Vertrag über die Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO · Fassung 1.0 vom 15.10.2026

zwischen dem Kunden von TachoDash als Verantwortlichem (nachfolgend „Auftraggeber“)
und Proinnova – Thomas Schulten, Mittelstraße 1, 56379 Winden, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

§ 1 Gegenstand, Vertragsschluss und Rangfolge

1. Der Auftragnehmer stellt dem Auftraggeber die Web-Anwendung „TachoDash“ zur Archivierung und Auswertung von Tachograph-Daten bereit. Grundlage ist der Hauptvertrag, bestehend aus den Allgemeinen Geschäftsbedingungen und der gewählten Leistung. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Pflichten der Parteien hierzu.
2. Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Auftraggeber stimmt ihm bei der Registrierung oder später im Kundenkonto zu. Der Auftragnehmer speichert Zeitpunkt, zustimmenden Nutzer und Fassung.
3. Bei Widersprüchen geht dieser Vertrag in allen Fragen des Datenschutzes dem Hauptvertrag vor.

§ 2 Dauer

Der Vertrag gilt für die Laufzeit des Hauptvertrags einschließlich einer kostenlosen Testphase. Die Pflichten aus diesem Vertrag bestehen fort, solange der Auftragnehmer Daten des Auftraggebers verarbeitet, also bis zur Löschung oder Rückgabe nach § 13.

§ 3 Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben (Abruf über die Schnittstelle des vom Auftraggeber genutzten Telematiksystems, Hochladen, Einsendung per E-Mail), Speichern, Auslesen und Auswerten, Darstellen, Übermitteln an vom Auftraggeber bestimmte Empfänger (Benachrichtigungen, Exporte) sowie Löschen.

Zwecke der Verarbeitung:

• Archivierung der Tachograph-Daten (DDD-Dateien) und Überwachung der Fristen für das Herunterladen;
• Auswertung der Lenk- und Ruhezeiten (VO (EG) Nr. 561/2006), der Arbeitszeit (§ 21a ArbZG), von Aufzeichnungslücken und Grenzübertritten;
• Führen von Nachweisen: Fahrerbelehrungen, jährliche Unterweisungen, Führerscheinkontrollen und Abfahrtkontrollen;
• Anzeige des zuletzt gemeldeten Fahrzeugstandorts und der Restlenkzeiten in der Fahrer-Ansicht;
• Benachrichtigungen per E-Mail und Push;
• Verwaltung der Nutzerkonten, Anmeldung und Unterstützung des Auftraggebers (Support).

§ 4 Art der Daten und Kategorien betroffener Personen

Betroffene Personen: Fahrerinnen und Fahrer des Auftraggebers (auch im Mehrfahrerbetrieb); Nutzer des Kundenkontos (Administratoren, Disponenten, Fahrer mit eigenem Zugang); Ansprechpartner des Auftraggebers.

Datenarten:

• Stammdaten der Fahrer: Name, Vorname, Geburtsdatum, Nummer und Gültigkeit der Fahrerkarte, Gültigkeit von Führerschein und Fahrerqualifizierung (Code 95), Gruppenzuordnung;
• Tachograph-Daten: DDD-Originaldateien von Fahrerkarten und Fahrzeugeinheiten, Tätigkeiten (Lenken, Arbeit, Bereitschaft, Ruhe) mit Zeiten, gefahrene Strecken und Kilometerstände, Ortsangaben und Grenzübertritte, Ereignisse und Störungen, Zuordnung von Fahrer und Fahrzeug, Zündungsverlauf;
• Fahrzeugdaten mit Personenbezug: amtliches Kennzeichen, Fahrzeug-Identifizierungsnummer, zuletzt gemeldeter Standort;
• Auswertungsergebnisse: mögliche Verstöße, Arbeitszeitauswertungen, Compliance-Bewertung;
• Nachweise: Belehrungen und Unterweisungen mit Quittung, Führerscheinkontrollen mit Fotos des Führerscheins, Unterschrift und Ort, Abfahrtkontrollen mit Fotos;
• Nutzerdaten: Name, E-Mail-Adresse, Rolle, Passwort (nur als Hash), Daten für den zweiten Anmeldeschritt (Schlüssel der Authenticator-App, Mobilfunknummer, Notfallcodes nur als Abdruck), Empfangsadressen für Push-Benachrichtigungen;
• Protokolle: Exporte, Support-Zugriffe, Eingänge per E-Mail, IP-Adressen bei fehlgeschlagenen Anmeldungen;
• Inhalte von E-Mails, die der Auftraggeber an den Support richtet.

