Data processing agreement

Anlage 3 zu den Allgemeinen Geschäftsbedingungen der FleetFeat GmbH — Regelungen zu Datenschutz und Datensicherheit in Auftragsverhältnissen nach Art. 28 DSGVO

zwischen

FleetFeat GmbH, Bullachstraße 30, 82256 Fürstenfeldbruck — nachfolgend „Auftragsverarbeiter" oder „fleetfeat" —

und

dem Kunden — nachfolgend „Verantwortlicher" —

gemeinsam „Vertragsparteien".

Präambel

Diese Vereinbarung zur Auftragsverarbeitung („AVV") nach Art. 28 DSGVO ist Bestandteil der Allgemeinen Geschäftsbedingungen der FleetFeat GmbH („Hauptvertrag", fleetfeat.de/agb, § 31). Sie gilt für die Verarbeitung personenbezogener Daten, die fleetfeat im Rahmen der Bereitstellung der FleetFeat-Plattform als Software im Auftrag des Verantwortlichen vornimmt.

Mit Abschluss des Hauptvertrags gilt dieser AVV als verbindlich vereinbart; einer gesonderten Unterzeichnung bedarf es nicht. Der Verantwortliche kann den AVV herunterladen, unterzeichnen und eine Kopie an datenschutz@fleetfeat.de senden; fleetfeat zeichnet auf Wunsch gegen.

Die Vereinbarung orientiert sich an DSGVO, BDSG und der Verordnung (EU) 2023/2854 (Data Act).

§ 1 Gegenstand des Auftrags, Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

(1) Gegenstand des Auftrags ist die Bereitstellung der FleetFeat-Plattform als Software-as-a-Service („Software"). Gegenstand und Zwecke der Verarbeitung sind in Anhang 1 (a) beschrieben, die Arten der Verarbeitung in Anhang 1 (b).

(2) Die Kategorien betroffener Personen sind in Anhang 1 (c), die Kategorien personenbezogener Daten in Anhang 1 (d) beschrieben.

(3) Anhang 1 ist Bestandteil dieser Vereinbarung. Verbindlich sind die Zwecke, Verarbeitungsarten, Betroffenen- und Datenkategorien, die sich aus den vom Verantwortlichen tatsächlich genutzten Modulen ergeben.

(4) Der Verantwortliche weist fleetfeat an, die Daten zu diesen Zwecken zu verarbeiten.

§ 2 Dauer des Auftrags

Die Dauer dieses Auftrags entspricht der Laufzeit des Hauptvertrags, verlängert um den in § 23 Abs. 2 des Hauptvertrags geregelten Zeitraum des Lesezugriffs nach Vertragsende.

§ 3 Verantwortlichkeit und Weisungsbefugnis

(1) Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich, insbesondere für die Rechtmäßigkeit der Datenweitergabe an fleetfeat und der Verarbeitung (Art. 4 Nr. 7 DSGVO). fleetfeat verwendet die Daten für keine anderen Zwecke als in dieser Vereinbarung und im Hauptvertrag festgelegt und ist nicht berechtigt, sie an Dritte weiterzugeben; Kopien werden ohne Wissen des Verantwortlichen nicht erstellt. Etwas anderes gilt nur im Umfang des Absatzes 2 und des § 6.

(2) fleetfeat verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, es besteht eine anderweitige Verpflichtung nach dem Recht der Union oder eines Mitgliedstaats. In diesem Fall teilt fleetfeat dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(3) Der Verantwortliche, nicht fleetfeat, ist Dateninhaber im Sinne des Data Act. fleetfeat nutzt die vom Verantwortlichen übermittelten Daten (personenbezogene und nicht-personenbezogene) nicht für eigene Zwecke oder zur Profilbildung. Die Auswertung technischer Nutzungsdaten und aggregierter, anonymisierter Kennzahlen nach § 29 Abs. 1 des Hauptvertrags bleibt zulässig, soweit kein Rückschluss auf den Verantwortlichen, seine Fahrzeuge oder Personen möglich ist.

(4) Hält fleetfeat eine Weisung für datenschutzrechtlich unzulässig, informiert fleetfeat den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). fleetfeat darf die Durchführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(5) Änderungen des Verarbeitungsgegenstands und Verfahrensänderungen werden gemeinsam abgestimmt und dokumentiert. Auskünfte an Dritte oder an betroffene Personen erteilt fleetfeat nur nach vorheriger Zustimmung des Verantwortlichen in Textform.

