Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) – Stand: 08.10.2026

Präambel

Der Auftraggeber nutzt die cloud-basierte Fahrschulverwaltungssoftware „ZAIOS FahrPilot“ des Auftragnehmers auf Grundlage der Allgemeinen Geschäftsbedingungen (AGB) des Auftragnehmers (nachfolgend „Hauptvertrag“). Im Rahmen dieser Nutzung verarbeitet der Auftragnehmer im Auftrag des Auftraggebers personenbezogene Daten. Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung gemäß Art. 28 DSGVO.

Dieser AVV ist Bestandteil des Hauptvertrages und tritt mit Abschluss des Hauptvertrages in Kraft.

§ 1 – Gegenstand und Dauer der Verarbeitung

(1) Der Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der cloud-basierten Fahrschulverwaltungssoftware „ZAIOS FahrPilot“ als Software-as-a-Service (SaaS) gemäß dem Hauptvertrag. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Auftrages und nach Weisung des Auftraggebers.

(2) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrages. Der AVV beginnt mit dem Zeitpunkt der Registrierung des Auftraggebers und endet mit der vollständigen Löschung oder Rückgabe aller personenbezogenen Daten gemäß § 9 dieses AVV nach Beendigung des Hauptvertrages.

(3) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich in der Europäischen Union bzw. dem Europäischen Wirtschaftsraum (EU/EWR), sofern in § 6 dieses AVV nicht ausdrücklich etwas anderes bestimmt ist.

§ 2 – Art und Zweck der Verarbeitung

(1) Die Art der Verarbeitung umfasst die Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Abgleich, Verknüpfung, Einschränkung, Löschung und Vernichtung personenbezogener Daten.

(2) Der Zweck der Verarbeitung ist die Verwaltung des Fahrschulbetriebs des Auftraggebers, insbesondere:

• a) die Verwaltung von Fahrschüler-Stammdaten und Ausbildungsdaten;
• b) die Planung und Dokumentation von Fahr- und Theoriestunden;
• c) die Erstellung und Verwaltung von Rechnungen und Zahlungsübersichten;
• d) die Verwaltung von Fahrlehrern, deren Arbeitszeiten und Diensteinsätzen;
• e) die Kommunikation zwischen der Fahrschule, Fahrlehrern und Fahrschülern über das integrierte Chat-System;
• f) die Verwaltung von Prüfungsterminen und Ausbildungsnachweisen;
• g) die technische Sicherstellung des Betriebs einschließlich Datensicherung, Monitoring und Fehlerbehebung.

§ 3 – Kategorien betroffener Personen

Von der Verarbeitung sind die folgenden Kategorien betroffener Personen betroffen:

• a) Fahrschüler: Personen, die bei der Fahrschule des Auftraggebers eine Fahrausbildung absolvieren, einschließlich minderjähriger Personen (Begleitetes Fahren ab 17, Mofaführerschein ab 15);
• b) Fahrlehrer: Beim Auftraggeber beschäftigte oder freiberuflich tätige Fahrlehrer;
• c) Verwaltungspersonal: Mitarbeiter der Fahrschule, die mit administrativen Aufgaben betraut sind und die Software in dieser Funktion nutzen;
• d) Erziehungsberechtigte: Eltern oder sonstige gesetzliche Vertreter minderjähriger Fahrschüler, deren Daten im Rahmen der Ausbildung des Minderjährigen erfasst werden.

§ 4 – Kategorien personenbezogener Daten

Im Rahmen der Auftragsverarbeitung werden die folgenden Kategorien personenbezogener Daten verarbeitet:

