Vertrag zur Auftragsverarbeitung (AVV)

Parteien

Auftraggeber (Verantwortlicher): der Betrieb, der DienstplanHeld nutzt (Firma, Anschrift und Vertretung werden in der unterschriebenen Fassung eingetragen).

Auftragnehmer (Auftragsverarbeiter): Marvin Mörsberger, Elfriede-Dittmer-Weg 8, 31157 Sarstedt, Deutschland · kontakt@moersbergerit.de · +49 171 2119261

§ 1 Gegenstand, Dauer, Art und Zweck

Der Auftragsverarbeiter stellt die Software-as-a-Service-Anwendung DienstplanHeld bereit und verarbeitet dabei personenbezogene Daten im Auftrag: Erheben, Speichern, Ändern, Auslesen, Übermitteln (System-E-Mails) und Löschen. Zweck: Schichtplanung, Schichttausch, Krankmeldungen als Schichtfreigabe, Arbeitszeit- und Urlaubsübersichten, Nutzerzugänge.

Der Vertrag beginnt mit der Bereitstellung des Zugangs und gilt für die Dauer des Hauptvertrags (Nutzungsbedingungen). Die Pflichten aus § 10 gelten darüber hinaus. Die Verarbeitung findet in Deutschland statt; Übermittlungen an Unterauftragsverarbeiter richten sich nach § 6 und Anlage 2.

§ 2 Daten und betroffene Personen

Betroffen: Beschäftigte des Verantwortlichen (auch Aushilfen, Minijobber, Auszubildende) sowie zugangsberechtigte Personen (Inhaber, Leitung).

• Stammdaten: Name, E-Mail-Adresse
• Personaldaten: Qualifikation, Soll-Stunden, Anstellungsart, Stundenlohn, Urlaubsanspruch, Aktiv-Status
• Planungsdaten: Schichten (Datum, Beginn, Ende, Pause, Position, Zuweisung, Status)
• Arbeitszeitdaten: erfasste Beginn- und Endzeiten, Pausen
• Abwesenheitsdaten: Tage, Art, Freitext-Notiz
• Zugangsdaten: Passwort-Hash, Sitzungs- und Einladungstoken
• Nutzungsdaten: Zeitpunkte der Anlage, Tauschangebote und deren Status

Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen. Eine Krankmeldung gibt lediglich die Schicht frei, Diagnosen werden nicht erhoben. Der Verantwortliche trägt in Freitextfeldern keine Gesundheitsdaten ein.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und die Nutzung der Anwendung sind die Erstweisung. Weitere Weisungen ergehen in Textform (E-Mail genügt) an kontakt@moersbergerit.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen. Eine Verarbeitung zu eigenen Zwecken oder zu Werbezwecken findet nicht statt.

§ 4 Pflichten des Auftragsverarbeiters

Er verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit (derzeit führt er den Auftrag allein aus), trifft die Maßnahmen der Anlage 1 und unterstützt den Verantwortlichen bei Betroffenenrechten, Datensicherheit, Meldungen von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen. Ein Datenschutzbeauftragter ist nicht zu bestellen (§ 38 BDSG); Ansprechpartner ist Marvin Mörsberger.

§ 5 Technische und organisatorische Maßnahmen

Es gelten die Maßnahmen der Anlage 1. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er in Textform mit.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt den Unterauftragsverarbeitern der Anlage 2 allgemein zu. Änderungen kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an; der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Macht ein berechtigter Widerspruch die Leistung unmöglich, können beide Seiten kündigen. Dem Unterauftragsverarbeiter werden dieselben Datenschutzpflichten auferlegt.

§ 7 Betroffenenrechte

Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter. Zur Unterstützung bietet die Anwendung einen CSV-Export der Arbeitszeitdaten (Datenübertragbarkeit), die Bearbeitung von Stamm- und Personaldaten (Berichtigung) sowie das Löschen einzelner Beschäftigter und des gesamten Kontos.

