Auftragsverarbeitungsvertrag^v1

Parteien

• Auftraggeber (Verantwortlicher): das Unternehmen, das sich bei ShiftNexo registriert hat (Name und Vertretungsberechtigte laut Registrierung).
• Auftragnehmer (Auftragsverarbeiter): [ Name oder Firma, Anschrift, vertretungsberechtigte Person des Betreibers ]

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Anwendung ShiftNexo zur technischen Schicht- und Personalplanung bereit (Hauptvertrag: die Nutzungsbedingungen). Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftragnehmer dabei im Auftrag des Auftraggebers vornimmt.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus § 10 (Löschung und Rückgabe) bestehen darüber hinaus fort.

(3) Der Auftraggeber kann diesen Vertrag ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen diesen Vertrag vorliegt.

§ 2 Art und Zweck der Verarbeitung

Art: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an den Auftraggeber, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.

Zweck:

• Planung und Darstellung von Schichten, Rotationsgruppen und Einzelzuweisungen
• Beantragung, Prüfung und Genehmigung von Urlaub, V-Tagen und weiteren Abwesenheiten
• Führung der Urlaubs-, V-Tage-, Altersfreizeit- und Stundenkonten
• Erfassung von Abwesenheiten und Fehlzeiten
• Prüfung der Mindest- und Sollbesetzung je Schicht und Tag
• Benachrichtigungen zu Anträgen und Änderungen
• Einrichtung, Verwaltung und Absicherung der Benutzerzugänge

Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers – insbesondere zu Werbe-, Analyse- oder Profilbildungszwecken oder zur Weitergabe an Dritte – findet nicht statt. Eigene Verantwortlichkeit des Auftragnehmers besteht nur für die in Abschnitt 1 der Datenschutzerklärung genannten Betriebs- und Vertragsdaten.

§ 3 Betroffene Personen

• Beschäftigte des Auftraggebers, deren Arbeitszeit über die Anwendung geplant wird
• Führungskräfte (Schichtleitung) und Administratoren des Auftraggebers

§ 4 Kategorien personenbezogener Daten

• Stammdaten: Vor- und Nachname, Personalnummer, Rolle, Schichtgruppe, Eintritts-/Austrittsdatum, Kennzeichen Auszubildende/r, Qualifikationen, Status aktiv/inaktiv; E-Mail-Adresse (bei eingerichtetem Zugang); freiwillig: Telefon, Abteilung, Geburtsdatum
• Planungs- und Abwesenheitsdaten: Schichtzuordnung je Tag, Urlaubsansprüche und -konten, V-Tage, Altersfreizeit und Stundenkonten, Anträge mit Zeitraum, Art, Status, Entscheidung und freiwilliger Begründung, Abwesenheiten mit Art, Fehlzeiten mit Stunden und freiwilliger Notiz, Kommentare im Schichtplan, Benachrichtigungen
• Datenschutz-Einstellungen: Sichtbarkeitswahl, Fassung und Zeitpunkt der Kenntnisnahme, Zeitpunkte von Freigabe und Widerruf
• Zugangs- und Protokolldaten: E-Mail-Adresse, Passwort-Hash, Sitzungsdaten, Zeitpunkt der letzten Anmeldung, Änderungsprotokoll, gesalzene Hashwerte für die Ratenbegrenzung, technische Zugriffsprotokolle der Dienstleister (IP-Adresse, Zeitstempel, Pfad, Browserkennung)
• Besondere Kategorien (Art. 9 DSGVO): Zu Krankheit wird ausschließlich die Tatsache der Abwesenheit („krank“) gespeichert. Diagnosen, Bescheinigungen und sonstige Gesundheitsangaben sind nicht vorgesehen und vom Auftraggeber nicht einzutragen, auch nicht in Freitextfeldern

§ 5 Weisungen

(1) Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Dieser Vertrag und die Nutzung der Anwendung durch den Auftraggeber sind die Erstweisung.

(2) Weitere Weisungen erteilt der Auftraggeber in Textform an [ Kontaktadresse des Auftragnehmers ]. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt sind die Administratoren des Auftraggebers.

(3) Der Auftragnehmer weist den Auftraggeber unverzüglich darauf hin, wenn er eine Weisung für datenschutzrechtswidrig hält, und darf sie bis zur Bestätigung oder Änderung aussetzen.

§ 6 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich,

• Daten nur im Rahmen dieses Vertrags und der Weisungen zu verarbeiten;
• alle zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO);
• die technischen und organisatorischen Maßnahmen nach § 8 zu treffen und aufrechtzuerhalten;
• den Auftraggeber bei Betroffenenrechten (§ 9), Datenschutz-Folgenabschätzungen und Konsultationen (Art. 35, 36 DSGVO) zu unterstützen;
• den Auftraggeber unverzüglich zu informieren, wenn eine Aufsichtsbehörde beim Auftragnehmer Maßnahmen ergreift, die ihn betreffen können;
• Nachweise nach § 11 zu erbringen;
• nach Vertragsende Daten nach Wahl des Auftraggebers herauszugeben oder zu löschen (§ 10);
• ein Verzeichnis nach Art. 30 Abs. 2 DSGVO zu führen.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase, Inc. (USA) – Datenbank, Authentifizierung, Serverfunktionen für den Mailversand. Ort der Verarbeitung: Region eu-west-1 (Irland, EU).
• Vercel, Inc. (USA) – Auslieferung der Anwendung, Serverfunktionen. Ort der Verarbeitung der Serverfunktionen: Region dub1 (Dublin, Irland, EU); Anfragen laufen über das Edge-Netzwerk des Anbieters.
• Mailversand: [ SMTP-Anbieter mit Sitz und Region eintragen – oder streichen ]

(2) Stamm-, Planungs- und Abwesenheitsdaten werden in der Datenbank bei Supabase in Irland gespeichert.

