⚠️ Entwurf — unbedingt anwaltlich prüfen. Dies ist wegen der Gesundheitsdaten (Art. 9 DSGVO) das kritischste Dokument; die TOMs in Anlage 1 sind vor Unterschrift gegen den tatsächlichen Stand zu bestätigen.
dem Betrieb [Firmierung, Anschrift des Kunden]
– nachfolgend „Verantwortlicher" –
und
Pia Kaden – VITAPEOPLE (Einzelunternehmen), Ferdinand-Happ-Straße 25, 60314 Frankfurt am Main
– nachfolgend „Auftragsverarbeiter" –
wird folgender Vertrag geschlossen. Er konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung im Rahmen der Nutzung des „VITAPEOPLE Personalcockpit" (Hauptvertrag/AGB).
(1) Gegenstand: Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zum Betrieb der SaaS-Anwendung „VITAPEOPLE Personalcockpit" (Erfassung, Speicherung, Auswertung von Personal-/Lohndaten). (2) Dauer: Der Vertrag läuft für die Dauer des Hauptvertrags. (3) Art und Zweck: Speicherung und Verarbeitung der vom Verantwortlichen eingegebenen Daten zur Bereitstellung der Funktionen (Personalkosten-, Lohn-, Einsatz-, Abwesenheits-, Dokumenten- und Rechnungsverwaltung).
Kinderfreibeträge, Konfession (Kirchensteuer), Bankverbindung (IBAN), Arbeitszeiten, Zuschläge, Reisekosten.
elektronischen Arbeitsunfähigkeitsbescheinigung (eAU) und **hochgeladene Krankmeldungen (Belege)**. *(Hinweis: Die Arbeitgeber-eAU enthält keine Diagnose; die Erhebung ist datensparsam gestaltet.)*
Einreichungen, Vermerke, elektronische (nicht qualifizierte) Unterschriften.
Die Verarbeitung von Art.-9-Daten erfolgt zu den Zwecken des Beschäftigungs- verhältnisses; die dafür erforderliche Rechtsgrundlage (insb. § 22 BDSG, Art. 9 Abs. 2 lit. b DSGVO) stellt der Verantwortliche sicher.
(1) Der Auftragsverarbeiter verarbeitet die Daten **ausschließlich auf dokumentierte Weisung** des Verantwortlichen, einschließlich Übermittlungen in Drittländer — es sei denn, er ist gesetzlich verpflichtet; dann teilt er dies vor der Verarbeitung mit (soweit erlaubt). (2) Die Bedienung der Anwendung durch den Verantwortlichen gilt als Weisung. Ergänzende Weisungen sind in Textform an kaden@vitapeople.de zu richten. (3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheit unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen und hält sie auf dem Stand der Technik. Änderungen dürfen das Schutzniveau nicht unterschreiten.
(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. (2) Weitere/andere Unterauftragsverarbeiter setzt der Auftragsverarbeiter nur nach vorheriger Information ein; der Verantwortliche kann aus wichtigem Grund widersprechen. (3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten.
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei:
Einschränkung, Datenübertragbarkeit),
Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung).
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten mit den verfügbaren Informationen (Art. 33 Abs. 2 DSGVO).
Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die Daten oder gibt sie – nach Wahl des Verantwortlichen – zurück (CSV-Export vorhanden) und löscht bestehende Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Dies umfasst auch die gestaffelten Sicherungen (spätestens nach deren regulärem Ablauf).
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Auskünfte oder geeignete Nachweise; Vor-Ort-Prüfungen nach angemessener Vorankündigung.
Für den Ersatz von Schäden, die einer betroffenen Person wegen einer nicht der DSGVO entsprechenden Verarbeitung entstehen, haften Verantwortlicher und Auftragsverarbeiter nach Maßgabe des Art. 82 DSGVO.
(1) Änderungen und Ergänzungen dieses Vertrags einschließlich seiner Anlagen bedürfen der Textform; dies gilt auch für die Änderung dieses Textformerfordernisses. (2) Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit des Vertrags im Übrigen unberührt (salvatorische Klausel). (3) Es gilt deutsches Recht. Bei Widerspruch zwischen Hauptvertrag und diesem Vertrag gehen für die Auftragsverarbeitung die Regelungen dieses Vertrags vor.
Ort, Datum: __________ Verantwortlicher: __________ Auftragsverarbeiter: __________
(Aus dem tatsächlichen System abgeleitet — vor Unterschrift bestätigen.)
Vertraulichkeit
Kunde, Betreiber); Passwörter nur als scrypt-Hash gespeichert (nie Klartext), Vergleich zeitkonstant; Anmeldebremse (zunehmende Wartezeit ab 5 Fehlversuchen, gedeckelt) gegen Rateangriffe; Sitzungs-Token mit 256 Bit.
Betriebskennung stammt ausschließlich aus der Sitzung, nie aus der Anfrage; reduzierte Datensichten je Rolle (Mitarbeiter sehen nur eigene Daten, Kunden nur eigene Einsätze/Rechnungen).
gebunden**; abrufbar nur für die berechtigte Verwaltung bzw. die betroffene Person; Dateityp-/Größenbegrenzung; Schutz gegen Pfad-Manipulation.
Integrität
Content-Security-Policy, X-Frame-Options: DENY, nosniff.
Einträgen serverseitig gestempelt (fälschungssicher).
(kein Supply-Chain-Risiko).
Verfügbarkeit und Belastbarkeit
(vor jedem Zurückholen wird der aktuelle Stand gesichert); gestaffelte Aufbewahrung.
Sicherheitsupdates des Betriebssystems.
Verfahren zur regelmäßigen Überprüfung
Zugriffsschutz) laufen bei jeder Einrichtung mit.
Anmeldungen werden aufgezeichnet.
Datenminimierung / Art. 9
Abruf und Nachweis Nötige.
| Unterauftragsverarbeiter | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH | Hosting / Serverbetrieb | Deutschland (EU) |
| webgo GmbH | E-Mail-Versand (Systembenachrichtigungen) | Deutschland (EU) |
*(Digistore24 GmbH wickelt Zahlungs-/Vertragsdaten des Betriebs ab und ist insoweit Empfänger/eigener Verantwortlicher bzw. Auftragsverarbeiter des Anbieters — nicht der Mitarbeiterdaten. Anwaltlich einordnen.)*
*(Die optionale km-Ermittlung überträgt Adressen clientseitig an OpenStreetMap Nominatim/OSRM; dies erfolgt im Browser des Verantwortlichen und nur auf aktive Auslösung — im Hauptvertrag/DSE offengelegt.)*