gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)
Zwischen
dem Kunden der Plattform — der Person oder dem Unternehmen, das ein Konto auf
stundenaufzeichnung.de betreibt — (nachfolgend „Verantwortlicher“)
und
Ara8 Solutions GmbH, Boschstraße 5, 82178 Puchheim, Deutschland,
eingetragen im Handelsregister des Amtsgerichts München unter HRB 244495,
vertreten durch den Geschäftsführer Muhamad Wahdan
(nachfolgend „Auftragsverarbeiter“)
— gemeinsam die „Parteien“ —
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen eine cloudbasierte Multi-Tenant-SaaS-Plattform für die Bereiche Personalwesen, Zeiterfassung, Kundenbeziehungsmanagement (CRM) und Buchhaltung zur Verfügung.
(2) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung dieser Plattform im Auftrag und nach Weisung des Verantwortlichen vornimmt.
(3) Zweck der Verarbeitung ist ausschließlich die Erbringung der im Hauptvertrag (Nutzungsvereinbarung) vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters — insbesondere zu Werbe-, Profilbildungs-, Verkaufs- oder KI-Trainingszwecken — findet nicht statt.
(4) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung innerhalb der Plattform, Einschränken, Löschen und Vernichten.
(5) Ort der Verarbeitung ist die Bundesrepublik Deutschland; im Übrigen gilt § 4 Abs. 5.
(6) Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 9 (Löschung und Rückgabe) und § 11 (Vertraulichkeit) bestehen über das Vertragsende hinaus fort.
(1) Kreis der betroffenen Personen: Beschäftigte (Mitarbeiter, Aushilfen, Auszubildende) des Verantwortlichen, Bewerber, Kunden und Gäste, Lieferanten und Geschäftspartner des Verantwortlichen sowie die Nutzer, die der Verantwortliche selbst für den Zugang zur Plattform anlegt.
(2) Datenkategorien:
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als solche Weisung gelten insbesondere dieser Vertrag, der Hauptvertrag sowie die vom Verantwortlichen innerhalb der Plattform vorgenommenen Einstellungen und Eingaben.
(2) Mündliche oder anderweitig formlose Weisungen bestätigt der Verantwortliche unverzüglich in Textform (E-Mail genügt).
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen (Art. 28 Abs. 3 Satz 3 DSGVO).
(4) Ist der Auftragsverarbeiter nach dem Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet, informiert er den Verantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(1) Vertraulichkeit. Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus fort.
(2) Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter ergreift die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 2 beschrieben. Er darf sie fortentwickeln, darf dabei aber das vereinbarte Schutzniveau nicht unterschreiten; wesentliche Änderungen teilt er dem Verantwortlichen in Textform mit.
(3) Unterstützung des Verantwortlichen. Der Auftragsverarbeiter
unterstützt den Verantwortlichen im Rahmen des Zumutbaren und unter
Berücksichtigung der Art der Verarbeitung bei
a) der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO, siehe § 5),
b) der Sicherheit der Verarbeitung (Art. 32),
c) der Meldung von Datenschutzverletzungen (Art. 33, 34, siehe § 6),
d) Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36).
(4) Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legt es dem Verantwortlichen oder der Aufsichtsbehörde auf Anforderung vor.
(5) Ansprechpartner. Datenschutzanfragen richtet der Verantwortliche an support@stundenaufzeichnung.de. Der Auftragsverarbeiter benennt einen betrieblichen Datenschutzbeauftragten, sobald die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) vorliegen, und teilt dessen Kontaktdaten unverzüglich mit.
(6) Trennung. Die Daten des Verantwortlichen werden von Daten anderer Kunden logisch getrennt verarbeitet und gespeichert (Mandantentrennung, siehe Anlage 2 Ziffer 1).
(7) Berichtigung, Einschränkung und Löschung. Der Auftragsverarbeiter berichtigt, schränkt ein oder löscht Daten nur auf Weisung des Verantwortlichen — es sei denn, er ist gesetzlich zu einem anderen Vorgehen verpflichtet.
(1) Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an den Auftragsverarbeiter, so beantwortet dieser den Antrag nicht selbst, sondern leitet ihn unverzüglich an den Verantwortlichen weiter und weist die betroffene Person auf dessen Zuständigkeit hin.
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen Mitteln bei der Erfüllung solcher Anträge. Die Plattform stellt hierfür Funktionen zur Datenauskunft und zum Datenexport bereit.
(3) Für Unterstützungsleistungen, die über die in der Plattform bereitstehenden Funktionen hinausgehen und die nicht auf einem Fehler oder einer Pflichtverletzung des Auftragsverarbeiters beruhen, kann dieser eine angemessene Vergütung nach seinen jeweils gültigen Sätzen verlangen. Er weist auf die Kostenpflicht vor Ausführung hin.
