Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO — Anlage zu den AGB von Skaron

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des Dienstes „Skaron". Er ist als Anlage Bestandteil des zwischen den Parteien bestehenden Hauptvertrags (AGB) und ist unter https://skaron.de/avv elektronisch abrufbar. Er wird geschlossen zwischen

dem Kunden (nachfolgend „Verantwortlicher") und

Skaron – Oliver Fesl, c/o Online-Impressum #9383, Europaring 90, 53757 Sankt Augustin (nachfolgend „Auftragsverarbeiter").

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung des Dienstes zur Schichtplanung.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln (im Rahmen der Zustellung von Benachrichtigungen), Löschen — jeweils mittels automatisierter Verfahren über die Infrastruktur des Auftragsverarbeiters.

(2) Zweck: Ermöglichung der Schichtplanung und der damit verbundenen Funktionen (Planerstellung, Mitarbeiter-Ansicht, Benachrichtigungen, Statistiken, Kalender-Anbindung) für den Verantwortlichen.

(3) Betroffene Personen: Beschäftigte des Verantwortlichen (einschließlich Aushilfen), die der Verantwortliche im Dienst anlegt.

(4) Kategorien personenbezogener Daten: - Stammdaten der Beschäftigten (Name, ggf. E-Mail-Adresse für den App-Zugang), - Planungsdaten (zugewiesene Schichten, Arbeitszeiten, Pausen, freie Tage), - Abwesenheitsdaten in Form eines bloßen Status (z. B. „Urlaub", „krank") ohne weitere Angaben, - Auswertungsdaten (Stunden- und Fehlzeitenübersichten).

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Der Dienst ist hierfür nicht bestimmt. In der Erfassung des bloßen Status „krank" kann ein Gesundheitsdatum im Sinne des Art. 9 DSGVO liegen. Der Verantwortliche stellt in diesem Fall das Vorliegen einer tragfähigen Rechtsgrundlage (insbesondere § 26 Abs. 3 BDSG) und die Zulässigkeit der Verarbeitung sicher. Diagnosen, Krankheitsursachen, Atteste oder sonstige medizinische Details sowie andere besondere Kategorien personenbezogener Daten dürfen im Dienst nicht eingegeben werden — auch nicht in Freitextfelder, Notizfelder oder Aushänge am Schwarzen Brett; der Verantwortliche stellt dies gegenüber seinen Nutzern sicher. Eine technische Inhaltskontrolle von Freitexten durch den Auftragsverarbeiter findet nicht statt.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO); in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, soweit nicht gesetzlich verboten.

(2) Die konfigurierende Nutzung des Dienstes durch den Verantwortlichen (z. B. Anlegen und Entfernen von Beschäftigten, Erstellen und Veröffentlichen von Plänen) gilt als dokumentierte Weisung. Darüber hinausgehende Einzelweisungen erfolgen in Textform an kontakt@skaron.de.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Umsetzung einer offensichtlich rechtswidrigen Weisung auszusetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Werden weitere Personen eingesetzt, verpflichtet er diese vor Aufnahme der Tätigkeit entsprechend.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft folgende Maßnahmen zur Sicherheit der Verarbeitung und hält sie während der Vertragsdauer aufrecht:

(1) Vertraulichkeit: - Transportverschlüsselung sämtlicher Verbindungen (TLS); - Speicherung von Passwörtern ausschließlich als kryptographischer Hash mit Salt (PBKDF2), niemals im Klartext; - Sitzungsverwaltung über HttpOnly-Cookies, die durch clientseitige Skripte nicht auslesbar sind; - mandantengetrennte Datenhaltung: jeder Markt ist logisch isoliert; die Zuordnung erfolgt serverseitig anhand der Sitzung, nicht anhand vom Client kontrollierter Angaben; - Ratenbegrenzung bei Anmeldeversuchen zum Schutz vor automatisierten Angriffen.

(2) Integrität: serverseitige Zugriffskontrolle bei jeder Anfrage; Schutz vor unbefugter Veränderung durch Rechte- und Rollentrennung (Administrator/Mitarbeiter).

(3) Verfügbarkeit und Belastbarkeit: Betrieb auf verteilter, redundanter Cloud-Infrastruktur; technische Sicherungen zur Wiederherstellung des Dienstes im Störungsfall.

(4) Datenschutzfreundliche Voreinstellungen und Datenminimierung: Fehlerprotokolle werden nur kurzzeitig vorgehalten und im Rahmen regulärer Zyklen überschrieben; darin enthaltene E-Mail-Adressen werden maskiert. Es findet kein Werbe-Tracking statt.

(5) Überprüfung: Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und passt sie dem Stand der Technik an. Die Maßnahmen können im Zuge der technischen Weiterentwicklung angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2, 4 DSGVO)

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter:

(2) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter Verträge, die ein dem vorliegenden Vertrag im Wesentlichen entsprechendes Schutzniveau gewährleisten (Art. 28 Abs. 4 DSGVO).

(3) Beabsichtigt der Auftragsverarbeiter einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters, informiert er den Verantwortlichen in Textform vorab. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen. Im Fall eines berechtigten Widerspruchs, der die Leistungserbringung unmöglich macht, ist jede Partei zur Kündigung des Hauptvertrags berechtigt.

§ 7 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO). Wenden sich betroffene Personen direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit erforderlich und unter Berücksichtigung der ihm vorliegenden Informationen.

(3) Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, in Textform an dessen hinterlegte Adresse.

§ 8 Kontroll- und Nachweisrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Kontrollen führt der Verantwortliche vorrangig durch Einholung der Dokumentation der technischen und organisatorischen Maßnahmen durch. Vor-Ort-Kontrollen erfolgen nur bei konkretem Anlass, nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und in einer den Betrieb möglichst wenig beeinträchtigenden Weise.

§ 9 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen.

(2) Bei sofortiger Selbstlöschung des Kontos durch den Verantwortlichen erfolgt die Löschung unverzüglich. Im Übrigen erfolgt die Löschung 7 Tage nach Beendigung (bei Beendigung der Testphase ohne Abonnement 7 Tage nach deren Ende, bei Kündigung eines Abonnements 7 Tage nach Ende des bezahlten Zugangszeitraums; vgl. AGB § 10). In die Betriebssicherung eingeflossene Kopien werden im Rahmen der regulären Sicherungszyklen überschrieben. Der Verantwortliche ist gehalten, benötigte Daten vor Vertragsende über die Funktionen des Dienstes zu exportieren.

(3) Löschungen innerhalb des Dienstes sind endgültig. Entfernt der Verantwortliche eine beschäftigte Person, löscht der Auftragsverarbeiter deren Namen unverzüglich aus allen Datenbeständen des Mandanten — einschließlich bereits veröffentlichter Pläne und der Veröffentlichungshistorie. Die zugehörigen Schichteinträge bleiben ohne Namensbezug unter einer neutralen Bezeichnung erhalten, damit vorhandene Pläne und Auswertungen nicht verfälscht werden. Eine Wiederherstellung des Namens ist technisch nicht vorgesehen. Der Verantwortliche stellt vor einer solchen Löschung selbst sicher, dass er Unterlagen, die er aufgrund gesetzlicher Pflichten (z. B. § 16 Abs. 2 ArbZG, § 17 MiLoG) weiter benötigt, über die Funktionen des Dienstes ausgeleitet hat; der Dienst bietet hierfür im Löschdialog einen Export an.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf die Datenverarbeitung vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Skaron – Oliver Fesl · kontakt@skaron.de · https://skaron.de