Vertrag über die Auftragsverarbeitung personenbezogener Daten

Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (gemeinsam „Parteien“) bei der Verarbeitung personenbezogener Daten im Auftrag im Sinne des Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) im Zusammenhang mit der Nutzung der Software Tagesmappe.

Der Vertrag gilt für alle Tätigkeiten, bei denen der Auftragnehmer, seine Beschäftigten oder von ihm eingesetzte Unterauftragsverarbeiter personenbezogene Daten verarbeiten, die der Auftraggeber in Tagesmappe eingibt oder die durch die Nutzung entstehen („Auftragsdaten“).

Begriffe dieses Vertrags sind entsprechend ihrer Definition in der DSGVO zu verstehen. Erklärungen in „Textform“ im Sinne des § 126b BGB (z. B. E-Mail) genügen, soweit dieser Vertrag nichts anderes bestimmt.

Der Vertrag kommt zustande, indem der Auftraggeber ihm im Rahmen der Registrierung elektronisch zustimmt (Bestätigung des Kästchens „AV-Vertrag“). Die erklärende Person versichert, für den Auftraggeber vertretungsberechtigt zu sein. Der Auftragnehmer dokumentiert Zeitpunkt und Fassung der Zustimmung. Dies entspricht der elektronischen Form nach Art. 28 Abs. 9 DSGVO.

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag (Ziffer 2.2) gehen für die Verarbeitung personenbezogener Daten die Regelungen dieses Vertrags vor.

Nicht Gegenstand dieses Vertrags sind Verarbeitungen, bei denen der Auftragnehmer selbst über Zwecke und Mittel entscheidet, insbesondere die Vertragsabwicklung und Abrechnung mit dem Auftraggeber, der Nachweis erteilter Zustimmungen sowie die Gewährleistung der Sicherheit und Missbrauchsabwehr. Hierfür gelten die Datenschutzerklärung und die Ergänzenden Datenschutzhinweise des Auftragnehmers.

Der Auftragnehmer stellt dem Auftraggeber die cloudbasierte Software Tagesmappe zur Arbeitszeiterfassung sowie zur Urlaubs- und Abwesenheitsverwaltung bereit (Software-as-a-Service). Dabei verarbeitet er Daten der Beschäftigten des Auftraggebers ausschließlich in dessen Auftrag.

Grundlage ist der zwischen den Parteien bestehende Nutzungsvertrag über Tagesmappe, geregelt in den „Allgemeinen Geschäftsbedingungen mit Kundeninformationen“ des Auftragnehmers einschließlich des Annexes „Regelungen zum Anbieterwechsel“ und der Leistungsbeschreibung in der bei Vertragsschluss geltenden Fassung („Hauptvertrag“).

Die Verarbeitung beginnt mit Vertragsschluss (einschließlich der Testphase) und läuft bis zur Beendigung des Hauptvertrags. Die Regelungen zu Rückgabe und Löschung (§ 11) gelten darüber hinaus, bis sie vollständig erfüllt sind. Während der Sperrung nach Ziffer 11.1 beschränkt sich die Verarbeitung auf die Speicherung, die Einsicht durch die Nutzer des Auftraggebers, den Datenexport nach Ziffer 11.2 und die Löschung nach Ziffer 11.3.

Art der Verarbeitung: Erfassen (durch Eingaben der Nutzer), Speichern, Ordnen, Abfragen, Verwenden, Berechnen und Verknüpfen (z. B. Arbeitszeiten, Urlaubsansprüche, Feiertage), Offenlegung durch Übermittlung (E-Mail-Benachrichtigungen an Nutzer des Auftraggebers), Einschränken und Löschen.

Zweck der Verarbeitung: Bereitstellung der Funktionen von Tagesmappe, nämlich Erfassung von Arbeitszeiten, Beantragung, Genehmigung und Verwaltung von Urlaub, Sonderurlaub und Krankmeldungen, Berechnung von Urlaubsansprüchen und Resturlaub, Team-Übersichten sowie Nutzerverwaltung und Einladungen. Der Auftraggeber verfolgt damit die Vereinfachung seiner Verwaltung und die Erfüllung eigener Dokumentations- und Organisationspflichten.

