mmavanu.
AnmeldenBetrieb anlegen ↗

MAVANU · ARTIKEL 28 DSGVO

Vereinbarung zur Auftragsverarbeitung

Version 2026-10-20.2 · Stand: 20. Oktober 2026

1. Parteien, Abschluss und Gegenstand

Auftraggeber und Verantwortlicher ist der bei der Registrierung bezeichnete Betrieb, vertreten durch die registrierende berechtigte Person. Auftragsverarbeiter ist Siegfried Gaier, SIGAtech Softwareentwicklung (Einzelunternehmen), Mathildenstr. 11, 44793 Bochum, Deutschland, Kontakt: hallo@sigatech.de. Diese Vereinbarung wird bei neuen Betriebsregistrierungen durch die gesonderte Bestätigung und die erfolgreiche Kontoanlage elektronisch geschlossen; Betriebs-/Benutzerzuordnung, Version und Zeitpunkt werden gespeichert. Sie kann über die Druckfunktion gespeichert werden. Für bestehende Betriebe entsteht durch Veröffentlichung allein kein Abschluss; sie können die Vereinbarung über den Kontakt treffen.

Gegenstand ist die Verarbeitung personenbezogener Betriebsdaten zur Bereitstellung der Mavanu-Betriebsverwaltung nach den AGB und den nachstehenden Weisungen. Die Verarbeitung dauert für die Nutzung einschließlich vereinbarter Rückgabe und Löschung an. Diese Vereinbarung geht hinsichtlich der Auftragsverarbeitung widersprechenden allgemeinen Nutzungsbedingungen vor. Eigene Kontoverwaltung, Vertragsnachweise, Kontakt und allgemeine Betriebssicherheit in eigener Verantwortlichkeit des Anbieters sind in den Datenschutzinformationen getrennt beschrieben.

2. Art, Zweck, Daten und betroffene Personen

Verarbeitet werden Erheben durch Eingabe/Upload, Ordnen, Speichern, Abrufen, Bereitstellen an berechtigte Betriebsnutzer, Berechnen, Ändern, Exportieren, Sichern, Wiederherstellen und Löschen. Zwecke sind Kunden-/Objektverwaltung, Auftrags- und Angebotsbearbeitung, Arbeitszeit- und Leistungserfassung, Fahrt-/Material-/Kostenverwaltung, Dokumentation, Rechnungserstellung und betriebliche Auswertung. Eine Nutzung für eigene Werbung, Weiterverkauf oder Training von KI-Systemen ist nicht beauftragt.

Betroffene sind insbesondere Kunden und deren Ansprechpartner, Mitarbeiter und berechtigte Betriebsnutzer, Objektkontaktpersonen, Lieferanten/Belegbeteiligte sowie gegebenenfalls auf zulässig hochgeladenen Bildern erkennbare Personen. Datenarten: Namen und Kontaktdaten; Objektadressen, Zugangshinweise und Schlüsselzuordnungen; Benutzer-/Rollen- und Mitarbeiterdaten; Auftrags-/Angebotsinhalte und Termine; Zeiten, Tätigkeiten, Material, Fahrten und Fahrzeugzuordnungen; Kosten-, Rechnungs- und Zahlungseinträge; Fotos und Dateinamen; technische Zuordnungen sowie bestätigte native Fahrtenzusammenfassungen und Prüfentscheidungen. Roh-GPS-Routen sind kein Gegenstand der Serververarbeitung. Besondere Kategorien nach Art. 9 DSGVO und strafrechtliche Daten sind nicht vorgesehen und dürfen ohne gesonderte Vereinbarung über die geeigneten Voraussetzungen und Schutzmaßnahmen nicht eingestellt werden.

3. Weisungen und Verantwortung des Betriebs

Die Nutzung der vorgesehenen Eingaben, Berechtigungen und Exportfunktionen sowie diese Vereinbarung sind die anfänglichen dokumentierten Weisungen. Weitere Weisungen, insbesondere für Auskunft, Berichtigung, Rückgabe oder Löschung, können durch berechtigte Betriebsvertreter in Textform an den Kontakt erteilt werden. Der Anbieter dokumentiert wesentliche ergänzende Weisungen und prüft die Berechtigung. Mündliche Weisungen sind in Textform zu bestätigen. Der Betrieb bleibt für Rechtsgrundlagen, Informationspflichten, erforderliche Arbeitnehmerregelungen, Datenminimierung und die Rechtmäßigkeit seiner Weisungen verantwortlich.