§ 5 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Auftraggeber in TachoDash vornimmt (z. B. Aufbewahrungsdauer, Benachrichtigungen, Löschungen). Einzelweisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail).
2. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.
3. Ohne Weisung verarbeitet der Auftragnehmer Daten nur, wenn er nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet ist. In diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vorher mit, sofern das Recht dies nicht verbietet.
4. Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke.

§ 6 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und mit den maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und aktualisiert Anlage 1.

§ 8 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 DSGVO). Die in Anlage 2 genannten Unterauftragsverarbeiter gelten als genehmigt.
2. Will der Auftragnehmer einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, teilt er dies den Administratoren des Kundenkontos mindestens vier Wochen vorher per E-Mail mit und aktualisiert Anlage 2. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen nach Zugang widersprechen. Einigen sich die Parteien nicht, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Er haftet gegenüber dem Auftraggeber für deren Einhaltung.
4. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Zugriff auf die Daten (z. B. Telekommunikation, Zahlungsabwicklung für das Abonnement). Der Telematikanbieter, von dem TachoDash auf Weisung des Auftraggebers Daten abruft, wird im Rahmen des Telematikvertrags tätig, nicht im Auftrag des Auftragnehmers.

§ 9 Verarbeitung außerhalb der EU und des EWR

Eine Verarbeitung in einem Drittland findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Welche Unterauftragsverarbeiter außerhalb der EU tätig sind und auf welcher Grundlage, ist in Anlage 2 angegeben.

§ 10 Unterstützung bei den Rechten der betroffenen Personen

1. TachoDash stellt dem Auftraggeber Funktionen zur Verfügung, mit denen er Anfragen betroffener Personen selbst erfüllen kann: Einsicht, Export (CSV, PDF, DDD-Originaldateien als ZIP), Berichtigung von Stammdaten und Löschung nach Ablauf der Aufbewahrungsdauer. Reichen diese Funktionen nicht aus, unterstützt der Auftragnehmer den Auftraggeber auf Anfrage (Art. 28 Abs. 3 lit. e DSGVO).
2. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

§ 11 Meldepflichten und weitere Unterstützung

1. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht. Die Meldung geht per E-Mail an die Administratoren des Kundenkontos.
2. Der Auftragnehmer unterstützt den Auftraggeber bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 32 bis 36 DSGVO), soweit es die ihm vorliegenden Informationen erlauben.
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diese Verarbeitung betreffen.

§ 12 Zugriff des Auftragnehmers auf Daten im Kundenkonto (Support)

1. Der Auftragnehmer sieht sich Daten im Kundenkonto nur an, wenn der Auftraggeber es anfordert (z. B. mit einer Supportanfrage) oder wenn es zur Behebung einer Störung oder zur Abwehr einer Gefahr für die Sicherheit erforderlich ist. Im zweiten Fall informiert er den Auftraggeber nachträglich.
2. Die Supportanmeldung verlangt die Angabe eines Grundes. Jeder Zugriff wird mit Person, Beginn, Ende und Grund protokolliert. Das Protokoll erhält der Auftraggeber auf Anfrage.
3. Arbeiten an Server und Datenbank (Wartung, Fehlersuche, Sicherungen) beschränkt der Auftragnehmer auf das dafür Erforderliche.

