Auftragsverarbeitungsvertrag (AVV)
Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO
Version 1.0 · Stand: März 2026 · Vertragsnummer: PCV-FLEETIVA-AVV-2026-001
Präambel
Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") wird geschlossen zwischen dem Kunden (nachfolgend "Verantwortlicher") und dem Anbieter der SaaS-Plattform Fleetiva (nachfolgend "Auftragsverarbeiter"):
Auftragsverarbeiter:
ProCiva UG (haftungsbeschränkt) – Fleetiva
Breitscheidstraße 26 C
16348 Wandlitz, Deutschland
datenschutz@fleetiva.de
Verantwortlicher:
Der jeweilige Kunde, der die SaaS-Plattform Fleetiva nutzt und mit dem Auftragsverarbeiter einen Nutzungsvertrag geschlossen hat.
Dieser AVV konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien im Zusammenhang mit der Auftragsverarbeitung gemäß Art. 28 DSGVO. Er ergänzt den zwischen den Parteien geschlossenen Nutzungsvertrag (Hauptvertrag).
§ 1 Gegenstand und Dauer der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform Fleetiva. Gegenstand der Verarbeitung ist die Erbringung folgender Leistungen:
- Bereitstellung und Betrieb der webbasierten Flottenmanagement-Plattform Fleetiva
- Speicherung und Verwaltung von Stammdaten (Fahrzeuge, Mitarbeiter, Fahrgäste, Kunden)
- Verwaltung von Fahrten, Touren und Abrechnungsdaten
- Dokumentenverwaltung und -speicherung
- Bereitstellung von Auswertungen und Berichten
Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag) zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Nach Beendigung des Hauptvertrags werden die Daten gemäß § 10 dieses AVV gelöscht.
§ 2 Art der Daten und Kreis der Betroffenen
Arten der verarbeiteten personenbezogenen Daten:
- Stammdaten (Name, Vorname, Anschrift, Geburtsdatum)
- Kontaktdaten (Telefonnummer, E-Mail-Adresse)
- Beschäftigungsdaten (Führerscheinklasse, Qualifikationen, Arbeitszeiten)
- Fahrgastdaten (Name, Adresse, Mobilitätseinschränkungen, Pflegegrad)
- Fahrtdaten (Abhol-/Zieladresse, Uhrzeiten, Fahrtstrecke)
- Abrechnungsdaten (Kostenträger, Rechnungsbeträge)
- Dokumentendaten (hochgeladene Dokumente, z. B. Führerscheinkopien)
Kreis der betroffenen Personen:
- Mitarbeiter / Fahrer des Verantwortlichen
- Fahrgäste / Kunden des Verantwortlichen
- Ansprechpartner bei Kostenträgern und Geschäftspartnern
Besondere Kategorien personenbezogener Daten:
Soweit der Verantwortliche entsprechende Daten in Fleetiva verarbeitet, können auch besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO betroffen sein, insbesondere Angaben zu Mobilitätseinschränkungen, Pflegegrad, Beförderungsbedarf, Hilfsmitteln oder gesundheitsbezogenen Besonderheiten. Die Entscheidung über die Eingabe und die Rechtmäßigkeit der Verarbeitung dieser Daten liegt beim Verantwortlichen.
§ 3 Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
Weisungen können schriftlich oder in Textform (z. B. per E-Mail) erteilt werden. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.
Die Nutzung der Funktionen von Fleetiva, insbesondere die Eingabe, Änderung, Löschung, der Export und die Verwaltung personenbezogener Daten durch den Verantwortlichen oder dessen Nutzer, gilt als dokumentierte Weisung im Sinne dieses AVV.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung dieses AVV fort.
