Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

AVV als PDF herunterladen

Vertragsparteien

Dieser Vertrag wird geschlossen zwischen

Firma Anschrift Vertreten durch – nachfolgend „Verantwortlicher“ –

und

Felix Züchner, Boxenplan, Einzelunternehmen, c/o flexdienst – #20508, Kurt-Schumacher-Straße 76, 67663 Kaiserslautern, Deutschland, USt-IdNr. DE461244040, vertreten durch den Inhaber Felix Züchner – nachfolgend „Auftragsverarbeiter“ –

gemeinsam „Parteien“. Er konkretisiert die Pflichten aus dem zugrunde liegenden Hauptvertrag über die Nutzung der Software Boxenplan (nachfolgend „Hauptvertrag“).

§ 1 Gegenstand, Dauer und Weisungsbindung

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Software Boxenplan.
2. Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet auch dieser Vertrag; die Pflichten zur Löschung und Rückgabe nach § 10 bleiben bestehen.
3. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
4. Weisungen erfolgen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Der Hauptvertrag samt Leistungsbeschreibung und die Einstellungen, die der Verantwortliche in der Software selbst vornimmt, gelten als Weisung.
5. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art und Zweck

Erhebung, Speicherung, Ordnung, Auslesen, Verwendung, Übermittlung an das Endgerät der Beschäftigten, Einschränkung und Löschung personenbezogener Daten zum Zweck der internen Organisation des Autohauses: Dienstplanung, Urlaubsverwaltung, Aufgabenverteilung, Team-Kommunikation im Chat, Essensbestellung, Fuhrparkverwaltung einschließlich Kundenleihwagen, Dienstfahrten und Probefahrten mit Schadensdokumentation, Leihvertrag und Probefahrt-Protokoll, Kundenstamm, Übernahme von Daten aus Dateien (Import) sowie Benachrichtigungen. In der Betriebsart Autovermietung kommen hinzu: Reservierung auf eine Fahrzeugklasse, Zuweisung eines Fahrzeugs, Übergabe und Rückgabe mit Aufnahmen, Abrechnung mit Rechnung und Kaution sowie die Fahrerauskunft an Behörden nach einem Verkehrsverstoß.

