Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag wird geschlossen zwischen:

Auftragsverarbeiter
Matthias Papst
TeamStamp
Zugspitzstraße 7
83395 Freilassing
Deutschland

– nachfolgend „Auftragsverarbeiter“ –

und

dem jeweiligen Nutzer der Software „TeamStamp“, sofern dieser personenbezogene Daten Dritter verarbeitet,

– nachfolgend „Verantwortlicher“ –

(1) Dieser Vertrag wird elektronisch geschlossen.

(2) Die Zustimmung erfolgt durch aktive Bestätigung (Checkbox) im Rahmen der Registrierung oder im Kundenbereich.

(3) Mit der Zustimmung bestätigt der Verantwortliche, dass er personenbezogene Daten im Sinne der DSGVO verarbeitet und TeamStamp als Auftragsverarbeiter einsetzt.

(4) Die jeweils gültige Version ist im Kundenbereich einsehbar und versioniert.

(1) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der webbasierten Software „TeamStamp“.

(2) Die Verarbeitung dient der Bereitstellung einer SaaS-Lösung zur Arbeitszeitverwaltung und organisatorischen Unterstützung.

(3) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrages über die Nutzung von TeamStamp.

Die Verarbeitung umfasst insbesondere:

• Speicherung und Verwaltung von Arbeitszeitdaten
• Verwaltung von Organisations- und Planungsdaten
• Benutzerverwaltung
• Authentifizierung und Zugriffskontrolle
• IT-Sicherheitsmaßnahmen
• Nutzung des integrierten KI-Hilfe-Assistenten
• Supportleistungen

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters erfolgt nicht.

Je nach Nutzung können folgende Datenarten betroffen sein:

• Stammdaten (Name, E-Mail-Adresse)
• Beschäftigtendaten
• Arbeitszeit- und Planungsdaten
• Login- und Protokolldaten
• Kommunikationsdaten innerhalb der Anwendung
• Inhalte, die im KI-Assistenten eingegeben werden

• Mitarbeiter des Verantwortlichen
• Nutzerkontoinhaber
• ggf. weitere durch den Verantwortlichen eingetragene Personen

Der Auftragsverarbeiter verpflichtet sich:

1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
2. die Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO sicherzustellen;
3. geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen;
4. den Verantwortlichen bei der Wahrung von Betroffenenrechten gemäß Art. 12–23 DSGVO zu unterstützen;
5. Datenschutzverletzungen unverzüglich mitzuteilen;
6. nach Vertragsende personenbezogene Daten zu löschen oder zurückzugeben;
7. dem Verantwortlichen erforderliche Informationen zur Verfügung zu stellen, um die Einhaltung der DSGVO nachzuweisen.

Der Auftragsverarbeiter gewährleistet insbesondere:

• TLS-/HTTPS-Verschlüsselung der Datenübertragung
• rollenbasierte Zugriffskontrollen
• sichere Authentifizierungsmechanismen
• Serverbetrieb über gesicherte Rechenzentren
• Einsatz von Firebase App Check zur Missbrauchsvermeidung
• Protokollierung sicherheitsrelevanter Ereignisse
• regelmäßige Sicherheitsupdates
• Zugriffsbeschränkung nach dem Need-to-know-Prinzip

Der Verantwortliche stimmt dem Einsatz folgender Subunternehmer zu:

Google Ireland Limited – Hosting (Firebase), Infrastruktur, Gemini API
Stripe Payments Europe Ltd. – Zahlungsabwicklung

Der Auftragsverarbeiter stellt sicher, dass mit allen Subunternehmern datenschutzkonforme Vereinbarungen gemäß Art. 28 DSGVO bestehen.

Sofern eine Übermittlung personenbezogener Daten in Drittländer erfolgt, geschieht dies ausschließlich auf Grundlage:

• EU-Standardvertragsklauseln
• Angemessenheitsbeschlüssen der EU-Kommission
• oder anderer geeigneter Garantien gemäß Art. 44 ff. DSGVO

Der Verantwortliche ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Datenerhebung
• die Information der betroffenen Personen
• die Wahrung der Betroffenenrechte
• die Prüfung der Erforderlichkeit einer Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen im technisch möglichen und zumutbaren Rahmen bei:

• Auskunftsersuchen
• Löschbegehren
• Berichtigungen
• Einschränkungen der Verarbeitung
• Datenübertragbarkeit

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des schutzes personenbezogener Daten.

(2) Die Meldung enthält mindestens:

• Art der Verletzung
• betroffene Datenkategorien
• voraussichtliche Auswirkungen
• ergriffene oder geplante Gegenmaßnahmen

(1) Nach Beendigung des Hauptvertrags werden personenbezogene Daten gelöscht oder – auf Wunsch – in einem gängigen, maschinenlesbaren Format bereitgestellt.

(2) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags in angemessenem Umfang zu überprüfen.

(2) Prüfungen haben unter Wahrung von Geschäfts- und Betriebsgeheimnissen zu erfolgen.

(3) Vor-Ort-Prüfungen sind mit angemessener Vorankündigung zulässig.

(1) Die Haftung richtet sich nach Art. 82 DSGVO.

(2) Im Übrigen gelten die Haftungsregelungen der AGB von TeamStamp.

(1) Änderungen dieses Vertrags bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt.

(3) Es gilt deutsches Recht.