Vereinbarung über die Auftragsverarbeitung (AVV)

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen des Dienstes „Angebotspilot": die automatisierte Auswertung eingehender Frachtanfragen (E-Mails) und die Erstellung von Angebots-Entwürfen zur Freigabe durch den Verantwortlichen. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Nutzungsvertrags über den Dienst.

§ 2 Art und Zweck der Verarbeitung

Empfang, Speicherung, Analyse und Strukturierung von E-Mail-Nachrichten und Anhängen des angebundenen Postfachs; automatisierte Erstellung von Angebots- und Rückfrage-Entwürfen; Bereitstellung im Dashboard des Verantwortlichen. Einzelheiten regelt Anlage 1.

§ 3 Art der personenbezogenen Daten

Namen und geschäftliche Kontaktdaten (E-Mail, Telefon, Anschrift), Kommunikationsinhalte und -metadaten, Auftrags- und Angebotsdaten (Strecken, Ladung, Termine, Preise), Signaturdaten.

§ 4 Kategorien betroffener Personen

Ansprechpartner und Mitarbeiter von Kunden und Interessenten des Verantwortlichen; Mitarbeiter des Verantwortlichen; sonstige Kommunikationspartner des angebundenen Postfachs.

§ 5 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Dienstfunktionen gilt als Weisung.
• Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
• Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und deren Fortschreibung nach Stand der Technik.
• Unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO), spätestens innerhalb von 48 Stunden nach Kenntnis, mit den zur Meldung erforderlichen Angaben.
• Information des Verantwortlichen, wenn eine Weisung nach Einschätzung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.
• Benennung des Ansprechpartners für den Datenschutz: Peter Beckmann, office@fueltool.de.

§ 6 Unterauftragsverhältnisse

(1) Der Verantwortliche genehmigt die in Anlage 3 aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO, allgemeine Genehmigung).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen vor der Aufnahme oder Ersetzung von Unterauftragsverarbeitern in Textform; der Verantwortliche kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Widerspruchsfall steht beiden Parteien ein Sonderkündigungsrecht des Nutzungsvertrags zu.

(3) Verarbeitungen in Drittländern erfolgen nur bei Vorliegen geeigneter Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss inkl. EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln).

§ 7 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Betroffenenanfragen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

§ 8 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten binnen 30 Tagen oder gibt sie nach Wahl des Verantwortlichen in einem gängigen Format heraus, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen schriftlich bestätigt.

§ 9 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung durch geeignete Dokumentation nach (Art. 28 Abs. 3 lit. h DSGVO). Der Verantwortliche kann nach angemessener Ankündigung Kontrollen durchführen oder durch beauftragte Dritte durchführen lassen; vorrangig werden vorhandene Testate und Zertifizierungen der Unterauftragsverarbeiter herangezogen.

§ 10 Haftung

Für die Haftung gilt Art. 82 DSGVO sowie die Haftungsregelung des Nutzungsvertrags.

§ 11 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt. Es gilt deutsches Recht.

Anlage 1 — Verarbeitungsbeschreibung

Anbindung des vom Verantwortlichen benannten E-Mail-Postfachs (IMAP, lesender Zugriff); automatisierte Extraktion auftragsrelevanter Angaben aus Frachtanfragen; automatisierte Erstellung von Angebots- und Rückfrage-Entwürfen; Speicherung der Vorgänge in einer dem Verantwortlichen zugeordneten, getrennten Instanz; Freigabe und Versand ausschließlich durch den Verantwortlichen.

Anlage 2 — Technische und organisatorische Maßnahmen (Auszug)

• Zugangskontrolle: Passwortgeschützte Zugänge, Passwort-Hashing (PBKDF2-SHA256), signierte Sitzungs-Cookies (HttpOnly, Secure), Betreiber-Zugänge getrennt.
• Übertragungskontrolle: Transportverschlüsselung (TLS) für sämtliche Verbindungen (Web, IMAP, SMTP).
• Trennungskontrolle: Je Kunde eine eigene Dienst-Instanz mit eigener Datenbank („ein Kunde, eine Instanz").
• Verfügbarkeitskontrolle: Hosting in ISO-27001-zertifizierten Rechenzentren (Region Frankfurt), persistente Speicherung, Zugriff nur über verschlüsselte Kanäle.
• Eingabekontrolle: Protokollierung wesentlicher Ereignisse mit Zeitstempel (Audit-Log).
• Organisatorisches: Need-to-know-Prinzip, Vertraulichkeitsverpflichtung, regelmäßige Überprüfung der Maßnahmen.

Anlage 3 — Genehmigte Unterauftragsverarbeiter