Version 1.0 · 20.08.2026
Auftragsverarbeitungsvertrag
Dieser Vertrag gemäß Art. 28 DSGVO gilt zwischen der Quansatech GmbH als Auftragsverarbeiter und dem im FleetControl-Angebot oder Hauptvertrag bezeichneten Kunden als Verantwortlichem. Er wird mit Bezugnahme im Angebot, Auftrag oder Hauptvertrag Bestandteil der Vereinbarung.
1. Gegenstand und Dauer
Quansatech stellt FleetControl einschließlich Hosting, Telemetrieempfang, Fahrten- und Fahrzeugauswertung, Export, Wartung, Sicherung und Support bereit. Die Auftragsverarbeitung dauert für die Laufzeit des Hauptvertrags. Regelungen zu Rückgabe und Löschung wirken darüber hinaus fort.
2. Art, Zweck und Umfang
Die Verarbeitung umfasst das Erheben, Übertragen, Speichern, Ordnen, Auslesen, Anzeigen, Auswerten, Exportieren, Sichern, Berichtigen und Löschen der vom Kunden übermittelten oder durch Tracker erzeugten Daten. Zweck ist ausschließlich die vertragliche Bereitstellung und Absicherung von FleetControl sowie Support nach Weisung.
3. Daten und betroffene Personen
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Unternehmen, Benutzer-E-Mail, Rollen, Fahrer- oder Zuordnungstexte |
| Fahrzeug- und Gerätedaten | Kennzeichen, Fahrzeugmodell, VIN soweit erfasst, IMEI, SIM-/Trackerkennung, technische Zustände |
| Standort- und Nutzungsdaten | GPS-Position, Zeit, Route, Kilometer, Geschwindigkeit, Fahrt, Halt, Fahrtzweck, Tank- und Telemetriedaten |
| Konfigurations- und Kommunikationsdaten | Geofences, Alarmregeln, Empfängeradressen, Notizen, Exporte, Support- und Änderungsinformationen |
Betroffen sind insbesondere Beschäftigte, Fahrer, Administratoren und sonstige vom Kunden autorisierte Nutzer; in Standortdaten können weitere Personen mittelbar betroffen sein.
4. Weisungen
Quansatech verarbeitet Daten nur auf dokumentierte Weisung des Kunden, sofern keine unionsrechtliche oder österreichische Verpflichtung besteht. Weisungen können im Hauptvertrag, in Systemeinstellungen oder in Textform erteilt werden. Hält Quansatech eine Weisung für datenschutzwidrig, wird der Kunde unverzüglich informiert und die Ausführung bis zur Klärung ausgesetzt.
5. Pflichten von Quansatech
- Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen,
- Umsetzung und laufende Prüfung angemessener technischer und organisatorischer Maßnahmen,
- Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und Nachweispflichten,
- unverzügliche Information über Verletzungen des Schutzes personenbezogener Daten mit den verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO,
- keine Nutzung für eigene Zwecke, Werbung oder Profilbildung,
- Bereitstellung der erforderlichen Informationen und Ermöglichung angemessener Prüfungen.
6. Pflichten des Kunden
Der Kunde bestimmt zulässige Zwecke und Rechtsgrundlagen, informiert betroffene Personen, verwaltet Berechtigungen, erteilt Lösch- und Aufbewahrungsvorgaben und stellt sicher, dass Tracker und Standortverarbeitung arbeits-, datenschutz- und mitbestimmungsrechtlich zulässig eingesetzt werden.
