Auftragsverarbeitungs­vertrag

Vertragsparteien und Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen dem jeweiligen Kunden der Software „Schichtfix" (nachfolgend „Auftraggeber") und SynergyBytes, Inhaber: Michael Scheel, Wanhödener Weg 39, 27639 Wurster Nordseeküste, USt-IdNr DE357014047, E-Mail: info@synergybytes.de (nachfolgend „Auftragnehmer") — Auftraggeber und Auftragnehmer einzeln auch „Partei", gemeinsam auch „Parteien".

Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber im Rahmen des Nutzungsvertrags über die Software Schichtfix (Hauptvertrag). Der Auftraggeber ist hierbei Verantwortlicher gem. Art. 4 Nr. 7 DSGVO, der Auftragnehmer Auftragsverarbeiter gem. Art. 4 Nr. 8 DSGVO. Soweit die im Hauptvertrag vereinbarten Leistungen die Verarbeitung personenbezogener Daten betreffen, verarbeitet der Auftragnehmer diese im Auftrag gem. Art. 28 DSGVO. Hierzu schließen die Parteien den nachfolgenden Vertrag.

§ 1 Gegenstand, Einbeziehung, Laufzeit

(1) Gegenstand ist die Bereitstellung und der Betrieb der Software „Schichtfix" als Software-as-a-Service (Mehrmandanten-Instanz mit mandantengetrennter Datenhaltung) zum Zweck der betrieblichen Personal- und Abwesenheitsplanung (Dienstplan, Krankmeldung, Urlaubs- und Abbau-Anträge, Team-Kalender, Mitteilungen, Push-Benachrichtigungen) sowie der digitalen Personalaktenführung (Akteneinträge, erweiterte Personalstammdaten, optionale Dokumentenablage). Umfang, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in § 2 gelistet.

(2) Dieser Vertrag wird mit Abschluss des Nutzungsvertrags (Registrierung bzw. Buchung gemäß AGB § 3) automatisch Vertragsbestandteil, ohne dass es einer gesonderten Unterschrift bedarf; er ist auf dieser Seite dauerhaft abrufbar. Auf Wunsch stellt der Auftragnehmer eine unterschriebene Ausfertigung bereit.

(3) Dieser Vertrag läuft, solange der Auftragnehmer gegenüber dem Auftraggeber Leistungen erbringt, die Gegenstand der Auftragsverarbeitung nach Absatz 1 sind. Die Pflichten aus §§ 4, 10 und 12 wirken über das Vertragsende hinaus fort. Die Regelungen dieses Vertrags gehen den Regelungen des Hauptvertrags vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.

(4) Die Verarbeitung personenbezogener Daten unter diesem Vertrag erfolgt in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR). Eine Verarbeitung durch Subunternehmer in einem Drittland richtet sich nach § 6. Jede Verlagerung in ein Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(5) Die Parteien können diesen Vertrag jederzeit außerordentlich ohne Einhaltung einer Frist aus wichtigem Grund kündigen. Ein wichtiger Grund liegt für den Auftraggeber insbesondere vor, wenn der Auftragnehmer schwerwiegend gegen das anwendbare Datenschutzrecht verstößt und diesen Verstoß nicht innerhalb angemessener Frist nach Aufforderung durch den Auftraggeber abstellt. Ein wichtiger Grund liegt für den Auftragnehmer insbesondere vor, wenn eine Weisung des Auftraggebers nach Ansicht des Auftragnehmers gegen das anwendbare Datenschutzrecht verstößt, der Auftragnehmer dies dem Auftraggeber gem. § 3 Abs. 2 mitgeteilt hat und der Auftraggeber dennoch auf der Durchführung seiner Weisung besteht.

§ 2 Art der Daten, Kategorien betroffener Personen

(1) Datenkategorien: Stammdaten der Beschäftigten (Name, Rolle, Team, Kontaktdaten, ggf. Profilfoto); erweiterte Personalstammdaten, soweit vom Auftraggeber gepflegt (Geburtsdatum, Anschrift, private Kontaktdaten, Notfallkontakt [Name und Telefonnummer einer vom Beschäftigten benannten Person], Beschäftigungsart/Befristung, Ein- und Austrittsdaten); Einträge der digitalen Personalakte (Notizen, Gesprächsvermerke, Ermahnungen/Abmahnungen, Nebenabreden, Qualifikationen — Freitext-Inhalte bestimmt der Auftraggeber); Dokumente der Personalakte (Arbeitsverträge, Nachträge, Zeugnisse, Nachweise als PDF/JPEG/PNG), soweit der Auftraggeber die optionale Dokumentenablage nutzt bzw. diese für ihn aktiviert ist; Krankmeldungen (Zeitraum und Abwesenheits-Typ); Urlaubs-, Abbau-, Wunsch-, Kalender-, Schicht- und Dienstplandaten; Mitteilungen; Push-Geräte-Token; Protokoll- und Nutzungsdaten (Login, Audit-Log).

