Auftragsverarbeitungsvertrag

Gegenstand: Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich des digitalen Fuhrpark- und Fahrzeugmanagements. Die Verarbeitung personenbezogener Daten erfolgt insbesondere zur Bereitstellung, zum Betrieb und zur Unterstützung folgender Produkt- und Leistungsbereiche:

SMR (Service, Maintenance & Repair) / Wartung und Verschleiß

• Planung, Steuerung und Dokumentation von Inspektionen, Wartungen und Verschleißmaßnahmen
• Abwicklung und Dokumentation von UVV-Prüfungen
• Abwicklung und Dokumentation von HU-/AU-Terminen
• Kommunikation und Statusmeldungen im Rahmen der Auftragsabwicklung

Leasingrückgaben / Rückgabeprozesse

• Organisation, Terminierung und Dokumentation von Leasingrückgaben
• Verarbeitung und Bereitstellung von leasingbezogenen Vertrags- und Rückgabedaten
• Kommunikation und Statusmeldungen im Rahmen des Rückgabeprozesses

Dauer: Die Dauer dieses Vertrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung.

Art und Zweck der vorgesehenen Verarbeitung von Daten

Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt ausschließlich zu folgenden Zwecken:

• Betrieb und Bereitstellung der vom Verantwortlichen beauftragten Module/Produkte (SMR, Leasingrückgaben, Schadenmanagement, Fleetmanagement)
• Organisation, Steuerung und Dokumentation der jeweiligen Prozesse (z. B. Inspektionen, UVV, HU, Rückgaben, Schadenbearbeitung)
• Kommunikation, Statusmeldungen und Support im Rahmen der Auftragsabwicklung
• Erstellung von Auswertungen/Reports für den Verantwortlichen im Rahmen der beauftragten Leistungen

Art der Daten

Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien:

• Personenstammdaten: Vor- und Nachname; Fahrer-ID / Personalnummer (sofern vorhanden)
• Kommunikationsdaten: dienstliche E-Mail-Adresse; dienstliche Telefonnummer
• Vertragsstammdaten: Leasingvertragsnummer, Status, Laufzeit; Zuordnung von Fahrzeugen zu Personen; Vertragsbezug (z.B. Dienstwagennutzer)
• Fahrzeugbezogene Daten mit Personenbezug: Kfz-Kennzeichen (wenn Fahrzeug einem Nutzer zugeordnet ist); FIN/VIN im Kontext dienstlicher Fahrzeugnutzung; Statusdaten (z.B. HU-/UVV-Fälligkeit im Zusammenhang mit Fahrer/Nutzer)
• Planungs- und Steuerungsdaten: Wartungstermine, UVV-/HU-Planung; Zuordnung von Fahrzeug- und Prozessdaten zu konkreten Personen
• Kunden-/Nutzerhistorie: Dokumentation bisheriger Werkstattaufträge, Rückgaben, Wartungshistorie; Historie bezogen auf Nutzer und genutztes Fahrzeug

Kategorien betroffener Personen

• Fahrer und Fahrzeugnutzer
• Leasingnehmer bzw. Vertragsnutzer
• Mitarbeitende des Kundenunternehmens (z. B. Fuhrparkverantwortliche, Ansprechpartner)

Der Auftragnehmer ergreift in seinem Verantwortungsbereich alle erforderlichen technisch-organisatorischen Maßnahmen gem. Art. 32 DS-GVO zum Schutz der personenbezogenen Daten und übergibt dem Auftraggeber die Dokumentation zur Prüfung (Anlage 1). Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Vertrags.

Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.

Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen, wobei das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden darf. Über wesentliche Änderungen, die durch den Auftragnehmer zu dokumentieren sind, ist der Auftraggeber unverzüglich in Kenntnis zu setzen.

Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technisch-organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte. Er darf die im Auftrag verarbeiteten Daten nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

Soweit vom Leistungsumfang umfasst, sind die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung sowie Datenportabilität nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.

