Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Kunde (der Betrieb, „Verantwortlicher“) bei der Nutzung von FlightPeek Business eingibt oder übermittelt und die die Anbieterin („Auftragsverarbeiter“) in seinem Auftrag verarbeitet (Art. 28 DSGVO).

Er wird mit der Buchung von FlightPeek Business oder der Freischaltung eines Betriebs Bestandteil des Vertrags und gilt, solange die Anbieterin Daten des Kunden verarbeitet.

2. Art und Zweck der Verarbeitung

Speichern und Anzeigen von Abholungen im Dashboard und in der App der Mitglieder, Abgleich mit dem Flugstatus, Berechnung von Losfahrzeiten, Benachrichtigung von Disposition und Fahrern per Push und E-Mail sowie die Bereitstellung der Daten über Kalender-Abo, Webhook, Schnittstelle und die Abholseite für Fahrgäste — jeweils so, wie der Kunde diese Funktionen einrichtet und nutzt.

Bietet die Anbieterin den Mail-Import an und nutzt der Kunde ihn, wird eine weitergeleitete Buchungsbestätigung nur ausgewertet, um Flugnummern und Daten zu erkennen. Die Mail selbst wird nicht gespeichert.

3. Art der Daten

Angaben zu Abholungen: Flugnummer, Datum, Fahrgast-Notiz (zum Beispiel Name und Personenzahl), externe Buchungsnummer, Übergabezeitpunkt, Hinweis auf Handgepäck, Treffpunkt. Angaben, die der Kunde über seine Mitglieder festlegt: Rolle, Einladungen, Zuordnung von Abholungen, Fahrzeiten, Einstellungen für Meldungen. Die eigenen Konten der Mitglieder (E-Mail-Adresse, Name, Anmeldung) verantwortet die Anbieterin selbst nach ihrer Datenschutzerklärung. Technische Daten: Zugriffszeitpunkte und Protokolle.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags. Trägt der Kunde dennoch solche Angaben ein, etwa einen Rollstuhlbedarf in einer Notiz, verantwortet er die Rechtsgrundlage; die Angaben werden wie alle übrigen Daten geschützt.

4. Betroffene Personen

Fahrgäste des Kunden, Mitglieder des Betriebs (Inhaber, Disposition, Fahrer) und Absender weitergeleiteter Buchungsbestätigungen.

5. Weisungen

Die Anbieterin verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die Einstellungen und Funktionen, die der Kunde im Dashboard wählt, sowie Weisungen per E-Mail. Hält die Anbieterin eine Weisung für rechtswidrig, weist sie den Kunden darauf hin.

Eine Verarbeitung zu eigenen Zwecken der Anbieterin findet nicht statt. Ausgenommen ist die Nutzungsstatistik ohne dauerhafte Kennung und ohne Fahrgastdaten, wie in der Datenschutzerklärung beschrieben.

6. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugang zu den Produktivsystemen ist auf die Geschäftsführung der Anbieterin beschränkt.

7. Technische und organisatorische Maßnahmen

Die Anbieterin trifft Maßnahmen nach Art. 32 DSGVO, insbesondere:

Server und Datenbank bei der Hetzner Online GmbH in nach ISO 27001 zertifizierten Rechenzentren in Deutschland. Verschlüsselte Übertragung (TLS) für App, Dashboard, Schnittstelle und Webhooks; Webhooks gehen nur an HTTPS-Adressen und sind mit HMAC-SHA256 signiert.

Passwörter nur als bcrypt-Hash, Schnittstellen-Schlüssel nur als Hash. Anmeldecodes gelten 15 Minuten, Zugriffstoken 15 Minuten; Sitzungen der Mitglieder laufen nach 7 Tagen ohne Nutzung ab. Im Dashboard liegen sie in Cookies, die für Skripte nicht lesbar sind. Abhol-Links für Fahrgäste gelten bis 24 Stunden nach der Landung.