(6) Weisungsberechtigt sind die Personen, denen der Verantwortliche in der Software Administratorrechte zugewiesen hat. Jede Person mit Administratorrechten gilt gegenüber fleetfeat als zur Erteilung von Weisungen legitimiert. Der Verantwortliche stellt durch interne Prozesse sicher, dass nur berechtigte Personen Administratorrechte erhalten.

(7) Weisungen, die über die Funktionen der Software hinausgehen, sind in Textform an datenschutz@fleetfeat.de zu richten. Sie dürfen nur von Personen mit Administratorrechten oder vertretungsberechtigten Organen des Verantwortlichen erteilt werden. Mündliche Weisungen sind für fleetfeat nur bindend, wenn sie unverzüglich in Textform bestätigt werden.

§ 4 Vertraulichkeit

fleetfeat setzt bei der Durchführung der Arbeiten nur Personen ein, die auf die Vertraulichkeit verpflichtet und mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Diese Personen verarbeiten die Daten ausschließlich nach Weisung des Verantwortlichen im Rahmen dieser Vereinbarung, sofern sie nicht gesetzlich zur Verarbeitung verpflichtet sind. Dienstleister, die im Rahmen gebuchter Services Auftragsdaten des Verantwortlichen (Fahrzeug, Standort, Ansprechpartner) erhalten, sind vertraglich zur Vertraulichkeit verpflichtet.

§ 5 Datensicherheit

(1) Die Vertragsparteien vereinbaren die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 28 Abs. 3 Satz 2 lit. c in Verbindung mit Art. 32 DSGVO. Sie gewährleisten ein dem Risiko angemessenes Schutzniveau hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung.

(2) Anhang 2 ist Bestandteil dieser Vereinbarung.

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt. fleetfeat darf alternative, gleichwertige Maßnahmen umsetzen; das Sicherheitsniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert fleetfeat und teilt sie dem Verantwortlichen in Textform mit.

(4) Bei einer Verletzung des Schutzes personenbezogener Daten unterstützt fleetfeat den Verantwortlichen bei der Erfüllung seiner Pflichten aus Art. 33 und 34 DSGVO unter Berücksichtigung der Art der Verarbeitung und der fleetfeat verfügbaren Informationen.

(5) fleetfeat meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden. Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung (soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze), eine Kontaktstelle für weitere Informationen, die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Können nicht alle Informationen gleichzeitig bereitgestellt werden, enthält die erste Meldung die verfügbaren Informationen; weitere werden ohne unangemessene Verzögerung nachgereicht.

§ 6 Einbeziehung weiterer Auftragsverarbeiter (Subunternehmer)

(1) Subunternehmer im Sinne dieser Vereinbarung sind weitere Auftragsverarbeiter, deren Leistungen sich unmittelbar auf die Erbringung der Hauptleistung beziehen (insbesondere Hosting, Datenbank, Dateispeicher, Sicherung, E-Mail-Versand, Fehlerprotokollierung). Subunternehmer in diesem Sinne sind ausschließlich die von fleetfeat unmittelbar beauftragten Auftragsverarbeiter; deren eigene Unterauftragsverarbeiter — etwa die Rechenzentrumsbetreiber, die ein Hosting-Anbieter seinerseits einsetzt — sind keine Subunternehmer im Sinne dieser Vereinbarung, sondern unterliegen Absatz 4. Nicht dazu gehören Nebenleistungen wie Telekommunikations-, Post- oder Reinigungsleistungen; auch für diese trifft fleetfeat angemessene vertragliche Vereinbarungen und Kontrollmaßnahmen.

(2) Der Einsatz oder Wechsel eines Subunternehmers ist zulässig, wenn fleetfeat dies dem Verantwortlichen mindestens 14 Kalendertage vorab in Textform anzeigt (in der Regel durch Aktualisierung der Liste nach Absatz 5 und Benachrichtigung der Administratoren) und der Verantwortliche nicht bis zum Zeitpunkt der Datenübergabe in Textform Einspruch erhebt.

