Die Vertragsparteien#

Kunde (nachfolgend „Kunde"; in Teil B zugleich „Auftraggeber")

— der jeweilige Kunde —

Anbieter (nachfolgend „Anbieter"; in Teil B zugleich „Auftragnehmer")

IT Solutions Sascha Wolf An der Hebemärchte 1, 04316 Leipzig, Deutschland Vertreten durch: Sascha Wolf E-Mail: info@fuhriva.de · Telefon: +49 341 9898 2398 USt-IdNr.: DE365311442

---

§ 0 Aufbau dieses Vertrags, Rangfolge, Begriffe#

0.1 Die drei Teile#

Dieser Vertrag besteht aus drei Teilen und vier Anlagen. Sie bilden eine Urkunde und werden gemeinsam geschlossen, gemeinsam geändert und gemeinsam bestätigt.

Anlage 1 Gegenstand der Verarbeitung · Anlage 2 Technische und organisatorische Maßnahmen · Anlage 3 Eingesetzte Dienstleister · Anlage 4 Leistungsbeschreibung und Tarife.

Teil B ist der Vertrag nach Art. 28 Abs. 3 DSGVO. Er ist kein Anhang und keine Erläuterung, sondern ein eigener Vertragsteil mit demselben Rang wie Teil A.

0.2 Begriffe#

• Dienst oder Software: die vom Anbieter als Software-as-a-Service bereitgestellte Fuhrparkverwaltung „Fuhriva", einschließlich Web-Anwendung, mobiler App und Schnittstellen.
• Konto: der beim Anbieter geführte Mandant des Kunden mit allen darin angelegten Daten und Benutzern.
• Benutzer: eine natürliche Person, der der Kunde einen Zugang zum Konto einrichtet.
• Gerät: ein nach Teil C gelieferter Telematikadapter.
• Textform: § 126b BGB. E-Mail und Mitteilungen im Konto genügen.

0.3 Rangfolge#

Bei Widersprüchen gilt in dieser Reihenfolge:

1. Individuelle Vereinbarungen zwischen den Parteien (§ 305b BGB);
2. Teil B, soweit es um die Verarbeitung personenbezogener Daten geht;
3. Teil C, soweit es um Kauf, Lieferung und Betrieb der Geräte geht;
4. Teil A;
5. die Anlagen.

Teil B geht Teil A vor, weil Art. 28 DSGVO zwingendes Recht ist: die Änderungsregeln des Teils A dürfen ihn nicht verkürzen. Für die Haftung der Parteien untereinander gilt B 12.

0.4 Geltungsbereich, Ausschluss von Verbrauchern#

Dieser Vertrag richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB sowie an juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verbraucher im Sinne des § 13 BGB sind von Abschluss und Nutzung ausgeschlossen.

Der Kunde bestätigt bei der Registrierung, als Unternehmer zu handeln und den Dienst ausschließlich für unternehmerische Zwecke zu nutzen, und gibt dabei seine Firma oder Geschäftsbezeichnung sowie seine Umsatzsteuer- Identifikationsnummer oder Steuernummer an. Bestätigung und Angaben werden mit Zeitpunkt und Wortlaut protokolliert. Der Anbieter kann einen Nachweis der Unternehmereigenschaft verlangen und das Konto bei begründeten Zweifeln bis zu dessen Vorlage auf Einsicht und Export beschränken.

Entgegenstehende oder abweichende Allgemeine Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn der Anbieter ihnen nicht gesondert widerspricht. Sie gelten nur, wenn der Anbieter ihrer Geltung ausdrücklich in Textform zustimmt.

---

TEIL A — Nutzung der Software#

A 1 Vertragsgegenstand, Leistungsbeschreibung, Tarife#

(1) Gegenstand ist die zeitlich befristete Überlassung der Software zur Nutzung über das Internet für die Dauer dieses Vertrags sowie die Speicherung der vom Kunden eingebrachten Daten. Ein Anspruch auf Überlassung des Programmcodes besteht nicht.

(2) Die Software dient der Verwaltung von Fuhrparks. Welche Funktionen, Mengengrenzen (Fahrzeuge, Benutzer, Standorte, Speicherplatz) und Zusatzmodule im Einzelnen geschuldet sind, richtet sich nach dem gebuchten Tarif und der Anlage 4.

(3) Der Anbieter entwickelt die Software fortlaufend weiter. Er darf Funktionen ändern, ergänzen und ersetzen, soweit der Vertragszweck dadurch nicht gefährdet wird und die wesentlichen Funktionen des gebuchten Tarifs im Kern erhalten bleiben. Entfällt eine wesentliche Funktion des gebuchten Tarifs ersatzlos, gilt A 15 Abs. 3.

(4) Die Software wird ausschließlich über das Internet bereitgestellt. Die Übergabestelle ist der Routerausgang des vom Anbieter genutzten Rechenzentrums; für die Verbindung zwischen dieser Stelle und dem Endgerät des Kunden übernimmt der Anbieter keine Verantwortung.

---

A 2 Vertragsschluss, Konto, Vertragstext#

(1) Die Darstellung des Dienstes auf der Website ist kein bindendes Angebot, sondern eine Aufforderung zur Abgabe eines Angebots.

(2) Mit der Registrierung und — bei kostenpflichtigen Tarifen — mit dem Abschluss des Bestellvorgangs gibt der Kunde ein Angebot ab. Der Vertrag kommt mit der Freischaltung des Kontos zustande, bei Online-Zahlung regelmäßig nach der Zahlungsbestätigung.

(3) Vertragssprache ist Deutsch. Übersetzungen dieses Vertrags dienen nur der Verständigung; maßgeblich ist stets die deutsche Fassung.

(4) Der Anbieter stellt dem Kunden nach Abschluss eines kostenpflichtigen Tarifs eine Bestätigung in Textform bereit, die den Tarif, den Preis, das Abrechnungsintervall und die Fassung dieses Vertrags nennt. Der vollständige Vertragstext in der jeweils bestätigten Fassung ist im Konto unter „Einstellungen → AGB & Auftragsverarbeitung" dauerhaft abrufbar und dort als PDF herunterladbar.

---

A 3 Bereitstellung, Verfügbarkeit, Wartung, Sicherungen#

(1) Der Anbieter betreibt den Dienst in Rechenzentren innerhalb der Europäischen Union. Die eingesetzten Dienstleister nennt Anlage 3.

(2) Verfügbarkeit. Als Beschaffenheit des Dienstes ist eine Verfügbarkeit von mindestens 99 % im Monatsmittel vereinbart, gemessen über einen Kalendermonat an der in A 1 Abs. 4 genannten Übergabestelle. Nicht als Ausfallzeit zählen:

• angekündigte Wartungsfenster nach Absatz 3 bis zu insgesamt acht Stunden je Kalendermonat,
• Störungen außerhalb der Übergabestelle, insbesondere im Netz des Internetzugangsanbieters des Kunden oder an dessen Endgeräten,
• Zeiten höherer Gewalt (A 16),
• Zeiten, in denen der Dienst aufgrund einer vom Kunden zu vertretenden Ursache nicht erreichbar ist, sowie Sperren nach A 4 Abs. 6 und A 5 Abs. 4.

Eine Garantie im Sinne des § 443 BGB ist damit nicht verbunden.

(3) Wartung. Planbare Wartungsarbeiten kündigt der Anbieter mindestens 24 Stunden vorher im Dienst an und führt sie vorzugsweise außerhalb üblicher Geschäftszeiten durch. Sicherheitsrelevante Eingriffe kann er ohne Vorankündigung vornehmen; sie zählen als Ausfallzeit, soweit sie nicht auf einer vom Kunden zu vertretenden Ursache beruhen.

(4) Sicherungen. Der Anbieter sichert den Datenbestand mindestens einmal täglich und bewahrt die Sicherungen nach einem gestaffelten Plan auf. Die Sicherungen dienen der Wiederherstellung des Gesamtbestands nach einer Störung. Nach einer Störung stellt der Anbieter den Dienst unverzüglich wieder her; er strebt eine Wiederherstellung innerhalb von 24 Stunden an, wobei ein Verlust der Änderungen seit der letzten Sicherung eintreten kann. Die Wiederherstellung einzelner Datensätze oder eines beliebigen früheren Zeitstands auf Wunsch des Kunden ist nicht Vertragsinhalt. Die Verantwortung des Kunden für eigene Sicherungen der von ihm eingebrachten Daten bleibt unberührt (A 4 Abs. 4).

(5) Support. Anfragen nimmt der Anbieter über das Supportformular im Dienst und per E-Mail entgegen. Eine Reaktionszeit ist nur geschuldet, soweit sie in Anlage 4 für den gebuchten Tarif ausdrücklich zugesagt ist.

---

A 4 Mitwirkungspflichten des Kunden, zulässige Nutzung#

(1) Der Kunde stellt die technischen Voraussetzungen auf seiner Seite sicher (Endgerät, Internetzugang, aktueller Browser).