§ 5 Technisch-organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter trifft die gemäß Art. 32 DSGVO erforderlichen technisch-organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten. Hierzu gehören insbesondere:
- Verschlüsselung der Übertragung: TLS-Verschlüsselung für alle Datenübertragungen (HTTPS)
- Verschlüsselung der Speicherung: Verschlüsselung der gespeicherten Daten (at-rest) auf Ebene der eingesetzten Infrastrukturanbieter
- Zugriffskontrolle: Mehrstufiges Berechtigungssystem mit rollenbasierter Zugriffskontrolle (RBAC) sowie Row-Level Security (RLS) auf Datenbankebene zur strikten Mandantentrennung
- Authentifizierung: Sichere Passwort-Hashing-Verfahren (bcrypt) sowie rollen- und mandantenbezogene Zugriffsbeschränkungen
- Mandantentrennung: Strikte logische Trennung der Mandantendaten durch tenant_id-basierte Filterung und Row-Level-Security-Policies in PostgreSQL
- Hosting: Datenverarbeitung grundsätzlich innerhalb der Europäischen Union, soweit dies durch die eingesetzten Anbieter und die gewählten Regionen technisch bereitgestellt wird. Die konkret eingesetzten Anbieter und Regionen ergeben sich aus der jeweils aktuellen Liste der Unterauftragsverarbeiter (§ 6)
- Datensicherung: Regelmäßige automatische Backups der Datenbank durch den Infrastrukturanbieter
- Protokollierung: Audit-Logging sicherheitsrelevanter Aktionen
Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und ist berechtigt, sie fortzuentwickeln und an den Stand der Technik anzupassen, sofern das vereinbarte Schutzniveau hierdurch nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, gegen diese Änderungen Einspruch zu erheben.
Erfolgt ein begründeter Einspruch, werden die Parteien eine angemessene Lösung suchen. Ist der Einsatz des Unterauftragsverarbeiters für die Erbringung der Leistungen erforderlich und kann keine zumutbare Alternative bereitgestellt werden, steht beiden Parteien ein Recht zur Kündigung des Hauptvertrags zu.
Folgende Unterauftragsverarbeiter werden derzeit eingesetzt:
Supabase Inc.
Datenbankdienste, Authentifizierung, Dateispeicherung
Verarbeitung in der EU (primär Dublin, Irland; Replikat Frankfurt am Main, Deutschland)
AVV gemäß Art. 28 DSGVO; EU-Standardvertragsklauseln (SCC) für etwaige Drittlandbezüge
Vercel Inc.
Hosting und Bereitstellung der Webanwendung, Analytics und Speed Insights (cookieless, nur mit Einwilligung)
Bereitstellung im Rechenzentrum Frankfurt am Main, Deutschland
AVV gemäß Art. 28 DSGVO; EU-Standardvertragsklauseln (SCC) für etwaige Drittlandbezüge
Stripe Payments Europe, Ltd. / Stripe Inc.
Zahlungsabwicklung und Abonnementverwaltung; Verarbeitung von Zahlungs- und Vertragsdaten, nicht von operativen Fahrgast- oder Tourdaten
EU (Irland) / USA
AVV gemäß Art. 28 DSGVO; EU-Standardvertragsklauseln (SCC). Soweit Stripe personenbezogene Daten im eigenen Verantwortungsbereich verarbeitet, gelten ergänzend die Datenschutzbedingungen von Stripe
STRATO AG
Versand von System- und Benachrichtigungs-E-Mails (SMTP)
Deutschland
AVV gemäß Art. 28 DSGVO
Soweit der Verantwortliche einen eigenen E-Mail-/SMTP-Server für den Versand von System- und Benachrichtigungs-E-Mails konfiguriert, erfolgt der Versand über den vom Verantwortlichen gewählten Anbieter; dieser gilt insoweit nicht als Unterauftragsverarbeiter des Auftragsverarbeiters.
Der Auftragsverarbeiter stellt sicher, dass den Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegt werden wie dem Auftragsverarbeiter selbst (Art. 28 Abs. 4 DSGVO).
§ 7 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Personen (Art. 28 Abs. 3 lit. e DSGVO).
