Vereinbarung zur Auftragsverarbeitung
Stand: 2026-10-22
Entwurfsfassung für den geplanten Betrieb. Gewerbe- und Registerangaben sowie die Liste der Hosting- und Kommunikationsdienstleister sind noch zu bestätigen. Die tatsächlichen Dienstleister und Verarbeitungsorte müssen vor Verarbeitung echter Kundendaten ergänzt werden.
1. Parteien und Einbeziehung
Auftragsverarbeiter ist Kevin Kozar, Einzelunternehmer, Johann Joseph Fux Gasse 3/11, 8480 Mureck, Österreich, Kontakt: kevin.kozar@kup-solutions.at. Verantwortlicher ist der im SaaS-Vertrag bezeichnete Geschäftskunde. Diese Vereinbarung ergänzt den Vertrag über Flottenplan und wird durch dokumentierte Einbeziehung in Textform, auch elektronisch, Vertragsbestandteil. Die Veröffentlichung dieser Entwurfsfassung allein ersetzt keine abgeschlossene Vereinbarung.
Vor der Verarbeitung echter Kundendaten müssen das Dienstleisterverzeichnis und die Verarbeitungsorte vervollständigt, die erforderlichen Genehmigungen eingeholt und die unten genannten Betriebsmaßnahmen umgesetzt sein. Bis dahin sind ausschließlich synthetische Testdaten zu verwenden.
2. Auftrag, Dauer und Daten
Der Auftrag umfasst das Erfassen, Speichern, Ordnen, Ändern, Berechnen, Bereitstellen, Exportieren, Sichern und Löschen betrieblicher Planungsdaten zur Touren-, Flotten-, Liefer- und Rückwarenplanung. Optimierungsberechnungen finden überwiegend im Browser statt; Arbeitsbereiche werden serverseitig gespeichert. Die Verarbeitung dauert während des SaaS-Vertrags und anschließend nur für vereinbarte Rückgabe, Löschung und erforderliche Aufbewahrung.
Betroffene sind insbesondere Beschäftigte und Fahrer des Kunden, dessen Kunden, Lieferanten, Empfänger, Ansprechpartner und andere in Aufträgen genannte Personen. Je nach Eingaben gehören dazu Namen, betriebliche Kontaktdaten, Lieferadressen und Koordinaten, Kennzeichen, Auftragsnummern, Lieferinhalte, Zeitfenster, Fahrerhinweise, Einsatz- und Lenkzeitangaben sowie Mitarbeiterzuordnungen und Personalkosten. Freitextfelder können weitere personenbezogene Angaben enthalten. Besondere Kategorien nach Art. 9 DSGVO und strafrechtliche Daten sind vom vorgesehenen Auftrag ausgeschlossen.
Der Kunde bestimmt Zweck, Zulässigkeit, Datenumfang und betriebliche Verwendung. Er informiert betroffene Personen und erteilt rechtmäßige Weisungen. Für eigene Vertragsverwaltung, Rechnungslegung und erforderliche eigene Sicherheitsverarbeitung handelt der Anbieter als Verantwortlicher; Einzelheiten stehen in der Datenschutzerklärung. Diese Abgrenzung erlaubt keine eigene Nutzung der Auftragsdaten für Werbung oder andere fremde Zwecke.
3. Weisungen und Vertraulichkeit
Verarbeitet wird ausschließlich auf dokumentierte Weisung des Kunden. Vertragsleistungen und vom berechtigten Nutzer ausgelöste Funktionen bilden die Ausgangsweisungen. Ergänzungen, Datenübermittlungen und Supportzugriffe werden nachvollziehbar dokumentiert. Verpflichtet Unions- oder Mitgliedstaatenrecht zu einer anderen Verarbeitung, informiert der Anbieter vorab über die Anforderung, soweit rechtlich zulässig.
Hält der Anbieter eine Weisung für datenschutzwidrig, informiert er den Kunden unverzüglich und setzt den betroffenen Schritt bis zur rechtmäßigen Klärung aus. Zugriffsberechtigte Personen werden vor ihrem Einsatz zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Pflicht. Zugriffe sind auf den notwendigen Umfang zu begrenzen; die Verschwiegenheit dauert nach Ende des Auftrags fort.
4. Sicherheit und Unterstützung
Der Anbieter trifft risikogerechte Maßnahmen nach Art. 32 DSGVO. Die technischen und organisatorischen Maßnahmen unterscheiden vorhandene Softwarefunktionen von vor Betriebsbeginn einzurichtenden Abläufen. Änderungen dürfen das vereinbarte Schutzniveau nicht absenken; wesentliche Änderungen werden dokumentiert und mitgeteilt.
Der Anbieter unterstützt den Kunden angesichts der Verarbeitung und verfügbarer Informationen bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzungen und erforderlichen Behördenkonsultationen. Anträge zu Auftragsdaten leitet er unverzüglich weiter und beantwortet sie nur nach Weisung oder eigener gesetzlicher Verpflichtung. Er stellt verfügbare Daten und Informationen rechtzeitig bereit. Ein angemessener Aufwandersatz für zusätzliche Leistungen kann vorab vereinbart werden; gesetzlich geschuldete Hilfe darf dadurch nicht vereitelt oder verzögert werden.
5. Datenschutzverletzungen
Bekannt gewordene Verletzungen des Schutzes von Auftragsdaten meldet der Anbieter dem Kunden unverzüglich. Die Meldung enthält, soweit bekannt, Art des Vorfalls, betroffene Daten und Personengruppen, Umfang, mögliche Folgen, Kontaktstelle und ergriffene oder vorgeschlagene Gegenmaßnahmen. Noch fehlende Angaben folgen ohne unangemessene Verzögerung. Der Anbieter sichert Erkenntnisse, dokumentiert den Verlauf und unterstützt Eindämmung und Aufklärung. Die Frist des Kunden für eine erforderliche Behördenmeldung ersetzt keine unverzügliche Information durch den Anbieter.
