Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 18.06.2026

Präambel / Vertragsparteien

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") wird geschlossen zwischen

dem Kunden gemäß Hauptvertrag (Nutzungsbedingungen für fleetFlex.) – nachfolgend „Verantwortlicher" –

und

Novus Digital GmbH, Erich-Steinfurth-Straße 6, 10243 Berlin – nachfolgend „Auftragsverarbeiter" –

Der Auftragsverarbeiter verarbeitet im Rahmen der Bereitstellung der Anwendung fleetFlex. (nachfolgend „Dienst", „Hauptvertrag") personenbezogene Daten im Auftrag des Verantwortlichen. Dieser AVV konkretisiert die datenschutzrechtlichen Rechte und Pflichten nach Art. 28 DSGVO. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.

1. Gegenstand und Dauer

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung der im Hauptvertrag beschriebenen Leistungen (Flottenverwaltungs-Software fleetFlex.).

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Pflichten zur Löschung und Rückgabe von Daten bestehen über das Vertragsende hinaus fort (siehe Ziffer 11).

2. Art, Zweck und Umfang der Verarbeitung; Datenarten; Betroffene

(1) Art, Zweck und Umfang der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt, soweit nicht in Anlage 3 (Subunternehmer) eine Drittlandübermittlung mit geeigneten Garantien geregelt ist (siehe Ziffer 7 und 10).

3. Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch das Recht der EU oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden anfänglich durch den Hauptvertrag und diesen AVV festgelegt und können vom Verantwortlichen durch Nutzung der Funktionen des Dienstes (z. B. Konfiguration, Eingabe, Anbindung externer Plattformen, Löschung) sowie in Textform konkretisiert werden.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

4. Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Datensicherheit: Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs). Diese sind in Anlage 2 beschrieben. Die TOMs können im Lauf der Zeit fortentwickelt werden, dürfen das vereinbarte Schutzniveau jedoch nicht unterschreiten.

(3) Unterstützung des Verantwortlichen: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz- Folgenabschätzung, vorherige Konsultation).

(4) Betroffenenanfragen: Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern er nicht hierzu ausdrücklich angewiesen wurde.

(5) Rechenschaft / Auskunft: Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

(6) Datenschutzbeauftragter / Ansprechpartner: Kontaktstelle für Datenschutz beim Auftragsverarbeiter: info@fleet-flex.de (ein:e Datenschutzbeauftragte:r ist nicht bestellt).

5. Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden.

(2) Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar (Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene bzw. vorgeschlagene Maßnahmen).

(3) Die Pflicht zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und zur Benachrichtigung Betroffener (Art. 34 DSGVO) verbleibt beim Verantwortlichen.

6. Kontroll- und Auditrechte

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung der vereinbarten TOMs und Pflichten zu überzeugen. Der Auftragsverarbeiter weist die Einhaltung vorrangig durch geeignete Nachweise nach (z. B. aktuelle Zertifizierungen, Prüfberichte oder Testate des Auftragsverarbeiters bzw. seiner Subunternehmer, dokumentierte Beschreibung der TOMs).

(2) Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht der Auftragsverarbeiter Prüfungen vor Ort durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Solche Prüfungen werden rechtzeitig (in der Regel mindestens 2 Wochen vorab) angekündigt, auf Geschäftszeiten beschränkt und so durchgeführt, dass der Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigt wird.

7. Einsatz von Subunternehmern (weitere Auftragsverarbeiter)

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Subunternehmer). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subunternehmer ergeben sich aus Anlage 3.

(2) Der Auftragsverarbeiter stellt sicher, dass den Subunternehmern dieselben Datenschutzpflichten auferlegt werden, wie sie in diesem AVV vereinbart sind, insbesondere durch Verträge nach Art. 28 Abs. 4 DSGVO.