(2) Besondere Kategorien (Art. 9 DSGVO): Die Auftragsverarbeitung umfasst die Verarbeitung besonders sensibler Daten, die nach Art. 9 DSGVO besonders zu schützen sind; der Auftragnehmer hat hiervon Kenntnis. Der Abwesenheits-Typ einer Krankmeldung („krank", „Kind krank") ist ein Gesundheitsdatum nach Art. 9 Abs. 1 DSGVO. Der Auftragnehmer verarbeitet ausschließlich Typ und Zeitraum — keine Diagnosen, keine Attest-Inhalte. Die Rechtsgrundlage bestimmt der Auftraggeber als Verantwortlicher (im Beschäftigungskontext regelmäßig Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG). Der Auftragnehmer sichert ergänzend die Maßnahmen der Anlage 1 zu, insbesondere Push-Benachrichtigungen mit datenminimierter Payload ohne unmittelbar identifizierende Angaben: auf dem Sperrbildschirm erscheint ausschließlich die Ereigniskategorie (z. B. „Neue Krankmeldung") — kein Name, kein Zeitraum, keine Diagnose. Wen die Meldung betrifft, ist erst in der Anwendung hinter der Anmeldung sichtbar. Die Inhalte von Freitextfeldern der Personalakte und von eingestellten Dokumenten bestimmt allein der Auftraggeber; soweit darin im Einzelfall besondere Kategorien liegen (z. B. Gesundheitsbezug in Gesprächsnotizen oder Rückkehrgesprächen, Schwerbehindertennachweise), gelten die Schutzmaßnahmen der Anlage 1 entsprechend. Der Auftraggeber prüft vor der Einstellung solcher Inhalte deren Erforderlichkeit und die Rechtsgrundlage (insbesondere — soweit im Einzelfall einschlägig — Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG); eine pauschale Rechtfertigung beliebiger Freitext-Inhalte ist damit nicht verbunden.

(3) Betroffene: Beschäftigte des Auftraggebers (einschließlich Auszubildende, Aushilfen sowie ehemalige und künftige Beschäftigte, soweit vom Auftraggeber angelegt). Ferner: vom Beschäftigten benannte Notfallkontaktpersonen (Name, Telefonnummer) sowie gegebenenfalls Personen, deren Angaben in vom Auftraggeber eingestellten Personalaktendokumenten enthalten sind (z. B. Aussteller oder Unterzeichner von Zeugnissen früherer Arbeitgeber). Mittelbar können Angehörige von Beschäftigten betroffen sein, soweit sich aus einem Abwesenheits-Typ (z. B. „Kind krank") die Erkrankung eines Angehörigen ergibt; im Rahmen der Abwesenheits-Typen werden identifizierende Angaben zu Angehörigen nicht erhoben. Ein Abwesenheits-Typ wird ausschließlich als Abwesenheitsgrund des Beschäftigten geführt.

(4) Ausdrücklich nicht Gegenstand: Daten von Kunden, Patienten, Klienten oder sonstigen Dritten des Auftraggebers. Ausgenommen hiervon sind ausschließlich die vom Beschäftigten benannte Notfallkontaktperson (Name, Telefonnummer) sowie in Personalaktendokumenten unvermeidbar enthaltene Angaben weiterer Personen (z. B. Aussteller, Unterzeichner), begrenzt auf erforderliche Dokumentinhalte. Im Übrigen speichert der Auftraggeber in Schichtfix ausschließlich Daten seines Personals (AGB § 6 Abs. 3).

§ 3 Weisungsbefugnis; Pflichten des Auftraggebers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich gemäß den in diesem Vertrag getroffenen Festlegungen und den Weisungen des Auftraggebers, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet. Weisungen werden mit diesem Vertrag oder im Einzelfall durch weisungsbefugte Personen (Anlage 3) unter Einhaltung des Formerfordernisses gem. § 12 Abs. 1 erteilt; mündlich erteilte Weisungen sind unverzüglich entsprechend zu bestätigen.

