Auftragsverarbeitungsvertrag (AVV)

⚠️ Hinweis zur Übersetzung / Translation notice

Diese deutsche Fassung ist eine Übersetzung der tschechischen Originalversion und wird zur Information bereitgestellt. Bei Abweichungen oder Auslegungsfragen ist die tschechische Fassung rechtlich bindend.

This German version is a translation of the Czech original, provided for your information. In case of discrepancy or interpretation question, the Czech version is legally binding.

Dieser Auftragsverarbeitungsvertrag („AVV" oder „Vertrag") bildet eine untrennbare Anlage zu den AGB für Veranstalter („AGB"), die zwischen der Amahi s.r.o. (der Anbieterin des Lapvio-Dienstes) und dem Veranstalter, der diese AGB akzeptiert hat, geschlossen wurden.

Dieser AVV legt die Bedingungen fest, unter denen die Amahi s.r.o. als Auftragsverarbeiter personenbezogene Daten im Auftrag des Veranstalters als Verantwortlichem im Zusammenhang mit dessen Nutzung von Lapvio Pro verarbeitet. Er wird gemäß Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates („DSGVO") und dem anschließenden tschechischen Gesetz Nr. 110/2019 Slg. über die Verarbeitung personenbezogener Daten geschlossen.

Mit der Annahme der AGB akzeptiert der Veranstalter auch diesen AVV. Beide Dokumente bilden einen einheitlichen Vertrag.

In diesem AVV:

• „Amahi", „wir", „uns", „unser" und „Auftragsverarbeiter" bezeichnen die Amahi s.r.o.
• „Veranstalter", „Sie", „Ihr" und „Verantwortlicher" bezeichnen den Veranstalter als Vertragspartei der AGB
• „Lapvio" und „Lapvio Pro" haben die in den AGB festgelegte Bedeutung
• „Fahrerdaten" haben die in den AGB festgelegte Bedeutung: personenbezogene Daten von Fahrern und anderen Endnutzern, die im Zusammenhang mit Veranstaltungen des Veranstalters durch Lapvio Pro fließen
• Großgeschriebene Begriffe, die hier nicht anderweitig definiert sind, haben die ihnen in der DSGVO zugewiesene Bedeutung

1. Gegenstand und Rollen der Parteien

1.1 Rollen der Parteien

Für Fahrerdaten, die in Lapvio Pro im Auftrag des Veranstalters verarbeitet werden, ist der Veranstalter Verantwortlicher und Amahi Auftragsverarbeiter.

Für die eigenen plattformseitigen Daten von Amahi (Administratorkonten, Abrechnungsdaten, Plattform-Nutzungsanalysen, Marketingkommunikation mit Administratoren) ist Amahi Verantwortlicher, und diese Verarbeitung richtet sich nach der Datenschutzerklärung von Lapvio, nicht nach diesem AVV.

1.2 Gegenstand

Gegenstand dieses AVV ist die Verarbeitung von Fahrerdaten, die Amahi im Auftrag des Veranstalters im Rahmen der Bereitstellung von Lapvio Pro nach den AGB durchführt.

1.3 Keine gemeinsame Verantwortlichkeit

Die Parteien handeln nicht als gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Jede Partei bestimmt unabhängig die Zwecke und Mittel der Verarbeitung in dem Umfang, in dem sie Verantwortlicher ist.

2. Laufzeit

Dieser AVV tritt mit Annahme der AGB durch den Veranstalter in Kraft und besteht für die Zeit, in der Amahi Fahrerdaten im Auftrag des Veranstalters verarbeitet. Die Beendigung regelt Abschnitt 17.

3. Art und Zweck der Verarbeitung

Amahi verarbeitet Fahrerdaten ausschließlich zum Zweck der Bereitstellung von Lapvio Pro für den Veranstalter im Einklang mit den AGB und den dokumentierten Weisungen des Veranstalters.

