Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Fassung 2026-10, Stand 06.10.2026

zwischen dem Kunden, der Optivay nutzt („Verantwortlicher“), und Johannes Nöcker, Optivay, Drögestraße 10, 33613 Bielefeld („Auftragsverarbeiter“). Der Vertrag kommt zusammen mit den Nutzungsbedingungen zustande, indem ein Firmen-Admin des Kunden beide in Optivay bestätigt oder eine Pilotvereinbarung unterzeichnet wird. Die Bestätigung wird mit Person, Zeitpunkt und Fassung gespeichert (Art. 28 Abs. 9 DSGVO).

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um ihm Optivay nach den Nutzungsbedingungen bereitzustellen.
2. Der Vertrag gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet, mindestens für die Laufzeit der Nutzungsbedingungen.

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Planen, Anlegen und Überwachen von Dienstreisen; Benachrichtigung von Reisenden und weiteren Personen; Einlesen von Buchungsbestätigungen; Erinnerung an offene Buchungen; Vorbereitung von Erstattungen nach Fahrgastrechten; Belegmappe, Verpflegungspauschale, Pauschalsteuer-Berechnung und Export für die Buchhaltung; Verwaltung der Zugänge; Betrieb, Sicherheit und Fehlerbehebung.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Abgleichen mit Fahrplan- und Echtzeitdaten, Übermitteln (Benachrichtigungen), Löschen.

Kategorien personenbezogener Daten:

• Zugangsdaten: Name, E-Mail-Adresse, Rolle, Passwort-Hash, Anmeldesitzungen, Push-Empfangsadressen.
• Profil- und Richtliniendaten: Reiserichtlinie bzw. Stufe, Umstiegszeit-Einstellung, feste Begleitpersonen, Bonusprogramme mit Kundennummer, Kennzeichen „nicht kirchensteuerpflichtig“.
• Reisedaten: Start, Ziel und Zwischenstationen (auch Adressen), geplante Zeiten, Verbindungen, Tarif, Klasse, Ticketpreis, Buchungsbestätigungen (Text, Auftragsnummer, Name), Buchungsstand und Buchungsaufträge.
• Überwachungsdaten: Echtzeit-Beobachtungen der gebuchten Verbindungen, Alarme, Alternativen, Umbuchungen.
• Kommunikationsdaten: Empfänger, Inhalt und Zeitpunkt von Benachrichtigungen und Kalendereinladungen.
• Abrechnungsdaten: Erstattungsfälle, Reisetage, Orte, gestellte Mahlzeiten, Pauschalen und Steuern.

Besondere Kategorien (Art. 9 DSGVO): Das Kennzeichen „nicht kirchensteuerpflichtig“ kann Rückschlüsse auf die Religionszugehörigkeit zulassen. Der Verantwortliche hinterlegt es nur, wenn er es für die Lohnabrechnung ohnehin verarbeitet. Eine längere Umstiegszeit wird ohne Grund gespeichert; Angaben zur Gesundheit werden nicht erfragt.

Betroffene Personen: Beschäftigte und andere Reisende des Verantwortlichen, Nutzerinnen und Nutzer mit Zugang (zum Beispiel Reisestelle, Firmen-Admins), vom Verantwortlichen benannte Kontaktpersonen (zum Beispiel Assistenz, Terminpartner, Begleitpersonen) sowie Absender weitergeleiteter Buchungsbestätigungen (zum Beispiel Reisebüros).

3. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind diese Vereinbarung, die Nutzungsbedingungen und die Einstellungen, die der Verantwortliche in Optivay vornimmt. Weitere Weisungen erteilt der Verantwortliche in Textform.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.
3. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. In der Pilotphase verarbeitet ausschließlich der Inhaber selbst die Daten.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen teilt er mit.

6. Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
2. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

7. Ort der Verarbeitung

Die Daten werden in der Europäischen Union verarbeitet. Eine Übermittlung in Drittländer erfolgt nur nach den Art. 44 ff. DSGVO und nach vorheriger Information des Verantwortlichen.

8. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO). Anfragen, die ihn direkt erreichen, leitet er unverzüglich weiter. Vieles kann der Verantwortliche selbst in Optivay erledigen (zum Beispiel Daten ändern, Reisen entfernen, Personen löschen, Zugänge sperren, Daten exportieren).
2. Er unterstützt ihn bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO) mit den ihm vorliegenden Informationen.

9. Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist – mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt, und den ergriffenen Gegenmaßnahmen.

