Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer

4Route verarbeitet personenbezogene Daten im Auftrag des Betriebs, um die in den AGB beschriebene Software zur Online-Terminbuchung bereitzustellen. Der Vertrag läuft so lange wie der Nutzungsvertrag und endet mit ihm.

§ 2 Art, Zweck und Betroffene

Zwecke

• Entgegennahme und Verwaltung von Terminbuchungen über die Buchungsseite des Betriebs
• Berechnung von Fahrzeiten und Routen zwischen Einsatzorten
• Versand von Buchungsbestätigungen, Erinnerungen und Absagen per E-Mail
• Abgleich mit und Eintrag in Kalender, die der Betrieb verbindet
• Abwicklung von Online-Zahlungen der Endkunden über das Stripe-Konto des Betriebs

Datenarten

• Kontaktdaten der Endkunden: Name, E-Mail-Adresse, Telefonnummer (optional)
• Einsatzadresse und daraus berechnete Koordinaten
• Termindaten: Leistung, Datum, Uhrzeit, Dauer, Hinweise des Kunden, Status
• Zahlungsstatus und Betrag (keine Karten- oder Kontodaten)
• Daten der Mitarbeitenden des Betriebs: Name, Startadresse, Arbeitszeiten, Kalender-Belegung
• Kundenkartei des Betriebs: Name, Anschrift, Telefon, E-Mail, Kundennummer und Notizen, auch per Import
• Termine aus verbundenen Kalendern: Titel, Zeit, Ort und vom Betrieb ergänzte Adressen
• Importierte Aufträge: Datum, Leistung, Kunde, Ort, Preis

Betroffene

• Kunden und Interessenten des Betriebs
• Mitarbeitende des Betriebs

§ 3 Weisungen

4Route verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs, es sei denn, das Recht der EU oder Deutschlands verpflichtet zu einer Verarbeitung (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen im Dashboard. Einzelweisungen erteilt der Betrieb in Textform an contact@whytropy.de. Hält 4Route eine Weisung für rechtswidrig, weist 4Route den Betrieb unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Wer bei 4Route Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet oder unterliegt einer gesetzlichen Verschwiegenheitspflicht. Die Pflicht gilt über das Vertragsende hinaus.

§ 5 Sicherheit der Verarbeitung

4Route trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. 4Route darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

Der Betrieb genehmigt die folgenden Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Server und Datenbank in Rechenzentren in Deutschland. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.
• Plus Five Five, Inc. (Resend), USA: Versand von E-Mails. Übermittlung auf Grundlage des EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln.
• HeiGIT gGmbH (OpenRouteService), Schloss-Wolfsbrunnenweg 33, 69118 Heidelberg: Berechnung von Fahrzeiten und Routen. Übermittelt werden nur Koordinaten, ohne Namen oder Kontaktdaten. Verarbeitung in Deutschland.
• OpenStreetMap Foundation, Cambridge, Vereinigtes Königreich: Umwandlung von Adressen in Koordinaten (Nominatim). Übermittelt wird nur die Adresse, ohne Namen oder Kontaktdaten. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich.

Stripe sowie Google, Microsoft und Apple als Kalender-Anbieter sind keine Unterauftragsverarbeiter von 4Route. Der Betrieb schließt mit ihnen eigene Verträge und verbindet seine Konten selbst; 4Route überträgt Daten an sie nur auf seine Weisung.

Über neue oder ersetzte Unterauftragsverarbeiter informiert 4Route den Betrieb mindestens 14 Tage vorher per E-Mail. Der Betrieb kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Betrieb den Vertrag zum Zeitpunkt der Änderung kündigen. 4Route verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten aus diesem Vertrag.

§ 7 Unterstützung des Betriebs

4Route unterstützt den Betrieb mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO). Wendet sich eine betroffene Person direkt an 4Route, leitet 4Route die Anfrage unverzüglich an den Betrieb weiter.

§ 8 Datenschutzverletzungen

4Route meldet dem Betrieb eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem 4Route sie bemerkt hat. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Datenarten und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen.

§ 9 Löschung und Rückgabe

Nach Vertragsende kann der Betrieb seine Daten 30 Tage lang exportieren oder bei 4Route anfordern. Danach löscht 4Route die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden nach spätestens 14 Tagen überschrieben.

§ 10 Nachweise und Kontrollen

4Route stellt dem Betrieb auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Der Betrieb kann die Einhaltung prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen, nach rechtzeitiger Ankündigung und höchstens einmal im Kalenderjahr, außer bei konkretem Anlass. Für die Rechenzentren genügen die Zertifikate von Hetzner (ISO/IEC 27001).

§ 11 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Anlage: Technische und organisatorische Maßnahmen

Rechenzentrum (Hetzner, Falkenstein)

• Elektronische Zutrittskontrolle mit Protokollierung, Videoüberwachung, Sicherheitszaun
• Redundante Stromversorgung mit USV und Notstrom, redundante Kühlung, Brandfrüherkennung
• Dauerhaft aktive DDoS-Erkennung, redundante Netzanbindung
• Datenträgerlöschung nach Vertragsende, physische Zerstörung bei fehlgeschlagener Löschung
• Zertifizierung nach ISO/IEC 27001, jährliche externe Prüfung der Maßnahmen

Server und Anwendung (4Route)

• Administrativer Zugang zum Server nur per SSH-Schlüssel, keine Passwort-Anmeldung als Administrator
• Firewall, die nur SSH, HTTP und HTTPS zulässt; Datenbank nicht aus dem Internet erreichbar
• Automatische Sicherheitsupdates des Betriebssystems
• Verschlüsselte Übertragung per TLS (HTTPS) für alle Seiten und Schnittstellen
• Passwörter nur als bcrypt-Hash gespeichert; Zugangsdaten zu Kalendern AES-256-GCM-verschlüsselt
• Strikte Trennung der Daten je Betrieb in der Anwendung; jede Abfrage ist an das angemeldete Konto gebunden
• Begrenzung von Anmelde- und Buchungsversuchen gegen automatisierte Angriffe
• Tägliche Datenbanksicherung, Aufbewahrung 14 Tage
• Keine Zugriffsprotokolle mit IP-Adressen; Zugriff auf Daten nur durch den Inhaber von 4Route