Auftragsverarbeitungsvertrag
Version 2026-2, gültig ab 2026-10-30 für alle Konten; für bestehende Konten ist sie der Auftragsverarbeitungsvertrag, den Klausel 10.1 der Allgemeinen Geschäftsbedingungen 2026-1 nennt; ihre Verweise auf die Allgemeinen Geschäftsbedingungen beziehen sich auf Version 2026-2.
Anlage zu unseren Allgemeinen Geschäftsbedingungen. Die Definitionen, Version 2026-2, auf plugchoice.com/legal/definitions sind Bestandteil dieses Auftragsverarbeitungsvertrags (AVV).
Parteien: der Kunde (Verantwortlicher) und wir, Volt Time B.V., auch unter dem Namen Plugchoice tätig (Auftragsverarbeiter), KvK 77488873, De Entree 99, 1101 HE Amsterdam, support@plugchoice.com.
1. Geltungsbereich und Rollen
1.1. Dieser AVV gilt nur, wo und soweit wir personenbezogene Daten für einen Geschäftskunden verarbeiten, der die Zwecke festlegt, und nur, um diesen Dienst zu erbringen (Klausel 10.1 der Allgemeinen Geschäftsbedingungen).
1.2. Anlage 1 legt die Einzelheiten der Verarbeitung und die Sicherheitsmaßnahmen fest.
1.3. Außerhalb dieses AVV und unabhängig von den Weisungen des Kunden sind wir Verantwortlicher nach unserer Datenschutzerklärung: für die Konten von Personen mit eigenem Konto und für das, was sie darin für sich selbst tun, für unsere rechtlichen Verpflichtungen und für die Sicherung und den Betrieb der Plattform und die Anonymisierung von Daten, die nach diesem AVV verarbeitet werden (Klausel 10.3 der Allgemeinen Geschäftsbedingungen). Anonymisierte Daten und eine Verarbeitung, deren Zwecke und Mittel die Parteien gemeinsam festlegen (Klausel 10.1 der Allgemeinen Geschäftsbedingungen), fallen nicht unter diesen AVV.
2. Weisungen
2.1. Wir verarbeiten personenbezogene Daten nach diesem AVV nur auf dokumentierte Weisung des Kunden, auch für Übermittlungen außerhalb des EWR, sofern das Recht der EU oder eines Mitgliedstaats nichts anderes verlangt; dann informieren wir den Kunden vorher, sofern dieses Recht das nicht verbietet. Weisungen sind die Vereinbarung, einschließlich Klausel 6, die Einstellungen des Kunden in der Plattform und die Verbindungen zu Drittdiensten, die der Kunde oder seine Nutzer autorisieren. Wir teilen dem Kunden mit, wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzrecht verstößt.
3. Vertraulichkeit
3.1. Personen, die die Daten verarbeiten, sind zur Vertraulichkeit verpflichtet und erhalten Zugriff nur, soweit sie ihn brauchen.
4. Sicherheit
4.1. Wir treffen geeignete technische und organisatorische Maßnahmen (Anlage 1) unter Berücksichtigung des Stands der Technik, der Kosten und der Risiken und können sie ändern, solange sie geeignet bleiben.
5. Unterauftragsverarbeiter
5.1. Der Kunde genehmigt allgemein die Unterauftragsverarbeiter in unserer Liste der Unterauftragsverarbeiter. Eine Hinzufügung oder Ersetzung kündigen wir mindestens 14 Tage vorher an, per E-Mail an den Kontoinhaber oder in der Plattform. Die Liste der Unterauftragsverarbeiter kann einen Unterauftragsverarbeiter als auf Anfrage verfügbar nennen; seinen Namen geben wir einem Geschäftskunden auf Anfrage unverzüglich bekannt.
5.2. Innerhalb dieser 14 Tage kann der Kunde Schriftlich widersprechen und dabei ein konkretes Risiko für betroffene Personen nennen, das die Garantien des Unterauftragsverarbeiters nach Artikel 28 Absatz 4 DSGVO nicht abdecken. Ohne Lösung kann der Kunde als einzigen Rechtsbehelf die betroffenen Dienste ab dem Datum beenden, an dem der Unterauftragsverarbeiter beginnt; im Voraus bezahlte Gebühren werden nicht erstattet, und eine feste Laufzeit läuft für die anderen Dienste weiter. Ohne rechtzeitigen Widerspruch gilt die Änderung als angenommen.
5.3. Wir erlegen Unterauftragsverarbeitern im Wesentlichen gleichwertige Pflichten auf und bleiben für sie verantwortlich.
