Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung ist Anlage zu den Allgemeinen Geschäftsbedingungen (AGB) von ForkScan Pro. Sie wird mit dem Vertragsschluss Bestandteil des Vertrags, auch für die Testphase (AGB § 15).

Verantwortlicher ist der Kunde, also das Unternehmen, das ForkScan Pro nach den AGB nutzt. Auftragsverarbeiter ist der Anbieter:

WebPX - Graupner & Kozhevnikov GbR Reumtengrüner Str. 32B 08209 Auerbach Deutschland

Soweit diese Vereinbarung den Datenschutz anders regelt als die AGB, geht sie den AGB vor. Begriffe wie „Verarbeitung“ oder „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die Datenschutz-Grundverordnung (DSGVO) gibt.

Gegenstand ist die Bereitstellung von ForkScan Pro als Software-as-a-Service nach den AGB. Der Anbieter speichert dazu die Daten, die der Kunde und seine Benutzer im Bereich ihres Unternehmens hinterlegen, stellt sie den Benutzern des Kunden in der Web-Anwendung und in den mobilen Apps (sobald diese veröffentlicht sind) zur Verfügung, ändert und löscht sie auf deren Veranlassung, sichert sie und versendet Einladungen in das Team und Erinnerungen an Prüftermine per E-Mail, in den Apps auch als Push-Benachrichtigung.

Zweck der Verarbeitung ist ausschließlich die Erbringung dieser Leistungen für den Kunden.

Die Vereinbarung gilt für die Dauer des Vertrags einschließlich der Testphase und darüber hinaus, solange der Anbieter Daten des Kunden in dessen Auftrag verarbeitet, insbesondere solange sie nach dem Ende einer Testphase oder eines Tarifs gespeichert und lesbar bleiben (AGB § 4).

Verarbeitet werden folgende Arten personenbezogener Daten (Auftragsdaten):

• Angaben zu den Benutzern im Unternehmen des Kunden: Zugehörigkeit zum Unternehmen mit Rolle (Administrator oder Mitglied), Einladungen in das Team mit der E-Mail-Adresse der Eingeladenen und die Angabe, wer einen Eintrag angelegt oder geändert hat; Name und E-Mail-Adresse der Benutzer, soweit sie dafür im Bereich des Unternehmens angezeigt werden
• Fuhrparkdaten: Fahrzeuge mit Bezeichnung, Hersteller, Gerätetyp, Serien- und Inventarnummer, Baujahr, Standort, Betriebsstunden, Status, Fotos und Dokumenten
• Prüftermine (z. B. UVV-Prüfungen) mit Datum, Intervall, Status, Notizen, Prüfer und Prüfbericht
• dokumentierte Fehler mit Fehlercode, Zeitpunkt, Betriebsstunden, Status, Lösung, Notizen und Fotos
• Geräte- und Lizenzdaten der für die Apps registrierten Mobilgeräte des Unternehmens: Lizenzschlüssel, Gerätekennung, Gerätename, Plattform und Zeitpunkt der letzten Nutzung
• weitere personenbezogene Daten, die Benutzer des Kunden in Freitextfeldern, Fotos oder Dokumenten hinterlegen

Betroffen sind die Beschäftigten des Kunden und andere Personen, die ForkScan Pro für ihn nutzen oder dazu eingeladen werden, sowie Personen, die in Einträgen genannt oder auf Fotos und in Dokumenten erkennbar sind, etwa Prüfer.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für ForkScan Pro nicht vorgesehen. Der Kunde sorgt dafür, dass seine Benutzer solche Daten nicht hinterlegen.

Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist. Sie beschreibt die Datenschutzerklärung, insbesondere:

• Benutzerkonten mit Name, E-Mail-Adresse und Anmeldedaten, Anmeldung (auch mit Google oder Apple) und Sitzungen (Abschnitte 4 und 5 der Datenschutzerklärung)
• Vertragsabwicklung und Abrechnung mit dem Kunden einschließlich der Zahlungsabwicklung über Stripe (Abschnitt 9)
• E-Mails zu Konto, Testphase, Abonnement und Zahlungen (Abschnitt 10)
• Sicherheit und Missbrauchserkennung einschließlich der automatischen Sperrung von Gerätelizenzen (Abschnitt 13)
• die Zählung der Fehlercode-Suchen, die eigene Nutzungsstatistik und die Reichweitenmessung (Abschnitt 12) sowie die Markierung ausgelieferter Fehlercode-Texte (Abschnitt 6)
• Praxis-Tipps und Bewertungen, die Benutzer des Kunden im Community-Bereich veröffentlichen; sie sind für alle Kunden von ForkScan Pro sichtbar (Abschnitt 6, AGB § 9)