(3) Erhebt der Verantwortliche innerhalb der Frist Einspruch, prüft fleetfeat, ob die Leistung ohne den betreffenden Subunternehmer erbracht werden kann, und teilt das Ergebnis mit. Ist dies nicht möglich, können beide Vertragsparteien den Hauptvertrag mit einer Frist von 14 Tagen in Textform kündigen.

(4) Mit jedem Subunternehmer schließt fleetfeat einen Vertrag nach Art. 28 Abs. 3 und 4 DSGVO. fleetfeat verpflichtet jeden Subunternehmer, eigene Unterauftragsverarbeiter nur unter Auflagen einzusetzen, die den Anforderungen dieser Vereinbarung entsprechen. Soweit ein Subunternehmer eine Benachrichtigung über den Wechsel seiner eigenen Unterauftragsverarbeiter anbietet, abonniert fleetfeat diese und unterrichtet den Verantwortlichen über einen solchen Wechsel unverzüglich nach eigener Kenntnis in Textform. Der Verantwortliche kann einem solchen Wechsel innerhalb von 14 Kalendertagen ab Zugang der Unterrichtung aus berechtigten Gründen in Textform widersprechen; Absatz 3 gilt entsprechend. Die Frist des Absatzes 2 gilt für diese Wechsel nicht, weil fleetfeat den Zeitpunkt nicht bestimmt.

(5) Die zum Zeitpunkt des Vertragsschlusses genehmigten Subunternehmer sind in Anhang 3 aufgeführt. Anhang 3 wird als fortlaufend aktualisierte Liste unter fleetfeat.de/dienstleister geführt; die Vertragsparteien sind sich einig, dass diese Liste in Verbindung mit dem Verfahren nach Absatz 2 für die Einbeziehung neuer Subunternehmer ausreicht und eine schriftliche Anpassung dieser Vereinbarung nicht erforderlich ist.

(6) Eine Verarbeitung in einem Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind (Angemessenheitsbeschluss, Standardvertragsklauseln oder andere geeignete Garantien). Die für den jeweiligen Subunternehmer geltende Garantie ist in Anhang 3 angegeben.

§ 7 Rechte der betroffenen Personen

(1) fleetfeat unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seinen Pflichten zur Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

(2) Soweit eine betroffene Person ein Recht auf Datenübertragbarkeit hat, stellt fleetfeat sicher, dass der Verantwortliche die im Auftrag verarbeiteten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten kann; die Exportfunktionen der Software stehen hierfür zur Verfügung.

(3) fleetfeat gibt personenbezogene Daten nur nach dokumentierter Weisung des Verantwortlichen heraus, berichtigt, löscht oder schränkt ihre Verarbeitung ein.

(4) Wendet sich eine betroffene Person unmittelbar an fleetfeat, leitet fleetfeat das Ersuchen unverzüglich an den Verantwortlichen weiter.

(5) Der Verantwortliche ist für die Information der betroffenen Personen nach Art. 12 bis 14 DSGVO verantwortlich. Informationen, über die nur fleetfeat verfügt, stellt fleetfeat auf Anfrage bereit.

(6) fleetfeat unterstützt den Verantwortlichen dabei, Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereitzustellen und an Dritte weiterzugeben, soweit der Verantwortliche als Dateninhaber nach Art. 4 ff. Data Act in Anspruch genommen wird.

§ 8 Pflichten von fleetfeat

(1) fleetfeat beachtet zusätzlich zu den Regelungen dieser Vereinbarung die gesetzlichen Pflichten nach Art. 28 bis 36 DSGVO. Ein Datenschutzbeauftragter ist bei fleetfeat derzeit nicht zu benennen; Ansprechpartner für alle Datenschutzfragen ist datenschutz@fleetfeat.de. Wird ein Datenschutzbeauftragter benannt, teilt fleetfeat dessen Kontaktdaten mit.

(2) fleetfeat unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere durch angemessene technische und organisatorische Maßnahmen, die unverzügliche Information über Verletzungen des Schutzes personenbezogener Daten (§ 5 Abs. 5), die Unterstützung bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde.

(3) Jede Übermittlung von Daten in ein Drittland erfolgt ausschließlich unter Einhaltung der Art. 44 ff. DSGVO. Der Verantwortliche stimmt der Übermittlung an die in Anhang 3 genannten Subunternehmer in Drittländern unter den dort genannten Garantien zu.

