Auftragsverarbeitungsvertrag

1. Parteien

Verantwortlicher

[Firmenname und Rechtsform]
[Straße, Hausnummer]
[PLZ, Ort]
[Land]
vertreten durch [Name]

Auftragsverarbeiter

[Firmenname und Rechtsform]
[Straße, Hausnummer]
[PLZ, Ort]
[Land]
vertreten durch [Name]

Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Dispovia ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Der Kunde entscheidet über Zweck und Mittel der Verarbeitung.

2. Gegenstand und Weisungen

Dispovia verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Gegenstand ist die im Outlook-Add-in geöffnete Fracht-Mail. Dispovia bereitet daraus 18 TIMOCOM-Felder in fünf Gruppen vor und stellt sie mit Fundstelle und Status bereit.

Die Verarbeitung ist zustandslos. Mailinhalte werden verarbeitet und verworfen. Es gibt keine Datenbank und keine Historie. Nichts wird automatisch veröffentlicht. Die Übergabe bleibt eine Handlung des Disponenten.

Weisungen können schriftlich oder in Textform erteilt werden. Ist eine Weisung nach Auffassung von Dispovia rechtswidrig, weist Dispovia den Kunden darauf hin und darf die Weisung bis zur Bestätigung aussetzen.

3. Art der Verarbeitung

Art, Umfang, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1. Die Anlage ist Bestandteil dieses Vertrags.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für die Verarbeitung nicht vorgesehen. Der Kunde stellt sicher, dass er solche Daten nicht ohne gesonderte Weisung in die geöffnete Mail aufnimmt.

4. Pflichten des Auftragsverarbeiters

Dispovia verpflichtet sich nach Art. 28 Abs. 3 DSGVO insbesondere:

• personenbezogene Daten nur auf Weisung des Kunden zu verarbeiten, auch für Übermittlungen in ein Drittland,
• die Vertraulichkeit zu wahren und nur befugte Personen einzusetzen, die zur Vertraulichkeit verpflichtet sind,
• die in Art. 32 DSGVO genannten technischen und organisatorischen Maßnahmen umzusetzen,
• den Kunden bei der Beantwortung von Betroffenenanfragen zu unterstützen,
• den Kunden bei der Meldung von Verletzungen und bei Datenschutz-Folgenabschätzungen zu unterstützen,
• personenbezogene Daten nach Ende der Verarbeitung zu löschen oder zurückzugeben,
• dem Kunden alle Informationen zum Nachweis der Pflichten bereitzustellen und Kontrollen zu ermöglichen.

Dispovia nutzt Mailinhalte nicht zum Training von KI-Modellen und gibt sie nicht an andere Kunden weiter. Cloud-Links werden erkannt, aber nicht abgerufen.

5. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu. Dispovia informiert den Kunden vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Kunde kann aus wichtigem Grund widersprechen.

Dispovia verpflichtet Unterauftragsverarbeiter schriftlich oder in Textform auf dieselben Datenschutzpflichten. Bleibt ein Unterauftragsverarbeiter hinter diesen Pflichten zurück, haftet Dispovia gegenüber dem Kunden für die Einhaltung.

6. Technische und organisatorische Maßnahmen

Dispovia setzt die in Anlage 2 beschriebenen Maßnahmen um. Sie entsprechen dem Stand der Technik und dem Risiko der Verarbeitung. Dispovia darf die Maßnahmen verbessern oder ersetzen, wenn das Schutzniveau nicht sinkt.

7. Betroffenenrechte

Dispovia unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Wendet sich eine betroffene Person direkt an Dispovia, leitet Dispovia die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nur nach Weisung. Der Kunde bleibt für die Entscheidung verantwortlich.

8. Verletzungen des Schutzes

Dispovia meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis. Die Meldung enthält die verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Daten und Personen, mögliche Folgen und ergriffene Maßnahmen.

Dispovia unterstützt den Kunden bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung betroffener Personen. Die Meldung an die Aufsichtsbehörde bleibt Aufgabe des Kunden.

9. Löschung und Rückgabe

Die Verarbeitung ist zustandslos. Mailinhalte werden nach der Verarbeitung verworfen. Es gibt keinen Datenbestand, der am Vertragsende zurückgegeben oder gelöscht werden müsste.

Technische Protokolle und Kommunikationsdaten werden nach den Fristen in Anlage 2 gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Kunde kann eine schriftliche Bestätigung der Löschung verlangen.

10. Kontroll- und Auditrechte

Der Kunde kann die Einhaltung dieses Vertrags nach Ankündigung mit angemessener Frist prüfen. Dispovia stellt dafür die erforderlichen Informationen bereit, insbesondere die TOMs, Zertifizierungen und Protokolle.

Prüfungen finden während der Geschäftszeiten statt, ohne den Betrieb unangemessen zu beeinträchtigen. Vertrauliche Informationen Dritter bleiben geschützt. Auf Wunsch kann die Prüfung durch einen zur Verschwiegenheit verpflichteten Dritten erfolgen.

