software zur digitalen Führung des Fahrtenbuchs für rote Kennzeichen – nach Maßgabe des Hauptvertrags.

(2) Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Verpflichtungen, die ihrer Natur nach fortgelten – insbesondere Vertraulichkeit und Löschung – bestehen darüber hinaus fort.

(4) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und ist nur zulässig, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Ausgenommen hiervon sind die in Anlage 3 ausdrücklich benannten Fälle.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation, es sei denn, der Auftragsverarbeiter ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die im Hauptvertrag und in diesem AVV, einschließlich seiner Anlagen, beschriebene Nutzung des Dienstes stellt die Grundweisung des Verantwortlichen dar. Jede Konfiguration und jede Eingabe, die der Verantwortliche oder die von ihm berechtigten Personen im Dienst vornehmen, gilt als Einzelweisung im Rahmen dieser Grundweisung.

(3) Weisungen, die über die vertraglich vereinbarte Leistung hinausgehen, bedürfen der Textform. Der Auftragsverarbeiter kann für die Umsetzung solcher Weisungen eine angemessene Vergütung verlangen, sofern deren Umsetzung mit einem nicht unerheblichen Aufwand verbunden ist.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

(5) Weisungsberechtigt auf Seiten des Verantwortlichen sind die im Dienst mit der Rolle „Gruppenadministration” hinterlegten Personen sowie die dem Auftragsverarbeiter in Textform benannten Personen.

§ 3 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

(2) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen datenschutzrechtlichen Bestimmungen vertraut sind und regelmäßig geschult werden.

(3) Der Zugriff auf personenbezogene Daten des Verantwortlichen wird auf diejenigen Beschäftigten des Auftragsverarbeiters beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Laufzeit dieses AVV aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.

(3) Der Verantwortliche hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen überzeugt und überzeugt sich während der Laufzeit regelmäßig davon.

§ 5 Berichtigung, Einschränkung und Löschung von Daten

(1) Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung personenbezogener Daten nur nach Weisung des Verantwortlichen ein. Soweit der Dienst dem Verantwortlichen entsprechende Funktionen bereitstellt, nimmt dieser die Handlungen selbst vor.

(2) Der Dienst stellt dem Verantwortlichen insbesondere die folgenden Funktionen zur Verfügung:

• Berichtigung von Fahrtdatensätzen unter Führung einer revisionssicheren Änderungshistorie
• Stornierung von Fahrtdatensätzen unter Angabe einer Begründung
• Deaktivierung von Nutzerkonten
• vollständige und unwiderrufliche Löschung der gesamten Organisation einschließlich aller zugehörigen Daten

(3) Der Auftragsverarbeiter setzt darüber hinaus die in Anlage 4 beschriebenen automatisierten Aufbewahrungs- und Löschroutinen um.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit seine allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO.

(2) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der jeweils aktuellen Liste der Unterauftragsverarbeiter benannt und vom Verantwortlichen genehmigt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über die beabsichtigte Hinzuziehung eines neuen oder den Austausch eines bestehenden Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse.

(4) Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach Zugang der Information aus einem wichtigen, datenschutzrechtlich begründeten Anlass in Textform widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

(5) Im Fall eines Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt eine solche nicht innerhalb von 30 Tagen zustande und kann der Auftragsverarbeiter den Dienst ohne den betreffenden Unterauftragsverarbeiter nicht in vertragsgemäßer Qualität erbringen, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von 30 Tagen zum Monatsende zu kündigen. Bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

(6) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV entsprechen, und wählt ihn sorgfältig unter besonderer Berücksichtigung der Eignung seiner technischen und organisatorischen Maßnahmen aus. Er kontrolliert die Einhaltung dieser Pflichten in angemessenen Abständen.

(7) Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verhalten wie für eigenes.

(8) Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und die keinen Bezug zu den Daten des Verantwortlichen aufweisen (etwa Telekommunikationsleistungen oder Reinigungsdienste).

§ 7 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern der Verantwortliche nichts anderes weist. Er informiert die betroffene Person über die Weiterleitung.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen nach Möglichkeit dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte nachzukommen.

(3) Soweit der Dienst dem Verantwortlichen die erforderlichen Funktionen bereitstellt – insbesondere Einsicht, Berichtigung, Auswertung und Löschung –, nimmt der Verantwortliche die Beantwortung selbst vor. Für darüber hinausgehende Unterstützungsleistungen kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen.

(4) Hinweis zur technischen Ausgestaltung: Das Feld „Name der fahrenden Person” ist ein Freitextfeld und nicht personenbezogen indiziert. Ein Auskunftsersuchen zu einer namentlich benannten Person erfordert daher eine Durchsicht der betroffenen Fahrtdatensätze. Der Auftragsverarbeiter unterstützt den Verantwortlichen hierbei auf Anforderung.