Folgende Kategorien personenbezogener Daten werden verarbeitet:

Tagesmappe verarbeitet als Gesundheitsdatum ausschließlich den Abwesenheitsgrund Krankheit nach Ziffer 3.3 lit. f. Diagnosen, Arbeitsunfähigkeitsbescheinigungen (AU-Bescheinigungen) und sonstige Gesundheitsangaben werden nicht erfasst. Tagesmappe bietet hierfür weder Freitextfelder noch eine Upload-Funktion. Der Auftraggeber und seine Nutzer dürfen solche Angaben auch nicht auf anderem Weg (z. B. in Namens- oder sonstigen Eingabefeldern) in Tagesmappe eingeben.

Hinweis an den Auftraggeber: Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung von Gesundheitsdaten seiner Beschäftigten verantwortlich. Er prüft selbst, ob eine Rechtsgrundlage besteht, insbesondere Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit dem jeweils anwendbaren nationalen Recht (in Deutschland z. B. § 26 Abs. 3 BDSG). Der Auftragnehmer übernimmt keine Prüfung der Rechtsgrundlage und erbringt keine Rechtsberatung.

Betroffene Personen sind Beschäftigte des Auftraggebers (auch deaktivierte), Inhaber und Geschäftsleitung als Nutzer sowie zur Nutzung eingeladene Personen.

Der Auftragnehmer verarbeitet die Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unions- oder mitgliedstaatliches Recht zu einer bestimmten Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen von Tagesmappe durch den Auftraggeber gelten als Weisungen.

Der Auftragnehmer verwendet die Auftragsdaten nicht für eigene Zwecke, insbesondere nicht für Werbung, und gibt sie nicht an Dritte weiter, außer an Unterauftragsverarbeiter nach § 7.

Der Auftragnehmer gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung erfolgt in Textform und wirkt über das Ende der Tätigkeit hinaus. Diese Personen werden vor Beginn der Tätigkeit mit den maßgeblichen Datenschutzbestimmungen und diesem Vertrag vertraut gemacht.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung von Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde, und stellt die dafür erforderlichen Angaben bereit. Er führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

Anfragen betroffener Personen, die den Auftragnehmer unmittelbar erreichen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, außer auf Weisung des Auftraggebers. Soweit der Auftraggeber die Rechte betroffener Personen nicht selbst über die Funktionen von Tagesmappe erfüllen kann, unterstützt der Auftragnehmer ihn mit geeigneten technischen und organisatorischen Maßnahmen.

Wird der Auftraggeber von einer Aufsichtsbehörde oder einer anderen Stelle kontrolliert oder machen betroffene Personen Ansprüche geltend, unterstützt der Auftragnehmer ihn im erforderlichen Umfang, soweit die Verarbeitung im Auftrag betroffen ist.

Datenschutz beim Auftragnehmer: Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht. Ansprechperson für Datenschutzfragen ist Gary Lewis Burke, E-Mail: info@tagesmappe.de.

Die Auftragsdaten werden in der Europäischen Union gespeichert und verarbeitet (Hosting in Frankreich). Ein Zugriff aus einem Drittland, der eine Übermittlung darstellt (derzeit nur beim Monitoring-Dienst nach Anlage 2 möglich), erfolgt nur nach Maßgabe von Kapitel V DSGVO und mit Zustimmung des Auftraggebers. Die Zustimmung gilt für die in Anlage 2 genannten Fälle als erteilt.

Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen. Zu einer eigenen rechtlichen Prüfung von Weisungen ist er nicht verpflichtet.

Der Auftragnehmer setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen um (Art. 32 DSGVO). Sie sind das vereinbarte Mindestniveau.

Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Der Auftragnehmer dokumentiert wesentliche Änderungen und stellt dem Auftraggeber auf Anfrage die aktuelle Fassung von Anlage 1 zur Verfügung.

Die Auftragsdaten werden logisch von den Daten anderer Auftraggeber getrennt. Kopien, die über Datensicherungen und technisch notwendige, temporäre Vervielfältigungen hinausgehen, werden nicht angelegt.

Die Verarbeitung darf auch im Rahmen mobiler Arbeit oder im Homeoffice erfolgen, sofern dabei die Maßnahmen nach Anlage 1 eingehalten werden.

Den internen Zugriff auf Gesundheitsdaten (Ziffer 3.3 lit. f) beschränkt der Auftragnehmer auf das für Betrieb und Support erforderliche Minimum.

Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der Auftragsdaten nur auf Weisung des Auftraggebers ein. Der Auftraggeber kann Daten im Rahmen der Funktionen von Tagesmappe selbst ändern; darüber hinausgehende Weisungen erteilt er nach Anlage 3.

