FCBUS — Vereinbarung zur Auftragsverarbeitung (AVV)

Stand: 15. Oktober 2026

Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden und der City of Code GmbH. Sie gilt für jeden Vertrag über FCBUS — die Web-Anwendung, die FCBUS-Apps für iOS und Android und die kostenlose Testphase — und ist nach Abschnitt 8.2 der AGB Teil dieses Vertrags.

FCBUS schließt Verträge nur mit Unternehmen. Es gibt nichts gesondert zu unterschreiben: Wer den AGB zustimmt, stimmt dieser Vereinbarung zu. Vertragssprache ist Deutsch. Wir halten Ihre Zustimmung elektronisch fest; das ist die Form, die Art. 28 Abs. 9 DSGVO verlangt (Abschnitt 2).

Kurzfassung

• Sie sind Verantwortlicher, wir sind Ihr Auftragsverarbeiter. Was Ihr Unternehmen in FCBUS über seine Beschäftigten und seinen Betrieb erfasst, verarbeiten wir nur in Ihrem Auftrag und nach Ihren Weisungen (Abschnitte 3 und 5).
• FCBUS verarbeitet Gesundheitsdaten. Der Krankenstand ist eine Abwesenheitsart in FCBUS — mit Art und Zeitraum, ohne Diagnose. Dazu kommen Daten mit hohem Risiko: Sozialversicherungsnummer, Bankverbindung, Gehalt, Reisepass-, Führerschein- und Fahrerkartendaten (Abschnitt 4).
• Wo die Daten liegen. Bei Google Cloud in der EU. Außerdem liegt eine Kopie der Produktivdatenbank auf dem verschlüsselten Arbeitsrechner unseres Geschäftsführers in Österreich — nur für Fehleranalyse und um zu prüfen, dass eine neue Version Ihre Ergebnisse richtig berechnet, und höchstens 30 Tage lang (Abschnitte 3.5 und 5.4).
• Bei uns sieht Ihre Daten nur der Geschäftsführer — sonst niemand (Abschnitt 8).
• Kein eigener Zweck. Kein Training von KI-Modellen, keine Auswertung über Kunden hinweg, kein Verkauf (Abschnitt 7).
• Unterauftragsverarbeiter sind Google Cloud, AppSignal und Apple (Anlage 2). Einen neuen kündigen wir vorher an; Sie können binnen 10 Tagen widersprechen (Abschnitt 10).
• Datenschutzverletzungen melden wir Ihnen unverzüglich, mit dem Ziel binnen 48 Stunden (Abschnitt 12).
• Was noch fehlt, steht offen da. Anlage 1 trennt die Maßnahmen, die es gibt, von denen, die geplant sind — etwa die Zwei-Faktor-Anmeldung für unseren Verwaltungszugang.
• Am Ende nehmen Sie Ihre Daten mit (AGB 8.3); 30 Tage nach Vertragsende löschen wir sie (AGB 8.4, Abschnitt 15).

Diese Kurzfassung ist nicht der Vertrag. Es gelten die nummerierten Abschnitte und die Anlagen.

1. Vertragsparteien

1.1 Auftraggeber und Verantwortlicher (Art. 4 Nr. 7 DSGVO) ist das Unternehmen, das FCBUS registriert oder bestellt — im Folgenden „Sie“.

1.2 Auftragnehmer und Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) ist — im Folgenden „wir“:

City of Code GmbH
Adnet 436, 5421 Adnet, Österreich
E-Mail: support@fcbus.eu · Telefon: +43 664 8111838
Firmenbuch: FN 362676y · Firmenbuchgericht: Landesgericht Salzburg
UID: ATU66573656
Geschäftsführer: DI Norbert Egger, BSc

1.3 Wir haben keinen Datenschutzbeauftragten benannt. Fragen zu dieser Vereinbarung beantwortet die Geschäftsführung; schreiben Sie an support@fcbus.eu.

1.4 Wohin wir Ihnen schreiben. Mitteilungen nach dieser Vereinbarung — neue Unterauftragsverarbeiter (Abschnitt 10), Datenschutzverletzungen (Abschnitt 12), Änderungen (Abschnitt 19) — schicken wir an die Kontakt-E-Mail Ihres Unternehmens in FCBUS unter Einstellungen → Kundenkonto → Kontakt E-Mail. Bei der Registrierung tragen wir dort die E-Mail-Adresse der Person ein, die das Unternehmen registriert; Sie können sie jederzeit ändern. Ist keine Kontakt-E-Mail gesetzt, schreiben wir an die Person, die Ihr Unternehmen registriert hat. Halten Sie diese Adresse aktuell und sorgen Sie dafür, dass jemand sie liest.

2. Abschluss, Form und Vorrang

2.1 Diese Vereinbarung ist Teil des Vertrags über FCBUS (AGB 8.2). Sie kommt mit der Registrierung zustande, also mit dem Testvertrag (AGB 5.1), und gilt im kostenpflichtigen Vertrag weiter. Nutzt Ihr Unternehmen FCBUS schon länger, schicken wir Ihnen AGB und diese Vereinbarung per E-Mail; sie gelten, sobald Sie zustimmen.

2.2 Elektronisch und festgehalten. Art. 28 Abs. 9 DSGVO lässt die elektronische Form genügen. Am Konto Ihres Unternehmens speichern wir, wann Sie zugestimmt haben und welchem Stand von AGB und AVV. Haben Sie per E-Mail zugestimmt, tragen wir den Zeitpunkt Ihrer Zustimmung ein. Beides sehen Sie in FCBUS auf der Kontoseite Ihres Unternehmens. Den Text eines früheren Stands schicken wir Ihnen auf Anfrage.

