Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Version 1.1 · Stand: 21.10.2026

1. Parteien

Verantwortlicher ist der Kunde, der DS Prime nutzt. Auftragsverarbeiter ist:

2. Gegenstand, Zweck und Dauer

Bereitstellung der Software DS Prime (einschließlich KFZ Prime) für Fahrer-, Flotten-, Einsatz-, Leistungs- und lohnbezogene Verwaltung. Die Dauer entspricht der Laufzeit des Hauptvertrags.

3. Kategorien betroffener Personen

• Fahrer und Mitarbeiter des Kunden
• Nutzer des Kunden (Disponenten, Administratoren)
• Ansprechpartner bei Unfällen oder Dritten, soweit erfasst

4. Kategorien personenbezogener Daten

• Stammdaten und Kontaktdaten
• Arbeitszeiten, Anwesenheit, Urlaub und Krankmeldungen (Gesundheitsdaten nur als Abwesenheitsstatus)
• Leistungs- und Qualitätskennzahlen
• Fahrzeug-, Telematik- und Standortdaten
• Fotos (Fahrzeugprüfungen, Unfälle) und Dokumente
• Lohnbezogene Auswertungen

5. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden.
• Verpflichtung aller befugten Personen auf Vertraulichkeit.
• Unterstützung bei Betroffenenanfragen und bei Pflichten nach Art. 32–36 DSGVO.
• Meldung von Datenschutzverletzungen innerhalb von 24 Stunden nach Kenntnis.
• Löschung oder Rückgabe der Daten spätestens 30 Tage nach Vertragsende, soweit keine Aufbewahrungspflicht besteht.
• Bereitstellung der zum Nachweis erforderlichen Informationen sowie Unterstützung und Ermöglichung von Überprüfungen und Audits.

6. Speicherort und Drittlandübermittlung

Datenbank und Dateien werden bei Supabase in Frankfurt am Main, Deutschland (EU), gespeichert (Region eu-central-1). Der Auftragsverarbeiter hat seinen Sitz in den Vereinigten Arabischen Emiraten, für die kein Angemessenheitsbeschluss besteht. Die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission, Modul 2: Verantwortlicher an Auftragsverarbeiter) sind als Anlage Bestandteil dieses Vertrags.

Anlage SCC: [Dokument wird von der Rechtsberatung bereitgestellt – wird ergänzt] · Anlage TOM: Abschnitt 7.

7. Technische und organisatorische Maßnahmen (Anlage TOM)

• Verschlüsselte Übertragung (HTTPS/TLS) und Verschlüsselung gespeicherter Daten (Encryption at Rest).
• Mandantentrennung über Zugriffsregeln auf Datenbankebene je Unternehmen.
• Rollenbasierte Zugriffsrechte (Inhaber, Admin, Disponent, Flotte) und Protokollierung von Zugriffen.
• Passwörter werden nur als Hash gespeichert; Zugangsdaten zu Drittsystemen werden serverseitig verschlüsselt verwahrt.
• Regelmäßige Datensicherungen.
• Trennung von Test- und Produktivumgebung.
• Änderungsprotokolle für wesentliche manuelle Änderungen.
• Dokumentierter Prozess für Sicherheitsvorfälle.

8. Unterauftragsverarbeiter

• Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 – Datenbank, Speicher, Anmeldung; Speicherort Frankfurt am Main, Deutschland.
• Lovable [Firmierung und Anschrift – wird ergänzt] – Hosting der Anwendung und Versand von Transaktions-E-Mails.
• Google (Gemini über das Lovable AI Gateway) – KI-Auswertungen auf Anforderung.
• Mapbox Inc., Washington, D.C., USA – Kartendarstellung.
• Stripe Payments Europe, Ltd., Dublin, Irland – Zahlungsabwicklung (Rechnungsdaten des Kunden).
• Geotab Inc. / Kenjo GmbH – nur bei Verbindung durch den Kunden.

Unterauftragsverarbeitern werden dieselben Datenschutzpflichten auferlegt wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO). Über Änderungen wird der Kunde vorab informiert; er kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

9. Abschluss und Schlussbestimmungen

Dieser Vertrag wird bei der Registrierung durch Bestätigung abgeschlossen; Version und Zeitpunkt der Annahme werden gespeichert. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Datenschutzfragen vor. Es gilt deutsches Recht.