Wird ein Mitarbeiter im Konto entfernt (deaktiviert), bleiben dessen Arbeitszeit- und Urlaubsdaten zu Berichtszwecken im Konto erhalten, bis der Auftraggeber die Löschung anweist oder der Vertrag endet. Die Verantwortung für die Festlegung von Aufbewahrungs- und Löschfristen im Verhältnis zu seinen Beschäftigten liegt beim Auftraggeber.

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO), die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.

Beabsichtigt der Auftragnehmer, Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Auftraggeber in Textform (E-Mail an die hinterlegte Adresse des Inhabers) mindestens 14 Tage vor dem Einsatz und nennt die für eine Entscheidung erforderlichen Angaben. Ist dies nicht möglich, weil der Auftragnehmer selbst erst später informiert wird, erfolgt die Information unverzüglich nach seiner Kenntnis. Der Auftraggeber kann innerhalb von 7 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Die Parteien suchen dann eine gemeinsame Lösung. Gelingt dies nicht innerhalb von 30 Tagen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Ohne Einspruch gilt die Änderung nach Fristablauf als genehmigt.

Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus und schließt mit ihnen einen Vertrag, der ihnen im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag (Art. 28 Abs. 4 DSGVO). Die Verantwortlichkeiten sind klar abzugrenzen.

Auf Verlangen gibt der Auftragnehmer Auskunft über die Unterauftragsverarbeiter und stellt eine Kopie der Unterauftragsverarbeitungsverträge zur Verfügung. Geschäftsgeheimnisse und sonstige vertrauliche Informationen darf er vorher schwärzen.

Erbringt ein Unterauftragsverarbeiter die Verarbeitung nicht ausschließlich in der EU bzw. im EWR, ist dies nur zulässig, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln der EU-Kommission). Der Auftragnehmer teilt dem Auftraggeber die jeweilige Garantie mit.

Der Auftragnehmer haftet dem Auftraggeber für die Erfüllung der Pflichten der Unterauftragsverarbeiter und informiert ihn, wenn ein Unterauftragsverarbeiter seine Pflichten nicht erfüllt.

Keine Unterauftragsverhältnisse sind Nebenleistungen ohne Zugriff auf Auftragsdaten (z. B. Telekommunikation, Post, Reinigung, Steuerberatung). Ebenso ist der Zahlungsdienstleister, der ausschließlich Abrechnungsdaten des Auftraggebers als Vertragspartner verarbeitet, kein Unterauftragsverarbeiter für Auftragsdaten.

Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO. Er ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung, für die Wahrung der Rechte betroffener Personen und für die Erfüllung der Informationspflichten gegenüber seinen Beschäftigten (Art. 13, 14 DSGVO).

Der Auftraggeber verwaltet seine Nutzer und Berechtigungen in Tagesmappe sorgfältig, hält Zugangsdaten geheim, gibt nur die für den Zweck erforderlichen Daten ein und informiert den Auftragnehmer unverzüglich über Fehler oder Unregelmäßigkeiten. Er stellt sicher, dass seine Nutzer keine Gesundheitsangaben über den Abwesenheitsgrund Krankheit hinaus eingeben (Ziffer 3.4), und vergibt die Rolle „Inhaber“ nur an Personen, die zur Kenntnis von Gesundheitsdaten der Beschäftigten befugt sind (z. B. Geschäftsleitung oder Personalverantwortliche).

Der Auftraggeber erteilt Weisungen in Textform. In Eilfällen sind mündliche Weisungen zulässig; sie werden unverzüglich in Textform bestätigt.

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus diesem Vertrag erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO). Der Auftraggeber berücksichtigt dabei vorhandene Zertifizierungen und Prüfberichte des Auftragnehmers und seiner Unterauftragsverarbeiter.

Überprüfungen vor Ort finden nur statt, soweit die Informationen nach Ziffer 8.4 nicht genügen, nach Ankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten, ohne vermeidbare Störung des Betriebs und höchstens einmal in 12 Monaten, es sei denn, es liegen Anhaltspunkte für einen Verstoß oder eine Datenschutzverletzung vor oder eine Aufsichtsbehörde ordnet sie an. Der Prüfer ist zur Verschwiegenheit zu verpflichten und darf kein Wettbewerber des Auftragnehmers sein. Die Prüfung erstreckt sich nicht auf Daten anderer Auftraggeber und nicht auf die Rechenzentren der Unterauftragsverarbeiter; insoweit genügen deren Zertifizierungen und Prüfberichte. Die Kosten der Prüfung trägt der Auftraggeber.

