Auftragsverarbeitungsvertrag

§ 1 Einleitung, Geltungsbereich, Definitionen

1.1 Diese Vereinbarung regelt die Rechte und Pflichten des Verantwortlichen und des Auftragsverarbeiters (nachfolgend gemeinsam „Parteien") im Rahmen der Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO.

1.2 Diese Vereinbarung findet Anwendung auf alle Tätigkeiten, bei denen der Auftragsverarbeiter, seine Beschäftigten oder von ihm beauftragte Unterauftragnehmer personenbezogene Daten des Verantwortlichen verarbeiten.

1.3 In dieser Vereinbarung verwendete Begriffe sind im Sinne ihrer Definition in der DSGVO zu verstehen.

§ 2 Gegenstand und Dauer der Verarbeitung

2.1 Der Auftragsverarbeiter führt folgende Verarbeitungstätigkeiten durch: Erheben/Erfassen, Speichern, Nutzen etc. von Mitarbeiterdaten und Zeiterfassungsdaten von Mitarbeitern und Administratoren des Verantwortlichen zum Zweck der Zeit- und Anwesenheitserfassung.

2.2 Die Verarbeitung läuft unbefristet bis zur Kündigung dieser Vereinbarung oder des Hauptvertrages durch eine der Parteien.

§ 3 Art und Zweck der Datenverarbeitung

3.1 Der Verantwortliche nutzt die B2B-SaaS-Lösung „Workflex360 Time" des Auftragsverarbeiters. Dies umfasst Zeiterfassung (Web/Mobile/Kiosk), NFC-Check-in/Check-out sowie optional punktuellen GPS bei Zeiterfassungsereignissen.

3.2 Die Verarbeitung erfolgt durch: Erheben, Erfassen, Speichern, Auslesen, Nutzen, Übermitteln innerhalb des Tenants, Einschränken, Löschen sowie Führen von Sicherheits- und Systemprotokollen.

3.3 Die Verarbeitung dient den Zwecken der Zeit- und Anwesenheitserfassung, der Dokumentation, der internen Verwaltung und der Prozessoptimierung für den Verantwortlichen.

3.4 Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Mitarbeiter-ID
• Name/Kürzel der Mitarbeiter
• Zuordnungen (Abteilung/Standort/Position)
• Zeiterfassungsereignisse (Zeitstempel, NFC-Tag-ID, Terminal-ID)
• Optional: punktuelle GPS-Koordinaten bei Zeiterfassungsereignissen
• Administratorenkontodaten (Name, geschäftliche E-Mail-Adresse)
• Optional: Push-Tokens für mobile Push-Benachrichtigungen

3.5 Von der Verarbeitung betroffen sind: Mitarbeiter des Verantwortlichen und Administratoren des Verantwortlichen (B2B-Kontext).

§ 4 Pflichten des Auftragsverarbeiters

4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder gemäß Weisungen des Verantwortlichen.

4.2 Der Auftragsverarbeiter bestätigt, dass ihm die einschlägigen Datenschutzvorschriften bekannt sind und er die Grundsätze einer ordnungsgemäßen Datenverarbeitung einhält.

4.3-4.9 Der Auftragsverarbeiter verpflichtet sich zur Wahrung der Vertraulichkeit, Schulung des Personals, Unterstützung des Verantwortlichen bei der Führung des Verarbeitungsverzeichnisses und der Durchführung von Datenschutz-Folgenabschätzungen.

4.10 Die Auftragsverarbeitung erfolgt grundsätzlich in Deutschland bzw. innerhalb EU/EWR (Cloud-Infrastruktur: Hetzner Online GmbH). Ein Transfer in Drittländer erfolgt nur unter Einhaltung geeigneter Garantien gemäß Kapitel V DSGVO.

§ 5 Technische und organisatorische Maßnahmen

Die in Anlage 1 beschriebenen Datensicherheitsmaßnahmen werden als verbindlich festgelegt. Sie stellen das vom Auftragsverarbeiter geschuldete Minimum dar.

§ 6-16 Weitere Bestimmungen

Die Vereinbarung enthält weitere Bestimmungen zu: Berichtigung, Löschung und Sperrung von Daten (§6), Unterauftragsverhältnissen (§7), Rechten und Pflichten des Verantwortlichen (§8), Mitteilungspflichten (§9), Weisungen (§10), Beendigung des Auftrags (§11), Vergütung (§12), Haftung (§13-13b), Vertragsstrafe (§14), außerordentlichem Kündigungsrecht (§15) sowie sonstigen Bestimmungen (§16).

Dieser Auftragsverarbeitungsvertrag ist Bestandteil des SaaS-Hauptvertrages Workflex360 Time.