Vereinbarung zur Auftragsverarbeitung (AVV)
Nach Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO) · Stand: 24.09.2026
Auftragnehmer: Patrick Neumann (pepelabs), Feldstraße 1B, 03159 Döbern — Betreiber von FRACHTFUNK
Auftraggeber: das FRACHTFUNK nutzende Unternehmen (die Spedition), das dieser Vereinbarung bei der Registrierung oder nachträglich im Dispo-Bereich zustimmt (siehe Ziffer 10)
1. Gegenstand und Dauer der Verarbeitung
Gegenstand dieser Vereinbarung sind die Rechte und Pflichten der Parteien im Rahmen der Nutzung von FRACHTFUNK (nachfolgend Hauptvertrag), soweit der Auftragnehmer für den Auftraggeber personenbezogene Daten gemäß Art. 28 DSGVO verarbeitet. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.
2. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zum Zweck der Bereitstellung von FRACHTFUNK als Business-Messenger und Dispositions-Werkzeug für Speditionen, insbesondere: Kommunikation zwischen Disposition und Fahrern (Text, Sprachnachrichten, Dokumente), Tourenplanung und -verfolgung, Zustell- und Schadensnachweise (Fotos, digitale Unterschrift), Fahrzeug-Checklisten und Spesenerfassung.
3. Art der personenbezogenen Daten und Kategorien Betroffener
Verarbeitet werden insbesondere: Name und Fahrer-Zugangsdaten, Standortdaten während einer aktiven Tour, Inhalte von Chat- und Sprachnachrichten, Fotos (Zustellnachweis, Schaden, Spesenbelege), digitale Unterschriften von Empfängern.
Betroffene Personen sind die vom Auftraggeber angelegten Fahrer sowie ggf. Empfänger von Lieferungen (im Rahmen der Unterschriftsfunktion).
Der Zustellnachweis (digitale Unterschrift + Fotos zu einem Liefertermin) wird als eigener, Ende-zu-Ende verschlüsselter Beleg gespeichert und automatisch 6 Jahre nach der Zustellung gelöscht (Handelsbrief gemäß § 257 Abs. 4 HGB/§ 147 Abs. 3 AO) — unabhängig davon, ob der Hauptvertrag bis dahin schon beendet wurde. Standortdaten (GPS-Positionen) werden automatisch 30 Tage nach Abschluss der jeweiligen Tour gelöscht, Chat- und Sprachnachrichten automatisch 6 Jahre nach Versand — beides ebenfalls unabhängig vom Vertragsende, spätestens jedoch gemäß Ziffer 5 mit Beendigung des Hauptvertrages.
4. Verantwortlichkeit und Weisungen
Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der datenschutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung, allein verantwortlich (»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DSGVO). Die Weisungen werden durch den Hauptvertrag sowie die bestimmungsgemäße Nutzung von FRACHTFUNK festgelegt und können vom Auftraggeber in Textform ergänzt werden. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt.
5. Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Personen, die beim Auftragnehmer Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten und unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von dessen Pflichten nach Art. 32 bis 36 DSGVO.
Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt. Ansprechpartner für Datenschutzthemen ist Patrick Neumann, erreichbar unter info@pepelabs.de.
Nach Beendigung des Hauptvertrages löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Ausgenommen sind der Nachweis über den Abschluss dieser Vereinbarung (Ziffer 10) sowie Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.
6. Pflichten des Auftraggebers
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt, und benennt auf Anfrage einen Ansprechpartner in Datenschutzangelegenheiten.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Ende-zu-Ende-Verschlüsselung von Text-Nachrichten, Dokumenten-Anhängen, Sprachnachrichten und Standort-Tracking zwischen Fahrer und Disposition bzw. Empfänger
- Hosting ausschließlich auf Servern in Deutschland, keine Datenweitergabe in Drittstaaten
- Zugriff auf Firmen-Daten nur über individuelle Fahrer-Zugangsdaten mit gehashten Passwörtern/PINs
- Optionale Zwei-Faktor-Authentifizierung (TOTP) für den Dispo-Zugang
- Verschlüsselte Übertragung (TLS) für sämtliche Verbindungen
- Automatisierte Löschung des Zustellnachweises (Unterschrift, Fotos) nach 6 Jahren — der Zeitstempel des Vorgangs bleibt zur Nachvollziehbarkeit erhalten, die personenbezogenen Inhalte selbst werden entfernt
- Automatisierte Löschung von Standortdaten (30 Tage nach Tourabschluss) sowie Chat- und Sprachnachrichten (6 Jahre nach Versand)
Auf Anfrage stellt der Auftragnehmer weitere Informationen zu den getroffenen technischen und organisatorischen Maßnahmen zur Verfügung.
8. Unterauftragsverarbeiter
Der Auftraggeber erteilt die allgemeine Genehmigung, folgende weitere Auftragsverarbeiter einzusetzen:
- IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland — Hosting/Server-Infrastruktur
- DeepL SE, Maarweg 165, 50825 Köln, Deutschland — automatische Übersetzung von Chat-Nachrichten (nur sofern ein Fahrer eine andere Sprache als Deutsch eingestellt hat)
Über den Austausch oder die Hinzuziehung weiterer Unterauftragsverarbeiter informiert der Auftragnehmer den Auftraggeber vorab; dieser kann aus sachlichem Grund innerhalb von 14 Tagen widersprechen.
9. Haftung
Für die Haftung gilt die im Hauptvertrag vereinbarte Haftungsregelung entsprechend.
10. Zustandekommen, Vertragslaufzeit, Schlussbestimmungen
Diese Vereinbarung kommt zustande, wenn der Auftraggeber sie im Registrierungsformular durch Setzen des ausdrücklichen Häkchens bestätigt und die Registrierung absendet; bei Konten, die vor Einführung dieses Häkchens angelegt wurden, durch Bestätigung im Dispo-Bereich unter „Einstellungen“. Für solche Bestandskonten gilt die Vereinbarung ab der Bestätigung, erfasst dann aber auch die Verarbeitung personenbezogener Daten seit Anlegen des Kontos.
Nach der Bestätigung sendet der Auftragnehmer dem Auftraggeber eine Bestätigung mit dem Wortlaut der bestätigten Fassung an dessen E-Mail-Adresse (bei der Registrierung, sobald das Konto durch die erste Zahlung aktiv ist). Der Auftragnehmer speichert als Nachweis Zeitpunkt und Fassung der Bestätigung (samt Prüfsumme des Wortlauts) sowie Firmenname und E-Mail-Adresse des Auftraggebers zu diesem Zeitpunkt (elektronisches Format nach Art. 28 Abs. 9 DSGVO). Dieser Nachweis wird für die Dauer des Hauptvertrages und danach bis zum Ablauf des dritten Kalenderjahres nach dem Jahr der Vertragsbeendigung aufbewahrt (regelmäßige Verjährungsfrist, §§ 195, 199 BGB) und dann gelöscht. Wird diese Vereinbarung inhaltlich geändert, legt der Auftragnehmer die neue Fassung dem Auftraggeber im Dispo-Bereich zur erneuten Bestätigung vor; bis dahin gilt die zuletzt bestätigte Fassung.
Diese Vereinbarung gilt für die Dauer des Hauptvertrages. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers (Döbern). Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.