Dies umfasst insbesondere die Unterstützung bei Auskunfts-, Berichtigungs-, Löschungs- und Datenübertragbarkeitsanfragen.
§ 8 Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 Abs. 2 DSGVO). Die Meldung enthält mindestens:
- Eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten
- Die Kategorien und die ungefähre Zahl der betroffenen Personen
- Die Kategorien und die ungefähre Zahl der betroffenen personenbezogenen Datensätze
- Eine Beschreibung der wahrscheinlichen Folgen der Verletzung
- Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Minderung der Folgen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Melde- und Benachrichtigungspflichten gemäß Art. 33 und Art. 34 DSGVO.
§ 9 Kontrollrechte des Verantwortlichen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und trägt zu Überprüfungen — einschließlich Inspektionen — bei, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).
Überprüfungen sind nach angemessener Vorankündigung während der üblichen Geschäftszeiten durchzuführen, ohne den Betriebsablauf unverhältnismäßig zu stören.
Der Nachweis erfolgt vorrangig durch geeignete Unterlagen, Selbstauskünfte, Sicherheitsdokumentationen, Zertifikate oder Berichte. Vor-Ort-Prüfungen sind nur erforderlich, soweit die bereitgestellten Nachweise nicht ausreichen, und sind auf ein angemessenes Maß zu beschränken. Der Verantwortliche trägt seine eigenen Kosten; angemessene Mehraufwände des Auftragsverarbeiters können nach vorheriger Abstimmung gesondert vergütet werden.
§ 10 Löschung und Rückgabe von Daten
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende, sofern nicht anders vereinbart. Der Verantwortliche kann vor Vertragsende einen Datenexport anfordern. Der Datenexport erfolgt in einem gängigen maschinenlesbaren Format (z. B. CSV, JSON oder PDF), soweit technisch verfügbar.
Daten in technischen Sicherungskopien (Backups) werden nach Ablauf der regulären Backup-Zyklen gelöscht oder überschrieben. Bis dahin bleiben sie gesperrt und unterliegen weiterhin den Vertraulichkeits- und Sicherheitsmaßnahmen dieses AVV.
§ 11 Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte, die Erfüllung von Informationspflichten sowie die Zulässigkeit der in Fleetiva eingegebenen Daten verantwortlich. Der Verantwortliche stellt insbesondere sicher, dass:
- nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten in Fleetiva eingegeben werden,
- für die Verarbeitung – insbesondere bei besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO – eine gültige Rechtsgrundlage besteht,
- seine Nutzer zur Vertraulichkeit verpflichtet und angemessen berechtigt sind,
- Zugangsdaten sorgfältig verwahrt und nicht an Unbefugte weitergegeben werden.
Die Verantwortung für die Erfüllung der Betroffenenrechte gegenüber den betroffenen Personen verbleibt beim Verantwortlichen.
§ 12 Haftung
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Jede Partei haftet für den Schaden, der durch eine nicht der DSGVO entsprechende Verarbeitung verursacht wird, wobei der Auftragsverarbeiter für den durch eine Verarbeitung verursachten Schaden nur dann haftet, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder er unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen oder gegen diese Anweisungen gehandelt hat.
§ 13 Schlussbestimmungen
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters.
Dieser AVV kann durch handschriftliche Unterzeichnung, elektronische Signatur oder durch elektronische Annahme im Rahmen des Registrierungs- oder Onboarding-Prozesses von Fleetiva abgeschlossen werden. Die elektronische Annahme wird durch den Auftragsverarbeiter protokolliert, insbesondere mit Datum, Uhrzeit, Nutzerkonto, Unternehmensangaben und Version des AVV.
Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Die Bereitstellung und Annahme aktualisierter Vertragsversionen kann elektronisch innerhalb der Plattform erfolgen.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame Bestimmung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahe kommt.
Dieser AVV tritt mit Abschluss des Hauptvertrags (Nutzungsvertrag) in Kraft.