Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Auftraggeber

[NAME UND ADRESSE DES NUTZERS]

Wird beim Vertragsschluss aus Ihren bestätigten Firmenstammdaten übernommen.

Auftragnehmer

ESGO Logistics UG (haftungsbeschränkt)

Bornheimer Str. 127
53119 Bonn

Präambel

Der Auftragnehmer betreibt unter "ESGO Logistics" eine Softwareplattform zur Vermittlung von Transportkapazitäten (Reduktion von Leerfahrten) sowie zur Erstellung CSRD-konformer Nachhaltigkeitsberichte (Scope 3, ISO 14083). Der Auftraggeber nutzt die Plattform in seiner Rolle als Frachtführer/Spediteur ("Anbieter von Transportkapazität") und/oder als Verlader ("Nachfrager von Transportleistungen").

Diese Anlage konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Nutzungsvertrag beschriebenen Auftragsverarbeitung ergeben (Auftragsverarbeitungsvertrag gem. Art. 28 DS-GVO).

Abgrenzung der Verantwortlichkeiten: Gegenstand dieses AVV ist ausschließlich die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Plattformnutzung einbringt und die Beschäftigte, Fahrer, Ansprechpartner oder Geschäftspartner des Auftraggebers betreffen (Verarbeitung im Auftrag, Anlage 1). Nicht Gegenstand dieses AVV sind Verarbeitungen, die der Auftragnehmer in eigener Verantwortlichkeit (Art. 4 Nr. 7 DS-GVO) durchführt, insbesondere: die Verwaltung der Nutzerkonten und Vertragsbeziehung, die Identitäts- und Unternehmensprüfung (KYC/USt-ID-Prüfung), die Abwicklung von Zahlungen und Treuhandbeträgen über Zahlungsdienstleister, die eigene Rechnungsstellung des Auftragnehmers sowie Maßnahmen der Plattformsicherheit und Missbrauchsprävention. Hierüber informiert der Auftragnehmer in seiner Datenschutzerklärung.

Inhaltsübersicht

§1 Gegenstand, Dauer, Spezifizierung
§2 Anwendungsbereich und Verantwortlichkeit
§3 Pflichten des Auftragnehmers
§4 Pflichten des Auftraggebers
§5 Anfragen betroffener Personen

§6 Nachweismöglichkeiten
§7 Weitere Auftragsverarbeiter
§8 Übermittlung in Drittstaaten
§9 Haftung
§10 Informationspflichten, Form, Rechtswahl
Anlage 1: Gegenstand, Art und Zweck
Anlage 2: Technische und organisatorische Maßnahmen

§1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

(1) Aus der Anlage 1 und dem Nutzungsvertrag ergeben sich Gegenstand des Auftrags sowie Art und Zweck der Verarbeitung.

(2) Die Dauer dieses AVV richtet sich nach der Laufzeit des Nutzungsvertrages (Hauptvertrag).

(3) Sonderkündigungsrecht: Der Auftraggeber kann den zugrundeliegenden Hauptvertrag und diesen AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses AVV vorliegt.

§2 Anwendungsbereich und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die im Nutzungsvertrag und in Anlage 1 konkretisiert sind. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich ("Verantwortlicher" im Sinne des Art. 4 Nr. 7 DS-GVO).

(2) Die Weisungen werden durch den Nutzungsvertrag und die Nutzung der Plattformfunktionen festgelegt (z. B. Einstellen einer Route, Hochladen einer TMS-Datei, Anlegen einer Transportanfrage, Freigabe von Daten an den jeweiligen Vertragspartner einer Buchung). Sie können vom Auftraggeber danach schriftlich oder in Textform (z. B. E-Mail) an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform vom Auftraggeber zu bestätigen.

(3) Klarstellung: Die Offenlegung von Daten des Auftraggebers (z. B. operative Ansprechpartner, Lade-/Entladestellen, Fahrzeug- und Fahrerdaten) gegenüber dem jeweils anderen Plattformnutzer im Rahmen der Anbahnung und Abwicklung einer Buchung erfolgt auf Grundlage der durch die Plattformnutzung erteilten Weisung. Der empfangende Plattformnutzer verarbeitet diese Daten in eigener datenschutzrechtlicher Verantwortlichkeit.

§3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer darf personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten, außer es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 lit. a DS-GVO vor und dessen Voraussetzungen werden gewahrt.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde.