6. Weitere Auftragsverarbeiter und Verarbeitungsorte
| Leistung | Anbieter und Ort | Status |
|---|---|---|
| VPS, Betriebssystem und Speicher | Vertragspartner, Rechenzentrum, Länder und mögliche Fernzugriffsorte noch zu bestätigen | Keine Genehmigung durch diesen Entwurf |
| Transaktions-E-Mail | SMTP-Dienst derzeit nicht konfiguriert; Anbieter, Orte und Vertragsgrundlagen offen | Vor Aktivierung ergänzen und genehmigen |
| Kommunikation mit Support | Anbieter des veröffentlichten Kontaktpostfachs, Vertragsgrundlage sowie Speicher- und Zugriffsorte noch zu bestätigen | Bis zur Klärung keine Auftragsdaten übermitteln |
Jeder Unterauftragsverarbeiter bedarf vor seinem Einsatz einer gesonderten dokumentierten Genehmigung. Über beabsichtigte Ergänzungen oder Ersetzungen informiert der Anbieter mindestens 30 Tage vorher mit Leistung, Datenzugriff, Orten und Schutzmaßnahmen. Der Kunde kann begründet widersprechen; Schweigen gilt nicht als Zustimmung. Ohne Genehmigung erfolgt kein Einsatz für seine Daten. Ist keine geeignete Alternative möglich, vereinbaren die Parteien eine Anpassung oder Beendigung der betroffenen Leistung unter Wahrung der Datenrückgabe.
Unterauftragnehmer erhalten mindestens gleichwertige Datenschutzpflichten. Der Anbieter bleibt für deren Erfüllung verantwortlich. Übermittlungen oder Zugriffe außerhalb des EWR erfordern eine dokumentierte Weisung, Genehmigung und eine tragfähige Grundlage nach Kapitel V DSGVO einschließlich erforderlicher ergänzender Schutzmaßnahmen. Ein EU-Rechenzentrum wird derzeit nicht zugesichert.
Öffentliche Karten-, Geocoding- und Routingdienste sind durch diese AVV nicht automatisch als Unterauftragsverarbeiter genehmigt. Karte und ausgewähltes Routing können Verbindungen aus dem Browser auslösen; die Details beschreibt die Datenschutzerklärung. Für personenbezogene Auftragsdaten müssen Rolle, Zulässigkeit und notwendige Verträge vorher geklärt werden. Bis dahin sind synthetische oder ausreichend anonymisierte Daten zu verwenden. Eigene genehmigte Endpunkte erfordern eine technische Anpassung; die aktuelle Oberfläche bietet diese Konfiguration nicht an.
7. Rückgabe, Löschung und Anbieterwechsel
Nach Ende der Verarbeitung gibt der Anbieter die Auftragsdaten nach Wahl des Kunden zurück oder löscht sie. In beiden Fällen löscht er anschließend auch die bei ihm vorhandenen Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht; für verbliebene Sicherungskopien gilt die nachstehende Frist. Workspace-JSON, Touren-CSV und Druckausgaben sind bereits vorgesehen; sie bilden keinen vollständigen automatischen Export sämtlicher Konto- und Protokolldaten. Ergänzende Rückgabe erfolgt nach dokumentierter Abstimmung.
Vor endgültiger Löschung erhält der Kunde grundsätzlich mindestens 30 Kalendertage zum Abruf exportierbarer Daten. Soweit der Data Act auf einen Anbieterwechsel anwendbar ist, beginnt die Abruffrist nach Ende der vereinbarten Übergangszeit; weitergehende zwingende Wechselrechte bleiben erhalten. Eine frühere Löschung auf ausdrücklichen Wunsch erfolgt im gesetzlichen Rahmen.
Nach aktiver Löschung werden verbliebene Sicherungskopien spätestens innerhalb von 14 Tagen entfernt. Bis dahin bleiben sie gesperrt für den gewöhnlichen Zugriff; bei einer notwendigen Wiederherstellung sind Löschungen erneut anzuwenden. Eine erforderliche gezielte Bereinigung ist organisatorisch sicherzustellen. Gesetzlich aufzubewahrende Daten werden getrennt, zweckgebunden beschränkt und mit Rechtsgrund und Frist dokumentiert. Der Anbieter bestätigt die ausgeführte Rückgabe beziehungsweise Löschung. Diese Abläufe müssen vor Produktivbeginn eingerichtet werden; eine automatische Kontolöschung ist derzeit nicht implementiert.
8. Nachweise, Kontrollen und Haftung
Der Anbieter stellt alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer; er wirkt daran mit. Termine, Umfang und Vertraulichkeit werden angemessen abgestimmt. Anlassbezogene dringende Prüfungen müssen kurzfristig möglich bleiben. Der Schutz anderer Kunden begründet geeignete Vorkehrungen, kein freies Verweigerungsrecht. Zwingende Behördenbefugnisse und gesetzliche Rechte bleiben unberührt.
Bei Widersprüchen haben diese Datenschutzpflichten für die Auftragsverarbeitung Vorrang vor allgemeinen Vertragsbedingungen. Haftung und Ansprüche nach zwingendem Recht, insbesondere Art. 82 DSGVO, werden weder ausgeschlossen noch beschränkt. Die Vereinbarung erteilt keine Zertifizierung und ersetzt nicht die konkret erforderliche Risiko- und Dienstleisterprüfung.
Rechtsgrundlage: DSGVO, insbesondere Art. 28 und 32; ergänzende Information der österreichischen Datenschutzbehörde.