Vertrag über Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und der IT-Linx GmbH, Tittardsfeld 104, 52072 Aachen (Auftragsverarbeiter) für den Dienst Ortungsheld. Dieser Vertrag ist Bestandteil jedes Ortungsheld-Vertrags; eine gesonderte Unterschrift ist nicht nötig. Drucken / als PDF speichern

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter betreibt für den Verantwortlichen die Fahrzeugortung Ortungsheld (Tracker, Datenübertragung, Server, Kundenportal, Karte, App) und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Gegenstand, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen sind in Anlage 1 beschrieben.

1.2 Die Dauer richtet sich nach dem Ortungsheld-Vertrag. Nach dessen Ende gilt Ziffer 9.

2. Weisungen

2.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind der Ortungsheld-Vertrag, dieser Vertrag und die Einstellungen, die der Verantwortliche im Kundenportal, in der Karte oder in der App vornimmt (z. B. Fahrzeuge, Benutzer, Gruppen, Geozäune, Meldungen).

2.2 Weitere Weisungen erteilt der Verantwortliche in Textform an info@it-linx.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

2.3 Ist der Auftragsverarbeiter durch Unionsrecht oder deutsches Recht zu einer Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

3. Ort der Verarbeitung

3.1 Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt, derzeit in Deutschland und Finnland, bei einem deutschen Rechenzentrumsbetreiber (Anlage 3). Ziel ist der Betrieb vollständig an deutschen Standorten; ein Wechsel innerhalb der EU ist ohne Zustimmung des Verantwortlichen zulässig.

3.2 Eine Verarbeitung in einem Drittland findet nur statt, soweit sie in Anlage 3 genannt ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Der Zugriff auf Daten des Verantwortlichen ist auf die Personen beschränkt, die ihn für Betrieb, Support und Abrechnung benötigen.

5. Sicherheit der Verarbeitung

5.1 Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind, und passt sie dem Stand der Technik an. Der Schutz darf dabei nicht sinken.

5.2 Der Verantwortliche ist dafür verantwortlich, dass seine Benutzer Zugangsdaten geheim halten und nur so viele Rechte erhalten, wie sie brauchen (Gruppen und Rollen im Kundenportal).

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter schließt mit ihnen Verträge, die ihnen im Wesentlichen dieselben Pflichten auferlegen wie dieser Vertrag.

6.2 Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vorher in Textform (E-Mail an den Kunden-Admin). Widerspricht der Verantwortliche innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund, kann jede Partei den Ortungsheld-Vertrag zum Zeitpunkt des Wechsels kündigen. Ein Wechsel des Rechenzentrumsstandorts innerhalb der EU beim selben Betreiber gilt nicht als Wechsel des Unterauftragsverarbeiters.

6.3 Die aktuelle Liste mit Namen und Anschriften der Unterauftragsverarbeiter stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage zur Verfügung.

7. Unterstützung des Verantwortlichen

7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Anfragen, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

7.2 Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde), soweit es die ihm vorliegenden Informationen betrifft.

7.3 Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

7.4 Unterstützungsleistungen, die über den üblichen Betrieb hinausgehen, darf der Auftragsverarbeiter nach Aufwand zu den jeweils gültigen Stundensätzen berechnen.

8. Nachweise und Kontrollen

8.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die Beschreibung der Maßnahmen nach Anlage 2 und Nachweise der Unterauftragsverarbeiter (z. B. Zertifizierungen der Rechenzentren).

8.2 Der Verantwortliche darf nach Ankündigung mit angemessener Frist, höchstens einmal im Jahr und zu üblichen Geschäftszeiten, die Einhaltung dieses Vertrags überprüfen oder durch einen zur Verschwiegenheit verpflichteten Dritten überprüfen lassen. Zutritt zu den Rechenzentren ist nicht geschuldet; dafür gelten die Nachweise des Betreibers.

9. Löschung und Rückgabe

9.1 Positionsdaten werden laufend nach 90 Tagen gelöscht. Fahrten und Meldungen, die daraus berechnet wurden, unterliegen derselben Frist.

9.2 Nach Ende des Ortungsheld-Vertrags löscht der Auftragsverarbeiter die Benutzerkonten, Fahrzeuge, Gruppen, Geozäune und alle verbliebenen Positionsdaten des Verantwortlichen innerhalb von 30 Tagen, sofern der Verantwortliche nicht vorher in Textform die Herausgabe in einem gängigen Format verlangt. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungen) bleiben unberührt; diese Daten werden nach Fristablauf gelöscht.