2.3 Vorrang. Soweit wir Ihr Auftragsverarbeiter sind, geht diese Vereinbarung den AGB vor. Was wir im Einzelfall schriftlich mit Ihnen vereinbaren, geht beiden vor (AGB 1.3), soweit es den Schutz Ihrer Daten nach dieser Vereinbarung nicht verringert.

2.4 Die Anlagen 1 bis 3 sind Teil dieser Vereinbarung.

3. Gegenstand, Art und Zweck, Dauer und Ort der Verarbeitung

3.1 Gegenstand ist der Betrieb von FCBUS für Ihr Unternehmen: die Web-Anwendung, die Apps für iOS und Android und die Schnittstelle, über die die Apps mit FCBUS sprechen.

3.2 Art und Zweck. Mit den Daten nach Abschnitt 4 tun wir Folgendes, und nur das:

• speichern, was die Zugänge Ihres Unternehmens erfassen oder hochladen;
• daraus berechnen, was Sie eingestellt haben — Arbeitszeit, Pausen, Überstunden, Zuschläge, Urlaub, Diäten und die Monatsabrechnung — und Dienstpläne auf Lenk-, Ruhe- und Arbeitszeiten prüfen (AGB 3);
• anzeigen und ausgeben, und zwar den Personen, die Sie über Zugänge und Rollen dafür freigeben — als Seite, als PDF oder als CSV;
• in Ihrem Auftrag E-Mails an Ihre Mitarbeiter schicken: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Hinweis auf eine geänderte E-Mail-Adresse oder ein geändertes Passwort;
• Mitteilungen an die Apps Ihrer Mitarbeiter schicken: „Dienstplan geändert“ und „Zeiten freigegeben“;
• hochgeladene Dokumente speichern und über kurzlebige, signierte Links ausliefern;
• die Datenbank sichern, um den Betrieb nach einem Ausfall wiederherzustellen;
• Sie unterstützen und Fehler beheben, wenn Sie uns darum bitten oder ein Fehler es erfordert (Abschnitt 5);
• an einer Kopie der Produktivdatenbank Fehler analysieren und prüfen, dass eine neue Version von FCBUS Ihre Ergebnisse richtig berechnet (Abschnitt 5.4).

3.3 Dauer. Vom Abschluss (Abschnitt 2.1) bis Ihre Daten nach dem Ende des Vertrags gelöscht sind (AGB 8.4, Abschnitt 15). Die Verarbeitung endet also nicht mit der Kündigung, sondern mit der Löschung.

3.4 Ort — der Betrieb. FCBUS läuft bei Google Cloud in der Europäischen Union: Anwendung und Datenbank in der Region europe-west1 (Belgien), hochgeladene Dateien in einem nicht öffentlichen Speicher in der EU. Fehler- und Leistungsdaten liegen bei AppSignal in den Niederlanden, Irland und Deutschland. Zugriffe aus Ländern außerhalb der EU gibt es trotzdem; Abschnitt 11 und Anlage 3 nennen sie.

3.5 Ort — die Produktivkopie. Zusätzlich liegt eine Kopie der Produktivdatenbank auf dem verschlüsselten Arbeitsrechner des Geschäftsführers in Österreich. Sie enthält die Daten aller Kunden, also auch Ihre — einschließlich Krankenständen, Sozialversicherungsnummern und Bankverbindungen. Wozu sie dient und wie lange sie bleibt, regelt Abschnitt 5.4. Wir nennen sie hier, statt eine reine Cloud-Verarbeitung zu behaupten.

4. Betroffene Personen und Arten von Daten

4.1 Betroffene Personen

• Ihre Beschäftigten — Fahrer, Disponenten, Büro —, gegenwärtige und ehemalige;
• deren Partnerinnen, Partner und Kinder, soweit Sie sie in den Stammdaten erfassen;
• Ihre Kundinnen und Kunden, Fahrgäste und Ansprechpersonen Ihrer Auftraggeber, soweit Fahraufträge, Notizen oder Dokumente sie nennen;
• alle anderen Personen, die in hochgeladenen Dokumenten oder Notizen vorkommen.

4.2 Arten von Daten. Welche dieser Daten tatsächlich gespeichert sind, entscheiden Sie — viele Felder sind freiwillig.

4.3 Krankenstand — eine besondere Kategorie, mit Absicht. FCBUS verarbeitet Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO nicht nur zufällig, sondern als Funktion: Krankenstand ist eine Abwesenheitsart. Gespeichert werden die Art der Abwesenheit und ihr Zeitraum, keine Diagnose — FCBUS hat dafür kein Feld. Die Rechtsgrundlage dafür liegt bei Ihnen, in der Regel Art. 9 Abs. 2 lit. b DSGVO (Abschnitt 17).

Im Team-Dienstplan sehen Fahrerinnen und Fahrer die Dienste von Kolleginnen und Kollegen aus den Gruppen, die Sie dafür freigeben. Sie können einstellen, dass dort statt „Krank“, „Urlaub“ oder „ZA“ nur „Abwesend“ steht. Diese Einstellung ist Ihre Weisung (Abschnitt 5.1).

4.4 Daten mit hohem Risiko. Neben dem Krankenstand verdienen besonderen Schutz: Sozialversicherungsnummer, Bankverbindung, Gehalt und Stundenlohn, Geburtsdaten, Reisepass-, Führerschein- und Fahrerkartendaten. Anlage 1 sagt, wie wir sie schützen und was dafür noch geplant ist.

5. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

5.1 Wir verarbeiten Ihre Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind, zusammen und abschließend:

1. die AGB und diese Vereinbarung;
2. was die Zugänge Ihres Unternehmens in FCBUS tun — in der Web-Anwendung und in den Apps: anlegen, ändern, freigeben, herunterladen, löschen. Jede solche Handlung ist eine Weisung in elektronischer Form;
3. die Einstellungen, die Sie in FCBUS wählen — etwa Rollen, die Gruppen im Team-Dienstplan, „Abwesend“ statt der Abwesenheitsart, Sätze und Parameter;
4. Ihre Bitte um Unterstützung und Ihre Fehlermeldung (AGB 2.3 und 3.6). Sie ist die Weisung, für diese Anfrage in die Daten Ihres Unternehmens zu sehen und zu ändern, was Sie uns zu ändern bitten;
5. die Produktivkopie nach Abschnitt 5.4 — damit beauftragen Sie uns ausdrücklich;
6. die Übermittlungen in Anlage 3 — mit dieser Vereinbarung weisen Sie uns an, sie durchzuführen (Art. 28 Abs. 3 lit. a DSGVO); eine neue Übermittlung folgt Abschnitt 10.2.

5.2 Wenn das Gesetz etwas anderes verlangt. Verpflichtet uns das Recht der EU oder Österreichs zu einer Verarbeitung, sagen wir Ihnen das vorher, es sei denn, dieses Recht verbietet es wegen eines wichtigen öffentlichen Interesses. Anordnungen von Behörden und Gerichten regelt Abschnitt 13.

5.3 Weitere Weisungen geben Sie schriftlich an support@fcbus.eu. Wir sagen Ihnen, ob wir sie umsetzen können. Erfordert eine Weisung Arbeit über FCBUS hinaus, besprechen wir vorher mit Ihnen, ob und was sie kostet.

5.4 Die Produktivkopie. Wir kopieren die Produktivdatenbank auf den Arbeitsrechner des Geschäftsführers. Dafür gilt:

5.5 Wir warnen Sie. Verstößt eine Weisung nach unserer Auffassung gegen die DSGVO oder anderes Datenschutzrecht der EU oder Österreichs, sagen wir Ihnen das unverzüglich. Bis Sie die Weisung bestätigen oder ändern, dürfen wir sie aussetzen (Art. 28 Abs. 3 Unterabsatz 2 DSGVO).

6. Was diese Vereinbarung nicht regelt

6.1 Für einiges sind wir selbst Verantwortlicher, nicht Ihr Auftragsverarbeiter. Das beschreibt die Datenschutzerklärung (Abschnitt 3), nicht diese Vereinbarung:

• das Konto Ihres Unternehmens bei uns, den Vertrag, die Abrechnung und unsere Buchhaltung;
• die Registrierung eines neuen Unternehmens, mit ihrem Schutz vor Missbrauch und der Prüfung durch einen Menschen;
• das Zugriffsprotokoll und die Begrenzung von Anmeldeversuchen;
• Nachrichten, die Sie oder Ihre Mitarbeiter uns schicken;
• was eine Behörde oder ein Gericht verbindlich von uns verlangt.

6.2 Ihre Daten im Zugriffsprotokoll. Das Protokoll enthält auch Formularinhalte, also Daten aus Ihrem Unternehmen (Anlage 1, Abschnitt B). Für diese Inhalte gelten die Pflichten dieser Vereinbarung: Vertraulichkeit, kein eigener Zweck, Löschung nach höchstens 30 Tagen.

7. Kein eigener Zweck

7.1 Wir verwenden Ihre Daten für keinen eigenen Zweck. Wir trainieren damit keine KI-Modelle, werten sie nicht über Kunden hinweg aus, bilden keine Profile, reichern sie nicht an und verkaufen sie nicht. Kein Anbieter von KI-Modellen erhält Daten aus FCBUS oder aus der Produktivkopie (Abschnitt 5.4).

7.2 Für die Rechnung zählen wir die aktiven Mitarbeiter Ihres Unternehmens (AGB 6.1). Dafür verwenden wir nur diese Zahl.

7.3 Würden wir Ihre Daten für eigene Zwecke verwenden, wären wir dafür selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO). Darum tun wir es nicht.

8. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

8.1 Zugang zu Ihren Daten hat bei uns nur der Geschäftsführer, DI Norbert Egger — im Verwaltungsbereich von FCBUS, in der Google-Cloud-Konsole, in der Datenbank und in der Produktivkopie (Abschnitt 5.4). Sonst hat niemand bei uns Zugang.

8.2 Der Geschäftsführer ist Organ der Gesellschaft, kein Dienstnehmer. Das Datengeheimnis nach § 6 Abs. 1 DSG trifft uns als Auftragsverarbeiter selbst; er handelt dabei als unser Organ und ist der Gesellschaft nach § 25 GmbHG zur Sorgfalt und Treue verpflichtet.

8.3 Bekommt eine andere Person Zugang — ein Mitarbeiter, ein freier Mitarbeiter, ein Dienstleister —, verpflichtet sie sich vorher schriftlich zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus, und wir teilen Ihnen das vorher mit. Ein Dienstleister, der dabei Ihre Daten verarbeitet, ist Unterauftragsverarbeiter (Abschnitt 10).

9. Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

9.1 Wir treffen technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Anlage 1 beschreibt sie.

9.2 Anlage 1 trennt, was vorhanden ist, von dem, was geplant ist. Was vorhanden ist, sagen wir zu. Was geplant ist, gibt es heute nicht; dieser Teil beschreibt unsere Absicht und ist unverbindlich — wir nennen keine Termine.

9.3 Wir dürfen eine Maßnahme ändern, wenn das Schutzniveau nicht unter das sinkt, was Anlage 1 beschreibt. Eine Änderung, die es senkt, geht nur nach Abschnitt 19.

