Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend Verantwortlicher) und Rebupro, Inhaber Salih Uysal, Hohenlindnerstraße 31E, 85622 Feldkirchen (nachfolgend Auftragsverarbeiter).

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit dem Hauptvertrag geschlossen. Er geht den AGB vor, soweit er Regelungen zur Verarbeitung personenbezogener Daten im Auftrag enthält. Stand: 14. November 2026.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen eine SaaS-Anwendung und eine Fahrer-App bereit: zur Verwaltung von Fahrern, Fahrzeugen, Arbeitszeiten und Löhnen, für Fahrtenbuch und Kassenbuch und zur Weiterleitung von Fahrtangeboten. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

Die Dauer entspricht der Laufzeit des Hauptvertrages. Der Vertrag endet mit dessen Beendigung; die Pflichten zur Löschung und zur Vertraulichkeit gelten darüber hinaus fort.

Abgrenzung: Nicht unter diesen Vertrag fallen die Vertrags-, Rechnungs- und Kontaktdaten des Verantwortlichen selbst und die Meldungen, die Fahrer dem Auftragsverarbeiter über die Fahrer-App oder seinen Telegram-Bot schicken, samt seiner Antworten darauf. Dafür ist der Auftragsverarbeiter selbst verantwortlich, es gilt die Datenschutzerklärung. Dieser Vertrag betrifft die Daten, die der Verantwortliche über seinen Betrieb in die Anwendung einbringt oder aus seinem Uber-Konto übernehmen lässt.

§ 2 Art der Daten und Kreis der Betroffenen

Verarbeitet werden im Auftrag insbesondere:

Fahrer: Vor- und Nachname, Mobilnummer, E-Mail, Uber-Kennung, der Stand in der Uber-Fahrerliste (Anmeldestatus bei Uber, seit wann nicht mehr gelistet), Beschäftigungs- und Lohndaten (Stundensätze, Zuschläge, Steuerklasse, Sozialversicherungs- und Abrechnungsmerkmale), Korrekturen bereits ausgezahlter Monate (Herkunftsmonat, Betrag, davon Zuschläge und Stunden, Erklärung des Fehlers, Entscheidung des Verantwortlichen mit Kommentar, handelnder Person und Zeitpunkt), der Stand der monatlichen Lohnabrechnung (welche Schritte der Verantwortliche bestätigt hat, ob der Fahrer in einem Monat nicht abgerechnet wird und wie viel vom kassierten Bargeld er abgegeben hat, jeweils mit handelnder Person und Zeitpunkt), Arbeits-, Pausen- und Abwesenheitszeiten, Fahrten, Umsätze und Barumsätze, die Zuordnung von Fahrten zu Fahrer und Fahrzeug, Kanalkennungen der Auftragsweiterleitung (Telegram-Chat-Kennung, Gerätekennung für Benachrichtigungen), der Anmeldecode der Fahrer-App, dieser nur als Prüfwert, und die Einladung zur Fahrer-App (Zeitpunkt der Einladung und einer Absage, bei einer Zusage das gewählte Handy, iPhone oder Android), bei Android in der Testphase die E-Mail-Adresse des Google-Kontos bis zur Anmeldung in der Fahrer-App, höchstens 30 Tage, und die Zeitpunkte der Schritte dorthin (gefragt, eingetragen, Knöpfe angetippt). Bei eingeschaltetem Leitstand außerdem der aktuelle Standort mit Fahrtrichtung und dem Zustand bei Uber (wartet auf einen Auftrag, auf dem Weg zum Fahrgast, mit Fahrgast), solange der Fahrer bei Uber online ist und der Verantwortliche die Live-Karte im Dashboard geöffnet hat. Zu jedem weitergeleiteten Fahrtangebot außerdem, ob es den Fahrer bei Uber erreicht hat: sein Zustand bei Uber zu Beginn und der Zeitpunkt, zu dem er auf dem Weg zum Fahrgast war, ermittelt in den drei Minuten nach dem Angebot, ohne Standort. Hat der Fahrer in den letzten zwei Stunden ein Fahrtangebot bekommen, außerdem sein Zustand bei Uber, um das Ende einer Fahrt zu erkennen: gespeichert werden nur der Zeitpunkt, der Zustand davor (mit Fahrgast, am Ziel) und die Entfernung zum Betriebssitz in Metern, kein Standort. Hat der Verantwortliche die Freischaltung „Online-Zeiten“ einschalten lassen, außerdem aus der Zeitleiste „Aktivität der Fahrer*innen“ im Fleet Hub von Uber Beginn und Ende jedes Abschnitts, in dem der Fahrer in der Uber-Fahrer-App online war, und je Tag, ob seine Online-Zeit geladen ist, Uber keine Auskunft gab oder das Laden fehlschlug. Orte werden nicht abgefragt, Fahrgastdaten nicht gespeichert. Kennung und Schritte der Aufträge (Zuweisung, Abholung, Ende) und der Grund fürs Offline-Gehen, die Uber mitliefert, werden nicht gespeichert. Die Online-Zeit erscheint für den Verantwortlichen im Stundenzettel neben den Fahrten und ist, wenn er es wählt, Grundlage der Arbeitszeit. Ob Online-Zeit Arbeitszeit ist, entscheidet der Verantwortliche. Wird die Freischaltung ausgeschaltet, werden keine neuen Online-Zeiten geladen. Die vorhandenen bleiben nach § 7 gespeichert. In der Fahrer-App außerdem der Verlauf der zugestellten Mitteilungen: Art, Zeitpunkt, ob der Fahrer sie gesehen hat, bei Aufträgen der Verweis auf den Auftrag, und das Wochenziel, das der Fahrer selbst wählt, sowie ein Richtziel, das der Verantwortliche ihm vorschlagen kann.
Fahrgäste: Vorname bzw. Anzeigename aus dem Fahrtangebot, Abhol- und Zieladresse mit Koordinaten, Zahlungsart, Fahrpreis. Diese Daten entstehen im Fahrtangebot des Vermittlungsdienstes und werden weitergeleitet, nicht erhoben.
Beschäftigte des Verantwortlichen: Name, E-Mail, Rolle, Anmeldezeitpunkte und bei Schritten der Lohnabrechnung, wer sie wann bestätigt oder einen Export heruntergeladen hat.

Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung: Lohn- und Arbeitszeitverwaltung, Fahrtenbuch, Kassenbuch, Auswertungen, die Weiterleitung von Fahrtangeboten an die Fahrer des Verantwortlichen samt der Prüfung, ob sie ankommen, und, wenn er ihn einschaltet, die Übersicht, wo seine Fahrer gerade unterwegs sind (Leitstand, Live-Karte im Dashboard), die Mitteilung „Fahrt beendet“ an den Fahrer mit Wegen zurück zum Betriebssitz, außerdem anonymisierte Auswertungen nach § 8.

Zur Abrechnung ermittelt der Anbieter je Kalendermonat, welche Fahrer des Kunden mindestens 500 € Umsatz hatten. Dafür speichert er je Monat die Kennung des Fahrers und seine Umsatzsumme. Diese Angaben dienen nur der Rechnung und der Anzeige im Kundenkonto. Sie werden 24 Monate aufbewahrt, danach bleibt nur die Anzahl.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen und seine berechtigten Nutzer gilt als Weisung. Weisungen darüber hinaus erfolgen in Textform an datenschutz@rebupro.de.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

Behebt der Auftragsverarbeiter einen Rechenfehler der Anwendung, rechnet er bereits abgerechnete Monate nicht neu. Er legt die Wirkung des Fehlers je Fahrer und Monat als Korrektur im Korrekturkonto an, mit einer Erklärung, und sperrt den betroffenen Monat. Ob eine Korrektur verrechnet wird oder der Verantwortliche darauf verzichtet, entscheidet allein der Verantwortliche. Fahrer sehen das Korrekturkonto nicht.