Arten der verarbeiteten Daten

• Stammdaten der Beschäftigten: Name, Rolle, Abteilung, persönlicher Zugangscode, Sitzungs-Token; bei eingerichtetem zweiten Faktor das Geheimnis der Authenticator-App und der Wiederherstellungscode (nur als Hash)
• Dienst- und Abwesenheitsdaten: Diensteinteilung, Erledigungsstatus der Tagesdienste und daraus folgende Dienstzuweisungen (abschaltbar), Urlaubsanträge mit Zeiträumen und Status
• Aufgabendaten: Aufgabentext, Checklistenpunkte, Kommentare, Fotos, zugewiesene Personen, Ersteller, Fälligkeit, Erledigungsstatus
• Chat-Daten: Nachrichten in Kanälen und Direktnachrichten, Fotos aus der Kamera, Erwähnungen, Absender und Zeitpunkt; Nachrichten werden nach 90 Tagen, Fotos nach 30 Tagen automatisch gelöscht
• Support-Chat-Daten: Text und Fotos, die Beschäftigte des Verantwortlichen im Support-Chat der App an den Auftragsverarbeiter schicken, dazu Name, Rolle und Abteilung der schreibenden Person, der Betrieb und der Zeitpunkt. Der Support-Chat ist der Betreuungskanal des Auftragsverarbeiters; für ihn ist er selbst Verantwortlicher. Kundendaten gehören ausdrücklich nicht hinein (Hinweis über dem Eingabefeld). Gelangen dennoch Daten des Verantwortlichen hinein, gelten dafür die Pflichten dieses Vertrags.
• Bestelldaten: bestellte Artikel, Optionen, Sonderwünsche, Preis, Bezahlstatus
• Leihwagendaten: Fahrzeug- und Vertragsdaten sowie Kundendaten der Mieter (Anrede, Name, Anschrift, Telefon, E-Mail, Auftragsnummer), Fotos von Führerschein und Ausweis, die an der Buchung liegen und ausschließlich im Vertragsdokument erscheinen, Unterschriften als Bild samt Protokoll je Unterschrift (Zeitpunkt, Weg, IP-Adresse und Browserkennung des unterzeichnenden Geräts), Übernahme- und Rücknahmedaten, Schadensbeschreibungen und Schadensfotos sowie ein Vermerk (ja/nein), ob eine Einwilligungserklärung des Verantwortlichen für Werbung und Kontaktaufnahme (EWE) vorliegt – die Erklärung selbst wird nicht in der Anwendung gespeichert
• Dienstfahrtdaten: Fahrzeug, fahrende Person aus dem Beschäftigtenverzeichnis, Zeitraum, Kilometerstände bei Abfahrt und Rückkehr sowie ein frei gewählter Kurztext zum Zweck der Fahrt. Ein Vertrag, eine Unterschrift oder Ausweiskopien entstehen dabei nicht.
• Mieterdaten (Betriebsart Autovermietung): Name, Anschrift, Telefon, E-Mail und Geburtsdatum des Mieters und jedes Zusatzfahrers, dazu Fahrzeugklasse, Zeitraum, gewählte Zusatzleistungen, vereinbarter Tarif als Schnappschuss, Anzahlung, Kaution und Zahlungsstand. Firmenkunden zusätzlich mit Firmenname; Umsatzsteuer-Identifikationsnummer und Rahmenkonditionen stehen im Kundenstamm.
• Führerschein- und Ausweisdaten (Betriebsart Autovermietung): Führerscheinnummer, Führerscheinklassen, Ausstellungsdatum, Gültigkeitsdatum und ausstellende Behörde, Geburtsdatum sowie das Gültigkeitsdatum des Ausweises, jeweils an der einzelnen Buchung und nicht im Kundenstamm; eine Ausweisnummer wird nicht erfasst. Dazu Aufnahmen von Führerschein und Ausweis; sie erscheinen ausschließlich im Vertragsdokument, einen Einzelabruf gibt es nicht. Aus diesen Angaben prüft die Anwendung vor jeder Miete Mindestalter, Führerscheindauer und Gültigkeit; das Ergebnis wird nicht gespeichert, nur die zugrunde liegenden Angaben.
• Kundenstamm (beide Betriebsarten, abschaltbar): Anrede, Vorname, Nachname, Firma, Anschrift (Straße, Postleitzahl, Ort, Land), Telefon, Mobilnummer und E-Mail-Adresse von Kundinnen und Kunden, die ein Fahrzeug leihen oder mieten, bei Firmenkunden der Betriebsart Autovermietung zusätzlich Umsatzsteuer-Identifikationsnummer und vereinbarte Konditionen der Firma; dazu die Herkunft des Eintrags (Ausleihe, Kunden-Link, Import, von Hand), Anlage- und Änderungszeitpunkt, letzte Ausleihe (bei importierten Einträgen auch die in der Datei angegebene), Löschfrist, ein etwaiger Widerspruch mit Datum und die Verknüpfung mit den Buchungen. An der einzelnen Buchung steht ein Vermerk, ob und für welchen Namen der Hinweis zum Kundenstamm erteilt wurde. Geburtsdatum, Führerschein- und Ausweisangaben, Ausweisaufnahmen, Sperrvermerke und Freitext stehen nicht im Kundenstamm. Aufgenommen werden nur Kundenleihwagen und Mieten, keine Probefahrten und Dienstfahrten. Wirksam ist der Kundenstamm nur, solange die Vertragsvorlage des Verantwortlichen den Hinweis zum Kundenstamm trägt; automatisch aufgenommen wird nur, wer diesen Hinweis nachweislich erhalten hat (Unterschrift unter die Übernahme, spätestens am Tag der Übergabe gedruckter Vertrag, Kunden-Link oder Bestätigung am Bildschirm). Kontaktdaten aus früheren Ausleihen werden nicht übernommen.
• Widerspruchs-Merker (Kundenstamm): Nach einem Widerspruch gegen die Speicherung im Kundenstamm bleiben von E-Mail-Adresse und Telefonnummern der Person nur Hashwerte (HMAC-SHA256 mit einem zufälligen Schlüssel je Betrieb), ohne Namen, ohne Klartext und ohne Verknüpfung zu einem Eintrag im Kundenstamm; an einer Buchung mit Widerspruch steht nur, welche dieser Hashwerte ihr Widerspruch angelegt hat (Anlage 1, Abschnitt 6). Sie dienen allein dazu, dass die Anwendung eine spätere Ausleihe derselben Person nicht automatisch in den Kundenstamm aufnimmt, sondern nachfragt.
• Importdaten: Kunden, Fahrzeuge und künftige Buchungen, die der Verantwortliche aus einer CSV- oder Excel-Datei übernimmt. Die Datei wird nur im Arbeitsspeicher gelesen und nicht gespeichert. Übernommen werden nur Spalten, die der Verantwortliche einem Feld zuordnet; alle übrigen Spalten werden nirgends gespeichert, auch nicht in Protokoll, Fehlermeldungen oder gespeicherten Zuordnungen. Je Import werden Zeitpunkt, handelnde Person und Anzahlen festgehalten, dazu 24 Stunden lang die vorherigen Werte ergänzter Einträge im Kundenstamm, damit sich der Import zurücknehmen lässt. Gespeicherte Zuordnungen enthalten nur Spaltennamen, keine Inhalte.
• Übergabe- und Rückgabedaten (Betriebsart Autovermietung): Pflichtaufnahmen des Fahrzeugs (vier Seiten, Tachostand, Tankanzeige, Innenraum) je Richtung, Kilometer- und Tankstand, eine Zubehör-Checkliste, Vorschäden aus der Schadensakte und die Unterschriften von Mieter und Haus. Aus Kilometerstand, Tankstand, Rückgabezeitpunkt, Reinigungsbedarf und neuen Schäden errechnet die Anwendung einen Vorschlag zur Nachberechnung; gebucht wird er erst mit der Rechnung.
• Abrechnungsdaten (Betriebsart Autovermietung): Rechnungen mit fortlaufender Nummer, Rechnungsdatum, Leistungszeitraum, Positionen, Beträgen, Steuersatz und Währung, Empfängeranschrift als Kopie, Zahlungsstand und Zahlungsart. Eine festgeschriebene Rechnung ist unveränderbar; eine Berichtigung entsteht als Gegenrechnung.
• Fahrerauskünfte (Betriebsart Autovermietung): Auf Anfrage einer Behörde nach einem Verkehrsverstoß ermittelt die Anwendung, wer ein Fahrzeug zu einem Zeitpunkt gemietet hatte. Festgehalten werden Kennzeichen, Zeitpunkt, Anlass, anfragende Behörde, Aktenzeichen, das herausgegebene Ergebnis als Kopie sowie die beschäftigte Person, die die Auskunft erstellt hat. Der Zugriff erfordert den zweiten Faktor und steht zusätzlich im Zugriffsprotokoll. Diese Einträge sind unveränderbar.
• Probefahrtdaten: Name und Telefonnummer des Interessenten, Foto des Führerscheins (ausschließlich als Seite des Probefahrt-Protokolls), geplante Dauer, begleitende Person aus dem Verkauf, Kilometerstände, Schadensangaben und – sofern ein Protokoll erstellt wird – die Unterschrift des Interessenten samt Signaturprotokoll
• Empfangsdaten (Modul Begrüßung): Anrede und Name der erwarteten Person, Uhrzeit und Anlass des Besuchs, zuständige beschäftigte Person, Kennzeichen oder Fahrzeug, kurze Notiz und Stichworte für den Empfang, Angaben (ja/nein), ob E-Mail-Adresse, Telefonnummer und eine Einwilligungserklärung des Verantwortlichen für Werbung und Kontaktaufnahme (EWE) vorliegen, ob Termin bestätigt, Leihwagen gebucht und Fahrzeug bereitgestellt ist, sowie der Zeitpunkt der Ankunft; die Kontaktdaten selbst werden dort nicht gespeichert. Einträge werden 30 Tage nach dem Besuchstag automatisch gelöscht.
• Technische Daten: Server-Protokolle, Push-Adressen (Endpoints) der Geräte, Zugriffsprotokoll des Vertragsarchivs (Zeitpunkt, handelnde Person, IP-Adresse, Gerät bzw. Browserkennung, geöffnetes Dokument), Aktivitätsprotokoll (Zeitpunkt, handelnde Person, Modul, Aktion, betroffener Datensatz, geänderte Werte, Löschgrund, Gerät)

Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (einschließlich Auszubildender und Aushilfen)
• Kundinnen und Kunden des Verantwortlichen, die ein Leihfahrzeug übernehmen
• Kundinnen und Kunden des Verantwortlichen im Kundenstamm (beide Betriebsarten), auch solche, deren Daten aus einer Datei importiert wurden, und solche, die der Speicherung dort widersprochen haben (Widerspruchs-Merker)
• Interessentinnen und Interessenten, die eine Probefahrt durchführen
• Besucherinnen und Besucher des Verantwortlichen, die für einen Termin am Empfang eingeplant sind (Modul Begrüßung)
• Mieterinnen und Mieter sowie eingetragene Zusatzfahrerinnen und Zusatzfahrer des Verantwortlichen (Betriebsart Autovermietung)
• Ansprechpersonen von Firmenkunden des Verantwortlichen (Betriebsart Autovermietung)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass solche Daten nicht in Freitextfelder eingegeben werden.