(2) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine erteilte Weisung seiner Meinung nach gegen das anwendbare Datenschutzrecht verstößt. Der Auftragnehmer ist in diesem Fall berechtigt, die Verarbeitung auszusetzen, bis der Auftraggeber ihm eine anderweitige Weisung erteilt; dies umfasst auch eine Befreiung von der entsprechenden hauptvertraglichen Leistungspflicht des Auftragnehmers, nicht aber von Gegenleistungspflichten des Auftraggebers; § 1 Abs. 5 bleibt unberührt.

(3) Der Auftragnehmer verfolgt bei der Verarbeitung keine anderen und insbesondere keine eigenen, über die Vertragsdurchführung hinausgehenden Zwecke; Absatz 6 bleibt unberührt. Der Auftragnehmer bzw. seine Subunternehmer sichern technisch-organisatorisch ab, dass die zu den in § 2 beschriebenen Zwecken erhobenen personenbezogenen Daten von sonstigen Datenbeständen des Auftragnehmers getrennt verarbeitet werden (Mandantentrennung, Anlage 1).

(4) Pflichten und Rechte des Auftraggebers: Der Auftraggeber ist verantwortlich für die Erfüllung der Betroffenenrechte nach Art. 12 ff. DSGVO, die Beurteilung der Rechtmäßigkeit und die Wahl der Rechtsgrundlagen der Verarbeitung (einschließlich Art. 9 Abs. 2 DSGVO für Gesundheitsdaten nach § 2 Abs. 2), die Information seiner Beschäftigten nach Art. 13/14 DSGVO sowie die Erteilung von Weisungen ausschließlich durch die dazu befugten Personen (Anlage 3). Ergänzend gilt AGB § 6 Abs. 4.

(5) Der Auftraggeber unterrichtet den Auftragnehmer unverzüglich über alle Unregelmäßigkeiten der Ergebnisse der vom Auftragnehmer im Auftrag verarbeiteten Daten.

(6) Weisung zur Anonymisierung. Der Auftraggeber weist den Auftragnehmer an, aus den im Auftrag verarbeiteten Daten anonyme Kennzahlen zu bilden. Gegenstand, Verfahren, Zweck und Verwendung der Ergebnisse richten sich abschließend nach AGB § 5 Abs. 4a. Vor der Auswertung werden alle direkten Identifikatoren entfernt und die Werte zu Gruppen zusammengefasst; ein Kennzahlenwert wird nur gebildet, wenn er auf mindestens fünf Beschäftigten beruht, ein produktübergreifender Vergleichswert nur, wenn er auf mindestens fünf Auftraggebern beruht. Eine Auswertung einzelner Beschäftigter und die Rückführung eines Ergebnisses auf eine einzelne Person finden nicht statt. Die so gebildeten Kennzahlen sind anonyme Informationen im Sinne des Erwägungsgrundes 26 DSGVO; für sie gilt dieser Vertrag nicht mehr, und der Auftragnehmer darf sie auch über das Vertragsende hinaus verwenden. Der Auftraggeber kann diese Weisung jederzeit in Textform mit Wirkung für die Zukunft widerrufen; bereits gebildete anonyme Kennzahlen bleiben davon unberührt.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

(1) Der Auftragnehmer gewährleistet die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 Satz 2 lit. b, 29, 32 Abs. 4 DSGVO und etwaiger anwendbarer Spezialvorschriften, etwa § 203 StGB. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden; die Verpflichtung besteht nach Beendigung ihrer Tätigkeit und nach Vertragsende fort.

(2) Der Auftragnehmer und jede ihm unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der dokumentierten Weisung des Auftraggebers verarbeiten, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.

§ 5 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

(1) Der Auftragnehmer stellt ein dem Risiko angemessenes Schutzniveau der Datenverarbeitung gem. Art. 28 Abs. 3 lit. c, 32 DSGVO sicher. Die zum Zeitpunkt des Vertragsschlusses hierzu vereinbarten technischen und organisatorischen Maßnahmen sind diesem Vertrag als Anlage 1 beigefügt. Kern: PostgreSQL-Row-Level-Security als maschinell in jedem Deployment geprüfte Mandantengrenze; Transportverschlüsselung (TLS); verschlüsselte Backups; datenminimierte Push-Benachrichtigungen ohne unmittelbar identifizierende Angaben — nur die Ereigniskategorie (Art. 25 DSGVO).

