Parteien

Diese Vereinbarung wird geschlossen zwischen

• dem Kunden, der die SaaS-Anwendung „Taxidash" auf Grundlage des zwischen den Parteien geschlossenen Hauptvertrags nutzt – im Folgenden Verantwortlicher –,
• und
• Limovo GmbH, Bertolt-Brecht-Str. 36, 70469 Stuttgart, vertreten durch die Geschäftsführung – im Folgenden Auftragsverarbeiterin oder „Limovo" –.

Präambel

Die Auftragsverarbeiterin stellt dem Verantwortlichen die SaaS-Plattform „Taxidash" zur Fuhrpark-, Schicht-, Abrechnungs- und Personalverwaltung bereit. Im Rahmen dieser Leistungserbringung verarbeitet die Auftragsverarbeiterin personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Die Parteien schließen daher zur Erfüllung der Anforderungen des Art. 28 DSGVO diese Vereinbarung.

Diese Vereinbarung ergänzt den Hauptvertrag (Nutzungsvertrag der SaaS-Plattform Taxidash). Soweit zwischen Hauptvertrag und dieser Vereinbarung in datenschutzrechtlichen Fragen Widersprüche bestehen, geht diese Vereinbarung vor; im Übrigen bleibt der Hauptvertrag unberührt.

§ 1 Gegenstand, Dauer und Spezifizierung

1. Gegenstand der Verarbeitung ist die Bereitstellung der SaaS-Funktionen der Plattform „Taxidash" einschließlich des Hostings, der Wartung, des Supports und der dazu erforderlichen automatisierten Verarbeitungen.
2. Diese Vereinbarung gilt für die Laufzeit des Hauptvertrags. Sie endet automatisch mit dessen Beendigung; einer separaten Kündigung bedarf es nicht.
3. Art, Umfang, Zweck, betroffene Personenkategorien und Datenkategorien ergeben sich aus Anlage 1.
4. Der Verantwortliche bleibt im datenschutzrechtlichen Sinne für die Verarbeitung allein verantwortlich. Er entscheidet über die Zwecke und Mittel der Verarbeitung; die Auftragsverarbeiterin trifft hierüber keine Entscheidung.

§ 2 Pflichten des Verantwortlichen

1. Der Verantwortliche ist im Verhältnis zwischen den Parteien allein für die Rechtmäßigkeit der Datenerhebung und -verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt sicher, dass für jede über die Plattform durchgeführte Verarbeitung eine zulässige Rechtsgrundlage besteht, insbesondere bei der Verarbeitung von Gesundheitsdaten (z. B. Krankenscheinen) nach Art. 9 DSGVO i. V. m. § 26 Abs. 3 BDSG.
2. Weisungen werden grundsätzlich in Textform an hey@taxidash.de erteilt. Einzelne Konfigurationen über die Administrationsoberfläche der Plattform gelten als dokumentierte Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO.
3. Der Verantwortliche prüft selbst und im eigenen Interesse, ob die in dieser Vereinbarung und ihren Anlagen beschriebenen technischen und organisatorischen Maßnahmen ein für ihn angemessenes Schutzniveau bieten. Mit Abschluss der Vereinbarung bestätigt er dies.
4. Der Verantwortliche stellt die Auftragsverarbeiterin von Ansprüchen Dritter und behördlichen Maßnahmen frei, die darauf zurückzuführen sind, dass der Verantwortliche der Auftragsverarbeiterin unrichtige, unvollständige oder unzulässige Weisungen erteilt oder seine eigenen datenschutzrechtlichen Pflichten gegenüber Betroffenen verletzt hat.