Dies umfasst:

• Speicherung der über die Veranstaltungsportale eingegebenen Anmeldedaten der Fahrer
• Versand transaktionaler E-Mails an Fahrer im Auftrag des Veranstalters (Anmeldebestätigungen, Magic-Links, Briefing-Einladungen, Aufforderungen zur Unterzeichnung der Teilnehmererklärung, Post-Event-Kommunikation, vom Veranstalter initiierte Massensendungen)
• Zustellung von Push-Benachrichtigungen an die Geräte der Fahrer im Zusammenhang mit den Veranstaltungen des Veranstalters (zum Beispiel Nachrichten im Veranstaltungs-Chat und Veranstaltungsbenachrichtigungen), sofern der Fahrer die Lapvio-App installiert und Benachrichtigungen aktiviert hat
• Erzeugung und Validierung von Magic-Link-Token zur Authentifizierung von Fahrern
• Koordination der Unterzeichnung der Teilnehmererklärung über DocuSeal (sofern der Veranstalter diesen Dienst nutzt)
• Synchronisation von Bestellungen aus WooCommerce oder anderen verbundenen Quellen, sofern vom Veranstalter konfiguriert
• Weiterleitung von Zahlungen über Stripe Connect, sofern der Veranstalter diese Funktion aktiviert hat (Stripe agiert als Auftragsverarbeiter von Zahlungsdaten direkt gegenüber dem Veranstalter; Amahi sieht keine Kartendaten)
• Erzeugung von QR-Codes für den Check-in
• Betrieb der vom Veranstalter aktivierten Plattformfunktionen (CRM-Tools, Veröffentlichung von Fotos, Veranstaltungsreporting u. a.)
• Speicherung von Logs und Backups zum Zweck des Betriebs, der Sicherheit und der Kontinuität des Dienstes

Amahi verarbeitet Fahrerdaten nicht zu eigenen Zwecken. Die in der Datenschutzerklärung beschriebene Plattform-Analyse nutzt ausschließlich deidentifizierte aggregierte Daten, aus denen sich kein konkreter Fahrer oder Veranstalter identifizieren lässt.

4. Datenkategorien und Kategorien betroffener Personen

4.1 Betroffene Personen

Die von Amahi im Auftrag des Veranstalters verarbeiteten Fahrerdaten beziehen sich auf:

• Fahrer, die sich für Veranstaltungen des Veranstalters anmelden
• Buchungsinhaber (Booking Owners), die mehrere Slots erwerben und vergeben
• Sonstige Endnutzer, denen der Veranstalter Zugang gewährt (z. B. Instruktoren, Personal, Gäste)

4.2 Kategorien personenbezogener Daten

Die Kategorien personenbezogener Daten, die Amahi verarbeitet, hängen davon ab, was der Veranstalter über Lapvio Pro erhebt. Typischerweise umfassen sie:

• Identifikationsdaten: Vorname, Nachname, Anzeigename
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Sprachpräferenz
• Fahrzeugdaten: Marke und Modell, Kennzeichen, Fahrzeugtyp
• Daten zur Veranstaltungsteilnahme: Slot-Typ, Anmeldestatus, Briefing-Erfüllung, Status der Teilnehmererklärung, signiertes PDF der Teilnehmererklärung, Check-in-Status, operative Tagesnotizen (Zuordnung zu Gruppe / Box, Transponder, Gruppe)
• Vom Veranstalter generierte Daten: Notizen, Tags, Flags (Vorfall, offene Zahlung, Verhalten, No-Show), Sperrstatus und -grund
• Fotos und Medien: Fotos der Fahrzeuge oder der Fahrer selbst, sofern der Veranstalter Fotosets veröffentlicht
• Kommunikationsmetadaten: Zustell- und Interaktionsmetadaten von im Auftrag des Veranstalters versendeten E-Mails
• Zahlungsdaten (begrenzt): Bei Aktivierung von Stripe Connect Transaktionsbetrag, Währung, Status und Referenz. Daten zu Zahlungskarten und vollständige Bankdaten verarbeitet Stripe direkt; Amahi sieht sie nicht.

4.3 Besondere Kategorien personenbezogener Daten

Lapvio Pro ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt (Daten über rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Gesundheitsdaten oder Daten über das Sexualleben oder die sexuelle Orientierung).

Der Veranstalter verpflichtet sich, Lapvio Pro nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten ohne vorherige Konsultation mit Amahi zu nutzen. Plant der Veranstalter, gesundheitsbezogene Informationen über Fahrer zu erfassen (z. B. eine Gesundheitserklärung im Rahmen der Teilnehmererklärung), trägt er die Verantwortung für die Sicherstellung einer entsprechenden Rechtsgrundlage nach Art. 9 DSGVO; Amahi kann zusätzliche Garantien verlangen oder den Zweck ablehnen.

4.4 Daten von Kindern

Lapvio Pro ist ausschließlich für erwachsene Fahrer bestimmt. Der Veranstalter verpflichtet sich, im System keine Fahrer unter 18 Jahren ohne vorherige schriftliche Vereinbarung mit Amahi anzumelden.

