Anlage 1: Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

1. Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung und der Betrieb der im Hauptvertrag beschriebenen Software (Hosting, Speicherung, Verarbeitung, Anzeige, Sicherung, Versand von Benachrichtigungen) einschließlich Support und Wartung.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus Ziffer 10 (Löschung) bestehen über das Vertragsende hinaus fort.

2. Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung dient der Nutzung der Software durch den Kunden zur Betriebsplanung, Auftrags- und Kundenverwaltung, Aufgaben- und Mitteilungsverwaltung sowie Dokumenten-Ablage und — je nach gebuchtem Umfang — zur Personal- und Einsatzverwaltung, Zeiterfassung, Abwesenheitsverwaltung, Verwaltung von Nachweisen und Fristen, Kosten- und Kassenbuchführung sowie zur Bearbeitung eingehender Kundenanfragen aus angebundenen E-Mail-Postfächern des Kunden (Baustein Anfragen).

Verarbeitet wird durch Erhebung, Speicherung, Veränderung, Anzeige, Übermittlung an berechtigte Nutzer, Sicherung und Löschung. Umfasst ist außerdem der Versand von Benachrichtigungen im Auftrag des Kunden, insbesondere

• System- und Benachrichtigungs-E-Mails an die Nutzer des Kunden (u. a. Einladungen, Aufgaben, Mitteilungen, Monatsabschlüsse),
• automatisierte Erinnerungen an die Administratoren des Kunden vor Ablauf hinterlegter Nachweise und Fristen (u. a. Führerscheinkontrolle),
• Push-Benachrichtigungen an Nutzer der Mitarbeiter-App, soweit diese eingewilligt haben,
• im Baustein Anfragen: der Abruf von Nachrichten aus den vom Kunden angebundenen Postfächern sowie der Versand von Antworten und automatischen Empfangsbestätigungen über die vom Kunden hinterlegten Versandwege.

3. Kategorien betroffener Personen

• Beschäftigte des Kunden (einschließlich ehemaliger Beschäftigter und Bewerber, soweit vom Kunden erfasst),
• Nutzer der vom Kunden eingerichteten Zugänge,
• Kunden und Interessenten des Kunden sowie deren Ansprechpartner (Kundenkartei, Aufträge),
• Absenderinnen und Absender eingehender Nachrichten sowie sonstige in diesen Nachrichten, ihren Anhängen oder in Formular-Eingaben genannte Personen (nur bei gebuchtem Baustein Anfragen),
• vom Kunden freigegebene Berater und deren Mitarbeiter (nur Stammhausplus),
• sonstige Personen, deren Daten der Kunde in Freitextfeldern oder Dateien erfasst (z. B. Ansprechpartner von Auftraggebern).

4. Kategorien personenbezogener Daten

• Stammdaten der Nutzer und Beschäftigten (Name, Kontaktdaten, Adresse, Team/Gewerk, Ein-/Austrittsdatum, Rolle),
• Zugangsdaten (E-Mail, Passwort-Hash),
• Zeiterfassungs- und Arbeitszeitdaten (Kommen/Gehen, Pausen, Stunden, Wochenzettel, Stundenkonten, Tätigkeits-Etiketten),
• Abwesenheitsdaten (Urlaub, Krankheit, Sonstiges — jeweils nur Zeitraum, Art und Status; bei Krankheit handelt es sich um Gesundheitsdaten im Sinne des Art. 9 DSGVO, beschränkt auf die Tatsache und den Zeitraum der Arbeitsunfähigkeit),
• Qualifikations- und Nachweisdaten einschließlich hochgeladener Nachweisdateien (z. B. Führerschein-Sichtkontrolle, Erste-Hilfe-Bescheinigungen; Art. 9-Bezug möglich),
• Planungs-, Auftrags-, Aufgaben- und Kommunikationsdaten (Einsatzpläne, Aufgaben, Mitteilungen, Lesebestätigungen, Kommentare),
• Finanz- und Abrechnungsdaten des Betriebs, soweit personenbeziehbar (z. B. Stundensätze),
• Kunden- und Kontaktdaten des Betriebs (Firmierung, Ansprechpartner, Anschrift, Kontaktdaten, zugeordnete Aufträge und Notizen),
• in der Dokumenten-Ablage hochgeladene Dateien, soweit sie personenbezogene Daten enthalten,
• nur bei gebuchtem Baustein Anfragen: Inhalte und Kopfzeilen der aus den angebundenen Postfächern abgerufenen sowie der aus der Software versendeten Nachrichten (Absender, Empfänger, Betreff, Zeitpunkt, Nachrichtentext), deren Anhänge sowie die Eingaben aus dem einbindbaren Web-Formular. Der Kunde bestimmt durch die Auswahl des angebundenen Postfachs, welche Daten hierbei verarbeitet werden; der Inhalt eingehender Nachrichten ist dem Anbieter im Vorhinein nicht bekannt und kann daher auch besondere Kategorien personenbezogener Daten enthalten (Ziffer 5 Abs. 3),
• nur bei gebuchtem Baustein Anfragen: Zugangsdaten der vom Kunden angebundenen Postfächer (Benutzername und Passwort bzw. Zugriffs- und Erneuerungs-Token einer erteilten OAuth-Freigabe); diese werden ausschließlich verschlüsselt gespeichert (Ziffer 7),
• technische Daten (Push-Subscription-Kennungen, Protokolldaten).

