Vereinbarung zur Auftragsverarbeitung

Parteien

1. Gegenstand und Dauer der Auftragsverarbeitung

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch MOTIKAR für den Verantwortlichen im Rahmen der Bereitstellung, des Betriebs, der Wartung und des Supports der vereinbarten MOTIKAR-SaaS-Leistungen.

Die Dauer richtet sich nach der Laufzeit des Hauptvertrags und endet grundsätzlich mit der vollständigen vertrags- und datenschutzkonformen Rückgabe bzw. Löschung der im Auftrag verarbeiteten personenbezogenen Daten, soweit keine gesetzlichen Pflichten oder zulässigen Sicherungszyklen entgegenstehen.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst – je nach aktivierten Modulen und Nutzung – insbesondere Erheben durch Eingabe/Import, Erfassen, Ordnen, Speichern, Anzeigen, Abrufen, Abgleichen, Verknüpfen, Zuordnen, Bearbeiten, Übermitteln auf Weisung, Bereitstellen von Exporten, Protokollieren, Sichern, Einschränken und Löschen personenbezogener Daten.

Zweck ist die technische Bereitstellung der vom Verantwortlichen beauftragten betrieblichen Prozesse, insbesondere Benutzer- und Rechteverwaltung, Dienstplanung, Fuhrpark-/Fahrzeugverwaltung, Fahrzeugbuchungen, Hol- und Bringservice, Kunden- und Kontaktdatenverwaltung, Vertrags-/Übergabe-/Rückgabedokumentation, Dokumenterzeugung und -archivierung, Nachrichten, Exporte, Protokollierung und Systemsicherheit.

3. Kategorien personenbezogener Daten und betroffener Personen

3.1 Datenkategorien

• Stamm-, Identifikations- und Kontaktdaten;
• Beschäftigten-, Benutzerkonto-, Rollen- und Berechtigungsdaten;
• Authentifizierungs-, Zwei-Faktor-, Sitzungs-, Login- und Sicherheitsdaten;
• Dienst-, Kalender-, Verfügbarkeits-, Termin-, Nachrichten- und Anfragedaten;
• Kunden-, Ansprechpartner- und Adressdaten;
• Fahrzeug-, Fuhrpark-, Buchungs-, Kennzeichen-, FIN-, Kilometer-, Tank-/Lade- und Zustandsdaten;
• Fahrt-, Fahrer-, Abhol- und Zieladressdaten;
• Vertrags-, Führerschein-, Übergabe-, Rückgabe- und Dokumentationsdaten;
• Schaden-, Foto-, Bemerkungs- und grafische Unterschriftsdaten;
• PDF-/Datei-/Archiv- und Exportdaten;
• Audit-, Änderungs-, Sicherheits-, Mail- und Systemprotokolle;
• sonstige vom Verantwortlichen im vereinbarten Funktionsumfang eingestellte oder erzeugte personenbezogene Inhalte.

3.2 Kategorien betroffener Personen

• Mitarbeiter, Fahrer, Leitung, Verkauf, Counter, Administratoren und sonstige Benutzer des Verantwortlichen;
• Kunden, Interessenten, Ansprechpartner und gegebenenfalls weitere vom Verantwortlichen erfasste Kontaktpersonen;
• sonstige Personen, deren Daten der Verantwortliche im Rahmen der vereinbarten Prozesse rechtmäßig in MOTIKAR verarbeitet.

4. Weisungsbindung

MOTIKAR verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. Weisungen können sich aus dem Hauptvertrag, dieser Vereinbarung, den vom Verantwortlichen vorgenommenen Systemeinstellungen oder einer nachweisbaren Einzelweisung ergeben.

Hält MOTIKAR eine Weisung für datenschutzrechtswidrig, wird der Verantwortliche hierauf hingewiesen. MOTIKAR darf die Ausführung der betreffenden Weisung bis zur Bestätigung, Änderung oder rechtlichen Klärung aussetzen, soweit dies erforderlich ist.

5. Pflichten von MOTIKAR als Auftragsverarbeiter

MOTIKAR verpflichtet sich insbesondere,

• personenbezogene Daten nur im vereinbarten Umfang und nach Weisung zu verarbeiten;
• die Vertraulichkeit der Verarbeitung zu wahren;
• geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu unterhalten;
• den Verantwortlichen im Rahmen der gesetzlichen Anforderungen bei Betroffenenrechten sowie Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
• Unterauftragsverarbeiter nur nach Maßgabe dieser Vereinbarung einzusetzen;
• dem Verantwortlichen die zur Erfüllung seiner Nachweispflichten erforderlichen Informationen bereitzustellen und zulässige Kontrollen zu ermöglichen;
• nach Vertragsende die Daten nach Maßgabe von Ziffer 15 zu behandeln.

6. Vertraulichkeit

MOTIKAR stellt sicher, dass Personen, die Zugriff auf im Auftrag verarbeitete personenbezogene Daten erhalten können, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe sind auf den für Aufgabe, Support, Sicherheit, Fehleranalyse oder Administration erforderlichen Umfang zu begrenzen.

7. Sicherheit der Verarbeitung

MOTIKAR trifft unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt dieser Fassung konkret vorgesehenen Maßnahmen sind in Anlage 1 beschrieben.