§ 4 Pflichten des Auftragsverarbeiters

Vertraulichkeit: Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter wird derzeit ausschließlich durch seinen Inhaber betrieben; werden Beschäftigte oder Dienstleister eingesetzt, werden sie vor Aufnahme der Tätigkeit schriftlich verpflichtet.
Sicherheit der Verarbeitung: Es gelten die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO).
Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 15–22), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten (Art. 33, 34) im Rahmen des technisch Möglichen.
Verletzungen: Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen ihm vorliegenden Angaben.
Nachweise: Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zur Einhaltung von Art. 28 erforderlichen Informationen bereit und ermöglicht Überprüfungen. Vor-Ort-Prüfungen sind mit einer Frist von vier Wochen und während der üblichen Geschäftszeiten möglich.
Verzeichnis: Der Auftragsverarbeiter führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2.

§ 5 Support-Zugriff auf die Daten des Verantwortlichen

Dieser Paragraph regelt den einzigen Fall, in dem der Auftragsverarbeiter die Daten des Verantwortlichen im Klartext einsieht, ohne dass der Verantwortliche dies einzeln anstößt.

Zweck: Störungsbeseitigung, Einrichtungshilfe und Beantwortung von Supportanfragen, insbesondere beim Verbinden der Auftragsweiterleitung, deren Zustellung ohne Einrichtung der einzelnen Fahrer nicht funktioniert.
Umfang: Lesender Zugriff auf die Anwendungsdaten des Verantwortlichen, einschließlich Lohn- und Arbeitszeitdaten. Schreibende Zugriffe sind technisch begrenzt: Lohnabrechnungen, Arbeitszeiten, Stundenzettel, Überstunden-, Übertrags- und Korrekturkonten sind über den Support-Zugriff nicht änderbar. Sie unterliegen der Aufbewahrungspflicht des Verantwortlichen und dürfen keinen zweiten Bearbeiter erhalten. Ebenfalls ausgeschlossen sind Abschluss, Kündigung und Änderung des Abonnements sowie der Zugriff auf das Zahlungsportal. Die übrigen Bereiche (insbesondere Auftragsweiterleitung, Fahrerverwaltung, Fahrzeuge und Einstellungen) sind änderbar, soweit dies zur Einrichtungshilfe erforderlich ist.
Freigabe durch den Verantwortlichen: Lohnabrechnungen, Arbeitszeiten, Stundenzettel, Überstundenkonten und das Abonnement kann der Auftragsverarbeiter nur ändern, wenn der Verantwortliche es in der Anwendung freigibt. Freigeben können Nutzer mit der Rolle Inhaber oder Administrator. Sie wählen die Dauer: eine Stunde, bis zum Ende des Tages oder sieben Tage. Die Freigabe lässt sich jederzeit beenden. Bittet der Auftragsverarbeiter um eine Freigabe, erscheint die Anfrage in der Anwendung; ist dort gerade niemand angemeldet, geht sie per E-Mail an Inhaber und Administratoren. Zahlungsdaten, das Zahlungsportal und der Abschluss eines Abonnements mit Zahlungsmittel bleiben auch mit Freigabe ausgeschlossen.
Zahlungsrückstand: Der Support-Zugriff bleibt auch dann bestehen, wenn der Zugang des Verantwortlichen wegen ausstehender Zahlung auf Lesen beschränkt ist. Er dient auch dann ausschließlich den in diesem Paragraphen genannten Zwecken; die Beschränkung des Verantwortlichen selbst bleibt davon unberührt.
Berechtigte: Ausschließlich der Inhaber des Auftragsverarbeiters. Der Zugriff setzt ein besonders gekennzeichnetes Konto voraus, das keinem Kundenbetrieb angehört, und ist nicht delegierbar. Jeder Zugriff läuft in einer Support-Sitzung für genau einen Verantwortlichen und endet spätestens nach zwölf Stunden.
Protokollierung: Jede Support-Sitzung wird mit handelnder Person, Beginn und Ende protokolliert, jeder schreibende Zugriff und jeder Datenabzug zusätzlich mit Zeitpunkt und Vorgang, ebenso jede Anfrage und Erteilung einer Freigabe. Das Protokoll wird zwölf Monate aufbewahrt. Der Verantwortliche sieht es in der Anwendung unter Einstellungen, „Support-Zugriffe“, und erhält es auf Anfrage in Textform.
Datenabzüge: Exporte (etwa Gehaltslisten oder Fahrtenbücher) werden im Rahmen des Support-Zugriffs nur auf ausdrückliche Bitte des Verantwortlichen erzeugt. Jeder solche Abzug wird wie ein schreibender Zugriff protokolliert und erscheint im Protokoll nach Absatz zuvor. Über die Erzeugung hinaus werden Daten des Verantwortlichen nicht dauerhaft außerhalb der Anwendung gespeichert.
Widerspruch: Der Verantwortliche kann dem Support-Zugriff jederzeit in Textform widersprechen. In diesem Fall entfällt die Supportleistung, soweit sie ohne Einsicht nicht erbracht werden kann; der Hauptvertrag bleibt im Übrigen unberührt.