(4) fleetfeat unterstützt den Verantwortlichen bei Datenportabilität und Anbieterwechsel nach den Art. 23 bis 31 Data Act und weist auf unterstützte Formate und Schnittstellen hin (Anlage 2 des Hauptvertrags).

(5) fleetfeat informiert den Verantwortlichen unverzüglich über Kontrollen einer Aufsichtsbehörde bei fleetfeat, soweit sie die in dieser Vereinbarung geregelte Verarbeitung betreffen.

§ 9 Kontrollrechte des Verantwortlichen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO)

(1) fleetfeat stellt dem Verantwortlichen auf Anforderung in Textform innerhalb angemessener Frist alle Auskünfte und Nachweise zur Verfügung, die zur Durchführung einer Kontrolle im schriftlichen Verfahren erforderlich sind.

(2) Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und danach regelmäßig von der Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen. Dies erfolgt in erster Linie durch Auskünfte von fleetfeat und durch Vorlage von Prüfberichten oder anerkannten Zertifizierungen, insbesondere der eingesetzten Hosting- und Datenbankanbieter.

(3) Anlassbezogene Vor-Ort-Kontrollen sind zulässig, wenn konkrete Anhaltspunkte für Zweifel an vorgelegten Nachweisen bestehen, ein Sicherheitsvorfall im Sinne des Art. 33 DSGVO eingetreten ist oder die Unterlagen die erforderlichen Nachweise nicht vollständig erbringen. Sie sind mindestens 14 Kalendertage vorher in Textform anzukündigen; eine kürzere Frist ist nur bei begründeter Dringlichkeit zulässig.

(4) Unabhängig von einem Anlass kann der Verantwortliche einmal je Kalenderjahr eine Vor-Ort-Kontrolle durchführen, angekündigt mindestens 14 Kalendertage vorher in Textform. Die Kosten anlassloser Kontrollen trägt der Verantwortliche.

(5) Kontrollen dürfen den Geschäftsbetrieb von fleetfeat nicht unangemessen stören. Der Verantwortliche fertigt über jede Kontrolle ein Protokoll an und teilt festgestellte Abweichungen fleetfeat unverzüglich in Textform mit.

§ 10 Haftung

(1) Die Haftung der Vertragsparteien richtet sich nach Art. 82 DSGVO. Eine Haftung von fleetfeat gegenüber dem Verantwortlichen wegen Verletzung von Pflichten aus dieser Vereinbarung oder dem Hauptvertrag bleibt hiervon unberührt; für sie gilt § 11 des Hauptvertrags.

(2) Die Vertragsparteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden bei einer betroffenen Person eingetreten ist. Dies gilt entsprechend für Geldbußen, die gegen eine Partei verhängt werden, im Umfang des Verantwortungsanteils der jeweils anderen Partei.

§ 11 Kündigung und Beendigung des Auftrags

(1) Kommt fleetfeat den Pflichten aus dieser Vereinbarung nicht nach, kann der Verantwortliche fleetfeat anweisen, die Verarbeitung auszusetzen, bis die Pflichten eingehalten werden oder der Hauptvertrag beendet ist. fleetfeat unterrichtet den Verantwortlichen unverzüglich, wenn fleetfeat diese Vereinbarung aus welchen Gründen auch immer nicht einhalten kann.

(2) Der Verantwortliche kann den Hauptvertrag kündigen, soweit er die Verarbeitung personenbezogener Daten betrifft, wenn die Verarbeitung nach Absatz 1 ausgesetzt wurde und die Einhaltung dieser Vereinbarung nicht innerhalb eines Monats wiederhergestellt ist, wenn fleetfeat fortdauernd oder schwerwiegend gegen diese Vereinbarung oder die DSGVO verstößt oder wenn fleetfeat einer bindenden Entscheidung eines Gerichts oder einer Aufsichtsbehörde nicht nachkommt.

(3) fleetfeat kann den Hauptvertrag kündigen, soweit er die Verarbeitung personenbezogener Daten betrifft, wenn der Verantwortliche auf der Erfüllung einer Weisung besteht, nachdem fleetfeat ihn darüber informiert hat, dass die Weisung gegen geltendes Recht verstößt.

(4) Nach Beendigung des Hauptvertrags und Ablauf des Lesezugriffs nach § 23 Abs. 2 des Hauptvertrags löscht fleetfeat alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Der Verantwortliche kann seine Daten im Zeitraum des Lesezugriffs selbst exportieren.

