Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 30. Juli 2026 — Dieser Auftragsverarbeitungsvertrag ergänzt die Allgemeinen Geschäftsbedingungen der ContainerGrid GmbH und gilt für alle Kunden, in deren Auftrag ContainerGrid personenbezogene Daten verarbeitet.

1. Gegenstand und Dauer

ContainerGrid GmbH (der „Auftragsverarbeiter") verarbeitet personenbezogene Daten im Auftrag des Kunden (der „Verantwortliche") zur Bereitstellung der ContainerGrid-Software gemäß Hauptvertrag. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art, Zweck und Kategorien

Zweck: Bereitstellung, Betrieb und Support der SaaS-Anwendung ContainerGrid (Workflow-Betriebssystem für die Kreislaufwirtschaft).

Kategorien betroffener Personen: Mitarbeiter, Ansprechpartner, Kunden, Lieferanten und Dienstleister des Verantwortlichen; Fahrer und Betriebspersonal.

Kategorien personenbezogener Daten: Stammdaten (Name, Funktion, Firma), Kontaktdaten (E-Mail, Telefon, Adresse), Auftrags- und Bewegungsdaten (Aufträge, Lieferscheine, Wiegescheine, Rechnungen), Nutzungs- und Protokolldaten, hochgeladene Dokumente und Fotos.

Besondere Kategorien (Art. 9 DSGVO): Nicht Gegenstand der vereinbarten Verarbeitung; der Verantwortliche stellt sicher, dass solche Daten nicht in die Anwendung eingebracht werden.

3. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Regelungen des Hauptvertrags, es sei denn, er ist nach Unionsrecht oder nationalem Recht zur Verarbeitung verpflichtet; in diesem Fall informiert er den Verantwortlichen vor der Verarbeitung, sofern rechtlich zulässig. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik fortlaufend an, ohne das vereinbarte Schutzniveau zu unterschreiten.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung oder Ersetzung) mindestens vier (4) Wochen im Voraus in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit jedem Unterauftragsverarbeiter werden Verpflichtungen auferlegt, die den Bestimmungen dieses Vertrags entsprechen.

7. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung.

8. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten für einen Zeitraum von 30 Tagen zum Export bereit und löscht sie anschließend, vorbehaltlich gesetzlicher Aufbewahrungspflichten. In Sicherungskopien verbleibende Daten werden mit dem regulären Sicherungszyklus überschrieben (Sicherungsstände werden technisch bedingt bis zu zwölf Monate vorgehalten) und bis dahin ausschließlich zu Wiederherstellungszwecken unter denselben Schutzmaßnahmen aufbewahrt.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen beauftragten Prüfer. Kontrollen vor Ort erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und maximal einmal pro Kalenderjahr, sofern kein konkreter Anlass besteht.

10. Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

Anlage 1: Technische und organisatorische Maßnahmen (Auszug)

• Zutritts-/Zugangs-/Zugriffskontrolle: Hosting ausschließlich in ISO-27001-zertifizierten Rechenzentren in der EU; rollenbasierte Zugriffskonzepte; Zwei-Faktor-Authentifizierung für administrative Zugriffe; Passwortrichtlinien.
• Übertragungskontrolle: Transportverschlüsselung (TLS) für sämtliche Verbindungen; verschlüsselte Speicherung (Encryption at Rest).
• Eingabekontrolle: Protokollierung administrativer Zugriffe und wesentlicher Änderungen.
• Verfügbarkeitskontrolle: Automatisierte, gestaffelte Datensicherungen (stündlich/täglich/wöchentlich/monatlich); georedundante Infrastruktur des Cloud-Anbieters; Notfall- und Wiederherstellungsprozesse.
• Trennungskontrolle: Logische Mandantentrennung auf Datenbank- und Speicherebene (kundenbezogene Datenpräfixe).
• Organisatorische Maßnahmen: Vertraulichkeitsverpflichtung aller Mitarbeiter; Datenschutz-Schulungen; Prozess zur Meldung von Datenschutzvorfällen.

Anlage 2: Unterauftragsverarbeiter