5. Weisungen des Verantwortlichen und seine Pflichten

5.1 Dokumentierte Weisungen

Amahi verarbeitet Fahrerdaten nur nach dokumentierten Weisungen des Veranstalters. Die Weisungen des Veranstalters sind:

• Die übliche Nutzung von Lapvio Pro (jede Interaktion mit der Plattform ist eine Weisung zur entsprechenden Verarbeitung der jeweiligen Daten)
• Die Konfigurationswahl, die der Veranstalter in der Administrationsoberfläche trifft
• Konkrete schriftliche Weisungen, die von einer befugten Person an privacy@lapvio.com gesendet werden, sofern sie angemessen, rechtmäßig und mit diesem AVV vereinbar sind

Würde eine Weisung nach vernünftigem Ermessen von Amahi gegen die DSGVO oder anderes anwendbares Recht verstoßen, informiert Amahi den Veranstalter ohne unangemessene Verzögerung und kann die Weisung bis zur Klärung verweigern.

5.2 Verantwortlichkeit des Verantwortlichen

Der Veranstalter ist verantwortlich für:

• Festlegung der Rechtsgrundlage für jede Verarbeitungstätigkeit nach Art. 6 DSGVO (gegebenenfalls Art. 9 DSGVO)
• Bereitstellung einer Datenschutzinformation für Fahrer nach Art. 13 und 14 DSGVO, die die Verarbeitung abdeckt, die der Veranstalter als Verantwortlicher durchführt
• Führung eines eigenen Verarbeitungsverzeichnisses nach Art. 30 DSGVO, sofern Umfang und Charakter seiner Tätigkeit dies erfordern
• Bearbeitung von Anfragen betroffener Personen, soweit sie sich gegen den Veranstalter in seiner Rolle als Verantwortlichen richten (Abschnitt 10 beschreibt den Beistand von Amahi)
• Meldung an die Aufsichtsbehörde und in Fällen nach Art. 34 DSGVO auch an die Fahrer im Falle einer Verletzung des Schutzes der Fahrerdaten, unabhängig davon, wo die Verletzung aufgetreten ist (Abschnitt 11 beschreibt die Rolle von Amahi)
• Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, sofern erforderlich (Abschnitt 12 beschreibt den Beistand von Amahi)
• Sicherstellung, dass die Übermittlung personenbezogener Daten an Lapvio Pro im Einklang mit dem anwendbaren Recht erfolgt

5.3 Rechtmäßigkeitsgarantie

Der Veranstalter erklärt und garantiert, dass:

• Er für jede Kategorie von Fahrerdaten, die er in Lapvio Pro einbringt oder dort generiert, eine gültige Rechtsgrundlage besitzt
• Er alle von den Fahrern erforderlichen Einwilligungen eingeholt hat
• Die Verarbeitung, die der Veranstalter Amahi zur Durchführung übergibt, rechtmäßig ist

Stellt ein Fahrer, eine Aufsichtsbehörde oder ein Gericht fest, dass dem Veranstalter für eine konkrete Verarbeitungstätigkeit die Rechtsgrundlage fehlte, trägt der Veranstalter die Folgen einer solchen Feststellung im Einklang mit der Schadloshaltung gemäß Abschnitt 10.4 der AGB.

6. Pflichten des Auftragsverarbeiters

Amahi verpflichtet sich zur Erfüllung der Pflichten gemäß Art. 28 Abs. 3 DSGVO. Konkret:

• Verarbeitung nur auf Weisung: Amahi verarbeitet Fahrerdaten nur nach dokumentierten Weisungen des Veranstalters, einschließlich Weisungen zur Übermittlung in Drittländer, mit Ausnahme der Fälle, in denen dies das Recht der Europäischen Union oder eines Mitgliedstaates erfordert (in einem solchen Fall informiert Amahi den Veranstalter vor Beginn der Verarbeitung über diese Anforderung, sofern die einschlägige Rechtsvorschrift eine solche Mitteilung nicht aus Gründen eines wichtigen öffentlichen Interesses verbietet)
• Verschwiegenheit des Personals: Amahi stellt sicher, dass jede Person, die Fahrerdaten verarbeitet, einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegt (Abschnitt 7)
• Sicherheit: Amahi trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen (Abschnitt 8)
• Subprozessoren: Amahi setzt Subprozessoren nur unter den in Abschnitt 9 festgelegten Bedingungen ein
• Rechte der betroffenen Personen: Amahi unterstützt den Veranstalter durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Bearbeitung von Anfragen betroffener Personen (Abschnitt 10)
• Beistand bei der Einhaltung von Vorschriften: Amahi unterstützt den Veranstalter bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Abschnitte 11 und 12)
• Rückgabe oder Löschung: Nach Beendigung der Leistungserbringung gibt Amahi nach Wahl des Veranstalters die Fahrerdaten zurück oder löscht sie (Abschnitt 13)
• Beistand bei Audits: Amahi stellt dem Veranstalter die für den Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung, ermöglicht Audits und leistet bei diesen Beistand (Abschnitt 14)