(2) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Es ist dem Auftragnehmer gestattet, zu den in Anlage 1 vereinbarten Maßnahmen alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der bei Vertragsschluss festgelegten Maßnahmen nicht wesentlich unterschritten werden. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber auf dessen Anfrage hin mitzuteilen.

(3) Es steht dem Auftragnehmer frei, mobiles Arbeiten auch für unter diesem Vertrag im Auftrag verarbeitete Daten vorzusehen, soweit und solange er auch in diesen Fällen ein angemessenes Schutzniveau gem. Art. 28 Abs. 3 lit. c, 32 DSGVO sicherstellt.

§ 6 Unterauftragsverhältnisse (Art. 28 Abs. 2 und 4 DSGVO)

(1) Der Auftragnehmer ist berechtigt, zur Ausführung von Aufträgen unter diesem Vertrag Subunternehmer unter Beachtung der Bestimmungen dieses § 6 einzusetzen. Die zum Zeitpunkt des Vertragsschlusses berechtigt eingesetzten Subunternehmer sind in Anlage 2 aufgeführt; die jeweils aktuelle Liste ist auf dieser Seite abrufbar.

(2) Beabsichtigt der Auftragnehmer, neue Subunternehmer einzusetzen oder bestehende Subunternehmer zu ersetzen, unterrichtet er den Auftraggeber darüber im Voraus in Textform. Der Auftraggeber ist berechtigt, dem Einsatz neuer Subunternehmer oder dem Ersatz bestehender Subunternehmer innerhalb von drei Wochen nach Bekanntgabe der Information aus nachweislich wichtigen datenschutzrechtlichen Gründen zu widersprechen. Geht beim Auftragnehmer kein Widerspruch innerhalb der Frist ein, gilt der neue Subunternehmer als genehmigt. Geht ein Widerspruch innerhalb der Frist ein, werden sich die Parteien um eine einvernehmliche Lösung bemühen. Sofern keine einvernehmliche Lösung gefunden wird, steht dem Auftragnehmer ein außerordentliches Kündigungsrecht hinsichtlich des betroffenen Gegenstands einschließlich des zugehörigen Hauptvertrags zu.

(3) Der Auftragnehmer hat vertraglich gegenüber dem Subunternehmer sicherzustellen, dass die in diesem Vertrag festgelegten Pflichten des Auftragnehmers auch gegenüber dem Subunternehmer gelten. Die Weiterleitung der Daten an den Subunternehmer ist erst zulässig, wenn der Subunternehmer die Verpflichtungen nach diesem § 6 erfüllt.

(4) Ein Unterauftragsverhältnis nach diesem § 6 liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind, insbesondere, aber nicht abschließend, Post-, Transport- und Versandleistungen, Telekommunikationsleistungen sowie Zahlungsabwicklung ohne Zugriff auf Beschäftigtendaten des Auftraggebers.

(5) Drittlandtransfer (USA — nur Push-Zustellung): Für Push-Benachrichtigungen werden Geräte-Token und Zustell-Metadaten an Google (Firebase Cloud Messaging, Android) und Apple (APNs, iOS) übermittelt. Transfergrundlage ist das EU-US Data Privacy Framework (DPF-zertifizierte US-Empfänger: Google LLC bzw. Apple Inc.; Vertragspartner sind deren EU-Gesellschaften, Anlage 2), hilfsweise Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Benachrichtigungsinhalte sind datenminimiert und enthalten keine unmittelbar identifizierenden Angaben — nur die Ereigniskategorie (§ 5 Abs. 1). Darüber hinaus findet im Rahmen dieser Auftragsverarbeitung keine Verarbeitung in Drittländern statt; das Hosting erfolgt innerhalb der EU/des EWR (§ 1 Abs. 4; Serverstandort derzeit: Deutschland).

§ 7 Betroffenenrechte, Unterstützung und Zusammenarbeit (Art. 28 Abs. 3 lit. e, f DSGVO)

(1) Der Auftraggeber ist verantwortlich für die Erfüllung von Betroffenenrechten nach Art. 12 ff. DSGVO. Soweit sich eine von der Datenverarbeitung unter diesem Vertrag betroffene Person unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten und es nicht selbst beantworten.