(3) Der Auftragnehmer wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen der Datenschutz-Grundverordnung (Art. 32 DS-GVO) genügen. Der Auftragnehmer hat insbesondere technische und organisatorische Maßnahmen zu treffen, gemessen am Risiko für die Rechte und Freiheiten der betroffenen Personen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer gewährleisten. Die Einzelheiten ergeben sich aus Anlage 2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Diese sind vom Auftragnehmer zu dokumentieren. Dabei darf das Sicherheitsniveau der in Anlage 2 genannten Maßnahmen nicht unterschritten werden.

(4) Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gem. Kapitel III der DS-GVO sowie bei der Einhaltung der in Art. 33 bis 36 DS-GVO genannten Pflichten. Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO verpflichtet sich der Auftragnehmer, den Auftraggeber bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.

(5) Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Beschäftigten und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die mit der Verarbeitung der personenbezogenen Daten befassten Personen zur Vertraulichkeit verpflichtet haben und diese Vertraulichkeitsverpflichtung auch nach Beendigung des Auftrags fortbesteht.

(6) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden. Eine Meldung muss mindestens enthalten:

eine Beschreibung des Vorfalls, soweit möglich mit Angabe der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Kategorien und der ungefähren Zahl der betroffenen Datensätze,
den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen,
eine Beschreibung der wahrscheinlichen Folgen des Vorfalls sowie der ergriffenen Maßnahmen zur Behebung und ggf. zur Abmilderung möglicher nachteiliger Auswirkungen.

(7) Der Auftragnehmer nennt dem Auftraggeber den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen: Ivo Wundling, Ivo.Wundling@es-go.com.

(8) Der Auftragnehmer gewährleistet, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen (Art. 32 Abs. 1 lit. d DS-GVO).

(9) Während der Vertragslaufzeit berichtigt oder löscht der Auftragnehmer auf Weisung des Auftraggebers die vertragsgegenständlichen Daten, sofern dies vom Weisungsrahmen umfasst ist. Soweit die Plattform hierfür Selbstbedienungsfunktionen bereitstellt (z. B. Löschen von Routen, Anfragen oder hochgeladenen Dateien), kann der Auftraggeber die Weisung durch deren Nutzung selbst ausführen. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt der Auftragnehmer die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Auftraggeber oder gibt diese an den Auftraggeber zurück, sofern nicht im Vertrag bereits vereinbart. Gesetzliche Aufbewahrungspflichten des Auftragnehmers (z. B. handels- und steuerrechtliche Pflichten hinsichtlich abgeschlossener Transportvermittlungen und Belege) bleiben unberührt; insoweit wird die Verarbeitung eingeschränkt.

(10) Daten, Datenträger sowie sämtliche Dokumente sind nach Auftragsende auf Verlangen (schriftlich oder in Textform) des Auftraggebers entweder herauszugeben — der Auftragnehmer stellt hierfür einen Export in einem gängigen, strukturierten Format bereit — oder zu löschen. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese der Auftraggeber.

§4 Pflichten des Auftraggebers

(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten feststellt.

(2) Der Auftraggeber stellt sicher, dass die von ihm auf die Plattform eingebrachten personenbezogenen Daten (insbesondere Daten eigener Beschäftigter, Fahrer, Ansprechpartner sowie von Kontaktpersonen seiner Kunden und Geschäftspartner) rechtmäßig erhoben wurden und an den Auftragnehmer weitergegeben werden dürfen. Er erfüllt insoweit die Informationspflichten nach Art. 13, 14 DS-GVO gegenüber den betroffenen Personen.

(3) Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO gilt § 3 Abs. 4 entsprechend.

§5 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit Anträgen gemäß Art. 15 bis 21 DS-GVO an den Auftragnehmer, wird der Auftragnehmer die betroffene Person unverzüglich an den Auftraggeber verweisen und leitet den Antrag an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung dieser Anträge im erforderlichen Umfang.

§6 Nachweismöglichkeiten

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem Vertrag niedergelegten Pflichten mit geeigneten Mitteln nach. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die dokumentierten Kontrollen und erforderlichen Auskünfte zur Verfügung zu stellen. Insbesondere ist die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art. 32 DS-GVO nachzuweisen.

(2) Der Nachweis kann erfolgen durch:

aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren),
Selbstaudits,
eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz, ISO 27001, ISO 27018, ISO 27701),
die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO,
die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO.

