Auftragsverarbeitungsvertrag

1. Parteien

Dieser Auftragsverarbeitungsvertrag ("DPA") wird zwischen dem Kunden ("Verantwortlicher") und YARDtwin Ltd, eingetragen in Irland ("Auftragsverarbeiter"), gemeinsam die "Parteien", geschlossen. Dieser DPA ist Bestandteil der – und unterliegt den – YARDtwin Nutzungsbedingungen.

2. Anwendungsbereich & Zweck

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zum Zweck der Bereitstellung der YARDtwin Yard-Management-Plattform: Dock-Planung, Gate-Operationen, digitale Zwilling-Hofvisualisierung, Spediteur- und Fahrerverwaltung, ein für GMP-Umgebungen ausgelegter Audit-Trail, Analysen und Integrationen. Die Verarbeitung erfolgt für die Dauer des Abonnements des Verantwortlichen und etwaiger in Abschnitt 11 vorgeschriebener Aufbewahrungsfristen.

3. Kategorien betroffener Personen

• Mitarbeiter und Administratoren des Verantwortlichen (benannte Nutzer der Plattform)
• Fahrer und Logistikpersonal, die an den Toren des Verantwortlichen eingecheckt sind
• Carrier-Vertreter und Disposition-Ansprechpartner
• Tor-Sicherheits- und Lageroperationspersonal

4. Arten personenbezogener Daten

• Identitätsdaten: Namen, E-Mail-Adressen, Telefonnummern, Position/Berufsbezeichnung, Firmenname und -adresse
• Authentifizierungsdaten: bcrypt-gehashte Passwörter (12 Runden), JWT-Zugriffs- & Refresh-Token, Sitzungs-Zeitstempel, IP-Adressen, SSO-Kennungen (Google, Microsoft)
• Betriebsdaten: Termine, Dock-Zuweisungen, Trailerbewegungen, Inspektionsaufzeichnungen, Dokumente, Aufgabenzuweisungen, Fahrzeugkennzeichen
• Fahrerdaten: Führerscheinnummern und Führerscheinbilder. Gatepersonal kann ein Gesichtsfoto des Fahrers als Gate-Nachweis aufnehmen. Wenn ein Standort den KI-Gesichtsvergleich aktiviert, vergleicht unser KI-Anbieter (Anthropic) dieses Foto eins-zu-eins mit dem Führerscheinfoto oder dem gespeicherten Foto des Fahrers, um dem Personal die Identitätsbestätigung zu erleichtern. Das Ergebnis ist ein Hinweis: Das Gateperonal entscheidet und kann einen Fahrer, den der Vergleich nicht bestätigt hat, durch Angabe einer Begründung einlassen. Jeder Vergleich wird mit seinem Ergebnis auf unseren Servern gespeichert. Wenn der Gesichtsvergleich deaktiviert ist (Standard), wird kein Gesichtsfoto an den KI-Anbieter gesendet, und das Personal vergleicht den Fahrer selbst mit dem Führerscheinfoto; Führerscheinbilder werden weiterhin per KI gelesen, sofern die KI-Erkennung aktiv ist. YARDtwin speichert keine Gesichtsvorlagen und führt keine Eins-zu-Viele-Identifikation durch.
• Auditdaten: Benutzeraktionen, Zeitstempel, IP-Adressen, User-Agent-Strings, Alt-/Neu-Wertdifferenzen, GMP-gekennzeichnete Datensätze

5. Pflichten des Auftragsverarbeiters

• Verarbeitung personenbezogener Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Plattform-Benutzeroberfläche und API gelten als dokumentierte Weisungen)
• Sicherstellung, dass zur Datenverarbeitung befugte Personen Vertraulichkeitsverpflichtungen unterliegen
• Umsetzung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen (Art. 32) – siehe Abschnitt 7
• Ausschließlich die in Abschnitt 6 aufgeführten Unterauftragsverarbeiter einsetzen, für die der Verantwortliche eine allgemeine schriftliche Genehmigung erteilt; bei jedem neuen Unterauftragsverarbeiter mindestens 30 Tage im Voraus informieren, gegen den der Verantwortliche Einwände erheben kann (Abschnitt 6)
• Unterstützung des Verantwortlichen bei Betroffenenanfragen (Art. 15–22) über die in Abschnitt 9 beschriebenen DSAR-Endpunkte
• Den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Bekanntwerden einer Verletzung personenbezogener Daten informieren; bei jedem bestätigten Sicherheitsvorfall, der die Daten des Verantwortlichen betrifft, innerhalb von 24 Stunden eine erste Meldung erstatten (Abschnitt 8)
• Löschung oder Rückgabe aller personenbezogenen Daten bei Beendigung der Dienste (Abschnitt 11)
• Bereitstellung aller Informationen, die zum Nachweis der Compliance erforderlich sind, sowie Unterstützung bei Audits (Abschnitt 12)

6. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt derzeit folgende Unterauftragsverarbeiter ein, die jeweils einem Auftragsverarbeitungsvertrag und (soweit anwendbar) den Standardvertragsklauseln 2021 unterliegen:

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die oben aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert über jeden neuen Unterauftragsverarbeiter mindestens 30 Tage im Voraus; der Verantwortliche kann aus sachlichen Gründen Einwände erheben, und wenn diese nicht beigelegt werden können, den betroffenen Dienst ohne Vertragsstrafe kündigen.

Nur-Website-Dienste (keine operativen Kundendaten)

Diese laufen ausschließlich auf der öffentlichen Website. Sie erhalten keine operativen Kundendaten und sind insofern keine Unterauftragsverarbeiter; solche, die Cookies setzen, werden nur mit Einwilligung geladen.

7. Sicherheitsmaßnahmen (Art. 32)

• Verschlüsselung bei der Übertragung: TLS 1.2+ auf jedem Endpunkt; Zertifikate verwaltet durch Microsoft Azure (DigiCert)
• Verschlüsselung im Ruhezustand: Transparente Datenverschlüsselung für Azure Postgres Flexible Server; Azure Blob Storage-Verschlüsselung
• Führerscheinbilder und Unterschriften: Führerscheinbilder und Unterschriften werden im Ruhezustand von Azure Storage und Azure Database for PostgreSQL mit AES-256 verschlüsselt (von Microsoft verwaltete Schlüssel), und der Zugriff darauf ist nach Rolle und Organisation beschränkt
• Passwort-Hashing: bcrypt, 12 Runden
• Authentifizierung: JWT-Zugriffstoken (1 Stunde Gültigkeit) und Refresh-Token (7 Tage Gültigkeit, bei Verwendung rotiert, nie länger als 30 Tage ab Anmeldung gültig). Single Sign-On (SAML 2.0, Google, Microsoft); zeitbasierte Einmalpasswort-MFA, für Plattformadministratoren verpflichtend und für alle Benutzer verfügbar
• Mandantentrennung: serverseitig durch Mandanten-Scoping durchgesetzt und vor jedem Release automatisch getestet: Das Release-Gate führt einen mandantenübergreifenden Sweep durch, der die API als eine Organisation mit den Datensatz-IDs einer anderen Organisation aufruft, und das Release wird blockiert, wenn Daten dieser Organisation gelesen oder geändert werden können
• Rollenbasierte Zugriffskontrolle: rollenbasierte Berechtigungen auf authentifizierten Routen, mit serverseitig durchgesetztem Mandanten-Scoping
• Web Application Firewall: Azure Front Door WAF im Präventionsmodus (Prevention mode) mit benutzerdefinierten Rate-Limiting-Regeln auf den Endpunkten für Authentifizierung, Registrierung, Passwortzurücksetzung und Betroffenenanfragen sowie L7-DDoS-Schutz auf Plattformebene. Es ist kein verwalteter OWASP-Regelsatz eingebunden – dafür ist die Front-Door-Premium-Stufe erforderlich.
• Rate-Limiting: routenspezifische Limits, strengere Beschränkungen auf Auth-Endpunkten; In-Memory- und persistentes Versuchsprotokoll
• Auditprotokoll: manipulationserkennbar und nur erweiterbar (in der Datenbank erzwungen), GMP-relevante Einträge gesondert gekennzeichnet und mindestens 7 Jahre lang aufbewahrt, solange die Servicevereinbarung läuft (am Vertragsende werden sie an den Verantwortlichen exportiert, es sei denn, der Verantwortliche lehnt den Export schriftlich ab oder ist nach angemessenen Versuchen nicht erreichbar, und anschließend gelöscht — Abschnitt 11), andere Einträge für 365 Tage, pseudonymisiert (nicht gelöscht) bei Löschverlangen gemäß Art. 17 unter Art. 17(3)(b)
• Kontinuierliches Monitoring: Azure Application Insights; ein Website-Verfügbarkeitstest alle 10 Minuten; ein Schema-Drift-Alert (15-Minuten-Fenster); ein Alert, wenn mehr als 10 Serverfehler (HTTP 5xx) in 5 Minuten auftreten; und ein Breach-Monitor-Worker, der das Audit-Log alle 5 Minuten auf Spitzen bei fehlgeschlagenen Anmeldeversuchen prüft (10 oder mehr für ein Konto in einer Stunde), Anmeldeversuche auf ein Konto von 5 oder mehr IP-Adressen innerhalb von 24 Stunden sowie erfolgreiche Anmeldungen von einer IP-Adresse, die für diesen Nutzer in den letzten 30 Tagen nicht bekannt war
• Software-Lieferkette: Jeder Pull Request muss npm audit (Abhängigkeitsschwachstellen), Semgrep (statische Analyse) und gitleaks (Secret-Scanning) bestehen, bevor er zusammengeführt werden kann, sowie einen Trivy-Container-Image-Scan als empfehlenden Check; diese Prüfungen laufen auch bei jedem Push auf Master und nächtlich, zusammen mit einem empfehlenden OWASP ZAP Baseline-Scan (dynamische Tests) der Produktionsumgebung. Secrets: Azure Key Vault, zugegriffen über verwaltete App Service-Identität; keine Secrets im Code, in Env-Dateien oder Container-Images