(2) Der Kunde macht bei der Registrierung und danach zutreffende Angaben und hält insbesondere seine Rechnungsanschrift und die Kontakt-E-Mail-Adresse aktuell. Mitteilungen des Anbieters an die zuletzt mitgeteilte Adresse gelten als zugegangen, wenn der Kunde eine Änderung schuldhaft nicht mitgeteilt hat; das gilt nicht für Kündigungen und andere Erklärungen von besonderer rechtlicher Bedeutung.

(3) Zugangsdaten sind geheim zu halten und dürfen nicht weitergegeben werden. Ein Zugang ist einer natürlichen Person zugeordnet und nicht übertragbar. Der Kunde meldet einen Missbrauchsverdacht unverzüglich.

(4) Der Kunde ist für die Rechtmäßigkeit, Richtigkeit und Qualität der von ihm eingebrachten Daten und Inhalte verantwortlich. Er sichert die für ihn wesentlichen Daten in zumutbarem Umfang selbst; die Exportfunktionen des Dienstes stehen ihm dafür zur Verfügung.

(5) Untersagt ist insbesondere:

• automatisierte Massenabfragen, die über die vorgesehene Nutzung hinausgehen, sowie jede Nutzung, die die Verfügbarkeit für andere Kunden beeinträchtigt;
• das Umgehen von Mengengrenzen, Zugangsbeschränkungen oder technischen Schutzmaßnahmen;
• das Einschleusen von Schadsoftware sowie jedes Vorgehen, das die Integrität des Dienstes gefährdet;
• Zurückentwicklung, Dekompilierung und vergleichbare Handlungen außerhalb der Grenzen zwingender gesetzlicher Vorschriften (§§ 69d, 69e UrhG);
• das Einstellen rechtswidriger Inhalte und jede rechtswidrige Nutzung.

(6) Bei einem erheblichen Verstoß gegen Absatz 5 kann der Anbieter den betroffenen Zugang oder das Konto nach vorheriger Ankündigung sperren. Die Ankündigung entfällt, wenn ein Zuwarten die Sicherheit des Dienstes oder die Daten anderer Kunden gefährden würde. Der Anbieter hebt die Sperre auf, sobald der Grund entfallen ist, und unterrichtet den Kunden unverzüglich.

---

A 5 Vergütung, Abrechnung, Zahlungsverzug#

(1) Es gelten die Preise der bei Vertragsschluss gültigen Preisliste. Alle Preise sind Nettopreise zuzüglich der gesetzlichen Umsatzsteuer.

(2) Abgerechnet wird monatlich oder jährlich im Voraus, entsprechend dem gewählten Abrechnungsintervall. Das Entgelt für den ersten Abrechnungszeitraum ist mit Vertragsschluss fällig, danach jeweils zu Beginn des Zeitraums.

(3) Zahlungsabwicklung. Bestellvorgang und Zahlung laufen über den Zahlungsdienstleister Stripe. Zahlungsmitteldaten gibt der Kunde dort unmittelbar ein; der Anbieter erhält und speichert keine vollständigen Karten- oder Kontodaten. Welche Zahlungsarten zur Verfügung stehen, ergibt sich aus dem Bezahlvorgang. Bei Kunden, für die der Anbieter die Abrechnung außerhalb von Stripe führt, erfolgt die Zahlung nach Rechnungstellung innerhalb von 14 Tagen ohne Abzug.

(4) Zahlungsverzug. Gerät der Kunde mit einer Zahlung in Verzug, kann der Anbieter nach einer Mahnung mit einer Frist von zehn Tagen den Zugang sperren und nach fruchtlosem Ablauf einer weiteren angemessenen Frist aus wichtigem Grund kündigen. Während einer Sperre nach dieser Vorschrift bleiben Einsicht und Export erhalten. Der Anspruch auf Verzugszinsen nach § 288 Abs. 2 BGB und auf die Pauschale nach § 288 Abs. 5 BGB bleibt unberührt.

(5) Kosten, die dem Anbieter durch eine vom Kunden zu vertretende Rücklastschrift oder Rückbelastung entstehen, hat der Kunde in tatsächlicher Höhe zu ersetzen. Dem Kunden bleibt der Nachweis unbenommen, dass ein Schaden nicht oder in geringerer Höhe entstanden ist.

(6) Aufrechnung und Zurückbehaltung. Der Kunde kann nur mit Forderungen aufrechnen, die unbestritten oder rechtskräftig festgestellt sind. Ein Zurückbehaltungsrecht steht ihm nur zu, soweit sein Gegenanspruch auf demselben Vertragsverhältnis beruht.

---

A 6 Preisanpassung#

(1) Der Anbieter kann die Preise für die laufenden Leistungen einmal je Kalenderjahr anpassen, um Änderungen seiner Kosten Rechnung zu tragen. Berücksichtigungsfähig sind ausschließlich Änderungen der Kosten für Rechenzentrums- und Infrastrukturleistungen, für eingesetzte Fremdleistungen nach Anlage 3, für Personal sowie gesetzlich veranlasste Abgaben. Kostensenkungen sind im gleichen Umfang weiterzugeben wie Erhöhungen.

(2) Eine Preisanpassung kündigt der Anbieter mindestens sechs Wochen vor ihrem Wirksamwerden in Textform an. Die Ankündigung nennt den alten und den neuen Preis, den Zeitpunkt des Wirksamwerdens und den tragenden Grund.

(3) Eine Preiserhöhung wird nur mit ausdrücklicher Zustimmung des Kunden wirksam; es gilt das Verfahren nach A 15 Abs. 3 bis 6. Eine Preissenkung wird ohne Zustimmung wirksam.

(4) Eine Erhöhung um mehr als 10 % gegenüber dem Preis des vorangegangenen Kalenderjahres ist von dieser Vorschrift nicht gedeckt; sie bedarf einer gesonderten Vereinbarung.

---

A 7 Laufzeit, Kündigung#

(1) Der Vertrag läuft auf unbestimmte Zeit und wird in Abrechnungszeiträumen abgerechnet (monatlich oder jährlich).

(2) Beide Parteien können den Vertrag zum Ende des jeweiligen Abrechnungszeitraums kündigen. Die Kündigung des Kunden ist im Konto unter „Abrechnung" möglich; daneben genügt die Textform. Eine Kündigung durch den Anbieter muss dem Kunden mindestens 30 Tage vor dem Ende des Abrechnungszeitraums zugehen.

(3) Der kostenlose Tarif kann von beiden Seiten jederzeit gekündigt werden. Eine Kündigung durch den Anbieter kündigt dieser mit einer Frist von 30 Tagen in Textform an, damit der Kunde seine Daten ausleiten kann.

(4) Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für den Anbieter liegt insbesondere vor bei erheblichem Verstoß gegen A 4 Abs. 5 und bei Zahlungsverzug nach A 5 Abs. 4.

(5) § 545 BGB findet keine Anwendung. Eine Fortsetzung der Nutzung nach Vertragsende verlängert den Vertrag nicht.

---

A 8 Tarifwechsel, Mengengrenzen#

(1) Ein Wechsel in einen höheren Tarif wirkt sofort; ein Wechsel in einen niedrigeren Tarif wirkt zum Ende des laufenden Abrechnungszeitraums. Ab Wirksamkeit gelten die Mengengrenzen des Zieltarifs.

(2) Überschreitet das Konto eine Mengengrenze, unterrichtet der Anbieter den Kunden in Textform und setzt eine Frist von 14 Kalendertagen, die Nutzung anzupassen.

(3) Nach fruchtlosem Ablauf der Frist kann der Anbieter das Anlegen weiterer Datensätze der betroffenen Art sperren, bis die Nutzung wieder innerhalb der Grenzen liegt.

(4) Bereits vorhandene Daten des Kunden werden nicht gesperrt und nicht gelöscht. Sie bleiben einsehbar und exportierbar. Der Anbieter ist nicht berechtigt, Daten des Kunden zur Durchsetzung von Mengengrenzen zu löschen.

---

A 9 Datenexport, Aufbewahrung und Löschung nach Vertragsende#

(1) Der Kunde kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen des Dienstes ausleiten.

(2) Nach Vertragsende hält der Anbieter den Datenbestand 30 Tage in einem Zustand vor, der dem Kunden den Export ermöglicht. Das gilt unabhängig vom Grund der Vertragsbeendigung.

(3) Nach Ablauf dieser Frist löscht der Anbieter die Daten des Kunden, spätestens 90 Tage nach Vertragsende. Näheres zur Löschung der dem Auftrag anvertrauten personenbezogenen Daten regelt B 10; die Fristen dieses Absatzes und die des B 10 sind dieselben.

(4) Unberührt bleibt die Aufbewahrung von Unterlagen, zu der der Anbieter gesetzlich verpflichtet ist — insbesondere nach § 147 AO und § 257 HGB: Buchungsbelege und Rechnungen acht Jahre, Bücher, Inventare und Abschlüsse zehn Jahre, Handelsbriefe sechs Jahre. Solche Unterlagen werden für die Dauer der Aufbewahrung gesperrt und nur zur Erfüllung der gesetzlichen Pflicht verarbeitet.

(5) Sicherungskopien werden technisch bedingt zeitversetzt überschrieben. Sie dienen ausschließlich der Störungsbehebung; ein Zugriff auf sie zur Wiederherstellung einzelner gelöschter Datensätze findet nicht statt.

