Auftragsverarbeitungsvertrag

1. Worum es hier geht und wann dieser Vertrag gilt

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil unserer Nutzungsbedingungen und gilt immer dann, wenn Sie MoverTrack nutzen, um personenbezogene Daten anderer Personen zu verarbeiten — vor allem der Daten Ihrer Kunden.

Es gibt ihn, weil das Datenschutzrecht einen schriftlichen Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter verlangt, und weil Sie genau sehen können sollen, was wir mit den Daten Ihrer Kunden tun.

2. Wer welche Rolle hat

Sie sind der Verantwortliche. Sie entscheiden, welche Kunden erfasst werden, was über sie festgehalten wird und wer einen Tracking-Link erhält. Es sind Ihre Kunden, nicht unsere.

Wir sind Ihr Auftragsverarbeiter. Wir speichern und übermitteln diese Daten, um den Dienst für Sie zu erbringen, und zu keinem eigenen Zweck. Wir verkaufen sie nicht, wir bewerben Ihre Kunden nicht, und wir nutzen sie nicht, um irgendetwas zu trainieren. Informationen, die anonymisiert und zusammengeführt wurden, sodass sie niemanden mehr identifizieren können, sind keine personenbezogenen Daten mehr, und wir dürfen sie verwenden, um den Dienst zu betreiben, zu messen und zu verbessern.

Daneben sind wir für die Daten über Sie — Ihr Konto, Ihre Anmeldung, Ihre Abrechnung — selbst Verantwortlicher. Das regelt unsere Datenschutzerklärung, nicht dieser AVV.

3. Was wir für Sie verarbeiten

Gegenstand und Zweck: die Erbringung des MoverTrack-Dienstes — Terminplanung, Aufträge, Sendungsverfolgungsseiten für Kunden, Nachrichtenversand, Teamverwaltung und, soweit Ihr Tarif dies umfasst, die Umwandlung von WhatsApp-Chats in vorgeschlagene Aufträge.

Dauer: solange Ihr Konto aktiv ist, zuzüglich der Aufbewahrungsfristen nach Ziffer 10.

Kategorien betroffener Personen: Ihre Kunden, die von diesen benannten Kontaktpersonen und Ihre Mitarbeitenden.

Kategorien personenbezogener Daten:

• Namen, Telefonnummern und E-Mail-Adressen Ihrer Kunden;
• die Adressen jedes Auftrags sowie alle Notizen, die Sie einem Auftrag hinzufügen;
• Auftragsdetails, Preise und Auftragshistorie;
• Fotos und Dateien, die Sie oder Ihre Mitarbeitenden zu einem Auftrag hochladen;
• der Standort des Fahrzeugs, solange bei Ihnen die Verfolgung läuft, sowie die daraus resultierende Route und die voraussichtliche Ankunftszeit;
• über den Dienst gesendete oder empfangene WhatsApp-Nachrichten — zu jeder Nachricht der Absender, der Zeitpunkt, die Art der Nachricht und ihr Zustellstatus (aufbewahrt, damit Nachrichten nur gesendet werden, solange WhatsApp dies zulässt, innerhalb seines 24-Stunden-Kundendienstfensters) sowie ihr Inhalt (Text, Fotos, Sprachnachrichten und Dateien), soweit die von Ihnen gewählte Arbeitsweise ihn aufbewahrt;
• Namen, Telefonnummern und Auftragszuweisungen Ihrer Mitarbeitenden.

Die Wahl einer Arbeitsweise in der App ist Ihre Weisung an uns darüber, was wir von Ihren WhatsApp-Chats aufbewahren sollen. Wählen Sie eine, die weniger aufbewahrt, umfasst Ihr Tarif die bisherige nicht mehr oder entfernen Sie Ihre Nummer aus dem Dienst, löschen wir aus dem Dienst von den Nachrichten Ihrer Kunden das, was der Dienst nicht mehr aufbewahrt; die Chats selbst bleiben in WhatsApp.

Wir fragen besondere Kategorien personenbezogener Daten nicht ab und wollen sie auch nicht — Gesundheit, Überzeugungen, biometrische Daten und dergleichen. Bitte schreiben Sie so etwas nicht in eine Auftragsnotiz.

