Vertrag zur Auftragsverarbeitung

zwischen dem Kunden, der Kipptakt nutzt („Auftraggeber“), und der Acciovate UG (haftungsbeschränkt), Brenscheder Straße 20, 44799 Bochum („Auftragnehmer“). Dieser Vertrag ist Teil jedes Vertrags über Kipptakt (§ 13 AGB) und gilt mit dessen Abschluss als vereinbart. Auf Wunsch senden wir ihn unterschrieben als PDF.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Software Kipptakt nach den AGB bereit („Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten, für die der Auftraggeber Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist.

(2) Dieser Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, bis alle Daten nach § 11 gelöscht oder zurückgegeben sind.

§ 2 Art, Zweck und Betroffene

(1) Art der Verarbeitung: Speichern, Ordnen, Anzeigen, Ändern, Übermitteln (etwa per E-Mail, SMS oder an verbundene Dienste), Exportieren und Löschen. Zweck: Bereitstellung und Betrieb von Kipptakt für die Auftragsabwicklung des Containerdienstes – Bestellseite, Kundenportal, Disposition, Fahrer-App, Wiegescheine, Rechnungen, Zahlungsabgleich, Genehmigungen, Berichte – sowie Support und Datensicherung.

(2) Betroffene und Daten:

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber trägt solche Daten nicht in Freitextfelder oder Fotos ein.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; dann teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Recht es nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen sind der Hauptvertrag, dieser Vertrag und die Nutzung und Einstellung der Funktionen von Kipptakt durch den Auftraggeber, etwa das Anlegen von Benutzern, das Einschalten des SMS-Versands oder das Verbinden eines Zahlungsdienstes. Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf sie aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte, außer nach diesem Vertrag.

§ 4 Vertraulichkeit

Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus, und verarbeiten die Daten nur nach Weisung (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Zugriff auf Daten eines Auftraggebers nimmt der Auftragnehmer nur, soweit es für Betrieb, Fehlerbehebung oder Support nötig ist.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt, und dokumentiert wesentliche Änderungen.

§ 6 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anfragen Betroffener nach Art. 15 bis 22 DSGVO zu beantworten. Kipptakt stellt dafür Funktionen bereit, insbesondere den vollständigen Datenexport. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO, etwa bei einer Datenschutz-Folgenabschätzung.

(3) Unterstützung, die über die Funktionen von Kipptakt und einen geringen Aufwand hinausgeht, kann der Auftragnehmer nach vorheriger Ankündigung zu angemessenen Sätzen berechnen – nicht, wenn er selbst gegen diesen Vertrag oder die DSGVO verstoßen hat.

§ 7 Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden und spätestens 48 Stunden, nachdem sie ihm bekannt geworden ist, in Textform an die hinterlegte E-Mail-Adresse des Inhabers; er ist dafür auch an Wochenenden und Feiertagen erreichbar. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach, sobald sie vorliegen. Er ergreift sofort die nötigen Maßnahmen, um die Daten zu sichern und Nachteile für die Betroffenen zu mindern.

§ 8 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Will der Auftragnehmer einen weiteren Unterauftragsverarbeiter einsetzen oder einen ersetzen, teilt er das dem Auftraggeber mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden die Parteien keine Lösung, kann jede Seite den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet für ihn wie für eigenes Handeln.

(4) Keine Unterauftragsverarbeitung sind Dienste, die der Auftraggeber mit eigenem Konto und Vertrag an Kipptakt anbindet, etwa Mollie oder lexoffice. An sie übermittelt der Auftragnehmer Daten auf Weisung des Auftraggebers; für diese Dienste ist der Auftraggeber verantwortlich.