(6) Aufbewahrungspflichten des Kunden — insbesondere für das Fahrtenbuch — erfüllt der Kunde selbst; er leitet die betroffenen Daten vor Ablauf der Frist nach Absatz 2 aus.

---

A 10 Mängelansprüche, Verjährung, Minderung#

(1) Der Anbieter schuldet die Bereitstellung der Software in dem Zustand, der sich aus A 1, A 3 Abs. 2, Anlage 4 und dem gebuchten Tarif ergibt. Auf das Vertragsverhältnis findet Mietrecht Anwendung (§§ 535 ff. BGB).

(2) Software ist nach dem Stand der Technik nicht vollständig fehlerfrei. Eine Zusage vollständiger Fehlerfreiheit wird nicht gegeben und liegt in der Beschreibung der Funktionen nicht.

(3) Der Kunde zeigt Mängel unverzüglich in Textform an, beschreibt sie nachvollziehbar und unterstützt die Fehleranalyse in zumutbarem Umfang. Der Anbieter behebt Mängel innerhalb angemessener Frist oder stellt eine zumutbare Umgehungslösung bereit.

(4) Die verschuldensunabhängige Haftung des Anbieters für Mängel, die bereits bei Vertragsschluss vorhanden waren (§ 536a Abs. 1 Alt. 1 BGB), ist ausgeschlossen. Im Übrigen gilt A 11.

(5) Minderung. Der Kunde kann eine Minderung nach § 536 BGB durch Abzug vom Entgelt nur geltend machen, soweit der Mangel unbestritten oder rechtskräftig festgestellt ist. Der Anspruch auf Rückzahlung zu viel entrichteter Entgelte bleibt unberührt.

(6) Verjährung. Ansprüche des Kunden wegen Mängeln verjähren in zwölf Monaten ab dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Kunde von den anspruchsbegründenden Umständen Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit erlangen musste. Das gilt nicht für Ansprüche wegen Vorsatzes oder grober Fahrlässigkeit, aus einer übernommenen Garantie, wegen arglistig verschwiegener Mängel, wegen der Verletzung von Leben, Körper oder Gesundheit sowie für Ansprüche nach dem Produkthaftungsgesetz und nach Art. 82 DSGVO.

---

A 11 Haftung#

(1) Der Anbieter haftet unbeschränkt

• bei Vorsatz und grober Fahrlässigkeit,
• für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit,
• nach dem Produkthaftungsgesetz,
• im Umfang einer übernommenen Garantie,
• bei arglistigem Verschweigen eines Mangels.

(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht haftet der Anbieter auf den vertragstypischen, vorhersehbaren Schaden. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

(3) Die Haftung nach Absatz 2 ist je Schadensereignis der Höhe nach begrenzt auf den größeren der folgenden Beträge:

• das Dreifache der vom Kunden in den zwölf Monaten vor dem Schadensereignis gezahlten Entgelte, oder
• 25.000 EUR.

(4) Soweit Leistungen unentgeltlich überlassen werden — kostenloser Tarif, Testzugänge und Demonstrationskonten —, haftet der Anbieter entsprechend dem gesetzlichen Leitbild der §§ 521, 599 BGB nur für Vorsatz und grobe Fahrlässigkeit. Absatz 1 bleibt unberührt.

(5) Im Übrigen ist die Haftung bei leichter Fahrlässigkeit ausgeschlossen.

(6) Datenverlust. Für den Verlust von Daten haftet der Anbieter im Rahmen der Absätze 2 bis 4 nur in Höhe des Aufwands, der bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden (A 4 Abs. 4) zur Wiederherstellung erforderlich gewesen wäre. Das gilt nicht, soweit der Datenverlust auf einer Verletzung der Pflichten des Anbieters nach A 3 Abs. 4 beruht.

(7) Ansprüche betroffener Personen nach Art. 82 DSGVO werden durch diesen Vertrag nicht beschränkt. Für den Ausgleich zwischen den Parteien — einschließlich des Rückgriffs nach Art. 82 Abs. 5 DSGVO — gelten die Absätze 1 bis 6; die Haftung des Anbieters für Verstöße gegen seine Pflichten aus Teil B ist dabei stets eine Haftung wegen Verletzung einer wesentlichen Vertragspflicht.

(8) Soweit die Haftung des Anbieters ausgeschlossen oder beschränkt ist, gilt dies auch für die persönliche Haftung seiner gesetzlichen Vertreter, Mitarbeiter und Erfüllungsgehilfen.

---

A 12 Nutzungsrechte, verbundene Unternehmen#

(1) Alle Rechte an der Software, ihrer Dokumentation und den Gestaltungselementen verbleiben beim Anbieter.

(2) Der Kunde erhält für die Dauer des Vertrags ein einfaches, nicht ausschließliches, zeitlich auf die Vertragslaufzeit beschränktes Recht, die Software im vereinbarten Umfang für eigene betriebliche Zwecke zu nutzen.

(3) Verbundene Unternehmen. Der Kunde darf die Software im Rahmen der gebuchten Mengengrenzen auch durch mit ihm verbundene Unternehmen im Sinne der §§ 15 ff. AktG nutzen lassen sowie Tochtergesellschaften im Konto als eigene Organisationseinheiten führen. Er bleibt für deren Nutzung wie für eigene verantwortlich.

(4) Bringt der Kunde personenbezogene Daten ein, für die ein verbundenes Unternehmen Verantwortlicher ist, schließt der Kunde Teil B zugleich im Namen dieses Unternehmens ab. Er sichert zu, hierzu bevollmächtigt zu sein, und nennt dem Anbieter die betroffenen Unternehmen auf Anfrage. Weisungen und Erklärungen nach Teil B gibt für alle diese Unternehmen einheitlich der Kunde ab; ihre eigenen Rechte gegenüber Aufsichtsbehörden und betroffenen Personen bleiben unberührt.

(5) Eine darüber hinausgehende Überlassung an Dritte, eine Unterlizenzierung und die Nutzung zur Erbringung von Dienstleistungen gegenüber Dritten sind ohne vorherige Zustimmung des Anbieters in Textform nicht gestattet.

(6) Die Rechte des Kunden aus §§ 69d, 69e UrhG bleiben unberührt.

(7) Referenznennung. Eine Nennung des Kunden als Referenz erfolgt nur nach vorheriger Zustimmung in Textform. Die Zustimmung ist jederzeit für die Zukunft widerruflich.

---

A 13 Vertraulichkeit#

(1) Jede Partei behandelt Geschäftsgeheimnisse und als vertraulich bezeichnete Informationen der anderen Partei vertraulich, nutzt sie nur zu Vertragszwecken und gibt sie nur an Personen weiter, die sie zur Durchführung des Vertrags benötigen und ihrerseits zur Vertraulichkeit verpflichtet sind.

(2) Die Pflicht gilt nicht für Informationen, die

• allgemein bekannt sind oder ohne Vertragsverstoß bekannt werden,
• der empfangenden Partei bereits bekannt waren,
• von ihr unabhängig entwickelt wurden, oder
• aufgrund zwingender Rechtsvorschriften oder behördlicher Anordnung offenzulegen sind; in diesem Fall unterrichtet die offenlegende Partei die andere, soweit dies zulässig ist.

(3) Die Pflicht besteht für drei Jahre nach Vertragsende fort. Die Pflichten aus Teil B sowie das Geschäftsgeheimnisgesetz bleiben unberührt.

---

A 14 Beta- und Erweiterungsfunktionen#

(1) Der Anbieter kann Funktionen als Vorabversion („Beta") oder als zusätzlich zuschaltbare Erweiterung bereitstellen und im Dienst als solche kennzeichnen.

(2) Als Beta gekennzeichnete Funktionen sind freiwillig nutzbar, werden ohne Verfügbarkeitszusage bereitgestellt, sind nicht Teil der Beschaffenheit nach A 3 Abs. 2, können jederzeit geändert oder eingestellt werden und begründen keinen Anspruch auf Fortführung. Werden sie ohne gesondertes Entgelt bereitgestellt, gilt für sie A 11 Abs. 4; im Übrigen gilt A 11 unverändert.

(3) Kostenpflichtige Erweiterungen sind keine Beta-Funktionen; für sie gilt dieser Vertrag im Übrigen unverändert.

---

A 15 Änderungen dieses Vertrags#

(1) Der Anbieter kann diesen Vertrag ändern, wenn dies aufgrund einer Änderung der Rechtslage, aufgrund von Vorgaben einer Behörde oder eines Gerichts, aufgrund der technischen Weiterentwicklung der Leistung oder aufgrund der Aufnahme neuer Leistungen erforderlich oder zweckmäßig ist.

(2) Redaktionelle Änderungen, die den Inhalt der Rechte und Pflichten nicht berühren — etwa Berichtigungen, geänderte Kontaktangaben oder Klarstellungen —, teilt der Anbieter in Textform mit. Eine Bestätigung ist nicht erforderlich.