Stripe ist deshalb kein Unterauftragsverarbeiter nach dieser Vereinbarung. Stripe erhält nur die Angaben für die Abrechnung zwischen Anbieter und Kunde (Abschnitt 9 der Datenschutzerklärung), für die der Anbieter selbst verantwortlich ist, und verarbeitet Daten teilweise in eigener Verantwortung. Fuhrparkdaten, Prüftermine, dokumentierte Fehler und Gerätedaten erhält Stripe nicht.

Der Anbieter verarbeitet die Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet. In einem solchen Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Weisungen des Kunden ergeben sich aus den AGB, dieser Vereinbarung und der Nutzung der Funktionen von ForkScan Pro durch den Kunden und seine Benutzer. Weitere Weisungen erteilen die Administratoren des Kunden in Textform an info@webpx.de.

Ist der Anbieter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

Der Anbieter gewährleistet, dass sich die Personen, die er zur Verarbeitung der Auftragsdaten befugt, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, auch über das Ende ihrer Tätigkeit hinaus. Zugriff auf Auftragsdaten erhalten nur Personen, die ihn für Betrieb, Wartung und Support von ForkScan Pro benötigen.

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Derzeit sind dies:

• Zutritt: Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland. Der Anbieter betreibt keine eigenen Serverräume; den physischen Schutz der Rechenzentren gewährleistet Hetzner.
• Zugang: Passwörter werden nur als kryptografischer Hash gespeichert, Anmeldeversuche werden begrenzt. Ein Benutzerkonto kann in höchstens drei Browsern gleichzeitig angemeldet sein; diese Anmeldungen lassen sich in den Kontoeinstellungen einzeln beenden. Anmeldungen in den mobilen Apps sind an das registrierte Gerät und eine Gerätelizenz gebunden. Konten mit einer Rolle der Plattform (Administration, Moderation und Buchhaltung) erhalten die Rechte dieser Rolle für Daten der Kunden erst, wenn ihre Anmeldung in der Web-Anwendung zusätzlich mit einem zweiten Faktor (Authenticator-App oder Passkey, ersatzweise ein Wiederherstellungscode zum einmaligen Gebrauch) bestätigt ist; eine Bestätigung gilt höchstens 12 Stunden.
• Zugriff: Rollen für Administratoren und Mitglieder eines Unternehmens und für die Administration der Plattform. Auf die Daten eines Unternehmens greifen nur seine Mitglieder und die Administration der Plattform zu; das prüft der Server bei jedem Aufruf. Fotos und Dokumente sind nur über signierte Links abrufbar, die im Web nach höchstens einer Stunde und in den Apps nach höchstens 24 Stunden ablaufen.
• Trennung: Die Daten jedes Kunden sind über die Kennung seines Unternehmens von den Daten anderer Kunden getrennt. Entwicklung und automatische Tests laufen in einer von der Produktion getrennten Umgebung mit Testdaten. In der Produktion prüft der Anbieter Funktionen nur mit eigenen Testkonten; Daten korrigiert er dort über Migrationen, die zuvor mit Testdaten geprüft werden.
• Weitergabe: Daten werden nur verschlüsselt übertragen (TLS). Die mobilen Apps prüfen zusätzlich das Zertifikat des Servers (Zertifikats-Pinning) und signieren Schreibzugriffe; die Erneuerung der Anmeldung verschlüsseln sie zusätzlich.
• Eingabe: Ein internes Änderungsprotokoll hält mit Zeitpunkt und handelnder Person jede Änderung an Fahrzeugen, Prüfterminen und dokumentierten Fehlern fest, im Kundenportal und in den Apps: Anlegen, Ändern, Status, Betriebsstunden, Archivieren, Abschließen und Erledigen, Fotos und Dokumente sowie Löschen. Dabei hält es bei Freitext nur fest, welche Felder geändert wurden, nicht deren Inhalt; bei Status und Terminen den alten und den neuen Wert, bei Fotos deren Anzahl. Außerdem hält es Änderungen am Team (Einladungen, Rollen, Entfernen von Mitgliedern), das Deaktivieren von Geräten und Anfragen zur Freigabe von Lizenzen fest. Einträge, die mit einem Fahrzeug gelöscht werden (geplante Prüftermine und der Verlauf der Betriebsstunden), gehören zu dessen protokollierter Löschung.
• Verfügbarkeit und Belastbarkeit: Die Datenbank wird mit den hochgeladenen Dateien alle zwei Stunden gesichert; jede Sicherung wird nach dem Schreiben auf ihren Inhalt geprüft, verschlüsselt (den Schlüssel zum Entschlüsseln hat nur der Anbieter, er wird auf keinem Server aufbewahrt) und nach 7 Tagen gelöscht. Die Wiederherstellung ist erprobt. Ein zweiter Server des Anbieters in einem anderen Rechenzentrum am selben Standort in Deutschland holt die verschlüsselten Sicherungen stündlich ab und bewahrt sie ebenfalls 7 Tage auf; vom Server der Datenbank aus lassen sie sich dort weder ändern noch löschen. Die Zahl der Anfragen ist an der Schnittstelle der Apps und bei einzelnen Funktionen der Web-Anwendung begrenzt, etwa beim Zurücksetzen des Passworts, bei Bestätigungs-E-Mails und beim Löschen eines Kontos; technische Fehler werden mit Sentry erkannt.
• Überprüfung: automatische Tests und Sicherheitsprüfungen bei jeder Änderung des Codes, darunter die Suche nach versehentlich gespeicherten Zugangsdaten; nächtliche Prüfung der verwendeten Software-Pakete und des Server-Images auf bekannte Schwachstellen; ein festgelegter Ablauf für Sicherheitsvorfälle; Überprüfung dieser Maßnahmen mindestens einmal im Jahr.

