Deutsche Übersetzung des Logivo.ai Data Processing Addendum zur Struktur, den Pflichten des Auftragsverarbeiters, Unterauftragsverarbeitern, internationale...
Auftragsverarbeitungszusatz, der die Pflichten von Logivo.ai als Auftragsverarbeiter nach der UK-GDPR bei der Verarbeitung von durch den Kunden kontrollierten personenbezogenen Transport- und Betriebsdaten festlegt.
Version production-2026-06-03
Diese Uebersetzung dient der besseren Lesbarkeit. Die Logivo-Rechtsdokumente werden unter britischem Recht erstellt; massgeblich bleibt die englische Fassung und die Rechtsordnung von England und Wales, soweit anwendbar.
1. Definitionen
In diesem AVV:
- Customer Personal Data bedeutet personenbezogene Daten, die von Logivo.ai im Auftrag des Kunden im Zusammenhang mit den Services verarbeitet werden.
- Data Protection Laws bedeutet, soweit anwendbar, die UK GDPR, das Data Protection Act 2018, die Privacy and Electronic Communications Regulations 2003, die EU GDPR sowie alle ersetzenden oder ergänzenden Datenschutzgesetze.
- EU GDPR bedeutet Verordnung (EU) 2016/679.
- UK GDPR hat die in dem Data Protection Act 2018 gegebene Bedeutung.
- Personal Data Breach, controller, processor, personal data, processing, data subject und subprocessor haben die in den Data Protection Laws gegebenen Bedeutungen.
Großgeschriebene Begriffe, die in diesem AVV nicht definiert sind, haben die in der Vereinbarung gegebene Bedeutung.
2. Rollen und Anwendungsbereich
- Der Kunde ist der controller der Customer Personal Data.
- Logivo.ai ist der processor der Customer Personal Data, außer wenn Logivo.ai als controller handelt, wie in der Privacy Policy oder der Vereinbarung beschrieben.
- Schedule 1 beschreibt den Gegenstand, die Dauer, Art, den Zweck, die Kategorien von data subjects und die Kategorien personenbezogener Daten.
Der Kunde ist verantwortlich für:
- die Bereitstellung aller erforderlichen Datenschutzhinweise;
- das Vorliegen einer rechtmäßigen Grundlage für die Verarbeitung;
- die Sicherstellung, dass Customer Personal Data richtig, relevant und rechtmäßig ist;
- die Sicherstellung, dass seine Anweisungen den Data Protection Laws entsprechen;
- den Umgang mit Anfragen betroffener Personen, soweit er controller ist; und
- die rechtmäßige Konfiguration der Services.
Logivo.ai verarbeitet Customer Personal Data nur auf dokumentierte Anweisungen des Kunden, einschließlich der Vereinbarung, des Order Form, der Produktkonfiguration, der Handlungen von Authorised Usern und schriftlicher Anweisungen, sofern nicht gesetzlich etwas anderes vorgeschrieben ist. Wenn Logivo.ai gesetzlich verpflichtet ist, Customer Personal Data anders als auf Anweisung des Kunden zu verarbeiten, benachrichtigt Logivo.ai den Kunden vorab, sofern dies nicht gesetzlich untersagt ist.
Logivo.ai benachrichtigt den Kunden unverzüglich, wenn nach Ansicht von Logivo.ai eine Anweisung gegen Data Protection Laws verstößt.
3. Pflichten des Auftragsverarbeiters
Logivo.ai wird:
- Customer Personal Data nur insoweit verarbeiten, wie dies zur Bereitstellung, Sicherung, Unterstützung und Verbesserung der Services, zur Erfüllung der Vereinbarung und zur Befolgung der Anweisungen des Kunden erforderlich ist;
- sicherstellen, dass Personen, die zur Verarbeitung von Customer Personal Data befugt sind, Vertraulichkeitsverpflichtungen unterliegen;
- geeignete technische und organisatorische Maßnahmen implementieren und aufrechterhalten, wie in Schedule 2 beschrieben;
- den Kunden unter Berücksichtigung der Art der Verarbeitung und der Logivo.ai zur Verfügung stehenden Informationen bei Anfragen betroffener Personen, Sicherheitsverpflichtungen, Benachrichtigungen über Verstöße, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden unterstützen;
- Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen;
- Customer Personal Data gemäß Abschnitt 8 löschen oder zurückgeben; und
- die Pflichten einhalten, die nach Data Protection Laws unmittelbar für Auftragsverarbeiter gelten.