(3) Kontrollrechte:

a) Der Auftragnehmer verpflichtet sich, den Auftraggeber bei seinen Prüfungen gemäß Art. 28 Abs. 3 Satz 2 lit. h DS-GVO zur Einhaltung der Vorschriften zum Datenschutz sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang zu unterstützen.

b) Die Prüfungen werden durch den Auftraggeber selbst oder einen von ihm beauftragten Dritten durchgeführt. Sollte der beauftragte Dritte in einem Wettbewerbsverhältnis zum Auftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Einspruchsrecht. Beauftragte Dritte müssen durch den Auftraggeber zur Verschwiegenheit verpflichtet werden. Dem Auftragnehmer steht das Recht zu, die Abgabe einer separaten Verschwiegenheitserklärung des beauftragten Dritten zu verlangen.

c) Eine Prüfung kann insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch weitere Maßnahmen erfolgen. Zu den weiteren Maßnahmen zählen die Anforderung von Zertifizierungen, Berichte zu Datenschutzaudits und Inspektionen vor Ort. Inspektionen vor Ort nimmt der Auftraggeber mit angemessener Vorankündigung während der üblichen Geschäftszeiten vor. Die Prüfungen müssen ohne Störung des Betriebsablaufs sowie unter Wahrung der Sicherheits- und Vertraulichkeitsinteressen des Auftragnehmers durchgeführt werden und sind auf eine Prüfung pro Kalenderjahr beschränkt. Ausgenommen sind anlassbezogene Kontrollen. Jede Partei trägt die ihr entstandenen Kosten der Prüfungen (inkl. Nachprüfungen) selbst.

§7 Weitere Auftragsverarbeiter (Subunternehmer)

(1) Ein zustimmungspflichtiges Subunternehmerverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragsverarbeiter mit der im Vertrag vereinbarten Verarbeitung personenbezogener Daten beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen (Art. 28 Abs. 4 DS-GVO) treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten.

(2) Der Einsatz von Subunternehmern als weiteren Auftragsverarbeitern ist nur zulässig, wenn der Auftraggeber vorher zugestimmt hat. Die in Absatz 3 aufgeführten Subunternehmer gelten bei Vertragsschluss als genehmigt.

(3) Bei Vertragsschluss genehmigte Subunternehmer:

Nr.	Subunternehmer	Sitz	Teilleistung	Verarbeitungsort
1	Render Services, Inc. 525 Brannan St, Suite 300, San Francisco, CA 94107, USA	USA	Cloud-Hosting, Bereitstellung der Serverinfrastruktur, Datenbanken und Zwischenspeicher in einem isolierten Private Network	Frankfurt am Main, Deutschland (AWS eu-central-1); Fernzugriff aus den USA nicht ausgeschlossen
2	OpenAI Ireland Ltd. 1 First Flight Coup, Dublin Airport, Co. Dublin, K67 E892, Irland	Irland/USA	KI-gestützte Strukturanalyse und Validierung von CSV-/TMS-Uploads (Validierungs-Pipeline)	EU/USA
3	Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland	Irland/USA	KI-gestützte Strukturanalyse und Validierung von CSV-/TMS-Uploads (Validierungs-Pipeline)	EU/USA
4	Anthropic Ireland, Limited 70 Sir John Rogerson's Quay, Dublin 2, D02 R296, Irland	Irland/USA	KI-gestützte Strukturanalyse und Validierung von CSV-/TMS-Uploads (Validierungs-Pipeline)	EU/USA
5	Google Ireland Limited (Google Maps Platform) / HERE Europe B.V.	Irland / Niederlande	Geocoding und Distanzberechnung von Lade- und Entladeadressen	EU/USA
6	IONOS SE Elgendorfer Str. 57, 56410 Montabaur	Deutschland	Versand von Transaktions- und Benachrichtigungs-E-Mails	Deutschland

Hinweis: Zahlungsdienstleister (Stripe, PayPal) sowie der Dienstleister für die Belegerstellung des Auftragnehmers werden nicht als Subunternehmer im Sinne dieses AVV tätig; sie verarbeiten personenbezogene Daten in eigener Verantwortlichkeit bzw. im Rahmen eigener gesetzlicher Pflichten. Informationen hierzu enthält die Datenschutzerklärung des Auftragnehmers.

(4) Der Auftraggeber stimmt allgemein zu, dass der Auftragnehmer weitere Subunternehmer hinzuzieht. Vor Hinzuziehung oder Ersetzung von Subunternehmern informiert der Auftragnehmer den Auftraggeber mit einer Frist von 14 Tagen in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund gegenüber dem Auftragnehmer widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Zustimmung zur Änderung als gegeben. Liegt ein wichtiger datenschutzrechtlicher Grund vor und ist eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.