§ 8 Unterstützung bei weiteren Pflichten des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei

• der Sicherheit der Verarbeitung,
• der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen,
• der Durchführung einer Datenschutz-Folgenabschätzung und
• einer etwaigen vorherigen Konsultation der Aufsichtsbehörde.

Für Unterstützungsleistungen, die über die Bereitstellung der ohnehin vorhandenen Informationen hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden.

(2) Die Meldung erfolgt in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse und enthält, soweit bekannt:

• eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• den Namen und die Kontaktdaten einer Ansprechperson,
• eine Beschreibung der wahrscheinlichen Folgen,
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.

(3) Können nicht alle Informationen gleichzeitig bereitgestellt werden, meldet der Auftragsverarbeiter zunächst die verfügbaren Angaben und ergänzt die übrigen unverzüglich, sobald sie vorliegen.

(4) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.

(2) Der Nachweis kann erbracht werden durch

• die Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen,
• die Vorlage aktueller Prüfberichte, Testate oder Zertifizierungen des Auftragsverarbeiters oder seiner Unterauftragsverarbeiter,
• die Beantwortung eines schriftlichen Fragenkatalogs des Verantwortlichen.

(3) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche nach angemessener Vorankündigung von in der Regel 30 Tagen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Vor-Ort-Kontrolle durchführen oder durch eine zur Verschwiegenheit verpflichtete, mit dem Auftragsverarbeiter nicht im Wettbewerb stehende prüfende Person durchführen lassen. Solche Kontrollen finden höchstens einmal jährlich statt, sofern kein konkreter Anlass für eine häufigere Prüfung besteht.

(4) Der Auftragsverarbeiter kann für den Aufwand aus Kontrollen, die über eine jährliche Prüfung hinausgehen, eine angemessene Vergütung verlangen.

§ 11 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Der Verantwortliche hat vor Beendigung des Hauptvertrags die Möglichkeit, seine Daten über die im Dienst bereitgestellten Exportfunktionen zu sichern. Der Auftragsverarbeiter stellt die Daten für einen Zeitraum von 30 Tagen nach Vertragsende zum Abruf bereit, sofern der Verantwortliche die Löschung nicht ausdrücklich früher verlangt.

(3) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die Daten. Der Verantwortliche kann die Löschung jederzeit selbst und mit sofortiger Wirkung über die im Dienst bereitgestellte Funktion zur Löschung der Organisation auslösen.

(4) Hinweis: Zur Ausfallsicherheit werden Datenbestände kontinuierlich gesichert; diese Sicherungen umfassen ein rollierendes Zeitfenster von 35 Tagen. Gelöschte Daten sind darin noch enthalten und werden mit Ablauf dieses Zeitfensters endgültig entfernt. Ein Zugriff auf Sicherungen erfolgt ausschließlich zur Wiederherstellung im Störungsfall.

(5) Hinweis zu gesetzlichen Aufbewahrungspflichten: Den Verantwortlichen können hinsichtlich der im Dienst geführten Fahrtenbuchdaten eigene gesetzliche Aufbewahrungspflichten treffen, insbesondere aus § 147 AO und § 16 FZV. Es obliegt dem Verantwortlichen, diese Pflichten vor Beendigung des Hauptvertrags durch einen Export der Daten zu erfüllen.

(6) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 12 Haftung

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO.

(2) Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie nicht zwingenden gesetzlichen Vorschriften widersprechen.

(3) Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Dies umfasst insbesondere die Erfüllung der Informationspflichten nach den Art. 13 und 14 DSGVO gegenüber seinen Beschäftigten und gegenüber dritten Personen, deren Daten er im Dienst erfasst, sowie die Beachtung der Vorgaben des § 26 BDSG und etwaiger Mitbestimmungsrechte.

§ 13 Schlussbestimmungen

(1) Dieser AVV wird durch Verweis Bestandteil des Hauptvertrags. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Der Auftragsverarbeiter kann diesen AVV anpassen, soweit dies aufgrund einer Änderung der Rechtslage, der Rechtsprechung oder der Verwaltungspraxis erforderlich wird. Er informiert den Verantwortlichen hierüber mindestens 30 Tage vor Wirksamwerden in Textform. Widerspricht der Verantwortliche nicht innerhalb dieser Frist, gilt die Änderung als angenommen; auf diese Folge weist der Auftragsverarbeiter in der Mitteilung gesondert hin.

(4) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem verfolgten Zweck am nächsten kommt.

(5) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist [GERICHTSSTAND], soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1 — Gegenstand und Einzelheiten der Verarbeitung

1. Gegenstand und Zweck

Bereitstellung und Betrieb der Software Log06 zur digitalen Führung des gesetzlich vorgeschriebenen Fahrtenbuchs für Fahrten mit roten Kennzeichen (Prüfungs-, Probe- und Überführungsfahrten nach § 16 FZV) sowie der zugehörigen Verwaltungs- und Auswertungsfunktionen.