§ 9 Ort der Verarbeitung

Der Auftragnehmer verarbeitet die Daten ausschließlich in der Europäischen Union und im Europäischen Wirtschaftsraum. Kartenbilder für die Büro-Ansicht holt der Auftragnehmer beim Bundesamt für Kartographie und Geodäsie ab, ohne Daten des Auftraggebers zu übermitteln (Datenschutzerklärung Nr. 9). Eine Verarbeitung außerhalb der EU und des EWR bedarf der vorherigen Zustimmung des Auftraggebers in Textform und der Voraussetzungen der Art. 44 ff. DSGVO.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO). Als Nachweis können auch Zertifikate seiner Rechenzentren und, sobald vorhanden, Berichte über Sicherheitsprüfungen dienen.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen vor Ort durchführen, nach Anmeldung mit mindestens vier Wochen Vorlauf, während der üblichen Geschäftszeiten und ohne den Betrieb zu stören, in der Regel höchstens einmal im Jahr. Bei einem konkreten Anlass, etwa nach einer Datenschutzverletzung, ist eine Kontrolle auch kurzfristig möglich. Prüfer, die mit dem Auftragnehmer im Wettbewerb stehen, kann er ablehnen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen der Aufsichtsbehörde, soweit sie diesen Vertrag betreffen.

§ 11 Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Auftraggeber alle Daten nach § 12 AGB exportieren. Danach löscht der Auftragnehmer alle Daten des Auftraggebers einschließlich vorhandener Kopien; aus den Datensicherungen verschwinden sie spätestens 30 Tage später. Eine Pflicht zur Aufbewahrung nach Unionsrecht oder deutschem Recht hat der Auftragnehmer für diese Daten nicht. Auf Verlangen bestätigt er die Löschung in Textform. Die Aufbewahrungspflichten des Auftraggebers, etwa für Rechnungen, erfüllt der Auftraggeber selbst mit dem Export.

§ 12 Schlussbestimmungen

(1) In Fragen des Datenschutzes geht dieser Vertrag den AGB vor. Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO; im Verhältnis der Parteien zueinander gilt § 16 AGB.

(2) Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Rechenzentrum: Server ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland, zertifiziert nach ISO/IEC 27001, mit elektronischer Zutrittskontrolle und Videoüberwachung. Auf Arbeitsrechnern des Auftragnehmers werden keine Daten der Auftraggeber dauerhaft gespeichert.
• Netz: Kipptakt ist aus dem Internet nur über Cloudflare, Inc. (Anlage 2) erreichbar: TLS ab Version 1.2, Abwehr von Angriffen und Überlastung. Auch zwischen Cloudflare und den Servern ist die Verbindung verschlüsselt.
• Zugang zu Kipptakt: Passwörter mit mindestens 12 Zeichen, Groß- und Kleinbuchstaben und Ziffern, geprüft gegen bekannte Datenlecks; Zwei-Faktor-Anmeldung (Code aus einer Authenticator-App) für jeden Zugang wählbar und für Inhaber und Büro empfohlen; neue Zugänge nur über eine Einladung per E-Mail, deren signierter Link 7 Tage gilt und nur so lange, bis die Person ihr Passwort selbst festgelegt hat; Fahrer melden sich mit E-Mail und Passwort an, ihre App erreicht nur die Fahrer-Funktionen und bleibt angemeldet, bis der Fahrer sich abmeldet, das Büro das Gerät oder die Person überall abmeldet oder die Rollen ändert; ein neues Passwort meldet alle anderen Sitzungen und Apps ab; Begrenzung von Anmeldeversuchen; Sitzungen im Browser enden nach 8 Stunden ohne Aktivität, außer der Nutzer wählt „Angemeldet bleiben“.
• Zugang zu den Servern: nur für namentlich bestimmte Administratoren, nur verschlüsselt per SSH mit persönlichem Schlüssel; keine Anmeldung mit Passwort.
• Zugriffsrechte: Rollen (Inhaber, Büro, Fahrer) nach dem Prinzip der geringsten Rechte, bei jeder Aktion serverseitig geprüft. Passwörter nur als Hash (bcrypt). Zugangsschlüssel zu Zahlungs- und Buchhaltungsdiensten verschlüsselt gespeichert und in der Oberfläche nicht wieder auslesbar.
• Fahrer-Geräte: Zugangsschlüssel im geschützten Speicher des Betriebssystems; Fahrten des Tages und noch nicht gesendete Meldungen unverschlüsselt im Speicher der App, geschützt durch Bildschirmsperre und Geräteverschlüsselung (Pflicht des Auftraggebers, § 7 AGB).
• Trennung: eigener, getrennter Datenbereich (Datenbankschema) für die Betriebsdaten jedes Auftraggebers; Benutzerkonten in einer gemeinsamen Tabelle, in der jeder Datensatz seinem Auftraggeber zugeordnet ist und bei jedem Zugriff danach gefiltert wird; Entwicklung und Tests ohne echte Kundendaten.
• Pseudonymisierung: nicht vorgesehen, weil die Daten für die Auftragsabwicklung im Klartext gebraucht werden.