10. Löschung und Rückgabe

1. Der Verantwortliche kann Reisen in Optivay entfernen, Personen löschen, Zugänge sperren und seine Daten über die Exportfunktionen sichern. Entfernte Reisen werden zunächst nur ausgeblendet; die endgültige Löschung einzelner Daten nimmt der Auftragsverarbeiter auf Weisung des Verantwortlichen innerhalb von 30 Tagen vor.
2. Nach Vertragsende kann der Verantwortliche seine Daten noch 30 Tage exportieren. Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen; in Sicherungskopien werden sie mit deren regulärem Überschreiben nach spätestens 90 Tagen gelöscht. Auf Wunsch bestätigt er die Löschung in Textform.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen – nach rechtzeitiger Anmeldung, während der üblichen Geschäftszeiten und ohne Einsicht in Daten anderer Kunden. In der Regel genügt eine schriftliche Selbstauskunft.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen hat dieser Vertrag in Fragen des Datenschutzes Vorrang.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Rechenzentrum: Server der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland), zertifiziert nach ISO/IEC 27001; Zutritt nur für berechtigtes Personal des Rechenzentrums.
• Zugang zum Server: Anmeldung nur mit persönlichem SSH-Schlüssel; Passwort-Anmeldung für den Administrator ist gesperrt. Nur der Inhaber hat Zugang. Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
• Abschottung: Datenbank und Anwendung sind nicht direkt aus dem Internet erreichbar; öffentlich ist nur der Webserver, der ausschließlich freigegebene Adressen weiterleitet. Der Mail-Empfang nimmt nur Mails an die eigene Empfangsadresse an.
• Zugang zu Optivay: persönliche Zugänge; Passwörter nur als PBKDF2-SHA256-Hash mit 600 000 Durchläufen und eigenem Salt; Anmelde-Cookies nur über HTTPS, nicht per Skript lesbar (HttpOnly, SameSite); Sitzungen enden nach 14 Tagen; Begrenzung wiederholter Anfragen.
• Zugriffskontrolle: Rollen (Reisende, Reisestelle, Firmen-Admin) mit abgestuften Rechten; Reisende sehen nur eigene Reisen; jede Abfrage ist auf die eigene Firma beschränkt (Mandantentrennung).
• Links ohne Anmeldung (zum Beispiel für Begleitpersonen) enthalten zufällige, nicht erratbare Kennungen und zeigen nur die eine Reise.

Integrität

• Weitergabe: Verbindungen zu Optivay nur verschlüsselt (HTTPS mit TLS); eingehende Mails mit STARTTLS; Mailversand über den Dienstleister verschlüsselt; Push-Nachrichten Ende-zu-Ende verschlüsselt.
• Eingabe und Nachvollziehbarkeit: Echtzeit-Beobachtungen werden nicht überschrieben, sondern fortlaufend ergänzt; Umbuchungen, Erstattungsfälle und Buchungsstände werden mit Zeitpunkt gespeichert; die Zustimmung zu Nutzungsbedingungen und AVV mit Person und Zeitpunkt.
• Datenminimierung bei Abfragen: An Fahrplan-, Orts- und Flugdienste gehen nur Haltestellen, Orte bzw. Adressen, Zeiten oder Flugnummern – keine Namen.

Verfügbarkeit und Belastbarkeit

• Vollständige Sicherung der Datenbank jede Nacht und vor jeder Änderung an der Software; aufbewahrt werden die Sicherungen der letzten 14 Tage und danach eine je Woche, nach spätestens 90 Tagen werden sie automatisch gelöscht.
• Zusätzlich tägliche Sicherung des gesamten Servers durch Hetzner, getrennt vom Server gespeichert; Hetzner behält höchstens sieben Sicherungen.
• Dienste starten nach Fehlern automatisch neu; externe Überwachung der Erreichbarkeit alle 5 Minuten.
• Jede Änderung an der Software wird vor dem Einspielen mit einer automatischen Testsammlung geprüft.

Datenschutz durch Technik und Voreinstellungen

• Keine Tracking-, Analyse- oder Werbedienste; Schriften und alle Dateien kommen vom eigenen Server.
• IP-Adressen im Zugriffsprotokoll nur gekürzt; Protokolle in der Größe begrenzt und fortlaufend überschrieben.
• Weitergeleitete Mails werden nach dem Auslesen gelöscht.
• Keine Ortung von Geräten, keine Bewegungsprofile; ausgewertet werden geplante Verbindungen und Echtzeitdaten der Verkehrsunternehmen.

Organisation

• Verfahren für Datenschutzverletzungen: erkennen, eindämmen, bewerten, Verantwortlichen innerhalb von 24 Stunden informieren, dokumentieren.
• Überprüfung dieser Maßnahmen mindestens einmal im Jahr und bei wesentlichen Änderungen.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland – Hosting (Server und Speicher), Rechenzentrum Falkenstein, Deutschland.
• Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich – Versand von E-Mails.

Weitere Empfänger ohne Auftragsverarbeitung. Für Fahrplan-, Echtzeit-, Orts- und Flugabfragen ruft Optivay öffentliche Schnittstellen ab und übermittelt dabei keine Namen, sondern nur Haltestellen, Orte bzw. Adressen, Zeiten oder Flugnummern: Transitous (transitous.org), openrouteservice der HeiGIT gGmbH (Heidelberg), DB API Marketplace der Deutschen Bahn, Verkehrsverbund Rhein-Ruhr, AeroDataBox (über RapidAPI). Push-Nachrichten stellen die Push-Dienste der Browser-Hersteller verschlüsselt zu. Alarme an Microsoft Teams oder Slack gehen nur, wenn der Verantwortliche selbst einen solchen Kanal einrichtet.