(2) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der datenschutzrechtlichen Anforderungen, insbesondere a) bei der Sicherstellung der Erfüllbarkeit und der Erfüllung von Betroffenenrechten (einschließlich Export in strukturiertem, gängigem, maschinenlesbarem Format); hierzu stellt die Software einen personalaktenbezogenen Export je Beschäftigtem bereit (Akteneinträge und Dokument-Metadaten) zur Unterstützung von Auskunftsersuchen — dieser Export ersetzt keine vollständige Auskunft nach Art. 15 DSGVO; weitere Datenbestände (Dokumentinhalte, Stammdaten, Kalender- und Antragsdaten) prüft und ergänzt der Auftraggeber in eigener Verantwortung; darüber hinaus stellt die Software einen Auskunftsbericht nach Art. 15 DSGVO je Beschäftigtem bereit, der die zu der betroffenen Person geführten Datenbestände dieser Anwendung zusammenführt und dem die zugehörigen Daten in strukturiertem, gängigem, maschinenlesbarem Format sowie die hinterlegten Dokumente beiliegen. Der Auskunftsbericht wird durch den Auftraggeber abgerufen und von diesem an die betroffene Person ausgehändigt; die Prüfung des Auskunftsersuchens — insbesondere entgegenstehender Rechte und Freiheiten anderer Personen (Art. 15 Abs. 4 DSGVO) — und die Erteilung der Auskunft obliegen dem Auftraggeber. Der Auftragnehmer stellt hierfür ausschließlich die technische Funktion bereit; eine rechtliche Bewertung des Ersuchens nimmt er nicht vor; b) bei der Umsetzung der Anforderungen an die Sicherheit der Datenverarbeitung nach Art. 32 DSGVO durch den Auftraggeber; c) bei einer erforderlichen Folgenabschätzung nach Art. 35, 36 DSGVO; d) im Fall einer Verletzung des Schutzes personenbezogener Daten bei der Erfüllung der Pflichten nach Art. 33, 34 DSGVO.

(3) Die Erfüllung der Pflichten aus Art. 28 und 32 DSGVO — insbesondere die Meldung nach § 8, Standardauskünfte und der Standardexport nach § 10 — ist mit dem Entgelt des Nutzungsvertrags abgegolten. Nur für Unterstützungsleistungen, die darüber erheblich hinausgehen und nicht durch eine Pflichtverletzung des Auftragnehmers veranlasst sind, darf der Auftragnehmer eine angemessene Vergütung verlangen; er kündigt dies vorher unter Angabe der voraussichtlichen Kosten an.

§ 8 Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO)

Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten gem. Art. 33 Abs. 2 DSGVO und übermittelt dem Auftraggeber alle ihm vorliegenden Informationen, die für eine etwaige Meldung nach Art. 33, 34 DSGVO erforderlich sind (Meldeadresse: Anlage 3).

§ 9 Haftung

(1) Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.

(2) Im Innenverhältnis haften die Parteien für Vorsatz und grobe Fahrlässigkeit nach den gesetzlichen Vorschriften. Das Gleiche gilt bei schuldhaft verursachten Schäden aus der Verletzung des Lebens, des Körpers, der Gesundheit oder der Verletzung von Produkthaftungspflichten sowie im Falle arglistig verschwiegener Mängel.

(3) Im Übrigen ist die Haftung des Auftragnehmers im Innenverhältnis beschränkt auf die Verletzung von Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglichen und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf (Kardinalpflichten). Die Haftung des Auftragnehmers im Innenverhältnis ist im Fall der leicht fahrlässigen Verletzung von Kardinalpflichten der Höhe nach begrenzt auf den vertragstypisch vorhersehbaren Schaden. Für Schäden, die auf leichter Fahrlässigkeit und nicht auf der Verletzung des Lebens, des Körpers, der Gesundheit, von Produkthaftungspflichten oder von Kardinalpflichten beruhen, ist der Schadensersatzanspruch des Auftraggebers gegen den Auftragnehmer auf das zweifache Vertragsvolumen des Hauptvertrags in einem Kalenderjahr begrenzt. Die Haftungsregelungen dieses § 9 gelten vorrangig gegenüber etwaigen Haftungsbegrenzungen im Hauptvertrag oder in Allgemeinen Geschäftsbedingungen der Parteien.

