Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO (Anlage 1 zu den AGB der simplii HOLDING GmbH)

Präambel

Dieser Vertrag über die Auftragsverarbeitung („AVV“) ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen der simplii HOLDING GmbH für Auto-Abo, Mitgliedschaft und Kundenportal („AGB“). Er wird zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und der simplii HOLDING GmbH, Am Weinberg 20, 85092 Kösching, Amtsgericht Ingolstadt HRB 10686, vertreten durch die Geschäftsführer Jannis C. Hilgerloh, Daniel Bieber und Lukas M. Eberl, als Auftragsverarbeiter („Auftragnehmer“ oder „simplii“) mit der Bestellung bzw. mit der Buchung der Mitgliedschaft geschlossen. Begriffe, die in den AGB definiert sind, haben in diesem AVV dieselbe Bedeutung. Für die Verarbeitung personenbezogener Daten im Auftrag des Kunden geht dieser AVV den AGB vor (Ziffer 1.6 AGB).

1Gegenstand, Abgrenzung und Dauer

1.1Gegenstand. simplii verarbeitet personenbezogene Daten im Auftrag des Auftraggebers bei folgenden Leistungen:

1. Standort, Fahrtdaten und digitales Fahrtenbuch im Fahrzeug-Cockpit nach Ziffer 2C.5 AGB,
2. Fuhrparkmanagement und Fuhrparkanalyse im Rahmen der Mitgliedschaft nach Ziffer 2B AGB, soweit dabei personenbezogene Daten von Fahrern oder sonstigen Beschäftigten des Auftraggebers verarbeitet werden, insbesondere bei Fahrzeugen, die der Auftraggeber nicht von simplii mietet.

1.2Abgrenzung. Nicht Gegenstand dieses AVV sind Verarbeitungen, die simplii als eigener Verantwortlicher vornimmt, insbesondere die Anbahnung und Durchführung der Verträge, die Bonitätsprüfung, die Fahrerlaubnisprüfung, Fahrzeugdaten für Abrechnung, Laufleistungskontrolle und Wartung (Ziffer 14.7 Nr. 1 AGB), der anlassbezogene Standortabruf zum Schutz der Fahrzeuge (Ziffer 14.7 Nr. 2 AGB), die Schadenabwicklung und die Bearbeitung von Verkehrsverstößen. Hierfür gilt die Datenschutzerklärung von simplii.

1.3Dauer. Dieser AVV gilt, solange simplii personenbezogene Daten nach Ziffer 1.1 für den Auftraggeber verarbeitet, und endet mit der vollständigen Rückgabe bzw. Löschung nach Ziffer 9. Eine Kündigung dieses AVV unabhängig von Auto-Abo bzw. Mitgliedschaft ist ausgeschlossen; der Auftraggeber kann die Funktionen nach Ziffer 1.1 Nr. 1 jedoch jederzeit je Fahrzeug deaktivieren.

2Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

2.1Art und Zweck. simplii erhebt, speichert, verknüpft, stellt im Kundenportal dar, exportiert und löscht die Daten, um dem Auftraggeber (a) die Anzeige von Standort und Fahrten seiner Fahrzeuge, (b) ein digitales Fahrtenbuch zur Erfüllung steuerlicher Aufzeichnungspflichten und (c) die Verwaltung und Analyse seines Fuhrparks bereitzustellen.

2.2Datenarten und betroffene Personen:

2.3Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Der Auftraggeber übermittelt solche Daten nicht.

3Weisungen des Auftraggebers

3.1simplii verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, simplii ist nach dem Recht der Union oder eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt simplii dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

3.2Die Weisungen ergeben sich abschließend aus den AGB, diesem AVV und den Einstellungen, die der Auftraggeber im Kundenportal vornimmt (z. B. Deaktivierung je Fahrzeug, Rollen und Rechte). Weitere Weisungen erteilt der Auftraggeber in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt und können gesondert vergütet werden.

3.3Ist simplii der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert simplii den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

4Pflichten von simplii

4.1Vertraulichkeit. simplii setzt nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

4.2Sicherheit. simplii trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen gemäß Anhang A. simplii darf diese Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

4.3Unterstützung bei Betroffenenrechten. simplii unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO, insbesondere durch Export- und Löschfunktionen im Kundenportal. Wenden sich Betroffene unmittelbar an simplii, leitet simplii die Anfrage unverzüglich an den Auftraggeber weiter.

4.4Unterstützung nach Art. 32 bis 36 DSGVO. simplii unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen bei Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO).

4.5Datenschutzverletzungen. simplii meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, möglichst innerhalb von 24 Stunden, per E-Mail an die hinterlegte Vertrags-E-Mail-Adresse (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.