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Kenntnis, nach Möglichkeit innerhalb von 48 Stunden, an die hinterlegte E-Mail-Adresse des Inhabers. Begründete Verdachtsfälle sind ebenfalls zu melden.

Die Meldung enthält, soweit bekannt: Art der Verletzung mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, Ansprechperson, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Sind nicht alle Angaben sofort verfügbar, können sie schrittweise nachgereicht werden.

Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an Aufsichtsbehörden und betroffene Personen übernimmt der Auftraggeber, es sei denn, der Auftragnehmer ist gesetzlich selbst dazu verpflichtet.

Der Auftragnehmer informiert den Auftraggeber unverzüglich über erhebliche Störungen, über Verstöße gegen diesen Vertrag oder Datenschutzvorschriften sowie über Kontrollen oder Maßnahmen von Behörden, soweit sie die Auftragsverarbeitung betreffen.

Der Auftraggeber hat im Rahmen des Vertragszwecks ein umfassendes Weisungsrecht. Die zur Erteilung und Entgegennahme von Weisungen befugten Personen sind in Anlage 3 benannt.

Bei einem Wechsel oder einer längeren Verhinderung der benannten Personen teilt die jeweilige Partei der anderen unverzüglich Nachfolger oder Vertreter mit.

Endet der Hauptvertrag (Ablauf des bezahlten Abrechnungszeitraums nach Kündigung oder fehlgeschlagener Zahlung) oder endet die Testphase ohne Abschluss eines Abonnements, wird das Konto in einen Lesemodus versetzt („Sperrung“). Im Lesemodus können sich der Inhaber und die Mitarbeiter weiterhin anmelden und alle Auftragsdaten einsehen; Änderungen, Neueingaben und Löschungen sind nicht mehr möglich. Die Sperrung erfolgt bei Ablauf der Testphase mit sofortiger Wirkung für den Zugriff; der für die Löschfrist maßgebliche Zeitpunkt der Sperrung wird durch einen täglichen automatisierten Lauf in der darauffolgenden Nacht festgehalten.

Der Auftraggeber kann über die Kontoeinstellungen jederzeit, auch während der Kündigungsfrist und im Lesemodus bis zum Ablauf der Löschfrist nach Ziffer 11.3, selbst eine vollständige Kopie seiner Auftragsdaten herunterladen. Der Export steht Nutzern mit der Rolle „Inhaber“ zur Verfügung und erfolgt als ZIP-Archiv in einem gängigen, maschinenlesbaren Format (CSV-Dateien je Datenkategorie sowie eine JSON-Datei mit allen Kategorien und einer Beschreibung aller Felder). Die Feldbeschreibung ist zusätzlich unter www.tagesmappe.de/data-schema/ veröffentlicht. Ein Antrag beim Auftragnehmer ist hierfür nicht erforderlich. Ergänzend gelten die Regelungen zum Anbieterwechsel im Annex der AGB.

Der Auftragnehmer löscht die Auftragsdaten vollständig aus der Datenbank, sobald das Konto länger als 30 Tage gesperrt ist („Löschfrist“), sofern nicht zuvor eine frühere Löschung angewiesen wurde. Die Löschfrist beginnt mit dem Zeitpunkt der Sperrung nach Ziffer 11.1. Die Löschung erfolgt durch einen täglichen automatisierten Lauf; eine Anonymisierung oder Aufbewahrung von Platzhalterdatensätzen findet nicht statt. Bis zur Löschung kann der Auftraggeber das Konto jederzeit durch Abschluss eines Abonnements wieder freischalten; da bis dahin keine Daten gelöscht wurden, stehen ihm sämtliche Auftragsdaten und Funktionen wieder zur Verfügung. Mit der Freischaltung entfällt die Sperrung und eine spätere Löschfrist beginnt erst mit einer erneuten Sperrung.

Automatische Datensicherungen werden rollierend überschrieben (tägliche Sicherungen nach 7 Tagen, wöchentliche nach 4 Wochen). Manuelle Sicherungen legt der Auftragnehmer nur im Einzelfall an und löscht sie nach Zweckerfüllung. Bis zum Überschreiben erfolgt keine weitere Verarbeitung der Sicherungen außer ihrer Wiederherstellung bei Datenverlust; die Löschung wird in diesem Fall erneut durchgeführt.

