Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO gilt zwischen dem Unternehmen, das plexitime nutzt (Verantwortlicher, „Kunde“), und Fabio Klein, Am Felde 9, 21217 Seevetal (Auftragsverarbeiter, „wir“). Er ist Bestandteil des Vertrags über plexitime (AGB § 10) und wird mit ihm geschlossen; die Textform genügt (Art. 28 Abs. 9 DSGVO).

Gegenstand ist der Betrieb von plexitime für den Kunden: Verwaltungsbereich, Mitarbeiter-Portal, Handy-App und Stempeluhr am Tablet. Der Vertrag läuft so lange wie der Vertrag über plexitime und endet mit ihm; § 10 gilt darüber hinaus.

Wir speichern die Daten, zeigen sie den berechtigten Personen an, berechnen daraus Sollzeiten, Salden, Zuschlagsstunden und Urlaubsstände, erstellen Exporte und verschicken Benachrichtigungen per E-Mail. Zweck ist die Erfassung und Auswertung der Arbeitszeiten und die Verwaltung von Abwesenheiten im Betrieb des Kunden.

Betroffen sind die Beschäftigten des Kunden einschließlich Aushilfen, Minijobber und Auszubildender sowie seine Admins und Teamleitungen.

• Stammdaten: Name, auf Wunsch Personalnummer und E-Mail-Adresse, Team und Rolle
• Arbeitszeitmodell: Wochenstunden, Arbeitstage, Urlaubsanspruch, auf Wunsch der Stundenlohn
• Arbeitszeiten: Beginn, Ende und Pausen jeder Schicht und wo gestempelt wurde (Tablet, Handy, Büro)
• Abwesenheiten: Art, Zeitraum, Notizen und Genehmigung — bei Krankheit nur die Tatsache und die Dauer, keine Diagnose
• Zugangsdaten: PIN als Hashwert, Geräteschlüssel der Handy-App (Cookie «zeit_geraet», bei uns nur als Hashwert), Gerätebezeichnung und letzte Nutzung

Die Angabe, dass jemand krank ist, ist ein Gesundheitsdatum (Art. 9 DSGVO). Standortdaten, Diagnosen und biometrische Daten verarbeiten wir nicht.

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland, es sei denn, das Recht der EU oder Deutschlands verpflichtet uns dazu; dann teilen wir ihm das vorher mit, soweit das erlaubt ist.

Weisungen erteilt der Kunde durch diesen Vertrag, durch seine Einstellungen in plexitime und im Einzelfall in Textform. Hält eine Weisung unserer Ansicht nach gegen Datenschutzrecht, sagen wir es ihm unverzüglich.

• Wer bei uns Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet.
• Die Daten liegen auf Servern in Deutschland. Eine Verarbeitung außerhalb der EU und des EWR findet nicht statt.
• Wir unterstützen den Kunden bei Anfragen Betroffener, bei Datenschutz-Folgenabschätzungen und bei seinen Pflichten aus Art. 32 bis 36 DSGVO, soweit es uns möglich und zumutbar ist.
• Eine Verletzung des Schutzes der Daten melden wir dem Kunden unverzüglich nach Kenntnis, mit den Angaben, die er für seine Meldung nach Art. 33 DSGVO braucht.

• Rechenzentrum: Hosting bei der ALL-INKL.COM – Neue Medien Münnich in Deutschland.
• Übertragung: nur verschlüsselt über HTTPS, mit HSTS erzwungen.
• Zugang zum CMS: Anmeldung mit Passwort und zweitem Faktor (TOTP), begrenzte Anmeldeversuche je IP und Konto, sichere Sitzungs-Cookies.
• Trennung: Jedes Unternehmen hat einen eigenen Mandanten; jede Abfrage ist auf ihn beschränkt.
• Rollen: Admins, Teamleitungen und Mitarbeitende sehen nur, was ihre Rolle erlaubt. Die Art einer Abwesenheit sehen nur die Person selbst, die Admins, ihre Teamleitung und deren Vertretung; im Teamkalender steht nur «abwesend».
• Stempeln: PINs und Geräteschlüssel nur als Hashwert; das Tablet sperrt nach mehreren Fehlversuchen kurz. Ein verlorenes Handy kann im Verwaltungsbereich abgemeldet werden.
• Zugriff durch uns: Hat der Kunde eigene Admins, ist der Bereich Zeiterfassung für uns gesperrt. Ein Notfallzugang wird nur auf Bitte des Kunden geöffnet, gilt höchstens 24 Stunden, wird protokolliert und allen Admins per E-Mail gemeldet.

Wir passen die Maßnahmen dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

Der Kunde stimmt dem Einsatz dieses Unterauftragsverarbeiters zu:

• ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland: Webserver, Datenbank und E-Mail-Versand

Einen neuen oder anderen Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichen Grund widersprechen; finden wir keine Lösung, kann er den Vertrag zum Zeitpunkt des Wechsels kündigen. Unterauftragsverarbeitern erlegen wir dieselben Datenschutzpflichten auf wie uns in diesem Vertrag.

Auskunft, Berichtigung, Löschung und Einschränkung gewährt der Kunde. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an ihn weiter. Vieles kann der Kunde in plexitime selbst erledigen, etwa Daten berichtigen oder exportieren; was er dort nicht kann, setzen wir auf seine Weisung um.

Auf Anfrage geben wir dem Kunden die Informationen, die er zum Nachweis der Pflichten aus Art. 28 DSGVO braucht. Überprüfungen durch ihn oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer ermöglichen wir nach angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

Nach Vertragsende kann der Kunde seine Daten noch 30 Tage lang exportieren. Danach löschen wir sie, soweit uns nicht das Recht der EU oder Deutschlands zur Aufbewahrung verpflichtet. Auf Wunsch bestätigen wir die Löschung in Textform.

Der Kunde ist dafür verantwortlich, dass die Verarbeitung zulässig ist: dass er seine Beschäftigten informiert, die Rechtsgrundlage hat und, soweit vorhanden, den Betriebsrat beteiligt. Stellt er Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, sagt er es uns unverzüglich.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB. Widersprechen sich dieser Vertrag und die AGB in Fragen des Datenschutzes, geht dieser Vertrag vor. Ansprechpartner für den Datenschutz ist Fabio Klein, f.klein@webvanta.de.