Anlage 1: Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung ist Bestandteil der Allgemeinen Geschäftsbedingungen von Stammhausplus bzw. Zeiterfassungplus („Hauptvertrag") zwischen dem Kunden („Verantwortlicher") und Tim Ewert, Heegermühler Str. 14b, 16225 Eberswalde („Auftragsverarbeiter"). Sie konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Kunde in der Software verarbeitet.

1. Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung und der Betrieb der im Hauptvertrag beschriebenen Software (Hosting, Speicherung, Verarbeitung, Anzeige, Sicherung, Versand von Benachrichtigungen) einschließlich Support und Wartung.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus Ziffer 10 (Löschung) bestehen über das Vertragsende hinaus fort.

2. Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung dient der Nutzung der Software durch den Kunden zur Betriebsplanung, Personal- und Einsatzverwaltung, Zeiterfassung, Abwesenheitsverwaltung, Aufgaben- und Mitteilungsverwaltung sowie — je nach gebuchtem Umfang — Kosten- und Kassenbuchführung und Qualifikationsverwaltung. Verarbeitet wird durch Erhebung, Speicherung, Veränderung, Anzeige, Übermittlung an berechtigte Nutzer, Sicherung und Löschung.

3. Kategorien betroffener Personen

• Beschäftigte des Kunden (einschließlich ehemaliger Beschäftigter und Bewerber, soweit vom Kunden erfasst),
• Nutzer der vom Kunden eingerichteten Zugänge,
• vom Kunden freigegebene Berater und deren Mitarbeiter (nur Stammhausplus),
• sonstige Personen, deren Daten der Kunde in Freitextfeldern oder Dateien erfasst (z. B. Ansprechpartner von Auftraggebern).

4. Kategorien personenbezogener Daten

• Stammdaten der Nutzer und Beschäftigten (Name, Kontaktdaten, Adresse, Team/Gewerk, Ein-/Austrittsdatum, Rolle),
• Zugangsdaten (E-Mail, Passwort-Hash),
• Zeiterfassungs- und Arbeitszeitdaten (Kommen/Gehen, Pausen, Stunden, Wochenzettel, Stundenkonten, Tätigkeits-Etiketten),
• Abwesenheitsdaten (Urlaub, Krankheit, Sonstiges — jeweils nur Zeitraum, Art und Status;bei Krankheit handelt es sich um Gesundheitsdaten im Sinne des Art. 9 DSGVO, beschränkt auf die Tatsache und den Zeitraum der Arbeitsunfähigkeit),
• Qualifikations- und Nachweisdaten einschließlich hochgeladener Nachweisdateien (z. B. Führerschein-Sichtkontrolle, Erste-Hilfe-Bescheinigungen; Art. 9-Bezug möglich),
• Planungs-, Auftrags-, Aufgaben- und Kommunikationsdaten (Einsatzpläne, Aufgaben, Mitteilungen, Lesebestätigungen, Kommentare),
• Finanz- und Abrechnungsdaten des Betriebs, soweit personenbeziehbar (z. B. Stundensätze),
• technische Daten (Push-Subscription-Kennungen, Protokolldaten).

5. Pflichten des Verantwortlichen

(1) Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er trägt die Verantwortung für die Rechtmäßigkeit der Verarbeitung (bei Beschäftigtendaten regelmäßig § 26 BDSG) und die Wahrung der Betroffenenrechte und Informationspflichten.

(2) Der Kunde erteilt Weisungen grundsätzlich über die Funktionen der Software; ergänzende Weisungen bedürfen der Textform. Der Hauptvertrag und diese Vereinbarung sind die allgemeine Weisung.

(3) Der Kunde erfasst besondere Kategorien personenbezogener Daten nur im vorgesehenen Funktionsumfang (Ziffer 4) und trägt dafür Sorge, dass keine Diagnosen oder sonstigen Gesundheitsdetails in Freitextfelder eingetragen werden.

6. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erfüllung des Hauptvertrags und nach dokumentierten Weisungen des Kunden, sofern er nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Er informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

(3) Er verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

(4) Er benennt keinen Datenschutzbeauftragten, soweit hierzu keine gesetzliche Pflicht besteht; Ansprechstelle für Datenschutzfragen ist hallo@stammhausplus.de.

(5) Er unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie der Pflichten aus Art. 32–36 DSGVO, soweit der Kunde dies nicht über die Funktionen der Software (z. B. Exporte, Berichtigung, Löschung, Zugriffssteuerung) selbst leisten kann.

(6) Er meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich nach Bekanntwerden mit den Informationen nach Art. 33 Abs. 3 DSGVO.

