Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden von Zeitkauz als Verantwortlichem (nachfolgend „Auftraggeber“) und

eyefidelity UG (haftungsbeschränkt), Valkenburger Straße 7, 52525 Heinsberg, vertreten durch den Geschäftsführer Christian Berkigt, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der Software Zeitkauz als Software-as-a-Service (Hauptvertrag gemäß den AGB).

(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrags einschließlich einer Testphase. Die Pflichten aus diesem Vertrag gelten darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Erfassung und Auswertung von Arbeitszeiten, Schicht- und Dienstplanung, Verwaltung von Urlaub und Abwesenheiten, Führung von Stundenkonten, Bereitstellung von Stempel-Terminals sowie Export für die Lohnabrechnung.

(2) Art der Verarbeitung: Erheben, Speichern, Organisieren, Auslesen, Abgleichen, Verwenden, Übermitteln an berechtigte Nutzer des Auftraggebers, Löschen.

(3) Kategorien betroffener Personen: Beschäftigte, Auszubildende, Aushilfen und sonstige Personen, die der Auftraggeber in der Software anlegt; Nutzer des Auftraggebers (Administratoren, Teamleiter).

(4) Arten personenbezogener Daten:

• Stammdaten: Name, Personalnummer, E-Mail-Adresse, Abteilung, Ein- und Austrittsdatum, Rolle
• Arbeitszeitdaten: Kommen-/Gehen-Zeiten, Pausen, Korrekturen, Soll-Arbeitszeiten, Stundenkonto
• Planungsdaten: Schichten, Einsatzorte, Tagesinformationen
• Abwesenheitsdaten: Urlaub, Urlaubsanspruch, sonstige Abwesenheiten einschließlich der Angabe „Krankheit“
• Identifikationsmerkmale für Terminals: RFID/NFC-Chipkennung, Kiosk-PIN
• Zugangs- und Protokolldaten: Login-Zeitpunkte, Änderungsprotokolle

(5) Besondere Kategorien (Art. 9 DSGVO): Soweit der Auftraggeber Krankheitstage erfasst, handelt es sich um Gesundheitsdaten. Die Software ist nicht für Diagnosen oder Atteste vorgesehen; der Auftraggeber stellt sicher, dass solche Angaben nicht in Freitextfeldern erfasst werden. Krankheitsbedingte Abwesenheiten sind für andere Beschäftigte nur als neutrale „Abwesenheit“ sichtbar.

(6) Die Verarbeitung erfolgt ausschließlich in Rechenzentren innerhalb der Bundesrepublik Deutschland.

§ 3 Weisungsbefugnis

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind durch diesen Vertrag, den Hauptvertrag sowie durch die Konfiguration und Nutzung der Software durch den Auftraggeber festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform an info@eyefidelity.it.

(2) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Ausgenommen sind anonymisierte, nicht auf Personen beziehbare Nutzungsstatistiken zur Verbesserung des Dienstes.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2. Er darf diese weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

(3) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Die Software stellt hierfür Export-, Berichtigungs- und Löschfunktionen bereit. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(5) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(6) Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt. Ansprechpartner: Christian Berkigt, info@eyefidelity.it.

§ 5 Unterauftragsverhältnisse

(1) Der Auftraggeber genehmigt die in Anlage 3 aufgeführten Unterauftragnehmer.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragnehmers in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den Hauptvertrag außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich auf ein diesem Vertrag gleichwertiges Schutzniveau. Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 6 Kontrollrechte

(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Nachweise nach (z. B. aktuelle Dokumentation der Maßnahmen, Zertifikate der Rechenzentrumsbetreiber).

(2) Darüber hinaus kann der Auftraggeber nach rechtzeitiger Anmeldung (mindestens 14 Tage) und während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, ohne den Betriebsablauf unverhältnismäßig zu stören. Den Aufwand für Vor-Ort-Prüfungen kann der Auftragnehmer angemessen in Rechnung stellen, sofern keine Pflichtverletzung festgestellt wird.