• a) Kontaktdaten: Vorname, Nachname, E-Mail-Adresse, Telefonnummer (Festnetz/Mobil), Postanschrift;
• b) Identifikationsdaten: Geburtsdatum, Geschlecht;
• c) Ausbildungsdaten: angestrebte und erteilte Führerscheinklasse(n), Ausbildungsstand, absolvierte Fahr- und Theoriestunden, Prüfungsergebnisse, Teilnahmebescheinigungen, Lehrmittelzuordnungen, Fahrzeugzuordnungen;
• d) Finanzdaten: Rechnungsdaten, Zahlungsstatus, offene Forderungen, Zahlungshistorie;
• e) Beschäftigungsdaten: Fahrlehrerlaubnis-Klassen, Arbeitszeiten, Dienstpläne, Urlaubszeiten (nur Fahrlehrer);
• f) Kommunikationsdaten: Chat-Nachrichten, Benachrichtigungseinstellungen, Kommunikationsprotokolle;
• g) Technische Daten: IP-Adressen, Login-Zeitpunkte, Geräteinformationen, Audit-Logs;
• h) Gesundheitsdaten (besondere Kategorien gemäß Art. 9 DSGVO): Nur in Ausnahmefällen, sofern der Auftraggeber Angaben zu Sehtests, körperlichen Einschränkungen oder sonstigen gesundheitsrelevanten Informationen in der Software erfasst. Die Verantwortung für die Rechtmäßigkeit der Erhebung und Verarbeitung solcher Daten liegt ausschließlich beim Auftraggeber. Der Auftraggeber erfasst solche Angaben nur, soweit sie für die Ausbildung erforderlich sind, und möglichst nur als Vermerk, dass ein Nachweis vorliegt. Der Auftragnehmer speichert sie wie alle personenbezogenen Angaben verschlüsselt mit dem Schlüssel des Auftraggebers; der Zugriff folgt dem Rollenmodell;
• i) Dokumente: Vom Auftraggeber hochgeladene Dokumente (z. B. Lichtbilder, Kopien des Personalausweises, ärztliche Bescheinigungen), soweit diese personenbezogene Daten enthalten.

§ 5 – Pflichten des Auftragsverarbeiters

(1) Weisungsgebundenheit. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern der Auftragnehmer nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die im Hauptvertrag und diesem AVV getroffenen Vereinbarungen gelten als dokumentierte Weisungen. Weitergehende Weisungen bedürfen der Textform.

(2) Vertraulichkeit. Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Auftrags fort.

(3) Technische und organisatorische Maßnahmen. Der Auftragnehmer hat die in § 7 dieses AVV beschriebenen technischen und organisatorischen Maßnahmen (TOMs) implementiert und hält diese während der gesamten Vertragslaufzeit aufrecht. Der Auftragnehmer stellt sicher, dass die Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen ein angemessenes Schutzniveau gewährleisten.

(4) Unterstützung bei Betroffenenrechten. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten des Auftraggebers zur Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer in Kapitel III der DSGVO genannten Rechte (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Erhält der Auftragnehmer einen Antrag einer betroffenen Person direkt, leitet er diesen unverzüglich an den Auftraggeber weiter.

(5) Unterstützung bei Sicherheitsmaßnahmen. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherstellung eines angemessenen Schutzniveaus, der Meldung von Datenschutzverletzungen und der Durchführung von Datenschutz-Folgenabschätzungen.

(6) Informationspflicht. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zu einer Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

§ 6 – Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (nachfolgend „Unterauftragsverarbeiter“) zur Erfüllung des Auftrags einzusetzen. Die zum Zeitpunkt des Abschlusses dieses AVV eingesetzten Unterauftragsverarbeiter sind in der Anlage 1 aufgeführt.

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern rechtzeitig (mindestens 30 Tage im Voraus) in Textform und räumt dem Auftraggeber damit die Möglichkeit ein, gegen derartige Änderungen Einspruch zu erheben (Art. 28 Abs. 2 DSGVO). Erhebt der Auftraggeber innerhalb von 14 (vierzehn) Tagen nach Zugang der Mitteilung keinen Einspruch, gilt die Änderung als genehmigt.

(3) Erhebt der Auftraggeber berechtigten Einspruch gegen den Einsatz eines neuen Unterauftragsverarbeiters, bemühen sich die Parteien um eine einvernehmliche Lösung. Kann keine Einigung erzielt werden, hat der Auftraggeber das Recht, den Hauptvertrag und diesen AVV außerordentlich zu kündigen.

(4) Der Auftragnehmer ist verpflichtet, den Unterauftragsverarbeitern dieselben datenschutzrechtlichen Pflichten aufzuerlegen, die in diesem AVV festgelegt sind, insbesondere die Pflicht, hinreichende Garantien dafür zu bieten, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt (Art. 28 Abs. 4 DSGVO).