7. Verschwiegenheit des Personals

Amahi stellt sicher, dass alle Mitarbeiter und Vertragspartner mit Zugriff auf Fahrerdaten:

• Einer schriftlichen vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegen
• Eine angemessene Schulung zum Datenschutz erhalten
• Nur auf die Fahrerdaten zugreifen können, die sie für ihre zugewiesene Aufgabe benötigen

Diese Verschwiegenheitspflicht besteht auch nach Beendigung des betreffenden Arbeits- oder Vertragsverhältnisses fort.

8. Sicherheit

8.1 Maßnahmen nach Art. 32 DSGVO

Amahi trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der unterschiedlich wahrscheinlichen Risiken für die Rechte und Freiheiten natürlicher Personen.

Die aktuellen technischen und organisatorischen Maßnahmen sind in Anlage B aufgeführt. Amahi kann Anlage B von Zeit zu Zeit als Reaktion auf die Entwicklung der Sicherheitsumgebung aktualisieren; jede Aktualisierung erhält mindestens dasselbe Schutzniveau.

8.2 Keine Absenkung der Standards

Amahi senkt die in Anlage B beschriebenen Sicherheitsstandards nicht ohne vorherige schriftliche Zustimmung des Veranstalters ab.

9. Subprozessoren

9.1 Allgemeine Genehmigung

Der Veranstalter erteilt Amahi eine allgemeine Genehmigung, zur Verarbeitung von Fahrerdaten Subprozessoren einzusetzen, unter den in diesem Abschnitt 9 festgelegten Bedingungen.

9.2 Pflichten der Subprozessoren

Amahi legt jedem Subprozessor durch schriftlichen Vertrag Datenschutzpflichten auf, die den Pflichten in diesem AVV gleichwertig sind: insbesondere ausreichende Garantien für die Implementierung geeigneter technischer und organisatorischer Maßnahmen, sodass die Verarbeitung den Anforderungen der DSGVO entspricht. Amahi haftet gegenüber dem Veranstalter weiterhin für die Erfüllung der Pflichten jedes Subprozessors.

9.3 Aktuelle Subprozessor-Liste

Die aktuelle Subprozessor-Liste befindet sich in Anlage A. Dieselbe Liste ist auf lapvio.com/legal/sub-processors veröffentlicht und wird bei Änderungen der Subprozessoren aktualisiert.

9.4 Mitteilung von Änderungen

Amahi teilt dem Veranstalter beabsichtigte Hinzufügungen oder Ersetzungen von Subprozessoren mindestens 30 Tage im Voraus mit:

• Aktualisierung der Liste auf lapvio.com/legal/sub-processors
• E-Mail-Mitteilung an die E-Mail-Adresse des Super-Admins des Veranstalters

9.5 Widerspruchsrecht

Innerhalb von 14 Tagen nach Mitteilung einer Subprozessor-Änderung durch Amahi kann der Veranstalter schriftlich an privacy@lapvio.com Widerspruch einlegen, sofern er begründet annehmen kann, dass die vorgeschlagene Änderung ein wesentliches neues Risiko für die Fahrerdaten schafft.

Lassen sich die Parteien nicht innerhalb von 30 Tagen über die Beilegung des Widerspruchs einigen, kann der Veranstalter die AGB (und damit diesen AVV) ohne Strafe schriftlich kündigen, mit Wirkung zu dem Tag, an dem der beanstandete Subprozessor andernfalls eingesetzt würde. Der Veranstalter bleibt verpflichtet, die vor Beendigung angefallenen Gebühren zu entrichten.

Erhebt der Veranstalter innerhalb von 14 Tagen keinen Widerspruch, gilt seine Zustimmung als erteilt.