Der Anbieter darf die Maßnahmen dem technischen Fortschritt anpassen, wenn das Schutzniveau dabei nicht sinkt. Die jeweils aktuelle Beschreibung erhält der Kunde auf Anfrage. Die Beschreibung der Maßnahmen in diesem § 7 wurde zuletzt am 30. Oktober 2026 angepasst: verschlüsselte Datensicherungen mit einer Kopie auf einem zweiten Server und ein zweiter Faktor für Konten mit einer Rolle der Plattform.

Mit dem Vertragsschluss genehmigt der Kunde die folgenden Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Server für Website, Anwendung, Datenbank, hochgeladene Dateien und Datensicherungen sowie für den eigenen Mailserver des Anbieters, über den alle E-Mails versendet werden. Ort der Verarbeitung: Deutschland.
• Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA: Fehleranalyse; Fehlerberichte können Auftragsdaten enthalten. Ort der Verarbeitung: EU-Region von Sentry (Deutschland), Löschung nach 90 Tagen; ein Zugriff aus den USA ist nicht ausgeschlossen (§ 9).
• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA (Apple Push Notification service): Zustellung von Push-Benachrichtigungen an iPhones und iPads, sobald die iOS-App veröffentlicht ist und der Benutzer Benachrichtigungen erlaubt. Übermittelt werden das Push-Token und der Inhalt der Mitteilung, etwa der Name eines Fahrzeugs und wann seine Prüfung fällig ist. Ort der Verarbeitung: USA.
• Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, und mit ihr verbundene Unternehmen (Firebase Cloud Messaging): Zustellung von Push-Benachrichtigungen an Android-Geräte, sobald die Android-App veröffentlicht ist und der Benutzer Benachrichtigungen erlaubt, mit denselben Daten. Ort der Verarbeitung: USA möglich.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Anforderungen des Art. 28 DSGVO entsprechen. Er bleibt dem Kunden für die Einhaltung dieser Pflichten verantwortlich (Art. 28 Abs. 4 DSGVO).

Will der Anbieter einen weiteren Unterauftragsverarbeiter einsetzen oder einen ersetzen, teilt er das den Administratoren des Kunden mindestens vier Wochen vorher per E-Mail mit. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Hält der Anbieter an der Änderung fest, kann der Kunde den Vertrag in Textform mit Wirkung zu dem Zeitpunkt kündigen, zu dem der neue Unterauftragsverarbeiter eingesetzt wird; auf dieses Recht weist der Anbieter in der Mitteilung hin.

Keine Unterauftragsverarbeitung sind Leistungen Dritter, die der Anbieter als reine Nebenleistung in Anspruch nimmt, etwa Telekommunikations- oder Postdienste.