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, und erstattet innerhalb von 24 Stunden nach jedem bestätigten Sicherheitsvorfall, der die Daten des Verantwortlichen betrifft, eine erste Meldung. Die Meldung umfasst die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie die Referenz im Verletzungsregister. Erkannte Anomalien werden weitergeleitet an die Azure Monitor Action Group yardtwin-breach-actions; bestätigte Vorfälle werden in der Verletzungsregister-Tabelle mit einem 72-Stunden-DPC-Countdown verfolgt.

9. Rechte der betroffenen Personen

Der Auftragsverarbeiter stellt dem Verantwortlichen folgende Endpunkte zur Verfügung, um die Rechte betroffener Personen innerhalb der 30-Tage-Frist gemäß Art. 12(3) zu erfüllen:

• POST /api/v1/dsar/export/by-email — maschinenlesbarer Export gemäß Art. 15 (Auskunft) und Art. 20 (Datenübertragbarkeit)
• POST /api/v1/dsar/erase/by-email — Löschung auf verifizierte Anfrage: Die eigenen Benutzerkonten der Person in den ausgewählten Kundenkonten werden anonymisiert, und ihre Sitzungen, Tokens, Benachrichtigungen, offenen Einladungen, Newsletter- und Registrierungsdatensätze sowie ihr eigener Avatar werden gelöscht; vom Verantwortlichen gehaltene operative Datensätze (Buchungen, Tor- und Besuchsdatensätze, Fahrerliste, Kontakte) werden aufgelistet, damit der Verantwortliche darüber entscheiden kann; der Audit-Trail behält zur Wahrung der GMP-Integrität eine anonymisierte Referenz auf die handelnde Person (Art. 17 Abs. 3 lit. b)
• Self-Service-Antragsportal unter /data-request

10. Internationale Datenübermittlungen

Betriebsdaten werden innerhalb des Europäischen Wirtschaftsraums gespeichert (Microsoft Azure, Schweden Mitte und Norwegen Ost). Auf jede Übermittlung an einen Unterauftragsverarbeiter außerhalb des EWR finden Standardvertragsklauseln (2021) Anwendung; sofern ein Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, wird auch darauf zurückgegriffen. Transfer-Folgenabschätzungen werden derzeit erstellt (Ziel: November 2026).