(3) Soweit ein Unterauftragsverarbeiter Daten in einem Drittland verarbeitet oder ein Zugriff von dort möglich ist, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO mit ergänzenden Maßnahmen. [ Betreiber: Abschluss der Auftragsverarbeitungsverträge mit den genannten Anbietern und aktuellen Zertifizierungs-/Klauselstand bestätigen ]

(4) Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Pflichten auferlegt wie diesen Vertrag.

(5) Beabsichtigte Änderungen der Unterauftragsverarbeiter teilt der Auftragnehmer mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; dann steht ihm ein Sonderkündigungsrecht nach § 1 Abs. 3 zu.

§ 8 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutritt: Die Verarbeitung findet in Rechenzentren der Unterauftragsverarbeiter statt; der Auftragnehmer betreibt keine eigenen Server. Zutrittsschutz und Zertifizierungen der Rechenzentren richten sich nach den Angaben der Anbieter.
• Zugang: Anmeldung über persönliche Konten mit E-Mail und Passwort (Passwörter nur als Hash); Begrenzung von Anmelde-, Zurücksetzen- und Registrierungsversuchen; automatische Abmeldung nach Inaktivität, je nach Rolle (Administration 15 Minuten, Schichtleitung 8 Stunden, Mitarbeiter 12 Stunden).
• Zugriff und Trennung: Mandantentrennung durch eine Unternehmenskennung in jedem Datensatz, durchgesetzt in der Datenbank (Row Level Security in PostgreSQL), nicht nur in der Oberfläche; abgestuftes Rollenmodell (Mitarbeiter, Schichtleitung, Administration); kritische Änderungen (Rollen, Zuordnungen) nur serverseitig mit Prüfung.
• Weitergabe: Übertragung ausschließlich verschlüsselt (TLS, HSTS); keine Übermittlung an Dritte außer den Unterauftragsverarbeitern.
• Eingabe: Anträge und Entscheidungen werden mit Zeitstempel und entscheidender Person gespeichert; sicherheitsrelevante Änderungen werden ohne Gesundheitsinhalte im Änderungsprotokoll festgehalten.
• Verfügbarkeit: Sicherungen der Datenbank durch den Dienstleister; Wiederherstellbarkeit im Rahmen des gebuchten Tarifs.
• Datenminimierung und Voreinstellung: keine Diagnosen oder Gesundheitsfreitexte, Abwesenheitsgründe für Kolleginnen und Kollegen standardmäßig verborgen, Krankheit standardmäßig privat.
• Überprüfung: automatisierte Prüfskripte für Zugriffsregeln und Mandantentrennung sowie die Sicherheitshinweise des Datenbankanbieters nach Änderungen am Schema.

Der Auftragnehmer entwickelt die Maßnahmen weiter. Änderungen sind zulässig, solange das Schutzniveau nicht unterschritten wird.

§ 9 Betroffenenrechte

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst. Berichtigung, Löschung oder Einschränkung erfolgen nur auf Weisung.

§ 10 Löschung und Rückgabe

(1) Nach Vertragsende gibt der Auftragnehmer nach Wahl des Auftraggebers alle Daten in einem gängigen maschinenlesbaren Format heraus oder löscht sie.

(2) Der Auftraggeber teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit. Ohne Mitteilung werden die Daten nach Ablauf weiterer 30 Tage gelöscht.

(3) Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen des Dienstleisters überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 11 Nachweise und Überprüfung

(1) Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage nach – vorrangig durch Auskunft, Dokumentation der Maßnahmen und Zertifikate oder Prüfberichte der Unterauftragsverarbeiter.

(2) Reichen diese Nachweise nicht aus, kann der Auftraggeber nach Ankündigung (mindestens zwei Wochen) zu üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist, prüfen. Überprüfungen finden höchstens einmal jährlich statt, außer bei konkretem Anlass.

§ 12 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Kenntniserlangung, regelmäßig innerhalb von 48 Stunden, über jede Verletzung des Schutzes personenbezogener Daten.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Der Auftragnehmer unterstützt den Auftraggeber bei Meldungen nach Art. 33 und 34 DSGVO; die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt dem Auftraggeber.

§ 13 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen richtet sich die Haftung nach den Nutzungsbedingungen (Abschnitt „Haftung“); die dort genannten unbeschränkten Haftungstatbestände bleiben unberührt.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform. (2) Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt. (3) Bei Widersprüchen zu den Nutzungsbedingungen gilt für die Verarbeitung personenbezogener Daten dieser Vertrag. (4) Es gilt deutsches Recht.