Die Auftragsdaten werden in Deutschland verarbeitet. Außerhalb der EU verarbeiten oder darauf zugreifen können nur die in § 8 genannten Unterauftragsverarbeiter Sentry, Apple und Google. Die Übermittlung erfolgt auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (EU-U.S. Data Privacy Framework) oder von Standardvertragsklauseln (Art. 45, 46 DSGVO).

Der Anbieter unterstützt den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten. Soweit der Kunde Auftragsdaten nicht selbst in ForkScan Pro berichtigen oder löschen kann, tut das der Anbieter auf seine Weisung oder schränkt die Verarbeitung ein. Wendet sich eine betroffene Person wegen Auftragsdaten an den Anbieter, leitet er das Anliegen unverzüglich an den Kunden weiter.

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Anbieter den Kunden außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde.

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist, per E-Mail an die Administratoren des Kunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; was noch nicht bekannt ist, reicht der Anbieter nach.

Der Anbieter ergreift unverzüglich die nötigen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und stimmt sich dazu mit dem Kunden ab. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen (Art. 33, 34 DSGVO) obliegen für die Auftragsdaten dem Kunden; der Anbieter unterstützt ihn dabei.

Nach dem Ende einer Testphase oder eines Tarifs bleiben die Auftragsdaten 12 Monate gespeichert und für den Kunden lesbar (AGB § 4). Die 12 Monate beginnen mit dem Ende der Testphase oder, wenn es später liegt, mit dem Ende des Tarifs; solange eine Zahlung offen ist, beginnen sie nicht. Läuft bis dahin kein Tarif, löscht der Anbieter die Auftragsdaten, frühestens 30 Tage nach einer Erinnerung per E-Mail an die Administratoren des Kunden. Welche Daten eines Unternehmens dabei und beim Löschen des Benutzerkontos seines letzten Mitglieds gelöscht werden, beschreibt Abschnitt 16 „Speicherdauer“ der Datenschutzerklärung.

Der Kunde kann die Löschung der Auftragsdaten außerdem jederzeit in Textform an info@webpx.de verlangen. Vor der Löschung übergibt ihm der Anbieter auf seine Weisung eine Kopie der Auftragsdaten in einem gängigen elektronischen Format. Den Fuhrpark, die überfälligen und die in den nächsten 30 Tagen fälligen Prüftermine sowie die dokumentierten Fehler, jeweils ohne Fotos und Dokumente, kann der Kunde in der Testphase und, wenn sein Tarif den Export enthält, mit seinem Tarif auch selbst im Kundenportal unter „Reports“ als Excel- oder PDF-Datei herunterladen; nach dem Ende der Testphase oder des Tarifs und solange eine Zahlung länger als 14 Tage offen ist, können das die Administratoren des Kunden auch ohne Tarif, solange die Daten gespeichert sind.

Kopien in Datensicherungen werden mit diesen gelöscht, etwa 7 Tage nach ihrer Erstellung. Daten, die der Anbieter in eigener Verantwortung aufbewahren muss (§ 4), etwa Abrechnungsunterlagen, bleiben unberührt.

Der Anbieter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung und des Art. 28 DSGVO erforderlich sind, in erster Linie Auskünfte und Unterlagen in Textform, etwa die aktuelle Beschreibung der Maßnahmen nach § 7 und die Nachweise der Unterauftragsverarbeiter.

Reicht das nicht aus, ermöglicht der Anbieter Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit dem Anbieter steht. Inspektionen sind mit angemessener Frist, in der Regel zwei Wochen, anzumelden und finden zu den üblichen Geschäftszeiten statt, ohne den Betrieb zu stören und ohne Daten anderer Kunden offenzulegen. Für die Rechenzentren von Hetzner legt der Anbieter die Nachweise vor, die Hetzner bereitstellt.

Für die Haftung der Parteien untereinander gilt § 13 der AGB. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

Für Änderungen dieser Vereinbarung gilt § 16 der AGB entsprechend; für den Wechsel von Unterauftragsverarbeitern gilt § 8.

Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Diese Vereinbarung ist auf Deutsch und Englisch veröffentlicht; maßgeblich ist die deutsche Fassung.

Bei Fragen zu dieser Vereinbarung und für Weisungen erreichen Sie uns unter:

Telefon: +49 (0) 3744 3515905 E-Mail: info@webpx.de