gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
Version 1.0 | Stand: März 2026 | Vertraulich
| Rolle | Angaben |
|---|---|
| Verantwortlicher (Art. 4 Nr. 7 DSGVO) |
[Firmenname des Kunden] [Anschrift des Kunden] [Ansprechpartner] [E-Mail-Adresse] |
| Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) |
Achraf Bolakhrif AVO Solutions / TransferFleet Collenbachstraße 1, 40476 Düsseldorf E-Mail: datenschutz@transferfleet.de |
Dieser Auftragsverarbeitungsvertrag regelt die Rechte und Pflichten der Vertragsparteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen durch den Auftragsverarbeiter. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen gemäß Art. 28 DSGVO.
Dieser AVV tritt gleichzeitig mit dem SaaS-Nutzungsvertrag in Kraft und endet mit dessen Beendigung. Die Regelungen zur Datenlöschung gemäß § 8 dieses AVV gelten über die Vertragsbeendigung hinaus fort.
Im Falle von Widersprüchen zwischen diesem AVV und den AGB oder sonstigen Vereinbarungen gehen die Regelungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.
Der Auftragsverarbeiter führt im Rahmen der SaaS-Plattform TransferFleet folgende Verarbeitungstätigkeiten durch:
Die Verarbeitung dient ausschließlich der Erbringung der vertraglich vereinbarten SaaS-Leistungen. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten zu keinen eigenen Zwecken.
| Kategorie | Beschreibung |
|---|---|
| Fahrer | Vom Kunden eingesetzte Fahrer, die über die Plattform verwaltet werden |
| Mitarbeiter | Mitarbeiter des Kunden, die die Plattform als Disponenten oder Administratoren nutzen |
| Endkunden | Auftraggeber des Kunden, deren Daten im Rahmen der Auftragsverwaltung erfasst werden |
| Empfänger / Absender | Personen an Abhol- und Zustelladressen |
| Dritte in E-Mails | Personen, deren Daten in weitergeleiteten E-Mails enthalten sind (KI-Import) |
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Name, Vorname, Firmenbezeichnung |
| Kontaktdaten | E-Mail, Telefon, Anschrift |
| Zugangsdaten | E-Mail-Adresse, Passwort-Hash (bcrypt), Rolle, Session-Tokens |
| Fahrzeugdaten | Kennzeichen, Fahrgestellnummer, Typ, Fotos |
| Auftragsdaten | Abhol-/Zustelladressen, Zeitfenster, Status, Preis, Referenznummern |
| GPS-Standortdaten | Echtzeit-Koordinaten während aktiver Aufträge |
| Fahrerdokumente | Führerscheinfoto, Ausweis, Ablaufdaten |
| Protokolldaten | Fotos, Unterschriften, Kilometerstand, Fahrzeugzustand |
| Leistungsdaten | Auftragshistorie, Bewertungen, Statistiken |
| Kommunikationsdaten | E-Mail-Inhalte (KI-Import), Chat-Nachrichten, Notizen |
| Rechnungsdaten | Rechnungsbeträge, USt-ID, Bankverbindung (IBAN/BIC) |
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Sofern der Auftragsverarbeiter durch das Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technisch-organisatorischen Maßnahmen. Die konkreten Maßnahmen sind in Anlage 1 dieses AVV dokumentiert. Der Auftragsverarbeiter überprüft und aktualisiert diese Maßnahmen regelmäßig unter Berücksichtigung des Stands der Technik.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO):
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO sowie bei der vorherigen Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO, soweit dies im Zusammenhang mit der Auftragsverarbeitung erforderlich ist.
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme (Art. 33 Abs. 2 DSGVO). Die Meldung umfasst mindestens:
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO). Prüfungen sind mit einer Vorlaufzeit von mindestens 4 Wochen anzumelden.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich und stellt insbesondere sicher:
Der Verantwortliche erteilt dem Auftragsverarbeiter Weisungen in Bezug auf die Verarbeitung. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, falls er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über Änderungen in der Art oder dem Umfang der Datenverarbeitung, die Auswirkungen auf die Leistungserbringung haben können.
Der Verantwortliche führt ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO, in dem die Auftragsverarbeitung durch TransferFleet dokumentiert ist.
Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung für den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter gewährleistet, dass mit allen Unterauftragsverarbeitern Verträge abgeschlossen werden, die mindestens die gleichen Datenschutzpflichten auferlegen wie dieser AVV.
Der Auftragsverarbeiter stellt sicher, dass:
Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorab über geplante Änderungen bei Unterauftragsverarbeitern (Hinzufügung oder Austausch). Der Verantwortliche hat das Recht, innerhalb von 14 Tagen nach Zugang der Information Widerspruch gegen die Änderung einzulegen. Im Falle eines berechtigten Widerspruchs sind beide Parteien verpflichtet, eine einvernehmliche Lösung zu finden.
Soweit eine Übermittlung personenbezogener Daten in Drittländer (außerhalb des EWR) erfolgt, wird diese ausschließlich auf Grundlage anerkannter Garantien durchgeführt:
Die primäre Datenbank wird bei Supabase Inc. in der EU-Region Frankfurt (eu-central-1) betrieben. Dadurch verbleiben die personenbezogenen Daten grundsätzlich innerhalb der EU.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage eine vollständige Dokumentation der ergriffenen Garantien für Drittlandtransfers zur Verfügung, einschließlich Kopien der EU-SCC und Nachweise der DPF-Zertifizierungen.
Der Verantwortliche kann jederzeit während der Vertragslaufzeit einen vollständigen Export seiner Daten in einem maschinenlesbaren Format (JSON/CSV) über die Plattform anfordern.
Nach Beendigung des SaaS-Nutzungsvertrags gewährt der Auftragsverarbeiter eine Karenzfrist von 30 Tagen, in der der Verantwortliche seine Daten exportieren kann. Während dieser Frist bleibt der Lesezugriff auf die Daten bestehen.
Nach Ablauf der Karenzfrist löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten vollständig und unwiderruflich. Dies umfasst:
Von der Löschungspflicht ausgenommen sind Daten, deren Aufbewahrung aufgrund gesetzlicher Verpflichtungen erforderlich ist, insbesondere steuer- und handelsrechtliche Aufbewahrungspflichten gemäß § 147 AO und § 257 HGB (Aufbewahrungsfrist: 10 Jahre). Diese Daten werden nach Ablauf der gesetzlichen Aufbewahrungsfrist gelöscht.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage eine schriftliche Bestätigung über die vollständige Löschung der Daten aus.
Der Auftragsverarbeiter haftet gemäß Art. 82 DSGVO für Schäden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden, oder wenn er in einer Weise gehandelt hat, die über die rechtmäßigen Weisungen des Verantwortlichen hinausgeht oder diesen zuwiderläuft.
Der Verantwortliche haftet für Schäden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden, insbesondere wenn er dem Auftragsverarbeiter rechtswidrige Weisungen erteilt hat.
Sind sowohl der Verantwortliche als auch der Auftragsverarbeiter an einer Verarbeitung beteiligt, die einem Betroffenen Schaden zugefügt hat, haften beide gesamtschuldnerisch gemäß Art. 82 Abs. 4 DSGVO, um einen wirksamen Schadensersatz sicherzustellen.
Die Bearbeitung von Anfragen betroffener Personen (Art. 15–22 DSGVO) obliegt dem Verantwortlichen. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird die Anfrage unverzüglich an den Verantwortlichen weitergeleitet.
Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen Umfang bei der Beantwortung von Betroffenenanfragen:
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Berücksichtigung der unmittelbar geltenden Vorschriften der Datenschutz-Grundverordnung (DSGVO).
Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Düsseldorf, sofern dies gesetzlich zulässig ist.
Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Die elektronische Form (E-Mail) genügt der Schriftform.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt diejenige wirksame Regelung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.
Soweit im Zusammenhang mit Drittlandtransfers EU-Standardvertragsklauseln (EU-SCC) abgeschlossen werden, gehen die Regelungen der EU-SCC bei Widersprüchen diesem AVV vor.
Dieser Auftragsverarbeitungsvertrag wird durch die nachfolgenden Unterschriften beider Vertragsparteien wirksam.
