Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend Verantwortlicher) und Rebupro, Inhaber Salih Uysal, Hohenlindnerstraße 31E, 85622 Feldkirchen (nachfolgend Auftragsverarbeiter).

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit dem Hauptvertrag geschlossen. Er geht den AGB vor, soweit er Regelungen zur Verarbeitung personenbezogener Daten im Auftrag enthält. Stand: 3. September 2026.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen eine SaaS-Anwendung zur Verwaltung von Fahrern, Fahrzeugen, Arbeitszeiten, Löhnen und zur Weiterleitung von Fahrtangeboten bereit. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

Die Dauer entspricht der Laufzeit des Hauptvertrages. Der Vertrag endet mit dessen Beendigung; die Pflichten zur Löschung und zur Vertraulichkeit gelten darüber hinaus fort.

Abgrenzung: Für die Vertrags-, Rechnungs- und Kontaktdaten des Verantwortlichen selbst (z. B. Firmenname, Ansprechpartner, Zahlungsdaten) ist der Auftragsverarbeiter eigener Verantwortlicher. Dafür gilt nicht dieser Vertrag, sondern die Datenschutzerklärung. Der vorliegende Vertrag betrifft die Daten, die der Verantwortliche über seinen Betrieb in die Anwendung einbringt oder aus seinem Uber-Konto übernehmen lässt.

§ 2 Art der Daten und Kreis der Betroffenen

Verarbeitet werden im Auftrag insbesondere:

• Fahrer — Vor- und Nachname, Mobilnummer, E-Mail, Uber-Kennung, Beschäftigungs- und Lohndaten (Stundensätze, Zuschläge, Steuerklasse, Sozialversicherungs- und Abrechnungsmerkmale), Arbeits-, Pausen- und Abwesenheitszeiten, Fahrten und Umsätze, Kanalkennungen der Auftragsweiterleitung (Telegram-Chat-Kennung, Push-Registrierung).
• Fahrgäste — Vorname bzw. Anzeigename aus dem Fahrtangebot, Abhol- und Zieladresse, Zahlungsart, Fahrpreis. Diese Daten entstehen im Fahrtangebot des Vermittlungsdienstes und werden weitergeleitet, nicht erhoben.
• Beschäftigte des Verantwortlichen — Name, E-Mail, Rolle, Anmeldezeitpunkte.

Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung: Lohn- und Arbeitszeitverwaltung, Fahrtenbuch, Auswertungen und die Weiterleitung von Fahrtangeboten an die Fahrer des Verantwortlichen.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen und seine berechtigten Nutzer gilt als Weisung. Weisungen darüber hinaus erfolgen in Textform an salihuysal.dev@gmail.com.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

• Vertraulichkeit: Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter wird derzeit ausschließlich durch seinen Inhaber betrieben; werden Beschäftigte oder Dienstleister eingesetzt, werden sie vor Aufnahme der Tätigkeit schriftlich verpflichtet.
• Sicherheit der Verarbeitung: Es gelten die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO).
• Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 15–22), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten (Art. 33, 34) im Rahmen des technisch Möglichen.
• Verletzungen: Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen ihm vorliegenden Angaben.
• Nachweise: Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zur Einhaltung von Art. 28 erforderlichen Informationen bereit und ermöglicht Überprüfungen. Vor-Ort-Prüfungen sind mit einer Frist von vier Wochen und während der üblichen Geschäftszeiten möglich.
• Verzeichnis: Der Auftragsverarbeiter führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2.

§ 5 Support-Zugriff auf die Daten des Verantwortlichen

Dieser Paragraph regelt den einzigen Fall, in dem der Auftragsverarbeiter die Daten des Verantwortlichen im Klartext einsieht, ohne dass der Verantwortliche dies einzeln anstößt.