4. Wir handeln nur auf Ihre Weisung

Wir verarbeiten diese Daten nur, soweit es zur Erbringung des Dienstes erforderlich ist, wie in den Bedingungen festgelegt, sowie auf jede weitere dokumentierte Weisung von Ihnen. Sollten wir jemals der Auffassung sein, dass eine Weisung gegen das Datenschutzrecht verstößt, teilen wir Ihnen das mit, statt ihr stillschweigend zu folgen.

Zwingt uns das Gesetz zu einer Verarbeitung oder Offenlegung von Daten über Ihre Weisungen hinaus, informieren wir Sie vorab, sofern uns dies nicht rechtlich untersagt ist.

5. Vertraulichkeit

Der Zugriff ist auf diejenigen beschränkt, die ihn zum Betrieb oder zur Unterstützung des Dienstes benötigen; sie sind zur Vertraulichkeit verpflichtet. MoverTrack wird von einem sehr kleinen Team betrieben; der Kreis der Zugriffsberechtigten ist entsprechend eng.

6. Sicherheit (Annex II — technische und organisatorische Maßnahmen)

Wir treffen dem Risiko angemessene Maßnahmen, darunter:

• Verschlüsselung bei der Übertragung (TLS) für alle Verbindungen zu unseren Servern, Apps und Datenbanken;
• Verschlüsselung im Ruhezustand für die Datenbank und die Sicherungskopien;
• Zugriffsregeln auf Zeilenebene in der Datenbank, sodass ein Konto die Daten eines anderen nicht lesen kann, und auf unseren eigenen Servern eine Prüfung des angemeldeten Kontos und dessen, was es sehen darf, bei jeder Anfrage, die sie beantworten;
• Authentifizierung bei jeder Anfrage, die Kundendaten erreicht, sowie Verwaltungsfunktionen, die auf namentlich benannte Betreiberkonten beschränkt sind;
• die Telefonnummer eines Kunden erreicht die Personen, die für Sie arbeiten, nur, wenn Sie es erlauben, und ein Chat nur, wenn Sie ihnen Zugriff darauf geben;
• Hosting bei etablierten Infrastrukturanbietern (siehe Ziffer 7);
• regelmäßige Überprüfung, wer und was Produktionsdaten erreichen kann.

Dies sind die technischen und organisatorischen Maßnahmen im Sinne von Annex II der durch Ziffer 11 einbezogenen Standardvertragsklauseln. Wir können sie ändern, jedoch nicht in einer Weise, die das Gesamtniveau der Sicherheit wesentlich verringert.

Kein System ist vollkommen sicher, und wir behaupten nichts anderes.

7. Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter ein. Jeder von ihnen ist, wie es das Gesetz vorschreibt, durch schriftliche Datenschutzbedingungen gebunden, und wir bleiben Ihnen gegenüber für deren Handeln verantwortlich:

• Supabase — Datenbank, Authentifizierung und Dateispeicher (EU, Region Frankfurt)
• Vultr — Anwendungsserver für Sendungsverfolgung und Nachrichtenversand (EU, Frankfurt)
• Vercel — Hosting für unsere Websites und die Sendungsverfolgungsseiten für Kunden
• Google — Karten, Geokodierung, Routen- und Entfernungsberechnung; Lesen des Textes eines Chats oder einer Nachricht, um einen Auftrag auszufüllen, wenn Sie darum bitten; unsere E-Mails
• Meta Platforms — Nachrichtenversand über WhatsApp Business
• Stripe — Zahlungsabwicklung (Ihre Abrechnungsdaten; nicht die Ihrer Kunden)
• Resend — Transaktions- und Rechnungs-E-Mails
• Telnyx — Telefonie und Rufnummernanzeige, soweit Sie diese Funktionen nutzen
• Apple und Google — Zustellung von Push-Benachrichtigungen an Ihre Geräte und die der Personen, die für Sie arbeiten
• Expo — Weiterleitung von Push-Benachrichtigungen an Apple und Google; eine Benachrichtigung kann den Namen oder die Nummer eines Kunden und den Text seiner Nachricht enthalten

Diese Liste ist Annex III der durch Ziffer 11 einbezogenen Standardvertragsklauseln. Sie erteilen diesen Unterauftragsverarbeitern eine allgemeine Genehmigung und ermächtigen uns, weitere zu denselben Bedingungen zu beauftragen.