§ 13 Rückgabe und Löschung nach Vertragsende

1. Während der Laufzeit kann der Auftraggeber seine Daten jederzeit selbst exportieren und löschen.
2. Nach Ende des Hauptvertrags, auch nach einer Testphase ohne anschließende Buchung, kann der Auftraggeber binnen 60 Tagen die Herausgabe seiner Daten verlangen. Der Auftragnehmer übergibt dann die DDD-Originaldateien als ZIP-Archiv und die Auswertungen als CSV-Datei.
3. Spätestens 90 Tage nach Vertragsende löscht der Auftragnehmer alle Daten des Auftraggebers, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Auf Verlangen bestätigt er die Löschung in Textform.
4. In den verschlüsselten Sicherungskopien bleiben gelöschte Daten enthalten, bis sie im regulären Zyklus überschrieben werden, spätestens nach 13 Monaten (Anlage 1, Nr. 3). Sie werden in dieser Zeit nur zur Wiederherstellung nach einem Störfall verwendet und danach erneut gelöscht.

§ 14 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht im Wettbewerb zum Auftragnehmer steht, kann Überprüfungen einschließlich Inspektionen durchführen. Sie sind in der Regel 14 Tage vorher anzukündigen und finden während der üblichen Geschäftszeiten statt, ohne den Betrieb zu stören. Für die Rechenzentren genügen die Nachweise des Rechenzentrumsbetreibers.
3. Jede Partei trägt ihre eigenen Kosten. Für mehr als eine Überprüfung im Jahr kann der Auftragnehmer eine angemessene Vergütung seines Aufwands verlangen, es sei denn, die Überprüfung ist durch einen Verstoß des Auftragnehmers veranlasst.

§ 15 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 16 Schlussbestimmungen

1. Eine neue Fassung dieses Vertrags veröffentlicht der Auftragnehmer unter dieser Adresse und holt die Zustimmung des Auftraggebers im Kundenkonto ein. Änderungen der Anlagen richten sich nach § 7 und § 8.
2. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.
3. Es gilt deutsches Recht. Für den Gerichtsstand gilt der Hauptvertrag.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutritt: Server und Sicherungsspeicher stehen in Rechenzentren der Hetzner Online GmbH in Nürnberg und Falkenstein/Vogtland. Zutritt hat nur Personal des Rechenzentrumsbetreibers.
• Zugang: Anmeldung nur über verschlüsselte Verbindungen (HTTPS). Passwörter mit mindestens 8 Zeichen werden nur als gesalzener Hash (scrypt) gespeichert. Für alle Administratorkonten ist seit dem 31.08.2026 ein zweiter Anmeldeschritt (Authenticator-App oder SMS) Pflicht; Notfallcodes werden nur als Abdruck (SHA-256) gespeichert. Wiederholte Fehlversuche bremsen die Anmeldung, auffällige Adressen werden automatisch gesperrt. Schutz vor automatisierten Registrierungen und vor Anfragen, die von fremden Seiten ausgelöst werden (CSRF). Der Server ist für die Verwaltung nur per SSH-Schlüssel erreichbar, nicht per Passwort; die Datenbank nimmt nur Verbindungen vom Server selbst an.
• Zugriff: Rollen mit abgestuften Rechten (Administrator, Disponent, Fahrer). Fahrer sehen ausschließlich ihre eigenen Daten. Der Betreiber erreicht Daten im Kundenkonto nur über die protokollierte Supportfunktion (§ 12).
• Trennung: Jeder Datensatz ist einem Mandanten zugeordnet, jede Abfrage ist auf den Mandanten des angemeldeten Nutzers beschränkt; automatisierte Tests prüfen die Trennung. Der kontolose Schnellcheck ist von den Kundendaten getrennt.
• Datenminimierung: Aus Fotos werden Metadaten einschließlich GPS-Koordinaten entfernt. Die Positionskarte zeigt nur den zuletzt gemeldeten Standort, keinen Verlauf. Im Kundenbereich findet keine Reichweitenmessung statt.
• Verschlüsselung: Übertragung per TLS (HTTPS; E-Mail-Versand über STARTTLS). Sicherungskopien außerhalb des Servers werden vor der Übertragung verschlüsselt (Storage Box: Borg mit AES-256; Google Drive: rclone crypt). Die Schlüssel liegen nur beim Auftragnehmer.