§ 3 Rechte und Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich.
2. Er erteilt alle Weisungen und benennt eine weisungsberechtigte Ansprechperson: Name Funktion Kontaktdaten
3. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Auftragsverarbeitung feststellt.
4. Er prüft eigenverantwortlich, ob Beteiligungsrechte einer Arbeitnehmervertretung bestehen, und holt erforderliche Zustimmungen ein.
5. Er ist berechtigt, sich vor Beginn und danach regelmäßig von der Einhaltung der getroffenen Maßnahmen zu überzeugen (§ 8).

§ 4 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen des Auftrags und der Weisungen (§ 1). Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt; ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind.
2. Er stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie in den einschlägigen Datenschutzvorschriften unterwiesen werden.
3. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen an den technischen Fortschritt angepasst werden, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er und teilt sie mit.
4. Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Betroffenenrechte (§ 7) sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO), soweit dies erforderlich ist und dem Auftragsverarbeiter die nötigen Informationen vorliegen.
5. Er meldet Verletzungen des Schutzes personenbezogener Daten nach § 9 unverzüglich.
6. Er verarbeitet die Daten auf einem von ihm verwalteten Server in einem Rechenzentrum in Deutschland (Nürnberg), den der in Anlage 2 benannte Hosting-Anbieter bereitstellt; Sicherungen liegen verschlüsselt bei demselben Anbieter in Deutschland (Falkenstein). Verarbeitungen bei weiteren Unterauftragsverarbeitern sind in Anlage 2 benannt und nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig.
7. Er benennt als Ansprechperson für Datenschutzfragen: Felix Züchner, [email protected], +49 212 25085094-10. Ein Datenschutzbeauftragter ist nicht benannt; eine Benennungspflicht besteht nicht.
8. Er führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter zu.
2. Weitere Unterauftragsverarbeiter darf der Auftragsverarbeiter im Wege der allgemeinen schriftlichen Genehmigung hinzuziehen. Er informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über beabsichtigte Änderungen.
3. Der Verantwortliche kann einer Änderung innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlichem Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.
4. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO), und prüft ihn vor Beauftragung sowie danach regelmäßig.
5. Nebenleistungen wie Telekommunikationsdienste, Reinigung, Bewachung oder die Entsorgung von Datenträgern gelten nicht als Unterauftragsverarbeitung; der Auftragsverarbeiter trifft dort angemessene Schutzvorkehrungen.

§ 6 Technische und organisatorische Maßnahmen

Die vom Auftragsverarbeiter getroffenen Maßnahmen nach Art. 32 DSGVO sind in Anlage 1 beschrieben. Sie sind Vertragsbestandteil.

§ 7 Rechte betroffener Personen

1. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei Auskunft, Berichtigung, Einschränkung, Löschung, Datenübertragbarkeit und Widerspruch, insbesondere durch geeignete Funktionen in der Software.
3. Berichtigung, Löschung und Einschränkung nimmt der Auftragsverarbeiter nur auf Weisung des Verantwortlichen vor, soweit er dies nicht selbst gesetzlich zu tun hat.

§ 8 Nachweise und Überprüfungen

1. Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus Art. 28 DSGVO auf Anfrage nach, insbesondere durch Auskunft, aktuelle Beschreibungen der Maßnahmen nach Anlage 1 oder geeignete Zertifikate und Prüfberichte.
2. Der Verantwortliche kann sich nach vorheriger Ankündigung mit angemessener Frist – in der Regel zwei Wochen – während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen, auch durch beauftragte Prüfer, die keine Wettbewerber des Auftragsverarbeiters sein dürfen.
3. Vor-Ort-Kontrollen beschränken sich auf das erforderliche Maß und erfolgen höchstens einmal jährlich, es sei denn, es besteht ein besonderer Anlass. Der Auftragsverarbeiter kann für den Aufwand einer Prüfung, die über die Vorlage von Nachweisen hinausgeht, eine angemessene Vergütung verlangen, sofern kein Anlass in seiner Sphäre besteht.
4. Prüfende Personen sind zur Vertraulichkeit zu verpflichten.

§ 9 Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnis, in Textform an die in § 3 benannte Ansprechperson.
2. Die Meldung enthält, soweit bekannt: Beschreibung des Vorfalls, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert Vorfälle nachvollziehbar.

§ 10 Löschung und Rückgabe nach Beendigung

1. Nach Beendigung des Auftrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten auf Wunsch in einem gängigen, maschinenlesbaren Format bereit oder löscht sie, jeweils nach Wahl des Verantwortlichen.
2. Die Herausgabe erfolgt innerhalb von 30 Tagen nach Vertragsende. Danach löscht der Auftragsverarbeiter die Daten einschließlich der Schadensfotos innerhalb weiterer 30 Tage datenschutzgerecht und bestätigt die Löschung auf Verlangen in Textform.
3. Sicherungskopien werden im Rahmen der regulären Rotation nach spätestens 30 Tagen gelöscht (lokale Stände nach 14 Tagen, Fernsicherung nach 30 Tagen); bis dahin bleiben sie durch die Maßnahmen der Anlage 1 geschützt.
4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie zwingendem Recht nicht entgegenstehen.

§ 12 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses Vertrags vor.
2. Änderungen und Ergänzungen bedürfen der Textform; das gilt auch für die Aufhebung dieser Klausel.
3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Langenfeld, soweit gesetzlich zulässig.

