Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

1.1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform LimoWo gemäß den AGB (Hauptvertrag).

1.2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags.

Art und Zweck: Speicherung, Organisation, Anzeige, Übermittlung (z. B. E-Mail-Versand, Kalender-Feeds), Export und Löschung von Daten zur Verwaltung von Personenbeförderungs- und Chauffeurdiensten, zur Disposition, Rechnungslegung und Kommunikation.

Kategorien betroffener Personen:

• Kunden und Fahrgäste des Auftraggebers (inkl. Personen, die über das Buchungs-Widget buchen)
• Fahrer und Mitarbeiter des Auftraggebers
• Ansprechpartner von Partnerunternehmen

Arten personenbezogener Daten:

• Stammdaten (Name, Firma, Anschrift)
• Kontaktdaten (E-Mail, Telefonnummer)
• Fahrtdaten (Abhol- und Zieladressen, Zeitpunkte, Anmerkungen, Fahrgastanzahl)
• Fahrerdaten (Kontaktdaten, Führerscheindaten, Schichten, zugewiesene Fahrten)
• Abrechnungsdaten (Rechnungen, Beträge, Zahlungsstatus, ggf. Bankverbindung)
• Technische Daten (IP-Adressen bei Buchungen über das Widget, Protokolldaten)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber wird solche Daten nicht in freie Textfelder eingeben.

3.1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten der Hauptvertrag, dieser AVV sowie die Nutzung und Konfiguration des Dienstes durch den Auftraggeber. Einzelweisungen erfolgen per E-Mail.

3.2. Ist der Auftragnehmer nach Unionsrecht oder österreichischem Recht zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorab mit, sofern das Recht dies nicht verbietet.

3.3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin und kann die Ausführung bis zur Bestätigung aussetzen.

• Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit (Datengeheimnis gemäß § 6 DSG), sofern sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und darf diese an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.
• Er unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
• Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
• Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, mit den ihm verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO.
• Er führt ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Erfüllung der Informationspflichten gegenüber den betroffenen Personen (Art. 13, 14 DSGVO) und die Wahrung von deren Rechten verantwortlich. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6.1. Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Subunternehmer sind in Anlage 2 aufgeführt und gelten als genehmigt.

6.2. Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragnehmer den Auftraggeber mindestens 4 Wochen im Voraus per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichen Grund innerhalb dieser Frist widersprechen. Ist eine Lösung nicht möglich, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

6.3. Der Auftragnehmer erlegt Subunternehmern vertraglich im Wesentlichen dieselben Datenschutzpflichten auf. Übermittlungen in Drittländer erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss, EU-US Data Privacy Framework oder Standardvertragsklauseln).

6.4. Nicht als Subunternehmer gelten Dienste, die der Auftraggeber selbst auswählt und mit eigenen Zugangsdaten anbindet (z. B. eigener SMTP-Server, eigenes Stripe- oder PayPal-Konto). Für diese ist der Auftraggeber selbst verantwortlich.

7.1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.

7.2. Der Auftraggeber kann Überprüfungen, einschließlich Inspektionen, nach rechtzeitiger Vorankündigung (mindestens 4 Wochen), während der Geschäftszeiten und ohne Störung des Betriebsablaufs selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Vorrangig erfolgt der Nachweis durch schriftliche Auskünfte. Der Aufwand für Vor-Ort-Prüfungen kann angemessen verrechnet werden.

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten innerhalb von 30 Tagen über die Exportfunktionen herunterladen. Danach löscht der Auftragnehmer die Daten, sofern keine gesetzliche Pflicht zur Speicherung besteht. Daten in Sicherungskopien werden im Rahmen der regulären Rotation gelöscht.

9.1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Auftraggeber und Auftragnehmer gelten die Haftungsregelungen der AGB (insbesondere Punkt 13).

9.2. Der Auftragnehmer ist von der Haftung befreit, wenn er nachweist, dass er für den schadensbegründenden Umstand in keiner Weise verantwortlich ist (Art. 82 Abs. 3 DSGVO). Dies gilt insbesondere für Sicherheitsvorfälle bei weiteren Auftragsverarbeitern, wenn der Auftragnehmer diese sorgfältig ausgewählt und vertraglich gemäß § 6 verpflichtet hat.

9.3. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV hinsichtlich des Datenschutzes vor. Es gilt österreichisches Recht; Gerichtsstand gemäß AGB.

Vertraulichkeit

• Hosting in Rechenzentren professioneller Anbieter mit Zutrittskontrolle und Zertifizierungen (z. B. ISO 27001, SOC 2); kein eigener Serverbetrieb
• Zugang zum Dienst nur mit persönlichem Konto; Passwörter mit bcrypt gehasht; Passwortrichtlinie; optionale Zwei-Faktor-Authentifizierung (TOTP)
• Schutz vor Brute-Force-Angriffen durch Rate-Limiting, Kontosperre nach Fehlversuchen und CAPTCHA
• Strikte Mandantentrennung: jeder Datenzugriff ist auf den Mandanten des angemeldeten Nutzers beschränkt
• Rollen- und Berechtigungskonzept innerhalb eines Mandanten (z. B. Inhaber, Disponent, Betrachter)
• Verschlüsselte Speicherung sensibler Zugangsdaten (z. B. SMTP-Passwörter, API-Schlüssel, 2FA-Geheimnisse) mit AES-256-GCM
• Administrativer Zugriff auf Produktivsysteme nur durch den Inhaber des Auftragnehmers, abgesichert durch Zwei-Faktor-Authentifizierung

Integrität

• Verschlüsselte Übertragung aller Daten über HTTPS/TLS
• Eingabevalidierung, Schutz vor CSRF und XSS
• Protokollierung sicherheitsrelevanter Aktionen (Audit-Log)

Verfügbarkeit und Belastbarkeit

• Automatisierte Datenbanksicherungen mit Point-in-Time-Wiederherstellung durch den Datenbankanbieter
• Skalierbare Cloud-Infrastruktur; Verschlüsselung der Daten im Ruhezustand beim Hosting-Anbieter
• Regelmäßige Sicherheitsupdates der eingesetzten Software-Abhängigkeiten

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige interne Sicherheitsüberprüfungen des Codes und der Konfiguration
• Datenschutzfreundliche Voreinstellungen; Exportfunktion und Löschfunktionen für Mandanten