Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten der Mitarbeiter des Verantwortlichen im Rahmen der Bereitstellung der Software Stempl. Die Dauer entspricht der Laufzeit des Hauptvertrags (Stempl-AGB).

2. Art und Zweck der Verarbeitung

Erfassung, Speicherung und Auswertung von Arbeitszeiten, Dienstplänen und Abwesenheiten zum Zweck der Personalverwaltung, der rechtssicheren Zeiterfassung (§ 17 MiLoG) und der Erstellung von Auswertungen/Exporten für den Verantwortlichen.

3. Art der Daten und betroffene Personen

Verarbeitet werden Name, Kontaktdaten, Beschäftigungsart, Vertragsstunden, ggf. Stundenlohn sowie Zeiterfassungs-, Dienstplan- und Abwesenheitsdaten der Mitarbeiter des Verantwortlichen. Betroffene Personen sind die vom Verantwortlichen in Stempl angelegten Mitarbeiter.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (insbesondere die Eingaben des Verantwortlichen und seiner berechtigten Nutzer in der Anwendung), es sei denn, er ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet. Er gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben, und trifft die in Ziffer 6 genannten technischen und organisatorischen Maßnahmen.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase, Inc. — Datenbank-Hosting, EU-Region Frankfurt am Main.
• Vercel Inc. (USA) — Anwendungs-Hosting, auf Grundlage von EU-Standardvertragsklauseln.

Der Zahlungsdienstleister Stripe verarbeitet ausschließlich die eigenen Vertrags- und Zahlungsdaten des Verantwortlichen (nicht die Daten seiner Mitarbeiter) und ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Der Auftragsverarbeiter informiert den Verantwortlichen vor der Beauftragung weiterer Unterauftragsverarbeiter, die Mitarbeiterdaten verarbeiten würden; der Verantwortliche kann dem innerhalb von 14 Tagen aus wichtigem Grund widersprechen.

6. Technische und organisatorische Maßnahmen

Insbesondere: Datenhaltung ausschließlich in der EU, verschlüsselte Übertragung (HTTPS), Zugriff nur nach Authentifizierung über Supabase Auth, Mandantentrennung zwischen Organisationen per Datenbank-Zugriffsregeln (Row Level Security), rollenbasierte Zugriffsrechte innerhalb einer Organisation, lückenloses Protokoll (Audit-Log) aller Änderungen an Zeiterfassungsdaten.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) und bei der Meldung von Datenschutzverletzungen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die die Daten des Verantwortlichen betrifft.

8. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (insbesondere die zweijährige Aufbewahrungspflicht für Zeitnachweise nach § 17 MiLoG). Auf Wunsch des Verantwortlichen stellt der Auftragsverarbeiter die Daten vor der Löschung über die Export-Funktion der Anwendung zur Verfügung.

9. Kontrollrechte

Der Verantwortliche hat das Recht, sich im angemessenen Rahmen von der Einhaltung der in diesem Vertrag vereinbarten Pflichten des Auftragsverarbeiters zu überzeugen, unter anderem durch Anforderung entsprechender Nachweise.