2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Bereitstellen durch Übermittlung an Berechtigte des Verantwortlichen, Einschränken, Löschen und Vernichten.

3. Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen, die als Nutzerinnen und Nutzer angelegt sind (Gruppenadministration, Filialleitung, operative Nutzung)
• Personen, die als fahrende Person in einem Fahrtdatensatz benannt werden – dies können auch dritte Personen sein, etwa Kundinnen und Kunden auf einer Probefahrt oder Überführungsfahrerinnen und -fahrer
• Personen, deren Angaben in Freitextfeldern (Fahrtzweck, Start- oder Zieladresse) oder auf einem Foto einer Fahrzeugscheinheft-Seite erscheinen

4. Arten personenbezogener Daten

Nutzerdaten Vor- und Nachname, dienstliche E-Mail-Adresse, Passwort-Hash, Rolle, Filialzuordnung, Status, Spracheinstellung, Zeitpunkt der Anlage und der letzten Änderung.

Fahrtdaten Name der fahrenden Person (Freitext), Zweck der Fahrt (Freitext), Start- und Zieladresse (Text), Beginn und Ende der Fahrt, Kennzeichen, Fahrgestellnummer, Hersteller und Modell des Fahrzeugs, Kennung der erfassenden Person, Status, Begründung einer Stornierung.

Änderungshistorie Name und Kennung der ändernden Person, Zeitpunkt, Begründung, Datensatz im Zustand vor und nach der Änderung.

Fahrzeug- und Kennzeichendaten Fahrgestellnummer, Hersteller, Modell, Fahrzeugart, Datum der Erstzulassung, Seitennummer im physischen Fahrzeugscheinheft, Kennzeichen und dessen Gültigkeitszeitraum.

Bilddaten Fotos der Seiten des physischen Fahrzeugscheinhefts. Diese können handschriftliche Angaben und Unterschriften enthalten.

Standortbezogene Daten Start- und Zieladresse als Textangabe. Der Standort wird auf dem Endgerät jeweils einmalig bei Beginn und Ende einer Fahrt ermittelt und dort in eine Adressangabe umgewandelt. Koordinaten werden nicht an den Auftragsverarbeiter übermittelt und nicht gespeichert. Eine fortlaufende Ortung findet nicht statt.

Nicht verarbeitet werden: Führerschein- oder Ausweisdaten, Geburtsdatum, private Anschrift, private Telefonnummer, Kilometerstände, Gesundheitsdaten sowie sonstige besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO.

5. Ort der Verarbeitung

Rechenzentren in Frankfurt am Main, Bundesrepublik Deutschland (Region eu-central-1).

Anlage 2 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

1. Vertraulichkeit

Zutrittskontrolle. Die Verarbeitung erfolgt ausschließlich in zertifizierten Rechenzentren des Infrastrukturdienstleisters innerhalb der Europäischen Union. Der Auftragsverarbeiter unterhält keine eigenen Serverräume. Die Zutrittssicherung obliegt dem Betreiber der Rechenzentren und ist durch dessen Zertifizierungen nachgewiesen.

Zugangskontrolle. Der Zugang zur Anwendung erfolgt ausschließlich über eine persönliche Anmeldung mit E-Mail-Adresse und Passwort über einen dedizierten Verzeichnisdienst. Passwörter werden ausschließlich als kryptografischer Hash gespeichert. Es gilt eine Passwortrichtlinie mit Mindestlänge und Zeichenklassenanforderung. Zugangsmerkmale sind zeitlich befristet (Zugriffstoken 1 Stunde, Erneuerungstoken 30 Tage). Der administrative Zugang zur Infrastruktur ist auf einen namentlich bekannten Personenkreis beschränkt.

Zugriffskontrolle. Ein abgestuftes Rollen- und Berechtigungskonzept mit drei Stufen steuert, welche Daten eine Person einsehen und bearbeiten kann. Die Berechtigungsprüfung erfolgt bei jeder Anfrage serverseitig anhand des gespeicherten Nutzerdatensatzes und nicht anhand von Angaben des Endgeräts. Änderungen an Rolle, Zuordnung oder Status werden binnen weniger Minuten wirksam. Die Systemkomponenten erhalten jeweils nur die minimal erforderlichen Berechtigungen.

Trennungskontrolle. Jeder Datensatz ist eindeutig einer Organisation zugeordnet. Sämtliche Datenbankzugriffe sind zwingend auf die Organisation der anfragenden Person eingeschränkt; eine organisationsübergreifende Abfrage ist technisch ausgeschlossen. Entwicklungs-, Test- und Produktivumgebung sind in getrennten Konten des Infrastrukturdienstleisters vollständig voneinander isoliert.