§ 6 Wartungszugang im Uber-Konto des Verantwortlichen

Die Verbindung zum Uber-Portal beruht auf einer Anmeldung, die regelmäßig abläuft. Damit der Verantwortliche sich nicht wiederkehrend neu anmelden muss, kann er dem Auftragsverarbeiter einen eigenen Benutzer in seiner Uber-Organisation einrichten lassen.

Freiwilligkeit: Der Wartungszugang wird ausschließlich nach ausdrücklicher Freigabe des Verantwortlichen in der Anwendung eingerichtet. Ohne Freigabe wird kein Benutzer angelegt; die Leistung bleibt im Übrigen unverändert nutzbar.
Umfang: Der Benutzer erhält ausschließlich die Uber-Rollen Fleet Operations Manager und Fleet Dispatcher. Diese Rollen umfassen keinen Zugriff auf Bankverbindungen oder Auszahlungen, keine Berechtigung zum Anlegen weiterer Benutzer und keine Berechtigung zur Änderung von Verträgen oder Geschäftsbedingungen. Die Rolle Fleet Admin wird nicht angefordert.
Zweck: Ausschließlich die Aufrechterhaltung der Datenverbindung: Erneuerung der Anmeldung und Abruf derselben Berichte, die der Verantwortliche der Anwendung ohnehin zur Verarbeitung überlässt. Ein darüber hinausgehender Zweck ist ausgeschlossen.
Zugangsdaten: Der Benutzer lautet auf eine E-Mail-Adresse des Auftragsverarbeiters. Die Anmeldung erfolgt über einen Bestätigungscode an diese Adresse; ein Passwort des Verantwortlichen wird zu keinem Zeitpunkt erhoben, gespeichert oder benutzt. Die Codes werden spätestens nach einer Stunde gelöscht.
Eigener Zugang des Verantwortlichen: Sein ursprünglicher Zugang bleibt unberührt und wird als Rückfallebene weitergeführt. Fällt der Wartungszugang weg, schaltet die Anwendung selbsttätig auf ihn zurück.
Widerruf: Der Verantwortliche kann die Freigabe jederzeit in den Einstellungen zurücknehmen. Der Auftragsverarbeiter stellt die Nutzung daraufhin sofort ein und entfernt den Benutzer aus der Uber-Organisation. Unabhängig davon kann der Verantwortliche den Benutzer jederzeit selbst in seiner Uber-Administration entfernen.
Beendigung: Mit Ende des Vertragsverhältnisses wird der Benutzer aus der Uber-Organisation des Verantwortlichen entfernt.
Protokollierung: Erteilung und Widerruf der Freigabe werden mit Zeitpunkt und handelnder Person protokolliert.