2. Integrität

• Weitergabe: Datenübertragung nur verschlüsselt. Exporte und Eingänge per E-Mail werden je Mandant protokolliert.
• Eingabe: DDD-Originaldateien werden unverändert mit SHA-256-Prüfsumme archiviert. Belehrungen, Unterweisungen und Kontrollen werden mit Zeitpunkt und ausführendem Nutzer gespeichert. Support-Zugriffe werden protokolliert.

3. Verfügbarkeit und Belastbarkeit

• Die Datenbank wird stündlich gesichert, das DDD-Archiv bei jeder Änderung.
• Auf dem Server: alle Sicherungen der letzten 48 Stunden, danach ein Stand je Tag für 7 Tage.
• Jede Nacht eine verschlüsselte Kopie auf einen Speicher in einem anderen Rechenzentrum (Storage Box, Falkenstein): 14 tägliche, 8 wöchentliche und 12 monatliche Stände, dazu 10 tägliche Momentaufnahmen, die vom Server aus nicht gelöscht werden können.
• Zusätzlich eine verschlüsselte Kopie bei Google Drive, die nach 30 Tagen gelöscht wird.
• Die Wiederherstellung der Datenbank wird täglich automatisch erprobt. Dienste starten nach einem Fehler automatisch neu.

4. Löschkonzept

• Die Aufbewahrungsdauer der Fahrdaten legt der Auftraggeber fest: mindestens 12 Monate (Art. 33 Abs. 2 VO (EU) Nr. 165/2014), voreingestellt 24 Monate (§ 21a Abs. 7 ArbZG), höchstens 120 Monate. Abgelaufene Fahrdaten löscht der Auftraggeber auf der Seite „Datenschutz & Aufbewahrung“.
• Protokolle des Webservers werden nach 14 Tagen gelöscht, das Systemprotokoll nach höchstens 45 Tagen.
• Sicherungskopien werden im Zyklus nach Nr. 3 überschrieben, spätestens nach 13 Monaten.
• Nach Vertragsende gilt § 13.

5. Regelmäßige Überprüfung

• Automatisierte Tests prüfen bei Änderungen unter anderem Mandantentrennung, Anmeldeschutz, CSRF-Schutz, zweiten Anmeldeschritt und Löschung.
• Die Maßnahmen werden regelmäßig überprüft, zuletzt am 15.10.2026.
• Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Aufbewahrungsdauer mit Untergrenze, keine Reichweitenmessung im Kundenbereich, Positionskarte ohne Verlauf.

Anlage 2 – Unterauftragsverarbeiter

Stand: Fassung 1.0 vom 15.10.2026.

Keine Unterauftragsverarbeiter

• Telematikanbieter (Fernauslesung): TachoDash ruft die Tachograph-Daten auf Weisung des Auftraggebers mit dessen Zugangsschlüssel bei der Telematikplattform ab (derzeit Mapon SIA, Lettland, über das Portal von Proinnova GPS). Dorthin übermittelt TachoDash keine personenbezogenen Daten. Die Plattform wird im Rahmen des Telematikvertrags des Auftraggebers tätig, für den eine eigene Vereinbarung gilt.
• SumUp wickelt Zahlungen als eigener Verantwortlicher ab und erhält keine Fahrer- oder Fahrzeugdaten.
• Reichweitenmessung (Umami) und Kartendarstellung laufen über eigene Server des Auftragnehmers in Deutschland.

Fassung 1.0 vom 15.10.2026