9.4 Wir führen ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO).

10. Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 3 lit. d und Abs. 4 DSGVO)

10.1 Allgemeine Genehmigung. Sie genehmigen uns allgemein, weitere Auftragsverarbeiter einzusetzen. Die heutigen nennt Anlage 2; mit dieser Vereinbarung genehmigen Sie sie.

10.2 Ankündigung und Widerspruch. Spätestens zehn Tage, bevor ein neuer Unterauftragsverarbeiter Ihre Daten verarbeitet oder einer ersetzt wird, teilen wir es Ihnen per E-Mail an die Kontakt-E-Mail Ihres Unternehmens mit (Abschnitt 1.4) und ändern Anlage 2. Sie können binnen 10 Tagen nach der Mitteilung aus Gründen des Datenschutzes widersprechen, per E-Mail an support@fcbus.eu. Zehn Tage, weil unser eigener Unterauftragsverarbeiter AppSignal uns nicht mehr gibt — eine Frist, die wir nicht bekommen, können wir Ihnen nicht ehrlich versprechen. Widersprechen Sie, setzen wir die Änderung für Ihr Unternehmen nicht um, oder wir sagen Ihnen, dass das nicht zumutbar möglich ist. Dann können Sie den Vertrag kostenlos zum Zeitpunkt der Änderung kündigen; Export und Wechsel nach AGB 8.3 bleiben Ihnen.

10.3 Dieselben Pflichten. Wir verpflichten jeden Unterauftragsverarbeiter in einem Vertrag auf Datenschutzpflichten, die im Wesentlichen denen dieser Vereinbarung entsprechen. Anlage 2 nennt den Vertrag. Eine Ausnahme nennen wir offen: Apple. Den Apple Push Notification Service gibt es nur zu Apples eigenen Bedingungen, und diese enthalten keine Vereinbarung nach Art. 28 Abs. 4 DSGVO. Eine eigene Vereinbarung mit Apple prüfen wir. Bis dahin begrenzen wir, was Apple erhält: die Push-Kennung des Geräts, einen der beiden festen Titel „Dienstplan geändert“ oder „Zeiten freigegeben“, die Ansicht, die die App öffnen soll, ein Datum und die interne Nummer eines Dienstes — keine Namen, Uhrzeiten oder Orte.

10.4 Wir haften für unsere Unterauftragsverarbeiter. Erfüllt einer seine Datenschutzpflichten nicht, haften wir Ihnen dafür wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO).

10.5 Meldet uns ein Unterauftragsverarbeiter eine Verletzung, eine Anfrage einer betroffenen Person oder eine Änderung seiner eigenen Unterauftragsverarbeiter, die Ihre Daten betrifft, leiten wir sie an die Kontakt-E-Mail Ihres Unternehmens weiter.

11. Übermittlungen in Länder außerhalb der EU

11.1 Gespeichert wird in der EU. Übermittlungen in die USA gibt es trotzdem, und wir nennen sie:

• Google LLC greift im Rahmen von Betrieb, Wartung und technischem Support für Google Cloud EMEA Limited zu; Google betreut seine Systeme rund um die Uhr von mehreren Standorten aus. Firebase Cloud Messaging stellt Mitteilungen an Android-Geräte über Googles weltweites Netz zu.
• Apple Inc. stellt jede Mitteilung an ein iPhone oder iPad zu und erhält dafür, was Abschnitt 10.3 nennt.

AppSignal verarbeitet Ihre Daten nach seiner Vereinbarung mit uns nur im Europäischen Wirtschaftsraum.

11.2 Garantien nennt Anlage 3. Für Google sind das der EU-US-Datenschutzrahmen und die Standardvertragsklauseln. Für Apple prüfen wir die Garantie noch — Anlage 3 sagt, was wir wissen.

11.3 Jede neue Übermittlung kommt nur über einen Unterauftragsverarbeiter zustande und folgt damit Abschnitt 10.

12. Datenschutzverletzungen (Art. 28 Abs. 3 lit. f, Art. 33 DSGVO)

12.1 Wir melden Ihnen eine Verletzung des Schutzes Ihrer Daten unverzüglich, nachdem sie uns bekannt wird (Art. 33 Abs. 2 DSGVO). Unser Ziel sind 48 Stunden. Die Frist beginnt, sobald wir selbst davon erfahren — auch wenn ein Unterauftragsverarbeiter es uns meldet.

12.2 Die Meldung geht an die Kontakt-E-Mail Ihres Unternehmens (Abschnitt 1.4). Sie enthält, soweit wir es zu diesem Zeitpunkt wissen, was Art. 33 Abs. 3 DSGVO verlangt: die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und wen Sie fragen können. Was wir noch nicht wissen, liefern wir ohne weitere unangemessene Verzögerung nach.

12.3 Die Meldung an die Datenschutzbehörde binnen 72 Stunden ist Ihre Aufgabe, ebenso die Benachrichtigung Ihrer Mitarbeiter nach Art. 34 DSGVO — Sie sind Verantwortlicher. Wir unterstützen Sie dabei (Abschnitt 14). Ihre Mitarbeiter oder die Behörde benachrichtigen wir an Ihrer Stelle nur, wenn Sie uns darum bitten und wir es schriftlich vereinbaren.

12.4 Ein schriftliches Verfahren für Sicherheitsvorfälle haben wir noch nicht; es ist geplant (Anlage 1, Abschnitt E).

13. Anordnungen von Behörden und Gerichten

13.1 Verlangt eine Behörde oder ein Gericht Ihre Daten von uns, sagen wir es Ihnen vorher und verweisen sie an Sie als Verantwortlichen — es sei denn, das Gesetz verbietet uns, Sie zu informieren.

