Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

zwischen dem Kunden als Verantwortlichem (nachfolgend „Verantwortlicher“) und DR-IT (DRNS), Ährenflur 5, 54329 Konz als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über die Software „Zeitmaschine“ Vertragsbestandteil.

1. Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter stellt die SaaS-Anwendung „Zeitmaschine“ zur Arbeitszeiterfassung bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

• Zweck: Erfassung, Speicherung und Auswertung von Arbeits-, Pausen- und Abwesenheitszeiten; Urlaubs- und Krankmeldungsverwaltung; Berichtswesen; auf Veranlassung des Verantwortlichen zudem KI-gestützte Hilfe- und Auswertungsfunktionen für dessen Administratoren (Ziffer 4a).
• Datenkategorien: Stammdaten (Name, E-Mail-Adresse, Personal-/Gruppenzuordnung), Zeitdaten (Kommen/Gehen, Pausen, Projektzuordnungen), Abwesenheitsdaten (Urlaub, Krankheit inkl. hochgeladener Bescheinigungen – Gesundheitsdaten i. S. v. Art. 9 DSGVO), Protokolldaten.
• Betroffene: Beschäftigte und sonstige für den Verantwortlichen tätige Personen.

3. Pflichten des Auftragsverarbeiters

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Software durch den Verantwortlichen gilt als Weisung. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
2. Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
3. Umsetzung der technischen und organisatorischen Maßnahmen nach Ziffer 6.
4. Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit ihm dies möglich ist.
5. Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen.
6. Nach Vertragsende: Löschung der personenbezogenen Daten nach Ablauf der 30-tägigen Exportfrist, soweit keine gesetzliche Aufbewahrungspflicht besteht.
7. Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags; Ermöglichung und Duldung von Überprüfungen nach Ziffer 7.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt werden:

• Supabase Inc. – Datenbank, Authentifizierung, Dateispeicher (Rechenzentrum in der EU)
• Vercel Inc. – Hosting der Web-Anwendung
• Stripe Payments Europe, Ltd. – Zahlungsabwicklung (betrifft nur Vertrags-/Zahlungsdaten des Verantwortlichen, nicht Beschäftigtendaten)
• Google Ireland Limited / Google LLC – Betrieb der für den KI-Assistenten eingesetzten KI-Sprachmodelle (Verarbeitung nur bei Nutzung des KI-Assistenten, siehe Ziffer 4a); die Übermittlung erfolgt über einen technischen Gateway-Dienstleister für KI-Infrastruktur

Eine jeweils aktuelle, vollständige Liste der Unterauftragsverarbeiter einschließlich des Gateway-Dienstleisters stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage in Textform zur Verfügung.

Der Auftragsverarbeiter informiert über beabsichtigte Änderungen in Textform mit einer Frist von vier Wochen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht des Nutzungsvertrags zu. Mit allen Unterauftragsverarbeitern bestehen Verträge, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen. Bei Übermittlungen in Drittländer werden geeignete Garantien nach Kapitel V DSGVO (insb. EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse) sichergestellt.

4a. Besondere Bedingungen für den KI-Assistenten

1. Der KI-Assistent steht ausschließlich Administratoren des Verantwortlichen zur Verfügung. Bei seiner Nutzung werden die Anfrage des Administrators sowie die zur Beantwortung erforderlichen Datenauszüge (insbesondere Namen der Beschäftigten, Arbeits-, Abwesenheits- und Urlaubsdaten; keine E-Mail-Adressen, Zugangsdaten oder hochgeladenen Dokumente) an die in Ziffer 4 genannten KI-Dienstleister übermittelt.
2. Die Übermittlung erfolgt ausschließlich zweckgebunden zur Erzeugung der jeweiligen Antwort. Eine Nutzung der Inhalte für eigene Zwecke der KI-Dienstleister, insbesondere zu Werbezwecken, ist durch die Verträge nach Art. 28 Abs. 4 DSGVO ausgeschlossen.
3. Soweit die Verarbeitung durch die KI-Dienstleister in Drittländern (insbesondere USA) erfolgt, wird sie durch geeignete Garantien nach Kapitel V DSGVO abgesichert (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss EU–USA Data Privacy Framework für zertifizierte Anbieter).
4. Weisungsrecht: Der Verantwortliche kann die KI-Funktion für sein Konto jederzeit ohne Angabe von Gründen deaktivieren lassen (Mitteilung in Textform genügt); der Auftragsverarbeiter setzt die Deaktivierung unverzüglich um. Ohne aktive Nutzung des KI-Assistenten findet keine Übermittlung an KI-Dienstleister statt.
5. Der KI-Assistent trifft keine automatisierten Entscheidungen im Sinne des Art. 22 DSGVO; die Ausgaben sind unterstützende Informationen, deren Verwendung der Verantwortliche kontrolliert.

5. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die datenschutzrechtliche Zulässigkeit der Beschäftigtendatenverarbeitung (§ 26 BDSG / Art. 88 DSGVO), die Information der Beschäftigten (Art. 13/14 DSGVO) und ggf. die Beteiligung von Arbeitnehmervertretungen.

6. Technische und organisatorische Maßnahmen (TOMs)

• Transportverschlüsselung (TLS 1.2+), Verschlüsselung ruhender Daten
• Mandantentrennung auf Datenbankebene (Row Level Security), rollenbasierte Zugriffskontrolle, Least-Privilege-Prinzip
• Authentifizierung mit Passwort-Hashing; PIN-Hashing im Terminal-Modus
• Protokollierung sicherheitsrelevanter Ereignisse (Audit-Log)
• Regelmäßige automatische Datensicherungen
• Auswahl von Rechenzentren mit Zertifizierungen (u. a. SOC 2 / ISO 27001)
• Datensparsamkeit, Zweckbindung, Löschkonzept

Der Auftragsverarbeiter darf die Maßnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

7. Kontrollrechte

Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen, in der Regel durch Einholung von Selbstauskünften oder aktuellen Testaten/Zertifikaten der Unterauftragsverarbeiter. Vor-Ort-Kontrollen erfolgen nach angemessener Vorankündigung während der üblichen Geschäftszeiten.

8. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor. Die Haftungsregelung des § 10 der AGB gilt auch für diesen Vertrag, soweit Art. 82 DSGVO nicht entgegensteht.