11. Drittlandübermittlung

Die Verarbeitung ist für die EU vorgesehen. Eine Übermittlung in ein Drittland findet nur statt, wenn der Kunde sie ausdrücklich weist oder sie zur Vertragserfüllung erforderlich ist. In diesem Fall gelten die Voraussetzungen der Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln.

Fernzugriff aus einem Drittland ist derzeit nicht vorgesehen. Änderungen werden vorab angekündigt.

12. Haftung

Die Haftung richtet sich nach dem Hauptvertrag und nach Art. 82 DSGVO. Dispovia haftet für Schäden, die durch eine Verletzung ihrer Pflichten aus diesem Vertrag entstehen, nach den gesetzlichen Vorschriften.

Eine Haftung für Entscheidungen, die der Kunde auf Grundlage der vorbereiteten Felder trifft, ist ausgeschlossen. Dispovia bereitet vor. Prüfung, Freigabe und Veröffentlichung liegen beim Kunden.

13. Laufzeit und Kündigung

Der AVV gilt für die Dauer des Hauptvertrags. Er endet mit dem Hauptvertrag, ohne dass es einer gesonderten Kündigung bedarf.

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt bestehen. Endet der AVV, gelten die Pflichten zur Löschung und Vertraulichkeit fort, solange Daten noch verarbeitet werden.

14. Abschluss und Nachweis

Diese Seite ist ein Muster. Aufrufen oder Herunterladen begründet keinen Vertrag. Der AVV kommt im Pilotvertrag, durch Unterschrift oder in Textform zustande.

Ein Online-Abschluss ist möglich, wenn Dispovia dabei Identität des Kunden, Fassung, Zeitpunkt und Umfang der Annahme nachweisen kann. Ohne diesen Nachweis wird der AVV gesondert unterzeichnet.

Dispovia dokumentiert die jeweils geltende Fassung mit Datum. Änderungen werden vorab angekündigt. Der Kunde kann einer Änderung widersprechen, wenn sie seine Rechte wesentlich berührt.

15. Schlussbestimmungen

Es gilt deutsches Recht. Gerichtsstand ist [Gerichtsstand], sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Vorrang haben die zwingenden Vorschriften der DSGVO.

Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

Anlage 1: Verarbeitung

Zweck

Vorbereitung von 18 TIMOCOM-Feldern aus der im Outlook-Add-in geöffneten Fracht-Mail. Anzeige mit Fundstelle und Status. Manuelle Übernahme durch den Disponenten.

Betroffene

Ansprechpartner und Mitarbeiter der Kunden des Kunden, die in der geöffneten Mail genannt sind.

Datenkategorien

Mailinhalt, Absender und Empfänger, Firmenname, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Ladestelle, Entladestelle, PLZ, Ort, Land, Termine, Zeitfenster, Paletten, Gewicht, Lademeter, Referenz- und Angebotsnummern.

Besondere Kategorien

Nicht vorgesehen. Der Kunde weist Dispovia an, wenn solche Daten verarbeitet werden sollen.

Dauer

Für die Dauer des Hauptvertrags. Keine Speicherung von Mailinhalten.

Art der Verarbeitung

Lesen, Extrahieren, Anzeigen und Bereitstellen zum Kopieren. Keine automatische Veröffentlichung, keine Weitergabe an Dritte.

Anlage 2: Technische und organisatorische Maßnahmen

• Zutrittskontrolle: Rechenzentren des Hosting-Dienstes mit Zutrittsbeschränkung und Protokollierung.
• Zugriffskontrolle: benannte Konten, Mehrfaktor-Authentifizierung für Administration, geringste Rechte.
• Weitergabekontrolle: Transportverschlüsselung (TLS), keine Übermittlung von Mailinhalten an Dritte.
• Eingabekontrolle: zustandslose Verarbeitung, keine dauerhafte Ablage von Mailinhalten, Protokollierung technischer Vorgänge.
• Verfügbarkeit: überwachter Dienst, Wiederanlaufverfahren, regelmäßige Sicherungen der Konfiguration.
• Trennung: getrennte Mandanten und Zugriffsrechte, keine gemeinsame Ablage von Mailinhalten.
• Vorfallsmanagement: dokumentierter Ablauf für Sicherheitsvorfälle, Meldung an den Kunden unverzüglich nach Kenntnis.
• Keine Zweckänderung: keine Nutzung zum Training von KI-Modellen, keine Werbung, keine Profilbildung.
• OCR: lokale Verarbeitung im Dienst, kein Drittanbieter.
• Hosting: EU-Hosting ist vorgesehen. Der Status wird vor dem Produktivbetrieb bestätigt.
• Löschfristen: technische Protokolle nach [Frist] Tagen, Kommunikationsdaten nach [Frist].

Die Maßnahmen werden bei jeder wesentlichen Änderung der Architektur überprüft. Der Stand ist im Sicherheitsabschnitt der Website beschrieben.

Anlage 3: Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter sind derzeit nicht eingesetzt. Änderungen werden nach Ziffer 5 angekündigt.

Stand: 25. Oktober 2026. Entwurf. Die konkreten Anbieter werden vor dem Produktivbetrieb benannt.