(5) Kommt ein Unterauftragsverarbeiter seinen datenschutzrechtlichen Pflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 7 – Technische und organisatorische Maßnahmen

Der Auftragnehmer hat die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO implementiert:

7.1 Zutrittskontrolle

Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen verwehren:

• Die Datenverarbeitung erfolgt ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland mit physischer Zugangskontrolle, Videoüberwachung und Zutrittsprotokollierung nach Angaben des Anbieters.
• Der Auftragnehmer betreibt kein eigenes Rechenzentrum; die physischen Maßnahmen sind Gegenstand des Auftragsverarbeitungsvertrags mit der Hetzner Online GmbH.

7.2 Zugangskontrolle

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können:

• Zugang zu Serversystemen nur über ein privates VPN; der SSH-Dienst ist aus dem Internet nicht erreichbar und nimmt Anmeldungen erst nach einer Prüfung am Konto des Betreibers an.
• Multi-Faktor-Authentifizierung für administrative Zugänge.
• Firewall-Regeln (UFW) mit Deny-All-Standardregel; Zugang nur über explizit freigegebene Adressen und Ports.
• Automatische Sperrung bei wiederholten fehlgeschlagenen Anmeldeversuchen (Fail2ban).
• Serverseitige Verschlüsselung sämtlicher Datenübertragungen mittels TLS (HTTPS).

7.3 Zugriffskontrolle

Maßnahmen, die gewährleisten, dass Berechtigte ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können:

• Rollenbasiertes Berechtigungssystem (RBAC) mit den Stufen Admin, Verwaltung, Fahrlehrer, Schüler, Eltern; Eltern sehen nur Ausbildungsstand, Termine, Rechnungen, Theorieunterricht und Fahrlehrer der mit ihnen verknüpften Fahrschüler; der Betreiberzugang ist davon getrennt und von außen nicht erreichbar.
• Mandantentrennung durch eine eigene Datenbank je Auftraggeber; welche Datenbank eine Anfrage nutzt, bestimmt die Adresse des Auftraggebers. Zusätzlich Zeilenschutz in der Datenbank und Prüfung, dass die Anmeldung zur Adresse passt.
• Das Prinzip der minimalen Rechtevergabe (Least Privilege) wird bei allen Benutzer- und Datenbankzugängen angewendet.
• Getrennte Datenbankbenutzer für Anwendung, Verzeichnis der Auftraggeber und Schlüsselablage; diese können sich nicht gegenseitig vertreten.

7.4 Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung, während des Transports oder der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:

• Verschlüsselung sämtlicher Datenübertragungen mittels TLS 1.2 oder höher.
• Verschlüsselte Datensicherungen (siehe 7.7).
• Kein unverschlüsselter Datentransfer über öffentliche Netze.
• Die verschlüsselte Verbindung (TLS) endet auf dem Server des Auftragnehmers ohne Zwischenstelle. Eingehend sind nur HTTPS und HTTP (Weiterleitung auf HTTPS) offen; die Verwaltung des Servers erfolgt nur über ein eigenes VPN.

7.5 Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind:

• Umfassendes Audit-Logging sämtlicher sicherheitsrelevanter Aktionen (Login-Versuche, Datenänderungen, administrative Eingriffe).
• Auditd-basierte Systemüberwachung auf Betriebssystemebene.
• Protokollierung von sudo-Befehlen (Input und Output).
• Aufbewahrung der Audit-Logs: 2 Jahre; Einträge zu buchhaltungsrelevanten Vorgängen (Rechnungen, Zahlungen, Kasse, Verträge, Lohn und Arbeitszeit, Fahrten- und Tankbuch, Exporte) 10 Jahre ab Ende des Kalenderjahres. Anmelde- und Sitzungsereignisse: 2 Jahre.

7.6 Auftragskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können:

• Dokumentierte Weisungen im Hauptvertrag und in diesem AVV.
• Vertragliche Bindung aller Mitarbeiter an die Weisungen des Auftraggebers.
• Vertragliche Regelungen mit Unterauftragsverarbeitern gemäß § 6.
• Regelmäßige Überprüfung der Einhaltung der Weisungen.