Logivo.ai kann angemessene Gebühren für Unterstützung verlangen, die nicht aufgrund eines Verstoßes von Logivo.ai erforderlich ist und die erheblichen Zeitaufwand, Sonderarbeiten, Exporte, Audits oder technischen Support außerhalb der Standardfunktionalität erfordert.
4. Unterauftragsverarbeiter
- Der Kunde erteilt Logivo.ai eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter zur Verarbeitung von Customer Personal Data für die Services einzusetzen.
- Logivo.ai führt eine aktuelle Liste der Unterauftragsverarbeiter unter https://logivo.ai/sub-processors oder an einem anderen dem Kunden mitgeteilten Ort. Die Liste sollte den Namen des Unterauftragsverarbeiters, den Zweck sowie das Land oder die Region der Verarbeitung enthalten.
- Logivo.ai wird Unterauftragsverarbeitern schriftliche Datenschutzpflichten auferlegen, die ein Schutzniveau bieten, das diesem AVV wesentlich gleichwertig ist.
- Logivo.ai bleibt gegenüber dem Kunden für die Erfüllung der Datenschutzpflichten durch Unterauftragsverarbeiter insoweit verantwortlich, als dies nach Data Protection Laws erforderlich ist.
Logivo.ai kann Unterauftragsverarbeiter hinzufügen oder ersetzen. Soweit nach Data Protection Laws erforderlich, wird Logivo.ai angemessene Vorabmitteilung leisten, etwa über die Unterauftragsverarbeiter-Seite, per E-Mail oder durch einen In-Product-Hinweis. Der Kunde kann innerhalb von 10 business days aus berechtigten datenschutzrechtlichen Gründen widersprechen. Die Parteien werden nach Treu und Glauben zusammenarbeiten, um den Widerspruch zu lösen. Falls dies nicht möglich ist, kann Logivo.ai die betroffenen Services beenden und eine anteilige Rückerstattung im Voraus gezahlter, nicht verbrauchter Gebühren für die betroffenen Services, sofern vorhanden, leisten.
5. Internationale Übermittlungen
- Logivo.ai wird Customer Personal Data nicht außerhalb des UK, des EWR oder eines Landes, das von einem anwendbaren Angemessenheitsbeschluss oder einer Angemessenheitsverordnung erfasst ist, übermitteln, sofern keine geeigneten Garantien bestehen oder eine rechtmäßige Ausnahme greift.
- Wird Customer Personal Data vom UK in ein Land ohne UK-Angemessenheitsschutz übermittelt, verwenden die Parteien das UK International Data Transfer Agreement oder den UK Addendum zu den EU Standard Contractual Clauses, je nach Anwendbarkeit.
- Wird Customer Personal Data vom EWR in ein Land ohne EU-Angemessenheitsschutz übermittelt, verwenden die Parteien die EU Standard Contractual Clauses, je nach Anwendbarkeit.
- Der Kunde ermächtigt Logivo.ai, soweit für die Bereitstellung der Services erforderlich, Mechanismen für Weiterübermittlungen mit Unterauftragsverarbeitern zu vereinbaren.
6. Sicherheit
- Logivo.ai wird geeignete technische und organisatorische Maßnahmen implementieren und aufrechterhalten, die darauf ausgelegt sind, Customer Personal Data vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung, Beschädigung, Veränderung oder Offenlegung zu schützen.
- Schedule 2 beschreibt die Grundmaßnahmen. Logivo.ai kann diese Maßnahmen von Zeit zu Zeit aktualisieren, sofern das Gesamtniveau der Sicherheit nicht wesentlich verringert wird.
- Der Kunde ist verantwortlich für die Sicherung seiner eigenen Systeme, Zugangsdaten, Geräte, Netzwerke, Integrationen, Berechtigungen, Exporte und lokalen Kopien von Customer Personal Data.
7. Personal Data Breach
- Logivo.ai benachrichtigt den Kunden unverzüglich und, soweit vernünftigerweise praktikabel, innerhalb von 72 hours nachdem Logivo.ai von einem Personal Data Breach Kenntnis erlangt hat, der Customer Personal Data betrifft.
- Die Benachrichtigung umfasst, soweit zum betreffenden Zeitpunkt bekannt: die Art des Vorfalls; Kategorien und ungefähre Anzahl der betroffenen data subjects und Datensätze; wahrscheinliche Folgen; ergriffene oder vorgeschlagene Maßnahmen zur Behebung des Vorfalls; sowie eine Kontaktstelle für weitere Rückfragen.
- Logivo.ai wird angemessene Schritte unternehmen, um den Vorfall einzudämmen, zu untersuchen und zu beheben, und wird dem Kunden angemessene Unterstützung für etwaige erforderliche Benachrichtigungen leisten.