[Firmenname des Kunden]
Ort, Datum
Name, Unterschrift
Achraf Bolakhrif
AVO Solutions / TransferFleet
Ort, Datum
Name, Unterschrift
Der Auftragsverarbeiter hat folgende technisch-organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:
Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen verwehren:
Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden:
Maßnahmen, die gewährleisten, dass Berechtigte nur auf die ihrer Berechtigung unterliegenden Daten zugreifen:
Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden:
Maßnahmen, die verhindern, dass Daten bei der Übertragung unbefugt gelesen oder verändert werden:
Maßnahmen, die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem Daten eingegeben, verändert oder entfernt wurden:
Maßnahmen, die gewährleisten, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind:
Maßnahmen zur raschen Wiederherstellung der Verfügbarkeit bei einem Zwischenfall:
| Nr. | Maßnahme | Umsetzung |
|---|---|---|
| 1 | Verschlüsselung (Transport) | HTTPS/TLS für alle Verbindungen |
| 2 | Verschlüsselung (Speicher) | AES-256 Encryption at Rest (Supabase/AWS) |
| 3 | Zugangskontrolle | Supabase Auth + bcrypt + optionale MFA |
| 4 | Zugriffskontrolle | Row Level Security (RLS) + RBAC |
| 5 | Mandantentrennung | Logische Trennung durch company_id + RLS |
| 6 | Backup | Tägliche automatisierte Backups + PITR |
| 7 | Audit-Logging | Protokollierung aller sicherheitsrelevanten Aktionen |
| 8 | Monitoring | Automatisches Alerting bei Anomalien |
| 9 | Datenschutz-Management | Jährliche Überprüfung, dokumentierte Prozesse |
| 10 | Mitarbeiterschulung | Regelmäßige Sensibilisierung und Verpflichtung |
Folgende Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsschlusses genehmigt:
| Anschrift | 970 Toa Payoh North #07-04, Singapore 318992 / Oakland, CA, USA |
| Zweck | Datenbank (PostgreSQL), Authentifizierung, Dateispeicher (Storage), Echtzeit-Funktionen |
| Verarbeitete Daten | Alle in § 3.2 genannten Datenkategorien |
| Serverstandort | EU Frankfurt (eu-central-1) |
| Übermittlungsgrundlage | EU-SCC + EU-US Data Privacy Framework (DPF) |
| AVV/DPA | Data Processing Agreement abgeschlossen |
| Datenschutz-URL | supabase.com/privacy |
| Anschrift | 440 N Barranca Ave #4133, Covina, CA 91723, USA |
| Zweck | Webhosting, Content Delivery Network (CDN), Edge Functions, Serverless Functions |
| Verarbeitete Daten | IP-Adressen, HTTP-Anfragen, Session-Daten (technisch notwendig) |
| Serverstandort | Global CDN (bevorzugt EU-Regionen), USA |
| Übermittlungsgrundlage | EU-SCC + EU-US Data Privacy Framework (DPF) |
| AVV/DPA | Data Processing Agreement abgeschlossen |
| Datenschutz-URL | vercel.com/legal/privacy-policy |
| Anschrift | 3180 18th Street, San Francisco, CA 94110, USA |
| Zweck | KI-gestützte E-Mail-Analyse zur automatischen Extraktion von Auftragsdaten (GPT-4o API) |
| Verarbeitete Daten | E-Mail-Inhalte (Auftragsdaten, Adressen, Fahrzeugdaten, Kontaktdaten) |
| Serverstandort | USA (Microsoft Azure) |
| Übermittlungsgrundlage | EU-SCC + EU-US Data Privacy Framework (DPF) |
| AVV/DPA | Data Processing Agreement abgeschlossen — kein Training mit API-Daten |
| Datenschutz-URL | openai.com/policies/privacy-policy |
| Anschrift | 740 15th Street NW, Suite 500, Washington, DC 20005, USA |
| Zweck | Kartendarstellung, Routenberechnung, Geocoding, Live-Tracking-Visualisierung |
| Verarbeitete Daten | GPS-Koordinaten, Adressen (Geocoding), IP-Adressen (technisch bedingt) |
| Serverstandort | USA |
| Übermittlungsgrundlage | EU-SCC + EU-US Data Privacy Framework (DPF) |
| AVV/DPA | Data Processing Agreement abgeschlossen |
| Datenschutz-URL | mapbox.com/legal/privacy |