Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

[Firma des Kunden]
[Anschrift]

— nachfolgend „Verantwortlicher" —

und

CargoSteps GmbH & Co. KG
Cargo City Süd, Am Tor 31
60549 Frankfurt am Main

— nachfolgend „Auftragsverarbeiter" —

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener
Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im
Rahmen der Nutzung der CargoSteps-Plattform.

(2) Die Einzelheiten der Verarbeitung ergeben sich aus Anlage 1.

(3) Die Laufzeit entspricht der Laufzeit des zugrunde liegenden
Nutzungsvertrags. Dieser Vertrag endet automatisch mit dessen Beendigung.
Die Pflichten nach § 10 bleiben davon unberührt.

§ 2 Anwendungsbereich und Abgrenzung

(1) Der Auftragsverarbeiter verarbeitet die in Anlage 1 genannten Daten
ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

(2) Nicht Gegenstand dieses Vertrages sind Verarbeitungen, bei denen
der Auftragsverarbeiter selbst Verantwortlicher ist. Hierzu gehören
insbesondere die Vertrags- und Rechnungsdaten des Verantwortlichen, die
Stammdaten der Nutzerkonten sowie die Verarbeitung zu Zwecken der
Abrechnung, der Systemsicherheit und der Weiterentwicklung des Dienstes,
soweit hierfür keine personenbezogenen Auftragsdaten verwendet werden.
Für diese Verarbeitungen gilt die Datenschutzerklärung des
Auftragsverarbeiters.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten
ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei
denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur
Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen
die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das
betreffende Recht dies nicht wegen eines wichtigen öffentlichen
Interesses verbietet.

(2) Die Nutzung der Funktionen der Plattform durch den Verantwortlichen
oder die von ihm berechtigten Nutzer gilt als Weisung. Weitergehende
Weisungen bedürfen der Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich,
wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche
Vorschriften verstößt. Er ist berechtigt, die Ausführung der betreffenden
Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten
Personen zur Vertraulichkeit, soweit sie nicht bereits einer
angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Zugriff auf personenbezogene Daten des Verantwortlichen wird auf
diejenigen Personen beschränkt, die ihn zur Erbringung der vertraglichen
Leistung benötigen.

(3) Der Auftragsverarbeiter führt ein Verzeichnis aller
Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO.

(4) Der Auftragsverarbeiter benennt eine Kontaktstelle für
datenschutzrechtliche Anfragen: [datenschutz@cargosteps.com]

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen
technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der
Auftragsverarbeiter ist berechtigt, sie anzupassen, sofern das
Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur
Hinzuziehung von Unterauftragsverarbeitern. Die zum Zeitpunkt des
Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in
Anlage 3 aufgeführt und werden hiermit genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens
30 Tage vor der Beauftragung eines weiteren oder dem Austausch eines
bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche
kann innerhalb dieser Frist aus wichtigem, datenschutzrechtlich
begründetem Anlass widersprechen.

(3) Im Fall eines berechtigten Widerspruchs sind die Parteien bemüht, eine
einvernehmliche Lösung zu finden. Kommt eine solche nicht zustande, ist
der Verantwortliche berechtigt, den Nutzungsvertrag mit einer Frist von
30 Tagen zu kündigen.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein
Schutzniveau, das diesem Vertrag entspricht, und bleibt gegenüber dem
Verantwortlichen für deren Handeln verantwortlich.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie
Telekommunikationsdienste, Reinigung, Wartung oder die Entsorgung von
Datenträgern.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit
geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung
von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO.

(2) Wendet sich eine betroffene Person unmittelbar an den
Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den
Verantwortlichen weiter und beantwortet sie nicht selbst.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der
Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei
Datenschutz-Folgenabschätzungen, soweit dies erforderlich ist und die
Informationen dem Auftragsverarbeiter zur Verfügung stehen.

(4) Für Unterstützungsleistungen, die über das nach Absatz 1 bis 3
geschuldete Maß hinausgehen, kann der Auftragsverarbeiter eine
angemessene Vergütung verlangen.

§ 8 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle
Informationen zur Verfügung, die zum Nachweis der Einhaltung der
Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Nachweis kann durch aktuelle Zertifikate, Testate oder Berichte
unabhängiger Stellen erfolgen.