(5) Erteilt der Auftragnehmer Aufträge an Subunternehmer, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen.

§8 Übermittlung in Drittstaaten

(1) Eine Verarbeitung in Drittstaaten außerhalb der EU und des EWR findet nur statt, sofern die Voraussetzungen der Art. 44 ff. DS-GVO eingehalten werden.

(2) Das Hosting der Plattform einschließlich der Datenbanken erfolgt in Deutschland (Frankfurt am Main). Bei den in § 7 Abs. 3 genannten Subunternehmern mit Sitz bzw. Konzernmutter in den USA (Hosting-Support, KI-Dienste) kann ein Zugriff aus den USA nicht ausgeschlossen werden bzw. findet eine Verarbeitung in den USA statt. Diese Übermittlungen sind abgesichert durch:

die Zertifizierung des jeweiligen Anbieters unter dem EU-U.S. Data Privacy Framework (DPF) (Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DS-GVO), und/oder
den Abschluss der EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DS-GVO nebst erforderlichenfalls ergänzender Maßnahmen.

(3) Der Auftragnehmer hat mit den eingesetzten KI-Diensteanbietern Auftragsverarbeitungsvereinbarungen geschlossen, die eine Nutzung der übermittelten Daten zum Training von KI-Modellen ausschließen.

(4) Darüber hinaus findet keine Verarbeitung in Drittstaaten statt. Eine weitergehende Übermittlung in Drittstaaten erfolgt nur auf dokumentierte Weisung des Auftraggebers.

§9 Haftung

Eine zwischen den Parteien im Nutzungsvertrag (Hauptvertrag zur Leistungserbringung) vereinbarte Haftungsregelung gilt auch für die Auftragsverarbeitung.

§10 Informationspflichten, Formklausel, Rechtswahl

(1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als "Verantwortlichem" im Sinne der Datenschutz-Grundverordnung liegen.

(2) Dieser AVV kann elektronisch abgeschlossen werden, insbesondere durch Zustimmung in Textform im Rahmen der Registrierung bzw. des Vertragsschlusses auf der Plattform. Änderungen und Ergänzungen dieses AVV und aller seiner Bestandteile bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Bei etwaigen Widersprüchen gehen die Regelungen dieses AVV den Regelungen des Nutzungsvertrages vor. Sollten einzelne Teile dieses AVV unwirksam sein, so berührt dies die Wirksamkeit des AVV im Übrigen nicht.

(4) Es gilt deutsches Recht.

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung

Gegenstand und Zweck der Verarbeitung

Bereitstellung der SaaS-Plattform "ESGO Logistics" zur

Vermittlung von Transportkapazitäten zwischen Frachtführern/Spediteuren und Verladern (Einstellen von Routen und Transportanfragen, Matching, Buchungsanbahnung und -abwicklung, Kommunikation der Vertragsparteien über die Plattform-Chatfunktion),
automatisierten Erfassung, Analyse und Strukturierung von Lieferketten- und Flottendaten (inkl. TMS- und Flottenexporten) mittels KI-gestützter Validierung,
Erstellung CSRD-konformer Nachhaltigkeits- und Emissionsberichte (Scope 3, ISO 14083 / GLEC),
Erstellung von Transportdokument-Entwürfen (z. B. CMR-Frachtbrief-Entwürfe).

Art der personenbezogenen Daten

Bei Nutzung als Frachtführer/Spediteur:

Stammdaten operativer Ansprechpartner (Vor- und Nachname, Funktion),
Kontaktdaten (E-Mail-Adressen, Telefonnummern),
Fahrer- und Fahrzeugdaten (Namen von Fahrern, Fahrzeug-Kennzeichen, Fahrzeug-Identifikatoren), soweit in Routen-, Buchungs- oder Upload-Daten enthalten,
Logistik- und Lieferkettendaten (aktuelle TMS-Exporte, Flottenexporte, historische TMS-Daten, Tankbelege, Telematik-/Verbrauchsdaten), soweit darin personenbezogene Daten enthalten sind,
Inhalte von Transportdokumenten (z. B. CMR-Entwürfe: Absender-, Empfänger- und Fahrerangaben),
Kommunikationsdaten (Chat-Nachrichten und Anhänge im Rahmen der Buchungsabwicklung).