(5) fleetfeat bestätigt dem Verantwortlichen die Löschung in Textform unter Angabe des Datums.

(6) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, bewahrt fleetfeat entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus auf.

§ 12 Schlussbestimmungen

(1) Überlassene Daten und Datenträger verbleiben im Eigentum des Verantwortlichen.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Die Vertragsparteien ersetzen die unwirksame Regelung durch eine wirksame, die ihr wirtschaftlich und datenschutzrechtlich am nächsten kommt.

(3) Ein Zurückbehaltungsrecht von fleetfeat an den verarbeiteten Daten und Datenträgern (§ 273 BGB) ist ausgeschlossen. Die Exportfunktionen bleiben auch bei Zahlungsverzug verfügbar (§ 25 Abs. 4 des Hauptvertrags).

(4) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Wird die Vereinbarung gesondert unterzeichnet, genügt eine einfache elektronische Signatur.

(5) Bei Widersprüchen zwischen dieser Vereinbarung und anderen Vereinbarungen der Vertragsparteien geht diese Vereinbarung vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.

(6) Bestandteile dieser Vereinbarung sind Anhang 1 „Informationen zur Verarbeitung", Anhang 2 „Technische und organisatorische Maßnahmen" und Anhang 3 „Subunternehmer".

Anhang 1 — Informationen zur Verarbeitung

Die folgenden Angaben beziehen sich auf den gesamten Funktionsumfang der Software. Verbindlich sind die Zwecke, Verarbeitungsarten, Betroffenen- und Datenkategorien, die sich aus den vom Verantwortlichen tatsächlich genutzten Modulen ergeben.

(a) Gegenstand und Zwecke der Verarbeitung

• Fahrzeugakte: Verwaltung von Fahrzeugstammdaten, Dokumenten und Leasing-/Eigentumsdaten je Fahrzeug
• Fristen: Berechnung und Überwachung von Fristen und Nachweisen (Hauptuntersuchung, UVV, Führerschein-Nachweis, Versicherungsnachweis, Unterweisung)
• Fahrtenbuch: Erfassung, Festschreibung und Export von Fahrten mit Zweck und Kilometerständen
• Schaden: Erfassung von Schäden mit Fotos, Erstellung von Schadenberichten
• Bußgeld: Erfassung von Bescheiden, Zuordnung zum Fahrer über die Fahrerhistorie, Fristenüberwachung
• Kosten und Belege: Auslesen, Zuordnung und Ablage von Belegen und Rechnungen, Kostenauswertung
• Fahrer: Fahrerhistorie und Fahrerzuordnung mit Zeitstempel
• Buchung und Services: Buchung von Services, Terminabwicklung, Foto-Nachweise, Übergabeprotokolle, Service-Historie; Bereitstellung der Auftragsdaten an den ausführenden Dienstleister
• Nutzerverwaltung: Konten, Rollen, Berechtigungen, Protokollierung von Zugriffen (Audit-Log)
• Support: Bearbeitung von Support-Anfragen des Verantwortlichen und seiner Nutzer

(b) Arten der Verarbeitung (Art. 4 Nr. 2 DSGVO): Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Auslesen, Abfragen, Übermittlung an Dienstleister im Rahmen gebuchter Services, Einschränkung, Löschung.

(c) Kategorien betroffener Personen

• Fahrer und sonstige Beschäftigte des Verantwortlichen (aktuelle und ehemalige)
• Nutzer mit Verwaltungsrechten (Fuhrparkverantwortliche, Administratoren)
• Dritte: Ansprechpartner bei Leasinggebern, Werkstätten, Versicherern und Behörden; Adressaten in Bußgeldbescheiden; Personal der eingesetzten Dienstleister