9.3 Sicherungskopien werden nach ihrem Aufbewahrungsturnus (Anlage 2) überschrieben.

10. Schlussbestimmungen

10.1 Bei Widersprüchen geht dieser Vertrag den AGB vor. Es gilt deutsches Recht; Gerichtsstand ist Aachen.

10.2 Änderungen dieses Vertrags teilt der Auftragsverarbeiter dem Verantwortlichen in Textform mit; sie gelten als angenommen, wenn der Verantwortliche nicht innerhalb von vier Wochen widerspricht. Der Auftragsverarbeiter weist in der Mitteilung darauf hin.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck

Ortung der Fahrzeuge des Verantwortlichen, Berechnung von Fahrten, Standzeiten und Fahrtenbuch, Geozäune und Meldungen (z. B. Geozaun verlassen, Geschwindigkeit, Tracker offline), Erkennung von Werkzeug-Anhängern im Fahrzeug, Bereitstellung in Kundenportal, Karte und App, Benutzerverwaltung des Verantwortlichen.

Art der Verarbeitung

Erheben über Tracker, Übermitteln per Mobilfunk, Speichern, Auswerten (Fahrten, Adressen, Streckenabgleich, Tempolimits), Anzeigen, Benachrichtigen, Löschen.

Datenarten

• Positionsdaten der Tracker: Standort, Zeitpunkt, Geschwindigkeit, Fahrtrichtung, Zündung, Bewegung, Gerätezustand (Spannung, Signal), Gerätekennung
• Fahrzeugdaten: Bezeichnung, Kennzeichen, Gruppe, Fahrer (sofern vom Verantwortlichen eingetragen)
• Abgeleitete Daten: Fahrten, Adressen zu Positionen, Strecken, Meldungen, Werkzeug an Bord
• Geozäune des Verantwortlichen (Flächen, Namen)
• Benutzerkonten: Name, E-Mail-Adresse, Passwort (nur als Hash), Rolle, Gruppenrechte, Einstellungen
• Push-Kennungen der Mobilgeräte, auf denen die App Mitteilungen erlaubt hat
• Protokolldaten: wer wann was im Kundenportal geändert hat; technische Server-Protokolle (IP-Adresse, Zeitpunkt)

Betroffene Personen

Beschäftigte und sonstige Fahrer der Fahrzeuge des Verantwortlichen; Benutzer, die der Verantwortliche für Kundenportal, Karte und App anlegt.

Anlage 2 – Technische und organisatorische Maßnahmen

• Rechenzentren: Betrieb in nach ISO/IEC 27001 zertifizierten Rechenzentren eines deutschen Betreibers in der EU; Zutrittskontrolle, Brandschutz, Stromversorgung und Klimatisierung liegen beim Betreiber.
• Zugang zu den Servern: ausschließlich über verschlüsselte Verbindungen mit persönlichen Schlüsseln; kein Passwort-Login; Zugriff nur für die mit Betrieb und Support betrauten Personen der IT-Linx GmbH.
• Netz: Firewall mit Freigabe nur der benötigten Dienste (Web, Tracker-Empfang); Adress- und Streckendienste nur über ein privates Netz zwischen den eigenen Servern erreichbar; automatische Sicherheitsaktualisierungen des Betriebssystems.
• Übertragung: Kundenportal, Karte, App und Schnittstellen ausschließlich über TLS-verschlüsselte Verbindungen; Tracker senden über das Mobilfunknetz der von uns gestellten SIM-Karte mit herstellereigenem Protokoll an einen dafür reservierten Port.
• Zugriffskontrolle in der Anwendung: Anmeldung mit E-Mail und Passwort (Passwörter nur als Hash gespeichert); Rollen Kunden-Admin und Disponent; Sichtbarkeit der Fahrzeuge über Gruppen; Mandantentrennung durch eigene Gruppen je Kunde; Verwaltungszugang der IT-Linx GmbH getrennt von Kundenkonten.
• Protokollierung: Änderungen im Kundenportal (Kunden, Geräte, Benutzer, Zuordnungen) werden mit Zeitpunkt und Benutzer protokolliert.
• Datensparsamkeit und Löschung: Positionsdaten werden automatisch nach 90 Tagen gelöscht; keine Analyse- oder Werbedienste; Adressen und Strecken werden mit eigenen Diensten berechnet, ohne Weitergabe an externe Kartenanbieter.
• Verfügbarkeit und Sicherung: tägliche Sicherung der Datenbanken mit 14 Tagen Aufbewahrung, zusätzlich Sicherung vor jeder Software-Aktualisierung; Überwachung der Dienste; dokumentierte Wiederherstellung.
• Organisation: Vier-Augen-Prinzip bei Änderungen an Produktivsystemen durch Vorab-Test in einer Testumgebung; Vertraulichkeitsverpflichtung aller eingesetzten Personen; Verfahren zur Meldung von Datenschutzverletzungen (Ziffer 7.3).

Anlage 3 – Unterauftragsverarbeiter

Mobilfunkanbieter, über deren Netze die Tracker senden, sind Telekommunikationsanbieter und keine Unterauftragsverarbeiter. Der Kartenanbieter (OpenStreetMap) erhält beim Laden der Kartenbilder nur die IP-Adresse des Browsers bzw. Telefons des Benutzers, keine Fahrzeugdaten.

Stand: November 2026