Wir informieren Sie mindestens 30 Tage im Voraus, bevor wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen. Innerhalb dieser Frist können Sie aus nachvollziehbaren, dokumentierten datenschutzrechtlichen Gründen widersprechen. Tun Sie das, bemühen wir uns um eine Änderung, die Ihren Einwand ausräumt; gelingt uns das nicht zu wirtschaftlich zumutbaren Bedingungen, kann jede von uns beiden den betroffenen Teil des Dienstes kündigen, und Ihr einziger Rechtsbehelf ist die Erstattung bereits gezahlter Entgelte für den nicht genutzten Rest des Zeitraums. Ein Widerspruch hemmt die Beauftragung nicht, solange wir darüber sprechen.

8. Unterstützung bei den Rechten Ihrer Kunden

Wenn einer Ihrer Kunden von Ihnen eine Kopie seiner Daten, deren Berichtigung oder deren Löschung verlangt, ist es Ihre Aufgabe, dieses Verlangen zu beantworten — aber wir helfen Ihnen dabei.

Das meiste können Sie selbst im Dienst erledigen. Wo das nicht möglich ist, schreiben Sie an info@movertrack.com, und wir unterstützen Sie in einem Zeitrahmen, der es Ihnen erlaubt, Ihre eigene Frist einzuhalten. Wendet sich ein Kunde unmittelbar an uns, antworten wir nicht an Ihrer Stelle; wir leiten das Anliegen an Sie weiter.

9. Wenn etwas schiefgeht

Erlangen wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die wir für Sie verarbeiten, teilen wir Ihnen dies unverzüglich mit, und zwar mit dem, was wir wissen: was geschehen ist, wer und was nach unserem Kenntnisstand betroffen ist, was wir dagegen unternehmen und was wir Ihnen empfehlen.

Wir unterstützen Sie außerdem in angemessenem Umfang bei jeder Bewertung oder Meldung an die Aufsichtsbehörde, die Sie vornehmen müssen, sowie bei einer Datenschutz-Folgenabschätzung, falls Sie eine benötigen.

10. Löschung und Rückgabe

Sie können Ihre Daten jederzeit exportieren, solange Ihr Konto aktiv ist. Wenn Sie das Konto selbst in der App löschen, entscheiden Sie sich damit für die Löschung: Alles wird sofort gelöscht, exportieren Sie daher vorher, was Sie brauchen. Endet das Konto auf andere Weise, können Sie noch 30 Tage nach dessen Ende exportieren.

Bei Beendigung des Dienstes entscheiden Sie, ob wir Ihre Daten zurückgeben oder löschen. Teilen Sie es uns innerhalb dieser 30 Tage mit. Erhalten wir keine Mitteilung, löschen wir sie.

Danach löschen oder anonymisieren wir die personenbezogenen Daten, die wir für Sie vorhalten, soweit das Gesetz uns nicht zur Aufbewahrung verpflichtet — zum Beispiel Transaktionsaufzeichnungen zu steuerlichen Zwecken. Sicherungskopien laufen in ihrem eigenen Zyklus aus und werden innerhalb von 90 Tagen gelöscht.

11. Internationale Datenübermittlungen und die Standardvertragsklauseln

Unsere Datenbank und unsere Anwendungsserver für europäische Kunden stehen in der EU (Frankfurt). Einige der in Ziffer 7 genannten Unterauftragsverarbeiter sind in den Vereinigten Staaten ansässig, und MoverTrack, LLC ist selbst ein US-amerikanisches Unternehmen, sodass ein Teil der personenbezogenen Daten dorthin übermittelt wird.

Für diese Übermittlungen schließen die Parteien die von der Europäischen Kommission mit Implementing Decision (EU) 2021/914 genehmigten Standardvertragsklauseln, die durch Verweis in diesen AVV einbezogen und wie folgt ausgefüllt werden:

• Module Two (Verantwortlicher an Auftragsverarbeiter) findet Anwendung. Sie sind der Datenexporteur; MoverTrack, LLC ist der Datenimporteur.
• Clause 7 (Beitrittsklausel) findet Anwendung.
• Clause 9 — Option 2, allgemeine schriftliche Genehmigung, mit der in Ziffer 7 geregelten Frist von 30 Tagen.
• Clause 11 — die optionale Regelung zur unabhängigen Streitbeilegung findet keine Anwendung.
• Clause 17 — die Klauseln unterliegen dem Recht Irlands.
• Clause 18 — Streitigkeiten werden vor den Gerichten Irlands ausgetragen.
• Annex I.A (Parteien) — Sie, identifiziert durch Ihr Konto; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
• Annex I.B (Beschreibung der Übermittlung) — die betroffenen Personen, Datenkategorien, Zwecke, Häufigkeit (fortlaufend) und Dauer nach Ziffer 3 dieses AVV.
• Annex I.C (zuständige Aufsichtsbehörde) — die Behörde des EWR-Mitgliedstaats, in dem Sie niedergelassen sind oder in dem Ihr Vertreter niedergelassen ist.
• Annex II (Sicherheitsmaßnahmen) — Ziffer 6 dieses AVV.
• Annex III (Unterauftragsverarbeiter) — Ziffer 7 dieses AVV.

Für Übermittlungen personenbezogener Daten, die dem Datenschutzrecht des Vereinigten Königreichs unterliegen, schließen die Parteien zusätzlich das UK International Data Transfer Addendum nach section 119A of the Data Protection Act 2018, wobei die vorstehenden Klauseln die Approved SCCs sind, Tables 1–3 unter Verweis auf Annex I oben ausgefüllt werden und Table 4 auf neither party gesetzt wird. Für Übermittlungen, die Schweizer Recht unterliegen, gelten Verweise auf die DSGVO als Verweise auf das Swiss FADP, und zuständige Behörde ist der FDPIC.

Ist ein Unterauftragsverarbeiter unter dem EU–US Data Privacy Framework zertifiziert, können wir uns für Übermittlungen an ihn stattdessen auf diese Zertifizierung stützen.

Widersprechen sich die Klauseln und dieser AVV, gehen die Klauseln vor.

12. Audits und Informationen

Wir stellen Ihnen die Informationen zur Verfügung, die Sie vernünftigerweise benötigen, um nachzuweisen, dass wir unsere hier übernommenen Pflichten erfüllen, und wirken an Überprüfungen mit, die das Datenschutzrecht vorschreibt.

Da wir ein sehr kleines Team sind, bedeutet das schriftliche Auskünfte und Unterlagen statt einer Prüfung vor Ort. Soweit eine Prüfung tatsächlich erforderlich ist, kann sie einmal innerhalb von zwölf Monaten durchgeführt werden (häufiger nur, wenn eine Aufsichtsbehörde dies verlangt oder nach einer bestätigten Verletzung, die Ihre Daten betrifft), mit einer schriftlichen Ankündigung von 30 Tagen, während der Geschäftszeiten, ohne den Dienst zu beeinträchtigen, durch eine Person, die nicht unser Wettbewerber ist, unter Wahrung der Vertraulichkeit und auf Ihre Kosten.

13. Verantwortlichkeit zwischen uns

Sie sichern zu, dass Sie für jedes personenbezogene Datum, das Sie in den Dienst eingeben, über eine Rechtsgrundlage verfügen, dass Sie Ihren Kunden die nach dem für sie geltenden Recht erforderlichen Informationen erteilt haben, dass Ihre Weisungen an uns rechtmäßig sind und dass Sie uns keine besonderen Kategorien personenbezogener Daten übermitteln.

Sie stellen uns frei von Ansprüchen, Geldbußen und angemessenen Kosten, die aus einer Verletzung dieser Zusicherung, aus Ihren Weisungen oder aus einem Anspruch eines Ihrer Kunden entstehen, der sich auf Ihr eigenes Handeln oder Unterlassen und nicht auf unseres bezieht.

Die Haftung jeder Partei aus diesem AVV unterliegt den Beschränkungen und Ausschlüssen in Ziffer 18 der Nutzungsbedingungen; diese Beschränkungen gelten für alle Ansprüche aus diesem AVV zusammen mit allen Ansprüchen aus den Bedingungen. Rechte betroffener Personen gegenüber einer von uns beiden aus den Standardvertragsklauseln oder dem anwendbaren Recht werden hierdurch nicht beschränkt.

Nimmt uns eine Aufsichtsbehörde oder ein Gericht gesamtschuldnerisch für etwas in Anspruch, das auf Ihren Weisungen oder Ihrem Verstoß beruht, erstatten Sie uns den auf Sie entfallenden Anteil.

14. Vorrang und Kontakt

Widersprechen sich dieser AVV und die Nutzungsbedingungen beim Umgang mit personenbezogenen Daten, setzt sich dieser AVV durch.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
E-Mail: info@movertrack.com