§ 3 Pflichten der Auftragsverarbeiterin

1. Die Auftragsverarbeiterin verarbeitet die personenbezogenen Daten ausschließlich im Rahmen des Hauptvertrags, dieser Vereinbarung und nach den dokumentierten Weisungen des Verantwortlichen, es sei denn, sie ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet.
2. Die Auftragsverarbeiterin informiert den Verantwortlichen unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.
3. Die Auftragsverarbeiterin trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOM) im Sinne von Art. 32 DSGVO. Sie ist berechtigt, die TOM weiterzuentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.
4. Die Auftragsverarbeiterin verpflichtet die mit der Verarbeitung befassten Personen schriftlich auf die Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
5. Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO im technisch möglichen und zumutbaren Rahmen und entsprechend § 8.
6. Die Auftragsverarbeiterin meldet erkannte Verletzungen des Schutzes personenbezogener Daten innerhalb von 48 Stunden nach Kenntnis in Textform an die hinterlegte Kontaktadresse des Verantwortlichen. Die Meldepflicht des Verantwortlichen nach Art. 33 DSGVO bleibt unberührt.

§ 4 Sub-Auftragsverarbeiter

1. Der Verantwortliche erteilt der Auftragsverarbeiterin mit Abschluss dieser Vereinbarung eine allgemeine schriftliche Genehmigung zur Heranziehung weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter) im Sinne von Art. 28 Abs. 2 Satz 2 DSGVO. Eingesetzte Sub-Auftragsverarbeiter ergeben sich aus Anlage 3.
2. Die Auftragsverarbeiterin informiert den Verantwortlichen über beabsichtigte Änderungen mindestens 30 Tage vor Wirksamkeit in Textform oder durch Aktualisierung der elektronisch zugänglichen Sub-Verarbeiter-Liste. Der Verantwortliche kann innerhalb von 14 Tagen Einspruch in Textform erheben; der Einspruch ist auf wichtige datenschutzrechtliche Gründe zu stützen.
3. Wird der Einspruch fristgerecht und begründet erhoben und können sich die Parteien innerhalb weiterer 30 Tage nicht einigen, ist die Auftragsverarbeiterin berechtigt, den betroffenen Teil der Leistung einzustellen oder den Hauptvertrag mit Frist von einem Monat zum Monatsende zu kündigen. Eine Rückerstattung bereits gezahlter Entgelte erfolgt nicht.
4. Vor der Einbindung eines Sub-Auftragsverarbeiters stellt die Auftragsverarbeiterin sicher, dass dieser auf das in dieser Vereinbarung festgelegte Datenschutzniveau verpflichtet wird.
5. Nebenleistungen wie Telekommunikation, Post, Transport, Wartung, Reinigung, Bewachung oder Datenträger-Entsorgung gelten nicht als Sub-Auftragsverarbeitung, sofern dabei kein regelmäßiger Zugriff auf personenbezogene Daten erfolgt.

§ 5 Drittlandstransfer

1. Die Auftragsverarbeiterin und ihre Sub-Auftragsverarbeiter können personenbezogene Daten in Drittländer außerhalb des EWR übermitteln, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Aktuelle Transfers ergeben sich aus Anlage 3.
2. Soweit Drittlandstransfers auf Standardvertragsklauseln (SCC) gestützt werden, gelten diese im Verhältnis zwischen Auftragsverarbeiterin und dem jeweiligen Sub-Auftragsverarbeiter. Der Verantwortliche bestätigt Kenntnis und Zustimmung.

§ 6 Mitwirkung bei Betroffenenrechten

1. Wenden sich betroffene Personen unmittelbar an die Auftragsverarbeiterin, leitet sie das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet die Anfrage nicht eigenständig.
2. Die Auftragsverarbeiterin unterstützt den Verantwortlichen im technisch möglichen und zumutbaren Rahmen bei der Bearbeitung von Anfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität, Widerspruch).
3. Über die Administrationsoberfläche stellt die Auftragsverarbeiterin Selbstbedienungs-Funktionen bereit (z. B. Account-Löschung, Datenexport). Im Umfang dieser Funktionen ist die Mitwirkung abgegolten.
4. Geht eine Mitwirkung darüber hinaus, ist die Auftragsverarbeiterin berechtigt, sie nach § 8 zu vergüten.