(d) Kategorien personenbezogener Daten

• Personenstammdaten und Kontaktdaten (Name, E-Mail-Adresse, Telefon-/Mobilfunknummer, Organisationszugehörigkeit)
• Nutzer- und Rollendaten (Benutzerkennung, Rolle, Berechtigungen, Anmeldedaten)
• Fahrerzuordnungen mit Zeitstempel
• Führerschein-Nachweisdaten (Datum, Ergebnis der Sichtkontrolle, Ablaufdaten; Fotos nur, soweit der Verantwortliche sie hochlädt)
• Fahrtenbuchdaten (Fahrten, Zweck, Kilometerstände, Fahrer)
• Fahrzeugdaten mit Personenbezug (FIN, Kennzeichen, Kilometerstand, Leasingdaten, zugeordneter Fahrer)
• Schadendaten einschließlich Fotos und Berichten
• Bußgelddaten (Adressat, Verstoß, Betrag, Aktenzeichen, Fristen)
• Belege, Rechnungen, Kosten
• Buchungsdaten (Termin, Standort, Ansprechpartner, Fahrzeug)
• Foto-Nachweise und Übergabeprotokolle
• Protokoll- und Audit-Daten (Nutzerkennung, Zeitpunkt, Aktion, betroffener Datensatz)
• Gerätedaten und IT-Nutzungsdaten (IP-Adresse, Browser, Zeitpunkt)
• Support-Kommunikation

Anhang 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zugangskontrolle: Zugriff auf die Software nur mit persönlichem Konto und Passwort; Passwörter werden nur als Hash gespeichert; Zugriffstoken laufen nach spätestens einer Stunde ab und werden rotierend erneuert.
• Zugriffskontrolle: Rollen- und Berechtigungskonzept je Kunde (Administrator, Fuhrparkverantwortlicher, Fahrer, Dienstleister); Mandantentrennung, sodass Nutzer nur Daten ihrer eigenen Organisation lesen und schreiben können.
• Trennung: Getrennte Umgebungen für Entwicklung/Test und Produktivbetrieb; Produktivdaten werden nicht in Testumgebungen verwendet.
• Verschlüsselung: Übertragung ausschließlich über TLS; Speicherung der Datenbank und der Dateien verschlüsselt beim Anbieter.
• Pseudonymisierung: Protokoll- und Fehlerdaten werden auf das erforderliche Maß beschränkt.

Integrität

• Eingabekontrolle: Änderungen am Fahrtenbuch werden mit Nutzerkennung, Zeitpunkt, altem und neuem Wert protokolliert; festgeschriebene Fahrtenbucheinträge sind nicht mehr veränderbar.
• Zugriffsprotokoll (Audit-Log): sicherheitsrelevante Zugriffe, Ansichten und Exporte werden mit Nutzerkennung und Zeitpunkt protokolliert und sind dem Administrator des Kunden einsehbar.
• Weitergabekontrolle: Übermittlung an Dienstleister nur im Umfang der Auftragsdaten; Exporte nur für berechtigte Rollen.

Verfügbarkeit und Belastbarkeit

• Datensicherung: Regelmäßige automatische Sicherungen der Datenbank beim Datenbankanbieter; zusätzliche Off-Site-Sicherung von Datenbank und Dateien bei einem zweiten Anbieter mit Speicherort in der EU.
• Wiederherstellung: Dokumentiertes Verfahren zur Wiederherstellung aus Sicherungen; zuletzt geprüft am 23.08.2026, Prüfung mindestens einmal jährlich.
• Betrieb: Hosting bei professionellen Cloud-Anbietern mit Redundanz; Überwachung von Fehlern; Fehlerprotokollierung ohne Weitergabe von Inhaltsdaten.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutz-Management: Verarbeitungsverzeichnis, Löschkonzept mit Aufbewahrungsklassen und Legal Hold, Verfahrensdokumentation für Belege.
• Vorfallmanagement: Meldeweg für Sicherheitsvorfälle an datenschutz@fleetfeat.de; Information des Verantwortlichen nach § 5 Abs. 5.
• Auftragskontrolle: Auswahl der Subunternehmer nach Art. 28 DSGVO; Verträge zur Auftragsverarbeitung; Liste nach Anhang 3.
• Datenschutzfreundliche Voreinstellungen: Nutzer sehen nur die Daten ihrer Rolle; Protokolldaten werden nach sechs Monaten gelöscht, soweit sie nicht zur Aufklärung eines Vorfalls benötigt werden.

Anhang 3 — Subunternehmer

Die genehmigten Subunternehmer sind unter fleetfeat.de/dienstleister aufgeführt. Die Liste nennt je Anbieter Zweck, Sitz, Datenstandort, eine etwaige Drittlandübermittlung mit der geltenden Garantie sowie den Stand des Eintrags und führt ein Änderungslog. Änderungen werden nach § 6 dieser Vereinbarung angezeigt.