10. Beistand bei der Wahrnehmung von Betroffenenrechten

10.1 Direkt an Amahi gerichtete Anfragen

Wendet sich ein Fahrer direkt an Amahi mit einer Anfrage betreffend Fahrerdaten (etwa Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch), wird Amahi:

• Den Eingang der Anfrage bestätigen und dem Fahrer mitteilen, dass der zuständige Verantwortliche der Veranstalter ist
• Die Anfrage ohne unangemessene Verzögerung an den Veranstalter weiterleiten
• Auf der Verantwortlichen-Ebene gegenüber dem Fahrer inhaltlich nicht antworten, außer um auf den Veranstalter zu verweisen

10.2 Beistand für den Veranstalter

Amahi unterstützt den Veranstalter durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflichten zur Bearbeitung von Anfragen betroffener Personen. Dies umfasst:

• Bereitstellung von Werkzeugen in der Lapvio-Pro-Administrationsoberfläche, mit denen der Veranstalter Daten eines Fahrers ohne Einbeziehung des Amahi-Supports suchen, anzeigen, bearbeiten, exportieren oder löschen kann
• Soweit der Amahi-Support erforderlich ist, Reaktion auf angemessene Anfragen, die von privacy@lapvio.com gesendet werden, innerhalb von fünf Werktagen

10.3 Kosten

Amahi leistet angemessenen Beistand kostenlos als Bestandteil des Abonnements. Bei ungewöhnlich häufigen oder zeitaufwändigen Anfragen kann Amahi für ergänzenden Support zu aktuellen Sätzen mit vorheriger Mitteilung und Zustimmung des Veranstalters Gebühren erheben.

11. Meldung von Verletzungen des Schutzes personenbezogener Daten

11.1 Frist der Meldung

Amahi meldet dem Veranstalter eine Verletzung des Schutzes von Fahrerdaten ohne unangemessene Verzögerung nach Kenntnisnahme, in jedem Fall innerhalb von 48 Stunden ab Kenntnisnahme.

11.2 Inhalt der Meldung

Soweit die einschlägigen Informationen verfügbar sind, enthält die Meldung:

• Beschreibung der Art der Verletzung, soweit möglich einschließlich der Kategorien und der ungefähren Anzahl betroffener Personen und Datensätze
• Wahrscheinliche Folgen der Verletzung
• Maßnahmen, die Amahi ergriffen hat oder vorschlägt, um die Verletzung zu beheben und ihre möglichen nachteiligen Auswirkungen zu mindern
• Name und Kontaktdaten der Kontaktperson von Amahi für weitere Informationen

Sind nicht alle Informationen innerhalb von 48 Stunden verfügbar, übermittelt Amahi das Verfügbare und ergänzt es im Verlauf der Untersuchung.

11.3 Beistand

Amahi unterstützt den Veranstalter bei Untersuchung, Minderung und Behebung der Verletzung des Schutzes personenbezogener Daten. Der Veranstalter bleibt als Verantwortlicher zuständig für etwaige Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO oder an die betroffenen Personen nach Art. 34 DSGVO.

11.4 Verletzungen auf der Infrastrukturebene von Amahi

Bei Verletzungen der eigenen Infrastruktur von Amahi, die Fahrerdaten mehrerer Veranstalter betreffen können, kann Amahi Meldungen wo angemessen gemeinsam erstatten, unter Wahrung der oben genannten Fristen und inhaltlichen Anforderungen.

12. Beistand bei DSFA und vorheriger Konsultation

Amahi leistet dem Veranstalter angemessenen Beistand bei:

• Datenschutz-Folgenabschätzungen (DSFA) nach Art. 35 DSGVO
• Vorheriger Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO

Dieser Beistand umfasst die Bereitstellung von Informationen über die Lapvio-Pro-Plattform, ihre Subprozessoren und ihre Sicherheitsmaßnahmen und wird bei angemessenen Anfragen ohne zusätzliche Gebühr geleistet.

13. Rückgabe oder Löschung der Fahrerdaten

13.1 Wahl bei Beendigung

Nach Beendigung der mit der Verarbeitung verbundenen Leistungen nach diesem AVV wird Amahi auf Wahl des Veranstalters bei Beendigung:

• Die Fahrerdaten dem Veranstalter in einem strukturierten, gängigen und maschinenlesbaren Format (in der Regel JSON oder CSV) zurückgeben; oder
• Die Fahrerdaten löschen

Teilt der Veranstalter binnen 30 Tagen ab Beendigung keine Wahl mit, stellt Amahi standardmäßig den Datenexport für weitere 30 Tage zum Download bereit, danach erfolgt die Löschung.