- Die Benachrichtigung eines Vorfalls durch Logivo.ai ist kein Anerkenntnis von Verschulden oder Haftung.
8. Rückgabe und Löschung
- Während der Laufzeit kann der Kunde Customer Personal Data über die verfügbare Exportfunktion oder durch Anforderung angemessener Unterstützung exportieren.
- Bei Beendigung oder Ablauf der Services wird Logivo.ai nach Wahl des Kunden und vorbehaltlich der Zahlung unbestrittener Gebühren Customer Personal Data innerhalb eines angemessenen Zeitraums löschen oder zurückgeben, sofern keine Aufbewahrung gesetzlich vorgeschrieben ist oder zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
- Sicherungskopien können bis zu ihrer Überschreibung oder Löschung im Rahmen normaler Backup-Zyklen in sicheren Backups verbleiben, sofern sie geschützt sind und nicht für aktive Verarbeitung verwendet werden, außer für Wiederherstellung, Sicherheit, Compliance oder rechtliche Zwecke.
9. Anfragen betroffener Personen
- Erhält Logivo.ai eine Anfrage einer betroffenen Person zu Customer Personal Data, wird Logivo.ai, soweit gesetzlich zulässig, den Kunden benachrichtigen oder die betroffene Person anweisen, den Kunden zu kontaktieren.
- Logivo.ai wird auf solche Anfragen nicht inhaltlich reagieren, außer auf Anweisung des Kunden, soweit gesetzlich erforderlich, oder um zu bestätigen, dass sich die Anfrage auf ein vom Kunden kontrolliertes Konto bezieht.
10. Audits und Compliance-Informationen
- Logivo.ai wird Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen. Dies kann Sicherheitszusammenfassungen, Fragebögen, Richtlinien, Zertifizierungen, Auditberichte oder andere verfügbare Unterlagen umfassen.
- Reichen die bereitgestellten Informationen nicht aus, um die Einhaltung nachzuweisen, kann der Kunde höchstens einmal innerhalb eines Zeitraums von 12 Monaten ein Audit verlangen, sofern dies nicht von einer Aufsichtsbehörde verlangt wird oder nach einem bestätigten Personal Data Breach, der Customer Personal Data betrifft.
- Audits müssen während der normalen UK-Geschäftszeiten, nach angemessener vorheriger schriftlicher Mitteilung, durch qualifiziertes Personal und in einer Weise durchgeführt werden, die das Geschäft von Logivo.ai nicht stört oder die Daten, Sicherheit, Vertraulichkeit oder Systeme anderer Kunden gefährdet.
- Der Kunde muss sicherstellen, dass Auditoren Vertraulichkeitsverpflichtungen unterliegen. Logivo.ai kann für Audits, die erheblichen Zeit- oder Ressourcenaufwand erfordern, angemessene Gebühren verlangen, außer wenn das Audit wegen eines wesentlichen Verstoßes von Logivo.ai gegen diesen AVV erforderlich ist.
11. Anweisungen des Kunden und eingeschränkte Daten
- Der Kunde darf keine besonderen Kategorien personenbezogener Daten, Daten zu strafrechtlichen Verurteilungen und Straftaten, Daten von Kindern, nationale Kennungen, Finanzkontodaten, Zahlungskartendaten, Gesundheitsdaten, biometrische Daten oder sonstige Daten mit hohem Risiko hochladen oder übermitteln, sofern dies nicht ausdrücklich im Order Form gestattet und durch geeignete Schutzmaßnahmen abgesichert ist.
- Der Kunde darf die Services nicht dazu verwenden, ausschließlich automatisierte Entscheidungen über Personen zu treffen, die rechtliche oder ähnlich erhebliche Auswirkungen haben, sofern dies nicht ausdrücklich schriftlich vereinbart und durch geeignete Schutzmaßnahmen abgesichert ist.
12. Haftung und Konflikt
- Die aus diesem AVV entstehende Haftung unterliegt den Haftungsbeschränkungen und Haftungsausschlüssen in der Vereinbarung, sofern Data Protection Laws nichts anderes verlangen.
- Im Fall eines Widerspruchs zwischen diesem AVV und den Terms hat dieser AVV Vorrang für die Verarbeitung von Customer Personal Data.
Schedule 1: Details der Verarbeitung
- Gegenstand: Bereitstellung von Logivo.ai Transport-, Fuhrpark-, Logistik-, KI-, Automatisierungs-, Web-, Mobile-, Integrations-, Support-, Analytics- und damit verbundenen Services für den Kunden.
- Dauer: die Laufzeit der Vereinbarung zuzüglich etwaiger Export-, Lösch-, Backup-, gesetzlicher Aufbewahrungs- oder Abwicklungsfristen.