§ 7 Speicherdauer während der Laufzeit

Die Daten werden grundsätzlich für die Laufzeit des Hauptvertrages gespeichert. Davon abweichend gilt:

Fahrtangebote: Nach zwölf Monaten werden Vorname des Fahrgasts und die Adressen gelöscht und die Koordinaten auf etwa einen Kilometer gerundet. Zeitpunkt, Preis, Fahrer, Zustellstatus und ob der Auftrag den Fahrer erreicht hat bleiben bis zum Ende des Hauptvertrages. Ein Zwischenspeicher für die Umrechnung von Adressen in Koordinaten enthält nur Adressen ohne Namen und ohne Betrieb. Einträge, die zwölf Monate nicht genutzt wurden, werden gelöscht.
Erzeugte Exporte: Stundenzettel-PDFs werden nach 30 Tagen gelöscht, Fahrtenbuch-Exporte nach sieben Tagen. Der Verantwortliche lädt sie vorher herunter.
Bestätigungscodes für den Wartungszugang: spätestens nach einer Stunde.
Protokoll der Support-Zugriffe und Nutzungsprotokolle: nach zwölf Monaten.
Standorte im Leitstand: Je Fahrer nur der letzte Stand, bei jeder Abfrage überschrieben, ohne Verlauf. Gelöscht, sobald der Fahrer bei Uber offline geht oder niemand die Live-Karte mehr geöffnet hat, spätestens nach zwei Minuten.
Verlauf der Mitteilungen in der Fahrer-App: nach 30 Tagen gelöscht.
Erkannte Fahrtenden (Mitteilung „Fahrt beendet“): nach 30 Tagen gelöscht. Der Zustand bei Uber wird nur im Arbeitsspeicher gehalten und nicht gespeichert.
E-Mail-Adresse des Google-Kontos (Android-Testphase): gelöscht, sobald der Fahrer in der Fahrer-App angemeldet ist, spätestens nach 30 Tagen.

§ 8 Anonymisierte Auswertungen

(1) Der Verantwortliche weist den Auftragsverarbeiter an, Fahrtangebote zu anonymisieren und mit den anonymisierten Angaben anderer Kunden zusammenzuführen. Damit stellt der Auftragsverarbeiter allen Kunden Auswertungen der Auftragslage bereit, etwa eine Karte der Nachfrage nach Ort und Uhrzeit.

(2) Aus Abholort und Zeitpunkt eines Angebots entstehen dabei eine Rasterzelle von etwa 500 Metern, ein Wochentag und eine Stunde. Gezählt wird, wie viele Angebote auf eine Zelle fallen. Zellen mit weniger als drei Angeboten werden verworfen. Namen, Adressen, Fahrer und der Betrieb werden nicht übernommen.

(2a) Für die Fahrer-App entstehen auf dieselbe Weise außerdem: aus den Fahrten aller Kunden der letzten acht Wochen je Stadt, Wochentag und Stunde der Umsatz je Online-Stunde (Nachfrage-Uhr); aus den Fahrtangeboten der letzten Stunde je Stadtbezirk oder Postleitzahl die Zahl der Angebote und ihr Durchschnittspreis, nur für Gebiete mit Angeboten von mindestens drei Kunden; aus den Fahrtangeboten mit Abholung oder Ziel am Flughafen die Zahl je Stunde. Namen, Adressen, Fahrer und der Betrieb werden auch hier nicht übernommen.

(3) Die so entstandenen Daten sind nicht personenbezogen und keinem Verantwortlichen mehr zugeordnet. Sie dürfen auch nach Ende des Hauptvertrages genutzt werden.

(4) Der Verantwortliche kann dieser Weisung jederzeit in Textform widersprechen. Seine Angebote fließen dann ab dem nächsten Aufbau der Auswertung nicht mehr ein.

§ 9 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vor Aufnahme der Verarbeitung in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kann die Leistung dann nicht erbracht werden, steht beiden Seiten ein Sonderkündigungsrecht zu.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 10 Übermittlung in Drittländer

Die Anwendungsdaten werden in der Europäischen Union gespeichert. Übermittlungen in Drittländer finden nur in den in Anlage 2 genannten Fällen statt. Die Grundlage ist dort je Dienst angegeben: ein Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder Standardvertragsklauseln.