13.2 Wir geben Daten nur heraus, wenn die Anordnung uns verbindlich verpflichtet, und nur so weit, wie sie es verlangt.

13.3 Eine Anordnung einer Stelle außerhalb der EU erkennen wir nur an, wenn sie auf einem geltenden internationalen Abkommen beruht, etwa einem Rechtshilfeabkommen (Impressum, Abschnitt 6).

14. Unterstützung (Art. 28 Abs. 3 lit. e und f DSGVO)

14.1 Rechte Ihrer Mitarbeiter. Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch beantworten Sie. FCBUS gibt Ihnen die Mittel dafür: Daten ansehen, ändern und löschen, Monatsabrechnungen als PDF und CSV herunterladen. Reicht das für eine Anfrage nicht, schreiben Sie an support@fcbus.eu; wir helfen Ihnen mit geeigneten technischen und organisatorischen Maßnahmen.

14.2 Anfragen, die bei uns landen. Schreibt uns eine Ihrer Mitarbeiterinnen oder Mitarbeiter zu Daten, die Sie in FCBUS erfassen, beantworten wir das nicht in der Sache. Wir leiten die Anfrage unverzüglich, spätestens innerhalb von drei Arbeitstagen, an die Kontakt-E-Mail Ihres Unternehmens weiter und sagen der Person, dass wir das getan haben (Datenschutzerklärung, Abschnitt 1.3).

14.3 Die Monatsfrist läuft für Sie. Art. 12 Abs. 3 DSGVO gibt Ihnen einen Monat für die Antwort. Wir helfen so rechtzeitig, dass Sie die Frist einhalten können; einhalten müssen Sie sie selbst.

14.4 Art. 32 bis 36 DSGVO. Nach der Art der Verarbeitung und den Informationen, die uns zur Verfügung stehen, unterstützen wir Sie bei der Sicherheit der Verarbeitung (Anlage 1), bei Meldungen von Verletzungen (Abschnitt 12), bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Datenschutzbehörde. Praktisch heißt das: diese Vereinbarung mit ihren Anlagen und schriftliche Antworten auf Ihre Fragen.

14.5 Was wir Ihnen dabei liefern, ist keine Rechtsberatung. Ihre eigenen Entscheidungen als Verantwortlicher bleiben Ihre.

15. Rückgabe und Löschung am Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

15.1 Ihre Wahl. Am Ende des Vertrags bekommen Sie Ihre Daten zurück, und danach löschen wir sie. Sagen Sie nichts, löschen wir sie nach Abschnitt 15.3.

15.2 Rückgabe ist der Export nach AGB 8.3: Monatsabrechnungen laden Sie jederzeit selbst als PDF und CSV herunter; den vollständigen Export fordern Sie bei support@fcbus.eu an, und wir stellen ihn Ihnen in einem maschinenlesbaren Format bereit. Er kostet nichts.

15.3 Löschung. Nach dem Ende des Vertrags — bei einem Wechsel nach dem Übergang — bleiben Ihre Daten noch 30 Tage für Sie abrufbar; danach löschen wir sie vollständig (AGB 8.4). Auf Anfrage bestätigen wir Ihnen die Löschung schriftlich.

15.4 Löschen geschieht nicht überall im selben Augenblick. Wir nennen jede Stelle, an der Ihre Daten die Löschung überdauern:

Eine Sicherung spielen wir nur ein, um den Betrieb nach einem Ausfall wiederherzustellen, nie um Gelöschtes zurückzuholen. Geschähe das doch, löschen wir danach erneut.

15.5 Nicht Ihre Daten im Sinne dieser Vereinbarung sind unsere Rechnungen und Buchhaltungsunterlagen. Wir bewahren sie sieben Jahre auf (§ 132 BAO); die Datenschutzerklärung beschreibt sie.

15.6 Verpflichtet uns das Recht der EU oder Österreichs, etwas aufzubewahren, bewahren wir nur das auf und nur so lange, wie das Gesetz es verlangt.

16. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

Die City of Code GmbH ist ein Kleinstunternehmen. Der Weg der Kontrolle ist dem angemessen, und er ist ein echter Weg.

16.1 Auf schriftliche Anfrage an support@fcbus.eu stellen wir Ihnen alle Informationen zur Verfügung, die Sie brauchen, um die Einhaltung dieser Vereinbarung zu prüfen — in der Regel binnen 30 Tagen.

16.2 Wir beantworten einen angemessenen Fragebogen zur Sicherheit und geben Ihnen eine schriftliche Selbstauskunft zu Anlage 1, unterschrieben vom Geschäftsführer.

16.3 Für unsere Unterauftragsverarbeiter verweisen wir auf deren Zertifizierungen und Berichte (Anlage 1, Abschnitt E). Ein eigenes ISO-27001-Zertifikat oder einen eigenen SOC-2-Bericht haben wir nicht, und diese Vereinbarung behauptet keines.

16.4 Prüfung vor Ort. Reicht das nicht, können Sie selbst prüfen oder einen zur Verschwiegenheit verpflichteten Prüfer beauftragen — höchstens einmal in zwölf Monaten, mit 30 Tagen Vorlauf, während der Geschäftszeiten und ohne den Betrieb zu stören. Verlangt es eine Aufsichtsbehörde oder gibt es eine begründete Verletzung Ihrer Daten, gelten Häufigkeit und Vorlauf nicht. Die Rechenzentren gehören Google; dort gelten Googles eigene Prüfberichte statt eines Besuchs.

16.5 Die Kosten für 16.1 bis 16.3 tragen wir. Bei einer Prüfung nach 16.4 trägt jede Seite ihre eigenen Kosten.

16.6 Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen unverzüglich (Abschnitt 5.5).