§ 10 Löschung und Rückgabe nach Auftragsende (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Beendigung des Vertrags löscht der Auftragnehmer innerhalb angemessener Frist alle im Auftrag unter diesem Vertrag verarbeiteten personenbezogenen Daten oder gibt diese an den Auftraggeber zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Trifft der Auftraggeber bis zum Zeitpunkt des Vertragsendes eine Wahl und unterrichtet den Auftragnehmer darüber, ist der Auftragnehmer an diese gebunden. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragnehmer weiterhin die Einhaltung dieses Vertrags. Konkretisierung: Der Auftragnehmer hält die Daten für eine Übergangsfrist von 90 Tagen zum Export durch den Auftraggeber bereit (AGB § 3 Abs. 3, § 12 Abs. 4); die Rückgabe erfolgt als logischer Export in einem strukturierten, gängigen, maschinenlesbaren Format.

(2) Löschung während der Vertragslaufzeit (Personalakte): Aufbewahrungsfristen je Akteneintrag steuert der Auftraggeber („aufbewahren bis"). Nach Ablauf der gesetzten Frist löscht das System den Eintrag automatisch und ohne zusätzliche Karenzfrist. Eine Wiederherstellungsfrist von 30 Tagen besteht ausschließlich nach manueller Löschung durch den Auftraggeber; danach erfolgt die endgültige Löschung.

(3) Mechanik (geteilte Datenbank, transparent): Es gibt keinen mandantenbezogenen Restore aus dem physischen Backup. Die Löschung erfolgt zeilengenau in der Produktivdatenbank; gelöschte Mandanten verbleiben bis zum turnusmäßigen Auslaufen der Backups im Rahmen des regulären Rotationszyklus des Auftragnehmers (derzeit 30 Tage) im verschlüsselten Gesamt-Backup; technische Vorkehrungen (fortlaufendes Löschregister) verhindern die Wiederherstellung gelöschter Mandanten nach einem Restore.

(4) Auf Anforderung des Auftraggebers bestätigt der Auftragnehmer die durchgeführte Löschung in Textform.

§ 11 Kontrollrechte des Auftraggebers (Art. 28 Abs. 3 lit. h DSGVO)

(1) Der Auftragnehmer bearbeitet Anfragen des Auftraggebers bezüglich der Verarbeitung von Daten gemäß diesem Vertrag umgehend und in angemessener Weise.

(2) Der Auftraggeber hat das Recht, zur Einhaltung dieses Vertrags und der Pflichten des Auftragnehmers nach Art. 28 DSGVO erforderliche Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Die Überprüfungen erfolgen vorrangig durch die Überlassung geeigneter Informationen (wie etwa branchenüblicher Zertifizierungen, Testate oder Berichte unabhängiger Stellen, der Dokumentation der Maßnahmen nach Anlage 1, der aktuellen Subunternehmer-Liste sowie des Nachweises der maschinellen Mandanten-Isolationsprüfung in jedem Software-Deployment) auf Anforderung des Auftraggebers. Der Auftragnehmer erteilt dem Auftraggeber dazu auf Anforderung die erforderlichen Auskünfte und weist die Einhaltung der Anforderungen dieses Vertrags nach.

(3) Ferner sind im Einzelfall auch Vor-Ort-Inspektionen im Geschäftsbetrieb des Auftragnehmers zulässig, soweit diese zur Überprüfung nach Absatz 2 unabdingbar sind, in der Regel nur in angemessenen Abständen, zu den üblichen Geschäftszeiten, nach vorheriger Anmeldung mit angemessener Vorlaufzeit und ohne wesentliche Störung des Betriebsablaufs. Überprüfungen vor Ort kann der Auftragnehmer von der Unterzeichnung angemessener Verschwiegenheitserklärungen abhängig machen; sollte ein vom Auftraggeber beauftragter Prüfer in einem Wettbewerbsverhältnis zum Auftragnehmer stehen, darf der Auftragnehmer dem Einsatz dieses Prüfers widersprechen. Jede Partei trägt ihre eigenen Kosten. Abweichend von Satz 4 darf der Auftragnehmer für Vor-Ort-Inspektionen ohne konkreten Anlass eine angemessene Aufwandsvergütung verlangen; er weist vorab auf die voraussichtlichen Kosten hin. Dies gilt nicht für Überprüfungen aus Anlass einer Verletzung nach § 8, einer nachgewiesenen Pflichtverletzung des Auftragnehmers oder auf behördliche Anordnung.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (einschließlich E-Mail oder Bestätigung der Änderung über ein elektronisches Formular). Dies gilt auch für den Verzicht auf dieses Formerfordernis. Sofern Änderungen und Ergänzungen zur Einhaltung der datenschutzrechtlichen Anforderungen erforderlich sind, etwa aufgrund externer Entwicklungen notwendiger Anpassungen der Datensicherheitsanforderungen, oder aus triftigen Gründen wie Änderungen des Hauptvertrags, Anpassungen zugunsten der Auftraggeber oder Weiterentwicklungen ohne nachteilige Auswirkungen für die Auftraggeber erfolgen, werden diese in geeigneter Weise bekannt gegeben und gelten als durch den Auftraggeber bestätigt, wenn diesen nicht innerhalb der vom Auftragnehmer gesetzten Frist entsprechend § 6 Abs. 2 widersprochen wird. Der Auftraggeber nimmt diese Änderungen durch fortgesetzten Bezug der Leistungen aus dem Hauptvertrag an.

