Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden, der die Plattform See-Curity nutzt (Verantwortlicher), und See-Curity, betrieben von Justyna Biernat, London NW7 2PE, Vereinigtes Königreich (Auftragsverarbeiter). Er erfüllt die Anforderungen von Art. 28 der EU-Datenschutz-Grundverordnung und der UK GDPR und ist Bestandteil unserer Nutzungsbedingungen. Ein Unternehmensadministrator akzeptiert ihn bei der Anmeldung für den Kunden.

1. Gegenstand der Verarbeitung

Gegenstand und Zweck	Erbringung des GPS-Ortungsdienstes: Live-Karte, Verlauf, Berichte, Geofences, Benachrichtigungen per WhatsApp und E-Mail, Fernbefehle und der Hilfe-Assistent.
Dauer	Solange der Kunde den Dienst nutzt und bis zur Löschung der Daten nach Abschnitt 9.
Arten personenbezogener Daten	Fahrzeugposition (GPS oder Mobilfunknetz), Geschwindigkeit, Richtung, Zündung, Batteriespannung, Alarme, Fahrten und Besuche von Orten, Geofences, Befehle; Fahrzeugdaten (Name, Kennzeichen, Tracker- und SIM-Nummern); Namen, E-Mail-Adressen und Telefonnummern von Nutzern und Empfängern von Benachrichtigungen; alle vom Kunden eingegebenen Namen oder Notizen.
Betroffene Personen	Fahrer und Mitfahrer der Fahrzeuge des Kunden; Beschäftigte und Nutzer des Kunden; Empfänger von Benachrichtigungen.

2. Weisungen des Kunden

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Diese Weisungen sind die Einstellungen und Handlungen des Kunden auf der Plattform sowie diese Bedingungen. Halten wir eine Weisung für datenschutzwidrig, weisen wir darauf hin. Sind wir gesetzlich zu einer anderen Verarbeitung verpflichtet, teilen wir dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.

3. Pflichten des Kunden

Der Kunde entscheidet, welche Fahrzeuge geortet werden und warum, und ist dafür verantwortlich, eine Rechtsgrundlage für die Ortung zu haben, Fahrer und andere Betroffene zu informieren (unsere Fahrerinformation kann dabei helfen) sowie eine etwa erforderliche Datenschutz-Folgenabschätzung und Beteiligung der Beschäftigtenvertretung durchzuführen.

4. Vertraulichkeit

Alle Personen auf unserer Seite, die Zugriff auf die Daten des Kunden haben, sind zur Vertraulichkeit verpflichtet. Unsere Support-Mitarbeiter können alle Daten des Kunden auf der Plattform sehen, um Support zu leisten und Fehler zu beheben, und verwenden sie für nichts anderes.

5. Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz der Daten, wie in Anlage A aufgeführt, und überprüfen sie mit der Weiterentwicklung der Plattform.

6. Unterauftragsverarbeiter

Der Kunde genehmigt die in Anlage B aufgeführten Unterauftragsverarbeiter. Wir erlegen jedem von ihnen Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und haften für sie. Jeden neuen Unterauftragsverarbeiter kündigen wir auf dieser Seite und den Unternehmensadministratoren bei der Anmeldung an, bevor er tätig wird. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; lässt sich der Widerspruch nicht ausräumen, kann der Kunde den Dienst beenden.

7. Internationale Übermittlungen

Befindet sich ein Unterauftragsverarbeiter außerhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums, ist die Übermittlung durch einen Angemessenheitsbeschluss oder durch von den britischen und europäischen Behörden genehmigte Standardvertragsklauseln geschützt.

8. Unterstützung des Kunden

• Anfragen Betroffener: Wendet sich ein Fahrer oder eine andere Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst, es sei denn, der Kunde bittet uns darum. Wir unterstützen den Kunden bei der Beantwortung, etwa durch Export der betreffenden Daten.
• Datenschutzverletzungen: Wir informieren den Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem uns eine Verletzung bekannt wird, die seine Daten betrifft, mit den Angaben, die er für die Meldung an Behörden und Betroffene benötigt.
• Folgenabschätzungen: Wir stellen die Informationen über unsere Verarbeitung bereit, die der Kunde vernünftigerweise benötigt.

9. Löschung

Der Ortungsverlauf wird nach 12 Monaten automatisch gelöscht. Nach Ende des Dienstes löschen wir die übrigen Daten des Kunden innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Bis dahin kann der Kunde seine Berichte exportieren.

10. Kontrollen

Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV nötig sind. Der Kunde kann mit angemessener Vorankündigung, während der Geschäftszeiten, auf eigene Kosten und höchstens einmal jährlich – außer nach einer Verletzung – eine Kontrolle durchführen oder durchführen lassen.

11. Haftung und Rangfolge

Die Haftung aus diesem AVV richtet sich nach den Nutzungsbedingungen. Widersprechen sich dieser AVV und die Nutzungsbedingungen in Datenschutzfragen, hat dieser AVV Vorrang.

Anlage A – Technische und organisatorische Maßnahmen

• Alle Verbindungen zur Plattform sind verschlüsselt (HTTPS/TLS).
• Passwörter werden nur als gesalzene Einweg-Hashes gespeichert. Nach mehreren falschen Passworteingaben wird das Konto vorübergehend gesperrt.
• Strikte Mandantentrennung: Jedes Unternehmen sieht nur seine eigenen Fahrzeuge; dies wird an einer zentralen Stelle der Software durchgesetzt. Innerhalb eines Unternehmens hängt der Zugriff von der Rolle des Nutzers und den ihm zugewiesenen Fahrzeugen ab.
• Automatische Abmeldung von der Live-Karte nach einer Zeit der Inaktivität.
• Zugang zu Server und Datenbank haben nur die Personen, die die Plattform betreiben.
• Der Ortungsverlauf wird nach 12 Monaten automatisch gelöscht (Datenminimierung).
• Softwareänderungen werden vor der Freigabe getestet, und jede Freigabe kann rückgängig gemacht werden.

Anlage B – Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort
Dedicloud (dedicloud.co.uk)	Hosting von Server und Datenbank	Vereinigtes Königreich
OpenAI	Hilfe-Assistent: Fragen und die zur Beantwortung nötigen Fahrzeugdaten	USA
Meta (WhatsApp)	Zustellung von WhatsApp-Benachrichtigungen	EU / USA
Google (Google Maps)	Kartenbilder, die der Browser des Nutzers lädt	USA
Esri (ArcGIS)	Kartenbilder, die der Browser des Nutzers lädt	USA

E-Mail-Benachrichtigungen werden von unserem eigenen Server versendet und von den E-Mail-Anbietern der Empfänger zugestellt. Die Daten des Trackers werden über das Mobilfunknetz der darin eingesetzten SIM-Karte übertragen.