(3) Darüber hinaus ist der Verantwortliche berechtigt, Überprüfungen
durchzuführen oder durch einen zur Verschwiegenheit verpflichteten
Prüfer durchführen zu lassen. Überprüfungen erfolgen nach Ankündigung mit
angemessener Frist, während der üblichen Geschäftszeiten und ohne
vermeidbare Störung des Betriebsablaufs, in der Regel höchstens einmal
jährlich.

(4) Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung
des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb
von 24 Stunden nach Kenntniserlangung.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der
Verletzung, die betroffenen Kategorien und die ungefähre Zahl der
Betroffenen und Datensätze, die wahrscheinlichen Folgen sowie die
ergriffenen oder vorgeschlagenen Maßnahmen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen
Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle
personenbezogenen Daten oder gibt sie zurück, nach Wahl des
Verantwortlichen.

(2) Der Verantwortliche kann seine Daten bis zum Ablauf von 30 Tagen
nach Vertragsende über die Exportfunktion der Plattform abrufen. Nach
Ablauf dieser Frist werden die Daten gelöscht.

(3) Sicherungskopien werden im Rahmen der regulären Rotation innerhalb
von [Frist eintragen] überschrieben.

(4) Absatz 1 gilt nicht, soweit eine gesetzliche Aufbewahrungspflicht
besteht. In diesem Fall wird die Verarbeitung auf die Erfüllung dieser
Pflicht beschränkt.

§ 11 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie
für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Verantwortliche stellt insbesondere sicher, dass

a) für die Erhebung und Übermittlung der Daten an die Plattform eine
Rechtsgrundlage besteht,

b) die betroffenen Personen nach Art. 13 und 14 DSGVO informiert wurden,

c) bei der Verarbeitung von Standortdaten seines Personals die
arbeits- und mitbestimmungsrechtlichen Voraussetzungen vorliegen,
insbesondere eine etwaige Beteiligung des Betriebsrats erfolgt ist,

d) die Weitergabe von Links zur öffentlichen Sendungsverfolgung
(Anlage 1 Ziffer 6) im Rahmen der von ihm festgelegten Zwecke
erfolgt.

(3) Der Verantwortliche entscheidet eigenverantwortlich darüber, welche
Daten er in die Plattform einstellt und welchen weiteren
Plattformteilnehmern er Zugriff gewährt.

§ 12 Haftung

Für die Haftung gelten die Regelungen des Nutzungsvertrags sowie
Art. 82 DSGVO.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag
gehen die Regelungen dieses Vertrages vor, soweit die Verarbeitung
personenbezogener Daten betroffen ist.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der
übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Gegenstand der Verarbeitung

1. Zweck

Bereitstellung einer Plattform zur unternehmensübergreifenden
Sendungsverfolgung und Transparenz in der Transportkette.

2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen,
Verwenden, Offenlegen durch Übermittlung an berechtigte
Plattformteilnehmer, Löschen.

3. Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (Nutzer der Plattform)
• Fahrpersonal
• Ansprechpartner bei Versendern und Empfängern
• Empfänger von Sendungen, soweit natürliche Personen
• Ansprechpartner bei beteiligten Transportunternehmen

4. Kategorien personenbezogener Daten

• Stammdaten: Name, Unternehmenszugehörigkeit, Funktion
• Kontaktdaten: geschäftliche E-Mail-Adresse, Telefonnummer
• Adressdaten: Abhol- und Zustelladressen
• Sendungsdaten: Referenznummern, Inhalte der Sendungsbeschreibung, Statusmeldungen, Zeitstempel
• Nachweisdaten: Ablieferbelege, Fotos, Unterschriften
• Standortdaten: Positionen von Fahrzeugen und mobilen Endgeräten, soweit vom Verantwortlichen aktiviert
• Nutzungsdaten: Anmeldezeitpunkte, durchgeführte Aktionen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind
nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher,
dass solche Daten nicht in die Plattform eingestellt werden.

5. Ort der Verarbeitung

Rechenzentren innerhalb der Europäischen Union (Region Frankfurt am
Main). Zu Übermittlungen in Drittländer siehe Anlage 3.

6. Öffentliche Sendungsverfolgung

Zu jeder Sendung kann ein Link erzeugt werden, über den der
Sendungsstatus ohne Anmeldung abrufbar ist. Der Link enthält eine
zufällig erzeugte, nicht erratbare Zeichenfolge.