(2) Zurückbehaltungsrechte an personenbezogenen Daten des Auftraggebers sind ausgeschlossen.

(3) Sollten sich einzelne Bestimmungen dieses Vertrags ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.

(4) Dieser Vertrag unterliegt deutschem Recht (einschließlich der Datenschutz-Grundverordnung). Ausschließlicher Gerichtsstand ist der Sitz des Auftragnehmers, soweit gesetzlich zulässig.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit / Trennungskontrolle

• Mandantentrennung: PostgreSQL-Row-Level-Security (ENABLE + FORCE) mit Isolations-Policy, fail-closed ohne Mandanten-Kontext; ein maschinelles Prüf-Gate kontrolliert die Isolation in jedem Software-Deployment.
• Rechtetrennung: Anwendung verbindet mit eigener Datenbankrolle ohne Umgehungsprivilegien; Migrations-Zugangsdaten hinter Root-Grenze.
• Zugang/Netz: SSH nur mit Schlüssel; Firewall auf die betriebsnotwendigen Dienste beschränkt (SSH, HTTP/HTTPS, E-Mail-Versand und -Empfang); Datenbank nur lokal erreichbar; rollenbasierte Sichtbarkeit in der Anwendung (Beschäftigte sehen nur sich selbst, erweiterte Sichten nur für Leitungsrollen).
• Digitale Personalakte: Zugriff auf Personalakten nur für Leitungsrollen mit Personalverantwortung (Personalmanagement, Geschäftsführung, Administrator — keine Teamleitung); dreistufige Sichtbarkeitssteuerung je Akteneintrag; die Selbstsicht des Beschäftigten wird serverseitig gefiltert (Ermahnungen/Abmahnungen erscheinen nicht in der App-Selbstsicht — Auskunft hierüber erfolgt über den personalaktenbezogenen Export, § 7 Abs. 2); Protokollierung der Aktenzugriffe im Audit-Log ohne Inhaltsdaten; automatisierte Fristenlöschung (§ 10 Abs. 2); Dokumenten-Upload (sofern aktiviert) mit Typ-Whitelist (PDF/JPEG/PNG), inhaltlicher Dateityp-Prüfung und Größenlimit (derzeit 10 MB); mandantengetrennte Speicherung (Row-Level-Security).
• Privilegierter Support-Zugriff (Betreiber): ausschließlich anlassbezogen auf Anforderung/Weisung des Auftraggebers (Supportfall-Referenz + Zweckbindung); Einmal-Token, zeitlich eng befristet (derzeit max. 12 Stunden), Step-up-Reauthentifizierung, vollständige Protokollierung von Erzeugung und Einlösung im Audit-Log — die Einlösung wird im Mandanten des Auftraggebers protokolliert, bevor der Zugriff wirksam wird; die Support-Sitzung ist für die handelnde Person des Auftragnehmers durchgehend als solche gekennzeichnet; Auskunft über erfolgte Support-Zugriffe auf Anfrage (Zeitpunkt, ausführende Person, Supportfall-Referenz und Zweck) im Rahmen der Aufbewahrungsdauer des Audit-Logs. Undokumentierte Support-Zugriffe sind unzulässig (Dokumentation: ausführende Person, Zeitpunkt/Dauer, Supportfall-Referenz, Tätigkeit). Der Zugriff ist weisungsgebundene Verarbeitung im Sinne des § 3.

