Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

zwischen dem Kunden als Verantwortlichem (nachfolgend „Verantwortlicher“) und DR-IT (DRNS), Ährenflur 5, 54329 Konz als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über die Software „Zeitmaschine“ Vertragsbestandteil.

1. Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter stellt die SaaS-Anwendung „Zeitmaschine“ zur Arbeitszeiterfassung bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

• Zweck: Erfassung, Speicherung und Auswertung von Arbeits-, Pausen- und Abwesenheitszeiten; Urlaubs- und Krankmeldungsverwaltung; Berichtswesen.
• Datenkategorien: Stammdaten (Name, E-Mail-Adresse, Personal-/Gruppenzuordnung), Zeitdaten (Kommen/Gehen, Pausen, Projektzuordnungen), Abwesenheitsdaten (Urlaub, Krankheit inkl. hochgeladener Bescheinigungen – Gesundheitsdaten i. S. v. Art. 9 DSGVO), Protokolldaten.
• Betroffene: Beschäftigte und sonstige für den Verantwortlichen tätige Personen.

3. Pflichten des Auftragsverarbeiters

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Software durch den Verantwortlichen gilt als Weisung. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
2. Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
3. Umsetzung der technischen und organisatorischen Maßnahmen nach Ziffer 6.
4. Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit ihm dies möglich ist.
5. Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen.
6. Nach Vertragsende: Löschung der personenbezogenen Daten nach Ablauf der 30-tägigen Exportfrist, soweit keine gesetzliche Aufbewahrungspflicht besteht.
7. Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags; Ermöglichung und Duldung von Überprüfungen nach Ziffer 7.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt werden:

• Supabase Inc. – Datenbank, Authentifizierung, Dateispeicher (Rechenzentrum in der EU)
• Vercel Inc. – Hosting der Web-Anwendung
• Stripe Payments Europe, Ltd. – Zahlungsabwicklung (betrifft nur Vertrags-/Zahlungsdaten des Verantwortlichen, nicht Beschäftigtendaten)

Der Auftragsverarbeiter informiert über beabsichtigte Änderungen in Textform mit einer Frist von vier Wochen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht des Nutzungsvertrags zu. Mit allen Unterauftragsverarbeitern bestehen Verträge, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen. Bei Übermittlungen in Drittländer werden geeignete Garantien nach Kapitel V DSGVO (insb. EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse) sichergestellt.

5. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die datenschutzrechtliche Zulässigkeit der Beschäftigtendatenverarbeitung (§ 26 BDSG / Art. 88 DSGVO), die Information der Beschäftigten (Art. 13/14 DSGVO) und ggf. die Beteiligung von Arbeitnehmervertretungen.

6. Technische und organisatorische Maßnahmen (TOMs)

• Transportverschlüsselung (TLS 1.2+), Verschlüsselung ruhender Daten
• Mandantentrennung auf Datenbankebene (Row Level Security), rollenbasierte Zugriffskontrolle, Least-Privilege-Prinzip
• Authentifizierung mit Passwort-Hashing; PIN-Hashing im Terminal-Modus
• Protokollierung sicherheitsrelevanter Ereignisse (Audit-Log)
• Regelmäßige automatische Datensicherungen
• Auswahl von Rechenzentren mit Zertifizierungen (u. a. SOC 2 / ISO 27001)
• Datensparsamkeit, Zweckbindung, Löschkonzept

Der Auftragsverarbeiter darf die Maßnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

7. Kontrollrechte

Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen, in der Regel durch Einholung von Selbstauskünften oder aktuellen Testaten/Zertifikaten der Unterauftragsverarbeiter. Vor-Ort-Kontrollen erfolgen nach angemessener Vorankündigung während der üblichen Geschäftszeiten.

8. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor. Die Haftungsregelung des § 10 der AGB gilt auch für diesen Vertrag, soweit Art. 82 DSGVO nicht entgegensteht.