17. Ihre Pflichten als Verantwortlicher

• Rechtsgrundlage. Für alles, was Sie in FCBUS erfassen, brauchen Sie eine Rechtsgrundlage — für den Krankenstand eine nach Art. 9 Abs. 2 DSGVO. Erfassen Sie nur, was Sie brauchen (Art. 5 Abs. 1 lit. c DSGVO); tragen Sie keine Diagnosen in Notizen oder Dokumente ein.
• Information. Ihre Mitarbeiter informieren Sie selbst über die Verarbeitung (Art. 13 und 14 DSGVO). Unsere Datenschutzerklärung verweist sie an Sie.
• Zugänge und Rollen. Sie entscheiden, wer einen Zugang und welche Rolle bekommt, und sperren die Anmeldung, wenn jemand ausscheidet (AGB 4).
• Folgenabschätzung. Ob Sie eine Datenschutz-Folgenabschätzung brauchen (Art. 35 DSGVO), prüfen Sie; wir helfen (Abschnitt 14.4).
• Kontakt-E-Mail. Sie halten sie aktuell und lesen sie (Abschnitt 1.4).
• Missbrauch. Bei Verdacht auf Missbrauch eines Zugangs benachrichtigen Sie uns sofort (AGB 4).

18. Haftung

18.1 Es gilt Art. 82 DSGVO. Als Auftragsverarbeiter haften wir für einen Schaden nur, wenn wir Pflichten der DSGVO verletzt haben, die sich speziell an Auftragsverarbeiter richten, oder wenn wir Ihre rechtmäßigen Weisungen nicht beachtet oder gegen sie gehandelt haben.

18.2 Im Übrigen gilt Abschnitt 9 der AGB, auch dessen Haftungsgrenze, soweit zwingendes Recht es erlaubt. Sie gilt nie für Vorsatz, krass grobe Fahrlässigkeit und Personenschäden, nicht dort, wo zwingendes Recht — auch Art. 82 DSGVO — sie ausschließt, und sie hindert Sie nie daran, Ihre Daten zurückzubekommen.

18.3 Für unsere Unterauftragsverarbeiter haften wir nach Abschnitt 10.4.

19. Änderungen dieser Vereinbarung

19.1 Wir ändern diese Vereinbarung, wenn sich FCBUS, eine Maßnahme in Anlage 1 oder das Recht ändert. Jede Fassung trägt ein neues Stand-Datum.

19.2 Änderungen teilen wir Ihnen mindestens zwei Monate vor dem Inkrafttreten per E-Mail an die Kontakt-E-Mail Ihres Unternehmens mit, mit dem Grund und dem geänderten Text. Sind Sie nicht einverstanden, können Sie den Vertrag bis zum Inkrafttreten kostenlos kündigen. Kündigen Sie nicht, gelten die Änderungen ab dem Inkrafttreten; darauf weisen wir Sie in der Mitteilung ausdrücklich hin. So regelt es auch Abschnitt 10.2 der AGB.

19.3 Setzen wir eine geplante Maßnahme um oder verbessern wir eine Maßnahme in Anlage 1, gilt das ab sofort; wir teilen es Ihnen mit.

19.4 Neue oder ersetzte Unterauftragsverarbeiter folgen Abschnitt 10.2, nicht diesem Abschnitt.

19.5 Änderungen gelten nie rückwirkend.

20. Laufzeit, Recht und Gerichtsstand

20.1 Diese Vereinbarung läuft so lange wie der Vertrag über FCBUS und darüber hinaus, bis Ihre Daten gelöscht sind (Abschnitt 3.3). Sie endet mit dem Vertrag; eine eigene Kündigung gibt es nicht.

20.2 Die Pflichten zur Rückgabe und Löschung (Abschnitt 15) gelten, bis sie erfüllt sind; die Vertraulichkeit (Abschnitt 8) gilt ohne zeitliche Grenze.

20.3 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen und des UN-Kaufrechts. Gerichtsstand ist das für 5421 Adnet sachlich zuständige Gericht (AGB 11.2).

20.4 Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. An ihre Stelle tritt eine wirksame Regelung, die ihrem Zweck am nächsten kommt.

20.5 Für alles zu dieser Vereinbarung — Weisungen, Widersprüche, Anfragen — schreiben Sie an support@fcbus.eu, Montag bis Freitag von 8 bis 17 Uhr, ausgenommen österreichische Feiertage; wir antworten in der Regel innerhalb eines Werktags.

Anlage 1 — Technische und organisatorische Maßnahmen

Wie diese Anlage zu lesen ist. Was unter Vorhanden steht, sagen wir zu, solange dieser Stand gilt. Was unter Geplant steht, gibt es heute nicht; es beschreibt unsere Absicht, ist unverbindlich und hat keinen Termin. Was unter Nicht vorhanden steht, gibt es nicht, und wir sagen es auch nicht zu. Wir zeigen Ihnen die Lücke lieber, als ein Kästchen anzukreuzen. Änderungen regelt Abschnitt 9.3.