§ 7 Löschung und Rückgabe

(1) Der Auftraggeber kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Software (CSV) herunterladen.

(2) Nach Ende des Hauptvertrags bzw. einer nicht in ein Abonnement überführten Testphase löscht der Auftragnehmer sämtliche Daten des Auftraggebers nach 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht des Auftragnehmers besteht. Datensicherungen werden im regulären Zyklus, spätestens nach weiteren 30 Tagen, überschrieben.

(3) Gesetzliche Aufbewahrungspflichten des Auftraggebers (z. B. § 16 Abs. 2 ArbZG) erfüllt dieser durch rechtzeitigen Export seiner Daten.

§ 8 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere die Rechtsgrundlage (z. B. § 26 BDSG, Art. 88 DSGVO, Betriebsvereinbarungen), die Information der Beschäftigten und die Beteiligung eines Betriebsrats verantwortlich. Er vergibt Zugänge und Rollen in der Software sorgfältig und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor. Es gilt deutsches Recht; Gerichtsstand ist Aachen, soweit gesetzlich zulässig.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Ansprechpartner

Auftragnehmer: eyefidelity UG (haftungsbeschränkt), Christian Berkigt, 02452 860988-0, info@eyefidelity.it
Auftraggeber: der im Kundenkonto als Inhaber hinterlegte Nutzer.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (ISO/IEC 27001-zertifiziert) mit Zugangskontrolle, Videoüberwachung und Sicherheitspersonal; keine Kundendaten auf Arbeitsplatzrechnern des Auftragnehmers.
• Zugangskontrolle: Serverzugang nur per SSH-Schlüssel für namentlich benannte Administratoren; Firewall mit Freigabe nur der benötigten Ports; Anwendungs-Passwörter mit mindestens 8 Zeichen, gespeichert als bcrypt-Hash; Sitzungs-Cookies HttpOnly und Secure; Geräte-Zugangscodes nur als SHA-256-Hash gespeichert.
• Zugriffskontrolle: Rollenkonzept (Mitarbeiter, Teamleiter, Administrator, Inhaber); Mandantentrennung durch Bindung jedes Datenbankzugriffs an das Unternehmen des angemeldeten Nutzers; Datensparsamkeit in Kollegenansichten (z. B. keine Abwesenheitsart sichtbar).
• Trennungskontrolle: logische Trennung der Kundendaten über Mandantenkennung; getrennte Entwicklungs- und Produktivumgebungen, keine Produktivdaten in der Entwicklung.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich TLS-verschlüsselt (HTTPS); Exporte nur für berechtigte Rollen.
• Eingabekontrolle: Änderungsprotokoll (Audit-Log) für wesentliche Änderungen mit Nutzer und Zeitpunkt; Kennzeichnung manuell korrigierter Zeitbuchungen.

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung der Datenbank, verschlüsselt, Aufbewahrung 30 Tage, an einem vom Produktivsystem getrennten Speicherort in Deutschland.
• Redundante Stromversorgung und Netzanbindung im Rechenzentrum; Monitoring der Erreichbarkeit.
• Zeitnahes Einspielen von Sicherheitsupdates für Betriebssystem und Software-Abhängigkeiten.
• Stempel-Terminals puffern Buchungen bei Verbindungsausfall lokal und übertragen sie nachträglich.

Verfahren zur regelmäßigen Überprüfung

• Überprüfung dieser Maßnahmen mindestens jährlich sowie anlassbezogen; dokumentierter Prozess für Datenschutzvorfälle.
• Datenschutzfreundliche Voreinstellungen (keine Tracking-Dienste, keine Fremdinhalte).

Anlage 3 – Genehmigte Unterauftragnehmer

Hinweis: Die Zahlungsabwicklung über Stripe betrifft nur Vertrags- und Rechnungsdaten des Auftraggebers selbst, nicht die Daten seiner Beschäftigten, und ist daher kein Unterauftrag im Sinne dieses Vertrags.