Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

Zwischen [NAME DER SPEDITION], [ANSCHRIFT] („Verantwortlicher“) und [FIRMENNAME HUBBRI], [ANSCHRIFT] („Auftragsverarbeiter“). Der Vertrag ergänzt den Nutzungsvertrag nach den AGB von Hubbri („Hauptvertrag“) und geht ihm in Datenschutzfragen vor.

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Hubbri und verarbeitet dabei personenbezogene Daten ausschließlich in dessen Auftrag.
2. Der Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter noch Daten des Verantwortlichen verarbeitet.

§ 2 Art, Zweck, Daten und Betroffene

3. Der Auftragsverarbeiter verwendet die Daten für keine eigenen Zwecke, insbesondere nicht zum Training von KI-Modellen und nicht für Werbung. [Nur anonymisierte Statistiken nach § 5 Nr. 4 AGB, die keinen Personenbezug mehr haben.]

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind dieser Vertrag, die Einstellungen, die der Verantwortliche im Tool wählt (z. B. Ortungsintervall, Speicherfristen, Sichtbarkeit für Auftraggeber), und Einzelweisungen in Textform.
2. Weisungsberechtigt sind die im Tool als Administrator eingetragenen Personen [ODER NAMENTLICH].
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.
4. Ist der Auftragsverarbeiter gesetzlich zu einer Verarbeitung verpflichtet (z. B. behördliche Anordnung), teilt er dies vorher mit, soweit das Gesetz es nicht verbietet.

§ 4 Vertraulichkeit und Sicherheit

1. Alle Personen, die Zugang zu den Daten haben, sind schriftlich zur Vertraulichkeit verpflichtet und im Datenschutz geschult.
2. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 (TOM, Dokument 07) beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen teilt er mit.
3. Die Daten verschiedener Speditionen sind logisch strikt getrennt (mandantenfähig). Mitarbeiter des Auftragsverarbeiters greifen auf Kundendaten nur zu, soweit es für Support oder Betrieb nötig ist; jeder Zugriff wird protokolliert.

§ 5 Unterauftragsverarbeiter und Drittland

1. Der Verantwortliche genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten stehen in Anlage 1 (Dokument 06).
2. Änderungen (neuer oder ersetzter Unterauftragsverarbeiter) kündigt der Auftragsverarbeiter mindestens [30] Tage vorher per E-Mail an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche den Hauptvertrag zum Änderungszeitpunkt kündigen.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO) und haftet für ihn.
4. Keine Unteraufträge sind Nebenleistungen wie Telekommunikation, Post oder Reinigung, solange kein Zugriff auf Kundendaten besteht.
5. Drittland. Eine Verarbeitung außerhalb von EU/EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework für zertifizierte Empfänger) oder Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Unterauftragsverarbeiter) plus Transfer-Folgenabschätzung.
6. Der Verantwortliche entscheidet selbst, ob er Funktionen mit Drittlandbezug aktiviert (WhatsApp, KI-Erkennung). Ohne diese Funktionen bleiben alle Daten in Deutschland.

§ 6 Unterstützung des Verantwortlichen

1. Betroffenenrechte. Der Auftragsverarbeiter leitet Anfragen von Betroffenen, die ihn erreichen, innerhalb von [3] Werktagen weiter und beantwortet sie nicht selbst. Das Tool bietet Funktionen für Auskunft (Export je Person), Berichtigung und Löschung (Ablauf in Dokument 14).
2. Er unterstützt bei Datenschutz-Folgenabschätzungen (eine Muster-DSFA für die Ortung liegt als Dokument 10 bei) und bei Anfragen der Aufsichtsbehörde.
3. Unterstützung, die über die Funktionen des Tools hinausgeht, kann nach Aufwand berechnet werden [STUNDENSATZ], es sei denn, der Aufwand geht auf einen Fehler des Auftragsverarbeiters zurück.

§ 7 Datenpannen

1. Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [24] Stunden nach Kenntnis, an die hinterlegte Notfalladresse des Verantwortlichen [E-MAIL + TELEFON].
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl der Personen, wahrscheinliche Folgen, ergriffene Maßnahmen, Ansprechpartner. Fehlende Angaben werden nachgereicht.
3. Die Meldung an die Aufsichtsbehörde (72 Stunden, Art. 33 DSGVO) und an Betroffene (Art. 34) macht der Verantwortliche. Der Auftragsverarbeiter liefert dafür alle Informationen (Ablauf in Dokument 13).

§ 8 Nachweise und Kontrollen

1. Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten nach, vorrangig durch aktuelle TOM, Protokolle und [Zertifikate/Prüfberichte, z. B. ISO 27001 des Rechenzentrums].
2. Der Verantwortliche darf nach Ankündigung von [14] Tagen während der Geschäftszeiten vor Ort oder per Fragebogen prüfen, höchstens [einmal jährlich], außer nach einer Datenpanne. Prüfer müssen zur Vertraulichkeit verpflichtet sein und dürfen keine Wettbewerber sein.

§ 9 Löschung und Rückgabe bei Vertragsende

1. Der Verantwortliche kann seine Daten bis [30] Tage nach Vertragsende selbst exportieren (§ 10 AGB).
2. Danach löscht der Auftragsverarbeiter alle Daten innerhalb von [30] Tagen; in Datensicherungen werden sie mit Ablauf des Rotationszyklus von [30] Tagen überschrieben. Auf Wunsch bestätigt er die Löschung in Textform.
3. Während der Laufzeit löscht das Tool automatisch nach den Fristen, die der Verantwortliche eingestellt hat (Voreinstellungen: Dokument 09).

§ 10 Haftung und Schlussbestimmungen

1. Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 nicht zwingend etwas anderes bestimmt.
2. Bei Widersprüchen gilt in Datenschutzfragen dieser Vertrag vor dem Hauptvertrag.
3. Änderungen bedürfen der Textform. Gerichtsstand und anwendbares Recht wie im Hauptvertrag.

Anlagen

• Anlage 1: Liste der Unterauftragsverarbeiter (Dokument 06)
• Anlage 2: Technische und organisatorische Maßnahmen (Dokument 07)
• Anlage 3: Voreingestellte Löschfristen (Dokument 09)