4.6Keine eigenen Zwecke. simplii verarbeitet die Daten nach Ziffer 1.1 nicht für eigene Zwecke. Die Verarbeitungen nach Ziffer 1.2 bleiben unberührt.

4.7Weitere Pflichten. simplii führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO) und ist für Datenschutzanfragen des Auftraggebers unter datenschutz@simplii.de erreichbar.

5Pflichten des Auftraggebers

5.1Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage gegenüber seinen Beschäftigten, die Information der Fahrer (Art. 13 und 14 DSGVO), die Beteiligung eines bestehenden Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG) und die Entscheidung, ob und für welche Fahrzeuge die Funktionen nach Ziffer 1.1 Nr. 1 aktiv bleiben.

5.2Der Auftraggeber legt im Kundenportal fest, welche Nutzer auf Standort-, Fahrt- und Fahrtenbuchdaten zugreifen dürfen, und legt Zugänge für Fahrer an, soweit diese ihre Fahrten selbst zuordnen sollen, und sorgt für die Vertraulichkeit der Zugangsdaten (Ziffer 2C.2 AGB).

5.3Der Auftraggeber informiert simplii unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5.4Die Aufbewahrung von Fahrtenbuchdaten zur Erfüllung steuerlicher Pflichten obliegt dem Auftraggeber. simplii stellt hierfür jederzeit eine Exportfunktion bereit (Ziffer 9.2).

6Unterauftragsverarbeiter

6.1Der Auftraggeber erteilt simplii die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anhang B und gelten als genehmigt.

6.2simplii informiert den Auftraggeber mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform oder über das Kundenportal. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber die Funktionen nach Ziffer 1.1 Nr. 1 deaktivieren bzw. die Mitgliedschaft zum Zeitpunkt der Änderung außerordentlich kündigen; weitergehende Ansprüche bestehen nicht.

6.3simplii erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). simplii haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

6.4Keine Unterauftragsverarbeitung im Sinne dieses AVV sind Nebenleistungen wie Telekommunikations- und Postdienste sowie die Verarbeitung durch Fahrzeughersteller, die Fahrzeugdaten in eigener Verantwortung erheben.

7Übermittlung in Drittländer

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, soweit sie in Anhang B ausgewiesen ist oder der Auftraggeber sie angewiesen hat, und nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere eines Angemessenheitsbeschlusses oder von EU-Standardvertragsklauseln.

8Nachweise und Kontrollen

8.1simplii stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Prüfer erbracht werden.

8.2Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht simplii Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von simplii ist. Inspektionen sind mit einer Frist von mindestens vier Wochen anzukündigen, finden während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs statt und erfolgen höchstens einmal je Kalenderjahr, es sei denn, ein konkreter Anlass, insbesondere eine Datenschutzverletzung, rechtfertigt eine weitere Prüfung.

8.3Den eigenen Aufwand für Prüfungen trägt jede Partei selbst. Übersteigt der Aufwand von simplii einen Arbeitstag je Kalenderjahr, kann simplii für jeden weiteren Arbeitstag eine Vergütung von 2.000,00 € netto verlangen, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß von simplii.

9Löschung und Rückgabe

9.1Während der Laufzeit werden Start- und Zielort von Fahrten, die als privat zugeordnet sind, nach der Zuordnung gelöscht (Ziffer 2C.5 Nr. 2 AGB). Weitere Löschfristen kann der Auftraggeber im Kundenportal festlegen; ohne Festlegung speichert simplii Standort- und Fahrtdaten 12 Monate und Fahrtenbuchdaten bis zum Ende des Vertragsverhältnisses.

9.2Der Auftraggeber kann die Fahrtenbuch- und Fuhrparkdaten jederzeit im Kundenportal als PDF und CSV exportieren. Nach Ende der Leistungen stellt simplii die Exportfunktion noch 30 Tage zur Verfügung.

9.3Nach Ablauf dieser Frist löscht simplii nach Wahl des Auftraggebers alle Daten nach Ziffer 1.1 bzw. gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Trifft der Auftraggeber keine Wahl, gilt die Löschung als gewählt. simplii bestätigt die Löschung auf Anfrage in Textform.

10Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gilt Art. 82 Abs. 2 bis 5 DSGVO; im Übrigen richtet sich die Haftung nach Ziffer 18 AGB. Der Auftraggeber stellt simplii nach Ziffer 2C.5 Nr. 3 AGB von Ansprüchen Dritter frei, die auf einer von ihm zu vertretenden unzulässigen Nutzung der Funktionen beruhen.

11Schlussbestimmungen

11.1Änderungen und Ergänzungen dieses AVV bedürfen der Textform; Ziffer 24.2 AGB gilt entsprechend.

11.2Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften, insbesondere Art. 28 DSGVO.