Bei Nutzung als Verlader:

Stammdaten operativer Ansprechpartner (Vor- und Nachname, Funktion),
Kontaktdaten (E-Mail-Adressen, Telefonnummern),
Angaben zu Lade- und Entladestellen einschließlich dortiger Ansprechpartner,
Empfänger- und Absenderdaten aus Transportanfragen und Transportdokumenten, soweit es sich um natürliche Personen oder Kontaktpersonen handelt,
Kommunikationsdaten (Chat-Nachrichten und Anhänge im Rahmen der Buchungsabwicklung).

Rollenübergreifend:

Protokolldaten (z. B. Log-Files, IP-Adressen zur Systemsicherheit), soweit sie im Rahmen der beauftragten Verarbeitung anfallen.

Kategorien betroffener Personen

Beschäftigte des Auftraggebers (z. B. Disponenten, Fuhrparkmanager, Lager-/Rampenpersonal, Management),
Fahrer und Logistik-Mitarbeiter des Auftraggebers (soweit in Routen-, Flotten- oder Tankdaten enthalten),
Ansprechpartner und Beschäftigte von Kunden und Geschäftspartnern des Auftraggebers (z. B. Absender, Empfänger, Ansprechpartner an Lade- und Entladestellen).

Anlage 2: Technische und organisatorische Maßnahmen (TOMs) gem. Art. 32 DS-GVO

1. Zutrittskontrolle (Schutz vor unbefugtem physischem Zutritt)

Das Cloud-Hosting erfolgt bei hochsicheren Dienstleistern (Render via AWS, Region Frankfurt am Main) mit strengen physischen Sicherheitskonzepten (Zutrittskontrollsysteme, Wachdienst, Videoüberwachung).

2. Zugangskontrolle (Schutz vor unbefugter Systemnutzung)

2-Faktor-Authentifizierung (2FA) für alle Administrations- und Infrastrukturzugänge (Hosting, Datenbanken, Quellcode-Verwaltung).
Passwort-Speicherung ausschließlich als salted Hash; Passwortrichtlinien für alle Nutzer.
Serverseitiges Session-Management; automatische Sperrung nach Inaktivität.
Rate Limiting zur Abwehr von Brute-Force-Angriffen auf Authentifizierungs-Endpunkte.

3. Zugriffskontrolle (Schutz vor unbefugtem Lesen, Kopieren, Verändern oder Löschen)

Isolierung der Systeme: Datenbank und interne Dienste befinden sich in einem geschützten Private Network und sind öffentlich nicht erreichbar.
Rollen- und Berechtigungskonzept nach dem Need-to-Know-Prinzip (getrennte Rollen für Verlader, Frachtführer/Spediteure, Vertrieb und Administration).
Objektbezogene Zugriffsprüfungen (Ownership-Checks): Nutzer können nur auf eigene Datensätze bzw. Datensätze ihrer Buchungsbeziehungen zugreifen.
CSRF-Schutz für alle zustandsändernden Anfragen.

4. Trennungskontrolle

Logische Mandantentrennung der Kundendaten über das Datenmodell; getrennte Umgebungen für Entwicklung und Produktion.

5. Besondere Maßnahmen der KI-Validierungs-Pipeline

Die automatisierte Datentransformation im Rahmen der KI-Validierung erfolgt prozessisoliert in einer separaten, ausschließlich intern erreichbaren Ausführungsumgebung (Sandbox), getrennt von der Hauptanwendung.
Vertragliche Verpflichtung der KI-Diensteanbieter (Auftragsverarbeitungsverträge), übermittelte Daten nicht zum Training von KI-Modellen zu verwenden.
Datenminimierung bei der KI-Analyse: Übermittlung von Struktur- und Beispieldaten nur im für die Validierung erforderlichen Umfang.

6. Verschlüsselung und Weitergabekontrolle

Vollständige Verschlüsselung bei der Datenübertragung (TLS 1.2 / 1.3).
Verschlüsselung der ruhenden Daten (Encryption at Rest) auf Datenbank- und Speicherebene.

7. Eingabekontrolle (Nachvollziehbarkeit)

Protokollierung sicherheits- und geschäftsrelevanter Vorgänge (Aktivitäts- und Audit-Logs).

8. Verfügbarkeitskontrolle und Belastbarkeit

Redundantes Backup-System: tägliche automatisierte Backups durch den Hosting-Provider sowie zusätzliche, eigenständig durchgeführte tägliche Backups durch ESGO.
Wiederherstellungsverfahren; Monitoring der Systemverfügbarkeit.

9. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DS-GVO)

Regelmäßige Selbstaudits und Sicherheitsüberprüfungen der Anwendung; Datenschutz-Review bei wesentlichen Funktionsänderungen (Privacy by Design).