Unterschriften

Ort, Datum: ______________________ Ort, Datum: ______________________

Verantwortlicher: ________________ Auftragsverarbeiter: ________________

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Verschlüsselung (Art. 32 Abs. 1 lit. a)

• Transportverschlüsselung: Der Zugriff auf Website und App erfolgt ausschließlich über HTTPS (TLS 1.2 oder höher). Unverschlüsselte Aufrufe werden auf HTTPS umgeleitet.
• Die Verbindung zwischen dem Server und dem vorgelagerten Netzwerkdienst läuft über einen ausgehenden, verschlüsselten Tunnel; die Anwendung selbst ist nicht direkt aus dem Internet erreichbar und lauscht nur auf der lokalen Schnittstelle des Servers. Einziger aus dem Internet erreichbarer Dienst ist der administrative SSH-Zugang (Abschnitt 2).
• Push-Nachrichten werden Ende-zu-Ende verschlüsselt an den Push-Dienst des Browserherstellers übergeben (Web-Push mit VAPID).
• Verschlüsselung ruhender Daten: Datenbank, Fotos, Vertragsdokumente, die lokalen Sicherungen sowie die Laufzeitumgebung der Anwendung einschließlich ihrer Betriebsmeldungen liegen auf einem separaten Datenträger, der vollständig verschlüsselt ist (LUKS2, AES-XTS mit 512 Bit Schlüssellänge, Schlüsselableitung argon2id). Der Auslagerungsspeicher des Servers ist mit einem bei jedem Start neu erzeugten Zufallsschlüssel verschlüsselt.
• Reichweite dieser Verschlüsselung – ehrlich beschrieben: Damit der Server nach einem Neustart ohne menschliches Zutun wieder verfügbar ist, liegt der Schlüssel für den Datenträger als Datei auf dem Systemdatenträger des Servers (nur für den Systemverwalter lesbar); ein zweiter Schlüssel liegt ausschließlich offline beim Auftragsverarbeiter. Die Verschlüsselung schützt die ruhenden Daten daher gegen ein Auslesen außerhalb des laufenden Servers – etwa bei Entsorgung oder Wiederverwendung des Speichers beim Hosting-Anbieter oder bei Kopien und Abbildern des Datenträgers ohne den Systemdatenträger. Sie schützt nicht gegen Personen mit Zugriff auf den laufenden Server oder auf den Systemdatenträger (dort liegt der Schlüssel), damit auch nicht gegen den Hosting-Anbieter als Betreiber der Infrastruktur, und nicht gegen Angriffe über die Anwendung selbst. Der Systemdatenträger ist nicht verschlüsselt; er enthält Betriebssystem, Anwendungskonfiguration (darunter die Schlüssel für Push-Nachrichten und die Zugangsdaten des Tunnels), die Schlüsseldatei und Systemprotokolle, aber keine Datenbank, Fotos oder Vertragsdokumente.
• Sicherungen außerhalb des Servers werden vor der Übertragung mit einem eigenen Schlüssel verschlüsselt (restic, AES-256 mit Integritätsschutz); das Passwort dafür liegt nur auf dem Server und offline beim Auftragsverarbeiter. Der Sicherungsspeicher des Hosting-Anbieters erhält ausschließlich verschlüsselte Daten.

