Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 DSGVO · Fassung vom 13. August 2026

§ 1 Gegenstand, Dauer und Weisungsbindung

1. Gegenstand der Verarbeitung ist die Bereitstellung der Software „Freightly" als Software-as-a-Service. Art, Umfang und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.
3. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach den Weisungen des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen und seine Nutzer gilt als Weisung.
4. Weisungen, die über den Leistungsumfang hinausgehen, sind in Textform zu erteilen. Der Auftragsverarbeiter darf dafür eine angemessene Vergütung verlangen.
5. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, unterrichtet er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
6. Eine Verarbeitung für eigene Zwecke findet nicht statt. Ausgenommen ist die Auswertung technischer Betriebsdaten in aggregierter, nicht personenbezogener Form zur Sicherstellung und Verbesserung des Betriebs.

§ 2 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen des Kapitels V der DSGVO; die eingesetzten Dienste und die Grundlagen einer etwaigen Übermittlung sind in Anlage 3 genannt.
2. Er trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
3. Er verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und unterrichtet sie über die einschlägigen Vorgaben. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.
4. Er unterstützt den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Übertragbarkeitsansprüchen betroffener Personen sowie bei einer Datenschutz-Folgenabschätzung, soweit dies erforderlich ist und mit angemessenem Aufwand möglich.
5. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
6. Er berichtigt oder löscht Daten auf Weisung des Verantwortlichen. Löscht der Verantwortliche Daten selbst über die Funktionen der Software, gilt dies als Weisung.
7. Er benennt eine Ansprechstelle für Datenschutzfragen: jb@freightly.io.

§ 3 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.
3. Er unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem Verantwortlichen.
4. Er dokumentiert Verletzungen und die getroffenen Maßnahmen.

§ 4 Weitere Auftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten weiteren Auftragsverarbeiter zu.
2. Der Auftragsverarbeiter darf weitere Auftragsverarbeiter hinzuziehen oder austauschen. Er unterrichtet den Verantwortlichen mindestens vier Wochen vorher in Textform.
3. Der Verantwortliche darf binnen zwei Wochen nach der Unterrichtung aus einem wichtigen, datenschutzrechtlichen Grund widersprechen. Lässt sich der Grund nicht mit angemessenem Aufwand ausräumen, darf jede Partei den Hauptvertrag zum vorgesehenen Wirksamwerden der Änderung kündigen.
4. Der Auftragsverarbeiter schließt mit weiteren Auftragsverarbeitern Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen, und prüft deren Eignung vor Beauftragung.
5. Leistungen Dritter, die nicht der Verarbeitung personenbezogener Daten des Verantwortlichen dienen — etwa Telekommunikation, Reinigung oder Wartung ohne Zugriffsmöglichkeit —, sind keine weiteren Auftragsverarbeiter im Sinne dieser Regelung.

§ 5 Nachweise und Kontrollen

1. Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch Auskunft, durch Vorlage der Beschreibung nach Anlage 2 und, soweit vorhanden, durch Zertifikate oder Prüfberichte.
2. Genügen diese Nachweise nicht, darf der Verantwortliche eine Kontrolle nach Ankündigung mit angemessener Frist, höchstens einmal jährlich und während der üblichen Geschäftszeiten durchführen oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Bei konkretem Anlass ist eine kurzfristige Kontrolle möglich.
3. Kontrollen dürfen den Betrieb nicht unangemessen beeinträchtigen und nicht dazu führen, dass Daten anderer Kunden offengelegt werden. Für den Aufwand einer über Absatz 1 hinausgehenden Kontrolle darf der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 6 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter die Daten des Verantwortlichen für 30 Tage in einem gängigen, maschinenlesbaren Format zum Abruf bereit.
2. Nach Ablauf dieser Frist löscht er die Daten einschließlich vorhandener Kopien. Sicherungskopien werden im Rahmen des üblichen Sicherungszyklus überschrieben, spätestens jedoch innerhalb von 90 Tagen.
3. Bestehen gesetzliche Aufbewahrungspflichten, bleiben die betroffenen Daten für die Dauer der Pflicht gespeichert; sie werden gesperrt und ausschließlich zum Zweck der Erfüllung dieser Pflicht verarbeitet.
4. Die Löschung wird auf Anfrage in Textform bestätigt.

§ 7 Haftung und Schlussbestimmungen

1. Art. 82 DSGVO bleibt unberührt. Im Verhältnis der Parteien untereinander gelten die Haftungsregelungen des Hauptvertrags, soweit dies nach Art. 82 DSGVO zulässig ist.
2. Es gilt deutsches Recht. Gerichtsstand ist Hamburg, soweit der Verantwortliche Kaufmann ist.
3. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
4. Änderungen bedürfen der Textform. Die Anlagen sind Bestandteil dieses Vertrags.