(3) Beabsichtigt der Auftragsverarbeiter, einen Subunternehmer hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen vorab in Textform (z. B. per E-Mail oder durch Hinweis in der Anwendung). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien bemüht, eine einvernehmliche Lösung zu finden; gelingt dies nicht, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

(4) Nicht als Subunternehmer im Sinne dieser Ziffer gelten Nebenleistungen, die der Auftragsverarbeiter als reine Hilfsleistung in Anspruch nimmt (z. B. Telekommunikations- oder Reinigungsleistungen).

8. Drittlandübermittlung

Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien (z. B. EU-Standardvertragsklauseln). Bei den in Anlage 3 genannten Subunternehmern mit Sitz bzw. Verarbeitung in einem Drittland sind die jeweils einschlägigen Garantien angegeben.

9. Berichtigung, Einschränkung und Löschung von Daten

Der Auftragsverarbeiter berichtigt, schränkt ein oder löscht die im Auftrag verarbeiteten Daten nur nach Weisung des Verantwortlichen. Soweit der Dienst hierfür Funktionen bereitstellt, nimmt der Verantwortliche entsprechende Handlungen selbst vor.

10. Technische und organisatorische Maßnahmen

Die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind in Anlage 2 beschrieben und Bestandteil dieses AVV.

11. Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern nicht nach dem Recht der EU oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Dem Verantwortlichen wird vor der Löschung in angemessenem Umfang Gelegenheit zum Export seiner Daten gegeben (siehe Hauptvertrag).

(3) Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende bzw. nach erfolgtem Export. Bestehende gesetzliche Aufbewahrungspflichten (z. B. steuer-/ handelsrechtlich) bleiben unberührt; für die Dauer der Aufbewahrung wird die Verarbeitung entsprechend eingeschränkt.

(4) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

12. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

13. Schlussbestimmungen

(1) Änderungen dieses AVV bedürfen mindestens der Textform.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Gegenstand der Verarbeitung

Gegenstand: Bereitstellung und Betrieb der SaaS-Anwendung fleetFlex. zur Verwaltung von Taxi-/Mietwagenflotten.

Art und Zweck der Verarbeitung: Speicherung, Organisation, Auswertung, Berechnung und Anzeige von Stamm-, Touren-, Umsatz- und Abrechnungsdaten; Schicht- und Einsatzplanung; Dokumentenverwaltung; automatisierter Import von Daten aus angebundenen externen Plattformen; Versand transaktionaler Benachrichti- gungen und Erinnerungen.

Kategorien betroffener Personen:

• Beschäftigte des Verantwortlichen, insbesondere Fahrer:innen,
• administrative Nutzer:innen (Inhaber:innen, Sachbearbeiter:innen),
• ggf. Ansprechpartner aus Wartung/Service (z. B. Werkstattangaben).

Kategorien personenbezogener Daten:

• Stammdaten der Nutzer:innen (Name, E-Mail-Adresse, Rolle/Berechtigungen),
• Authentifizierungs-/Sitzungsdaten (Passwort-Hash, Tokens, IP-Adresse, User-Agent),
• Fahrer-Stammdaten (Anzeigename, E-Mail, Wohn-/Standortadresse und Geokoordinaten, interne Notizen, Verknüpfungs-IDs zu externen Plattformen),
• Dokumente (u. a. Personenbeförderungs-/Taxischein, Führerschein – jeweils Vorder-/Rückseite – sowie fahrzeug- und servicebezogene Dokumente),
• Fahrzeugdaten (Kennzeichen, FIN/VIN, Konzession, Wartungs-/Prüfdaten),
• Touren-/Standortdaten (Start-/Zielort, Zeiten, Strecke, Beträge),
• Umsatz-, Schicht- und Abrechnungsdaten (Brutto-/Nettoumsätze, Bar-/ Kartenzahlungen, Trinkgeld, Boni, Gebühren, Kilometer, Lohn-/Auszahlungsdaten, Wallet-Buchungen),
• Kommunikationsdaten aus dem Posteingang/Erinnerungen (Absender, Empfänger, Betreff, Inhalt, Lesestatus),
• Zugangsdaten zu externen Plattformen (z. B. Tokens, API-Schlüssel, Sitzungsinformationen), die der Verantwortliche hinterlegt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Grundsätzlich nicht Gegenstand der Verarbeitung. Sofern hochgeladene Dokumente vereinzelt sensible Angaben enthalten können, verarbeitet der Auftragsverarbeiter diese ausschließlich als Bestandteil der vom Verantwortlichen bereitgestellten Dateien und nicht als eigenständige Verarbeitungstätigkeit.

