Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag wird geschlossen zwischen:

Auftragsverarbeiter
Matthias Papst
TeamStamp
Zugspitzstraße 7
83395 Freilassing
Deutschland

– nachfolgend „Auftragsverarbeiter“ –

und

dem jeweiligen Nutzer der Software „TeamStamp“, sofern dieser personenbezogene Daten Dritter verarbeitet,

– nachfolgend „Verantwortlicher“ –

(1) Dieser Vertrag wird elektronisch geschlossen.

(2) Die Zustimmung erfolgt durch aktive Bestätigung (Checkbox) im Rahmen der Registrierung oder im Kundenbereich.

(3) Mit der Zustimmung bestätigt der Verantwortliche, dass er personenbezogene Daten im Sinne der DSGVO verarbeitet und TeamStamp als Auftragsverarbeiter einsetzt.

(4) Die jeweils gültige Version ist im Kundenbereich einsehbar und versioniert.

(1) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der webbasierten Software „TeamStamp“.

(2) Die Verarbeitung dient der Bereitstellung einer SaaS-Lösung zur Arbeitszeitverwaltung und organisatorischen Unterstützung.

(3) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrages über die Nutzung von TeamStamp.

Die Verarbeitung umfasst insbesondere:

• Speicherung und Verwaltung von Arbeitszeitdaten
• Verwaltung von Organisations- und Planungsdaten
• Benutzerverwaltung
• Authentifizierung und Zugriffskontrolle
• IT-Sicherheitsmaßnahmen
• Nutzung des integrierten KI-Hilfe-Assistenten
• KI-gestützte Dienstplan-Vorschläge (Dienstplan-Assistent); die Übermittlung an das KI-Modell erfolgt ausschließlich pseudonymisiert
• Supportleistungen

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters erfolgt nicht.

Je nach Nutzung können folgende Datenarten betroffen sein:

• Stammdaten (Name, E-Mail-Adresse)
• Beschäftigtendaten
• Arbeitszeit- und Planungsdaten
• Login- und Protokolldaten
• Kommunikationsdaten innerhalb der Anwendung
• Inhalte, die in die KI-Funktionen eingegeben bzw. durch diese verarbeitet werden (Dienstplan-Daten ausschließlich pseudonymisiert)

• Mitarbeiter des Verantwortlichen
• Nutzerkontoinhaber
• ggf. weitere durch den Verantwortlichen eingetragene Personen

Der Auftragsverarbeiter verpflichtet sich:

1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
2. die Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO sicherzustellen;
3. geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen;
4. den Verantwortlichen bei der Wahrung von Betroffenenrechten gemäß Art. 12–23 DSGVO zu unterstützen;
5. Datenschutzverletzungen unverzüglich mitzuteilen;
6. nach Vertragsende personenbezogene Daten zu löschen oder zurückzugeben;
7. dem Verantwortlichen erforderliche Informationen zur Verfügung zu stellen, um die Einhaltung der DSGVO nachzuweisen.

(1) Der Auftragsverarbeiter setzt technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Diese umfassen insbesondere:

• TLS-/HTTPS-Verschlüsselung der Datenübertragung sowie AES-256-Verschlüsselung im Ruhezustand
• rollenbasierte Zugriffskontrollen mit strikter Mandantentrennung
• sichere Authentifizierungsmechanismen inkl. Zwei-Faktor-Authentifizierung (TOTP)
• Serverbetrieb über gesicherte, zertifizierte Rechenzentren in der EU
• Einsatz von Firebase App Check zur Missbrauchsvermeidung
• Protokollierung sicherheitsrelevanter Ereignisse (revisionssichere Audit-Logs)
• tägliche Backups, Point-in-Time Recovery und ein erprobtes Wiederherstellungsverfahren
• Pseudonymisierung bei der KI-Verarbeitung von Beschäftigtendaten
• Löschkonzept mit definierten Fristen und Datenexport vor endgültiger Löschung
• regelmäßige Sicherheitsupdates und Zugriffsbeschränkung nach dem Need-to-know-Prinzip

(2) Die Maßnahmen sind im Einzelnen in Anlage 1 (Technische und organisatorische Maßnahmen) beschrieben. Die Anlage ist Bestandteil dieses Vertrags und dort auch als PDF abrufbar.

(1) Der Verantwortliche stimmt dem Einsatz folgender Subunternehmer zu:

Google Ireland Limited – Hosting (Firebase), Infrastruktur, KI-Funktionen (Google Cloud Vertex AI, regionaler Endpunkt Frankfurt, europe-west3)
Stripe Payments Europe Ltd. – Zahlungsabwicklung

(2) Der Auftragsverarbeiter stellt sicher, dass mit allen Subunternehmern datenschutzkonforme Vereinbarungen gemäß Art. 28 DSGVO bestehen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen vorab in Textform (z. B. per E-Mail oder über den Kundenbereich) über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung von Subunternehmern (Art. 28 Abs. 2 DSGVO).

(4) Der Verantwortliche kann einer solchen Änderung innerhalb von 30 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

(5) Widerspricht der Verantwortliche und ist keine einvernehmliche Lösung möglich, sind beide Parteien berechtigt, den Hauptvertrag außerordentlich zu kündigen.

Sofern eine Übermittlung personenbezogener Daten in Drittländer erfolgt, geschieht dies ausschließlich auf Grundlage:

• EU-Standardvertragsklauseln
• Angemessenheitsbeschlüssen der EU-Kommission
• oder anderer geeigneter Garantien gemäß Art. 44 ff. DSGVO

Der Verantwortliche ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Datenerhebung
• die Information der betroffenen Personen
• die Wahrung der Betroffenenrechte
• die Prüfung der Erforderlichkeit einer Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen im technisch möglichen und zumutbaren Rahmen bei:

• Auskunftsersuchen
• Löschbegehren
• Berichtigungen
• Einschränkungen der Verarbeitung
• Datenübertragbarkeit

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten.

(2) Die Meldung enthält mindestens:

• Art der Verletzung
• betroffene Datenkategorien
• voraussichtliche Auswirkungen
• ergriffene oder geplante Gegenmaßnahmen

(1) Nach Beendigung des Hauptvertrags werden personenbezogene Daten gelöscht oder – auf Wunsch – in einem gängigen, maschinenlesbaren Format bereitgestellt.

(2) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags in angemessenem Umfang zu überprüfen.

(2) Prüfungen haben unter Wahrung von Geschäfts- und Betriebsgeheimnissen zu erfolgen.

(3) Vor-Ort-Prüfungen sind mit angemessener Vorankündigung zulässig.

(1) Die Haftung richtet sich nach Art. 82 DSGVO.

(2) Im Übrigen gelten die Haftungsregelungen der AGB von TeamStamp.

(1) Änderungen dieses Vertrags bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt.

(3) Es gilt deutsches Recht.