Auftragsverarbeitungs­vertrag

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die wir im Auftrag unserer Kunden durchführen. Er ist Bestandteil des Vertrags über die Nutzung von Fleetman und gilt ergänzend zu den Nutzungsbedingungen.

1. Gegenstand und Dauer

Wir stellen dem Kunden die Software Fleetman zur Verfügung und betreiben sie für ihn. Dabei verarbeiten wir personenbezogene Daten ausschließlich für den Kunden und nach dessen Weisung.

Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen sind in Anhang 1 beschrieben.

Dauer: Die Verarbeitung beginnt mit der Bereitstellung der Instanz und endet mit dem Ende des Nutzungsvertrags. Die Pflichten nach Punkt 8 gelten darüber hinaus bis zur vollständigen Löschung.

2. Weisungsbindung

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich bei Übermittlungen in Drittländer. Als Weisung gelten dieser Vertrag, der Nutzungsvertrag und die Einstellungen, die der Kunde in der Software selbst vornimmt.

Einzelweisungen sind in Textform an office@fleetman.at zu richten. Mündliche Weisungen bestätigen wir in Textform.

Sind wir nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilen wir dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3. Vertraulichkeit

Wir setzen zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Die mit der Verarbeitung befassten Personen werden mit den einschlägigen Bestimmungen des Datenschutzes vertraut gemacht.

4. Sicherheit der Verarbeitung

Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anhang 2 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir.

Verletzungen des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Datensätze, wahrscheinliche Folgen und die ergriffenen Maßnahmen. Die Meldung an die Aufsichtsbehörde obliegt dem Kunden.

5. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zur Heranziehung weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsabschlusses eingesetzten sind in Anhang 3 benannt und damit genehmigt.

Beabsichtigen wir, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilen wir das dem Kunden mindestens sechs Wochen vorher in Textform mit. Der Kunde kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Seite den Nutzungsvertrag zum geplanten Wirksamkeitszeitpunkt kündigen.

Wir verpflichten jeden Unterauftragsverarbeiter schriftlich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Kommt er seinen Pflichten nicht nach, haften wir dem Kunden gegenüber für dessen Verhalten wie für eigenes.

6. Rechte betroffener Personen

Betroffene Personen wenden sich mit ihren Rechten an den Kunden. Erreicht uns eine Anfrage direkt, leiten wir sie unverzüglich an den Kunden weiter und teilen der anfragenden Person mit, dass wir das getan haben. Wir beantworten sie nicht selbst.

Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen.

Ein Großteil davon ist in der Software selbst angelegt: Der Kunde kann Datensätze jederzeit einsehen, ändern, löschen und vollständig exportieren, ohne uns dafür zu beauftragen.

7. Unterstützung des Kunden

Wir unterstützen den Kunden unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei:

• der Sicherheit der Verarbeitung;
• der Meldung von Verletzungen an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen;
• einer Datenschutz-Folgenabschätzung und einer allfälligen vorherigen Konsultation der Aufsichtsbehörde.

Unterstützungsleistungen, die über die Bereitstellung vorhandener Informationen und Funktionen hinausgehen und nicht auf einem von uns zu vertretenden Umstand beruhen, vergüten wir nach Aufwand.

8. Rückgabe und Löschung

Nach Beendigung des Nutzungsvertrags stellen wir dem Kunden seine Daten in einem gängigen, maschinenlesbaren Format zur Verfügung und löschen sie anschließend, einschließlich aller Kopien.

offen Fristen eintragen — vorgeschlagen: Bereitstellung des Exports innerhalb von 30 Tagen nach Vertragsende, Löschung 30 Tage nach Bereitstellung.

Sicherungen werden nicht gesondert gelöscht, sondern laufen nach ihrem Aufbewahrungszeitraum aus. Dieser beträgt derzeit die letzten sieben Sicherungen je Kunde; danach sind die Daten auch dort nicht mehr vorhanden.

Eine gesetzliche Pflicht zur weiteren Aufbewahrung bleibt unberührt. In diesem Fall schränken wir die Verarbeitung entsprechend ein, statt zu löschen.

9. Nachweise und Überprüfungen

Wir stellen dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglichen Überprüfungen.

Überprüfungen werden mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchgeführt. Sie dürfen den Betrieb anderer Kunden nicht beeinträchtigen und keine Daten anderer Kunden offenlegen.

Wir können den Nachweis auch durch die Vorlage geeigneter Dokumentation oder eines Prüfberichts erbringen.

10. Haftung und Schlussbestimmungen

Für die Haftung gelten die Regelungen des Nutzungsvertrags. Art. 82 DSGVO bleibt unberührt.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht.

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Ausschließlicher Gerichtsstand ist das für Wien sachlich zuständige Gericht, sofern der Kunde Unternehmer ist.

Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen tritt eine Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.