Eine Aufbewahrung über diese Fristen hinaus erfolgt nur, soweit Unions- oder mitgliedstaatliches Recht sie vorschreibt oder soweit sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Die Daten sind dann in ihrer Verarbeitung einzuschränken.

Der Auftragnehmer stellt sicher, dass Unterauftragsverarbeiter die Daten ebenfalls löschen, und bestätigt dem Auftraggeber die Löschung auf Verlangen in Textform.

Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen auch über das Vertragsende hinaus aufbewahren. Hierzu zählen insbesondere Nachweise über erteilte Zustimmungen (E-Mail-Adresse, IP-Adresse, Zeitpunkt der Zustimmung, Dokumentart, Prüfsumme des akzeptierten Textes sowie Zeitpunkt der Sperrung des Kontos). Diese Nachweise werden bei der Löschung nach Ziffer 11.3 getrennt von den Auftragsdaten in einem Archiv ohne Verknüpfung zum Konto gespeichert, auf das nur der Auftragnehmer Zugriff hat. Sie werden drei Jahre nach dem Ende des Kalenderjahres, in dem das Konto gesperrt wurde, automatisch gelöscht, sofern sie nicht im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen länger erforderlich sind.

Die Vergütung ist im Hauptvertrag abschließend geregelt. Für Unterstützungsleistungen nach diesem Vertrag, die über den üblichen Umfang hinaus erheblichen Aufwand verursachen (z. B. individuelle Prüfungen, Auswertungen oder Weisungen außerhalb des Funktionsumfangs), kann der Auftragnehmer eine angemessene Vergütung nach Aufwand verlangen, wenn er dies vorher in Textform angekündigt hat. Der Datenexport nach Ziffer 11.2 und der Wechselprozess nach dem Annex „Regelungen zum Anbieterwechsel“ der AGB sind davon ausgenommen; hierfür wird keine Vergütung berechnet (Ziffer 10 des Annexes).

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.

Im Verhältnis der Parteien zueinander haftet jede Partei nach dem Maß ihrer Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO). Im Übrigen gelten, soweit gesetzlich zulässig, die Haftungsregelungen des Hauptvertrags (AGB).

Der Auftragnehmer haftet nicht für Schäden, die durch die weisungsgemäße Verarbeitung entstehen, es sei denn, er hat die Rechtswidrigkeit der Weisung erkannt und den Auftraggeber nicht nach Ziffer 4.9 darauf hingewiesen.

Der Auftraggeber kann den Hauptvertrag und diesen Vertrag fristlos kündigen, wenn der Auftragnehmer in erheblichem Maße gegen Datenschutzvorschriften oder diesen Vertrag verstößt, eine rechtmäßige Weisung nicht ausführen kann oder will oder die Kontrollrechte nach § 8 vertragswidrig verweigert.

Hat der Auftragnehmer die Verarbeitung nach Ziffer 4.9 ausgesetzt und wird die Rechtmäßigkeit der Weisung nicht innerhalb einer angemessenen Frist hergestellt, ist der Auftraggeber zur Kündigung berechtigt.

Bei nicht erheblichen Verstößen setzt der Auftraggeber dem Auftragnehmer zunächst eine angemessene Frist zur Abhilfe (mindestens 14 Tage). Erst nach fruchtlosem Fristablauf besteht das Kündigungsrecht.

Beide Parteien behandeln Geschäftsgeheimnisse und Sicherheitsmaßnahmen der anderen Partei auch über die Vertragsbeendigung hinaus vertraulich.

Werden Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (z. B. Pfändung, Beschlagnahme) oder ein Insolvenzverfahren gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich.

Änderungen und Ergänzungen bedürfen der Textform. Wesentliche Änderungen dieses Vertrags, die aufgrund von Rechtsänderungen oder behördlichen Vorgaben erforderlich sind, teilt der Auftragnehmer dem Auftraggeber mindestens 30 Tage vor Wirksamkeit mit und holt seine Zustimmung ein (z. B. durch erneute Bestätigung in der Anwendung). Verweigert der Auftraggeber die Zustimmung, kann jede Partei den Hauptvertrag zum Ende des laufenden Abrechnungszeitraums kündigen.

