Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten bei der Bereitstellung von LogCon als Software as a Service. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Transportmanagement, KI-gestützte Auftragsabwicklung, Disposition, Kommunikation mit Kunden, Frachtführern und Fahrern, Dokumentenerstellung, Zollvorbereitung und Abrechnung.

3. Datenkategorien und betroffene Personen

• Mitarbeiter des Verantwortlichen: Name, E-Mail, Telefon, Rolle, Sprache, Anmeldedaten
• Fahrer (eigene und von Subunternehmern): Name, Telefon, Sprache, Qualifikationen, Positionsdaten während Touren
• Ansprechpartner bei Kunden und Frachtführern: Name, Kontaktdaten, Kommunikationsinhalte
• Auftrags-, Dokument-, Zoll- und Rechnungsdaten mit Personenbezug

4. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
• Verpflichtung aller befugten Personen zur Vertraulichkeit
• Umsetzung der technischen und organisatorischen Maßnahmen (Anlage 1)
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Meldepflichten
• Information des Verantwortlichen, wenn eine Weisung nach Ansicht des Auftragsverarbeiters gegen Datenschutzrecht verstößt

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage im Voraus; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

6. Technische und organisatorische Maßnahmen (Anlage 1)

• Zutrittskontrolle: Rechenzentrum in der EU mit ISO-27001-Zertifizierung, kein physischer Zugang durch Personal des Auftragsverarbeiters
• Zugangskontrolle: bcrypt-gehashte Passwörter, Zwei-Faktor-Anmeldung, Kontosperre nach Fehlversuchen, JWT mit Ablaufzeit, API-Keys nur als Hash
• Zugriffskontrolle: rollenbasierte Rechte, Least-Privilege, plattformweite Administration nur mit in der Datenbank geprüfter Berechtigung
• Trennungskontrolle: Mandanten-ID auf jeder Tabelle, getrennte Speicherpfade je Mandant
• Verschlüsselung: TLS bei der Übertragung, AES-256-GCM für Zugangsdaten von Integrationen, Datenträgerverschlüsselung beim Hoster
• Eingabekontrolle: Audit-Log mit Vorher/Nachher für Änderungen und KI-Aktionen
• Weitergabekontrolle: HMAC-signierte Webhooks, ausgehende E-Mails nur über konfigurierte Server
• Verfügbarkeit: tägliche verschlüsselte Sicherung von Datenbank und Dokumenten mit Aufbewahrung von 7 Tages-, 4 Wochen- und 12 Monatssicherungen, verschlüsselte Kopie bei einem zweiten Anbieter (off-site), dokumentiertes Wiederherstellungsverfahren, Überwachung
• Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, Löschkonzept, Incident-Response-Prozess

7. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.

8. Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags durch Einsicht in Nachweise und Berichte sowie nach rechtzeitiger Ankündigung durch Prüfungen vor Ort überzeugen.

9. Löschung und Rückgabe

Nach Vertragsende stellt der Auftragsverarbeiter für 30 Tage einen vollständigen Datenexport bereit, löscht anschließend alle Daten des Verantwortlichen einschließlich Kopien und bestätigt die Löschung. Gesetzliche Aufbewahrungspflichten bleiben unberührt; verschlüsselte Sicherungskopien werden im regulären Rotationszyklus überschrieben, spätestens nach 12 Monaten.

10. Drittlandübermittlung

Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.

11. KI-Transparenz (Anlage 4)

KI-Agenten erstellen Vorschläge oder führen – je nach vom Verantwortlichen eingestellter Autonomiestufe – Aktionen aus. Jede KI-Aktion wird mit Modell, Zeitpunkt, Konfidenz und Vorher/Nachher protokolliert; automatische Aktionen sind umkehrbar. Kundendaten werden nicht zum Training von KI-Modellen verwendet.

12. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Es gilt österreichisches Recht; Gerichtsstand ist Wien.

Anlage 2: Unterauftragsverarbeiter

Siehe die folgende Tabelle.