2. Vertraulichkeit – Zutritt, Zugang, Zugriff

• Zutrittskontrolle: Der Server steht in einem Rechenzentrum des in Anlage 2 benannten Hosting-Anbieters in Nürnberg; der physische Zutritt unterliegt dessen Zutrittskontrolle. Der Auftragsverarbeiter selbst hat keinen physischen Zugang zur Hardware.
• Zugangskontrolle: Anmeldung in der App ausschließlich über persönliche, zufällig erzeugte achtstellige Zugangscodes; jede Anmeldung erzeugt ein eigenes, zufälliges Sitzungs-Token je Gerät.
• Zugangscodes: Sie werden zufällig erzeugt und bestehen aus acht Zeichen eines Alphabets ohne verwechselbare Zeichen (kein I, O, B, 0 oder 1), geschrieben als „PZ-XXXX-XXXX“. Die Leitung des Verantwortlichen kann den Code einer Person jederzeit erneuern; der bisherige Code verliert damit seine Gültigkeit und alle Sitzungen dieser Person enden.
• Schutz der Anmeldung gegen systematisches Durchprobieren, in drei Stufen: (1) Fünf Fehlversuche auf denselben eingegebenen Code sperren diesen Code für 15 Minuten; die Sperre endet von selbst, die Leitung des Verantwortlichen kann sie früher aufheben und wird über jede Sperre benachrichtigt. (2) Je Absenderadresse verzögert sich ab dem zehnten Fehlversuch jede weitere Antwort um zwei Sekunden – eine Sperre erfolgt hier ausdrücklich nicht, damit gemeinsam genutzte Anschlüsse niemanden aussperren. (3) Für die gesamte Instanz gilt eine Obergrenze von 60 Fehlversuchen je Minute. Bestehende Sitzungen sind von allen drei Stufen unberührt. Gespeichert werden dafür die Absenderadresse, die Zahl der Fehlversuche, eine kurze Gerätebezeichnung und die Zeitpunkte; der eingegebene Code selbst wird nicht gespeichert, sondern ausschließlich als Hashwert mit einem installationsspezifischen Schlüssel. Die Zählungen werden durch eine erfolgreiche Anmeldung gelöscht und verfallen andernfalls nach 24 Stunden. Sperren und vorzeitige Freigaben werden im Aktivitätsprotokoll festgehalten.
• Sitzungsverwaltung: Je Person sind höchstens fünf Geräte gleichzeitig angemeldet; bei einer weiteren Anmeldung endet die am längsten ungenutzte Sitzung automatisch. Zu jeder Sitzung werden ausschließlich Gerätetyp und Browser (abgeleitet aus der Browserkennung, z. B. „iPhone · Safari“), der Zeitpunkt der ersten Anmeldung und der Zeitpunkt der letzten Nutzung gespeichert – keine IP-Adresse, keine vollständige Browserkennung, keine Standortdaten. Jede Person kann ihre Sitzungen einsehen und einzeln oder gesammelt beenden; die Leitung kann die Sitzungen eines Kontos einsehen und aus der Ferne beenden (etwa bei Verlust eines Geräts). Das Zurücksetzen des Zugangscodes beendet alle Sitzungen des Kontos. Sitzungen ohne Nutzung enden automatisch nach 90 Tagen. Mit dem Ende einer Sitzung werden die zugehörige Push-Registrierung und die auf dieses Gerät bezogene Freigabe des zweiten Faktors gelöscht. Beendete Sitzungen werden im Aktivitätsprotokoll festgehalten; Anmeldungen werden nicht protokolliert.
• Administrativer Zugang zum Server über SSH, das aus dem Internet erreichbar ist. Die Anmeldung ist ausschließlich mit kryptografischen Schlüsseln möglich (Passwort-Anmeldung für das Verwaltungskonto deaktiviert), ohne Zwei-Faktor-Authentisierung; die Schlüssel liegen auf den Geräten des Auftragsverarbeiters. Die Anwendung wird allein über einen ausgehenden, verschlüsselten Tunnel veröffentlicht; ihre Ports sind nicht öffentlich. Das Kundenkonto beim Hosting-Anbieter, über das Server, Datenträger und Sicherungsspeicher verwaltet werden, ist mit Zwei-Faktor-Authentisierung gesichert.
• Zugriffskontrolle: abgestuftes Rollenkonzept (Admin, Vorgesetzte, Fuhrpark, Mitarbeitende); fachliche Funktionen wie das Verwalten von Fahrzeugen, das Freigeben von Urlaub oder das Verteilen von Aufgaben sind an Rollen und Abteilungen gebunden und werden bei jedem Aufruf serverseitig geprüft. Das Aktivitätsprotokoll (Abschnitt 4) ist ausschließlich Leitungsrollen (Admin, Vorgesetzte, Geschäftsführung) zugänglich; der Export als CSV-Datei ist Admin und Geschäftsführung vorbehalten.
• Rollenkonzept beim Auftragsverarbeiter: Das interne Dashboard des Auftragsverarbeiters liegt hinter einem vorgelagerten Zugangsschutz mit Einmalcode per E-Mail und verlangt danach Passwort und zeitbasierten Einmalcode (TOTP). Einziger Administrator ist der Inhaber. Weitere Personen, die für den Auftragsverarbeiter tätig sind, erhalten ein eigenes, persönliches Konto mit Einzelrechten je Bereich (keine, lesen, bearbeiten), auf Wunsch befristet und jederzeit sofort sperrbar; eine Sperre beendet alle Sitzungen des Kontos. Nie freigebbar und allein dem Administrator vorbehalten sind die Inhalte der Betriebe (Leih- und Mietverträge, Kundenstamm, Fotos, Datenexport, Sicherungen, Vertragsvorlagen, Unterlagen aus dem Onboarding-Link) sowie Systemverwaltung, Einstellungen, Kosten, Archiv und Support-Chat. Vor der ersten Anmeldung verpflichtet sich jede Person mit eigenem Konto zur Vertraulichkeit (Abschnitt 7). Jede Änderung und jeder Download eines Kontos steht mit dessen Namen im Protokoll des Dashboards; das bloße Ansehen sowie An- und Abmeldungen werden nicht protokolliert. Dieses Protokoll ist unveränderbar und wird nicht automatisch gelöscht.
• Zwei-Faktor-Schutz für das Vertragsarchiv: Vertragsdokumente und Ausweiskopien lassen sich in der App nur nach Eingabe eines zeitbasierten Einmalcodes (TOTP nach RFC 6238) aus einer Authenticator-App der jeweiligen Person öffnen; die Freigabe ist an die Sitzung gebunden und gilt 15 Minuten auf genau dem Gerät, an dem der Code eingegeben wurde – auf weiteren Geräten derselben Person bleibt das Archiv gesperrt. Die Prüfung erfolgt serverseitig, jeder Code ist nur einmal gültig, nach fünf Fehlversuchen wird der Zugang für 15 Minuten gesperrt. Ein Zurücksetzen des zweiten Faktors ist nur durch die Leitung des Verantwortlichen möglich, beendet alle laufenden Freigaben des Kontos und wird protokolliert.
• Zugriffsprotokoll: Jeder Abruf eines Vertragsdokuments oder einer Ausweiskopie wird mit Zeitpunkt, handelnder Person, IP-Adresse und Gerät (Browserkennung) protokolliert; das Protokoll ist für die Leitung des Verantwortlichen in der App einsehbar und wird nicht automatisch gelöscht.
• Support-Chat: Die Verläufe liegen in der Verwaltungsdatenbank des Auftragsverarbeiters, nicht in der Datenbank des Betriebs, und sind für andere Betriebe nicht sichtbar. Ein Mitarbeiter sieht nur seine eigenen Verläufe, die Leitung zusätzlich die Verbesserungsvorschläge ihres Hauses; Fotos werden nur nach Anmeldung und nur zum eigenen Verlauf ausgeliefert. Über dem Eingabefeld steht der Hinweis, dass dort keine Kundendaten hingehören.
• Kontaktpostfach: Nachrichten an die Kontaktadresse des Auftragsverarbeiters ruft der Server ausschließlich über eine verschlüsselte Verbindung (IMAP über TLS) und ausschließlich lesend ab; im Postfach wird nichts verändert, verschoben oder gelöscht. Die Zugangsdaten liegen verschlüsselt in der Verwaltungsdatenbank (AES-256-GCM), der Schlüssel dazu getrennt davon auf dem Systemdatenträger. Die Kopie einer Nachricht im internen Dashboard ist nur dem Auftragsverarbeiter zugänglich; Kunden haben darauf keinen Zugriff.
• Onboarding-Link: Für die Einrichtung erhält der Verantwortliche einen persönlichen Link auf der Website des Auftragsverarbeiters (zufälliger Zugang aus 32 Byte, 30 Tage gültig, ohne Anmeldung, nicht indexierbar). Ein neuer Link beendet den bisherigen; der Auftragsverarbeiter kann einen Link jederzeit beenden. Über den Link lädt der Verantwortliche seine Unterlagen hoch: Fahrzeugliste, Mitarbeiterliste (Name, Abteilung, Rolle), Vertragsvorlage und bei Bedarf weitere Unterlagen, etwa laufende Leihwagentermine. Angenommen werden PDF, Excel, Word, CSV, Text und Fotos (JPEG, PNG), erkannt am Inhalt der Datei, nicht an ihrer Endung; höchstens 20 MB je Datei und 30 Dateien je Betrieb. Die Dateien liegen auf dem verschlüsselten Datenträger (Abschnitt 1) unter einem zufälligen Namen, getrennt von der Datenbank des Betriebs; der ursprüngliche Dateiname steht nur in der Verwaltungsdatenbank. Die Seite hinter dem Link zeigt nur Art, Dateiname und Zeitpunkt der Eingänge, nie ihren Inhalt; herunterladen lassen sich die Dateien nur im internen Dashboard des Auftragsverarbeiters. IP-Adressen werden dabei nicht gespeichert; gegen das Durchprobieren von Links verzögert eine Bremse die Antworten, die dafür nur einen Hashwert der Absenderadresse im Arbeitsspeicher hält. Im Protokoll des Auftragsverarbeiters stehen zu einem Eingang nur Art, Dateityp und Größe, nie der Dateiname.
• Kundenstamm: Datenauskunft nur für die Leitung mit zweitem Faktor, Löschen nur durch die Leitung mit Grund. Die vollständige Liste sieht nur die Leitung; andere Beschäftigte finden einen Kunden nur über eine Suche ab zwei Zeichen. Einen Import aus einer Datei dürfen nur Admin und Geschäftsführung starten.
• Kunden-Link: Über einen persönlichen Link je Buchung (zufälliger Zugang, 48 Stunden gültig, ohne Anmeldung, nicht indexierbar) reicht eine Kundin oder ein Kunde Kontaktdaten und Aufnahmen von Führerschein und Ausweis ein; sie liegen getrennt von der Buchung, bis Beschäftigte sie prüfen und übernehmen. Ist die Buchung mit dem Eintrag der Person im Kundenstamm verknüpft, zeigt die Seite die Kontaktdaten dieser Buchung erst nach Eingabe der Postleitzahl, die in der Buchung steht, höchstens fünf Versuche je Link. IP-Adressen werden dabei nicht gespeichert.
• Dateien mit Schadensfotos werden nur nach erfolgreicher Authentifizierung ausgeliefert; Vertragsdokumente in der App zusätzlich nur nach dem zweiten Faktor. Kundinnen und Kunden erhalten ihr eigenes Vertragsdokument ausschließlich über den persönlichen, 48 Stunden gültigen QR-Zugang nach Eingabe ihrer Postleitzahl; auch dieser Abruf wird protokolliert.