A. Vertraulichkeit

Vorhanden

• Trennung der Kunden. Jeder Datensatz gehört genau einem Kunden. Die Anwendung beschränkt jede Abfrage auf das Unternehmen des angemeldeten Zugangs — in der Web-Anwendung nach der Anmeldung, in den Apps nach der App-Sitzung. Bei jeder Änderung an FCBUS prüft ein automatischer Test, dass jede Tabelle einem Kunden zugeordnet ist oder eine begründete Ausnahme hat. Automatische Tests prüfen die Trennung der Kunden in der Schnittstelle der Apps.
• Rollen. Innerhalb Ihres Unternehmens gibt es zwei Rollen, Disponent und Fahrer. Die Bereiche für Disposition und Verwaltung erreichen nur Disponenten.
• Passwörter speichern wir nur als bcrypt-Hash (Kostenfaktor 12). Ein Passwort hat 10 bis 128 Zeichen; weitere Regeln zum Aufbau gibt es nicht. Ein Link zum Zurücksetzen gilt sechs Stunden. Eine Web-Sitzung eines Mitarbeiters endet mit dem Schließen des Browsers oder der Abmeldung — wählt er bei der Anmeldung „Daten speichern“, bleibt er bis zur Abmeldung, höchstens zwei Wochen, angemeldet. Eine Zeitgrenze bei Inaktivität und eine Kontosperre nach Fehlversuchen gibt es für Mitarbeiterzugänge nicht; es gilt die Anmeldebegrenzung.
• Hinweis-Mails. Ändert sich die E-Mail-Adresse oder das Passwort eines Zugangs, bekommt der Mitarbeiter eine Hinweis-Mail — bei einer neuen E-Mail-Adresse an die bisherige.
• Anmeldebegrenzung. Nach zehn Versuchen in fünf Minuten wird die Anmeldung für diese E-Mail-Adresse kurz gesperrt — in der Web-Anwendung, in den Apps und im Verwaltungszugang. Für das Zurücksetzen des Passworts und die Bestätigung der E-Mail-Adresse gilt diese Begrenzung nicht.
• Registrierung. Ein Eingabefeld auf der Registrierungsseite, das Menschen nicht sehen und nur Programme ausfüllen — ist es ausgefüllt, wird keine Registrierung angelegt; höchstens zehn Registrierungsversuche pro Stunde je IP-Adresse; die Bestätigung der E-Mail-Adresse und die Prüfung jeder Registrierung durch einen Menschen. Keines dieser Mittel lädt etwas von Dritten.
• Anmeldung sperren. Bei jeder Anfrage prüft FCBUS, ob der Zugang sich noch anmelden darf. Sperren Sie die Anmeldung eines Mitarbeiters, enden seine App-Sitzungen, seine Push-Kennungen werden gelöscht und sein Passwort wird ersetzt.
• App-Zugang. Das Zugangstoken ist eine Zufallszahl aus 32 Byte; gespeichert wird nur ihr SHA-256-Hash. Es endet nach 90 Tagen ohne Nutzung, bei der Abmeldung und bei einer Passwortänderung.
• Dateien liegen in einem nicht öffentlichen Speicher. Ausgeliefert werden sie über signierte Links, die fünf Minuten gelten.
• Zugang bei uns hat nur der Geschäftsführer (Abschnitt 8). Unser Verwaltungszugang zeigt ihm für alle Kunden das Unternehmenskonto und die Mitarbeiterliste mit E-Mail-Adresse, Zahl, Zeitpunkt und IP-Adresse der Anmeldungen sowie die Hintergrundaufgaben. Als Zugang eines Kunden anmelden kann er sich damit nicht. Der Verwaltungszugang meldet sich nach 30 Minuten ohne Nutzung ab.
• Zugangsdaten des Betriebs liegen als Geheimnisse im Kubernetes-Cluster, nicht im Programmcode.
• Datenbank. FCBUS hat eigene Datenbanken mit eigenen Zugangsdaten auf einer Cloud-SQL-Instanz, die mit anderen Anwendungen der City of Code GmbH geteilt ist. Die Anwendung verbindet sich über den Cloud-SQL-Proxy.
• Produktivkopie nur auf dem verschlüsselten Arbeitsrechner des Geschäftsführers, nach den Regeln von Abschnitt 5.4.

Geplant

• Zwei-Faktor-Anmeldung für den Verwaltungszugang.
• Ein Protokoll der Zugriffe über den Verwaltungszugang.
• Verschlüsselung von IBAN und Sozialversicherungsnummer in der Anwendung selbst, zusätzlich zur Verschlüsselung beim Infrastrukturanbieter (Abschnitt D).
• Anmeldung der Anwendung bei Google Cloud ohne gespeicherte Schlüsseldateien (Workload Identity).
• Prüfung des Datenbankzugangs: Heute erreicht der Geschäftsführer die Datenbank für die Produktivkopie über eine öffentliche IP-Adresse.
• Automatische Tests, die die Trennung der Kunden auch für die Seiten der Web-Anwendung prüfen.
• Eine Abfrage ablehnen, wenn kein Kunde gesetzt ist. Heute weist die Anwendung eine solche Abfrage nicht von selbst ab.

