Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien und Rollen

PsGreen verarbeitet diese Daten bei der Bereitstellung von Dispovera grundsätzlich als Auftragsverarbeiter gemäß Art. 28 DSGVO. Eigene Verarbeitungen von PsGreen, insbesondere für Vertragsverwaltung, Abrechnung, technische Sicherheit und eigene gesetzliche Pflichten, sind davon zu unterscheiden und nicht Gegenstand dieser Auftragsverarbeitung.

2. Gegenstand und Leistungsumfang

Gegenstand ist die Bereitstellung und der Betrieb der mandantenfähigen SaaS-Plattform Dispovera. Soweit vom Verantwortlichen genutzt bzw. freigeschaltet, können Benutzer- und Berechtigungsverwaltung, Mitarbeiter- und Teamverwaltung, Kunden- und Ansprechpartnerverwaltung, Standort- und Lagerverwaltung, Auftragsverwaltung, Import und Verarbeitung von Auftragsdaten, Terminierung, Disposition, Touren- und Routenberechnung, Kommunikation, Fahrzeugverwaltung, Dokumentation und weitere freigeschaltete Dispovera-Module umfasst sein.

3. Dauer

Dieser AVV gilt für die Dauer des jeweiligen Vertrags- oder Nutzungsverhältnisses über Dispovera. Nach dessen Ende wird die operative Company deaktiviert beziehungsweise der Zugriff beendet. Der Verantwortliche kann bis zum Ende beziehungsweise innerhalb des vorgesehenen Beendigungsprozesses die Rückgabe oder einen vorgesehenen Export seiner Daten verlangen. Sofern keine abweichende Weisung zur Rückgabe oder zum Export erfolgt, gilt der in Ziffer 12 beschriebene 90-Tage-Reaktivierungszeitraum.

4. Weisungsgebundene Verarbeitung

PsGreen verarbeitet personenbezogene Daten des Verantwortlichen nur auf dokumentierte Weisung und im vereinbarten Leistungsumfang, soweit keine gesetzliche Verarbeitungspflicht besteht. Der bestimmungsgemäße Einsatz von Dispovera sowie Konfigurationen und Eingaben des Verantwortlichen gelten innerhalb dieses Rahmens als Weisungen. Mündliche Weisungen, die über den normalen Produktbetrieb hinausgehen, werden anschließend dokumentiert.

Hält PsGreen eine Weisung für datenschutzrechtlich unzulässig, wird der Verantwortliche unverzüglich darauf hingewiesen. Damit ist keine Rechtsberatungspflicht verbunden.

5. Vertraulichkeit

PsGreen verpflichtet Personen mit Zugriff auf personenbezogene Kundendaten auf Vertraulichkeit oder stellt sicher, dass eine entsprechende gesetzliche oder vertragliche Verschwiegenheitspflicht besteht. Der administrative Serverzugriff ist derzeit auf den Betreiber beschränkt. Administrativer Zugriff auf Kundendaten erfolgt nur, soweit dies für Betrieb, Fehleranalyse, Sicherheit oder Support tatsächlich erforderlich ist.

6. Technische und organisatorische Maßnahmen

PsGreen setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein. Die vereinbarten Maßnahmen sind in Anlage 2 beschrieben. PsGreen kann sie entsprechend der technischen Entwicklung fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine vorherige Genehmigung gemäß Art. 28 Abs. 2 DSGVO zum Einsatz geeigneter Unterauftragsverarbeiter. PsGreen verpflichtet diese im gesetzlich erforderlichen Umfang. Über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung wird der Verantwortliche informiert und kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Anlage 3 führt die für Dispovera eingesetzten technischen Anbieter auf.

8. Ort der Verarbeitung und Drittlandübermittlungen

PsGreen bevorzugt eine Verarbeitung in Deutschland beziehungsweise der Europäischen Union. Der IONOS-Produktivserver befindet sich in Deutschland; Brevo gibt Datenbankhosting innerhalb der EU an; Cloudflare R2 wird für Dispovera mit EU-Jurisdiction und Geoapify über den EU-fokussierten Endpoint https://api-eu.geoapify.com genutzt. Ein Drittlandbezug innerhalb beteiligter Anbietergruppen wird dadurch nicht ausnahmslos ausgeschlossen. Soweit eine Drittlandübermittlung erfolgt, sind die Voraussetzungen der Art. 44 ff. DSGVO einzuhalten.