Telegram: Wählt der Verantwortliche Telegram als Kanal der Auftragsweiterleitung, sendet der Auftragsverarbeiter die Inhalte des Fahrtangebots an die Telegram-Konten der Fahrer. Je nach der gewählten Nachrichten-Konfiguration können das Fahrgastname, Abholadresse und Ziel sein. Telegram (Telegram Messenger Inc., Britische Jungferninseln) ist dabei kein Unterauftragsverarbeiter. Telegram bietet weder einen Auftragsverarbeitungsvertrag noch Standardvertragsklauseln an, und für den Sitz von Telegram gibt es keinen Angemessenheitsbeschluss. Der Verantwortliche entscheidet über diesen Kanal selbst und trägt dafür die Verantwortung. Er kann stattdessen die Fahrer-App oder die Web-App wählen, deren Benachrichtigungen verschlüsselt sind, und er kann die übertragenen Felder im Bereich „Nachricht" einschränken.

§ 11 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Erfüllung der Informationspflichten gegenüber seinen Fahrern verantwortlich, auch für die Fahrer-App und den gewählten Kanal der Auftragsweiterleitung. Er benennt und pflegt die berechtigten Nutzer seines Kontos und informiert den Auftragsverarbeiter unverzüglich, wenn ein Zugang zu sperren ist.

Personenbezogene Daten seiner Fahrer schickt der Verantwortliche dem Auftragsverarbeiter nicht per E-Mail, sondern über den Support in der Anwendung. E-Mails landen in einem Postfach ohne Auftragsverarbeitungsvertrag (Anlage 2).

§ 12 Löschung und Rückgabe

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten innerhalb von 90 Tagen, sofern der Verantwortliche nicht vorher die Herausgabe verlangt. Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Anwendung selbst ausleiten.

Unberührt bleiben gesetzliche Aufbewahrungspflichten. Solche Daten werden gesperrt und ausschließlich zur Erfüllung dieser Pflichten verarbeitet.

§ 13 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Aufgeführt ist ausschließlich, was tatsächlich umgesetzt ist. Zertifizierungen nach ISO 27001 oder vergleichbare Prüfsiegel liegen nicht vor.

Vertraulichkeit

Mandantentrennung auf Datenbankebene: Jede Tabelle ist mit Zeilen-Sicherheitsregeln (Row Level Security) auf den jeweiligen Mandanten beschränkt; zusätzlich filtert jede Abfrage der Anwendung auf die Mandantenkennung.
Rollen und Rechte: Vier Rollen (Inhaber, Verwaltung, Buchhaltung, Fahrer) mit abgestuften Berechtigungen; Prüfung serverseitig bei jedem Zugriff, nicht in der Oberfläche.
Gesonderte Verschlüsselung sensibler Zugangsdaten: Die Vermittlungsdienst-Sitzungen des Verantwortlichen werden zusätzlich zur Datenbankverschlüsselung mit einem separaten Schlüssel verschlüsselt abgelegt.
Verschlüsselte Benachrichtigungen: Auftragsbenachrichtigungen an die Fahrer-App sind Ende-zu-Ende-verschlüsselt, Benachrichtigungen der Web-App nach dem Web-Push-Standard verschlüsselt. Die Zustelldienste sehen nur einen neutralen Hinweis wie „Neuer Auftrag“ und verschlüsselte Inhalte.
Anmeldecodes der Fahrer-App: Gespeichert wird nur ein Prüfwert, nicht der Code. Jeder Code gilt einmal und läuft ab.
Support-Zugriff: nur durch den Inhaber, nur über ein gesondert gekennzeichnetes Konto ohne eigenen Kundenbetrieb, je Sitzung für genau einen Verantwortlichen, schreibend nur in den Bereichen nach § 5, in den freigabepflichtigen Bereichen nur mit Freigabe, und vollständig protokolliert.

Integrität

Transportverschlüsselung (TLS) auf allen Verbindungen, einschließlich der Hintergrunddienste.
Verschlüsselung der Daten im Ruhezustand durch die Datenbankplattform.
Änderungen an Arbeitszeiten und Lohnläufen werden nicht überschrieben, sondern als nachvollziehbare Korrekturen mit Ursprungswert geführt.
Protokoll aller administrativen Vorgänge mit handelnder Person und Zeitpunkt.

