Als PDF herunterladen – zur Vorlage bei Ihrem Datenschutzbeauftragten.
Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
zwischen
dem Kunden (Firma laut Bestellung)
– nachfolgend „Verantwortlicher“ –
und
concipio management solutions GmbH, Schlehenring 20, 89182 Bernstadt
– nachfolgend „Auftragsverarbeiter“ –
1. Gegenstand und Dauer
Der Auftragsverarbeiter erstellt aus den vom Verantwortlichen hochgeladenen Sendungs-, Relations- und Beschaffungsdaten Auswertungsberichte (FFI · Flow & Facility Intelligence). Die Vereinbarung gilt für die Dauer der Verarbeitung und endet mit der vollständigen Löschung der Daten nach Ziffer 8. Bei einem Abonnement gilt sie für dessen gesamte Laufzeit und für alle darin erteilten Aufträge.
2. Art und Zweck der Verarbeitung, Art der Daten, Betroffene
Zweck ist ausschließlich die Prüfung der Daten und die Erstellung des bestellten Berichts. Vorgesehen sind Geschäftsdaten: Datum, Land, Postleitzahl, Ort, Mengen, Ladungsart, Richtung. Personenbezogene Daten sind dafür nicht erforderlich. Werden sie dennoch übermittelt (etwa Namen von Ansprechpartnern oder Einzelunternehmern als Empfänger), sind Betroffene Kunden, Lieferanten und deren Mitarbeiter des Verantwortlichen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Bestellung und diese Vereinbarung sind die Weisung. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin.
4. Vertraulichkeit
Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Die Daten werden nicht an Dritte weitergegeben, nicht mit Daten anderer Kunden zusammengeführt und nicht für Vergleiche, Benchmarks, Marktstudien, das Training von Modellen oder andere eigene Zwecke des Auftragsverarbeiters genutzt. Das gilt auch für Daten Dritter, die der Verantwortliche übermittelt, etwa Daten seiner Kunden im Rahmen einer Ausschreibung.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
6. Unterauftragsverarbeiter
| Unternehmen | Leistung | Ort der Verarbeitung | Daten |
|---|---|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Serverbetrieb, E-Mail-Versand | Rechenzentrum in Deutschland | alle hochgeladenen Daten, Berichte, E-Mails |
| Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland | Zahlungsabwicklung und Rechnung | EU; Stripe kann Daten an verbundene Unternehmen außerhalb der EU übermitteln | ausschließlich Zahlungs-, Firmen- und Rechnungsdaten, keine Sendungsdaten |
Weitere Unterauftragsverarbeiter setzt der Auftragsverarbeiter nur nach vorheriger Information in Textform ein. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem Grund widersprechen.
7. Unterstützung, Meldungen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit das Verarbeitungen dieser Vereinbarung betrifft. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Hochgeladene Dateien ohne Bestellung werden nach 2 Tagen gelöscht, Daten und Bericht einer Bestellung 30 Tage nach Auslieferung oder Zurückweisung. Auf Verlangen löscht der Auftragsverarbeiter früher. Sicherungskopien werden mit Ablauf ihrer Aufbewahrungsfrist überschrieben. Zahlungs- und Rechnungsdaten bewahrt er nach den handels- und steuerrechtlichen Fristen auf.
9. Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung auf Anfrage durch Auskünfte und geeignete Unterlagen nach. Kontrollen vor Ort sind nach Absprache und mit angemessener Vorankündigung möglich.
10. Schlussbestimmungen
Die Vereinbarung wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): bei Einzelbestellungen durch Bestätigung im Bestellvorgang, bei Abonnements mit dem Vertragsschluss. Bei Widersprüchen geht diese Vereinbarung den Vertragsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Ziel | Maßnahme |
|---|---|
| Standort und Zutritt | Verarbeitung ausschließlich auf einem Server der IONOS SE in einem Rechenzentrum in Deutschland. Der physische Zutrittsschutz liegt beim Rechenzentrumsbetreiber. Keine Verarbeitung in Cloud-Diensten außerhalb der EU. |
| Zugang zum System | Administrativer Zugang nur für den Betreiber mit persönlichem, passwortgeschütztem Konto über verschlüsselte Verbindung. Die Prüfoberfläche ist nur mit Benutzername und Passwort über HTTPS erreichbar. |
| Zugriff auf Daten | Kunden haben keine Benutzerkonten und sehen keine Daten anderer Kunden. Bestellungen sind nur über eine zufällige, nicht erratbare Kennung erreichbar. Auf Kundendaten greifen nur der Betreiber und der prüfende Logistikexperte zu. |
| Trennung | Jede Hochladung und jede Bestellung liegt in einem eigenen Verzeichnis. Der Dienst läuft in einem eigenen Container mit schreibgeschütztem System, eigener Datenablage und festen Grenzen für Speicher und Rechenzeit, getrennt von anderen Anwendungen des Betreibers. |
| Übertragung | Alle Verbindungen zur Website sind TLS-verschlüsselt (HTTPS). E-Mails werden über den Mailserver von IONOS verschlüsselt eingeliefert. Website und Bericht binden keine Dienste Dritter ein: keine externen Schriften, Kartendienste, Statistik- oder Werbewerkzeuge. Karten werden aus freien Geodaten auf dem eigenen Server erzeugt. |
| Nachvollziehbarkeit | Jeder Zustandswechsel – Hochladen, Bestellung, Reservierung, Freigabe, Zurückweisung, Mailversand, Löschung – wird mit Zeitstempel protokolliert. |
| Verfügbarkeit | Stündliche Sicherung der Datenbank und der Bestellakten, mit AES-256 verschlüsselt, 48 Stände. Die Wiederherstellung wurde erprobt. Dienst und Sicherung werden automatisch überwacht. |
| Löschung | Automatische Löschung nach den Fristen in Ziffer 8, alle 15 Minuten geprüft. Nach der Löschung bleiben in der Bestellübersicht nur Bestellnummer, Produkt, Betrag und Status; Firmenname, USt-IdNr. und E-Mail-Adresse werden auch aus dem Protokoll entfernt. |
| Datensparsamkeit | Die Datenvorlage fragt keine Namen, Straßen oder Ansprechpartner ab. Die Auswertung braucht nur Land, Postleitzahl, Ort und Mengen. |
| Auftragskontrolle | Verarbeitung nur zur Erstellung des bestellten Berichts. Jeder Bericht wird vor der Auslieferung von einem Logistikexperten geprüft, der zur Vertraulichkeit verpflichtet ist. |
| Überprüfung | Die Maßnahmen werden bei Änderungen am System und mindestens jährlich überprüft. |
Fassung ffi-2026-09-24