(7) Erhält der Auftragsverarbeiter Anfragen betroffener Personen, die dem Kunden zuzuordnen sind, leitet er diese unverzüglich an den Kunden weiter und beauskunftet sie nicht selbst, es sei denn, er ist hierzu gesetzlich verpflichtet.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft mindestens folgende Maßnahmen und passt sie fortlaufend dem Stand der Technik an, wobei das Schutzniveau insgesamt nicht unterschritten wird:

• Transportverschlüsselung: Sämtliche Verbindungen sind TLS-verschlüsselt (HTTPS, automatisierte Zertifikatsverwaltung).
• Zugangskontrolle: Authentifizierung aller Nutzer; Passwörter werden ausschließlich als salted Hash (bcrypt) gespeichert; serverseitige Ratenbegrenzung gegen Angriffe auf die Anmeldung.
• Zugriffskontrolle / Mandantentrennung: Rollen- und Rechtekonzept (Inhaber/Admin, Bearbeiter, Betrachter, Mitarbeiter); strikte logische Trennung der Kundendaten auf Datenbankebene; Berater sehen Mandantendaten nur nach ausdrücklicher Freigabe im freigegebenen Umfang.
• Systemtrennung: Betrieb in getrennten Containern; Datenbank und Anwendungsserver sind nicht öffentlich erreichbar, Zugriff nur über den Reverse Proxy.
• Datei-Ablage: Hochgeladene Nachweis-, Dokument- und Rechnungsdateien werden getrennt gespeichert und nur authentifiziert und unternehmensbezogen ausgeliefert.
• Verfügbarkeitskontrolle: Tägliche automatisierte Datensicherungen (Datenbank und Dateiablagen); Übertragung über verschlüsselte Verbindungen auf einen räumlich getrennten Sicherungsserver in einem deutschen Rechenzentrum (Hetzner Online GmbH, Falkenstein); Aufbewahrung 30 Tage rollierend; laufende externe Überwachung der Erreichbarkeit der Dienste und des Erfolgs der Sicherungsläufe mit automatischer Alarmierung.
• Eingabekontrolle: Änderungen an Zeiterfassungseinträgen werden revisionssicher protokolliert (Änderungshistorie).
• Löschkonzept: Kaskadierende Löschung bei Konto-Löschung; Aufräumen verwaister Berechtigungen und Push-Registrierungen; automatisches Auslaufen der Sicherungskopien nach dem 30-Tage-Zyklus.

8. Unterauftragsverhältnisse

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt werden:

Der Versand von Push-Benachrichtigungen erfolgt technisch bedingt über den Push-Dienst des jeweiligen Browser-Herstellers des Endgeräts (z. B. Google, Mozilla, Apple); Inhalt und Empfang steuert der jeweilige Nutzer über seine Einwilligung im Endgerät. Die externe Verfügbarkeitsüberwachung (Hyperping SAS, Paris, Frankreich) verarbeitet ausschließlich technische Statusinformationen der Server und keine personenbezogenen Daten aus dem Auftrag.

(2) Der Auftragsverarbeiter informiert den Kunden in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) mindestens vier Wochen im Voraus. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; führt der Widerspruch dazu, dass die Leistungserbringung unzumutbar wird, steht beiden Parteien ein Sonderkündigungsrecht zum Wirksamwerden der Änderung zu.

(3) Mit jedem Unterauftragsverarbeiter werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Verarbeitung in Drittländern stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher.

9. Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung (insbesondere Beschreibung der technischen und organisatorischen Maßnahmen).

(2) Der Kunde kann Kontrollen — auch durch beauftragte Dritte, die nicht Wettbewerber des Auftragsverarbeiters sind — nach vorheriger Ankündigung mit angemessener Frist zu üblichen Geschäftszeiten durchführen, soweit Auskünfte und Nachweise nach Absatz 1 im Einzelfall nicht ausreichen. Betriebsgeheimnisse und Daten anderer Kunden bleiben geschützt.

10. Löschung und Rückgabe

(1) Der Kunde kann seine Daten während der Vertragslaufzeit über die Funktionen der Software exportieren, berichtigen und löschen sowie sein Konto einschließlich aller Daten selbst vollständig löschen.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die Daten des Kunden nach Maßgabe der Regelungen des Hauptvertrags zur Kontolöschung, spätestens jedoch auf Verlangen des Kunden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Rechnungs- und Abrechnungsdaten, die der Auftragsverarbeiter für die eigene Buchführung benötigt, verarbeitet er insoweit als eigener Verantwortlicher weiter.

(3) Sicherungskopien, in denen die Daten enthalten sind, laufen mit dem rollierenden Sicherungszyklus (30 Tage) automatisch aus und werden dabei gelöscht.

11. Haftung, Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht in datenschutzrechtlichen Fragen diese Vereinbarung vor.

(3) Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags entsprechend.