(3) Alle übrigen Änderungen — einschließlich Preiserhöhungen (A 6), der Hauptleistungspflichten und des Teils B — werden nur mit ausdrücklicher Zustimmung des Kunden wirksam. Der Anbieter legt die neue Fassung im Konto und in Textform zur Bestätigung vor, stellt die Änderungen gegenüber der bisherigen Fassung übersichtlich dar und nennt den beabsichtigten Zeitpunkt des Wirksamwerdens. Dieser liegt mindestens sechs Wochen nach der Vorlage. Eine Zustimmung durch Schweigen findet nicht statt.

(4) Bis zur Bestätigung gilt für den Kunden die zuletzt von ihm bestätigte Fassung unverändert fort. Die Nutzung des Dienstes wird wegen einer ausstehenden Bestätigung nicht eingeschränkt.

(5) Folgen der Nichtbestätigung. Bestätigt der Kunde die neue Fassung nicht bis zum beabsichtigten Zeitpunkt des Wirksamwerdens, bleibt es bei der bisherigen Fassung. Jede Partei kann den Vertrag in diesem Fall zum Ende des dann laufenden Abrechnungszeitraums, frühestens jedoch zum beabsichtigten Zeitpunkt des Wirksamwerdens, in Textform kündigen; A 7 Abs. 2 Satz 3 und A 9 gelten.

(6) Erstattung. Endet der Vertrag nach Absatz 5 vor dem Ende eines im Voraus bezahlten Abrechnungszeitraums, erstattet der Anbieter das anteilige Entgelt für den nicht genutzten Zeitraum innerhalb von 30 Tagen nach Vertragsende.

(7) Jede Fassung bleibt im Konto abrufbar; für den Zeitraum, in dem sie galt, ist sie der maßgebliche Vertrag.

---

A 16 Höhere Gewalt#

(1) Keine Partei haftet für die Nichterfüllung ihrer Pflichten, soweit diese auf einem Ereignis beruht, das außerhalb ihres Einflussbereichs liegt und auch bei Anwendung der gebotenen Sorgfalt nicht abzuwenden war. Dazu zählen insbesondere Naturereignisse, Feuer, Überschwemmung, Krieg, Terroranschläge, Epidemien und behördliche Anordnungen, großflächige Ausfälle des Strom- oder Telekommunikationsnetzes sowie Arbeitskämpfe, an denen die betroffene Partei nicht beteiligt ist.

(2) Die betroffene Partei unterrichtet die andere unverzüglich in Textform und unternimmt zumutbare Anstrengungen, die Auswirkungen zu begrenzen.

(3) Dauert das Ereignis länger als 60 Tage an, kann jede Partei den Vertrag aus wichtigem Grund kündigen.

---

A 17 Schlussbestimmungen#

(1) Rechtswahl. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Gerichtsstand. Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertrag Leipzig. Dasselbe gilt, wenn der Kunde keinen allgemeinen Gerichtsstand im Inland hat. Der Anbieter bleibt berechtigt, am allgemeinen Gerichtsstand des Kunden zu klagen.

(3) Rechtsnachfolge. Der Anbieter ist berechtigt, seine Rechte und Pflichten aus diesem Vertrag ganz oder teilweise auf ein von ihm beherrschtes oder aus seinem Unternehmen hervorgehendes Unternehmen zu übertragen. Er kündigt die Übertragung mindestens sechs Wochen vorher in Textform an. Der Kunde kann den Vertrag in diesem Fall zum Zeitpunkt der Übertragung kündigen; A 15 Abs. 6 gilt für die Erstattung entsprechend. Im Übrigen ist eine Übertragung nur mit Zustimmung der anderen Partei zulässig. Eine Gesamtrechtsnachfolge nach dem Umwandlungsgesetz bleibt unberührt.

(4) Streitbeilegung. Eine Verpflichtung oder Bereitschaft zur Teilnahme an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle besteht nicht. Die Europäische Plattform zur Online-Streitbeilegung (OS/ODR) wurde zum 20.07.2025 eingestellt und steht nicht mehr zur Verfügung.

(5) Salvatorische Klausel. Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung (§ 306 Abs. 2 BGB).

(6) Mündliche Nebenabreden bei Vertragsschluss bestehen nicht. Individuelle Vereinbarungen zwischen den Parteien gehen diesen Bedingungen stets vor (§ 305b BGB), gleich in welcher Form sie getroffen werden.

---

TEIL B — Auftragsverarbeitung nach Art. 28 DSGVO#

Dieser Teil ist der Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (DSGVO).

Er wird gemeinsam mit Teil A geschlossen und bedarf keiner gesonderten Urkunde: Art. 28 Abs. 9 DSGVO verlangt Schriftform, „was auch in einem elektronischen Format erfolgen kann". Zeitpunkt des Abschlusses, handelnde Person, Fassung und eine Prüfsumme des vollständigen Dokuments werden protokolliert und sind im Konto unter „Einstellungen → AGB & Auftragsverarbeitung" jederzeit abrufbar und als PDF herunterladbar.

Der Anbieter stellt dem Kunden die webbasierte Fuhrparkverwaltungs-Software Fuhriva als Software-as-a-Service zur Verfügung (Teil A). Bei der Nutzung verarbeitet der Kunde personenbezogene Daten — im Wesentlichen Daten seiner Beschäftigten und Fahrer. Für diese Verarbeitung ist der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; er wird in diesem Teil als Auftraggeber bezeichnet. Soweit verbundene Unternehmen Verantwortliche sind, gilt A 12 Abs. 4. Der Anbieter verarbeitet diese Daten ausschließlich in seinem Auftrag und ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO; er wird in diesem Teil als Auftragnehmer bezeichnet.

Bei Widersprüchen zwischen diesem Teil und Teil A oder Teil C geht dieser Teil vor, soweit es um die Verarbeitung personenbezogener Daten geht (§ 0.3).

---

B 1 Gegenstand, Dauer und Beendigung#

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Software Fuhriva.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Teils A. Er beginnt mit dem Abschluss dieses Vertrags und endet mit der Beendigung des Teils A; die Pflichten aus B 10 bestehen bis zu ihrer Erfüllung fort.

(3) Liegt ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen die Bestimmungen dieses Teils vor, oder kann oder will der Auftragnehmer eine Weisung nicht ausführen, so kann der Auftraggeber den Vertrag insgesamt fristlos aus wichtigem Grund kündigen. Eine gesonderte Kündigung allein dieses Teils gibt es nicht: Teil A und Teil B bilden eine Urkunde, und ohne Teil B wäre die Nutzung der Software datenschutzrechtlich nicht zulässig.

---

B 2 Art, Umfang und Zweck der Verarbeitung#

(1) Art und Zweck. Der Auftragnehmer verarbeitet die Daten ausschließlich zum Zweck der Bereitstellung der vertraglich vereinbarten Leistungen: Speicherung, Organisation, Auswertung und Anzeige von Fuhrpark-, Fahrzeug-, Fahrer- und Belegdaten, Versand von Erinnerungen und Benachrichtigungen, Support sowie technischer Betrieb (Sicherung, Fehlersuche, Wartung).

(2) Ort der Verarbeitung. Die Verarbeitung erfolgt grundsätzlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum. Soweit in Anlage 3.1 ein Dienstleister mit einem Verarbeitungsort außerhalb dieses Gebiets ausgewiesen ist, erfolgt die Übermittlung ausschließlich unter den Voraussetzungen der Art. 44 bis 49 DSGVO auf Grundlage der in Anlage 3.3 genannten Instrumente. Eine Übermittlung an einen dort nicht ausgewiesenen Empfänger in einem Drittland bedarf der vorherigen Zustimmung des Auftraggebers.

(3) Art der Daten und Kategorien betroffener Personen sind in Anlage 1 abschließend beschrieben.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht bestimmungsgemäßer Bestandteil der Leistung. Die Software sieht dafür keine eigenen Felder vor, und der Auftragnehmer wertet solche Daten nicht aus. Der Auftraggeber hat ihre Eingabe zu unterlassen, soweit nichts anderes ausdrücklich vereinbart ist; das betrifft insbesondere Freitextfelder (Notizen der Fahrer- und Führerscheinakte, Schadens- und Reparaturbeschreibungen). Der Auftraggeber beachtet, dass einzelne Führerscheinangaben — etwa Schlüsselzahlen zu Auflagen wie Sehhilfen — Rückschlüsse auf die Gesundheit zulassen können; er erfasst sie nur, soweit er dafür eine Rechtsgrundlage hat. Gelangen solche Daten in die Software, gelten für sie dieselben Schutzmaßnahmen wie für die übrigen Daten dieses Vertrags.

(5) Daten über Verkehrsverstöße (Anlage 1.2, Zeile „Fahreignung / Punkte") sind Daten über Straftaten oder damit zusammenhängende Sicherungsmaßregeln im Sinne des Art. 10 DSGVO. Das zugehörige Modul ist im Auslieferungszustand abgeschaltet. Der Auftraggeber aktiviert und nutzt es nur, soweit ihm eine Rechtsvorschrift der Union oder eines Mitgliedstaats die Verarbeitung erlaubt, und prüft zuvor die Erforderlichkeit einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

---

B 3 Rechte und Pflichten des Auftraggebers#

(1) Der Auftraggeber ist im Rahmen dieses Vertrags Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

(2) Der Auftraggeber ist allein weisungsbefugt hinsichtlich der verarbeiteten Daten.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er bei der Prüfung der Ergebnisse der Verarbeitung Fehler oder Unregelmäßigkeiten feststellt.