11. Laufzeit, Kündigung & Datenrückgabe

Dieser DPA bleibt für die Dauer der Servicevereinbarung in Kraft. Nach Beendigung gilt:

• Der Verantwortliche kann alle seine Daten innerhalb von 30 Tagen über die produktinternen Exportfunktionen oder auf Anfrage exportieren
• Nach 30 Tagen löscht der Auftragsverarbeiter alle operativen personenbezogenen Daten des Verantwortlichen
• Während die Servicevereinbarung läuft, werden Prüfprotokolle in pseudonymisiertem Zustand aufbewahrt: GMP-relevante Einträge mindestens 7 Jahre nach dem Ereignis, um den GMP-Aufbewahrungsanforderungen zu entsprechen (21 CFR Part 11 / EU GMP Annex 11; Art. 17(3)(b) Vorrang der gesetzlichen Verpflichtung), andere Prüfeinträge für 365 Tage. Am Vertragsende, bevor die Daten des Verantwortlichen gelöscht werden, erhält der Verantwortliche einen vollständigen Export seines Prüfprotokolls mit einer Verifizierungsquittung, um ihn für seine eigene Aufbewahrungspflicht zu verwahren, es sei denn, er lehnt den Export schriftlich ab oder ist nach angemessenen Versuchen nicht erreichbar; der Auftragsverarbeiter löscht das Prüfprotokoll daraufhin zusammen mit den übrigen Daten des Verantwortlichen. Abgesehen von den nachstehend beschriebenen Backups, die nach ihrem eigenen Zeitplan ablaufen, und der eigenen Aufzeichnung des Auftragsverarbeiters über die Übergabe (die Quittung, die Hashes und Zählungen des Exports sowie Angaben darüber, wer ihn erstellt und empfangen hat), wird das Prüfprotokoll nur dann länger aufbewahrt, wenn der Verantwortliche den Auftragsverarbeiter schriftlich im Rahmen einer gesonderten Vereinbarung dazu anweist.
• Betriebsdaten werden innerhalb von 30 Tagen nach Vertragsende gelöscht. Point-in-Time-Datenbank-Backups verfallen nach 7 Tagen. Verschlüsselte monatliche Archiv-Backups werden ausschließlich zur Notfallwiederherstellung bis zu 7 Jahre aufbewahrt; sie werden nur zur Wiederherstellung des Dienstes eingespielt, die darin enthaltenen Daten sind nicht nutzbar und verfallen mit dem Backup.
• Jede Nacht wird ein vollständiges Datenbank-Backup erstellt und 35 Tage lang in separatem verschlüsseltem Speicher im EWR aufbewahrt (Sweden Central, georepliziert nach Sweden South); aus dem Live-Betrieb gelöschte Daten verbleiben in diesen Backups, ohne genutzt zu werden, bis diese ablaufen.

12. Prüfungsrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Kunden können folgendes anfordern: das aktuelle Unterauftragsverarbeiter-Register, den aktuellen Mandanten-Isolations-Regressionstestbericht, die externe Penetrationstestzusammenfassung nach Durchführung eines Tests (siehe DSGVO-Richtlinie 11.1) sowie Antworten auf einen Lieferantensicherheitsfragebogen. Angemessene Vor-Ort- oder Fernprüfungen können mit mindestens 30 Tagen Vorlauf vereinbart werden, durchgeführt vom Verantwortlichen oder einem unabhängigen Dritten unter Vertraulichkeitsverpflichtung. Der Auftragsverarbeiter verfügt derzeit über keine ISO 27001- oder SOC 2-Zertifizierung; sobald die ISO 27001-Zertifizierung erreicht ist (angestrebt Q1 2027), wird der Auftragsverarbeiter das Zertifikat als Nachweisersatz anbieten.

13. Haftung & anwendbares Recht

Die Haftung im Rahmen dieses DPA unterliegt den Haftungsbeschränkungen, die in den YARDtwin Nutzungsbedingungen festgelegt sind. Dieser DPA unterliegt dem irischen Recht und der EU-Datenschutz-Grundverordnung (DSGVO). Streitigkeiten unterliegen der ausschließlichen Zuständigkeit der irischen Gerichte.

14. Kontakt

Für Fragen zu diesem DPA, zur Anforderung einer Prüfkopie (eine gegengezeichnete Ausgabe wird nach Abschluss der Unternehmensregistrierung ausgestellt) oder zur Ausübung der oben genannten Rechte wenden Sie sich bitte an admin@yardtwin.com oder den Datenschutzkontakt unter dpo@yardtwin.com. Dies ist ein Rollenpostfach, das von der für den Datenschutz verantwortlichen Person bei YARDtwin Ltd überwacht wird. YARDtwin hat gemäß Artikel 37 DSGVO keinen gesetzlich vorgeschriebenen Datenschutzbeauftragten benannt, was für die vorgenommene Verarbeitung nicht verpflichtend ist (DSGVO-Richtlinie 11.2); die Kontaktadresse wird anstelle eines Namens veröffentlicht.