7. Unterauftragsverarbeiter
Der Kunde erteilt die allgemeine Genehmigung für die nachstehend genannten Unterauftragsverarbeiter. Änderungen werden mindestens 14 Tage vor Einsatz in Textform oder über die bekannte Kundenadresse mitgeteilt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
| Anbieter | Leistung und Ort | Datenumfang |
|---|---|---|
| IPAX GmbH | Rechenzentrums-, Netzwerk- und Housing-Leistungen, Österreich | Hosting-Infrastruktur und technisch erforderliche Verbindungsdaten |
| OpenStreetMap Foundation | Bereitstellung von Kartenkacheln, Vereinigtes Königreich | Serverseitig angeforderte Kachelkoordinaten; keine direkte Übermittlung der Nutzer-IP, Zugangsdaten oder Fahrerkennung |
Die Adressauflösung (Nominatim) wird auf eigener FleetControl-Infrastruktur betrieben. Google Analytics wird ausschließlich auf der öffentlichen Produktwebsite nach Einwilligung verwendet und ist nicht Bestandteil der Verarbeitung von FleetControl-Kundendaten.
8. Technische und organisatorische Maßnahmen
Zutritts- und Zugangskontrolle
- Serverbetrieb in kontrollierter österreichischer Rechenzentrumsinfrastruktur.
- Personalisierte Konten, rollenbasierte Rechte und mandantenbezogene Datenzugriffe.
- Passwörter werden als kryptografische Prüfsummen gespeichert; Sitzungen sind zeitlich begrenzt und sichere Cookies sind HTTP-Only.
Übertragungs- und Eingabekontrolle
- TLS-verschlüsselte Webkommunikation und getrennte interne Container-Netze.
- Beschränkte Administrationszugänge, Protokollierung sicherheitsrelevanter Vorgänge und Schutz vor typischen Scanner- und Login-Angriffen.
- Tracker werden anhand eindeutiger Gerätekennungen einem Mandanten zugeordnet.
Verfügbarkeit und Belastbarkeit
- Überwachte Dienste, automatische Gesundheitsprüfungen, begrenzte Protokolldateien und geregelte Aktualisierung.
- Regelmäßige Sicherungen, Wiederanlaufverfahren und kontrollierte Wiederherstellung.
- Trennung von Anwendung, API, Telemetrieempfang, Datenbank und selbst gehosteter Adressauflösung.
Löschung und Datenschutzorganisation
- Mandantenbezogene Löschverfahren, Datenminimierung und Berechtigungskontrollen.
- Vorfallprozess, Vertraulichkeitsverpflichtungen und regelmäßige Überprüfung der Schutzmaßnahmen.
- Keine Weitergabe oder Nutzung von Kundendaten für eigene Werbezwecke.
9. Prüfungen
Der Kunde kann einmal jährlich sowie anlassbezogen Nachweise anfordern oder nach angemessener Vorankündigung eine Prüfung durchführen lassen. Betriebs- und Geschäftsgeheimnisse anderer Kunden sowie die Sicherheit der Systeme sind zu schützen. Verursacht eine Prüfung unverhältnismäßigen Aufwand ohne festgestellten Verstoß, kann dieser nach vorheriger Abstimmung verrechnet werden.
10. Rückgabe und Löschung
Während der Vertragslaufzeit kann der Kunde vorgesehene Exporte nutzen. Nach Ende des Hauptvertrags löscht oder gibt Quansatech personenbezogene Kundendaten nach Wahl des Kunden grundsätzlich innerhalb von 30 Tagen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten in Sicherungskopien werden mit dem regulären Sicherungszyklus überschrieben und bis dahin gesperrt.
11. Haftung und Schlussbestimmungen
Es gelten Art. 82 DSGVO und ergänzend die Haftungsregelungen des Hauptvertrags. Änderungen dieses AVV bedürfen der Textform. Bei Widersprüchen gehen Datenschutzregelungen dieses AVV für die Auftragsverarbeitung vor. Es gilt österreichisches Recht; zwingende gesetzliche Gerichtsstände bleiben unberührt.
Kontakt für Datenschutz und Weisungen: office@fleetcontrol.cc
Auftragsverarbeiter: Quansatech GmbH, Steyrtalstraße 88, 4523 Neuzeug, FN 581923w