Auftragsverarbeitungsvertrag (AVV)

Regelt die Verarbeitung gemäß Art. 28 DSGVO. Wird vom Kunden beim Onboarding elektronisch angenommen (eine handschriftliche Unterschrift ist nicht erforderlich); eine Kopie steht zum Download bereit.

Vertragsparteien

Auftragsverarbeiter: Hanseatische Logistikberatung SR UG (haftungsbeschränkt), vertreten durch Daniel Schneegaß, CEO, Jägerkoppel 15, 22393 Hamburg, Deutschland („Auftragsverarbeiter", „wir").

Verantwortlicher: der Geschäftskunde, der die Prüfleistung in Anspruch nimmt („Verantwortlicher", „Sie").

Dieser Vertrag ergänzt den Hauptvertrag der Parteien (die AGB) und die darunter vereinbarte Zusammenarbeit (der „Hauptvertrag").

1. Gegenstand, Umfang und Rollen

1.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Durchführung der Carrier-Rechnungsprüfung und zur Erstellung einreichungsfertiger Erstattungsunterlagen gemäß dem Hauptvertrag.

1.2 Der Verantwortliche ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; der Auftragsverarbeiter handelt ausschließlich als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

1.3 Einzelheiten der Verarbeitung (Gegenstand, Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen) sind in Anlage 1 festgelegt.

2. Dauer

Dieser Vertrag wird mit der Annahme durch den Verantwortlichen (beim Onboarding oder durch Annahme der AGB) wirksam und gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; anschließend gelten die Lösch-/Rückgabepflichten nach Abschnitt 10.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

3.1 personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen verarbeiten (auch hinsichtlich internationaler Übermittlungen), sofern nicht das Recht der EU oder eines Mitgliedstaats etwas anderes verlangt; in diesem Fall informiert er den Verantwortlichen zuvor, sofern das betreffende Recht dies nicht verbietet. Der Hauptvertrag und dieser AVV bilden die anfänglichen dokumentierten Weisungen des Verantwortlichen.

3.2 den Verantwortlichen unverzüglich informieren, wenn eine Weisung seiner Auffassung nach gegen die DSGVO oder sonstiges Datenschutzrecht verstößt.

3.3 sicherstellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

3.4 die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen umsetzen, wie in Anlage 2 festgelegt.

3.5 Unterauftragsverarbeiter nur gemäß Abschnitt 4 einsetzen.

3.6 den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO unterstützen.

3.7 den Verantwortlichen bei der Einhaltung der Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, vorherige Konsultation) unterstützen, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

3.8 nach Wahl des Verantwortlichen alle personenbezogenen Daten bei Ende der Zusammenarbeit gemäß Abschnitt 10 löschen oder zurückgeben.

3.9 dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung des Art. 28 DSGVO zur Verfügung stellen und Überprüfungen einschließlich Inspektionen gemäß Abschnitt 8 ermöglichen und dazu beitragen.

4. Unterauftragsverarbeiter

4.1 Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuellen Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

4.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Hinzunahmen oder Wechsel von Unterauftragsverarbeitern und gibt ihm Gelegenheit, aus berechtigten datenschutzrechtlichen Gründen zu widersprechen.

4.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die denen dieses Vertrags gleichwertig sind.

4.4 Alle Unterauftragsverarbeiter verarbeiten personenbezogene Daten innerhalb der EU/des EWR (Abschnitt 5 und Anlage 3).

5. Internationale Übermittlungen

5.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich innerhalb der EU/des EWR und übermittelt sie nicht in ein Drittland.

5.2 Sollte eine Übermittlung in ein Drittland erforderlich werden, erfolgt sie nur auf dokumentierte Weisung des Verantwortlichen und unter geeigneten Garantien nach Kapitel V DSGVO (z. B. EU-Standardvertragsklauseln oder einem Angemessenheitsbeschluss).

6. Pseudonymisierung und KI-gestützte Verarbeitung

6.1 Bevor personenbezogene Daten für eine KI-gestützte Analyse genutzt werden, pseudonymisiert der Auftragsverarbeiter sie, indem direkt identifizierende Angaben entfernt oder ersetzt werden. Identifizierbare Daten werden nicht an KI-Dienste Dritter übermittelt.

6.2 Nur pseudonymisierte Auszüge werden durch KI-Unterauftragsverarbeiter verarbeitet, die innerhalb der EU/des EWR tätig sind und vertraglich an die Untersagung gebunden sind, die Daten zum Training zu nutzen (Anlage 3).

6.3 Eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung für eine betroffene Person wird nicht ausschließlich automatisiert getroffen; die Ergebnisse des Auftragsverarbeiters werden durch eine Person geprüft.

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der Daten des Verantwortlichen bekannt geworden ist, und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner Pflichten aus Art. 33–34 DSGVO benötigt.

8. Überprüfungsrechte

8.1 Der Auftragsverarbeiter stellt auf angemessene Anfrage und mit angemessener Vorankündigung die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und gestattet Überprüfungen oder Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten unabhängigen Prüfer.

8.2 Überprüfungen erfolgen während der Geschäftszeiten, ohne unangemessene Störung und unter Wahrung der Vertraulichkeit. Der Auftragsverarbeiter kann Überprüfungsanfragen durch Bereitstellung vorhandener Dokumentation, Zertifizierungen oder Berichte erfüllen, soweit diese die Einhaltung angemessen nachweisen.

9. Pflichten des Verantwortlichen

9.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für das Vorliegen einer Rechtsgrundlage zur Bereitstellung der personenbezogenen Daten an den Auftragsverarbeiter verantwortlich.

9.2 Der Verantwortliche erteilt Weisungen in Textform (der Hauptvertrag und dieser AVV gelten als anfängliche Weisungen) und ist für die Richtigkeit der bereitgestellten Daten verantwortlich.

10. Löschung und Rückgabe

10.1 Bei Beendigung der Zusammenarbeit gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle in dessen Auftrag verarbeiteten personenbezogenen Daten zurück oder löscht sie und löscht vorhandene Kopien innerhalb von 90 Tagen, sofern nicht das Recht der EU oder eines Mitgliedstaats eine längere Aufbewahrung verlangt.

10.2 Die eigenen Geschäftsunterlagen des Auftragsverarbeiters (z. B. seine Rechnungen an den Verantwortlichen) werden für die gesetzlichen steuer- und handelsrechtlichen Fristen aufbewahrt; diese verarbeitet der Auftragsverarbeiter als Verantwortlicher und fallen nicht unter diesen Vertrag.

11. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO sowie nach den Haftungsregelungen des Hauptvertrags (AGB), soweit gesetzlich zulässig.

12. Schlussbestimmungen

12.1 Dieser Vertrag wird schriftlich, einschließlich in elektronischer Form, geschlossen (Art. 28 Abs. 9 DSGVO).

12.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag in Bezug auf den Datenschutz geht dieser Vertrag vor.

12.3 Es gilt deutsches Recht. Gerichtsstand ist Hamburg, soweit gesetzlich zulässig.

12.4 Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam.

Version 1.1 · Stand: 7. Juli 2026