7.7 Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:

• Regelmäßige automatisierte Datensicherungen (täglich, verschlüsselt mit AES-256 nach OpenPGP).
• Aufbewahrung der Sicherungen für 14 Tage, mindestens die 7 neuesten vollständigen Sätze.
• Sicherungen, die der Auftraggeber in der Software selbst anlegt, sind mit AES-256-GCM und einem Schlüssel aus seinem Sicherungspasswort verschlüsselt; aufbewahrt wird die von ihm eingestellte Anzahl.
• Getrennte Aufbewahrung der verschlüsselten Sicherungen auf einem Speicher der Hetzner Online GmbH (Storage Box) in Rechenzentren der Hetzner Online GmbH in Deutschland, nicht auf dem Datenträger der Datenbanken.
• Lebenszeichen der Sicherung mit Alarm bei Fehler oder Ausbleiben (ohne personenbezogene Daten).
• Einsatz von Firewall und Intrusion-Prevention-Systemen zum Schutz vor Angriffen.

7.8 Trennungsgebot (Multi-Tenancy)

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können:

• Eigene Datenbank und eigener Schlüssel je Auftraggeber.
• Die Anwendung beschränkt jede Anfrage auf die Datenbank des Auftraggebers; der Zeilenschutz der Datenbank greift zusätzlich.
• Getrennte Subdomains pro Mandant (z. B. fahrschule.fahrpilot.net) mit Zuordnung über Subdomain-Routing.
• Testsysteme und Produktivsysteme sind physisch voneinander getrennt (separate Server und Datenbanken).

§ 8 – Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten (nachfolgend „Datenschutzverletzung“) bekannt geworden ist. Die Benachrichtigung erfolgt an die vom Auftraggeber bei der Registrierung hinterlegte E-Mail-Adresse.

(2) Die Benachrichtigung hat so rechtzeitig zu erfolgen, dass der Auftraggeber seinen Meldepflichten gemäß Art. 33 DSGVO (Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden) nachkommen kann. Die Benachrichtigung sollte daher unverzüglich, spätestens jedoch innerhalb von 24 (vierundzwanzig) Stunden nach Kenntnisnahme durch den Auftragnehmer erfolgen.

(3) Die Benachrichtigung muss mindestens die folgenden Informationen enthalten, soweit diese zum Zeitpunkt der Meldung bekannt sind:

• a) eine Beschreibung der Art der Datenschutzverletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
• b) den Namen und die Kontaktdaten der Ansprechperson beim Auftragnehmer;
• c) eine Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung;
• d) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenschutzverletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(4) Sofern die Informationen nicht gleichzeitig bereitgestellt werden können, werden sie ohne unangemessene weitere Verzögerung schrittweise bereitgestellt.

(5) Der Auftragnehmer dokumentiert alle Datenschutzverletzungen einschließlich der Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen und stellt diese Dokumentation dem Auftraggeber auf Anfrage zur Verfügung.

§ 9 – Löschung und Rückgabe personenbezogener Daten

(1) Nach Beendigung des Hauptvertrages stellt der Auftragnehmer dem Auftraggeber sämtliche personenbezogenen Daten, die im Rahmen der Auftragsverarbeitung verarbeitet wurden, in einem gängigen, strukturierten und maschinenlesbaren Format (CSV oder JSON) über die in der Software vorgesehene Exportfunktion für einen Zeitraum von 30 (dreißig) Tagen zum Download bereit.

(2) Nach Ablauf der in Absatz 1 genannten Frist löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers unwiderruflich, einschließlich aller vorhandenen Kopien, sofern nicht eine gesetzliche Verpflichtung zur weiteren Speicherung der personenbezogenen Daten besteht. Im Falle einer gesetzlichen Aufbewahrungspflicht werden die betreffenden Daten gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht.

(3) Die Löschung umfasst:

• a) sämtliche Daten in der Produktivdatenbank;
• b) sämtliche Datensicherungen (Backups). Aus Sicherungen wird nicht einzeln gelöscht; sie fallen nach Ablauf ihrer Aufbewahrung (§ 7.7), also spätestens nach 14 Tagen, vollständig weg;
• c) sämtliche Audit-Logs, soweit sie personenbezogene Daten des Auftraggebers enthalten.