Anlage 1 — Gegenstand der Verarbeitung

Zweck

Bereitstellung einer Anwendung zur Organisation, Dokumentation und Nachverfolgung von Sendungen sowie zur Kommunikation zwischen dem Verantwortlichen und dessen Kunden.

Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen, die die Anwendung nutzen;
• Beschäftigte und Ansprechpartner der Kunden des Verantwortlichen, die einen Portalzugang erhalten oder als Kontakt hinterlegt sind;
• sonstige Personen, die in Sendungsangaben, Dokumenten oder Nachrichten genannt werden.

Arten personenbezogener Daten

• Stammdaten: Name, Firma, Anschrift, Funktion;
• Kontaktdaten: E-Mail-Adresse, Telefon- und Mobilnummer;
• Zugangsdaten: Kennung, Rolle, Zeitpunkt der letzten Anmeldung, Kennung für Push-Nachrichten, Profilbild (freiwillig);
• Inhaltsdaten: Nachrichten im Chat, Notizen, hochgeladene Dokumente und deren Inhalte;
• Protokolldaten: Zeitpunkt und handelndes Konto von Änderungen, Support-Zugriffe;
• steuer- und zollbezogene Kennungen des Unternehmens (EORI, USt-IdNr.), soweit sie einer natürlichen Person zuzuordnen sind.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht in die Anwendung eingestellt werden, insbesondere nicht in Dokumenten oder Notizen.

Anlage 2 — Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle

• Betrieb ausschließlich in zertifizierten Rechenzentren der eingesetzten Dienstleister; eigene Server werden nicht betrieben.
• Zugang zur Anwendung nur nach Anmeldung mit persönlicher Kennung; Kennwörter werden ausschließlich als Hashwert gespeichert.
• Zugänge werden vom Verantwortlichen selbst angelegt, geändert und gesperrt.

Zugriffskontrolle und Trennung

• Trennung der Daten verschiedener Mandanten auf Datenbankebene durch zeilenbasierte Zugriffsregeln (Row Level Security), die auch für privilegierte Verbindungen erzwungen werden.
• Abgestufte Rechte nach Rolle; Portalzugänge sehen ausschließlich Vorgänge der eigenen Firma.
• Spaltengenaue Rechte für Felder, die nur der Auftragsverarbeiter oder nur bestimmte Rollen ändern dürfen.
• Automatisierte Prüfungen der Zugriffsregeln bei jeder Änderung der Software; eine Änderung wird nicht ausgeliefert, wenn eine Prüfung fehlschlägt.

Weitergabe- und Eingabekontrolle

• Verschlüsselte Übertragung (TLS) auf allen Wegen, erzwungen durch HSTS.
• Dokumente liegen in nicht öffentlich adressierbaren Ablagen; der Abruf erfolgt über zeitlich befristete Verweise.
• Protokollierung von Änderungen an Sendungen, Kunden- und Zugangsdaten mit Zeitpunkt und handelndem Konto; das Protokoll ist nicht änderbar.
• Support-Zugriffe auf ein Kundenkonto sind zeitlich begrenzt, begründungspflichtig, protokolliert und für den Verantwortlichen während des Zugriffs sichtbar.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherungen des Datenbestands durch den Datenbankdienstleister.
• Verarbeitung von Serverfunktionen und Datenbank in derselben Region (Frankfurt am Main).
• Überwachung der Erreichbarkeit sowie ein Selbsttest, der Konfiguration und Anbindungen prüft.

Organisation

• Verpflichtung der befassten Personen zur Vertraulichkeit.
• Trennung von Entwicklungs-, Test- und Produktivdaten; für Tests werden keine Produktivdaten verwendet.
• Verfahren zur Erkennung und Meldung von Verletzungen nach § 3 dieses Vertrags.

Anlage 3 — Weitere Auftragsverarbeiter

Der Anbieter für Schiffsdaten (Datalastic) erhält ausschließlich die IMO-Nummer des Schiffes. Eine IMO-Nummer bezeichnet ein Schiff und keine Person; eine Verarbeitung personenbezogener Daten des Verantwortlichen findet dort nach derzeitigem Stand nicht statt.

Unterzeichnung

Dieser Vertrag wird mit dem Hauptvertrag geschlossen. Auf Wunsch stellen wir eine unterschriebene Fassung als PDF bereit — schreiben Sie an jb@freightly.io.