13.2 Löschvorgang

Die Löschung umfasst:

• Entfernung der Fahrerdaten aus aktiven Systemen (Datenbank, Dateispeicher, Suchindizes)
• Schriftliche Bestätigung der Löschung an die E-Mail-Adresse des Super-Admins des Veranstalters
• Stufenweise Aussonderung der Backup-Kopien im Rahmen der Standard-Backup-Rotation (derzeit bis zu 35 Tage), nach denen sie unwiederbringlich nicht mehr verfügbar sind

13.3 Aufzubewahrende Aufzeichnungen

Amahi bewahrt Daten über das Beendigungsdatum hinaus nur auf:

• Soweit dies das tschechische oder das Unionsrecht verlangt (z. B. Finanzunterlagen nach dem tschechischen Mehrwertsteuergesetz)
• Für die Dauer der Verjährungsfrist offener oder vernünftigerweise vorhersehbarer Rechtsansprüche
• In aggregierter, anonymisierter Form, aus der sich kein konkreter Fahrer oder Veranstalter identifizieren lässt

Etwaige so aufbewahrte Daten sind weiterhin durch die Sicherheitsmaßnahmen in Anlage B geschützt.

13.4 Persönliche Profile auf Fahrerseite

Haben Fahrer ein Lapvio-Profil aktiviert und ist die verifizierte Veranstaltungshistorie auf diese Profile übertragen worden, bleibt die historische Tatsache, dass ein Fahrer an einer vom Veranstalter durchgeführten Veranstaltung teilgenommen hat, auf dem Profil des Fahrers sichtbar und ist mit dem historischen Veranstalternamen gekennzeichnet. Es handelt sich um eigene Daten des Fahrers auf dessen eigenem Profil, nicht um Fahrerdaten, die der Veranstalter verwaltet. Der Veranstalter hat kein Recht, die Löschung dieser Historie auf der Fahrerseite zu verlangen, und Amahi löscht sie im Rahmen der Beendigung der Geschäftsbeziehung mit dem Veranstalter nicht.

14. Audits und Kontrollen

14.1 Auditrecht

Der Veranstalter hat das Recht, die Einhaltung dieses AVV durch Amahi zu prüfen mittels:

• Informationsanfragen: schriftliche Anfragen an privacy@lapvio.com, auf die Amahi binnen 30 Tagen mit angemessen detaillierten Informationen zu Datenverarbeitungspraktiken, Sicherheitsmaßnahmen und Subprozessoren antwortet
• Standarddokumentation: Amahi stellt Zertifizierungen, Auditberichte und Sicherheitsdokumentation zur Verfügung, die ihm vorliegen (z. B. SOC-2-Berichte seiner Subprozessoren, soweit Amahi zur Weitergabe berechtigt ist)
• Audit vor Ort oder aus der Ferne: einmal pro Kalenderjahr kann der Veranstalter ein detaillierteres Audit unter den nachstehenden Bedingungen durchführen

14.2 Auditbedingungen

Audits vor Ort oder aus der Ferne unterliegen folgenden Bedingungen:

• Mindestens 30 Tage schriftliche Vorankündigung
• Durchführung während der gewöhnlichen Geschäftszeiten
• Durchführung durch qualifiziertes Personal des Veranstalters oder durch einen unabhängigen Drittauditor, der für Amahi vernünftigerweise akzeptabel ist (und nicht ein Wettbewerber von Amahi)
• Unterzeichnung einer entsprechenden Verschwiegenheitsvereinbarung durch den Auditor
• Ohne unverhältnismäßigen Eingriff in den Betrieb von Amahi oder die Nutzung der Plattform durch andere Veranstalter
• Begrenzung auf Informationen, die für die Fahrerdaten des Veranstalters und die Pflichten nach diesem AVV relevant sind

14.3 Kosten

Jede Partei trägt ihre eigenen Auditkosten, mit Ausnahme des Falles, dass das Audit eine wesentliche Pflichtverletzung von Amahi feststellt; in einem solchen Fall erstattet Amahi dem Veranstalter angemessene Auditkosten.

14.4 Koordination

Bei Audits mehrerer Veranstalter bezüglich gemeinsamer Plattform-Infrastruktur kann Amahi die Auditbeantwortung koordinieren, um den Aufwand für alle Beteiligten zu minimieren. Der Veranstalter erklärt sich damit einverstanden, dass Amahi seine individuellen Auditfeststellungen in geeignet anonymisierter Form mit anderen betroffenen Veranstaltern teilen kann.

15. Internationale Übermittlung

15.1 Übermittlung in Drittländer

Einige Subprozessoren von Amahi haben ihren Sitz in Ländern außerhalb des Europäischen Wirtschaftsraums, einschließlich der Vereinigten Staaten. Die aktuellen Subprozessoren und ihre Standorte sind in Anlage A aufgeführt.