3. Trennung und Mandantentrennung

• Mandantentrennung durch getrennte Datenbanken: Jeder Kunde (Mandant) hat eine eigene SQLite-Datenbankdatei und einen eigenen Dateiablageordner für Fotos und Vertragsdokumente; es gibt keine gemeinsam genutzten Tabellen mit Mandantenkennung. Die Zuordnung erfolgt über die Internetadresse des Mandanten, jede Anfrage arbeitet ausschließlich mit der Datenbank dieses Mandanten. Zugangscodes, Sitzungen und Push-Schlüssel gelten nur innerhalb des eigenen Mandanten; ein Zugangscode eines anderen Mandanten wird abgewiesen.
• Sicherungen werden je Mandant in getrennten Ordnern angelegt und getrennt verschlüsselt übertragen; die Verwaltungsdaten der Plattform (Betriebsregistry, Anfragen, Angebote, Zugriffszähler) liegen in einer eigenen Datenbank. Personenbezogene Daten der Beschäftigten oder Kunden der Mandanten stehen dort nur, soweit sie über den Support-Chat, das Kontaktpostfach oder den Onboarding-Link (Abschnitt 2) hineingelangen; dazu kommen die Kontakt- und Vertragsangaben der Ansprechpersonen des Kunden, die der Auftragsverarbeiter für Anbahnung und Durchführung des Vertrags führt (Name, E-Mail-Adresse und Telefonnummer, an sie versandte E-Mails, bei der Annahme eines Angebots über den Link Name, Funktion, IP-Adresse und Browserkennung).
• Wird ein Mandant gelöscht, ist die Anmeldung sofort gesperrt; Datenbank und Dateien werden nach 30 Tagen automatisch endgültig entfernt (Sicherungen nach Ablauf ihrer Aufbewahrungsfrist).
• Trennung von Produktiv- und Testumgebung; Tests laufen ausschließlich auf Kopien oder mit Testdaten.
• Getrennte Verarbeitung von Daten unterschiedlicher Zwecke innerhalb der Anwendung (z. B. Bestell-, Dienst- und Leihwagendaten).

4. Integrität – Eingabe- und Weitergabekontrolle

• Aktivitätsprotokoll: Jede Änderung an Daten der Anwendung (Anlegen, Ändern, Löschen, Statuswechsel, Freigaben) wird mit Zeitpunkt, handelnder Person, betroffenem Datensatz und – bei Wertänderungen – altem und neuem Wert festgehalten; Löschungen von Ausleihen, Verträgen, Schäden, Fahrzeugen und Einträgen im Kundenstamm erfordern einen Grund, der mitprotokolliert wird. Einträge zum Kundenstamm nennen nur Kundennummer, Feldnamen und Anzahlen, keine Namen oder Kontaktdaten; Führerschein- und Geburtsangaben stehen nie mit ihrem Wert im Protokoll. Zum Gerät wird nur eine kurze Bezeichnung (Gerätetyp und Browser) gespeichert, keine IP-Adresse. Das Protokoll ist unveränderbar (auch für Administratoren), für die Leitung des Verantwortlichen in der App einsehbar und als CSV exportierbar. Reines Ansehen, Anmeldungen, Standort- und Nutzungszeiten werden nicht erfasst.
• Zugriffe auf Vertragsdokumente werden mit Zeitpunkt, Person und Gerät festgehalten und nicht automatisch gelöscht (siehe Abschnitt 2); sie erscheinen zusätzlich – ohne IP-Adresse – im Aktivitätsprotokoll.
• Beendete Sitzungen (Abmelden eines Geräts aus der Ferne, Abmelden durch die Leitung, Verdrängen der ältesten Sitzung beim Überschreiten der Gerätegrenze, Zurücksetzen des Zugangscodes) werden mit Zeitpunkt, handelnder Person, betroffener Person und Gerätebezeichnung im Aktivitätsprotokoll festgehalten. Anmeldungen und das Abmelden am eigenen Gerät werden nicht protokolliert, damit aus dem Protokoll keine Nutzungszeiten ablesbar sind.
• Weitergabekontrolle: Datenübertragung ausschließlich verschlüsselt; kein Versand personenbezogener Daten an Analyse- oder Werbedienste; keine externen Einbettungen auf Website und in der App.
• Serverseitige Prüfung aller eingehenden Daten; Schreibrechte nur nach Rollenprüfung.

