Rechtliches

Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Anlage zu den Allgemeinen Geschäftsbedingungen von optinavo · Stand: 31. Oktober 2026

zwischen dem Kunden (nachfolgend „Auftraggeber“)

und Platform7 mediadesign, Inhaber Samuel Schmidt, Im Grund 8, 35043 Marburg (nachfolgend „Auftragnehmer“)

1. Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die in den AGB beschriebenen Leistungen von optinavo (Geocoding und Tourenoptimierung) zu erbringen.

(2) Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet. Er endet mit dem Vertrag über die Nutzung von optinavo, die Pflichten nach Nr. 10 bestehen fort.

2. Art, Zweck und Umfang der Verarbeitung

Namen, Telefonnummern und sonstige Angaben zu Endkunden sind nicht Gegenstand der Verarbeitung; der Auftraggeber übermittelt sie nicht (§ 7 Abs. 2 AGB).

3. Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Gesetz dies nicht verbietet.

(2) Die Weisungen ergeben sich aus den AGB, diesem Vertrag und der Nutzung des Dienstes durch den Auftraggeber (z. B. Anlegen einer Tour, Start einer Optimierung, Einrichten eines Webhooks). Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

4. Vertraulichkeit

(1) Der Auftragnehmer setzt nur Personen ein, die auf die Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Ist der Auftraggeber Berufsgeheimnisträger im Sinne des § 203 StGB, verpflichtet sich der Auftragnehmer, über fremde Geheimnisse, die ihm bei der Leistungserbringung bekannt werden, Verschwiegenheit zu wahren. Er nimmt davon nur so weit Kenntnis, wie es für die Leistung erforderlich ist. Der Auftragnehmer ist darüber belehrt, dass er sich bei einer unbefugten Offenbarung nach § 203 Abs. 4 StGB strafbar machen kann. Er verpflichtet seine Mitarbeiter und Unterauftragsverarbeiter, soweit sie Kenntnis von solchen Geheimnissen erlangen können, in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen.

5. Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anhang 1 beschrieben sind.

(2) Der Auftragnehmer darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anhang 2 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher per E-Mail über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist in Textform widersprechen. Kann keine Einigung erzielt werden, kann der Auftraggeber den Vertrag zum Zeitpunkt des Wechsels kündigen; verbleibendes Guthaben wird dann erstattet.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die denen dieses Vertrags entsprechen.

(4) Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss, EU-Standardvertragsklauseln).

7. Rechte der Betroffenen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter. Der Auftraggeber kann Touren und Stopps im Kundenportal und über die API jederzeit selbst einsehen und löschen.

8. Mitteilungs- und Unterstützungspflichten

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(2) Er unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen.

9. Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Der Auftraggeber kann Prüfungen, auch vor Ort, nach rechtzeitiger Anmeldung (in der Regel vier Wochen) während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragnehmers ist. Prüfungen sollen den Betrieb nicht unverhältnismäßig stören. Den Aufwand für Prüfungen vor Ort kann der Auftragnehmer angemessen in Rechnung stellen, sofern die Prüfung keinen Verstoß ergibt.

10. Löschung und Rückgabe

(1) Touren, Stopps und Optimierungsergebnisse werden 30 Tage nach dem Tourdatum automatisch gelöscht. Protokolle über Webhook-Zustellungen werden nach 30 Tagen gelöscht.

(2) Zur Beschleunigung wiederkehrender Adressprüfungen speichert der Auftragnehmer die aus einer Adresse ermittelte Koordinate und die normierte Adresse bis zu 30 Tage in einem Zwischenspeicher. Dieser enthält keinen Bezug zum Auftraggeber oder zu einer Tour.

(3) Nach Vertragsende löscht der Auftragnehmer alle Auftragsdaten, spätestens mit Ablauf der Fristen nach Absatz 1 und 2. Datensicherungen werden im Rahmen der üblichen Rotation (Anhang 1) überschrieben. Eine Rückgabe erfolgt über die Export-Funktionen von Kundenportal und API, die dem Auftraggeber bis zum Vertragsende zur Verfügung stehen.

11. Haftung, Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO und im Übrigen die Regelungen der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

---

Anhang 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Server in einem Rechenzentrum des Hosting-Anbieters (Anhang 2) mit dessen Zutrittskontrolle; der Auftragnehmer betreibt keine eigenen Server in Büroräumen.
• Zugang: Verwaltung des Servers nur über verschlüsselte Verbindungen und mit persönlichen Zugangsdaten; Administratoren von optinavo melden sich mit Zwei-Faktor-Authentifizierung an.
• Zugriff: Trennung der Daten je Kunde (Mandantentrennung) in der Anwendung; Zugriff auf Kundendaten nur mit Login oder API-Schlüssel des jeweiligen Kunden. Passwörter und API-Schlüssel werden nur als Hash gespeichert. Begrenzung von Anmeldeversuchen und Anfragen.
• Trennung: Test- und Live-Daten werden getrennt gekennzeichnet und verarbeitet.
• Datenminimierung: keine Namen, Telefonnummern oder Ablagehinweise; Abrechnungsdaten enthalten keine Adressen.

Integrität

• Übertragung ausschließlich verschlüsselt (HTTPS/TLS), auch zu Unterauftragsverarbeitern; Webhooks werden signiert.
• Protokollierung von Verwaltungsaktionen (wer, was, wann).

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung der Datenbank beim Hosting-Anbieter; Sicherungen werden nach der Rotation überschrieben.
• Schutz vor Überlastung durch Anfragelimits und Tagesgrenzen; regelmäßige Sicherheitsupdates.

Überprüfung

• Automatisierte Tests der Mandantentrennung bei jeder Änderung der Anwendung; regelmäßige Überprüfung der Maßnahmen.

Anhang 2: Unterauftragsverarbeiter