Der Anbieter verarbeitet nur auf dokumentierte Weisung, auch hinsichtlich etwaiger Übermittlungen in Drittländer. Ist er unions- oder mitgliedstaatlich gesetzlich zu einer abweichenden Verarbeitung verpflichtet, informiert er vorher über diese Pflicht, soweit das Gesetz dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält er eine Weisung für datenschutzwidrig, informiert er den Betrieb unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Unberechtigte Datenzugriffe werden nicht durch eine Weisung legitimiert.

4. Vertraulichkeit und technische und organisatorische Maßnahmen

Der Anbieter stellt sicher, dass zugriffsberechtigte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf das erforderliche Maß beschränkt. Die Pflicht besteht über den jeweiligen Zugriff und das Vertragsende hinaus. Aktuell betreibt der Einzelunternehmer die Anwendung in eigener Administration; ein allgemeiner Zugriff fremder Supportdienste ist nicht vorgesehen.

Nach Art. 32 DSGVO werden unter Berücksichtigung des Risikos insbesondere folgende tatsächlich eingerichtete Maßnahmen verwendet:

Diese Maßnahmen werden risikogerecht überprüft und dürfen unter Wahrung eines mindestens gleichwertigen Schutzniveaus technisch weiterentwickelt werden. Wesentliche sicherheitsrelevante Änderungen werden dokumentiert. Der Betrieb schützt seinerseits Endgeräte, Zugangsdaten und heruntergeladene Exporte.

5. Weitere Auftragsverarbeiter und Verarbeitungsort

Der Betrieb erteilt die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO zum Einsatz weiterer Auftragsverarbeiter nach diesem Verfahren. Die konkret vorgesehene Infrastruktur ist:

Weitere Mavanu-Unterauftragsverarbeiter für Analyse, Karten, Zahlungsabwicklung oder E-Mail-Versand sind derzeit nicht eingerichtet. Der Anbieter informiert den Betrieb vor Aufnahme oder Ersatz weiterer Unterauftragsverarbeiter in Textform oder über eine dokumentierte Kontomitteilung mit mindestens 14 Tagen Vorlauf. Der Betrieb kann innerhalb dieser Frist aus sachlichen Datenschutzgründen widersprechen. Die Parteien klären Schutzmaßnahmen oder eine zumutbare Alternative; gelingt dies nicht, kann die betroffene Leistung vor Einsatz des neuen Dienstleisters beendet und der Datenexport ermöglicht werden. Ein Schweigen ersetzt keine darüber hinaus erforderliche besondere Zustimmung.

Der Anbieter muss jedem eingesetzten weiteren Auftragsverarbeiter die maßgeblichen Datenschutzpflichten, insbesondere ausreichende Garantien für geeignete technische und organisatorische Maßnahmen, vertraglich auferlegen und bleibt gegenüber dem Betrieb für dessen Pflichterfüllung verantwortlich. Eine Drittlandverarbeitung ist nicht beauftragt; sie erfordert vorherige Information, dokumentierte Weisung/Genehmigung und die Voraussetzungen der Art. 44 ff. DSGVO.

Mit Hetzner besteht nach Bestätigung des Betreibers eine Vereinbarung zur Auftragsverarbeitung. Der Betrieb kann Informationen zu den vereinbarten Datenschutzpflichten über den Kontakt anfordern. Die vorliegende Kundenvereinbarung ersetzt den Unterauftragsvertrag nicht.

6. Unterstützung, Vorfälle und Behörden

Der Anbieter unterstützt den Betrieb unter Berücksichtigung der Art der Verarbeitung durch geeignete Maßnahmen bei Anfragen betroffener Personen nach Kapitel III DSGVO und bei seinen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere Sicherheit, Meldung von Verletzungen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung und vorherige Konsultation. Er stellt die ihm verfügbaren erforderlichen Informationen bereit und ermöglicht soweit möglich Korrektur, Export und Löschung. Gehen Anfragen zu Auftragsdaten direkt beim Anbieter ein, informiert er den Betrieb und beantwortet sie inhaltlich nur nach dessen Weisung oder gesetzlicher Verpflichtung.