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich in Textform (Art. 33 Abs. 2 DSGVO).
(2) Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Gegenmaßnahmen sowie einen Ansprechpartner.
(3) Sind die Angaben nicht sofort vollständig verfügbar, meldet der Auftragsverarbeiter zunächst den bekannten Sachverhalt und ergänzt ihn unverzüglich.
(4) Der Auftragsverarbeiter dokumentiert alle Verletzungen einschließlich der ergriffenen Abhilfemaßnahmen und stellt die Dokumentation dem Verantwortlichen auf Anforderung zur Verfügung.
(5) Meldungen an die Aufsichtsbehörde und Benachrichtigungen der betroffenen Personen nimmt allein der Verantwortliche vor, sofern die Parteien nichts anderes vereinbaren.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung — Hinzuziehung oder Ersetzung — mindestens vier Wochen im Voraus in Textform. Die jeweils aktuelle Liste ist unter stundenaufzeichnung.de/avv.html abrufbar.
(3) Der Verantwortliche kann einer Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Widerspricht er, sind die Parteien zunächst gehalten, eine einvernehmliche Lösung zu suchen. Kommt eine solche nicht zustande und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in gleicher Qualität erbringen, steht dem Verantwortlichen ein Sonderkündigungsrecht des Hauptvertrages zum Zeitpunkt der Umstellung zu.
(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für deren Einhaltung wie für eigenes Handeln.
(5) Drittlandübermittlung. Die Verarbeitung der in § 2 genannten Beschäftigten- und Unternehmensdaten findet ausschließlich in Rechenzentren innerhalb der Bundesrepublik Deutschland statt. Soweit einzelne, in Anlage 1 gesondert gekennzeichnete Dienste eine Übermittlung in ein Drittland mit sich bringen, erfolgt diese nur auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO) oder geeigneter Garantien nach Art. 46 DSGVO — insbesondere der EU-Standardvertragsklauseln nebst Übermittlungs-Folgenabschätzung.
(6) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und die keinen Zugriff auf personenbezogene Daten des Verantwortlichen eröffnen (z. B. Telekommunikation, Reinigung, Wartung ohne Datenzugriff).
(1) Der Auftragsverarbeiter weist dem Verantwortlichen die Einhaltung der
Pflichten aus diesem Vertrag nach (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis
kann geführt werden durch
a) die Vorlage dieser Anlage 2 nebst aktueller Beschreibung der Maßnahmen,
b) die Vorlage von Testaten, Berichten oder Berichtsauszügen unabhängiger
Stellen (z. B. Wirtschaftsprüfer, Datenschutzauditoren) oder geeigneter
Zertifizierungen,
c) eine Selbstauskunft in Textform.
(2) Genügen diese Nachweise nicht, kann der Verantwortliche eine Vor-Ort-Überprüfung durchführen oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Überprüfung ist mit angemessener Vorlaufzeit — in der Regel vier Wochen — während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs anzukündigen, höchstens einmal jährlich; bei konkretem Anlass (etwa nach einer Datenschutzverletzung) auch anlassbezogen und kurzfristig.
(3) Der Auftragsverarbeiter kann einen Prüfer ablehnen, der bei einem Wettbewerber beschäftigt ist. Betriebs- und Geschäftsgeheimnisse sowie Daten anderer Kunden sind von der Einsichtnahme ausgenommen; die Prüfung darf die Mandantentrennung nicht durchbrechen.
(4) Für den Aufwand einer Vor-Ort-Überprüfung, die nicht durch einen begründeten Verdacht oder eine Pflichtverletzung des Auftragsverarbeiters veranlasst ist, kann dieser eine angemessene Vergütung verlangen; er weist vorher darauf hin.
(1) Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
(2) Der Verantwortliche teilt seine Wahl vor Vertragsende mit. Trifft er keine Wahl, gilt Folgendes: Das Konto wird mit Vertragsende gesperrt und zur Löschung vorgemerkt. Es gilt eine Karenzfrist von 30 Tagen, in der der Verantwortliche einen vollständigen Datenexport anfordern und die Löschung widerrufen kann. Nach Ablauf der Karenzfrist werden die Daten gelöscht.
(3) Daten, für die eine gesetzliche Aufbewahrungsfrist läuft — insbesondere nach § 257 HGB und § 147 AO —, werden nicht gelöscht, sondern für jede weitere Verarbeitung gesperrt und nach Fristablauf gelöscht.
(4) Sicherungskopien werden nach dem in Anlage 2 Ziffer 6 beschriebenen Rhythmus überschrieben; eine gezielte Einzellöschung innerhalb bestehender Sicherungen ist technisch nicht möglich und auch nicht geschuldet. Der Auftragsverarbeiter stellt sicher, dass gesperrte oder gelöschte Daten aus Sicherungen nicht in den Produktivbetrieb zurückgelangen.