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

Die folgende Darstellung beschreibt den Stand der Maßnahmen. Sie ist regelmäßig zu überprüfen und an den Stand der Technik anzupassen. Wo Maßnahmen durch Subunternehmer erbracht werden (z. B. Hosting), stützt sich der Auftragsverarbeiter auf deren Zertifizierungen/Nachweise.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Betrieb der Infrastruktur in zertifizierten Rechenzentren der eingesetzten Hosting-Dienstleister (siehe Anlage 3); physische Zutrittskontrollen liegen beim jeweiligen Dienstleister.
• Zugangskontrolle: individuelle Benutzerkonten, Passwörter ausschließlich als kryptografische Hashes gespeichert, Authentifizierung über etablierte Auth-Mechanismen, optionale Anmeldung über externe Identitätsanbieter.
• Zugriffskontrolle: rollen- und berechtigungsbasiertes Zugriffsmodell, strikte Mandantentrennung (jeder Kunde sieht ausschließlich eigene Daten), Beschränkung administrativer Zugriffe auf Betriebs-, Support- und Sicherheitszwecke.
• Verschlüsselung: Transportverschlüsselung (TLS/HTTPS); verschlüsselte Ablage sensibler Zugangsdaten (z. B. Plattform-Tokens).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle: Protokollierung sicherheits- und betriebsrelevanter Ereignisse (Ereignis-/Fehlerprotokolle) mit Zeitstempel und Kontext.
• Übertragungskontrolle: gesicherte Übertragung über verschlüsselte Verbindungen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Betrieb auf einer skalierbaren Cloud-Infrastruktur mit den Verfügbarkeits- und Backup-Mechanismen der eingesetzten Dienstleister.
• Regelmäßige Datensicherung der Datenbank.
• Automatisierte Bereinigungsprozesse für nicht mehr benötigte Daten (z. B. Lösch-/Cleanup-Läufe für gelöschte Fahrer:innen und Protokolldaten).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Auftragskontrolle: Verarbeitung ausschließlich gemäß diesem AVV und den Weisungen des Verantwortlichen.
• Überprüfung und Aktualisierung der TOMs bei Bedarf, mindestens jedoch anlassbezogen.
• Sorgfältige Auswahl und vertragliche Bindung von Subunternehmern.

Anlage 3 – Genehmigte Subunternehmer (weitere Auftragsverarbeiter)

Zu aktualisieren entsprechend dem tatsächlichen Einsatz und den jeweils abgeschlossenen Verträgen/Garantien. Standorte und Garantien (z. B. EU-Standardvertragsklauseln) sind beim jeweiligen Anbieter zu verifizieren.

Hinweis: Die in den Nutzungsbedingungen genannten externen Plattformen (z. B. FREE NOW, Bolt, Uber, TaxiWin, INSIKA, Taxi Fusion, Bliq, SumUp, Zettle, Funk, Seibt & Straub) werden vom Verantwortlichen auf eigene Veranlassung angebunden. Soweit der Verantwortliche hierüber Daten austauscht, handelt es sich um eine vom Verantwortlichen gesteuerte Datenübermittlung an eigenständig Verantwortliche; sie sind keine Subunternehmer des Auftragsverarbeiters.

Stand: 18.06.2026