15.2 Übermittlungsmechanismen

Für jede Übermittlung von Fahrerdaten in ein Drittland stützt sich Amahi auf einen oder mehrere der folgenden Mechanismen (in absteigender Priorität):

• Angemessenheitsbeschluss der Europäischen Kommission für das Empfängerland (derzeit für die USA über das EU–US Data Privacy Framework bei darin zertifizierten Subprozessoren)
• Standardvertragsklauseln (SCC nach Durchführungsbeschluss (EU) 2021/914), unterzeichnet mit dem Subprozessor
• Sonstige geeignete Garantien nach Kapitel V DSGVO, soweit anwendbar

Amahi trifft die zur Bewältigung identifizierter Risiken erforderlichen ergänzenden Maßnahmen, einschließlich Verschlüsselung bei Übertragung und im Ruhezustand.

15.3 Bei Ungültigerklärung eines Übermittlungsmechanismus

Wird ein Übermittlungsmechanismus, auf den sich Amahi stützt, durch eine Entscheidung eines Gerichts oder einer Aufsichtsbehörde für ungültig erklärt, wird Amahi:

• Den Veranstalter unverzüglich informieren
• Auf einen alternativen gültigen Mechanismus umstellen, oder
• Die betroffene Verarbeitung zu einem Subprozessor in einer Jurisdiktion mit angemessenem Schutzniveau verlagern
• Sollte keines davon ohne wesentliche Änderung des Dienstes umsetzbar sein, wird mit dem Veranstalter eine Lösung gesucht, die die Beendigung umfassen kann

15.4 Rolle des Veranstalters

Der Veranstalter bleibt als Verantwortlicher dafür zuständig, dass seine Gesamtnutzung des Dienstes mit den Übermittlungsregeln des Landes übereinstimmt, dessen Einwohner als betroffene Personen über Lapvio Pro verarbeitet werden.

16. Haftung und Schadloshaltung

Die Haftung der Parteien nach diesem AVV richtet sich nach Abschnitt 10 der AGB (Haftung und Schadloshaltung), als wäre dieser Bestandteil dieses AVV.

Zur Klarstellung: Schäden und behördliche Bußgelder, die infolge einer Verletzung dieses AVV (durch eine der Parteien) entstehen, werden auf die Haftungsobergrenze in den AGB angerechnet, mit Ausnahme der Fälle, in denen die Obergrenze nicht greift (vorsätzliche oder grob fahrlässige Verletzung, Verletzung mit wesentlichem Schaden für betroffene Personen und sonstige Haftung, die nach tschechischem Recht nicht beschränkt werden kann).

Die Schadloshaltung des Veranstalters zugunsten von Amahi nach Abschnitt 10.4 der AGB umfasst Ansprüche Dritter, die aus einer eigenen Verletzung der datenschutzrechtlichen Vorschriften durch den Veranstalter in seiner Rolle als Verantwortlicher entstehen.

17. Laufzeit und Beendigung

Dieser AVV tritt zusammen mit den AGB in Kraft und besteht für deren Laufzeit.

Dieser AVV endet automatisch mit dem Ende der AGB. Bestimmungen, die ihrem Sinn nach fortbestehen sollen (Verschwiegenheit, Rückgabe oder Löschung von Daten, Auditrechte für die Verjährungsfrist, gesetzlich vorgeschriebene Aufbewahrung von Aufzeichnungen und Streitbeilegung), gelten weiter.

Eine Beendigung dieses AVV ohne Beendigung der AGB ist nicht möglich. Amahi kann Lapvio Pro nicht ohne das zugrundeliegende Auftragsverarbeitungsverhältnis bereitstellen, sodass beide Dokumente gemeinsam stehen oder fallen.

Anlage A: Subprozessoren

Die folgenden Subprozessoren verarbeiten Fahrerdaten im Auftrag von Amahi zum Stichtag der Wirksamkeit dieses AVV. Die aktuelle Liste ist auf lapvio.com/legal/sub-processors veröffentlicht.

Subprozessoren, die ausschließlich für die eigene Verarbeitung von Amahi in der Rolle des Verantwortlichen genutzt werden (z. B. Google Analytics, Meta Pixel für Marketing auf lapvio.com), sind hier nicht aufgeführt, da sie keine Fahrerdaten im Auftrag des Veranstalters verarbeiten. Sie sind in der Datenschutzerklärung von Lapvio aufgeführt.