Anhang 1 — Was wir verarbeiten

Gegenstand und Zweck

Bereitstellung und Betrieb einer Fuhrparkverwaltung: Verwaltung von Fahrzeugen und den ihnen zugeordneten Personen, Fristenüberwachung, Kostenerfassung, Dokumentenablage und Nachweisführung gegenüber Prüfstellen.

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Kunden bestimmten Empfänger, Einschränken, Löschen und Vernichten — jeweils mittels der Software und im Rahmen ihres Funktionsumfangs.

Kategorien betroffener Personen

• Beschäftigte des Kunden, denen ein Fahrzeug zugeordnet ist oder die eines lenken (Fahrerinnen und Fahrer);
• Beschäftigte des Kunden mit Verwaltungsaufgaben (Benutzerkonten);
• externe Ansprechpersonen, die der Kunde erfasst — etwa bei Werkstätten, Reifenservices, Leasinggesellschaften und Versicherungen.

Art der personenbezogenen Daten

Anhang 2 — Technische und organisatorische Maßnahmen

Diese Aufstellung beschreibt den tatsächlichen Stand. Wo eine Maßnahme geplant, aber noch nicht umgesetzt ist, steht das ausdrücklich dabei — eine zugesicherte Maßnahme, die es nicht gibt, wäre im Schadensfall wertlos.

Vertraulichkeit

• Trennung je Kunde: eigener Container und eigene Datenbankdatei je Kunde. Keine gemeinsame Datenhaltung, in der ein Programmierfehler fremde Datensätze sichtbar machen könnte.
• Verschlüsselung im Ruhezustand: die Datenbank liegt verschlüsselt auf dem Datenträger.
• Verschlüsselung bei der Übertragung: ausschließlich TLS, mit automatischer Weiterleitung von unverschlüsselten Aufrufen.
• Zugangskontrolle: Rollen- und Rechteverwaltung mit fünf Rollen, Beschränkung auf einzelne Gesellschaften und Standorte. Die Filterung erfolgt serverseitig; eine erratene Adresse führt nicht an fremde Daten.
• Serverzugang nur mit persönlichem Schlüssel, kein Kennwortzugang.
• Dokumente sind nur für angemeldete Personen mit Zugriff auf das jeweilige Fahrzeug abrufbar.

Integrität

• Änderungsprotokoll über alle fachlichen Datenänderungen, nicht abschaltbar.
• Fahrtenbuch: jede nachträgliche Änderung wird mit Zeitpunkt, Person und Begründung protokolliert; Ausgaben tragen eine Prüfsumme über Fahrten und Änderungsprotokoll.
• Ausgaben: Excel- und PDF-Ausgaben können keine Formeln oder Dateiverweise aus Freitext ausführen.

Verfügbarkeit und Belastbarkeit

• Sicherungen: automatisch vor jeder Aktualisierung sowie nächtlich; aufbewahrt werden die letzten sieben je Kunde.
• geplant Verschlüsselung der Sicherungen und Ablage an einem zweiten Ort. Derzeit liegen die Sicherungen unverschlüsselt auf demselben Server. Bis zur Umsetzung gilt: Der Schutz der Sicherungen entspricht dem Schutz des Servers, nicht mehr.
• Überwachung der Erreichbarkeit mit Benachrichtigung bei Ausfall.

Verfahren zur Überprüfung

• Protokolle: Zugriffsprotokolle des Webservers werden 14 Tage aufbewahrt und danach automatisch gelöscht; Systemprotokolle sieben Tage.
• Prüfläufe: automatisierte Tests vor jeder Veröffentlichung; Abweichungen blockieren die Auslieferung.
• Trennungskontrolle wird durch eigene Tests überwacht, die den Zugriff über Rollengrenzen hinweg prüfen.

Anhang 3 — Unterauftragsverarbeiter

Von uns beauftragt

Vom Kunden selbst veranlasst

Trägt der Kunde einen eigenen Mailserver oder eine Tankkartenschnittstelle ein, nutzt er seine eigene Infrastruktur beziehungsweise seine eigene Vertragsbeziehung. Wir sind dann nicht Auftraggeber dieser Dienste.

• Microsoft (Exchange, Graph) — Versand über das Postfach des Kunden, wenn er es einträgt.
• Tankkartenanbieter — Abruf der Umsätze zum Kartenkonto des Kunden, bei gebuchtem Modul.

Weitere Glieder der Kette

Unser Hoster setzt seinerseits Unterauftragsverarbeiter ein. Nach seinem Data Processing Agreement (Appendix 3) sind das derzeit: Amazon Web Services, Google Cloud, Cloudflare, MailChannels, Proofpoint, Anthropic Ireland und Spectra Tech. Maßgeblich ist die jeweils gültige Fassung unter hostinger.com/legal/dpa.

offen Fassung und Datum eintragen, sobald die rechtliche Prüfung abgeschlossen ist.