Die Maßnahmen dürfen im Rahmen der technischen Weiterentwicklung angepasst werden, sofern das vereinbarte Schutzniveau nicht insgesamt abgesenkt wird.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt MOTIKAR eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese zur Leistungserbringung erforderlich sind und die Voraussetzungen des Art. 28 DSGVO eingehalten werden. Der derzeit eingesetzte direkte technische Unterauftragsverarbeiter ist in Anlage 2 aufgeführt.

MOTIKAR informiert den Verantwortlichen über beabsichtigte wesentliche Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann aus datenschutzrechtlich nachvollziehbarem Grund innerhalb einer angemessenen Frist widersprechen. Die Parteien werden dann nach einer zumutbaren Lösung suchen. Lässt sich keine tragfähige Lösung finden, richten sich die weiteren Rechte nach Hauptvertrag und Gesetz.

MOTIKAR verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die dem Schutzniveau dieser Vereinbarung entsprechen, soweit deren Leistung die Verarbeitung personenbezogener Daten umfasst.

9. Unterstützung bei Betroffenenrechten

MOTIKAR unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Erfüllung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch oder Widerruf.

Geht ein Betroffenenbegehren unmittelbar bei MOTIKAR ein und betrifft es Daten, die ausschließlich im Auftrag eines Kunden verarbeitet werden, wird MOTIKAR die Anfrage grundsätzlich an den Verantwortlichen verweisen bzw. weiterleiten, soweit dies möglich und rechtlich zulässig ist, und nicht ohne Weisung über die Sache entscheiden.

10. Unterstützung nach Art. 32 bis 36 DSGVO

MOTIKAR unterstützt den Verantwortlichen im angemessenen Umfang bei der Sicherheit der Verarbeitung, der Beurteilung und Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlichen vorherigen Konsultationen mit Aufsichtsbehörden, soweit die Unterstützung die von MOTIKAR erbrachte Verarbeitung betrifft und die Informationen MOTIKAR zur Verfügung stehen.

11. Datenschutzverletzungen und Sicherheitsvorfälle

MOTIKAR informiert den Verantwortlichen unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die im Auftrag verarbeiteten Daten betrifft. Die Mitteilung enthält, soweit verfügbar, die zur Bewertung nach Art. 33 und 34 DSGVO erforderlichen Informationen, insbesondere Art des Vorfalls, betroffene Daten/Kategorien, voraussichtliche Folgen und bereits ergriffene bzw. geplante Abhilfemaßnahmen.

MOTIKAR trifft angemessene Maßnahmen zur Eindämmung, Beweissicherung, Fehlerbehebung und Vermeidung vergleichbarer Vorfälle.

12. Kontroll-, Audit- und Nachweisrechte

MOTIKAR stellt dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. Der Verantwortliche kann nach angemessener Vorankündigung Kontrollen oder Audits selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen, soweit ein berechtigter Anlass besteht und Betriebs-, Sicherheits- und Geheimhaltungsinteressen angemessen berücksichtigt werden.

Kontrollen sollen vorrangig durch Dokumente, technische Nachweise und remote durchführbare Prüfungen erfolgen. Vor-Ort-Prüfungen sind auf das erforderliche Maß zu beschränken und so zu koordinieren, dass der ordnungsgemäße Betrieb und die Rechte anderer Kunden nicht beeinträchtigt werden. Gesetzliche Prüfungsrechte von Aufsichtsbehörden bleiben unberührt.

13. Zusammenarbeit mit Aufsichtsbehörden

MOTIKAR arbeitet im Rahmen der gesetzlichen Pflichten mit zuständigen Datenschutzaufsichtsbehörden zusammen und unterstützt den Verantwortlichen, soweit die Auftragsverarbeitung betroffen ist.

14. Drittlandübermittlungen

Eine planmäßige Verarbeitung produktiver Kundendaten in Staaten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums ist im aktuell vorgesehenen Hostingaufbau nicht Bestandteil der Leistung. Eine Drittlandübermittlung durch MOTIKAR oder einen Unterauftragsverarbeiter erfolgt nur auf dokumentierte Weisung bzw. bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

Nutzerinitiierte Exporte oder bewusst aufgerufene externe Dienste nach Verlassen von MOTIKAR sind hiervon zu unterscheiden und liegen grundsätzlich außerhalb der unmittelbaren Auftragsverarbeitung durch MOTIKAR.

15. Rückgabe, Export und Löschung nach Vertragsende

Nach Beendigung der Auftragsverarbeitung ermöglicht MOTIKAR – soweit vereinbart bzw. technisch vorgesehen – die Herausgabe oder den Export der verarbeiteten Daten. Anschließend löscht MOTIKAR die im Auftrag verarbeiteten personenbezogenen Daten auf Weisung bzw. nach Maßgabe des Vertrags, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

In Sicherungskopien verbleibende Daten werden im regulären technischen Backup-/Überschreibungszyklus überschrieben bzw. entfernt und bis dahin nicht für andere Zwecke produktiv verarbeitet. Eine konkrete, nicht bestätigte Backup-Aufbewahrungsdauer wird nicht vereinbart.

16. Vorrang, Haftung und Schlussbestimmungen

Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag hat diese Vereinbarung für Fragen der Auftragsverarbeitung Vorrang. Im Übrigen gelten die Haftungs- und Vertragsregelungen des Hauptvertrags sowie die gesetzlichen Bestimmungen.

Änderungen und Ergänzungen dieser Vereinbarung sollen in dokumentierbarer Form erfolgen. Soweit einzelne Bestimmungen unwirksam sind oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.