(4) Der Auftraggeber ist verpflichtet, die im Rahmen dieses Vertrags erlangten Informationen über technische und organisatorische Maßnahmen des Auftragnehmers vertraulich zu behandeln.

(5) Der Auftraggeber benennt dem Auftragnehmer eine ansprechbare Person für Fragen des Datenschutzes. Ohne gesonderte Benennung gilt die Person, die diesen Vertrag abgeschlossen hat.

---

B 4 Weisungsgebundenheit (Art. 28 Abs. 3 lit. a DSGVO)#

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland.

(2) Als dokumentierte Weisung gelten dieser Vertrag einschließlich Teil A sowie die Nutzung der Funktionen der Software durch den Auftraggeber und seine Nutzer im vertragsgemäßen Rahmen. Darüber hinausgehende Einzelweisungen erteilt der Auftraggeber in Textform an info@fuhriva.de oder über das Support-System der Software. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Der Auftragnehmer dokumentiert Einzelweisungen und bewahrt sie für die Dauer dieses Vertrags und drei Jahre darüber hinaus auf.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

(4) Eine Verarbeitung außerhalb der Weisungen ist nur zulässig, soweit der Auftragnehmer hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet ist. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

---

B 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)#

(1) Der Auftragnehmer setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

(2) Der Auftragnehmer macht die eingesetzten Personen vor Aufnahme der Tätigkeit mit den für sie geltenden Datenschutzbestimmungen vertraut.

(3) Der Zugriff auf Daten des Auftraggebers ist auf diejenigen Personen beschränkt, die ihn zur Erfüllung der vertraglichen Leistungen benötigen. Zugriffe im Rahmen des Supports, bei denen der Auftragnehmer die Benutzersicht des Auftraggebers einnimmt, sind technisch zeitlich begrenzt und werden protokolliert; das Protokoll ist dem Auftraggeber auf Anforderung zugänglich.

---

B 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)#

(1) Der Auftragnehmer trifft die zur Sicherheit der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Der Stand dieser Maßnahmen bei Vertragsschluss ist in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen der technischen Weiterentwicklung. Dem Auftragnehmer steht es frei, sie anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der in Art. 32 DSGVO genannten Pflichten.

---

B 7 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)#

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3.1 benannt und damit genehmigt. Die in Anlage 3.2 aufgeführten Dienste sind davon nicht erfasst; sie betreffen nicht die dem Auftrag anvertrauten Daten.

(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, teilt er dies dem Auftraggeber mindestens 30 Tage vorher in Textform an die im Konto hinterlegte Adresse mit. Der Auftraggeber kann der Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung aus berechtigtem, datenschutzbezogenem Grund in Textform widersprechen. Widerspricht der Auftraggeber, und lässt sich die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in gleicher Weise erbringen, so ist jede Partei berechtigt, den Vertrag zum Zeitpunkt des beabsichtigten Wechsels zu kündigen; A 15 Abs. 6 gilt für die Erstattung entsprechend.

Die jeweils aktuelle Liste ist zusätzlich jederzeit unter fuhriva.de/unterauftragsverarbeiter abrufbar.

(3) Der Auftragnehmer wählt jeden Unterauftragsverarbeiter sorgfältig aus und schließt mit ihm einen Vertrag nach Art. 28 Abs. 4 DSGVO, der im Wesentlichen dieselben Datenschutzpflichten auferlegt, die den Auftragnehmer nach diesem Teil treffen. Bei Anbietern, die ausschließlich standardisierte Auftragsverarbeitungsbedingungen anbieten, genügen diese, wenn sie hinreichende Garantien für ein gleichwertiges Schutzniveau bieten. Der Auftragnehmer haftet dem Auftraggeber gegenüber für die Einhaltung der Pflichten des Unterauftragsverarbeiters wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO).

(4) Nicht als Unterauftragsverarbeitung im Sinne dieser Bestimmung gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die nicht auf die Verarbeitung personenbezogener Daten des Auftraggebers gerichtet sind (z. B. Telekommunikations- oder Reinigungsleistungen). Der Auftragnehmer trifft auch insoweit angemessene Vorkehrungen zum Schutz der Daten.

---

B 8 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)#

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Kapitel III der DSGVO nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Die Software stellt dem Auftraggeber hierfür eigene Funktionen bereit, insbesondere zur Einsicht, Berichtigung, Löschung und zum Export von Daten. Soweit der Auftraggeber sein Anliegen damit selbst erfüllen kann, gilt die Unterstützungspflicht als erfüllt. Im Übrigen unterstützt der Auftragnehmer auf Anforderung so rechtzeitig, dass der Auftraggeber die Fristen des Art. 12 Abs. 3 DSGVO einhalten kann.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(4) Der Auftragnehmer berichtigt oder löscht Daten nur auf Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu etwas anderem verpflichtet.

---

B 9 Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO)#

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(2) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, in Textform. Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Informationen, die zum Zeitpunkt der Meldung noch nicht vorliegen, reicht er unverzüglich nach.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO sowie, soweit erforderlich, bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer vorherigen Konsultation nach Art. 36 DSGVO.

(4) Meldungen an die Aufsichtsbehörde oder an betroffene Personen gibt ausschließlich der Auftraggeber ab.

---

B 10 Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)#

(1) Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie nach dessen Wahl zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Das gilt unabhängig vom Grund der Beendigung.

(2) Der Auftraggeber teilt dem Auftragnehmer innerhalb von 30 Tagen nach Beendigung mit, ob er die Rückgabe der Daten oder ihre Löschung wünscht. Erteilt er innerhalb dieser Frist keine Weisung, löscht der Auftragnehmer die Daten nach Absatz 3. Unabhängig davon kann der Auftraggeber seine Daten bis zur Beendigung und innerhalb der Frist nach A 9 Abs. 2 jederzeit selbst über die Exportfunktionen der Software herausziehen; nach Beendigung stellt der Auftragnehmer sie auf Anforderung in einem gängigen, maschinenlesbaren Format bereit.

(3) Die Löschung aus den produktiven Systemen erfolgt spätestens 90 Tage nach Beendigung des Vertrags. Aus den Datensicherungen werden die Daten im Rahmen des regulären Sicherungszyklus gelöscht oder überschrieben, spätestens jedoch 90 Tage nach der Löschung aus den produktiven Systemen; bis dahin bleiben sie verschlüsselt, für die weitere Verarbeitung gesperrt und werden ausschließlich zum Zweck der Wiederherstellung vorgehalten. Der Auftragnehmer bestätigt die Löschung auf Anforderung in Textform.

(4) Dokumentationen, die dem Nachweis der auftragsgemäßen Verarbeitung dienen, darf der Auftragnehmer über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen verwahren. Er kann sie dem Auftraggeber zu dessen Entlastung bei Vertragsende übergeben.

---

B 11 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)#

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragnehmer ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Auftraggeber oder einen von diesem beauftragten Prüfer und trägt dazu bei. Der beauftragte Prüfer darf kein Wettbewerber des Auftragnehmers sein und ist zur Verschwiegenheit zu verpflichten.

(3) Überprüfungen erfolgen nach Ankündigung mit angemessener Frist, grundsätzlich mindestens zwei Wochen vorher, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs, in der Regel höchstens einmal je Kalenderjahr. Die Beschränkungen dieses Absatzes gelten nicht, soweit eine Datenschutz-Aufsichtsbehörde eine Prüfung verlangt oder konkrete Anhaltspunkte für einen Verstoß bestehen — insbesondere nach einer Verletzung des Schutzes personenbezogener Daten. In diesen Fällen entfällt die Beschränkung auf einmal jährlich und die Ankündigungsfrist verkürzt sich angemessen.

(4) Der Auftragnehmer kann den Nachweis auch durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Stellen, geeignete Zertifizierungen oder eine Selbstauskunft mit aussagekräftiger Dokumentation der technischen und organisatorischen Maßnahmen führen. Das Recht des Auftraggebers auf eine Überprüfung nach den Absätzen 2 und 3 bleibt unberührt.

(5) Für Überprüfungen, die über die Bereitstellung von Informationen hinausgehen und einen erheblichen Aufwand verursachen, kann der Auftragnehmer eine angemessene Vergütung verlangen; dies gilt nicht, wenn die Überprüfung durch einen vom Auftragnehmer zu vertretenden Umstand veranlasst ist oder von einer Aufsichtsbehörde verlangt wird.

---

B 12 Haftung#

(1) Ansprüche betroffener Personen nach Art. 82 DSGVO werden durch diesen Vertrag nicht beschränkt.

(2) Für die Haftung der Parteien untereinander, einschließlich des Rückgriffs nach Art. 82 Abs. 5 DSGVO, gilt A 11 in Verbindung mit A 11 Abs. 7.

---

B 13 Schlussbestimmungen#

(1) Änderungen und Ergänzungen dieses Teils bedürfen der Textform, soweit sie nicht individuell vereinbart werden (§ 305b BGB).