5. Verfügbarkeit und Belastbarkeit

• Automatische Sicherung der Datenbank, der Fotos und der Vertragsdokumente täglich um 3:15 Uhr; die Datenbanksicherung läuft im laufenden Betrieb ohne Sperrzeiten (Sicherungsschnittstelle der Datenbank, keine Dateikopie). Wurde der Zeitpunkt verpasst, wird die Sicherung beim nächsten Start nachgeholt.
• Lokale Sicherungen: 14 Stände rollierend in einem von den Betriebsdaten getrennten Verzeichnis auf dem verschlüsselten Datenträger desselben Servers.
• Fernsicherung: im selben Lauf werden die Sicherungen sowie die Anwendungskonfiguration verschlüsselt (Abschnitt 1) auf einen Sicherungsspeicher des Hosting-Anbieters in Deutschland (Falkenstein) übertragen; Aufbewahrung 30 Tage rollierend; wöchentliche Konsistenzprüfung der Ablage mit stichprobenartigem Lesen der Daten.
• Zusätzlich sichert der Hosting-Anbieter automatisch den Systemdatenträger des Servers (Betriebssystem und Konfiguration, bis zu sieben Stände); diese Sicherung enthält keine Datenbank, Fotos oder Vertragsdokumente, da diese auf dem separaten, verschlüsselten Datenträger liegen.
• Die Wiederherstellung wird monatlich automatisiert geprüft: Der jüngste Stand wird aus der Fernsicherung zurückgeholt, die Datenbank auf Integrität geprüft und Datenbank, Fotos und Vertragsdokumente werden mit der lokalen Sicherung verglichen; das Ergebnis wird protokolliert, ein Fehlschlag bleibt als Störung im Dienststatus des Servers stehen und wird bei der Wartung geprüft. Erster Test: 14. September 2026 – fehlerfrei.
• Bleibt die tägliche Sicherung aus, meldet die Anwendung dies dem Auftragsverarbeiter automatisch (Benachrichtigung, sobald der letzte Stand älter als 26 Stunden ist).
• Die Anwendung startet nach einem Absturz und nach einem Neustart des Servers selbsttätig; die Erreichbarkeit von Website und App wird minütlich geprüft, Ausfälle über fünf Minuten werden dem Auftragsverarbeiter gemeldet.
• Schutz vor Überlastung und Angriffen aus dem Internet durch den vorgelagerten Netzwerkdienst (Cloudflare), inklusive Schutz vor verteilten Überlastangriffen.
• Sicherheitsaktualisierungen des Betriebssystems werden automatisch eingespielt; Aktualisierungen der Anwendung und ihrer Laufzeitumgebung monatlich und anlassbezogen.

6. Löschkonzept

• Beschäftigtendaten: Löschung des Kontos durch die Leitung des Kunden; damit entfallen Zugangscode und Token unmittelbar.
• Aufgaben und Bestellungen werden nach Erledigung bzw. Tagesabschluss nur noch für den laufenden Betrieb vorgehalten; abgeschlossene Ausleihen verschwinden 60 Tage nach dem Rückgabedatum aus der laufenden Ansicht, ihre Vertragsdokumente bleiben im Archiv.
• Schadensfotos werden mit dem zugehörigen Schaden gelöscht; die Datei wird dabei vom Datenträger entfernt.
• Chat: Nachrichten werden nach 90 Tagen, Fotos nach 30 Tagen automatisch gelöscht; Ankündigungen bleiben, bis sie gelöscht werden.
• Aufnahmen von Führerschein und Ausweis liegen an der Buchung, erscheinen ausschließlich im Vertragsdokument und sind nicht einzeln abrufbar. Wird eine Buchung gelöscht, löscht die Anwendung ihre Aufnahmen mit, auch noch nicht übernommene aus dem Kunden-Link; Aufnahmen, deren Buchung nicht mehr besteht, löscht sie beim Laden des Betriebs und täglich. In einem freigegebenen Vertragsdokument bleiben sie mit diesem erhalten.
• Kundenstamm (beide Betriebsarten): Ein Eintrag wird automatisch gelöscht, wenn seit der letzten Ausleihe die vom Verantwortlichen eingestellte Frist vergangen ist: ein bis zehn Jahre, Vorgabe drei Jahre ohne Ausleihe. Bei importierten Einträgen zählt auch die in der Datei angegebene letzte Ausleihe, ohne diese Angabe beginnt die Frist mit dem Importtag; ohne jede Ausleihe mit dem Anlegen. Zeilen einer Datei, deren angegebene letzte Ausleihe so lange zurückliegt wie die Frist oder länger, werden nicht importiert. Eine kürzere Frist wirkt sofort, eine längere für einen Kunden erst ab seiner nächsten Ausleihe. Widerspricht eine Person der Speicherung, wird ihr Eintrag nach der laufenden Ausleihe gelöscht (in der Betriebsart Autovermietung eine zurückgegebene Miete, die noch abzurechnen ist, nach der Abrechnung, spätestens 90 Tage nach ihrem Ende); künftige Buchungen, die mit dem Eintrag verknüpft sind, werden sofort gelöst und nicht wieder aufgenommen. Die Widerspruchs-Merker (§ 2) bleiben unbefristet: Trifft eine spätere Ausleihe darauf, nimmt die Anwendung die Person nicht automatisch auf, sondern fragt nach, und aufgenommen wird sie nur mit ihrer ausdrücklichen Zustimmung; ein Import legt sie nicht neu an. An einer Buchung mit Widerspruch steht, welche Merker ihr Widerspruch angelegt hat (nur die Hashwerte), solange die Buchung besteht. Nimmt die Leitung einen Widerspruch an einer Buchung mit Grund zurück, werden diese Merker gelöscht, soweit kein anderer Widerspruch sie trägt. Eine Löschung nach Frist oder durch die Leitung hinterlässt keine Merker. Die Leitung kann Einträge jederzeit mit Grund löschen. Die automatische Löschung läuft auch bei abgeschaltetem Modul weiter. Gelöscht wird der Satz im Kundenstamm. Die Angaben in den einzelnen Ausleihen und Vertragsdokumenten, in Rechnungen (gesetzliche Aufbewahrungspflicht) und in erteilten Fahrerauskünften bleiben nach deren eigenen Regeln erhalten; das Aktivitätsprotokoll vermerkt die Löschung nur mit Kundennummer und Grund; Einträge zu Ausleihen nennen den Namen bis zu zwölf Monate. In den verschlüsselten Sicherungen ist der gelöschte Satz noch bis zu 30 Tage enthalten.
• Führerschein-, Ausweis- und Geburtsangaben an der Buchung (Betriebsart Autovermietung), auch die der Zusatzfahrer, leert die Anwendung zehn Jahre nach dem Ende der Miete automatisch; zehn Jahre sind die handels- und steuerrechtliche Aufbewahrungsfrist. Im Vertragsdokument, das diese Angaben samt den Aufnahmen enthält, und in erteilten Fahrerauskünften bleiben sie erhalten; Vertragsdokumente löscht die Anwendung nicht automatisch, sondern nur der Verantwortliche. Für die Aufnahmen von Führerschein und Ausweis gilt der Punkt oben.
• Import: Die Datei wird nicht gespeichert, verworfene Spalten nirgends. Die vorherigen Werte ergänzter Einträge, die das Rückgängigmachen braucht, werden nach 24 Stunden gelöscht; danach lässt sich ein Import nicht mehr zurücknehmen.
• Kunden-Link: Nicht übernommene Angaben und Aufnahmen werden 30 Tage nach dem Ende der Buchung automatisch gelöscht.
• Pflichtaufnahmen von Übergabe und Rückgabe (Betriebsart Autovermietung) gehören zur Buchung und werden mit ihr aufbewahrt; sie belegen den Zustand des Fahrzeugs und sind Grundlage einer Nachberechnung.
• Fahrerauskünfte (Betriebsart Autovermietung) werden nicht automatisch gelöscht: sie belegen, wer wann welche Mieterdaten an welche Behörde herausgegeben hat. Sie werden wie das Zugriffsprotokoll des Vertragsarchivs behandelt und bei Vertragsende nach § 10 herausgegeben oder gelöscht.
• Server-Protokolle (Systemjournal) werden nach 7 Tagen automatisch gelöscht. Betriebsmeldungen der Anwendung (Fehlermeldungen, Hinweise ohne IP-Adressen) liegen auf dem verschlüsselten Datenträger und werden ab einer Gesamtgröße von 30 MB überschrieben; die in der Anwendung gespeicherte Fehlerliste wird nach 30 Tagen gelöscht.
• Das Zugriffsprotokoll des Vertragsarchivs wird nicht automatisch gelöscht; es wird zusammen mit den Vertragsdokumenten aufbewahrt und bei Vertragsende nach § 10 herausgegeben oder gelöscht. Beim Zurücksetzen oder Löschen des zweiten Faktors werden Geheimnis und Wiederherstellungscode der betroffenen Person unmittelbar entfernt.
• Das Aktivitätsprotokoll wird nach 12 Monaten automatisch gelöscht; eine frühere Änderung oder Löschung einzelner Einträge ist in der Anwendung nicht möglich. Die dorthin gespiegelten Einträge des Zugriffsprotokolls unterliegen im Aktivitätsprotokoll derselben Frist; das Zugriffsprotokoll des Vertragsarchivs selbst bleibt davon unberührt.
• Support-Chat: Ein Verlauf wird samt Fotos nach 24 Monaten automatisch gelöscht, auf Wunsch des Verantwortlichen auch früher. Wird ein Betrieb endgültig entfernt, fallen seine Verläufe mit weg.
• Kontaktanfragen per E-Mail: Von einer eingegangenen Nachricht an die Kontaktadresse des Auftragsverarbeiters liegt im internen Dashboard nur eine Kopie (Absender, Empfängeradresse, Betreff, Text, Anhänge, Bearbeitungsstand und interne Notiz). Sie wird nach 12 Monaten automatisch gelöscht. Die Nachricht selbst verbleibt im Postfach beim in Anlage 2 benannten E-Mail-Anbieter; dort gelten die gesetzlichen Aufbewahrungsfristen für geschäftliche Korrespondenz.
• Unterlagen aus dem Onboarding-Link (Abschnitt 2): Datei und Eintrag werden 90 Tage nach dem Eingang automatisch gelöscht, die Datei zugleich aus dem Spiegel im lokalen Sicherungsverzeichnis; der Auftragsverarbeiter kann einen Eingang auch früher löschen. In den Sicherungsständen der Datenbank und in der Fernsicherung (Abschnitt 5) bleiben Eintrag und Datei danach bis zum Ablauf ihrer Aufbewahrungsfrist enthalten. Wird der Betrieb endgültig entfernt, fallen seine Eingänge mit weg.
• Vertragsende: Herausgabe und Löschung nach § 10 dieses Vertrags.
• Datenträger: Der Datenträger mit den Betriebsdaten ist verschlüsselt (Abschnitt 1); bei Aussonderung wird er beim Hosting-Anbieter gelöscht und bleibt ohne den Schlüssel unlesbar. Der Schlüssel wird bei Aussonderung des Servers vernichtet.

