Vereinbarung zur Auftragsverarbeitung

1. Vertragsparteien

Diese Vereinbarung zur Auftragsverarbeitung wird zwischen dem Kunden von RouteNavo als Verantwortlichem im Sinne der DSGVO (nachfolgend „Auftraggeber“) und

Thorsten Maier
Einzelunternehmer
Maschstraße 76
31137 Hildesheim
Deutschland
E-Mail: kontakt@routenavo.de

als Auftragsverarbeiter (nachfolgend „Auftragnehmer“) geschlossen.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software-as-a-Service-Anwendung RouteNavo zur Planung, Optimierung, Durchführung und Dokumentation von Touren und Lieferungen.

Die Verarbeitung erfolgt für die Dauer des zwischen Auftraggeber und Auftragnehmer bestehenden Vertrags über die Nutzung von RouteNavo, soweit sich aus gesetzlichen Aufbewahrungspflichten nichts anderes ergibt.

3. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der vom Auftraggeber genutzten Funktionen von RouteNavo und nach dokumentierten Weisungen des Auftraggebers.

Hierzu können insbesondere gehören:

• Speicherung und Verwaltung von Empfänger- und Kundendaten,
• Adressprüfung und Geokodierung,
• Planung und Optimierung von Touren,
• Berechnung und Darstellung von Routen,
• Bereitstellung von Tourdaten für Fahrer,
• Erfassung von Zustell- und Tourstatus,
• Speicherung von Zustellnachweisen einschließlich Fotos, sofern diese Funktion vom Auftraggeber verwendet wird,
• Versand von im Rahmen der Anwendung vorgesehenen Benachrichtigungen,
• technische Sicherung, Fehleranalyse und Wiederherstellung der Anwendung.

4. Arten personenbezogener Daten

Abhängig von der Nutzung durch den Auftraggeber können insbesondere folgende Daten verarbeitet werden:

• Vor- und Nachnamen,
• Firmen- und Organisationsbezeichnungen,
• Post- und Lieferanschriften,
• E-Mail-Adressen,
• Telefonnummern,
• geografische Koordinaten,
• Liefer- und Tourinformationen,
• Zeitfenster und geplante beziehungsweise tatsächliche Zeiten,
• Zustellstatus und Zustellinformationen,
• Zustellnachweise und gegebenenfalls Fotos,
• sonstige vom Auftraggeber im Rahmen der vorgesehenen Funktionen eingegebene Daten.

5. Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

• Kunden des Auftraggebers,
• Empfänger von Lieferungen oder Leistungen,
• Ansprechpartner bei Geschäftskunden,
• Beschäftigte, Fahrer und sonstige vom Auftraggeber eingesetzte Personen,
• weitere Personen, deren Daten der Auftraggeber zulässigerweise in RouteNavo verarbeitet.

6. Weisungsgebundene Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, soweit er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist.

Die Nutzung und Konfiguration von RouteNavo durch den Auftraggeber sowie die in diesem Vertrag und im Hauptvertrag beschriebenen Verarbeitungen gelten als dokumentierte Weisungen.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber hierüber unverzüglich.

7. Vertraulichkeit

Der Auftragnehmer stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Zugriff auf personenbezogene Daten wird auf diejenigen Personen beschränkt, die diesen zur Erfüllung ihrer Aufgaben benötigen.

8. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Maßnahmen sind in Anlage 2 dieser Vereinbarung beschrieben. Die Maßnahmen können entsprechend der technischen Entwicklung angepasst werden, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird.

9. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen in angemessenem Umfang bei der Erfüllung datenschutzrechtlicher Pflichten.

Dies betrifft insbesondere:

• die Bearbeitung von Betroffenenrechten,
• die Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO,
• die Bereitstellung erforderlicher Informationen über die Auftragsverarbeitung.

10. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Daten betroffen sind, die im Auftrag des Auftraggebers verarbeitet werden.

Der Auftragnehmer stellt dem Auftraggeber die ihm verfügbaren Informationen zur Verfügung, die dieser zur Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten benötigt.

11. Unterauftragsverarbeiter

Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO.

Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

Beabsichtigt der Auftragnehmer die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, informiert er den Auftraggeber vorab in geeigneter Weise. Der Auftraggeber kann aus berechtigten datenschutzrechtlichen Gründen gegen die Änderung Einspruch erheben.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter, soweit gesetzlich erforderlich, zu Datenschutzpflichten, die den Anforderungen des Art. 28 DSGVO entsprechen.

12. Drittlandübermittlungen

Soweit im Rahmen der Auftragsverarbeitung personenbezogene Daten in ein Drittland außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.

Hierzu können insbesondere ein Angemessenheitsbeschluss, Standardvertragsklauseln der Europäischen Kommission oder andere gesetzlich zulässige Garantien eingesetzt werden.

13. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

Der Auftraggeber ist berechtigt, die Einhaltung der vereinbarten Datenschutzmaßnahmen in angemessenem Umfang selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer zu kontrollieren.