2. Integrität

• Audit-Log sicherheitsrelevanter Ereignisse (Vorgang, Art der Aktivität, Zeitpunkt, ausführende Kennung); automatische Sicherheitsupdates; Anmelde-Drosselung; speicherhartes Passwort-Hashing (derzeit Argon2).

3. Verfügbarkeit / Belastbarkeit

• Regelmäßige (i. d. R. tägliche) verschlüsselte Datenbanksicherung mit externer Ablage; stichprobenartige Wiederherstellungstests. Transparente Grenze: Einzelserver-Betrieb ohne Hochverfügbarkeit — Belastbarkeit über Backup und Wiederherstellung.

4. Verschlüsselung

• TLS für alle Kunden-Hosts; Backup-Verschlüsselung; dokumentierte Schlüsselverwaltung.

5. Datensparsamkeit (Art. 25 DSGVO)

• Datenminimierte Push-Benachrichtigungen ohne unmittelbar identifizierende Angaben: auf dem Sperrbildschirm steht ausschließlich die Ereigniskategorie (z. B. „Neue Krankmeldung", „Neuer Antrag") — kein Name, kein Zeitraum, keine Notiz, keine Diagnose; die Zuordnung zu einer Person gibt es nur in der Anwendung hinter Anmeldung. Der E-Mail-Fallback an die Leitung bleibt vollständig inhaltsleer (auch ohne Kategorie), weil E-Mail unverschlüsselt zugestellt wird. Krankmeldung nur Typ und Zeitraum, keine Diagnosen; Limitierung erhobener Log- und Monitoring-Daten auf den erforderlichen Umfang (Privacy by Default).

6. Regelmäßige Überprüfung

• Maschinelles Isolations-Gate je Deployment; laufende Funktions- und Vertragsprüfungen; Änderungen der Maßnahmen nur nach § 5 Abs. 2.

Anlage 2 — Subunternehmer (§ 6)

E-Mail-Versand (Einladung, Passwort-Zurücksetzung, Benachrichtigungen) erfolgt über den eigenen Mailserver des Auftragnehmers auf eigener Infrastruktur — kein externer Subunternehmer.

Klarstellung Zahlungsdaten: Die Zahlungsabwicklung des Abonnements (Stripe) ist nicht Teil dieser Auftragsverarbeitung (Nebenleistung ohne Zugriff auf Beschäftigtendaten, § 6 Abs. 4) — insoweit ist der Auftragnehmer selbst Verantwortlicher (siehe Datenschutzerklärung).

Klarstellung App-Diagnose/-Telemetrie: Die optionale App-Diagnose der mobilen Apps (Firebase Analytics, Firebase Crashlytics und Firebase Performance Monitoring; nur nach ausdrücklichem Opt-in des jeweiligen Nutzers in der App, Standard: aus) betreibt der Auftragnehmer als eigener Verantwortlicher zur Produktverbesserung — sie ist nicht Teil dieser Auftragsverarbeitung; Einzelheiten enthält die Datenschutzerklärung der App. Die Web-Anwendung von Schichtfix bindet keine Analyse- oder Telemetriedienste ein; die Reichweitenmessung auf der Informations-Website schichtfix.de betrifft ausschließlich Website-Besucher und ist nicht Gegenstand dieses Vertrags.

Anlage 3 — Ansprechpartner und Weisungsbefugte

Auftragnehmer: Weisungsempfänger / Vertragskontakt: Michael Scheel, info@synergybytes.de. Datenschutz-Kontakt und Meldeweg für Datenschutzverletzungen (§ 8): info@synergybytes.de, Betreff „DATENSCHUTZ". Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht benannt — es besteht keine Benennungspflicht (§ 38 Abs. 1 BDSG, Art. 37 DSGVO); im Fall der Benennung oder von Änderungen der Kontaktdaten setzt der Auftragnehmer den Auftraggeber in Kenntnis.

Auftraggeber: weisungsbefugt ist die bei der Registrierung benannte vertretungsberechtigte Person; den Datenschutz-Kontakt (ggf. Datenschutzbeauftragten) benennt der Auftraggeber. Solange der Auftraggeber keinen abweichenden Kontakt benennt, gelten die bei der Registrierung hinterlegte Vertrags-E-Mail-Adresse als Zustell- und Melde-Adresse (§ 6 Abs. 2, § 8) und die bei der Registrierung benannte vertretungsberechtigte Person als weisungsbefugt. Wechsel benannter Personen werden der jeweils anderen Partei in Textform mitgeteilt.