(4) Der Auftragnehmer bestätigt dem Auftraggeber die Löschung auf Anfrage in Textform; die Bestätigung nennt den Tag, an dem auch die letzte Sicherung entfällt.

§ 10 – Kontroll- und Prüfrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, sich von der Einhaltung der in diesem AVV getroffenen Vereinbarungen und der datenschutzrechtlichen Bestimmungen beim Auftragnehmer zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber die zur Wahrnehmung der Kontrollrechte erforderlichen Auskünfte zu erteilen, Zugang zu relevanter Dokumentation zu gewähren und die Durchführung von Kontrollen zu ermöglichen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Kontrollen können in folgender Form durchgeführt werden:

• a) Schriftliche Auskunft: Der Auftraggeber kann jederzeit schriftlich Auskunft über die Einhaltung der in diesem AVV festgelegten Pflichten verlangen. Der Auftragnehmer beantwortet solche Anfragen innerhalb von 14 (vierzehn) Werktagen.
• b) Fernprüfung: Der Auftraggeber kann die Vorlage von Nachweisen, Zertifikaten, Prüfberichten unabhängiger Dritter (z. B. Zertifikate und Prüfberichte der Unterauftragsverarbeiter, soweit diese sie bereitstellen) verlangen.
• c) Vor-Ort-Prüfung: Der Auftraggeber hat das Recht, in begründeten Fällen Vor-Ort-Prüfungen beim Auftragnehmer durchzuführen oder durch einen benannten, zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen. Vor-Ort-Prüfungen sind mit einer Vorlaufzeit von mindestens 30 (dreißig) Tagen anzukündigen und so durchzuführen, dass der laufende Geschäftsbetrieb des Auftragnehmers nicht unangemessen gestört wird.

(3) Für den Fall, dass sich Anhaltspunkte für eine Verletzung dieses AVV oder datenschutzrechtlicher Bestimmungen ergeben, hat der Auftraggeber das Recht, Kontrollen auch ohne Einhaltung der in Absatz 2 lit. c genannten Vorlaufzeit durchzuführen.

(4) Die Kosten der Kontrollen trägt grundsätzlich der Auftraggeber, es sei denn, die Kontrolle ergibt Verstöße des Auftragnehmers gegen diesen AVV oder datenschutzrechtliche Bestimmungen.

(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO), soweit dies im Zusammenhang mit der Auftragsverarbeitung erforderlich ist.

§ 11 – Schlussbestimmungen

(1) Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt diejenige wirksame und durchführbare Bestimmung, die dem Sinn und Zweck der unwirksamen oder undurchführbaren Bestimmung am nächsten kommt.

(4) Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag oder sonstigen Vereinbarungen zwischen den Parteien gehen die Regelungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.

(5) Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers (Berlin).

Anlage 1: Liste der Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter sind zum Zeitpunkt des Abschlusses dieses AVV vom Auftragnehmer eingesetzt:

Hinweise:

• Die Nutzung des Unterauftragsverarbeiters Nr. 3 (Meta Platforms) ist optional. Die Funktion ist ab Werk aus. Der Auftragnehmer schaltet sie nur auf schriftliche Weisung des Auftraggebers ein.
• Cloudflare, Inc. (San Francisco, USA) dient nur der Namensauflösung (DNS) der Zone fahrpilot.net; keine Weiterleitung und keine Verarbeitung von Inhalts- oder Anmeldedaten.
• Zur Prüfung von Passwörtern gegen bekannte Datenlecks sendet der Server die ersten fünf Zeichen eines Prüfwerts an den Dienst „Pwned Passwords“. Personenbezogene Daten werden dabei nicht übermittelt. Der Auftraggeber kann die Prüfung abschalten.
• Der Auftragnehmer informiert den Auftraggeber gemäß § 6 Abs. 2 über Änderungen an dieser Liste.

Dieser Auftragsverarbeitungsvertrag wurde zuletzt aktualisiert am 08.10.2026.

ZAIOS UG (haftungsbeschränkt) – info@zaios.net – https://fahrpilot.net