Verletzungen des Schutzes personenbezogener Auftragsdaten meldet der Anbieter dem Betrieb unverzüglich nach Bekanntwerden über die hinterlegten Kontaktwege. Soweit verfügbar umfasst dies Art des Vorfalls, betroffene Daten-/Personenkategorien und ungefähre Zahl, wahrscheinliche Folgen, ergriffene/geplante Abhilfen und Kontakt. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht; der Anbieter dokumentiert Vorfall und Maßnahmen. Die eigene Meldeentscheidung des verantwortlichen Betriebs wird dadurch nicht ersetzt.

7. Nachweise und Kontrollen

Der Anbieter stellt dem Betrieb alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit und ermöglicht sowie unterstützt Überprüfungen einschließlich Inspektionen durch den Betrieb oder einen von ihm beauftragten unabhängigen Prüfer. Kontrollen werden nach Möglichkeit angemessen angekündigt, abgestimmt und datensparsam durchgeführt; konkrete Vorfälle und behördliche Befugnisse dürfen dadurch nicht verzögert werden. Daten anderer Betriebe und Geheimnisse sind zu schützen, ohne die gesetzlich erforderliche Kontrolle auszuschließen. Verfügbare technische Prüf- und Sicherungsnachweise können zunächst genutzt werden. Zusätzliche Vergütungsansprüche für Kontrollen oder Unterstützung werden mit dieser Vereinbarung nicht eingeführt.

8. Rückgabe, Löschung und Sicherungen

Nach Ende der Verarbeitung gibt der Anbieter nach Wahl des Betriebs alle personenbezogenen Auftragsdaten in einem verfügbaren gebräuchlichen Exportformat zurück oder löscht sie und löscht vorhandene Kopien, soweit keine unions- oder mitgliedstaatliche gesetzliche Aufbewahrungspflicht entgegensteht. Der Betrieb teilt seine Wahl über den Kontakt mit; die Rückgabe beinhaltet auf Wunsch auch anschließende Löschung der beim Anbieter verbleibenden Kopien. Der Anbieter bestätigt die Durchführung und benennt konkret fortbestehende gesetzliche Aufbewahrungspflichten einschließlich Datenumfang und voraussichtlicher Dauer.

Reguläre Sicherungen werden 14 × 24 Stunden ab dem belegten Sicherungszeitpunkt aufbewahrt. Ein stündlicher automatischer Prüflauf entfernt abgelaufene abgeschlossene Generationen; im störungsfreien Betrieb beträgt die zusätzliche Zeit bis zum nächsten Prüflauf höchstens eine Stunde zuzüglich seiner Laufzeit. Aktive oder unvollständige Sicherungen werden nicht als fertige Generation gelöscht. Voraussetzung ist eine frische, erfolgreich integritäts- und wiederherstellungsgeprüfte Generation. Fehlt sie, wird die Löschung zum Schutz der letzten guten Kopie gesperrt und der Ausnahmezustand gemeldet und gezielt bearbeitet; eine fristgerechte Löschung trotz dieses Störfalls wird nicht behauptet.

Eine Löschweisung erfordert zusätzlich die Ermittlung betroffener Backups, administrativer Sicherungen und Restoredaten und deren gezielte Bereinigung oder Löschung; die Rotation ersetzt diese Bearbeitung nicht. Vorübergehende Restdaten bleiben vom normalen Zugriff und jeder anderen Nutzung ausgeschlossen. Bei Wiederherstellung sind dokumentierte Löschweisungen vor erneuter Nutzung anzuwenden. Der Anbieter teilt den Bearbeitungsstand und konkrete Hinderungsgründe mit. Gesetzlich aufzubewahrende Originalbelege sind von der Backupfrist getrennt; eine sofortige pauschale Löschung sämtlicher Kopien wird nicht zugesagt.

9. Schlussregelung

Elektronische Form und dokumentierte Textform sind für diese Vereinbarung und ergänzende Weisungen vorgesehen (Art. 28 Abs. 9 DSGVO). Änderungen werden nachvollziehbar vereinbart; eine neue veröffentlichte Version gilt nicht automatisch rückwirkend. Die gesetzlichen Befugnisse der Aufsichtsbehörden, Rechte betroffener Personen und die Verantwortlichkeit nach der DSGVO bleiben unberührt.