Ein Zurückbehaltungsrecht nach § 273 BGB an den Auftragsdaten ist ausgeschlossen.

Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach dem Hauptvertrag.

Maßgeblich ist die deutsche Fassung. Übersetzungen dienen nur dem Verständnis. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt.

Zutrittskontrolle: Anwendung und Datenbank werden bei Scalingo gehostet (Anlage 2) in Rechenzentren in Frankreich; der physische Zutritt obliegt dem Hoster bzw. dessen Rechenzentrumsbetreiber, der nach eigenen Angaben ein zertifiziertes Informationssicherheits-Managementsystem betreibt. Der Auftragnehmer betreibt keine eigenen Serverräume. Zum Arbeitsplatz des Auftragnehmers siehe Ziffer 5.2.

Zugangskontrolle: Individuelle Benutzerkonten mit E-Mail-Adresse und Passwort; verpflichtende Bestätigung der E-Mail-Adresse; Passwortrichtlinie (Mindestlänge, Ausschluss häufiger, rein numerischer und dem Nutzernamen ähnlicher Passwörter); Speicherung von Passwörtern nur als Hash; Schutz vor Brute-Force-Angriffen durch Sperre nach 5 fehlgeschlagenen Anmeldeversuchen für 1 Stunde; Ratenbegrenzung sensibler Funktionen; Sitzungscookies mit Attributen HttpOnly, Secure und SameSite. Administrative Zugänge des Auftragnehmers (Konten bei Hoster, E-Mail-Versand- und Monitoring-Dienst sowie die Verwaltungsoberfläche der Anwendung) sind personengebunden; die Verwaltungsoberfläche ist durch dieselbe Brute-Force-Sperre geschützt. Zwei-Faktor-Authentifizierung ist aktiviert für die Konten beim Hoster (Scalingo), E-Mail-Versand-Dienst (Brevo), Monitoring-Dienst (Sentry), Zahlungsdienstleister (Stripe) und Domain-Registrar.

Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (Inhaber, Mitarbeiter). Mitarbeiter sehen nur ihre eigenen Daten, Inhaber nur Daten ihres eigenen Kontos; die Kontozugehörigkeit wird bei jedem Zugriff serverseitig geprüft. Zugriff des Auftragnehmers auf Produktivdaten nur, soweit für Betrieb und Support erforderlich.

Trennungskontrolle: Logische Trennung der Daten verschiedener Auftraggeber nach Konto. Entwicklung und Tests erfolgen ausschließlich mit Testdaten, nicht mit Produktivdaten.

Datensparsamkeit und Anonymisierung: Keine Erfassung von Diagnosen oder Freitextfeldern zu Abwesenheiten. Fehlerüberwachung mit deaktivierter Übermittlung von Standard-Personendaten; Daten mit Gesundheitsbezug werden nicht an den Monitoring-Dienst übermittelt. Vollständige Löschung nach Ablauf der Löschfrist ohne Anonymisierung oder Platzhalterdatensätze (siehe Ziffer 4).

Weitergabekontrolle: Verschlüsselte Übertragung (HTTPS erzwungen mit Weiterleitung von HTTP, HSTS, Secure-Cookies, Schutz-Header wie X-Frame-Options, X-Content-Type-Options und Referrer-Policy). Weitergabe von Auftragsdaten nur an die Unterauftragsverarbeiter in Anlage 2. Zahlungsdaten werden über das eingebettete Stripe-Checkout erfasst und nicht auf Systemen des Auftragnehmers verarbeitet.

Eingabekontrolle: Datensätze werden einem Nutzerkonto zugeordnet und mit Zeitstempel versehen; Genehmigungen von Abwesenheiten werden mit entscheidender Person und Zeitpunkt festgehalten; Zustimmungen werden mit Zeitpunkt protokolliert.

Datensicherung: Automatische Datenbanksicherungen durch den Hoster: täglich (7 Tage rollierend) und wöchentlich (4 Wochen rollierend), gespeichert in Frankreich.

Überwachung: Fehlerüberwachung über Monitoring-Dienst (Anlage 2); darüber hinaus Überwachung der Verfügbarkeit im Rahmen des Betriebs.

Schwachstellenmanagement: Abhängigkeiten werden regelmäßig aktualisiert und auf bekannte Schwachstellen geprüft; Sicherheitsupdates werden zeitnah eingespielt.