7. Organisation und Überprüfung

• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO). Wer ein eigenes Konto im internen Dashboard erhält (Abschnitt 2), bestätigt die Verpflichtung vor der ersten Anmeldung mit seinem Namen; Zeitpunkt und Fassung werden festgehalten, eine geänderte Fassung ist bei der nächsten Anmeldung erneut zu bestätigen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Unterweisung zum Datenschutz jährlich.
• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Verfahren zur Meldung von Datenschutzvorfällen gemäß § 9 dieses Vertrags.
• Regelmäßige Überprüfung und Bewertung der Maßnahmen jährlich und anlassbezogen.
• Auftragskontrolle: schriftliche Verträge mit allen Unterauftragsverarbeitern, Auswahl nach Eignung und Prüfung der Nachweise.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Zweck: Hosting und Sicherung. Betrieb des virtuellen Servers im Rechenzentrum Nürnberg (Deutschland) und des Sicherungsspeichers (Storage Box) am Standort Falkenstein (Deutschland). Verarbeitung ausschließlich in Deutschland, keine Übermittlung in Drittländer. Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin – Zweck: Betrieb des E-Mail-Postfachs des Auftragsverarbeiters, also Versand von E-Mails aus dessen internem System (Angebote, Zugangsinformationen für neue Betriebe, Antworten auf Anfragen) und Empfang eingehender Nachrichten an die Kontaktadresse. Verarbeitung in Deutschland, keine Übermittlung in Drittländer. Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Cloudflare Germany GmbH, Rosental 7, 80331 München – DNS, verschlüsselter Tunnel und Reverse Proxy. Muttergesellschaft ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA; dabei kann es zu einer Übermittlung in die USA kommen. Garantien: Zertifizierung nach dem EU-US Data Privacy Framework sowie Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) nebst Auftragsverarbeitungsvertrag.
• Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA – Betrieb eines weiteren E-Mail-Postfachs (Outlook); der Schriftverkehr über boxenplan.com läuft seit dem 16.09.2026 bei der Heinlein Hosting GmbH. Drittlandtransfer in die USA; Garantien: Zertifizierung nach dem EU-US Data Privacy Framework sowie Standardvertragsklauseln.

Die Push-Dienste der Browserhersteller (Apple, Google, Mozilla) stellen die Zustellung der Benachrichtigungen sicher. Sie erhalten die Push-Adresse des Geräts und den verschlüsselten Nachrichteninhalt und handeln dabei nicht als Unterauftragsverarbeiter des Auftragsverarbeiters, sondern als eigenständige Anbieter des jeweiligen Endgeräte-Ökosystems.

Stand: 25. September 2026

Zuletzt aktualisiert am 25.09.2026