Rechte nach Rollen: Fahrer sehen nur eigene Abholungen, die Disposition nur Flüge des Betriebs; als privat markierte Flüge eines Fahrers sind für den Betrieb unsichtbar. Einstellungen des Betriebs und die Abrechnung sind dem Inhaber vorbehalten; Schnittstellen-Schlüssel und Import-Adresse verwalten Inhaber und Disposition. Die Daten verschiedener Betriebe sind logisch getrennt.

Fehler- und Zugriffsprotokolle enthalten keine Anfrageinhalte und keine Passwörter.

8. Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter. Die Anbieterin verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

Über neue oder ersetzte Unterauftragsverarbeiter informiert die Anbieterin den Kunden mindestens 30 Tage vorher per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.

Für den Mail-Import ist ein E-Mail-Empfangsdienst nötig, der weitergeleitete Mails entgegennimmt. Die Anbieterin kündigt ihn nach dem Verfahren oben an, bevor sie den Mail-Import freischaltet. Flugdaten- und Positionsdienste erhalten nur Flugnummern, Daten und Flughafenkürzel, keine personenbezogenen Daten, und sind deshalb keine Unterauftragsverarbeiter. Die Zahlungsabwicklung über Stripe betrifft die Vertragsbeziehung zum Kunden, nicht die Daten seiner Fahrgäste.

Hetzner Online GmbH, Gunzenhausen, Deutschland

Betrieb der Server und der Datenbank in Rechenzentren in Deutschland.

Resend (Plus Five Five, Inc.), USA

Versand von E-Mails: Einladungen, Anmeldecodes, Meldungen an die Disposition und die Abendübersicht. Diese Mails können Fahrgast-Notizen enthalten. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln; Plus Five Five, Inc. ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

Google Ireland Limited / Google LLC (Firebase Cloud Messaging)

Zustellung von Push-Meldungen an Android-Geräte. Meldungen an die Disposition können Fahrgast-Notizen enthalten. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert.

Apple Distribution International Ltd. / Apple Inc. (Apple Push Notification service)

Zustellung von Push-Meldungen an iPhones. Meldungen an die Disposition können Fahrgast-Notizen enthalten. Apple Inc. ist unter dem EU-US Data Privacy Framework zertifiziert.

9. Unterstützung des Kunden

Der Kunde kann Angaben zu Abholungen im Dashboard selbst berichtigen und löschen und Daten als CSV exportieren. Darüber hinaus unterstützt die Anbieterin den Kunden bei Anfragen betroffener Personen, bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden. Wendet sich ein Fahrgast direkt an die Anbieterin, leitet sie die Anfrage an den Kunden weiter.

10. Verletzungen des Schutzes personenbezogener Daten

Die Anbieterin informiert den Kunden unverzüglich, möglichst innerhalb von 48 Stunden, nachdem ihr eine Verletzung bekannt geworden ist, mit den Angaben, die der Kunde für seine Meldung nach Art. 33 DSGVO braucht.

11. Löschung nach Vertragsende

Bis zum Vertragsende kann der Kunde seine Abholungen als CSV exportieren. Spätestens 30 Tage nach Vertragsende löscht die Anbieterin die Daten des Betriebs — Betriebsprofil, Mitgliedschaften, Abholungen mit Notizen, Meldungsprotokoll und Schlüssel —, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch geschieht das früher. Soweit Daten in Sicherungskopien enthalten sind, verschwinden sie mit deren regulärem Ablauf.

Eigene Konten der Fahrer bleiben bestehen. Flüge darin, die noch dem Betrieb zugeordnet sind, werden von allen Angaben des Betriebs bereinigt (Notiz, Buchungsnummer, Übergabe, Abhol-Link). Entfernt der Kunde ein Mitglied, geschieht das sofort. Hat ein Fahrer einen Flug selbst als privat markiert, bleibt die Notiz in seinem Konto; Buchungsnummer und Abhol-Link werden dabei sofort entfernt.

12. Nachweise und Kontrollen

Die Anbieterin stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Kontrollen vor Ort sind nach angemessener Vorankündigung, höchstens einmal im Jahr und zu den üblichen Geschäftszeiten möglich, soweit schriftliche Nachweise nicht ausreichen.

13. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Nutzungsbedingungen für FlightPeek Business. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.

Es gilt das Recht der Republik Zypern. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.