Verfügbarkeit und Belastbarkeit

Automatische Sicherungen und zeitpunktgenaue Wiederherstellung durch die Datenbankplattform.
Überwachung der Hintergrunddienste mit automatischer Benachrichtigung bei Ausfall.

Verfahren zur Überprüfung

Löschvorgang für Mandanten mit vorheriger Anzeige des Umfangs und Bestätigungsschritt.
Tägliche, automatische Durchsetzung der Fristen nach § 7.
Protokoll der Support-Zugriffe, für den Verantwortlichen in der Anwendung einsehbar.
Regelmäßige Aktualisierung der eingesetzten Softwarebestandteile.

Anlage 2: Unterauftragsverarbeiter

Stand: 16. Oktober 2026.

Vercel Inc., USA: Betrieb und Auslieferung der Anwendung, Ausführung im Rechenzentrum Frankfurt. Betriebsdaten wie Protokolle auch in den USA. Grundlage: EU-US Data Privacy Framework und Standardvertragsklauseln.
Supabase Pte. Ltd., Singapur: Datenbank, Anmeldung, Dateispeicher. Speicherung im Rechenzentrum Frankfurt. Zugriffe von außerhalb der EU über Standardvertragsklauseln.
Hostinger International Ltd., Zypern: Server in Deutschland für die Hintergrunddienste (Abgleich mit dem Vermittlungsdienst, Auftragsweiterleitung, Anmeldedienst, Mail-Empfang).
Mapbox Inc., USA: Berechnung von Strecke, Fahrzeit und Verkehrslage aus Abhol- und Zieladresse. Übermittelt werden ausschließlich Adressangaben, keine Namen. Für die Live-Karte im Dashboard (Leitstand) außerdem die Kartenbilder, die der Browser des Verantwortlichen direkt bei Mapbox lädt; Standorte und Namen von Fahrern gehen dabei nicht an Mapbox. Grundlage: EU-US Data Privacy Framework und Standardvertragsklauseln.
Plus Five Five, Inc. (Resend), USA: Versand von E-Mails, auch solcher mit Auftragsdaten, etwa Einladungen an Fahrer und Exporte an den Steuerberater des Verantwortlichen. Grundlage: Standardvertragsklauseln und EU-US Data Privacy Framework.
Google LLC, USA: Zustellung von Benachrichtigungen an Android-Geräte (Firebase Cloud Messaging). Übermittelt werden nur die Gerätekennung und verschlüsselte Inhalte. Grundlage: EU-US Data Privacy Framework.

Weitere Empfänger ohne Auftragsverarbeitungsvertrag, weil der Anbieter keinen anbietet:

Apple Inc., USA: Zustellung von Benachrichtigungen an iPhones (Apple Push Notification Service). Apple erhält nur die Gerätekennung, einen neutralen Hinweis wie „Neuer Auftrag“ und verschlüsselte Inhalte, die es nicht lesen kann.
Telegram: nur wenn der Verantwortliche diesen Kanal wählt, siehe § 10.
Google (E-Mail-Postfach des Inhabers): erhält E-Mails, die an Adressen des Auftragsverarbeiters gehen. Siehe § 11.
ImprovMX Inc., USA: nimmt E-Mails an Adressen des Auftragsverarbeiters an, wenn dessen eigener Mailserver nicht erreichbar ist. Siehe § 11.

Nicht in dieser Liste stehen Dienstleister, die keine Auftragsdaten verarbeiten, sondern ausschließlich das Vertragsverhältnis zum Verantwortlichen selbst betreffen, etwa die Zahlungsabwicklung. Diese sind in der Datenschutzerklärung aufgeführt. Ebenso wenig gehören Dienste hierher, die nur öffentliche Inhalte erhalten: Anthropic PBC (USA) liest mit Claude öffentliche Spielpläne von Veranstaltungsorten für die Fahrer-App und erhält dabei keine Auftragsdaten.