Vereinbarung zur Auftragsverarbeitung (AVV)

Stand: 10. November 2026 · Version avv-2026-11-10 · nach Art. 28 DSGVO, zwischen dem Mitglied (Unternehmer im Sinne von § 14 BGB, „Verantwortlicher“) und Manuel Gjergjaj, handelnd unter VALNIO Solutions, Werastraße 36, 88045 Friedrichshafen („Auftragsverarbeiter“).

1. Gegenstand, Dauer, Abgrenzung

(1) Der Auftragsverarbeiter stellt die Plattform „Kreislo“ bereit. Soweit der Verantwortliche darüber personenbezogene Daten Dritter verarbeitet (Anlage 1), verarbeitet der Auftragsverarbeiter diese in seinem Auftrag.

(2) Die Vereinbarung gilt für die Dauer der Mitgliedschaft und endet mit der Löschung des Mitgliedskontos; Nr. 9 Abs. 3 gilt darüber hinaus für die Dauer der beauftragten Aufbewahrung.

(3) Für Daten, die der Auftragsverarbeiter zu eigenen Zwecken verarbeitet (Konto- und Verifizierungsdaten des Verantwortlichen, Nutzungs- und Abrechnungsdaten, Sicherheit, gesetzliche Meldungen nach dem PStTG), ist er selbst Verantwortlicher; dafür gilt die Datenschutzerklärung. Verarbeiten zwei Mitglieder gemeinsam Daten einer Bestellung, ist jedes Mitglied für seinen Teil eigenständig verantwortlich; der Auftragsverarbeiter übermittelt die Daten zwischen ihnen auf Weisung.

2. Art, Zweck, Datenkategorien, Betroffene

Siehe Anlage 1. Zweck ist ausschließlich die Bereitstellung der Plattformfunktionen (Katalog, Bestellung einschließlich Bestell-Links für Gäste, Lieferschein, Rechnungserstellung im Namen des Verantwortlichen nach § 14 Abs. 2 Satz 7 UStG, Aufbewahrung, Export, Reklamationen, Nachrichten, Bewertungen, Gastzugang für die Steuerberatung, nach Freischaltung Zuordnung von Zahlungen).

3. Weisungen

(1) Verarbeitung nur auf dokumentierte Weisung (Art. 28 Abs. 3 lit. a). Weisungen erfolgen durch Nutzung der Funktionen (Anlegen, Freigeben, Exportieren, Löschen, Einräumen eines Gastzugangs, Erteilen des Rechnungsauftrags) oder in Textform an info@kreislo.de.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er unverzüglich und darf sie aussetzen.

(3) Abweichungen nur bei gesetzlicher Pflicht, mit vorheriger Information, soweit zulässig.

4. Vertraulichkeit

Der Auftragsverarbeiter verarbeitet derzeit ohne Beschäftigte; künftige Beschäftigte werden vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b). Zugriff auf Inhalte nur zur Fehlerbehebung oder auf Wunsch des Verantwortlichen, protokolliert.

5. Sicherheit

Maßnahmen nach Anlage 2 (Art. 32); Anpassung an den Stand der Technik ohne Absenkung des Schutzniveaus.

6. Unterauftragsverarbeiter

(1) Allgemeine Genehmigung für die in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2).

(2) Beabsichtigte Änderungen teilt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an die Kontoadresse und in der App mit; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Seite die Mitgliedschaft zum Änderungszeitpunkt beenden.

(3) Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Pflichten auf (Art. 28 Abs. 4).

7. Drittlandübermittlung

Nur an die in Anlage 3 genannten Unterauftragsverarbeiter auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln mit ergänzenden Maßnahmen (Transportverschlüsselung, Speicherung in der EU, soweit angegeben).

8. Unterstützung

(1) Betroffenenrechte (Art. 12–22): Auskunft, Berichtigung, Export und Löschung sind in der Plattform direkt möglich; darüber hinaus Unterstützung innerhalb von 10 Tagen.

(2) Unterstützung bei Art. 32–36 mit den verfügbaren Informationen.

(3) Datenschutzverletzungen: Meldung an die E-Mail-Adresse des Kontos unverzüglich, spätestens 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3.

9. Löschung, Rückgabe, Aufbewahrung

(1) Der Verantwortliche kann jederzeit exportieren (Rechnungen XRechnung/ZUGFeRD/PDF, Lieferscheine, Bestellungen als CSV, Export im DATEV-Format).

(2) Nach Ende der Mitgliedschaft löscht der Auftragsverarbeiter die Auftragsdaten innerhalb von 30 Tagen, es sei denn, der Verantwortliche verlangt vorher den Export oder eine Aufbewahrung im Archiv (Abs. 3).