Wiederherstellung und Notfall: Die Wiederherstellung aus den Sicherungen des Hosters ist möglich. Meldeprozess bei Datenschutzverletzungen nach § 9.

Lesemodus: Gesperrte Konten (§ 11.1) werden serverseitig auf Lesezugriff beschränkt. Schreibende Anfragen werden abgewiesen; ausgenommen sind lediglich die für Anmeldung, Abmeldung, Spracheinstellung, Abonnementabschluss und Datenexport erforderlichen Funktionen. Konten mit abgelaufener Testphase sind bereits vor dem nächtlichen Lauf schreibgeschützt.

Automatisierte Löschroutine: Täglich sperrt ein erster Lauf (01:00 Uhr) Konten mit abgelaufener Testphase; ein zweiter Lauf (02:00 Uhr) löscht anschließend jedes Konto, das länger als die Löschfrist (§ 11.3) gesperrt ist, vollständig. Gelöscht werden die Nutzerkonten und Profile aller Nutzer des Kontos, die Arbeitszeit- und Abwesenheitsdaten, Urlaubsansprüche, Überträge und Resturlaub, der Verlauf von Arbeitsort (Bundesland) und Wochenendarbeit, die gespeicherten E-Mail-Adressen und Verifizierungsdaten, offene Einladungen, die Unternehmensdaten, die Anmeldeprotokolle (Benutzername, IP-Adresse, Browserkennung) der Nutzer sowie das Konto selbst. Anmeldeprotokolle werden unabhängig davon spätestens 30 Tage nach dem jeweiligen Ereignis gelöscht. Die Löschung eines Kontos erfolgt jeweils in einer einzigen Datenbanktransaktion. Status und Sperrzeitpunkt werden dabei erneut geprüft, sodass ein zwischenzeitlich wieder freigeschaltetes Konto nicht gelöscht wird.

Zustimmungsnachweise: Vor der Löschung werden die Zustimmungsnachweise der Nutzer in ein separates Archiv ohne Verknüpfung zum Konto überführt (§ 11.7). Das Archiv ist nur dem Auftragnehmer über einen schreibgeschützten administrativen Zugang zugänglich und wird von derselben täglichen Routine nach Ablauf der dort genannten Frist gelöscht.

Sorgfältige Auswahl und Kontrolle der Unterauftragsverarbeiter; Überprüfung dieser Maßnahmen und der Unterauftragsverarbeiter mindestens jährlich; Verpflichtung der eingesetzten Personen auf Vertraulichkeit.

Mobiles Arbeiten: Einsatz ausschließlich dienstlich genutzter Geräte, die nach dem Stand der Technik gegen unbefugten Zugriff gesichert und aktuell gehalten werden; Produktivdaten werden nicht lokal gespeichert.

Eingeschränkte Sichtbarkeit: Den Abwesenheitsgrund sehen nur Nutzer mit der Rolle „Inhaber“ (Verwaltung bzw. Personalverantwortliche) sowie die betroffene Person selbst. Mitarbeiter haben keinen Zugriff auf Abwesenheiten anderer Mitarbeiter, weder auf den Abwesenheitsgrund noch auf die Abwesenheit als solche. Die Berechtigung wird bei jedem Zugriff serverseitig geprüft.

Datenminimierung: Erfasst wird nur die Kategorie „Krankmeldung“ mit Zeitraum. Es gibt keine Freitextfelder und keine Upload-Funktion für Abwesenheiten; Diagnosen und AU-Bescheinigungen können nicht hinterlegt werden. E-Mail-Benachrichtigungen enthalten die Abwesenheitsart nicht. Gesundheitsdaten werden nicht an den Monitoring-Dienst übermittelt.

Verschlüsselung: Die Übertragung zwischen Browser und Anwendung erfolgt ausschließlich verschlüsselt (HTTPS erzwungen, HSTS; Ziffer 2.1).

Protokollierung: Zu jeder Abwesenheit werden der Zeitpunkt der Erfassung sowie die entscheidende Person und der Zeitpunkt der Genehmigung oder Ablehnung gespeichert (Ziffer 2.2).

Interner Zugriff des Auftragnehmers: Nur soweit für Betrieb und Support erforderlich (§ 5.5). Der Datenexport (§ 11.2), der auch den Abwesenheitsgrund enthält, steht nur Nutzern mit der Rolle „Inhaber“ zur Verfügung.