Kontrollen sind grundsätzlich mit angemessener Vorankündigung während der üblichen Geschäftszeiten durchzuführen und dürfen den Geschäftsbetrieb des Auftragnehmers nicht unangemessen beeinträchtigen. Gesetzliche Kontrollrechte bleiben unberührt.

14. Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

Daten in Sicherungskopien können bis zu ihrer turnusmäßigen Überschreibung verbleiben. Sie dürfen während dieses Zeitraums nicht für andere Zwecke verarbeitet werden und unterliegen weiterhin den vereinbarten Schutzmaßnahmen.

15. Verantwortlichkeit des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung und Übermittlung der personenbezogenen Daten sowie für die Rechtmäßigkeit der Verarbeitung im Rahmen der von ihm bestimmten Zwecke verantwortlich.

Dies gilt insbesondere für die Entscheidung, welche Daten in RouteNavo eingegeben werden und ob Funktionen wie Zustellfotos oder Benachrichtigungen eingesetzt werden.

16. Rangfolge

Bei Widersprüchen zwischen dieser Vereinbarung zur Auftragsverarbeitung und sonstigen vertraglichen Vereinbarungen zwischen den Parteien gehen hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag die Regelungen dieser Vereinbarung vor.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand: Bereitstellung der SaaS-Anwendung RouteNavo.

Zweck: Tourenplanung, Routenoptimierung, Lieferorganisation, Fahrerbereitstellung, Statusverwaltung und Zustelldokumentation.

Dauer: Dauer des Nutzungsvertrags zuzüglich technisch und gesetzlich erforderlicher Lösch- und Aufbewahrungszeiträume.

Datenarten und Betroffenengruppen: gemäß Ziffern 4 und 5 dieser Vereinbarung.

Anlage 2 – Technische und organisatorische Maßnahmen

Zugangs- und Zugriffsschutz

• personalisierte Benutzerkonten,
• passwortgeschützte Zugänge,
• rollen- und organisationsbezogene Berechtigungen,
• serverseitige Zugriffskontrollen,
• Schutz vor unberechtigtem Zugriff auf Kundenbereiche.

Übertragung und Kommunikation

• verschlüsselte Übertragung über HTTPS/TLS,
• beschränkte Weitergabe personenbezogener Daten an technisch erforderliche Dienste,
• Schutz von Zugangsdaten und API-Schlüsseln vor öffentlicher Offenlegung.

Mandantentrennung

• logische Zuordnung von Daten zu Organisationen beziehungsweise Kundenkonten,
• serverseitige Prüfung der Berechtigung bei Zugriffen auf organisationsbezogene Daten.

Verfügbarkeit und Wiederherstellung

• tägliche automatisierte Sicherung der produktiven RouteNavo-Datenbank,
• Aufbewahrung der automatisierten Datenbanksicherungen für grundsätzlich 30 Tage,
• Zugriffsschutz für das Backup-Verzeichnis und die darin gespeicherten Sicherungsdateien,
• technische Prüfung der erzeugten Datenbanksicherungen auf Lesbarkeit,
• erprobtes Verfahren zur Wiederherstellung der Datenbank aus einer Sicherung.

Datenschutz und Sicherheit im Entwicklungsbetrieb

• Beschränkung administrativer Zugriffe auf erforderliche Personen,
• Trennung von geheimen Zugangsdaten und öffentlich ausgeliefertem Anwendungscode,
• regelmäßige Aktualisierung und Wartung der eingesetzten Softwarekomponenten.

Die konkreten Maßnahmen werden entsprechend dem Stand der Technik und dem Risiko der jeweiligen Verarbeitung fortentwickelt.

Anlage 3 – Unterauftragsverarbeiter

Für die Auftragsverarbeitung können insbesondere folgende Dienstleister eingesetzt werden:

Weitere externe Dienste

Daneben können für einzelne Funktionen externe Dienste eingesetzt werden, insbesondere für Adresssuche und Geokodierung. Solche Dienste sind nicht allein aufgrund ihrer technischen Einbindung Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO. Ihre datenschutzrechtliche Einordnung richtet sich nach der konkreten Verarbeitung und den jeweils geltenden Vertragsbedingungen.

Zahlungsdienstleister, die personenbezogene Daten im Rahmen der Zahlungsabwicklung in eigener datenschutzrechtlicher Verantwortlichkeit verarbeiten, sind keine Unterauftragsverarbeiter im Rahmen dieser Vereinbarung.

Weitere Informationen zu den eingesetzten externen Diensten enthält die Datenschutzerklärung.

Schlussbestimmungen

Im Übrigen gelten die zwischen den Parteien vereinbarten Nutzungsbedingungen, soweit diese Vereinbarung keine spezielleren Regelungen zur Auftragsverarbeitung enthält.

Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung treten die gesetzlichen Vorschriften.