(3) Archiv: Auf Weisung bewahrt der Auftragsverarbeiter festgeschriebene Rechnungen und Lieferscheine unveränderbar bis zu 8 Jahre nach Ablauf des Ausstellungsjahres auf (§ 147 AO, § 14b UStG) und stellt sie dem Verantwortlichen oder dessen Steuerberatung bereit. Die Verantwortung für die Einhaltung der Aufbewahrungspflichten bleibt beim Verantwortlichen; der Auftragsverarbeiter stellt eine Verfahrensbeschreibung (Anlage 2) bereit.

(4) Eigene gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters (z. B. Provisions- und Paketabrechnungen, PStTG-Meldedaten) bleiben unberührt.

10. Nachweise

Auf Anfrage: diese Vereinbarung, Anlage 2, veröffentlichte Verträge und Zertifikate der Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001). Prüfungen vor Ort nach Abstimmung (14 Tage), höchstens jährlich, ohne Zugriff auf Daten anderer Mitglieder; Aufwand kann in Rechnung gestellt werden, wenn kein Anlass bestand.

11. Pflichten des Verantwortlichen

Rechtmäßigkeit der Verarbeitung (Art. 6, ggf. Art. 9), Information der Betroffenen (Art. 13, 14), Rechte- und Rollenvergabe im eigenen Team, Prüfung der Empfänger bei Einladungen, Bestell-Links und Gastzugängen, Einhaltung des Kartell- und Geheimnisschutzrechts bei Preisangaben (Nutzungsbedingungen Nr. 13).

12. Haftung, Schluss

Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen. Diese Vereinbarung geht den Nutzungsbedingungen vor, soweit es um Verarbeitung im Auftrag geht. Deutsches Recht; deutsche Fassung maßgeblich.

Anlage 1 – Verarbeitung im Auftrag

Anlage 2 – Technische und organisatorische Maßnahmen (Kurzfassung, Stand 10. 11. 2026)

• Transportverschlüsselung TLS 1.2+; Verschlüsselung gespeicherter Daten (AES-256) im Rechenzentrum Frankfurt am Main (Supabase/AWS eu-central-1).
• Mandantentrennung durch Row Level Security je Unternehmen und Rolle; Serverfunktionen prüfen jede Berechtigung; Dienst-Tabellen nur über Dienstkonto; unabhängige Sicherheitsprüfung der Isolation vor dem Start.
• Anmeldung passwortlos (Einmalcode per E-Mail), Rollen (Inhaber/Besteller/Fahrer/Buchhaltung); Administrationszugänge mit Zwei-Faktor-Schutz; Gastzugänge nur lesend, protokolliert, jederzeit widerrufbar; Bestell-Links mit Ablaufdatum und Einmalnutzung.
• Archiv: Rechnungen nach Festschreibung unveränderbar (Datenbank-Sperre gegen inhaltliche Änderung und Löschung), SHA-256-Prüfsumme je Rechnung, Protokoll von Erstellung, Festschreibung, Versand, Storno und Export; Verfahrensbeschreibung für das Mitglied.
• Tägliche Datenbanksicherung (Aufbewahrung 7 Tage), Wiederherstellungstest; Löschkonzept; Protokollierung von Administrationszugriffen.
• Live-Standort: Erfassung nur während einer vom Fahrer gestarteten Tour, Anzeige nur für den jeweils nächsten Kunden, Speicherung nur der letzten Position mit Löschung bei Zustellung, keine Fahrtverlaufs-, Geschwindigkeits- oder Standzeitauswertung, kein Export; dauerhafte Anzeige der Ortung auf dem Fahrergerät; Funktion je Verantwortlichem abschaltbar.
• Lieferfotos ohne Standort-Metadaten, Größenbegrenzung, automatische Löschung nach 12 Monaten.
• Geheimnisse nur als Server-Secrets; keine Zahlungsdaten beim Auftragsverarbeiter (Stripe).
• Keine Nutzung von Mitgliedsdaten für Werbung, Analyse-Dienste oder das Training von KI-Modellen.

Anlage 3 – Unterauftragsverarbeiter (Stand 10. 11. 2026)

Eigene Verantwortliche (keine Unterauftragsverarbeiter): Google Ireland Ltd. und Apple Distribution International Ltd. (Anmeldung mit Google/Apple), Stripe Payments Europe, Ltd. (Zahlungen und Identifizierung der Lieferanten, ab Freischaltung), die Steuerberatung des Verantwortlichen, andere Mitglieder, das Bundeszentralamt für Steuern (PStTG).

Stand: 10. November 2026 · Version avv-2026-11-10