5. Pflichten des Verantwortlichen

(1) Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er trägt die Verantwortung für die Rechtmäßigkeit der Verarbeitung (bei Beschäftigtendaten regelmäßig § 26 BDSG) und die Wahrung der Betroffenenrechte und Informationspflichten.

(2) Der Kunde erteilt Weisungen grundsätzlich über die Funktionen der Software; ergänzende Weisungen bedürfen der Textform. Der Hauptvertrag und diese Vereinbarung sind die allgemeine Weisung.

(3) Der Kunde erfasst besondere Kategorien personenbezogener Daten nur im vorgesehenen Funktionsumfang (Ziffer 4) und trägt dafür Sorge, dass keine Diagnosen oder sonstigen Gesundheitsdetails in Freitextfelder eingetragen werden. Dasselbe gilt für hochgeladene Dateien: Der Kunde lädt als Nachweis nur Unterlagen hoch, die für den jeweiligen Zweck erforderlich sind, und keine ärztlichen Befunde; bei arbeitsmedizinischer Vorsorge beschränkt er sich auf die Bescheinigung nach § 6 Abs. 3 ArbMedVV.

(4) Nutzt der Kunde den Baustein Anfragen, wählt er die anzubindenden Postfächer aus und stellt sicher, dass er über sie verfügungsbefugt ist, dass für die Verarbeitung der abgerufenen Nachrichten eine Rechtsgrundlage besteht und dass die Absender nach Art. 13/14 DSGVO informiert sind. Der Anbieter hat auf die Auswahl der eingehenden Nachrichten keinen Einfluss; ein Postfach, dessen private Nutzung der Kunde seinen Beschäftigten gestattet hat oder duldet, bindet der Kunde nur an, wenn er die dafür erforderlichen Regelungen getroffen hat.

(5) Die Software stellt Arbeitszeit- und Abwesenheitsdaten auch in zusammengefasster Form dar (Summen je Art und Zeitraum, Jahresübersichten, Betriebssummen). Den Zweck dieser Auswertungen legt der Kunde fest; er stellt sicher, dass hierfür eine Rechtsgrundlage besteht, die bei Abwesenheiten der Art „krank" den Anforderungen des Art. 9 Abs. 2 DSGVO genügt. Eine Bewertung einzelner Beschäftigter durch den Anbieter findet nicht statt.

6. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erfüllung des Hauptvertrags und nach dokumentierten Weisungen des Kunden, sofern er nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Er informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

(3) Er verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

(4) Er benennt keinen Datenschutzbeauftragten, soweit hierzu keine gesetzliche Pflicht besteht; Ansprechstelle für Datenschutzfragen ist hallo@stammhausplus.de.

(5) Er unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie der Pflichten aus Art. 32–36 DSGVO, soweit der Kunde dies nicht über die Funktionen der Software (z. B. Exporte, Berichtigung, Löschung, Zugriffssteuerung) selbst leisten kann.

(6) Er meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich nach Bekanntwerden mit den Informationen nach Art. 33 Abs. 3 DSGVO.

(7) Erhält der Auftragsverarbeiter Anfragen betroffener Personen, die dem Kunden zuzuordnen sind, leitet er diese unverzüglich an den Kunden weiter und beauskunftet sie nicht selbst, es sei denn, er ist hierzu gesetzlich verpflichtet.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft mindestens folgende Maßnahmen und passt sie fortlaufend dem Stand der Technik an, wobei das Schutzniveau insgesamt nicht unterschritten wird:

• Transportverschlüsselung: Sämtliche Verbindungen sind TLS-verschlüsselt (HTTPS, automatisierte Zertifikatsverwaltung).
• Zugangskontrolle: Authentifizierung aller Nutzer; Passwörter werden ausschließlich als salted Hash (bcrypt) gespeichert; serverseitige Ratenbegrenzung gegen Angriffe auf die Anmeldung.
• Zugriffskontrolle / Mandantentrennung: Rollen- und Rechtekonzept (Inhaber/Admin, Bearbeiter, Betrachter, Mitarbeiter); strikte logische Trennung der Kundendaten auf Datenbankebene; Berater sehen Mandantendaten nur nach ausdrücklicher Freigabe im freigegebenen Umfang.
• Systemtrennung: Betrieb in getrennten Containern; Datenbank und Anwendungsserver sind nicht öffentlich erreichbar, Zugriff nur über den Reverse Proxy.
• Datei-Ablage: Hochgeladene Nachweis-, Dokument-, Mitteilungs- und Anfragen-Dateien sowie Rechnungsdateien werden getrennt und je Kunde in eigenen Verzeichnissen gespeichert und nur authentifiziert und unternehmensbezogen ausgeliefert.
• Verschlüsselung ruhender Zugangsdaten: Die Zugangsdaten und OAuth-Token der vom Kunden im Baustein Anfragen angebundenen Postfächer werden ausschließlich verschlüsselt gespeichert (AES-256-GCM) und weder in Protokolldateien noch in Fehlermeldungen ausgegeben.
• Verfügbarkeitskontrolle: Tägliche automatisierte Datensicherungen (Datenbank und Dateiablagen); Übertragung über verschlüsselte Verbindungen auf einen räumlich getrennten Sicherungsserver in einem deutschen Rechenzentrum (Hetzner Online GmbH, Falkenstein); Aufbewahrung 30 Tage rollierend; laufende externe Überwachung der Erreichbarkeit der Dienste und des Erfolgs der Sicherungsläufe mit automatischer Alarmierung.
• Eingabekontrolle: Änderungen an Zeiterfassungseinträgen werden revisionssicher protokolliert (Änderungshistorie).
• Löschkonzept: Kaskadierende Löschung bei Konto-Löschung — dabei werden neben den Datenbankinhalten auch die Datei-Verzeichnisse des Kunden (Dokumenten-Ablage, Nachweisdateien, Mitteilungs-Bilder, Anfragen-Anhänge) vom Server entfernt und der Löschlauf protokolliert; Aufräumen verwaister Berechtigungen und Push-Registrierungen; automatisches Auslaufen der Sicherungskopien nach dem 30-Tage-Zyklus.

8. Unterauftragsverhältnisse

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt werden:

Nutzt der Kunde den Baustein Anfragen, verbindet sich die Software mit dem vom Kunden selbst ausgewählten E-Mail-Anbieter (z. B. dessen IMAP-/SMTP-Server oder Microsoft 365). Dieser Anbieter ist ein Dienstleister des Kunden, kein Unterauftragsverarbeiter des Auftragsverarbeiters; das Vertrags- und Datenschutzverhältnis zu ihm besteht allein zwischen dem Kunden und diesem Anbieter.

Der Versand von Push-Benachrichtigungen erfolgt technisch bedingt über den Push-Dienst des jeweiligen Browser-Herstellers des Endgeräts (z. B. Google, Mozilla, Apple); Inhalt und Empfang steuert der jeweilige Nutzer über seine Einwilligung im Endgerät. Die externe Verfügbarkeitsüberwachung (Hyperping SAS, Paris, Frankreich) verarbeitet ausschließlich technische Statusinformationen der Server und keine personenbezogenen Daten aus dem Auftrag.

(2) Der Auftragsverarbeiter informiert den Kunden in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) mindestens vier Wochen im Voraus. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; führt der Widerspruch dazu, dass die Leistungserbringung unzumutbar wird, steht beiden Parteien ein Sonderkündigungsrecht zum Wirksamwerden der Änderung zu.

(3) Mit jedem Unterauftragsverarbeiter werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Verarbeitung in Drittländern stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher.

9. Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung (insbesondere Beschreibung der technischen und organisatorischen Maßnahmen).

(2) Der Kunde kann Kontrollen — auch durch beauftragte Dritte, die nicht Wettbewerber des Auftragsverarbeiters sind — nach vorheriger Ankündigung mit angemessener Frist zu üblichen Geschäftszeiten durchführen, soweit Auskünfte und Nachweise nach Absatz 1 im Einzelfall nicht ausreichen. Betriebsgeheimnisse und Daten anderer Kunden bleiben geschützt.

10. Löschung und Rückgabe

(1) Der Kunde kann seine Daten während der Vertragslaufzeit über die Funktionen der Software exportieren, berichtigen und löschen sowie sein Konto einschließlich aller Daten selbst vollständig löschen. Mit der Löschung des Kontos werden auch die hochgeladenen und aus angebundenen Postfächern abgerufenen Dateien des Kunden vom Server entfernt (Ziffer 7, Löschkonzept). Einzelne Vorgangsmappen des Bausteins Anfragen lassen sich einschließlich der zugehörigen Nachrichten und Anhänge auch für sich löschen.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die Daten des Kunden nach Maßgabe der Regelungen des Hauptvertrags zur Kontolöschung, spätestens jedoch auf Verlangen des Kunden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Rechnungs- und Abrechnungsdaten, die der Auftragsverarbeiter für die eigene Buchführung benötigt, verarbeitet er insoweit als eigener Verantwortlicher weiter.

(3) Sicherungskopien, in denen die Daten enthalten sind, laufen mit dem rollierenden Sicherungszyklus (30 Tage) automatisch aus und werden dabei gelöscht.

11. Haftung, Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht in datenschutzrechtlichen Fragen diese Vereinbarung vor.

(3) Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags entsprechend.