Über diese Seite werden ausschließlich angezeigt: Bestimmungsort mit
Postleitzahl, Sendungsstatus, Zeitpunkte der Statusänderungen sowie die
Statushistorie.

Empfängernamen, Straßen und Hausnummern werden nicht angezeigt, auch
nicht in der Kartenansicht. Der Umfang dieser Anzeige ist durch den
Auftragsverarbeiter festgelegt und durch den Verantwortlichen nicht
veränderbar.

Der Verantwortliche entscheidet, ob und an wen er derartige Links
weitergibt.

7. Speicherdauer

Für die Dauer des Nutzungsvertrags, anschließend nach § 10 dieses
Vertrages.

Anlage 2 — Technische und organisatorische Maßnahmen

1. Vertraulichkeit

Zutrittskontrolle. Die Verarbeitung erfolgt in Rechenzentren des
Hostinganbieters. Für Zutrittsmaßnahmen wird auf dessen Zertifizierungen
verwiesen. Eigene Serverräume werden nicht betrieben.

Zugangskontrolle. [Beschreiben: Passwortrichtlinie,
Zwei-Faktor-Authentifizierung, Sperrung nach Fehlversuchen,
Sitzungsablauf]

Zugriffskontrolle. Rollenbasiertes Berechtigungskonzept.
Mandantentrennung auf Anwendungsebene. [Beschreiben: wie ist die
Trennung technisch umgesetzt]

Trennungskontrolle. [Beschreiben: getrennte Umgebungen für
Produktion, Test und Entwicklung; keine Produktivdaten in
Testumgebungen]

Pseudonymisierung. [Beschreiben, soweit umgesetzt]

2. Integrität

Weitergabekontrolle. Transportverschlüsselung über TLS 1.2 oder
höher für sämtliche Verbindungen. [Ergänzen: Verschlüsselung im
Ruhezustand]

Eingabekontrolle. [Beschreiben: Protokollierung von Änderungen,
Nachvollziehbarkeit, Aufbewahrungsdauer der Protokolle]

3. Verfügbarkeit und Belastbarkeit

Datensicherung. [Beschreiben: Häufigkeit, Aufbewahrung, Ort,
Verschlüsselung]

Wiederherstellung. [Beschreiben: Wiederherstellungszeit, Prüfung
der Wiederherstellbarkeit]

Schutzmaßnahmen. [Beschreiben: Ratenbegrenzung, Schutz vor
Überlastung, Überwachung]

4. Verfahren zur Überprüfung und Bewertung

Auftragskontrolle. Auswahl der Unterauftragsverarbeiter nach
Eignung, vertragliche Verpflichtung nach Art. 28 DSGVO.

Datenschutzmanagement. [Beschreiben: Verzeichnis der
Verarbeitungstätigkeiten, Verpflichtung der Beschäftigten,
Meldeprozess für Datenschutzvorfälle]

Datenschutzfreundliche Voreinstellungen. Die öffentliche
Sendungsverfolgung zeigt keine Empfängernamen, Straßen und
Hausnummern an.

Anlage 3 — Unterauftragsverarbeiter

Hinweis zu Kartendarstellung und Geocodierung

Für die Kartendarstellung und die Ermittlung geografischer Koordinaten
wird ein Dienst von Google in Anspruch genommen. Google tritt hierbei
nicht als Auftragsverarbeiter, sondern als eigenständig Verantwortlicher
auf.

An diesen Dienst werden ausschließlich Straßenname, Postleitzahl und
Ort übermittelt. Empfängernamen, Hausnummern, Sendungsnummern und
sonstige Angaben mit Personenbezug werden nicht übertragen.

Die Kartendarstellung im Browser wird erst nach ausdrücklicher
Einwilligung der jeweiligen Nutzerin oder des jeweiligen Nutzers geladen.
Ohne Einwilligung findet keine Übermittlung an Google statt.

Zustandekommen

Dieser Vertrag wird in Textform nach Art. 28 Abs. 9 DSGVO geschlossen.
Er kommt zustande, indem der Verantwortliche ihn im Kundenkonto
elektronisch annimmt. Eine eigenhändige Unterschrift ist nicht
erforderlich.

Zeitpunkt der Annahme, die angenommene Fassung und die handelnde Person
werden protokolliert. Der Verantwortliche kann die von ihm angenommene
Fassung jederzeit im Kundenkonto einsehen und als PDF abrufen.

Diese Fassung: 2026-08