Der Auftragnehmer hat, zusätzlich zu der Einhaltung der Regelungen dieses Vertrags, eigene gesetzliche Pflichten gemäß der DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

• Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO. Der Auftragnehmer setzt nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den relevanten Datenschutzbestimmungen vertraut gemacht wurden. Zugang zu personenbezogenen Daten besteht nur entsprechend der Weisung des Auftraggebers, es sei denn, es besteht eine gesetzliche Verarbeitungspflicht.
• Zusammenarbeit mit der Aufsichtsbehörde auf deren Anfrage bei der Erfüllung ihrer Aufgaben.
• Unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Vertrag beziehen – auch bei Ermittlungen im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens.
• Unterstützung des Auftraggebers nach besten Kräften, soweit dieser einer Kontrolle der Aufsichtsbehörde, einem Verfahren, einem Haftungsanspruch oder einem Informationsersuchen im Zusammenhang mit der Auftragsverarbeitung ausgesetzt ist.
• Regelmäßige Kontrolle der internen Prozesse sowie der technischen und organisatorischen Maßnahmen, um eine datenschutzkonforme Verarbeitung zu gewährleisten.
• Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse.
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten, sodass der Auftraggeber seinen gesetzlichen Pflichten (insb. Art. 33, 34 DS-GVO) nachkommen kann, inkl. Dokumentation des Vorgangs.
• Unterstützung des Auftraggebers im Rahmen bestehender Informationspflichten gegenüber Aufsichtsbehörden und Betroffenen sowie – soweit erforderlich – bei einer Datenschutz-Folgenabschätzung und etwaiger Konsultation der Aufsichtsbehörde.

Dieser Vertrag entbindet den Auftragnehmer nicht von der Einhaltung anderer Vorgaben der DS-GVO.

Als Unterauftragsverhältnisse gelten Dienstleistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen (z.B. Telekommunikations-, Post-/Transport-, Reinigungs- oder Bewachungsdienstleistungen). Wartungs- und Prüfleistungen stellen ein Unterauftragsverhältnis dar, wenn sie für IT-Systeme erbracht werden, die im Zusammenhang mit einer Leistung nach diesem Vertrag stehen. Auch bei ausgelagerten Nebenleistungen trifft der Auftragnehmer angemessene und gesetzeskonforme vertragliche Vereinbarungen und Kontrollmaßnahmen.

Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. Der Auftraggeber stimmt der Beauftragung der in Anhang 2 bezeichneten Unterauftragnehmer unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zu. Ein Wechsel der Unterauftragnehmer ist zulässig, soweit der Auftragnehmer dies mindestens 14 Tage vorab in Textform anzeigt, der Auftraggeber nicht bis zur Übergabe der Daten widerspricht und eine vertragliche Vereinbarung nach Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird.

Die Weitergabe personenbezogener Daten an den Unterauftragnehmer ist erst mit Vorliegen aller Voraussetzungen gestattet. Die Einhaltung der technisch-organisatorischen Maßnahmen beim Unterauftragnehmer wird vorab und sodann regelmäßig durch den Auftragnehmer kontrolliert; die Kontrollergebnisse werden dem Auftraggeber auf Anfrage zur Verfügung gestellt. Erbringt der Unterauftragnehmer die Leistung außerhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit sicher. Eine weitere Auslagerung durch den Unterauftragnehmer ist nicht gestattet.

Jede Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation bedarf einer dokumentierten Weisung des Auftraggebers und der Einhaltung der Vorgaben nach Kapitel V der DS-GVO.

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Soweit der Auftraggeber eine Datenübermittlung an Dritte in ein Drittland anweist, ist er für die Einhaltung von Kapitel V der DS-GVO verantwortlich.

Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er kann sich durch – in der Regel rechtzeitig anzumeldende – Stichprobenkontrollen während der üblichen Geschäftszeiten von der Einhaltung dieser Vereinbarung überzeugen.

Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten nach Art. 28 DS-GVO überzeugen kann, erteilt auf Anforderung die erforderlichen Auskünfte und weist insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nach. Der Nachweis kann u. a. erfolgen durch die Einhaltung genehmigter Verhaltensregeln (Art. 40 DS-GVO), eine Zertifizierung (Art. 42 DS-GVO), aktuelle Testate/Berichte unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter) oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

Weisungsbefugnis des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf Basis dokumentierter Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht des Mitgliedstaats oder nach Unionsrecht zu einer Verarbeitung verpflichtet. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich (mind. Textform). Die anfänglichen Weisungen werden durch diesen Vertrag festgelegt.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften, und ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens aber mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche Unterlagen, Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Der Auftragsverarbeiter ist berechtigt, die verarbeiteten personenbezogenen Daten vor deren Löschung zu anonymisieren und die hieraus gewonnenen anonymen Daten zu eigenen Zwecken (insbesondere zur statistischen Auswertung sowie zur Verbesserung seiner Produkte und Dienstleistungen) zu verwenden. Ein Personenbezug ist nach der Anonymisierung ausgeschlossen.