(2) Änderungen dieses Teils richten sich nach A 15. Sie sind stets Änderungen im Sinne des A 15 Abs. 3 und werden deshalb ausschließlich mit ausdrücklicher Zustimmung des Auftraggebers wirksam; eine Zustimmung durch Schweigen findet nicht statt. Bis dahin gilt die bisherige Fassung fort. Das Einspruchsrecht des Auftraggebers nach Art. 28 Abs. 2 Satz 2 DSGVO gegen den Wechsel von Unterauftragsverarbeitern (B 7 Abs. 2) bleibt daneben unberührt.

(3) Sollten einzelne Bestimmungen dieses Teils unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung (§ 306 Abs. 2 BGB).

(4) Bei Widersprüchen zwischen diesem Teil und Teil A oder Teil C geht dieser Teil vor, soweit es um die Verarbeitung personenbezogener Daten geht (§ 0.3).

(5) Es gilt das Recht der Bundesrepublik Deutschland.

---

TEIL C — Hardware und Telemetrie („Fuhriva Connect")#

Dieser Teil gilt nur für Kunden, die Telematikgeräte bestellen. Für alle anderen ist er ohne Bedeutung. Er geht Teil A vor, soweit es um Kauf, Lieferung und Betrieb der Geräte geht (§ 0.3).

C 1 Gegenstand, getrennte Abrechnung#

(1) Gegenstand dieses Teils sind

• der Kauf von Telematikgeräten („Geräte") einschließlich der darin eingebauten Mobilfunkkarte, und
• die Telemetrie-Leistung: die Anbindung der Geräte, die Übernahme der Messwerte in den Dienst und deren Auswertung, abgerechnet als monatliche Servicegebühr je Gerät.

(2) Die Telemetrie-Leistung wird getrennt vom Tarif nach Teil A abgerechnet. Sie ist ein eigenes, vom Softwareabonnement unabhängiges Abonnement. Eine Kündigung des Tarifs nach Teil A beendet die Telemetrie-Leistung nicht, und umgekehrt. Beide Abonnements sind im Konto unter „Abrechnung" getrennt ausgewiesen. Endet der Vertrag nach Teil A insgesamt, endet mit ihm auch die Telemetrie-Leistung, weil ihre Auswertung ein Konto voraussetzt.

(3) Die abgerechnete Menge ergibt sich aus dem Gerätebestand des Kunden und ist kein vom Kunden einzustellender Wert. Geräte, die der Anbieter als defekt oder ausgemustert führt, werden nicht berechnet. Der Bestand wächst mit der Auslieferung bestellter Geräte.

(4) Der Funktionsumfang der Auswertung hängt davon ab, welche Werte das jeweilige Fahrzeug über seine Diagnoseschnittstelle herausgibt. Das ist fahrzeug- und herstellerabhängig. Eine Beschaffenheitsgarantie für die Verfügbarkeit einzelner Messwerte wird nicht übernommen. Vor der Bestellung steht im Dienst eine Kompatibilitätsauskunft zur Verfügung; sie beruht auf Angaben des Geräteherstellers.

---

C 2 Vertragsschluss, Lieferung, Lieferländer#

(1) Die Bestellung des Kunden im Dienst ist ein verbindliches Angebot. Der Kaufvertrag kommt mit der Bestellbestätigung des Anbieters in Textform zustande.

(2) Geliefert wird nach Deutschland und Österreich. Lieferungen in andere Länder — einschließlich der Schweiz — sind über das Bestellformular nicht möglich und bedürfen einer gesonderten Vereinbarung; sie sind eine Ausfuhr mit eigener zoll-, steuer- und funkrechtlicher Behandlung.

(3) Der Versand ist kostenfrei und wird in der Bestellübersicht und im Bezahlvorgang mit 0,00 EUR ausgewiesen. Der Versand erfolgt versichert per Paketdienst nach Zahlungseingang, bei Rechnungskauf nach Bestellbestätigung.

(4) Teillieferungen sind zulässig, wenn sie dem Kunden zumutbar sind; dem Kunden entstehen dadurch keine zusätzlichen Kosten.

---

C 3 Preise, Zahlung, Eigentumsvorbehalt#

(1) Es gelten die zum Zeitpunkt der Bestellung im Dienst angezeigten Preise. Alle Preise sind Nettopreise zuzüglich der gesetzlichen Umsatzsteuer. Die in der Bestellung ausgewiesenen Preise werden für diese Bestellung festgeschrieben; eine spätere Preisänderung wirkt nicht auf sie zurück. Für die spätere Anpassung der Servicegebühr gilt A 6 entsprechend.

(2) Der Einmalbetrag je Gerät ist mit der Bestellung fällig. Die monatliche Servicegebühr je Gerät wird monatlich oder jährlich im Voraus abgerechnet; der Rhythmus wird bei der Bestellung gewählt und gilt einheitlich für alle Geräte des Kunden.

(3) Die Servicegebühr beginnt nicht mit der Bestellung, sondern nach einer kostenfreien Anfangszeit, die die Lieferzeit abdeckt. Ihr Ende wird dem Kunden vor der Bestellung als Datum angezeigt.

(4) Zahlungsart. Der Einmalbetrag ist grundsätzlich vor der Lieferung zu entrichten (Vorkasse über den Zahlungsdienstleister). Der Anbieter kann einzelnen Kunden den Kauf auf Rechnung einräumen; die gewählte Zahlungsart wird in der Bestellung festgehalten.

(5) Eigentumsvorbehalt. Die gelieferten Geräte bleiben bis zur vollständigen Bezahlung des Einmalbetrags Eigentum des Anbieters (§ 449 BGB). Der Kunde darf sie bis dahin bestimmungsgemäß nutzen, aber nicht veräußern, verpfänden oder zur Sicherheit übereignen. Bei Zugriffen Dritter auf die Vorbehaltsware unterrichtet er den Anbieter unverzüglich.

(6) Die Mobilfunkkarte bleibt Eigentum des Anbieters, auch nach vollständiger Bezahlung des Geräts. Sie ist an das Gerät gebunden und darf nicht in einem anderen Gerät betrieben werden; der Anbieter kann sie technisch an die Gerätekennung binden. Endet die Telemetrie-Leistung, kann der Anbieter die Karte abschalten; das Gerät bleibt Eigentum des Kunden.

---

C 4 Untersuchung und Anzeige von Mängeln, Mängelansprüche, Verjährung#

(1) Der Kunde untersucht die Ware unverzüglich nach Erhalt auf Vollständigkeit und offensichtliche Mängel und zeigt festgestellte Mängel dem Anbieter unverzüglich, spätestens innerhalb von zehn Werktagen nach Erhalt, in Textform an. Verdeckte Mängel zeigt er innerhalb von zehn Werktagen nach ihrer Entdeckung an.

(2) Diese Obliegenheit gilt unabhängig davon, ob der Kunde Kaufmann im Sinne des § 1 HGB ist. Versäumt der Kunde die Anzeige, sind Ansprüche wegen des nicht rechtzeitig angezeigten Mangels ausgeschlossen. Ansprüche wegen Vorsatzes, grober Fahrlässigkeit, arglistigen Verschweigens, wegen der Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz und aus der Garantie nach C 5 bleiben unberührt. Für Kunden, die Kaufleute sind, bleibt § 377 HGB daneben unberührt.

(3) Bei einem Mangel leistet der Anbieter nach seiner Wahl Nachbesserung oder Ersatzlieferung. Schlägt die Nacherfüllung zweimal fehl, stehen dem Kunden die gesetzlichen Rechte zu.

(4) Verjährung. Ansprüche wegen Mängeln der gelieferten Geräte verjähren in zwölf Monaten ab Ablieferung. Das gilt nicht für Ansprüche wegen Vorsatzes oder grober Fahrlässigkeit, aus der Garantie nach C 5, wegen arglistig verschwiegener Mängel, wegen der Verletzung von Leben, Körper oder Gesundheit sowie für Ansprüche nach dem Produkthaftungsgesetz. Für die Haftung gilt im Übrigen A 11.

---

C 5 Gerätegarantie#

(1) Der Anbieter übernimmt für die gelieferten Geräte eine Garantie von 24 Monaten ab Ablieferung (§ 443 BGB). Innerhalb dieser Frist tauscht er ein Gerät, das aufgrund eines Material- oder Herstellungsfehlers ausfällt, kostenfrei gegen ein gleichwertiges aus.

(2) Nicht von der Garantie erfasst sind Verlust, Diebstahl, Beschädigungen durch unsachgemäßen Einbau oder Gebrauch, durch Eingriffe Dritter, durch Gewalteinwirkung sowie übliche Verschleißerscheinungen.

(3) Die Garantie besteht neben den gesetzlichen Mängelrechten und beschränkt sie nicht. Sie gilt gegenüber dem Kunden und geht bei einer Weiterveräußerung des Geräts nicht auf den Erwerber über.

---

C 6 Freiwilliges Rückgaberecht#

(1) Der Anbieter räumt dem Kunden freiwillig ein Rückgaberecht von 14 Tagen ab Ablieferung ein. Voraussetzung ist, dass das Gerät unbenutzt und in der ungeöffneten Originalverpackung zurückgesandt wird.

