Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Vertragsparteien
Auftragsverarbeiter (Anbieter): der Anbieter (Betreiber von KIWIWI).
Verantwortlicher (Kunde): das nutzende Unternehmen gemäß seinen im Konto hinterlegten Stammdaten, das den Vertrag durch elektronische Zustimmung im Namen des Unternehmens abschließt.
1. Gegenstand, Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen zum Zweck der Bereitstellung der Zeiterfassungs-Software KIWIWI (Erfassung, Auswertung, Nachweis und Verwaltung von Arbeitszeiten, Abwesenheiten und zugehörigen Vorgängen). Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln (an den Verantwortlichen bzw. von ihm bestimmte Empfänger), Einschränken, Löschen und Vernichten.
2. Dauer
Die Verarbeitung erfolgt für die Laufzeit des Nutzungsvertrags (AGB). Sie endet mit dessen Beendigung; die Regelungen zu Löschung und Rückgabe (Ziffer 9) bleiben davon unberührt.
3. Art der Daten und Kategorien betroffener Personen
Betroffene Personen: Beschäftigte des Verantwortlichen (inkl. Aushilfen), ggf. weitere vom Verantwortlichen erfasste Personen.
Datenkategorien: Stammdaten (Name, Personalnummer, Portal-E-Mail), Zeitbuchungen (Kommen/Gehen/Pause als Event-Log), Abwesenheiten (Urlaub/Krank ohne Diagnose), Korrektur- und Urlaubsanträge, Arbeitszeitmodelle/Sollzeiten, RFID-Kartenkennungen sowie – nur bei ausdrücklicher Aktivierung durch den Verantwortlichen und auf dessen Rechtsgrundlage – optionale Foto-Stichproben beim Stempeln (Art. 9 DSGVO) und hochgeladene AU-Nachweise (Gesundheitsdaten, Art. 9 DSGVO). Details siehe Anlage 1.
4. Weisungsrecht des Verantwortlichen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software gemäß ihrer Funktionen und Einstellungen gilt als solche Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen; er darf die Ausführung bis zur Bestätigung aussetzen.
5. Pflichten des Auftragsverarbeiters
(a) Verarbeitung nur nach Weisung (Art. 28 Abs. 3 lit. a); Übermittlung in ein Drittland nur auf Weisung oder gesetzliche Verpflichtung. (b) Vertraulichkeit: zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29). (c) Datensicherheit: Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 (Anlage 2). (d) Unterstützung des Verantwortlichen bei Betroffenenrechten (Ziffer 7) und bei den Pflichten nach Art. 32–36. (e) Löschung/Rückgabe nach Vertragsende (Ziffer 9). (f) Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen (Ziffer 10).
6. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zur Einbindung der in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet Unterauftragnehmer auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4). Beabsichtigte Änderungen (Hinzunahme/Austausch) werden dem Verantwortlichen rechtzeitig mitgeteilt; er kann ihnen aus wichtigem datenschutzrechtlichem Grund widersprechen.
7. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Funktionen bei der Erfüllung von Betroffenenrechten (Art. 12–23), insbesondere durch Auskunft/Datenexport je Beschäftigtem, Berichtigung über die Verwaltungsfunktionen sowie Löschung bzw. – bei gesetzlicher Aufbewahrungspflicht – Anonymisierung.
8. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34).
9. Löschung und Rückgabe nach Vertragsende
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Daten oder gibt sie zurück (Export), sofern keine gesetzliche Aufbewahrungspflicht besteht. Zeitnachweise unterliegen gesetzlicher Aufbewahrung; ein Löschverlangen wird insoweit durch Anonymisierung erfüllt.
10. Nachweise und Überprüfungen
Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit (Art. 28 Abs. 3 lit. h). Überprüfungen erfolgen vorrangig durch Vorlage aktueller Nachweise/Dokumentation (Anlage 2, TOM-Konzept); Vor-Ort-Prüfungen sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten möglich.
11. Schlussbestimmungen
Es gilt deutsches Recht. Bei Widersprüchen gehen die Regelungen dieses Vertrags den AGB in Bezug auf die Auftragsverarbeitung vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Anlage 1 – Datenkategorien und betroffene Personen
Betroffene: Beschäftigte des Verantwortlichen. Kategorien: Stammdaten (Name, Personalnummer, Portal-E-Mail); Zeitbuchungen (Event-Log); Abwesenheiten (ohne Diagnosedaten); Korrektur-/Urlaubsanträge; Arbeitszeitmodelle; RFID-Kennungen; optional Foto-Stichproben und AU-Nachweise (Art. 9, nur bei Aktivierung/Einwilligung).
Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32)
Mandantentrennung serverseitig auf Query-Ebene; rollenbasierte Zugriffskontrolle; Passwörter und PINs mit argon2id gehasht; Transportverschlüsselung (TLS/HTTPS, HSTS); optionale Foto-Belege verschlüsselt (AES-GCM) und fristgebunden gelöscht; append-only Audit-Log; Zwei-Faktor-Authentisierung für Betreiberzugänge; regelmäßige Sicherungen; Hosting in der EU (Deutschland). Die vollständige, laufend gepflegte Darstellung enthält das Löschkonzept-/TOM-Dokument des Anbieters, das auf Anfrage bereitgestellt wird.
Anlage 3 – Unterauftragsverarbeiter
• Hetzner Online GmbH, Deutschland – Hosting/Infrastruktur (Rechenzentrum EU/DE).
• E-Mail-Versanddienst (Transaktions-/Systemmails) – gemäß Konfiguration des Anbieters; verarbeitet Kontakt-/Namensdaten zum Zweck des Nachrichtenversands.
• Fehler-Monitoring (nur falls aktiviert) – zur Stabilitätssicherung; auf Datenminimierung ausgelegt.
• Mollie B.V., Niederlande – Zahlungsabwicklung; verarbeitet Vertrags-/Zahlungsdaten des Verantwortlichen, nicht die Beschäftigtendaten.
Hinweis: Dieser Text ist ein anpassbarer Rahmen und ersetzt keine individuelle Rechtsberatung. Vor dem Livegang durch eine/n Datenschutzbeauftragte/n bzw. Anwält/in prüfen und die konkrete abrechnende Entität sowie die Unterauftragsverarbeiter final eintragen lassen.