(5) Die Löschung wird dokumentiert und dem Verantwortlichen auf Anforderung in Textform bestätigt.
(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrages, soweit dieser Vertrag nichts Abweichendes bestimmt.
(2) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO.
(3) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich; dies gilt insbesondere für die Rechtsgrundlage der Verarbeitung, die Information der Beschäftigten und die Zulässigkeit der von ihm erteilten Weisungen.
(1) Die Parteien behandeln alle im Zusammenhang mit diesem Vertrag erlangten Kenntnisse von Betriebs- und Geschäftsgeheimnissen sowie personenbezogenen Daten vertraulich und verwenden sie ausschließlich zur Durchführung des Vertrages.
(2) Diese Pflicht besteht nach Vertragsende unbefristet fort.
(1) Änderungen und Ergänzungen dieses Vertrages einschließlich der Anlagen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit es die Verarbeitung personenbezogener Daten betrifft.
(3) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
(5) Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus diesem Vertrag der Sitz des Auftragsverarbeiters.
Der Auftragsverarbeiter setzt für die Erbringung der vertraglichen Leistung folgende Unterauftragsverarbeiter ein. Fett hervorgehoben ist, ob die Beschäftigtendaten aus § 2 betroffen sind.
| Unternehmen | Verarbeitungsort | Zweck und betroffene Daten |
|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland |
Falkenstein & Nürnberg (Deutschland) | Bereitstellung der Server-Infrastruktur, PHP-Laufzeitumgebung und primäre Speicherung der mandantenspezifischen JSON- und MariaDB-Datenbankstrukturen; tägliche automatisierte, verschlüsselte Sicherungen. Betrifft alle Daten aus § 2. |
| Neue Medien Münnich (All-Inkl.com) Inh. René Münnich Hauptstraße 68, 02742 Friedersdorf, Deutschland |
Dresden & Frankfurt am Main (Deutschland) | Versand der Transaktions-E-Mails (Einladungen, Passwort-Zurücksetzung, Benachrichtigungen) über SMTP. Betrifft Name und E-Mail-Adresse der angeschriebenen Person sowie den Nachrichtentext. |
| Stripe Payments Europe Ltd. 1 Grand Canal Street Lower, Dublin, Irland |
Irland (EU) | Abwicklung der Zahlungen bei zahlungspflichtigen Plänen. Betrifft nur die Rechnungs- und Zahlungsdaten des Verantwortlichen selbst, keine Beschäftigtendaten. Fällt nur an, wenn ein kostenpflichtiger Plan gebucht wird. |
| Google Ireland Ltd. Gordon House, Barrow Street, Dublin 4, Irland Mutterkonzern Google LLC, USA |
Irland (EU); Konzernzugriff aus den USA nicht ausgeschlossen — Drittlandbezug | Anmeldung über ein Google-Konto („Mit Google anmelden“), sofern die Nutzerin oder der Nutzer diesen Weg selbst wählt. Übermittelt werden ausschließlich E-Mail-Adresse und Konto-Kennung. Keine Beschäftigtendaten. Wird der Weg nicht gewählt, fließen keine Daten. |
| Cloudflare, Inc. 101 Townsend St., San Francisco, CA 94107, USA EU-Vertretung: Cloudflare Germany GmbH, München |
USA — Drittland | Prüfdienst „Turnstile“ zum Schutz der Registrierung vor automatisierten Anmeldungen. Übermittelt werden IP-Adresse und technische Browser-Merkmale der sich registrierenden Person. Keine Beschäftigtendaten. |
| Anthropic PBC San Francisco, CA, USA |
USA — Drittland | KI-gestützter Hilfe-Chat in der Anwendung. Übermittelt werden die eingegebene Frage, der bisherige Chat-Verlauf und Auszüge aus den eigenen Hilfetexten. Der Hilfe-Chat weist ausdrücklich darauf hin, dort keine personenbezogenen oder sensiblen Daten einzugeben. Keine Beschäftigtendaten aus § 2, soweit der Hinweis befolgt wird. |
Für die mit Drittland gekennzeichneten Dienste stützt sich die Übermittlung auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bzw. — soweit einschlägig — auf einen Angemessenheitsbeschluss der EU-Kommission. Keiner dieser Dienste erhält Beschäftigtendaten im Sinne von § 2.
| Rolle | Kontakt |
|---|---|
| Auftragsverarbeiter, allgemein | Ara8 Solutions GmbH, Boschstraße 5, 82178 Puchheim · support@stundenaufzeichnung.de · 089 – 21 54 57 54 |
| Datenschutzanfragen und Meldungen nach § 6 | support@stundenaufzeichnung.de |
| Verantwortlicher | Die im Kundenkonto hinterlegten Kontaktdaten |