(2) Die Rücksendung kündigt der Kunde in Textform an; die Rücksendekosten trägt der Anbieter.

(3) Den Einmalbetrag erstattet der Anbieter innerhalb von 14 Tagen nach Eingang der Ware, auf demselben Weg, auf dem die Zahlung eingegangen ist. Für Geräte, die zurückgegeben werden, entfällt die Servicegebühr rückwirkend ab Bestellung.

(4) Dieses Rückgaberecht ist eine freiwillige Leistung. Es begründet kein gesetzliches Widerrufsrecht und lässt die gesetzlichen Mängelrechte unberührt.

---

C 7 Kein gesetzliches Widerrufsrecht#

Dieser Vertrag richtet sich ausschließlich an Unternehmer (§ 0.4). Ein gesetzliches Widerrufsrecht nach § 312g BGB besteht für Unternehmer nicht; eine Widerrufsbelehrung wird deshalb nicht erteilt. Das freiwillige Rückgaberecht nach C 6 bleibt davon unberührt.

---

C 8 Laufzeit und Kündigung der Telemetrie-Leistung#

(1) Die Telemetrie-Leistung läuft auf unbestimmte Zeit. Sie kann von beiden Seiten zum Ende des jeweiligen Abrechnungszeitraums gekündigt werden; eine Mindestlaufzeit besteht nicht. A 7 Abs. 2 Satz 3 gilt für die Kündigung durch den Anbieter entsprechend.

(2) Mit Ablauf des bezahlten Zeitraums endet die Übernahme neuer Messwerte und deren Auswertung. Die bis dahin erhobenen Werte bleiben im Konto erhalten und unterliegen den Löschfristen nach C 9 Abs. 4.

(3) Die Hardware bleibt Eigentum des Kunden (C 3 Abs. 5). Eine Wiederaufnahme der Telemetrie-Leistung ist jederzeit möglich.

(4) Die Kündigung der Telemetrie-Leistung berührt den Tarif nach Teil A nicht (C 1 Abs. 2).

---

C 9 Betrieb der Geräte, Mitbestimmung, Löschfristen#

(1) Das Gerät wird vom Kunden selbst in die Diagnoseschnittstelle des Fahrzeugs gesteckt. Es liest ausschließlich aus und greift nicht in Steuergeräte des Fahrzeugs ein. Welche Daten das Gerät erhebt und an den Dienst überträgt, ergibt sich abschließend aus Anlage 1.2.

(2) Der Kunde ist für den rechtmäßigen Einsatz der Geräte in seinem Fuhrpark verantwortlich. Werden die Fahrzeuge von Beschäftigten geführt, weist der Anbieter darauf hin, dass der Einsatz technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind, der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG unterliegen kann und dass eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein kann. Die Prüfung und Durchführung obliegt dem Kunden als Verantwortlichem; der Anbieter unterstützt ihn nach B 9. Für die Verarbeitung gilt Teil B.

(3) Der Anbieter verwaltet die Geräte aus der Ferne, um Konfiguration und Firmware aktuell zu halten. Die dafür eingesetzten Dienstleister nennt Anlage 3.1.

(4) Telemetriewerte werden 180 Tage nach ihrer Aufzeichnung gelöscht. Abgeleitete Angaben — Fehlerspeichereinträge nach ihrer Behebung und quittierte Ereignisse — werden nach den in Anlage 1.4 genannten Fristen gelöscht. Ein offener Fehlercode und ein unquittiertes Ereignis werden nicht gelöscht, solange sie offen sind.

(5) Wird ein Gerät einem anderen Fahrzeug oder einem anderen Kunden zugeordnet, werden die am bisherigen Fahrzeug abgeleiteten Angaben gelöscht; Messwerte, die vor der Zuordnung entstanden sind, werden dem neuen Kunden nicht zugeschrieben.

---

Anlage 1 — Gegenstand der Verarbeitung#

1.1 Kategorien betroffener Personen#

• Beschäftigte des Auftraggebers, die die Software nutzen (Benutzerkonten)
• Fahrerinnen und Fahrer des Auftraggebers, auch ohne eigenen Zugang
• Ansprechpartner des Auftraggebers für Vertrag, Rechnung und Support
• Ansprechpartner von Werkstätten, Partnern und Geschäftspartnern, soweit der Auftraggeber sie erfasst
• Beschäftigte verbundener Unternehmen des Auftraggebers, soweit A 12 Abs. 4 greift

1.2 Art der personenbezogenen Daten#

1.3 Zweck der Verarbeitung#

Bereitstellung und Betrieb der Fuhrparkverwaltung: Verwaltung von Fahrzeugen, Personen und Terminen, Unterstützung bei Dokumentations- und Nachweispflichten des Auftraggebers (Fahrtenbuch, Führerscheinkontrolle, Halterpflichten), Erinnerungen und Benachrichtigungen, Auswertungen für den Auftraggeber, Support sowie technischer Betrieb einschließlich Datensicherung und Fehlersuche.

1.4 Aufbewahrung und Löschung#

---

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)#

2.1 Vertraulichkeit#

Zutrittskontrolle. Die Systeme werden in Rechenzentren der Hetzner Online GmbH in Deutschland an den in Anlage 3.1 genannten Standorten betrieben — die Anwendung, die Datenbank, der Objektspeicher für hochgeladene Dateien und die Datensicherungen. Zutrittsschutz, Videoüberwachung und Besucherverwaltung obliegen dem Rechenzentrumsbetreiber; der Auftragnehmer selbst betreibt keine eigene Serverinfrastruktur mit Kundendaten.

Zugangskontrolle. Der Zugang zu Daten des Auftraggebers erfolgt über persönliche Benutzerkonten, wahlweise mit Passwort oder über ein verknüpftes Google-Konto. Davon ausgenommen sind zwei Wege: das öffentlich zugängliche Demonstrationskonto des Auftragnehmers, das ohne Zugangsdaten betreten werden kann, mit erfundenen Beispieldaten befüllt ist und keine Änderungen an Fahrzeug-, Personen- oder Fahrtdaten zulässt, sowie kurzlebige signierte Verweise auf einzelne Dateien (Standard 10, höchstens 60 Minuten), die ausschließlich ein bereits berechtigter Benutzer ausstellen kann. Passwörter werden ausschließlich als Hash gespeichert, nicht protokolliert und über die unter Weitergabekontrolle beschriebene verschlüsselte Verbindung übertragen. Zwei-Faktor-Authentisierung (TOTP oder Freigabe per App mit Zahlenabgleich) ist verfügbar und kann vom Auftraggeber verpflichtend geschaltet werden; sie wird serverseitig auf allen Endpunkten durchgesetzt, die Kundendaten führen. Administrative Zugänge des Auftragnehmers sind stets durch einen zweiten Faktor gesichert. Anmeldeversuche unterliegen einer IP-genauen Ratenbegrenzung; fehlgeschlagene Anmeldungen werden protokolliert und ausgewertet. Eine IP-Sperrliste steht zur Verfügung.

Zugriffskontrolle. Rollen- und gruppenbasierte Berechtigungen je Konto; Sichtbarkeit von Fahrzeugen und Personen ist zusätzlich einschränkbar. Zugriffe des Auftragnehmers in der Benutzersicht eines Kunden (Impersonation) sind auf 30 Minuten begrenzt, jederzeit widerrufbar und werden mit Zeitpunkt, handelndem Administrator und betroffenem Benutzer protokolliert. Die Protokolleinträge werden 90 Tage aufbewahrt.

Trennungskontrolle. Die Daten mehrerer Auftraggeber liegen in einer gemeinsamen Datenbank und werden logisch getrennt: Abfragen auf Kundendaten werden auf das Konto des angemeldeten Benutzers eingegrenzt. Gehört ein Benutzer mehreren Konten an und wählt eines davon über eine Kopfzeile oder einen Parameter aus, wird diese Angabe serverseitig gegen seine Mitgliedschaften geprüft; ein Konto, dem er nicht angehört, ist darüber nicht erreichbar. Die Einhaltung wird durch einen automatisierten Angriffstest nachgewiesen, der bei jeder Änderung am System läuft: er ruft mit den Zugangsdaten eines Mandanten die Endpunkte mit den Kennungen eines zweiten auf und prüft, dass keine Antwort fremde Daten enthält und dass sich der Bestand des zweiten Mandanten dabei nicht verändert. Die geprüfte Endpunktliste wird dabei aus dem Quelltext abgeleitet, damit sie nicht veraltet.

Dateien werden je Konto getrennt abgelegt und nur an Benutzer des jeweiligen Kontos ausgeliefert; für Clients ohne Sitzung (mobile Anwendung) über signierte Verweise mit höchstens 60 Minuten Gültigkeit.

Pseudonymisierung und Anonymisierung. Die Adresse des anfragenden Rechners wird im Zugriffslog des Webservers vor dem Schreiben um das letzte Oktett bzw. die unteren IPv6-Blöcke gekürzt. IP-Adresse und Browserkennung in Sitzungen werden nach 30 Tagen anonymisiert. Im Reichweiten-Tracking werden IP-Adressen ausschließlich gekürzt gespeichert.