§ 7 Nachweise und Kontrollrechte

1. Die Auftragsverarbeiterin weist die Einhaltung ihrer Pflichten auf Anfrage nach, insbesondere durch Selbstauskunft, anerkannte Zertifizierungen oder Prüfberichte unabhängiger Sachverständiger.
2. Reichen diese Nachweise nicht aus, kann der Verantwortliche eine Vor-Ort-Kontrolle durchführen oder durchführen lassen. Dabei gilt:
   • Kontrolle zu üblichen Geschäftszeiten und nach schriftlicher Ankündigung mit Frist von mindestens 30 Tagen.
   • Beschränkung auf das zur Überprüfung erforderliche Maß.
   • Höchstens eine Vor-Ort-Kontrolle pro Kalenderjahr; zusätzliche Kontrollen nur bei begründetem Anlass.
   • Verschwiegenheitspflicht der prüfenden Personen.
   • Die Kosten der Kontrolle trägt der Verantwortliche, einschließlich des angemessenen Aufwands der Auftragsverarbeiterin (Sätze nach § 8).
3. Wettbewerber der Auftragsverarbeiterin sind als prüfende Personen ausgeschlossen.

§ 8 Vergütung für Mitwirkungsleistungen

1. Die Leistungen nach dieser Vereinbarung sind, soweit nichts anderes geregelt ist, durch das im Hauptvertrag vereinbarte Entgelt abgegolten.
2. Mitwirkungs- und Nachweisleistungen, die über die in der Plattform verfügbaren Selbstbedienungs-Funktionen hinausgehen, werden vergütet:
   • Werktage 9–17 Uhr: 120,00 EUR / Stunde zzgl. USt.
   • Außerhalb dieser Zeiten und an Sonn- und Feiertagen: 180,00 EUR / Stunde zzgl. USt.
3. Mindestabrechnungseinheit 30 Minuten. Reisekosten zusätzlich nach Aufwand.
4. Bei offensichtlich unbegründeten oder exzessiven Anträgen kann die Bearbeitung von einer Kostenvorausleistung abhängig gemacht oder zurückgewiesen werden (Art. 12 Abs. 5 DSGVO analog).
5. Sofern die Mitwirkung durch eine Pflichtverletzung der Auftragsverarbeiterin verursacht wurde, entfällt der Vergütungsanspruch.

§ 9 Haftung

1. Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und im Übrigen nach den allgemeinen gesetzlichen Bestimmungen.
2. Im Innenverhältnis haftet die Auftragsverarbeiterin gegenüber dem Verantwortlichen nur, soweit sie gegen ihre Pflichten zuwidergehandelt hat.
3. Die Haftung für Vermögensschäden ist – soweit gesetzlich zulässig – der Höhe nach auf das in den zwölf Monaten vor dem Schadensereignis gezahlte Netto-Jahresentgelt beschränkt. Diese Begrenzung gilt nicht bei Vorsatz oder grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, bei Übernahme einer Garantie sowie bei zwingender Haftung nach dem Produkthaftungsgesetz.
4. Für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, Datenverlust, ausgebliebene Einsparungen oder verspätete Leistung haftet die Auftragsverarbeiterin nur bei Vorsatz und grober Fahrlässigkeit.
5. Soweit eine Partei aufgrund eines Pflichtverstoßes der anderen Partei haftet, kann sie in dem Umfang Regress nehmen, in dem die andere Partei verantwortlich ist.