6. Übermittlungen
6.1. Übermittlungen außerhalb des EWR stützen sich auf einen Angemessenheitsbeschluss der EU, einschließlich des EU-US Data Privacy Framework, oder auf Standardvertragsklauseln, wie die Liste der Unterauftragsverarbeiter angibt.
7. Unterstützung
7.1. Soweit die Art der Verarbeitung es vernünftigerweise zulässt, unterstützen wir den Kunden bei Anfragen betroffener Personen und bei seinen Pflichten nach den Artikeln 32 bis 36 DSGVO, zuerst über die Selbstbedienungsfunktionen der Plattform; andere Unterstützung können wir zu angemessenen Sätzen berechnen.
8. Verletzungen
8.1. Wir melden dem Kunden unverzüglich, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt haben, die seine Daten betrifft, mit den Informationen, die uns vernünftigerweise vorliegen. Eine Meldung ist kein Schuldeingeständnis.
9. Prüfung
9.1. Wir stellen die Informationen bereit, die vernünftigerweise nötig sind, um die Einhaltung nachzuweisen.
9.2. Der Kunde kann höchstens einmal alle 12 Monate prüfen, nur wo 9.1 nicht ausreicht, mit einer Ankündigungsfrist von 30 Tagen, an Werktagen, unter Vertraulichkeit, ohne Zugriff auf Daten anderer Kunden und nicht durch einen Prüfer, der mit uns im Wettbewerb steht. Er trägt seine eigenen Kosten, erstattet unsere angemessenen Kosten und teilt die Ergebnisse mit uns.
10. Rückgabe und Löschung
10.1. Endet die Verarbeitung, löschen wir die personenbezogenen Daten oder geben sie nach Wahl des Kunden innerhalb einer angemessenen Abwicklungsfrist zurück, wobei wir sie über die Standardexporte der Plattform zurückgeben; ausgenommen sind Daten, die wir nach dem Gesetz aufbewahren müssen, und Daten, die wir nach Klausel 1.3 als Verantwortlicher verarbeiten.
11. Haftung und Laufzeit
11.1. Klausel 12 der Allgemeinen Geschäftsbedingungen gilt.
11.2. Wir können diesen AVV auf dieselbe Weise und mit derselben Frist ändern wie nach Klausel 14.2 der Allgemeinen Geschäftsbedingungen.
Anlage 1: Einzelheiten der Verarbeitung und Sicherheitsmaßnahmen
Gegenstand, Art und Zwecke: Betrieb der Plattform für den Kunden (Hosting, Konnektivität der Ladestationen, Ladevorgänge, Abrechnung und Kostenerstattung, wo aktiviert, Support) für Zwecke, die er festlegt, etwa seine eigene Rechnungsstellung, die Kostenerstattung an Fahrer oder Mitarbeiter oder eine Zugangsregelung.
Dauer: die Laufzeit der Vereinbarung zuzüglich der Abwicklung.
Daten: Konto- und Kontaktdaten der Nutzer und Fahrer des Kunden; Daten zu Ladestationen, Standorten und Konfiguration; Ladevorgangs- und Zählerdaten; Kennungen von Ladekarten; Zahlungsstatus; Supportkommunikation.
Betroffene Personen: Mitarbeiter, Kunden, Fahrer und andere Nutzer der Ladestationen des Kunden.
Aufbewahrung: unsere Standardfristen in unserer Datenschutzerklärung, die der Kunde als seine Weisung akzeptiert. Eine längere Standardfrist kündigen wir so an, wie Klausel 5.1 es für einen Unterauftragsverarbeiter vorsieht; eine kürzere braucht keine Ankündigung. Am Ende Klausel 10.1.
Technische und organisatorische Maßnahmen: Verschlüsselung bei der Übertragung (TLS) für Web-, App- und API-Datenverkehr und für Ladestationen, die über wss verbunden sind, nicht für eine unverschlüsselte Verbindung (ws), die der Kunde für eine Ladestation oder einen Drittdienst gewählt hat (Klausel 8.5 der Allgemeinen Geschäftsbedingungen); rollenbasierter Zugriff nach dem Need-to-know-Prinzip; Zwei-Faktor-Authentifizierung, die Mitarbeitern zur Verfügung steht; Backups und Wiederherstellung; Überwachung und Fehlerprotokollierung; Umgang mit Schwachstellen nach unserer Richtlinie Responsible Disclosure; Vertraulichkeit der Mitarbeiter; ein dokumentiertes Verfahren für die Reaktion auf Vorfälle.