Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO. Stand: 12. September 2026. Dieser Vertrag ist Bestandteil des Vertrages über die Nutzung von fendr und gilt mit dessen Abschluss. Er wird auf Wunsch zusätzlich unterschrieben bereitgestellt.
Die Beteiligten
Verantwortlicher ist der Kunde: die Reederei, die fendr nutzt. Sie entscheidet über Zweck und Mittel der Verarbeitung.
Auftragsverarbeiter ist Mika Bsdurrek, fendr, Haeselerstraße 9, 14050 Berlin, contact@fendr.de. Ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen des § 38 BDSG nicht vorliegen; Ansprechpartner in Datenschutzfragen ist der Auftragsverarbeiter selbst.
1. Gegenstand und Dauer
Gegenstand ist der Betrieb der Software fendr für den Kunden, einschließlich Hosting, Pflege, Sicherung und Unterstützung. Die Verarbeitung dauert so lange, wie der Hauptvertrag läuft. Sie endet mit dessen Ende; es gilt Ziffer 8.
2. Art und Zweck der Verarbeitung
Erhebung, Speicherung, Veränderung, Auslesen und Löschen personenbezogener Daten, ausschließlich um dem Kunden die vertraglich vereinbarten Funktionen bereitzustellen: Fahrten und Buchungen, Dienstplanung, Zeiterfassung, Bord-App, Mitarbeiter-Portal, Auswertung, Lohnvorbereitung und Wissen.
3. Art der Daten und Kreis der Betroffenen
Verarbeitet werden, je nach gebuchten Modulen:
- Beschäftigte des Kunden: Name, Benutzername, Kontaktdaten, Rolle, Dienst- und Arbeitszeiten, Abwesenheiten, Qualifikationen, Stundensatz und Lohnbestandteile (nur bei gebuchtem Modul Lohn), Ausweis- und Gerätekennungen, Standortprüfung beim Stempeln (Ergebnis, nicht die Position), Nachrichten und Meldungen.
- Gäste und Kunden des Kunden: Name, Anschrift, E-Mail, Telefon, Buchungsdaten, Zahlungsart und Ticketnummern aus den angebundenen Buchungskanälen.
- Ansprechpartner beim Kunden: Name, dienstliche Kontaktdaten, Rolle.
Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand. Krankmeldungen werden ohne Diagnose als Abwesenheitsart geführt.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten der Hauptvertrag samt Anlagen sowie die Bedienung der Software durch den Kunden. Einzelweisungen erteilt der Kunde in Textform an contact@fendr.de; sie werden protokolliert. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das mit und darf ihre Ausführung aussetzen.
5. Vertraulichkeit
Der Auftragsverarbeiter arbeitet allein. Er ist auf Vertraulichkeit verpflichtet und verpflichtet jede weitere Person, die Zugang erhält, schriftlich zur Vertraulichkeit, bevor sie Zugang erhält.
6. Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Sie stehen beschrieben unter fendr.de/tom und sind Anlage zu diesem Vertrag. Er überprüft sie regelmäßig und darf sie fortschreiben, solange das Schutzniveau erhalten bleibt.
7. Unterauftragnehmer
Der Kunde stimmt den folgenden Unterauftragnehmern zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Straße 57, 56410 Montabaur | Server und Rechenzentrum | Deutschland (Berlin) |
| STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin | Postfach und Mailversand (Rechnungen, Einladungen, Antworten) | Deutschland |
Weitere Unterauftragnehmer teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Kunde darf aus wichtigem Grund widersprechen; kommt keine Einigung zustande, darf jede Seite zum geplanten Wechsel kündigen. Eine Verarbeitung außerhalb der EU findet nicht statt.
8. Löschung und Rückgabe
Nach Ende des Hauptvertrages stellt der Auftragsverarbeiter auf Anfrage einen vollständigen Abzug der Datenbank bereit und löscht danach alle Daten des Kunden einschließlich der Sicherungskopien, spätestens 30 Tage nach Vertragsende. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die Löschung wird auf Wunsch bestätigt.
9. Unterstützung des Kunden
Der Auftragsverarbeiter unterstützt den Kunden bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, bei der Datenschutz-Folgenabschätzung und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten. Wendet sich eine betroffene Person unmittelbar an ihn, leitet er die Anfrage unverzüglich an den Kunden weiter und antwortet nicht selbst.
10. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Kunden jede Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit Beschreibung, betroffenen Daten, wahrscheinlichen Folgen und ergriffenen Maßnahmen.
11. Nachweise und Kontrolle
Der Auftragsverarbeiter weist die Einhaltung auf Anfrage nach, insbesondere durch die Beschreibung der Maßnahmen, Protokolle und den Nachweis der Sicherungen samt Rückspiel-Prüfung. Der Kunde darf nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten kontrollieren oder kontrollieren lassen; der Aufwand über eine Kontrolle im Jahr hinaus wird nach Aufwand vergütet.
12. Zugriff durch den Auftragsverarbeiter
Ein Zugriff auf die Installation des Kunden erfolgt nur zur Fehlersuche und zur Wartung. Jeder Zugang ist im Protokoll der Installation und im Kundenkonto sichtbar, mit Grund und Zeitpunkt. Der Kunde kann diesen Zugang in den Einstellungen abschalten; er verzichtet damit auf die Unterstützung, die ihn voraussetzt.
13. Wartungsdaten
Zur Überwachung des Betriebs meldet jede Installation stündlich Anzahlen (Fahrten, Buchungen, Schiffe, aktive Mitarbeiter), Version und den Zustand der Maschine. Diese Meldung enthält keine personenbezogenen Daten, keine Namen und keine Datensätze. Eine Ausnahme ist die Meldung eines Fehlers, die eine Person selbst absendet; sie enthält Text und Namen der meldenden Person, weil sie an den Hersteller gerichtet ist.
14. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor. Es gilt deutsches Recht. Änderungen bedürfen der Textform.