§ 8 Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet bekannt gewordene Verletzungen unverzüglich, spätestens innerhalb von 24 Stunden, in Textform, mit Art der Verletzung, betroffenen Personen und Datensätzen, wahrscheinlichen Folgen und ergriffenen Maßnahmen, soweit verfügbar. Meldungen an die Aufsichtsbehörde und an Betroffene (Art. 33, 34 DSGVO) obliegen dem Verantwortlichen.

§ 9 Nachweise und Überprüfungen

Auf Anfrage stellt der Auftragsverarbeiter die nötigen Informationen zum Nachweis bereit. Überprüfungen sind mit 14 Tagen Vorlauf, zu üblichen Geschäftszeiten und in der Regel höchstens einmal jährlich möglich. Mehraufwand über die Auskunft hinaus kann angemessen vergütet werden.

§ 10 Löschung und Rückgabe

Nach Vertragsende löscht der Auftragsverarbeiter die Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche exportiert benötigte Unterlagen vorher selbst; ihn können eigene Aufbewahrungspflichten treffen, etwa die zweijährige Aufbewahrung von Arbeitszeitaufzeichnungen nach § 17 Abs. 2 MiLoG. Löscht er sein Konto, werden Nutzerkonten, Schichten, erfasste Zeiten, Abwesenheiten, Tauschangebote und Sitzungen unwiderruflich gelöscht. Sicherungskopien werden durch die Rotation spätestens nach 90 Tagen überschrieben und nur zur Wiederherstellung des Gesamtsystems verwendet.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den gesetzlichen Bestimmungen. Die Haftungsregeln des Hauptvertrags bleiben unberührt, soweit sie nicht zwingendem Recht widersprechen.

§ 12 Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag in datenschutzrechtlicher Hinsicht vor. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschrieben ist der tatsächliche Stand. Was nicht belegt ist, steht unter „Nicht umgesetzt“.

Vertraulichkeit

• Anmeldung mit E-Mail oder Zugangskennung und Passwort, Mindestlänge 8 Zeichen.
• Passwörter nur als Hash (PBKDF2-HMAC-SHA256, 210.000 Runden, eigener Zufalls-Salt je Nutzer).
• Sitzung über ein zufälliges Token (256 Bit) im Cookie mit HttpOnly, Secure und SameSite=Lax; Gültigkeit 90 Tage, bei jedem Zugriff serverseitig geprüft.
• Schutz vor Durchprobieren: Sperre für 5 Minuten nach 5 Fehlversuchen je E-Mail-Konto und je Kombination aus Konto und IP-Adresse. Die Zähler enthalten nur SHA-256-Hashes und werden nach 24 Stunden gelöscht.
• Bei Passwortänderung werden die übrigen Sitzungen beendet.
• Drei Rollen: Chef (Inhaber), Leitung und Mitarbeiter. Die Leitung plant Schichten, sieht aber keine Stundenlöhne und keine Anstellungsart und kann keine Chef-Funktionen nutzen (Konto löschen, Betriebsdaten, Rollen vergeben). Mitarbeiter sehen von Kollegen nur den Namen, nicht E-Mail, Qualifikation, Soll-Stunden, Lohn oder Urlaub.
• Abwesenheitsgründe sehen nur die Betriebsleitung und die betroffene Person. Der Aushang zum Drucken enthält weder Löhne noch Abwesenheitsgründe.
• Rechte werden serverseitig bei jedem Zugriff geprüft, nicht nur in der Oberfläche.
• Mandantentrennung: Jeder Datensatz gehört zu einem Betrieb; alle Zugriffe filtern serverseitig darauf, Zugriffe auf fremde Daten liefern „nicht gefunden“. Eine physisch getrennte Datenhaltung je Kunde gibt es nicht.