9. Unterstützung des Verantwortlichen

PsGreen unterstützt den Verantwortlichen im gesetzlich erforderlichen Umfang und unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten gemäß Art. 12–22 DSGVO, der Sicherheit der Verarbeitung, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und gegebenenfalls vorherigen Konsultationen. Eine uneingeschränkte kostenlose Beratungs- oder Rechtsberatungspflicht wird nicht begründet.

Geht bei PsGreen eine Betroffenenanfrage zu ausschließlich im Auftrag verarbeiteten Daten ein, wird sie grundsätzlich an den zuständigen Verantwortlichen verwiesen oder weitergeleitet. PsGreen entscheidet ohne Weisung nicht eigenständig über Betroffenenrechte, soweit keine gesetzliche Pflicht entgegensteht.

10. Datenschutzverletzungen

PsGreen informiert den Verantwortlichen unverzüglich, sobald eine Verletzung des Schutzes personenbezogener Daten bekannt wird, soweit im Auftrag verarbeitete Daten betroffen sind. Die Information umfasst, soweit bekannt und verfügbar, die Art des Vorfalls, betroffene Daten oder Kategorien, mögliche Folgen sowie bereits ergriffene oder geplante Gegenmaßnahmen.

11. Kontroll- und Nachweisrechte

PsGreen stellt die zur Erfüllung der Nachweispflichten gemäß Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Audits erfolgen angemessen und verhältnismäßig, unter Berücksichtigung berechtigter Sicherheits- und Geheimhaltungsinteressen und möglichst zunächst durch Dokumenten- oder Nachweisprüfung. Vor-Ort-Prüfungen erfolgen, soweit erforderlich, nach angemessener vorheriger Abstimmung. Gesetzliche Kontrollrechte bleiben unberührt.

12. Rückgabe und Löschung

Der Verantwortliche kann nach Ende der Auftragsverarbeitung gemäß Art. 28 Abs. 3 lit. g DSGVO wählen und anweisen, ob die im Auftrag verarbeiteten personenbezogenen Daten gelöscht oder zurückgegeben werden sollen, soweit keine gesetzliche Pflicht zur Speicherung entgegensteht. Die Rückgabe kann über einen vorgesehenen Export erfolgen und ist bis zum Ende beziehungsweise innerhalb des vorgesehenen Beendigungsprozesses zu verlangen. Die Wahl- und Weisungsrechte des Verantwortlichen werden durch den nachfolgenden Dispovera-Standard nicht eingeschränkt.

Sofern keine abweichende Weisung zur Rückgabe oder zum Export erfolgt, gilt standardmäßig der vereinbarte 90-Tage-Reaktivierungszeitraum. Nach dessen Ablauf werden die operativen personenbezogenen Kundendaten aus dem Produktivsystem gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Eigene gesetzlich aufzubewahrende Vertrags-, Rechnungs- oder Geschäftsunterlagen von PsGreen bleiben unberührt.

Die lokale Produktivsicherung rotiert nach mehr als 7 Tagen, die getrennte Staging-Kopie nach mehr als 30 Tagen; Restic/R2 bewahrt 30 tägliche, 12 wöchentliche und 12 monatliche Sicherungen auf. Bereits vorhandene Backup-Kopien laufen ausschließlich über diese reguläre technische Rotation aus und werden bis zum regulären Ablauf des jeweiligen Sicherungssatzes ausschließlich für Wiederherstellungs- und Notfallzwecke vorgehalten. Bei einer Wiederherstellung werden zwischenzeitliche Löschungen, soweit erforderlich, erneut nachvollzogen.

13. Haftung und Rangfolge

Für die Haftung gelten die gesetzlichen Bestimmungen sowie gegebenenfalls die Regelungen des zugrunde liegenden Hauptvertrags. Bei Widersprüchen gehen hinsichtlich der Auftragsverarbeitung die spezielleren Datenschutzregelungen dieses AVV den allgemeinen Regelungen des Hauptvertrags vor. Der Hauptvertrag bleibt im Übrigen unberührt.

Anlage 2 – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beschreiben den gegenwärtig nachweisbaren Stand von Dispovera. Sie orientieren sich an den Schutzzielen und der risikobezogenen Betrachtung des Art. 32 DSGVO.

Anlage 3 – Unterauftragsverarbeiter

Die Liste ist ein reproduzierbarer Bestandteil der AVV-Version 1.0. Gewählte EU-Regionen schließen mögliche Drittlandbezüge auf Anbieter-, Account- oder Supportebene nicht automatisch aus. Etwaige Drittlandübermittlungen erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.