Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Dieser Vertrag wird mit der Registrierung elektronisch akzeptiert und gilt für alle Firmen, die Fuhrbericht nutzen. Kunden, die eine unterschriebene Fassung benötigen, erhalten sie auf Anfrage per E-Mail an kontakt@fuhrbericht.de.

1. Parteien

Verantwortlicher (Auftraggeber): der Kunde, der bei der Registrierung eine Firma in Fuhrbericht anlegt, mit den dort angegebenen Firmendaten.
Auftragsverarbeiter (Auftragnehmer): J&H E-Commerce, Inhaber Julian Yilmaz, Albertstraße 9, 59065 Hamm, E-Mail kontakt@fuhrbericht.de.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Web-Anwendung „Fuhrbericht“ zur Erfassung, Speicherung und Auswertung von Fahr-, Einsatz- und Abholberichten sowie Tank- und Arbeitszeitdaten. Der Vertrag gilt für die Dauer der Nutzung des Dienstes einschließlich der Testphase und endet mit der Löschung der Daten nach Vertragsende. Fuhrbericht ist ein Werkzeug zur laufenden Auftragsabwicklung; eine dauerhafte Archivierung der Berichtsdaten über zwölf Monate hinaus ist nicht Vertragsgegenstand.

3. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Synchronisation zwischen Geräten, Auswertung (Statistik), Export (CSV, PDF) und Löschung der vom Verantwortlichen und seinen Benutzern eingegebenen Daten. Zweck ist die Dokumentation und Abwicklung von Fahrten und Einsätzen des Verantwortlichen.

4. Art der Daten und Kreis der Betroffenen

Datenarten	Namen und Kontaktdaten von Auftraggebern, Empfängern und Ansprechpartnern; bei Bestattungstransporten Name und Geburtsdatum verstorbener Personen und Namen Angehöriger; Adressen; Fotos von Ladung, Dokumenten und Orten; Unterschriften mit Name und Funktion; Bemerkungen; Namen, Zugangsdaten (PIN-Hash), Sitzungs-Token und Kommen-/Gehen-Zeiten der Benutzer; Fahrzeug- und Tankdaten; Ortsnotizen.
Betroffene	Mitarbeiter und Beauftragte des Verantwortlichen; Kunden, Auftraggeber, Empfänger und Ansprechpartner des Verantwortlichen; Angehörige und – soweit anwendbar – verstorbene Personen; sonstige in Berichten genannte Personen.

5. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Funktionen des Dienstes durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.
Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit.
Umsetzung der technischen und organisatorischen Maßnahmen nach Ziffer 7.
Unterstützung des Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen und bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit möglich und unter Berücksichtigung der Art der Verarbeitung.
Unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten.
Löschung oder Herausgabe aller Daten nach Ende der Verarbeitung nach Wahl des Verantwortlichen (Ziffer 9).
Bereitstellung aller Informationen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und Ermöglichung von Überprüfungen.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Unternehmen	Leistung	Ort
ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf	Hosting von Anwendung, Datenbank, Dateien und E-Mail	Deutschland

Hinweis: Adressvorschläge (Photon, komoot GmbH, Berlin) werden direkt vom Browser des Benutzers abgerufen; dabei wird nur der eingegebene Suchtext übertragen, keine Berichtsdaten. Dieser Dienst ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Gleiches gilt für Push-Benachrichtigungen: Schaltet ein Benutzer sie auf seinem Gerät ein, erhält der Push-Dienst seines Browserherstellers (Google, Apple oder Mozilla) die vom Browser ausgestellte Abo-Adresse und die Ende-zu-Ende verschlüsselte Meldung; die Inhalte sind für den Dienst nicht lesbar, Berichtsdaten werden nicht übertragen. Änderungen der Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail mit; der Verantwortliche kann aus wichtigem Grund widersprechen.

7. Technische und organisatorische Maßnahmen

Zugangskontrolle: Zugriff nur nach Anmeldung mit Name und PIN; PINs werden ausschließlich als Hash gespeichert; Sperre nach wiederholten Fehlversuchen; Sitzungs-Token mit begrenzter Gültigkeit; Betreiber-Konsole mit eigenem Passwort.
Mandantentrennung: Jeder Datensatz ist einer Firma zugeordnet; jede Abfrage ist serverseitig auf die Firma des angemeldeten Benutzers begrenzt; Fotos liegen in getrennten Verzeichnissen und werden nur nach Prüfung der Firmenzugehörigkeit ausgeliefert.
Übertragung: TLS-Verschlüsselung aller Verbindungen zwischen Browser und Server.
Zugriffskontrolle im Betrieb: Konfigurations- und Programmdateien sowie Fotoverzeichnisse sind nicht direkt aus dem Internet erreichbar; Rollen (Admin/Mitarbeiter) beschränken Löschen und Verwalten.
Verfügbarkeit: Regelmäßige Datensicherungen des Hosters; Rechenzentrum in Deutschland mit Zutrittskontrolle, Brandschutz und Notstrom.
Protokollierung: Änderungen an Datensätzen werden mit Zeitpunkt und Benutzer versehen; gelöschte Datensätze werden zunächst als gelöscht markiert.
Organisation: Zugriff auf Server und Datenbank nur durch den Auftragsverarbeiter selbst; Einsatz von Updates zeitnah nach Test.

8. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen verantwortlich. Er erteilt Weisungen in Textform und benennt bei Bedarf eine Ansprechperson. Er verpflichtet seine Benutzer zum vertraulichen Umgang mit Zugangsdaten und deaktiviert ausgeschiedene Benutzer.

9. Löschung und Rückgabe

Fuhrbericht dient der laufenden Auftragsabwicklung und ist kein Archivsystem. Berichtsdaten (Aufträge samt Fotos und Unterschriften, Tankungen und Arbeitszeiten) werden fortlaufend automatisch und endgültig gelöscht, sobald sie älter als zwölf Monate sind. Für die Erfüllung eigener gesetzlicher Aufbewahrungspflichten exportiert der Verantwortliche die benötigten Daten rechtzeitig selbst; der Auftragsverarbeiter stellt hierfür Export (CSV, PDF, ZIP) sowie Erinnerungen und eine Vorwarnung vor der Löschung bereit.

Der Verantwortliche kann seine Daten jederzeit selbst exportieren (CSV, PDF). Nach Vertragsende löscht der Auftragsverarbeiter den Datenbestand der Firma einschließlich Fotos und Sicherungskopien innerhalb der Rotationsfristen des Hosters, spätestens 90 Tage nach Ende, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch bestätigt er die Löschung in Textform.

10. Kontrollrechte

Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung der Maßnahmen überzeugen, in der Regel durch Einholung von Auskünften und Nachweisen (z. B. Zertifikate und Auftragsverarbeitungsvertrag des Hosters). Vor-Ort-Kontrollen erfolgen nach Ankündigung und in angemessenem Umfang.

11. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags für Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Stand: 12.09.2026