Pseudonymisierung. Nach Ablauf der gesetzlichen Aufbewahrungsfrist werden die personenbezogenen Felder der Fahrtdatensätze automatisiert unkenntlich gemacht (siehe Anlage 4). Betriebsprotokolle enthalten planmäßig nur technische Kennungen und keine Klarnamen oder E-Mail-Adressen.

2. Integrität

Weitergabekontrolle. Sämtliche Datenübertragungen erfolgen ausschließlich verschlüsselt über TLS. Die Dateispeicher weisen unverschlüsselte Verbindungen zurück. Dateien sind nicht öffentlich abrufbar und ausschließlich über kurzlebige, signierte Einzel-Links zugänglich (Abruf 1 Stunde, Hochladen 5 Minuten, begrenzt auf 10 Megabyte und die Formate JPEG und PNG). Ein Datenträgertransport findet nicht statt.

Eingabekontrolle. Jede Änderung an einem Fahrtdatensatz wird revisionssicher protokolliert; gespeichert werden die ändernde Person, der Zeitpunkt, die Begründung sowie der Datensatz vor und nach der Änderung. Fahrtdatensätze werden während der Aufbewahrungsfrist nicht gelöscht, sondern ausschließlich als korrigiert oder storniert gekennzeichnet. Sämtliche Schnittstellenaufrufe werden vor der Verarbeitung gegen ein festes Schema validiert; Datenbankabfragen erfolgen ausschließlich parametrisiert.

3. Verfügbarkeit und Belastbarkeit

Die Anwendung wird auf einer verwalteten, mehrfach redundanten Infrastruktur betrieben. Der Datenbestand wird kontinuierlich gesichert; eine Wiederherstellung auf einen beliebigen Zeitpunkt innerhalb der letzten 35 Tage ist möglich. Produktivressourcen sind gegen versehentliches Löschen geschützt. Die Anfragerate ist begrenzt, um Überlastung und missbräuchliche Nutzung abzuwehren. Der Betrieb wird protokolliert und überwacht.

4. Verfahren zur regelmäßigen Überprüfung

Auftragskontrolle. Unterauftragsverarbeiter werden sorgfältig ausgewählt, vertraglich nach Art. 28 Abs. 4 DSGVO verpflichtet und in angemessenen Abständen überprüft.

Überprüfung und Bewertung. Der Auftragsverarbeiter führt regelmäßige Sicherheitsüberprüfungen der Anwendung und der Infrastruktur durch. Eine umfassende interne Sicherheits- und Datenschutzprüfung wurde zuletzt im August 2026 durchgeführt und die daraus abgeleiteten Maßnahmen umgesetzt. Eingesetzte Fremdbibliotheken werden fortlaufend auf bekannte Schwachstellen geprüft.

Geheimnisverwaltung. Zugangsschlüssel zu Drittsystemen werden in einer dedizierten, verschlüsselten Geheimnisverwaltung vorgehalten und nicht im Quellcode oder in Anwendungskonfigurationen gespeichert.

Datenschutz durch Technikgestaltung und Voreinstellungen. Standortkoordinaten verlassen das Endgerät nicht. Die Nutzungsstatistik der mobilen Anwendung ist standardmäßig deaktiviert. Bildschirmaufzeichnungen zur Fehlerdiagnose erfolgen ausschließlich im Fehlerfall und mit erzwungener Maskierung sämtlicher Texte und Bilder. An die Fehlerdiagnose werden keine Klarnamen, E-Mail-Adressen, IP-Adressen oder Standortdaten übermittelt.

Zahlungsdaten. Die Zahlungsabwicklung ist vollständig an einen spezialisierten Dienstleister ausgelagert. Zahlungskartendaten erreichen die Systeme des Auftragsverarbeiters zu keinem Zeitpunkt.

Anlage 3 — Unterauftragsverarbeiter

Es gilt die jeweils aktuelle Fassung der Liste der Unterauftragsverarbeiter. Sie ist Bestandteil dieses AVV und benennt für jeden Unterauftragsverarbeiter die erbrachte Leistung, die verarbeiteten Datenkategorien und den Ort der Verarbeitung.

Die Verarbeitung der Inhaltsdaten des Verantwortlichen findet ausschließlich innerhalb der Europäischen Union statt.

Soweit einzelne, in der Liste ausdrücklich gekennzeichnete Nebenleistungen eine Übermittlung in ein Drittland mit sich bringen können, erfolgt diese auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Maßnahmen.

Anlage 4 — Aufbewahrung und Löschung

Die Aufbewahrungsfrist für Fahrtdatensätze ist konfigurierbar und auf zehn Jahre voreingestellt. Die Löschroutinen laufen automatisiert einmal täglich.