Personelle Maßnahmen. Personen mit Zugriff auf Kundendaten werden vor Aufnahme der Tätigkeit schriftlich auf die Vertraulichkeit verpflichtet (B 5) und in den Grundlagen des Datenschutzes und der Informationssicherheit unterwiesen. Zugangsberechtigungen werden bei Ausscheiden unverzüglich entzogen.

2.2 Integrität#

Weitergabekontrolle. Die Anwendung wird ausschließlich über TLS 1.2 oder 1.3 ausgeliefert. Ein unverschlüsselter Aufruf auf Port 80 wird ohne Verarbeitung auf HTTPS umgeleitet; HSTS verhindert weitere Klartext-Aufrufe. Datenbank und Cache sind ausschließlich im internen Container-Netz erreichbar und aus dem öffentlichen Netz nicht ansprechbar.

Eingabekontrolle. Sicherheitsrelevante Vorgänge — Anmeldungen und fehlgeschlagene Anmeldeversuche, Änderungen an Benutzern, Rollen und Berechtigungen sowie Eingriffe des Auftragnehmers — werden mit Zeitpunkt, handelnder Person, IP-Adresse und Pfad protokolliert und 90 Tage aufbewahrt. Fahrten führen ein Änderungsprotokoll und eine Integritäts-Prüfsumme und sind nach 30 Tagen unveränderlich. Korrekturen durch den Support sind nur mit Begründung möglich und werden gesondert protokolliert.

Schutz vor Schadinhalten. Hochgeladene Dateien sind auf eine feste Liste zulässiger Dateitypen begrenzt; verbreitete ausführbare und skriptfähige Dateiendungen sind zusätzlich gesperrt. Bei Formaten mit einer Dateisignatur wird der tatsächliche Inhalt gegen den vom Browser angegebenen Typ geprüft — bei Text- und E-Mail-Formaten, die keine Signatur besitzen, greift allein die Endungssperre. Ausgeliefert werden hochgeladene Dateien als Download; im Browser angezeigt werden nur Bilder und PDF. Pfadangaben werden gegen Verzeichniswechsel abgesichert. Die HTML-Auslieferung der Weboberfläche erfolgt mit einer Content-Security-Policy auf Nonce-Basis.

2.3 Verfügbarkeit und Belastbarkeit#

Automatisierte, verschlüsselte Datenbanksicherungen mindestens einmal täglich; ohne hinterlegten Sicherungsschlüssel wird keine Sicherung erstellt. Die Sicherungen werden getrennt vom produktiven System gespeichert. Die Wiederherstellbarkeit wird regelmäßig, mindestens einmal je Quartal, durch eine Testwiederherstellung geprüft. Angestrebte Wiederherstellungszeit nach einer Störung: 24 Stunden; maximaler Datenverlust: Änderungen seit der letzten Sicherung. Überwachung von Sicherungslauf, Hintergrundaufträgen und angebundenen Diensten mit Alarmierung bei Ausfall. Getrennte Container für Weboberfläche, Schnittstelle und Hintergrundverarbeitung. Ratenbegrenzung und Begrenzung der Anfragegröße als Schutz vor Überlastung.

2.4 Verfahren zur Überprüfung, Bewertung und Evaluierung#

Auftragskontrolle: die in Anlage 3.1 genannten Dienstleister werden nach B 7 Abs. 3 vertraglich verpflichtet. Datenschutzfreundliche Voreinstellungen: Module, die über die Fahrzeugverwaltung hinaus Personenbezug erzeugen — Fahrzeug-Telemetrie, Führerscheinkontrolle, Fahreignung / Punkte, Poolfahrzeuge, Versicherungen — sind im Auslieferungszustand abgeschaltet und werden erst durch eine Entscheidung des Auftraggebers aktiv. Automatisierte Sicherheits- und Mandantentrennungsprüfungen laufen bei jeder Änderung am System; Abhängigkeiten werden dabei auf bekannte Schwachstellen geprüft. Sicherheitsvorfälle werden nach einem festgelegten Ablauf erkannt, bewertet, dem Auftraggeber nach B 9 gemeldet, dokumentiert und ausgewertet. Die Maßnahmen dieser Anlage werden mindestens einmal jährlich überprüft.

2.5 Verschlüsselung im Ruhezustand#

---

Anlage 3 — Eingesetzte Dienstleister#

Genehmigt mit Abschluss dieses Vertrags (B 7 Abs. 1). Die jeweils geltende Fassung dieser Liste ist zusätzlich öffentlich unter fuhriva.de/unterauftragsverarbeiter abrufbar.

3.1 Unterauftragsverarbeiter#

Diese Dienstleister erhalten personenbezogene Daten, die der Auftraggeber in die Software einbringt — insbesondere Daten seiner Beschäftigten und Fahrer. Die Spalte Nur bei nennt die Bedingung, unter der der Dienst überhaupt Daten erhält; ohne sie findet bei dem betreffenden Auftraggeber keine Übermittlung statt.

3.2 Dienste in eigener Verantwortung des Auftragnehmers#

Diese Dienste sind keine Unterauftragsverarbeiter. Sie stehen hier, weil ihr Fehlen sonst wie eine Lücke aussieht.

3.3 Grundlage der Übermittlung#

Bei den Anbietern mit dem Vermerk „Kein Drittlandtransfer" findet die Verarbeitung ausschließlich innerhalb der Europäischen Union statt.

Soweit ein Unterauftragsverarbeiter personenbezogene Daten in den Vereinigten Staaten verarbeitet oder ein Zugriff aus den Vereinigten Staaten nicht ausgeschlossen ist, stützt sich die Übermittlung vorrangig auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO), soweit der jeweilige Empfänger dort aktiv zertifiziert ist und die Zertifizierung den konkreten Dienst erfasst. Andernfalls — und für den Fall, dass der Angemessenheitsbeschluss entfällt — stützt sie sich auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO) im Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) nebst einer dokumentierten Bewertung der Rechtslage im Empfängerland.

Bei den drei Diensten für mobile Benachrichtigungen (Expo, Apple, Google LLC) werden ausschließlich das Push-Token des Geräts, der Inhalt der Benachrichtigung sowie bei Expo die in Anlage 3.1 genannten technischen Gerätedaten übermittelt; Fahrzeug-, Fahrten- und Telematikdaten werden dorthin nicht übermittelt. Der Auftragnehmer gestaltet den Inhalt von Benachrichtigungen datensparsam.

Den jeweils herangezogenen Übermittlungsmechanismus je Empfänger und die Bewertung nach Satz 2 legt der Auftragnehmer dem Auftraggeber auf Anfrage vor.

3.4 Änderungen dieser Liste#

Jede beabsichtigte Hinzuziehung oder Ersetzung teilt der Auftragnehmer mindestens 30 Tage vorher in Textform mit; der Auftraggeber kann innerhalb von 30 Tagen nach Zugang widersprechen (B 7 Abs. 2).

3.5 Nicht aufgeführt#

Nicht aufgeführt sind Dienste, die keine dem Auftrag anvertrauten Daten erhalten. Das sind insbesondere das interne Betriebsmonitoring, das ausschließlich aggregierte Zählwerte ohne Personenbezug übermittelt, sowie Nebenleistungen im Sinne des B 7 Abs. 4.

---

Anlage 4 — Leistungsbeschreibung und Tarife#

(1) Welche Funktionen, Mengengrenzen und Zusatzmodule ein Tarif umfasst, ergibt sich aus der Tarifübersicht auf der Website des Anbieters und aus der Anzeige im Konto unter „Abrechnung". Maßgeblich ist die Fassung, die bei Abschluss oder beim letzten Tarifwechsel gültig war.

(2) Mengengrenzen bestehen je nach Tarif für die Zahl der Fahrzeuge, der Benutzer mit Zugang, der Standorte und für den belegten Speicherplatz. Fahrer ohne Zugang belegen keinen Benutzerplatz.

(3) Zusatzmodule („Erweiterungen") können je nach Tarif enthalten, gegen Aufpreis zubuchbar oder nicht verfügbar sein. Welche Erweiterungen für das Konto verfügbar sind, zeigt der Dienst unter „Erweiterungen" an.

(4) Supportzeiten und Reaktionszeiten. Anfragen werden an Werktagen (Montag bis Freitag, ausgenommen gesetzliche Feiertage am Sitz des Anbieters) von 9 bis 17 Uhr bearbeitet. Eine verbindliche Reaktionszeit ist nur geschuldet, soweit sie für den gebuchten Tarif ausdrücklich zugesagt ist.

(5) Die Telemetrie-Erweiterung „Fuhriva Connect" setzt gelieferte Geräte nach Teil C und ein laufendes Telemetrie-Abonnement voraus. Sie wird unabhängig vom Tarif abgerechnet.

---

Dieser Vertrag wurde elektronisch geschlossen. Fassung, Zeitpunkt, handelnde Person und Prüfsumme sind im Konto unter „Einstellungen → AGB & Auftragsverarbeitung" abrufbar.