Vereinbarung über die Auftragsverarbeitung (AVV)

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen die von diesem genutzten Hoftankbörse-Dienste — je nach Nutzung: Tankbörse (Ausschreibung von Kraftstoff-Bedarf und verdeckte Preisangebote von Lieferanten), Frachtbörse (Ausschreibung von Frachten und verdeckte Angebote von Frachtführern) und/oder Angebotspilot (automatisierte Auswertung eingehender Frachtanfragen per E-Mail und Erstellung von Angebots-Entwürfen zur Freigabe durch den Verantwortlichen). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen; Art und Umfang richten sich nach dem jeweils genutzten Dienst.

(2) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Nutzungsvertrags über den Dienst.

§ 2 Art und Zweck der Verarbeitung

Je nach genutztem Dienst: bei Tankbörse und Frachtbörse das Anlegen, Speichern und verdeckte Vermitteln von Ausschreibungen, Angeboten und Zuschlägen samt zugehöriger Belege und Rechnungsentwürfe; beim Angebotspilot Empfang, Speicherung, Analyse und Strukturierung von E-Mail-Nachrichten und Anhängen des angebundenen Postfachs sowie die automatisierte Erstellung von Angebots- und Rückfrage-Entwürfen. Bereitstellung jeweils im Dashboard des Verantwortlichen. Einzelheiten regelt Anlage 1.

§ 3 Art der personenbezogenen Daten

Namen und geschäftliche Kontaktdaten (E-Mail, Telefon, Anschrift), Kommunikationsinhalte und -metadaten, Auftrags- und Angebotsdaten (Strecken, Ladung, Termine, Preise), Signaturdaten.

§ 4 Kategorien betroffener Personen

Ansprechpartner und Mitarbeiter von Kunden und Interessenten des Verantwortlichen; Mitarbeiter des Verantwortlichen; sonstige Kommunikationspartner des angebundenen Postfachs.

§ 5 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Dienstfunktionen gilt als Weisung.
• Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
• Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und deren Fortschreibung nach Stand der Technik.
• Unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO), spätestens innerhalb von 48 Stunden nach Kenntnis, mit den zur Meldung erforderlichen Angaben.
• Information des Verantwortlichen, wenn eine Weisung nach Einschätzung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.
• Benennung des Ansprechpartners für den Datenschutz: Peter Beckmann, office@hoftankboerse.de.

§ 6 Unterauftragsverhältnisse

(1) Der Verantwortliche genehmigt die in Anlage 3 aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO, allgemeine Genehmigung).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen vor der Aufnahme oder Ersetzung von Unterauftragsverarbeitern in Textform; der Verantwortliche kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Widerspruchsfall steht beiden Parteien ein Sonderkündigungsrecht des Nutzungsvertrags zu.

(3) Verarbeitungen in Drittländern erfolgen nur bei Vorliegen geeigneter Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss inkl. EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln).

§ 7 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Betroffenenanfragen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

§ 8 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten binnen 30 Tagen oder gibt sie nach Wahl des Verantwortlichen in einem gängigen Format heraus, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen schriftlich bestätigt.

§ 9 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung durch geeignete Dokumentation nach (Art. 28 Abs. 3 lit. h DSGVO). Der Verantwortliche kann nach angemessener Ankündigung Kontrollen durchführen oder durch beauftragte Dritte durchführen lassen; vorrangig werden vorhandene Testate und Zertifizierungen der Unterauftragsverarbeiter herangezogen.

§ 10 Haftung

Für die Haftung gilt Art. 82 DSGVO sowie die Haftungsregelung des Nutzungsvertrags.

§ 11 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt. Es gilt deutsches Recht.

Anlage 1 — Verarbeitungsbeschreibung

Tankbörse / Frachtbörse: Speicherung der vom Verantwortlichen eingestellten Ausschreibungen (Mengen, Orte, Termine, Fracht-/Ladungsdaten) und der dazu eingehenden Angebote; verdeckte Vermittlung zwischen den Parteien; Erzeugung von Belegen und Rechnungsentwürfen. Angebotspilot: Anbindung des vom Verantwortlichen benannten E-Mail-Postfachs (IMAP, lesender Zugriff); automatisierte Extraktion auftragsrelevanter Angaben aus Frachtanfragen; automatisierte Erstellung von Angebots- und Rückfrage-Entwürfen; Freigabe und Versand ausschließlich durch den Verantwortlichen. In allen Fällen Speicherung der Vorgänge in einer dem Verantwortlichen zugeordneten, getrennten Instanz.

Anlage 2 — Technische und organisatorische Maßnahmen (Auszug)

• Zugangskontrolle: Passwortgeschützte Zugänge, Passwort-Hashing (PBKDF2-SHA256), signierte Sitzungs-Cookies (HttpOnly, Secure), Betreiber-Zugänge getrennt.
• Übertragungskontrolle: Transportverschlüsselung (TLS) für sämtliche Verbindungen (Web, IMAP, SMTP).
• Trennungskontrolle: Je Kunde eine eigene Dienst-Instanz mit eigener Datenbank („ein Kunde, eine Instanz").
• Verfügbarkeitskontrolle: Hosting in ISO-27001-zertifizierten Rechenzentren (Region Frankfurt), persistente Speicherung, Zugriff nur über verschlüsselte Kanäle.
• Eingabekontrolle: Protokollierung wesentlicher Ereignisse mit Zeitstempel (Audit-Log).
• Organisatorisches: Need-to-know-Prinzip, Vertraulichkeitsverpflichtung, regelmäßige Überprüfung der Maßnahmen.

Anlage 3 — Genehmigte Unterauftragsverarbeiter