Vertrag zur Auftragsverarbeitung

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: Juni 2026

Vertragsparteien

nachfolgend gemeinsam „Parteien", einzeln „Auftraggeber" bzw. „Auftragsverarbeiter".

Präambel

Der Auftragsverarbeiter erbringt für den Auftraggeber Leistungen im Rahmen der Bereitstellung und des Betriebs der Software MachineTracker Pro (Flottenmanagement, SaaS). Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder von ihm beauftragte Unterauftragsverarbeiter personenbezogene Daten des Auftraggebers verarbeiten.

§ 1 Gegenstand und Dauer

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung von MachineTracker Pro gemäß dem zugrunde liegenden Hauptvertrag (Lizenz- und Hosting-Vertrag). Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet auch dieser Vertrag, unbeschadet der Pflichten zur Löschung oder Rückgabe (§ 8).

§ 2 Art, Umfang und Zweck der Verarbeitung

Art und Zweck

Verarbeitung zur Bereitstellung der Flottenmanagement-Funktionen: Verwaltung von Fahrzeugen/Assets, Wartung, Disposition, Tickets, Dokumenten, Kontakten, Kommunikation (E-Mail, SMS, Telegram, WhatsApp), Benachrichtigungen sowie Auswertungen und Berichten.

Art der personenbezogenen Daten

• Stammdaten (Name, Funktion, Organisation)
• Kontaktdaten (E-Mail, Telefon, Anschrift)
• Zugangs- und Nutzungsdaten (Login, Rollen, Protokolle, IP-Adressen)
• Kommunikations- und Inhaltsdaten (Nachrichten, Tickets, Dokumente, Bilder inkl. ggf. Metadaten)
• Auftrags- und Dispositionsdaten

Kategorien betroffener Personen

• Beschäftigte und Nutzer des Auftraggebers (z. B. Disponenten, Fahrer, Techniker, Verwaltung)
• Kunden, Lieferanten und sonstige Geschäftskontakte des Auftraggebers
• Externe Melde- und Bestellpersonen (z. B. über das QR-System oder die Meldestelle)

§ 3 Pflichten des Auftragsverarbeiters

1. Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), auch hinsichtlich Drittlandübermittlungen, sofern nicht gesetzlich verpflichtet.
2. Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).
3. Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1).
4. Einhaltung der Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern (Art. 28 Abs. 2 und 4 DSGVO, § 5, Anlage 2).
5. Unterstützung des Auftraggebers bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) durch geeignete technische und organisatorische Maßnahmen.
6. Unterstützung bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
7. Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber (Art. 33 DSGVO).
8. Nach Wahl des Auftraggebers Löschung oder Rückgabe der Daten nach Ende der Verarbeitung (§ 8).
9. Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung und Ermöglichung von Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO, § 7).
10. Hinweis an den Auftraggeber, falls eine Weisung gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit auf dem Stand der Technik. Änderungen sind zulässig, sofern das Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter

Der Auftraggeber stimmt der Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter dürfen nur nach vorheriger Information des Auftraggebers eingesetzt werden; der Auftraggeber kann aus wichtigem Grund widersprechen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

§ 6 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich (Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO). Er erteilt Weisungen grundsätzlich in Textform. Aktiviert er Kommunikationskanäle (z. B. WhatsApp, Telegram) oder externe Dienste, die Daten in Drittländer übermitteln, verantwortet er die hierfür erforderlichen Rechtsgrundlagen und Garantien.

§ 7 Nachweise und Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage nach, etwa durch Selbstauskünfte, Dokumentation der TOM oder geeignete Nachweise. Der Auftraggeber ist berechtigt, sich von der Einhaltung nach vorheriger Ankündigung zu angemessenen Zeiten zu überzeugen; vor-Ort-Kontrollen erfolgen so, dass der Betrieb nicht unverhältnismäßig beeinträchtigt wird.

§ 8 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Backups werden im Rahmen der üblichen Rotation gelöscht.

§ 9 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags (AGB), soweit datenschutzrechtlich zulässig.

§ 10 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 – Genehmigte Unterauftragsverarbeiter