B. Integrität und Weitergabe

Vorhanden

• Verschlüsselte Verbindungen. Jede Verbindung läuft über TLS mit einem von Google verwalteten Zertifikat; HTTP wird auf HTTPS umgeleitet, und der Browser wird angewiesen, nur HTTPS zu verwenden (HSTS). Die Seiten dürfen nicht in fremde Seiten eingebettet werden und schalten das Raten von Dateitypen im Browser ab.
• Zugriffsprotokoll. Die Anwendung schreibt jede Anfrage mit ihren Formularinhalten ins Protokoll. Herausgefiltert werden vorher Passwörter, E-Mail-Adressen, Tokens, Schlüssel und Zertifikate sowie aus den Personaldaten Bankverbindung (IBAN, BIC, Bankdaten), Sozialversicherungsnummer, Gehalt und Stundenlohn, Geburtsdaten (Datum und Ort, auch des Partners), Staatsangehörigkeit, Familienstand, Geschlecht, Arbeitserlaubnis, Reisepass-, Führerschein- und Fahrerkartendaten und die Angaben zu Partner und Kindern. Im Protokoll stehen weiterhin Namen, Telefonnummern, Anschriften, Notizen und die Abwesenheitsart — also auch ein Krankenstand. Die Daten von Hintergrundaufgaben werden nicht protokolliert.
• AppSignal erhält keine Formularinhalte, keine Sitzungsdaten, keine IP-Adressen, keine Cookies, keine Anmeldedaten und keine Abfrageparameter der Adresse. Es erhält die aufgerufene Aktion, die Adresse (sie enthält Nummern von Datensätzen), den Server, Zeiten, die Kennung der Anfrage und die Kundennummer, bei einem Fehler auch dessen Meldung und Programmablauf. Eine Fehlermeldung kann einen Wert aus Ihren Daten zitieren. Protokollzeilen gehen nicht an AppSignal; eine automatische Prüfung bei jeder Änderung verhindert das.
• Mitteilungen an die Apps enthalten nur, was Abschnitt 10.3 nennt.
• E-Mails an Ihre Mitarbeiter gehen verschlüsselt (STARTTLS) an das SMTP-Relay von Google Workspace.

Geplant

• Eine Content-Security-Policy, die festlegt, aus welchen Quellen die Seiten Inhalte laden dürfen.

Nicht vorhanden

• Ein Änderungsverlauf: FCBUS hält nicht fest, wer einen Datensatz wann geändert hat, und bewahrt keine früheren Fassungen auf.

C. Verfügbarkeit und Belastbarkeit

Vorhanden

• Verwaltete Infrastruktur bei Google Cloud in europe-west1: Google Kubernetes Engine für die Anwendung, Cloud SQL für die Datenbank, Cloud Storage für Dateien, Artifact Registry für die Programmabbilder.
• Tägliche automatische Sicherungen der Datenbank durch Cloud SQL. Eine Sicherung wird nur eingespielt, um den Betrieb nach einem Ausfall wiederherzustellen (Abschnitt 15.4).

Geplant

• Ein schriftliches, erprobtes Verfahren zur Wiederherstellung aus einer Sicherung.

D. Verschlüsselung gespeicherter Daten

Vorhanden

• Datenbank, Dateien, Sicherungen und Protokolle verschlüsselt Google beim Speichern, nach den Sicherheitsmaßnahmen der Datenverarbeitungsvereinbarung von Google Cloud.
• Der Datenträger des Arbeitsrechners mit der Produktivkopie ist verschlüsselt.

Geplant

• Verschlüsselung besonders schutzbedürftiger Felder in der Anwendung selbst (Abschnitt A).

E. Regelmäßige Überprüfung

Vorhanden

• Prüfungen bei jeder Änderung, bevor sie in Betrieb geht: Suche nach bekannten Sicherheitslücken in den verwendeten Bibliotheken der Anwendung, der Apps und der Skripte im Browser, eine statische Sicherheitsanalyse des Programmcodes, festgeschriebene Versionen aller Bibliotheken, die Prüfung der Kundentrennung aller Tabellen (Abschnitt A), unsere automatisch geprüften Hausregeln und alle automatischen Tests der Anwendung und der Apps.
• Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO).
• Zertifizierungen unserer Unterauftragsverarbeiter, auf die wir uns stützen, ohne sie als unsere auszugeben: Google hält ISO/IEC 27001 und veröffentlicht jährlich SOC-2- und SOC-3-Berichte; AppSignal B.V. ist nach ISO/IEC 27001:2022 zertifiziert.

Geplant

• Ein schriftliches Verfahren für Sicherheitsvorfälle, mit Zuständigkeiten und Übungen.

Nicht vorhanden

• Ein eigenes ISO-27001-Zertifikat oder ein eigener SOC-2-Bericht der City of Code GmbH.

Anlage 2 — Unterauftragsverarbeiter

Diese Liste gilt ab 15. Oktober 2026. Änderungen folgen Abschnitt 10.2: Mitteilung an die Kontakt-E-Mail Ihres Unternehmens, 10 Tage Widerspruchsfrist, dieselben Pflichten, unsere Haftung nach Art. 28 Abs. 4 DSGVO.

2.1 Unterauftragsverarbeiter für Ihre Daten

2.2 Zur Vollständigkeit — sie erhalten keine Daten aus FCBUS

Diese Stellen verarbeiten Daten, für die wir selbst verantwortlich sind, nicht Ihre Daten im Sinne dieser Vereinbarung. Wir nennen sie, damit Sie nicht suchen müssen. Die Datenschutzerklärung (Abschnitt 6) beschreibt sie.

Für das Herunterladen und Aktualisieren der Apps sind Apple (App Store) und Google (Google Play) eigene Verantwortliche.

2.3 Kein Anbieter von KI-Modellen

Kein Anbieter von KI-Modellen ist Unterauftragsverarbeiter von FCBUS. Kein Anbieter von KI-Modellen erhält Daten aus FCBUS oder aus der Produktivkopie (Abschnitt 5.4). Bevor sich das ändert, gilt Abschnitt 10.2.

2.4 Änderungsverlauf

Anlage 3 — Übermittlungen in Drittländer

Was wir dazu offen sagen.

• Die Zertifizierung unter dem EU-US-Datenschutzrahmen gilt je Empfänger und kann enden. Die aktuellen Einträge sind öffentlich unter dataprivacyframework.gov. Für Google tragen die Standardvertragsklauseln die Übermittlung, wenn eine Zertifizierung oder der Angemessenheitsbeschluss wegfällt.
• Wir behaupten nicht, dass Ihre Daten die EU nie verlassen. Wir sagen: Gespeichert wird in der EU, mit den Übermittlungen in dieser Anlage.

Weitere Seiten