Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Verarbeitung personenbezogener Daten im Auftrag im Rahmen der Nutzung der Software „Einsatzzentrale24" ergeben.

— nachfolgend „Verantwortlicher" und „Auftragsverarbeiter" —

§ 1 Gegenstand und Dauer

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Software „Einsatzzentrale24" (Planung, Angebots- und Auftragsverwaltung, Einsatz- und Personaldisposition). Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag) und endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und betroffene Personen

Zweck: Erbringung der vertraglich vereinbarten SaaS-Leistungen für den Verantwortlichen.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln innerhalb der Anwendung sowie Löschen.

Art der Daten (typischerweise):

• Stammdaten von Mitarbeitenden und Kund:innen (Name, Anschrift, E-Mail, Telefon, Ansprechpartner)
• Auftrags-, Angebots-, Projekt- und Einsatzdaten (inkl. Mengen, Zeiten, Leistungsorte, zugeordnetes Personal/Fahrzeuge)
• Fahrzeug-/Fuhrparkdaten (z. B. Kennzeichen)
• Kommunikations- und Protokolldaten (z. B. Notizen, Kommentare, zu Einsätzen hochgeladene Fotos)

Kategorien betroffener Personen: Mitarbeitende, Kund:innen und Ansprechpartner:innen des Verantwortlichen.

Protokollierung (Nachweis/Integrität): Zur Gewährleistung der Integrität und Nachweisbarkeit (z. B. wer wann ein Angebot angenommen oder geändert hat) protokolliert die Anwendung sicherheitsrelevante Vorgänge einschließlich IP-Adresse, Zeitstempel und ausgeführter Aktion. Diese Protokollierung wird dem Verantwortlichen als Funktion bereitgestellt; der Verantwortliche bleibt dafür verantwortlich, die betroffenen Personen hierüber zu informieren.

§ 3 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zu einer anderweitigen Verarbeitung verpflichtet ist.
2. Er gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
3. Er ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe § 4).
4. Er unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte sowie der Pflichten aus Art. 32–36 DSGVO im Rahmen seiner Möglichkeiten.
5. Er informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen um, insbesondere:

• Übertragung: verschlüsselte Übertragung per TLS/HTTPS; Session-Cookies mit Secure, HttpOnly und SameSite=Strict.
• Authentifizierung: Speicherung von Passwörtern ausschließlich als kryptografischer Hash (bcrypt); optionale Zwei-Faktor-Authentifizierung (TOTP) mit Backup-Codes.
• Sitzungssicherheit: automatische Abmeldung nach Inaktivität (8 Stunden) sowie absolute Sitzungsdauer (10 Stunden).
• Zugriffs- und Berechtigungskonzept: rollenbasierte Trennung (Inhaber, Mitarbeitende, Kund:innen) mit mandantengetrennter Datenhaltung; serverseitige Prüfung der Datenzugehörigkeit bei jedem Zugriff.
• Missbrauchsschutz: Begrenzung der Anfragehäufigkeit (Rate-Limiting) gegen automatisierten Missbrauch und Brute-Force-Versuche.
• Upload-Sicherheit: Prüfung hochgeladener Dateien anhand des MIME-Typs (nur Bildformate, keine ausführbaren Dateien); Ablage in einem gegen direkten Zugriff geschützten Verzeichnis außerhalb des Web-Roots.
• Protokollierung: Aufzeichnung sicherheitsrelevanter Ereignisse (IP, Zeit, Aktion); E-Mail-Adressen in Anmelde-Protokollen nur als nicht umkehrbarer Hash; automatische Löschung der Protokolle nach 30 Tagen.
• Fehlerbehandlung: Server-Fehlerprotokolle außerhalb des Web-Roots; keine Ausgabe technischer Details oder Stacktraces an Nutzer.
• Löschkonzept: Konto-Löschung als Soft-Delete mit 7-tägiger Wiederherstellungsfrist, danach endgültige Löschung.
• Hosting & Speicherort: Betrieb auf einem virtuellen Server (VPS) der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur; die Datenhaltung erfolgt in einem Rechenzentrum innerhalb der EU.
• Datensicherung: Regelmäßige automatisierte Backups über IONOS Cloud Backup (basierend auf Acronis); Speicherung der Sicherungen innerhalb der EU.

§ 5 Unterauftragsverhältnisse

Der Verantwortliche stimmt dem Einsatz der nachfolgenden Unterauftragnehmer zu. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen rechtzeitig und räumt ein Widerspruchsrecht ein.

• Brevo (Sendinblue GmbH / Brevo SAS) — Versand von Transaktions- und System-E-Mails — Standort EU.
• Stripe (Stripe Payments Europe, Ltd.) — Zahlungs- und Abonnement-Abwicklung — EU/USA.
• OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.) — KI-gestützte Textfunktionen: automatische Übersetzung von Aufgabentexten (KI-Lesehilfe) sowie Grammatik-/Textkorrektur von Website-Texten — USA.
• Hosting/Server: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur (Deutschland) — technischer Betrieb und Datenspeicherung — Serverstandort EU.

Soweit Unterauftragnehmer personenbezogene Daten in einem Drittland verarbeiten (insbesondere USA — Stripe, OpenAI), erfolgt die Übermittlung auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere der EU-Standardvertragsklauseln und/oder einer Zertifizierung unter dem EU-US Data Privacy Framework.

§ 6 Betroffenenrechte

Wendet sich eine betroffene Person mit Anliegen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und unterstützt ihn bei der Beantwortung.

§ 7 Meldepflichten

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Erfüllung der Meldepflichten nach Art. 33, 34 DSGVO erforderlichen Informationen bereit.

§ 8 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 9 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen.

§ 10 Haftung

Es gelten die Haftungsregelungen des Art. 82 DSGVO sowie die Bestimmungen des zugrunde liegenden Hauptvertrags.

§ 11 Schlussbestimmungen

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.