- Art der Verarbeitung: Hosting, Speicherung, Übertragung, Abruf, Zugriff, Organisation, Strukturierung, Aufzeichnung, Veränderung, Abfrage, Analyse, Extraktion, Anreicherung, Offenlegung durch Übermittlung, Löschung, Support, Sicherheitsüberwachung, Backup und Wiederherstellung.
- Zweck: die Services gemäß der Vereinbarung und den Anweisungen des Kunden bereitzustellen, abzusichern, zu unterstützen, zu warten, zu beheben, zu verbessern und zu betreiben.
- Häufigkeit: fortlaufend oder intermittierend, abhängig von der Nutzung der Services durch den Kunden.
- data subjects: Mitarbeiter des Kunden, Fahrer, Auftragnehmer, Subunternehmer, Administratoren, Kunden, Lieferanten, Empfänger, Versender, Frachtführer, Drittkontakte, Supportkontakte und andere Personen, deren Daten vom Kunden oder für den Kunden an die Services übermittelt werden.
- Kategorien personenbezogener Daten: Namen, geschäftliche Kontaktdaten, Funktion, Zugangsdaten, Berechtigungen, Auftrags- und Routendetails, Fahrzeug- und Anhängerkennungen, Fahrereinteilungen, Abhol- und Lieferdetails, Zeitstempel, Unterschriften, Fotos, POD-Dokumente, Notizen, Mitteilungen, Standortdaten, Telematikdaten, Gerätedaten, Auditprotokolle, Supportdaten und Integrationsdaten.
- Sensitive data: nicht vorgesehen. Kunden dürfen keine besonderen Kategorien personenbezogener Daten oder Daten zu strafrechtlichen Verurteilungen und Straftaten übermitteln, sofern dies nicht ausdrücklich im Order Form vereinbart ist.
- Verarbeitungsorte: Vereinigtes Königreich, EWR und andere von autorisierten Unterauftragsverarbeitern genutzte Orte, vorbehaltlich Abschnitt 5.
Schedule 2: Technische und organisatorische Maßnahmen
Logivo.ai wird Maßnahmen aufrechterhalten, die dem Risiko, der Art und dem Umfang der Services angemessen sind; dazu können gehören:
- Zugriffskontrolle: rollenbasierter Zugriff, Berechtigungen nach dem Need-to-know-Prinzip, Zugriffskontrollen, Authentifizierungskontrollen und Widerrufsprozesse.
- Verschlüsselung: Verschlüsselung während der Übertragung mittels TLS oder gleichwertig; Verschlüsselung im Ruhezustand, soweit dies vom betreffenden Speicher- oder Infrastrukturservice unterstützt wird.
- Verfügbarkeit und Resilienz: Backups, Monitoring, Incident Response, Disaster-Recovery-Planung und betriebliche Kontinuitätsverfahren, die dem Umfang der Services angemessen sind.
- Protokollierung und Überwachung: System-, Zugriffs-, Sicherheits- und Audit-Protokollierung, ausgelegt darauf, verdächtige Aktivitäten zu erkennen und Untersuchungen zu unterstützen.
- Netzwerk- und Anwendungssicherheit: Firewalls oder gleichwertige Kontrollen, sichere Konfiguration, Schwachstellenmanagement, Patch-Prozesse und gegebenenfalls Malware-Schutz.
- Sichere Entwicklung: Code-Review, Change Control, Trennung von Umgebungen, Release-Management und risikoadäquate Testverfahren.
- Personalsicherheit: Vertraulichkeitsverpflichtungen, Zugriffsbegrenzung, Onboarding- und Offboarding-Kontrollen sowie den Rollen angemessene Security-Awareness-Maßnahmen.
- Management von Unterauftragsverarbeitern: Vendor Due Diligence, schriftliche Verträge, Zugriffsbegrenzung und Prüfung relevanter Sicherheitszusagen.
- Datentrennung: logische Trennung von Kundenumgebungen oder Datensätzen, soweit dies der Architektur angemessen ist.
- Datenminimierung: Konfigurations- und Aufbewahrungskontrollen, die darauf ausgelegt sind, die Verarbeitung auf das für die Services Erforderliche zu beschränken.
- Incident Management: dokumentierter Prozess zur Identifizierung, Eskalation, Untersuchung und Behebung von Sicherheitsvorfällen und Personal Data Breaches.
- Physische Sicherheit: Verlass auf sichere Rechenzentrums- und Bürokontrollen, die von seriösen Infrastruktur- und Arbeitsplatzanbietern bereitgestellt werden.