§ 10 Rückgabe oder Löschung der Daten

1. Nach Beendigung der Vereinbarung gibt die Auftragsverarbeiterin die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurück oder löscht sie. Hierfür hat der Verantwortliche der Auftragsverarbeiterin innerhalb von 30 Tagen nach Vertragsende eine entsprechende Weisung in Textform zu erteilen.
2. Erfolgt innerhalb dieser Frist keine Weisung, ist die Auftragsverarbeiterin berechtigt, die Daten zu löschen. Eine spätere Wiederherstellung ist ausgeschlossen.
3. Die Auftragsverarbeiterin ist berechtigt, Daten zu speichern, soweit eine gesetzliche Aufbewahrungspflicht besteht (insbesondere § 257 HGB, § 147 AO). Diese Daten werden so gespeichert, dass eine weitere Verarbeitung über die gesetzliche Pflicht hinaus ausgeschlossen ist.
4. Datenexporte erfolgen in einem gängigen, maschinenlesbaren Format. Aufwände, die über die Selbstexport-Funktionen der Plattform hinausgehen, werden nach § 8 vergütet.

§ 11 Schlussbestimmungen

1. Änderungen und Ergänzungen bedürfen der Textform und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung oder Ergänzung dieser Bedingungen handelt.
2. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Gültigkeit der übrigen Bestimmungen unberührt.
3. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts und der kollisionsrechtlichen Verweisungsnormen.
4. Ausschließlicher Gerichtsstand ist Stuttgart, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1 – Gegenstand der Verarbeitung

Zwecke

Bereitstellung der SaaS-Plattform „Taxidash" zur Mitarbeiter-, Schicht-, Abrechnungs-, Fuhrpark- und Compliance-Verwaltung im Taxi- und Mietwagengewerbe.

Art der Verarbeitung

Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung an die in Anlage 3 genannten Sub-Auftragsverarbeiter, Abgleich oder Verknüpfung, Einschränkung, Löschung oder Vernichtung.

Kategorien betroffener Personen

• Mitarbeitende des Verantwortlichen (Fahrer, Bürokräfte, Disponenten),
• Bewerber, soweit Daten in der Plattform erfasst werden,
• ausgeschiedene Mitarbeitende, deren Daten aufbewahrt werden,
• Fahrgäste oder Dritte, die das öffentliche Beschwerdeformular nutzen,
• gesetzliche Vertreter, Ansprechpartner bei Behörden und Versicherern.

Kategorien personenbezogener Daten

• Stammdaten (Name, Anschrift, Geburtsdatum, Telefon, E-Mail),
• Arbeitsvertragsdaten (Rolle, Ein-/Austritt, Beschäftigungsverhältnis),
• Lizenzdaten (Personenbeförderungsschein und Gültigkeit, Führerschein),
• Schicht- und Zeiterfassungsdaten,
• Abrechnungs- und Lohndaten,
• Provider-Daten (Uber, Bolt, SumUp, FreeNow): Trip-, Umsatz-, Trinkgeld- und Zahlungsdaten,
• Bolt-Online-Status der Fahrer (wartet, Fahrt, Pause mit Zeiten und Taxi, ohne Standort) für den Arbeitszeit-Abgleich, Speicherdauer 90 Tage,
• Auszahlungsstand und Buchungen,
• Bußgeld- und Verstoßdaten,
• Fahrzeug-, Schaden- und Versicherungsdaten,
• Krankenscheindaten (Gesundheitsdaten, Art. 9 DSGVO),
• Kommunikations- und Beschwerdedaten,
• IT-Protokolldaten zur Sicherheit und Nachvollziehbarkeit.

Dauer der Verarbeitung

Für die Laufzeit des Hauptvertrags zuzüglich der gesetzlich vorgeschriebenen oder vom Verantwortlichen schriftlich angeordneten Aufbewahrungsfristen.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Die jeweils aktuell gültige Fassung der TOM wird auf Anfrage in Textform zur Verfügung gestellt. Wesentliche Inhalte:

• Zutritts-, Zugangs-, Zugriffs- und Weitergabekontrollen,
• Pseudonymisierung und Verschlüsselung sensibler Felder (AES-256-GCM und libsodium-Secretbox),
• Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme,
• Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit,
• Schulung und Verpflichtung der Beschäftigten auf Vertraulichkeit.

Anlage 3 – Sub-Auftragsverarbeiter und Drittlandstransfers