11.3Im Übrigen gelten die AGB, insbesondere zu anwendbarem Recht und Gerichtsstand (Ziffern 22 und 23 AGB).

Anhang A: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Betrieb, Hosting und Wartung des Kundenportals erfolgen durch die REGION10 GROUP GmbH (Anhang B) auf Servern, die REGION10 bei der Hetzner Online GmbH in den Rechenzentren Nürnberg und Falkenstein (Vogtland) gemietet hat. simplii und REGION10 haben ihre Büros im selben Gebäude, Am Weinberg 20, 85092 Kösching.

1. Zutrittskontrolle: Zutritt, Videoüberwachung und Zugangsprotokollierung in den Rechenzentren gewährleistet der Rechenzentrumsbetreiber. Das Bürogrundstück in Kösching ist vollständig hoch eingezäunt; das Zufahrtstor öffnet nur per Funktransponder. Das Gebäude ist durch einbruchhemmende Türen und gesicherte Schließzylinder geschützt und vollständig videoüberwacht. Jeder Besuch wird zentral angemeldet und mit Zeitpunkt, Ort, Anlass und Ansprechpartner in einer Datenbank erfasst.
2. Zugangskontrolle: Netzwerkabsicherung durch Firewall (OPNsense) und Segmentierung; administrativer Zugang zur Serverinfrastruktur ausschließlich über verschlüsselte WireGuard-VPN-Verbindungen; personalisierte Benutzerkonten; Zwei-Faktor-Authentifizierung für alle administrativen Zugänge und für Administratoren des Kundenportals.
3. Zugriffskontrolle: Rollen- und Rechtekonzept nach dem Need-to-know-Prinzip; mandantengetrennte Datenhaltung je Auftraggeber; Fahrerzugänge legt ausschließlich der Administrator des Auftraggebers an. Mitarbeiter von simplii und REGION10 greifen auf Standort-, Fahrt- und Fahrtenbuchdaten nur auf Grundlage eines dokumentierten Support-Tickets zu.
4. Trennungskontrolle: Trennung der Systeme durch Virtualisierung (Proxmox) und Container-Isolation (Kubernetes/Rancher); Trennung von Test- und Produktivumgebungen; logische Trennung der Auftragsdaten nach Ziffer 1.1 von den eigenen Daten nach Ziffer 1.2.
5. Verschlüsselung und Datenminimierung: Transportverschlüsselung nach aktuellem Stand (mindestens TLS 1.2); Verschlüsselung der Festplatten und Datenbanken; verschlüsselte Datensicherungen; Löschung von Start- und Zielort privater Fahrten nach Zuordnung.
6. Geodaten: Kartenanzeige und Umwandlung von Positionen in Adressen erfolgen über einen selbst betriebenen OpenStreetMap-Dienst auf eigener Infrastruktur; Positionsdaten werden nicht an externe Kartendienste übermittelt.
7. Integrität – Weitergabe- und Eingabekontrolle: Protokollierung von Anmeldungen, Zugriffen, Änderungen und Exporten; unveränderbares Änderungsprotokoll im Fahrtenbuch; Software-Bereitstellung ausschließlich über versionierte CI/CD-Pipelines.
8. Verfügbarkeit und Belastbarkeit: Cluster aus mehreren Virtualisierungsknoten; inkrementelle, verschlüsselte Datensicherung im 60-Minuten-Takt, jeweils am gegenüberliegenden Rechenzentrumsstandort (Falkenstein nach Nürnberg, Nürnberg nach Falkenstein); laufendes Monitoring; unterbrechungsfreie Stromversorgung, Klimatisierung und Brandschutz durch den Rechenzentrumsbetreiber.
9. Wiederherstellbarkeit: monatliche, dokumentierte Wiederherstellungstests aus den Datensicherungen.
10. Überprüfung und Bewertung: automatisierte Schwachstellen-Scans und automatisierte Penetrationstests; regelmäßige Aktualisierung von Betriebssystemen und Software; Incident-Response-Prozess mit Meldeweg nach Ziffer 4.5.
11. Organisation: arbeitsvertragliche Verpflichtung aller Mitarbeiter von simplii und REGION10 auf Vertraulichkeit; regelmäßige Datenschutzunterweisungen; Verträge über die Auftragsverarbeitung zwischen simplii und der REGION10 GROUP GmbH sowie mit allen Unterauftragsverarbeitern nach Anhang B.

Anhang B: Unterauftragsverarbeiter

Push-Nachrichten an Mobilgeräte werden technisch über die Benachrichtigungsdienste der Gerätehersteller (Apple Push Notification Service, Google Firebase Cloud Messaging) zugestellt; sie enthalten keine Standort-, Fahrt- oder Fahrtenbuchdaten.