• Zweck: Störungsbeseitigung, Einrichtungshilfe und Beantwortung von Supportanfragen — insbesondere beim Verbinden der Auftragsweiterleitung, deren Zustellung ohne Einrichtung der einzelnen Fahrer nicht funktioniert.
• Umfang: Lesender Zugriff auf die Anwendungsdaten des Verantwortlichen, einschließlich Lohn- und Arbeitszeitdaten. Schreibende Zugriffe sind technisch begrenzt: Lohnabrechnungen, Arbeitszeiten, Stundenzettel und Überstundenkonten sind über den Support-Zugriff nicht änderbar — sie unterliegen der Aufbewahrungspflicht des Verantwortlichen und dürfen keinen zweiten Bearbeiter erhalten. Ebenfalls ausgeschlossen sind Abschluss, Kündigung und Änderung des Abonnements sowie der Zugriff auf das Zahlungsportal. Die übrigen Bereiche — insbesondere Auftragsweiterleitung, Fahrerverwaltung, Fahrzeuge und Einstellungen — sind änderbar, soweit dies zur Einrichtungshilfe erforderlich ist.
• Freischaltung abrechnungsrelevanter Fahrer: Der Auftragsverarbeiter kann im Rahmen der Einrichtungshilfe einzelne Fahrer für die Nutzung freischalten. Erhöht eine solche Freischaltung das Entgelt des Verantwortlichen, wird ihm dies unaufgefordert per E-Mail mitgeteilt — mit Fahrer, Betrag, Zeitpunkt und handelnder Person. Der Verantwortliche kann die Freischaltung jederzeit zum Folgemonat zurücknehmen.
• Zahlungsrückstand: Der Support-Zugriff bleibt auch dann bestehen, wenn der Zugang des Verantwortlichen wegen ausstehender Zahlung auf Lesen beschränkt ist. Er dient auch dann ausschließlich den in diesem Paragraphen genannten Zwecken; die Beschränkung des Verantwortlichen selbst bleibt davon unberührt.
• Berechtigte: Ausschließlich der Inhaber des Auftragsverarbeiters. Der Zugriff setzt ein besonders gekennzeichnetes Konto voraus und ist nicht delegierbar.
• Protokollierung: Jeder schreibende Zugriff und jeder Datenabzug wird mit handelnder Person, betroffenem Verantwortlichen, Zeitpunkt und Vorgang protokolliert. Das Protokoll wird zwölf Monate aufbewahrt und dem Verantwortlichen auf Anfrage in Textform mitgeteilt.
• Datenabzüge: Exporte (etwa Gehaltslisten oder Fahrtenbücher) werden im Rahmen des Support-Zugriffs nur auf ausdrückliche Bitte des Verantwortlichen erzeugt. Jeder solche Abzug wird wie ein schreibender Zugriff protokolliert und erscheint im Protokoll nach Absatz zuvor. Über die Erzeugung hinaus werden Daten des Verantwortlichen nicht dauerhaft außerhalb der Anwendung gespeichert.
• Widerspruch: Der Verantwortliche kann dem Support-Zugriff jederzeit in Textform widersprechen. In diesem Fall entfällt die Supportleistung, soweit sie ohne Einsicht nicht erbracht werden kann; der Hauptvertrag bleibt im Übrigen unberührt.

§ 6 Wartungszugang im Uber-Konto des Verantwortlichen

Die Verbindung zum Uber-Portal beruht auf einer Anmeldung, die regelmäßig abläuft. Damit der Verantwortliche sich nicht wiederkehrend neu anmelden muss, kann er dem Auftragsverarbeiter einen eigenen Benutzer in seiner Uber-Organisation einrichten lassen.

• Freiwilligkeit: Der Wartungszugang wird ausschließlich nach ausdrücklicher Freigabe des Verantwortlichen in der Anwendung eingerichtet. Ohne Freigabe wird kein Benutzer angelegt; die Leistung bleibt im Übrigen unverändert nutzbar.
• Umfang: Der Benutzer erhält ausschließlich die Uber-Rollen Fleet Operations Manager und Fleet Dispatcher. Diese Rollen umfassen keinen Zugriff auf Bankverbindungen oder Auszahlungen, keine Berechtigung zum Anlegen weiterer Benutzer und keine Berechtigung zur Änderung von Verträgen oder Geschäftsbedingungen. Die Rolle Fleet Admin wird nicht angefordert.
• Zweck: Ausschließlich die Aufrechterhaltung der Datenverbindung — Erneuerung der Anmeldung und Abruf derselben Berichte, die der Verantwortliche der Anwendung ohnehin zur Verarbeitung überlässt. Ein darüber hinausgehender Zweck ist ausgeschlossen.
• Zugangsdaten: Der Benutzer lautet auf eine E-Mail-Adresse des Auftragsverarbeiters. Die Anmeldung erfolgt passwortlos über einen Bestätigungscode; ein Passwort des Verantwortlichen wird zu keinem Zeitpunkt erhoben, gespeichert oder benutzt.
• Eigener Zugang des Verantwortlichen: Sein ursprünglicher Zugang bleibt unberührt und wird als Rückfallebene weitergeführt. Fällt der Wartungszugang weg, schaltet die Anwendung selbsttätig auf ihn zurück.
• Widerruf: Der Verantwortliche kann die Freigabe jederzeit in den Einstellungen zurücknehmen. Der Auftragsverarbeiter stellt die Nutzung daraufhin sofort ein und entfernt den Benutzer aus der Uber-Organisation. Unabhängig davon kann der Verantwortliche den Benutzer jederzeit selbst in seiner Uber-Administration entfernen.
• Beendigung: Mit Ende des Vertragsverhältnisses wird der Benutzer aus der Uber-Organisation des Verantwortlichen entfernt.
• Protokollierung: Erteilung und Widerruf der Freigabe werden mit Zeitpunkt und handelnder Person protokolliert.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vor Aufnahme der Verarbeitung in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kann die Leistung dann nicht erbracht werden, steht beiden Seiten ein Sonderkündigungsrecht zu.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 8 Übermittlung in Drittländer

Die Speicherung der Anwendungsdaten erfolgt in der Europäischen Union. Übermittlungen in Drittländer finden nur in den in Anlage 2 gekennzeichneten Fällen und nur auf Grundlage geeigneter Garantien statt, insbesondere der EU-Standardvertragsklauseln.