Integrität

• Übertragung: alle Verbindungen von Browser, Fahrer-App und Schnittstellen verschlüsselt (TLS, HTTPS und WSS); E-Mail-Versand per TLS.
• Eingabekontrolle: Änderungsprotokoll mit Benutzer, Zeitpunkt und Inhalt, das sich nicht nachträglich ändern lässt – für Aufträge, Fahrten, Wiegescheine, Rechnungen, Zahlungen und Genehmigungen sowie für neue und geänderte Zugänge (Rollen, Abmeldung, Deaktivierung, Anmeldeadresse), Änderungen der Firmen- und Bankdaten und jeden Datenexport. Fahrt-Ereignisse und Wiegescheine können nur ergänzt, nicht überschrieben werden; festgeschriebene Rechnungen sind durch die Datenbank gegen Änderungen gesperrt.

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Datensicherung an einem vom Server getrennten Ort, Aufbewahrung 30 Tage; die Wiederherstellung wird monatlich getestet.
• Rechenzentrum mit unterbrechungsfreier Stromversorgung, Klimatisierung und Brandmeldetechnik.
• Begrenzung von Anfragen gegen Überlastung; die Fahrer-App arbeitet ohne Netz weiter und sendet später.

Löschung

• Standorte aus der Fahrer-App: automatisch jede Nacht nach der Frist, die der Auftraggeber in den Einstellungen festlegt (1 bis 3650 Tage, ohne Einstellung 90 Tage); auf Knopfdruck sofort.
• Änderungsprotokoll: zehn Jahre nach Ende des Kalenderjahres, in dem der Eintrag entstand (GoBD).
• Alle übrigen Daten: nach Weisung des Auftraggebers und bei Vertragsende nach § 11; Server-Protokolle nach 14 Tagen, Datensicherungen nach 30 Tagen.
• Die Datenbank lässt bei Meldungen und Protokoll nur diese Löschungen zu; jede andere Änderung weist sie ab.

Überprüfung

• Sicherheitsupdates für Betriebssystem und Software werden zeitnah eingespielt; jede neue Version durchläuft vor der Veröffentlichung automatisierte Tests.
• Die Maßnahmen werden mindestens einmal im Jahr und nach jedem Sicherheitsvorfall überprüft.
• Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Weisungen der Auftraggeber werden dokumentiert.

Anlage 2: Unterauftragsverarbeiter

Kein Unterauftragsverarbeiter

Kartenbilder (basemap.de) holt der Server des Auftragnehmers beim Bundesamt für Kartographie und Geodäsie (BKG), Richard-Strauss-Allee 11, 60598 Frankfurt am Main, ab und speichert sie zwischen. Dabei werden weder personenbezogene Daten noch IP-Adressen der Nutzer übermittelt.

Anlage 3: Textbaustein für Ihre Datenschutzerklärung

Ihre Kunden müssen erfahren, wer ihre Daten in Ihrem Auftrag verarbeitet. Dafür genügen Kategorien von Empfängern (Art. 13 Abs. 1 lit. e DSGVO) – Kipptakt muss nicht auf Ihrer Seite stehen. Fragt ein Kunde nach, nennen Sie ihm den Dienstleister aber konkret (Art. 15 Abs. 1 lit. c DSGVO, EuGH C-154/21). Übernehmen Sie diesen Abschnitt in die Datenschutzerklärung, die auf Ihrer Bestellseite verlinkt ist, und streichen Sie, was Sie nicht eingeschaltet haben. Er ersetzt keine vollständige Datenschutzerklärung.