Anlage B: Technische und organisatorische Sicherheitsmaßnahmen

Amahi trifft die folgenden technischen und organisatorischen Maßnahmen zum Schutz der Fahrerdaten gemäß Art. 32 DSGVO.

Zugriffskontrolle und Authentifizierung

• Authentifizierung der Veranstalter-Administratoren über Google OAuth mit empfohlener Mehrfaktor-Authentifizierung auf Ebene des Google-Kontos
• Authentifizierung der Fahrer über E-Mail-OTP (keine Passwörter werden gespeichert)
• Magic-Link-Token nur als SHA-256-Hashes in der Datenbank gespeichert; der Roh-Token wird auf Servern von Amahi niemals gespeichert oder geloggt
• Rollenbasierte Zugriffskontrolle innerhalb von Lapvio Pro (super_admin, admin, operator) mit Beschränkung des Zugriffs nach dem Prinzip der minimalen Berechtigung
• Zugriff auf die Produktionsdatenbank beschränkt auf eine kleine Anzahl autorisierter Personen von Amahi, alle mit Mehrfaktor-Authentifizierung
• Sämtliche Administratoraktionen werden für Audit-Zwecke protokolliert

Datenschutz bei Übertragung und im Ruhezustand

• Sämtliche Daten verschlüsselt bei Übertragung mittels TLS 1.2 oder höher
• Datenbankverschlüsselung im Ruhezustand bei Supabase
• Verschlüsselung des Dateispeichers im Ruhezustand bei Supabase
• Backups verschlüsselt im Ruhezustand

Netzwerk- und Infrastruktursicherheit

• Hosting-Infrastruktur durch zertifizierte Anbieter (Supabase: SOC 2 Type II; Vercel: SOC 2; Stripe: PCI DSS Level 1)
• Geheime Daten und API-Schlüssel in verschlüsselter Secret-Management-Infrastruktur abgelegt, nicht im Quellcode
• Produktions- und Entwicklungsumgebungen getrennt
• Rate Limiting und Missbrauchserkennung auf Anwendungsebene

Softwareentwicklungspraktiken

• Codeänderungen werden vor der Produktivnahme geprüft
• Schwachstellen-Scanning der Abhängigkeiten aktiviert
• Sicherheitsmeldungen von Subprozessoren und Abhängigkeiten werden überwacht

Backups und Wiederherstellung nach Ausfällen

• Automatische Datenbank-Backups
• Backups werden bis zu 35 Tage aufbewahrt
• Wiederherstellungsfähigkeit wird im Rahmen der betrieblichen Praxis getestet

Reaktion auf Vorfälle

• Dokumentiertes Verfahren zur Reaktion auf Vorfälle
• Meldung von Verletzungen des Schutzes personenbezogener Daten innerhalb von 48 Stunden ab Kenntnisnahme (Abschnitt 11)
• Nachbereitung des Vorfalls und Verfolgung der Behebung

Personal

• Sämtliches Personal mit Zugriff auf Fahrerdaten unterliegt einer schriftlichen Verschwiegenheitspflicht
• Zugriff wird nach Beendigung des Verhältnisses unverzüglich entzogen
• Datenschutz- und Sicherheitshinweise werden mit dem Personal geteilt

Subprozessor-Management

• Jeder Subprozessor durch schriftlichen Vertrag gleichwertig diesem AVV gebunden
• Subprozessor-Liste auf lapvio.com/legal/sub-processors gepflegt und mit mindestens 30 Tagen Vorlauf bei Änderungen aktualisiert (Abschnitt 9)

Amahi kann Anlage B von Zeit zu Zeit aktualisieren, während sich die Plattform entwickelt und sich die Sicherheitsumgebung verändert. Aktualisierungen erhalten mindestens dasselbe Schutzniveau wie diese Maßnahmen.

Anlage C: Mechanismen der internationalen Übermittlung

Bei jedem Subprozessor, der nicht im Rahmen des EU–US Data Privacy Framework zertifiziert ist, hat Amahi Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) abgeschlossen und ergänzt sie durch die in Anlage B aufgeführten technischen und organisatorischen Maßnahmen.

Sollte das EU–US Data Privacy Framework für ungültig erklärt werden, wechselt Amahi dort, wo bereits eingerichtet, ausschließlich auf SCC und teilt dem Veranstalter jede wesentliche Änderung des Schutzniveaus mit.

Ende des Auftragsverarbeitungsvertrags.

Bei Fragen zu diesem AVV kontaktieren Sie uns unter privacy@lapvio.com.