Ausdrücklicher Hinweis: Aktiviert der Verantwortliche die Auftragsweiterleitung über Telegram, werden die Inhalte des Fahrtangebots — je nach der von ihm gewählten Nachrichten-Konfiguration bis hin zu Fahrgastname, Abholadresse und Ziel — an den Betreiber dieses Dienstes außerhalb der EU übermittelt. Der Verantwortliche entscheidet darüber selbst: er kann stattdessen den Kanal „Web-App" wählen, bei dem die Zustellung ohne Telegram erfolgt, und er kann die übertragenen Felder im Bereich „Nachricht" einschränken.

§ 9 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Erfüllung der Informationspflichten gegenüber seinen Fahrern verantwortlich. Er benennt und pflegt die berechtigten Nutzer seines Kontos und informiert den Auftragsverarbeiter unverzüglich, wenn ein Zugang zu sperren ist.

§ 10 Löschung und Rückgabe

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten innerhalb von 90 Tagen, sofern der Verantwortliche nicht vorher die Herausgabe verlangt. Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Anwendung selbst ausleiten.

Unberührt bleiben gesetzliche Aufbewahrungspflichten. Solche Daten werden gesperrt und ausschließlich zur Erfüllung dieser Pflichten verarbeitet.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Aufgeführt ist ausschließlich, was tatsächlich umgesetzt ist. Zertifizierungen nach ISO 27001 oder vergleichbare Prüfsiegel liegen nicht vor.

Vertraulichkeit

• Mandantentrennung auf Datenbankebene: Jede Tabelle ist mit Zeilen-Sicherheitsregeln (Row Level Security) auf den jeweiligen Mandanten beschränkt; zusätzlich filtert jede Abfrage der Anwendung auf die Mandantenkennung.
• Rollen und Rechte: Vier Rollen (Inhaber, Verwaltung, Buchhaltung, Fahrer) mit abgestuften Berechtigungen; Prüfung serverseitig bei jedem Zugriff, nicht in der Oberfläche.
• Gesonderte Verschlüsselung sensibler Zugangsdaten: Die Vermittlungsdienst-Sitzungen des Verantwortlichen werden zusätzlich zur Datenbankverschlüsselung mit einem separaten Schlüssel verschlüsselt abgelegt.
• Support-Zugriff: nur durch den Inhaber, nur über eine gesondert gekennzeichnete Adresse, schreibend auf die Auftragsweiterleitung beschränkt und vollständig protokolliert (§ 5).

Integrität

• Transportverschlüsselung (TLS) auf allen Verbindungen, einschließlich der Hintergrunddienste.
• Verschlüsselung der Daten im Ruhezustand durch die Datenbankplattform.
• Änderungen an Arbeitszeiten und Lohnläufen werden nicht überschrieben, sondern als nachvollziehbare Korrekturen mit Ursprungswert geführt.
• Protokoll aller administrativen Vorgänge mit handelnder Person und Zeitpunkt.

Verfügbarkeit und Belastbarkeit

• Automatische Sicherungen und zeitpunktgenaue Wiederherstellung durch die Datenbankplattform.
• Überwachung der Hintergrunddienste mit automatischer Benachrichtigung bei Ausfall.

Verfahren zur Überprüfung

• Löschvorgang für Mandanten mit vorheriger Anzeige des Umfangs und Bestätigungsschritt.
• Protokoll der Support-Zugriffe, auf Anfrage einsehbar.
• Regelmäßige Aktualisierung der eingesetzten Softwarebestandteile.

Anlage 2 — Unterauftragsverarbeiter

Stand: 3. September 2026.

• Vercel Inc., USA — Betrieb und Auslieferung der Anwendung. Verarbeitung im Rechenzentrum Frankfurt (EU). Drittlandbezug über Standardvertragsklauseln.
• Supabase Inc., USA — Datenbank, Anmeldung, Dateispeicher. Hosting in der EU. Drittlandbezug über Standardvertragsklauseln.
• Hostinger International Ltd., Litauen — virtueller Server für die Hintergrunddienste (Abgleich mit dem Vermittlungsdienst, Auftragsweiterleitung, Anmeldedienst). Rechenzentrum in der EU.
• Telegram — Zustellkanal für Fahrtangebote, nur wenn der Verantwortliche diesen Kanal wählt. Übermittelt werden die Inhalte des Fahrtangebots gemäß seiner Nachrichten-Konfiguration. Drittland (siehe § 8).
• Mapbox Inc., USA — Berechnung von Strecke, Fahrzeit und Verkehrslage aus Abhol- und Zieladresse. Übermittelt werden ausschließlich Adressangaben, keine Namen. Drittland.
• OpenStreetMap Foundation, Vereinigtes Königreich — Umwandlung von Adressen in Koordinaten, wenn keine Mapbox-Abfrage erfolgt. Übermittelt werden ausschließlich Adressangaben. Drittland (Angemessenheitsbeschluss).

Nicht in dieser Liste stehen Dienstleister, die keine Auftragsdaten verarbeiten, sondern ausschließlich das Vertragsverhältnis zum Verantwortlichen selbst betreffen — etwa die Zahlungsabwicklung und der Versand von Systemnachrichten an den Verantwortlichen. Diese sind in der Datenschutzerklärung aufgeführt.