Integrität

• Verschlüsselte Übertragung (TLS) für alle Zugriffe; die Verbindung wird über Cloudflare ausgeliefert (Anlage 2).
• System-E-Mails gehen über Mailjet. Übermittelt werden Name, E-Mail-Adresse sowie Datum, Uhrzeit und Position der Schicht, keine Gründe für Abwesenheiten oder Krankmeldungen.
• Erfasste Zeiten und geplante Zeiten werden getrennt gespeichert, sodass eine Abweichung erkennbar bleibt; Korrekturen kann nur die Betriebsleitung vornehmen. Der Zeitpunkt der Anlage einer Schicht wird gespeichert.

Verfügbarkeit und Belastbarkeit

• Tägliche automatische Sicherung der Datenbank um 03:55 Uhr, Aufbewahrung 90 Tage.
• Die Sicherungen werden vor der Ablage komprimiert und mit AES-256-CBC (PBKDF2, 100.000 Runden) verschlüsselt. Der Schlüssel liegt in einer Datei nur für den Eigentümer lesbar außerhalb des Sicherungsordners.
• Eine zweite, räumlich getrennte Kopie der verschlüsselten Sicherung liegt in iCloud Drive (Anlage 2). Der Schlüssel wird nicht dorthin übertragen.
• Einmal im Monat läuft ein automatischer Wiederherstellungstest: Entschlüsseln, Integritätsprüfung der Datenbank, Abgleich der Zeilenzahlen.
• Einmal im Monat läuft ein Scan der eingesetzten Software-Bibliotheken auf bekannte Schwachstellen.

Überprüfung und Datenschutz durch Voreinstellung

• Änderungen werden in einer getrennten Testumgebung mit eigener Datenbank geprüft, bevor sie in den Betrieb gehen.
• Technische Fehler erfasst ein eigenes System des Auftragsverarbeiters auf eigenem Server in Deutschland. Ereignismeldungen enthalten keine Klarnamen von Mitarbeitern.
• Neue Funktionen sind aus, bis der Betrieb sie einrichtet (zum Beispiel Bundesland, Schichtarten). Beschäftigte erhalten nur die Daten, die sie für ihre Aufgabe brauchen.

Nicht umgesetzt (bewusst offen genannt)

• Verschlüsselung ruhender Daten auf dem Server: Die Festplatte des Servers ist nicht verschlüsselt. Verschlüsselt sind nur die Sicherungskopien.
• Änderungshistorie: Es gibt keine revisionssichere Historie, wer wann welchen Wert geändert hat. Wird eine erfasste Zeit korrigiert, ist der frühere Wert nicht mehr abrufbar.
• Ausfallsicherheit: Es gibt keine Redundanz und kein automatisches Umschalten; ein bestimmter Verfügbarkeitsgrad wird nicht zugesagt.

Anlage 2: Unterauftragsverarbeiter

• Cloudflare (Cloudflare Inc., USA / Cloudflare Germany GmbH): Auslieferung und Absicherung der Verbindung. Verarbeitet werden Verbindungsdaten (unter anderem IP-Adresse); die Transportverschlüsselung wird dort terminiert. Drittland: EU-Standardvertragsklauseln.
• Mailjet (Sinch Email, Frankreich): Versand von System-E-Mails (Einladungen, Passwort-Reset, Benachrichtigung über frei gewordene Schichten). Name und E-Mail-Adresse der Empfänger, Verarbeitung in der EU.
• Apple iCloud (verschlüsselte Offsite-Ablage): Apple erhält nur die verschlüsselte Sicherungsdatei, der Schlüssel bleibt beim Auftragsverarbeiter, die Dateinamen enthalten keine Personendaten. Der Auftragsverarbeiter wertet das als reine Ablage ohne Unterauftragsverarbeitung; diese Einordnung ist nicht anwaltlich bestätigt.

Das interne Fehler- und Feedback-System läuft auf eigenem Server des Auftragsverarbeiters in Deutschland und ist kein Unterauftragsverarbeiter.

Weitere Informationen: Datenschutzerklärung · Impressum · Nutzungsbedingungen