Vereinbarung zur Auftragsverarbeitung

1.1 Diese Vereinbarung gilt zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Ted Osammor, Vondelstr. 34, 50677 Köln (nachfolgend „Auftragsverarbeiter“).

1.2 Der Verantwortliche entscheidet allein über Zweck und Mittel der Verarbeitung der von ihm eingestellten personenbezogenen Daten. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich für ihn.

1.3 Die Rollen sind bewusst zu trennen. Für die Daten, die der Verantwortliche über HeyAudit verarbeitet, insbesondere Beschäftigtendaten, gilt diese Vereinbarung. Für die Verarbeitung, bei der der Auftragsverarbeiter selbst über Zweck und Mittel entscheidet, insbesondere den Betrieb der Website, die Vertragsanbahnung, die Abrechnung und die Erfüllung eigener gesetzlicher Pflichten, gilt nicht diese Vereinbarung, sondern die Datenschutzerklärung.

1.4 Diese Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen und geht ihnen im Anwendungsbereich des Datenschutzrechts vor.

2.1 Gegenstand ist die Bereitstellung der Software HeyAudit als Software-as-a-Service und die damit verbundene Verarbeitung personenbezogener Daten.

2.2 Dauer. Die Vereinbarung beginnt mit dem Hauptvertrag und endet mit ihm. Die Pflichten nach Ziffer 10 gelten über das Vertragsende hinaus.

2.3 Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung innerhalb der Organisation des Verantwortlichen, Abgleichen, Einschränken, Löschen und Vernichten.

2.4 Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen, insbesondere Einsatz- und Schichtplanung, Zeiterfassung, Verwaltung von Objekten und Personal, Aufgaben und Checklisten, Qualitätskontrollen, Abwesenheiten, Mängel und Maßnahmen, Auswertungen und Exporte sowie die Berechnung von Bruttoentgelten.

Zu den Daten können besondere Kategorien im Sinne des Art. 9 DSGVO gehören, soweit der Verantwortliche Abwesenheiten wegen Krankheit erfasst. Der Verantwortliche stellt sicher, dass er hierfür eine Rechtsgrundlage hat und dass nicht mehr Daten erfasst werden als erforderlich.

4.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als solche Weisung gelten diese Vereinbarung, der Hauptvertrag und die Bedienung der Anwendung durch die Nutzer des Verantwortlichen.

4.2 Weitergehende Weisungen bedürfen der Textform. Der Auftragsverarbeiter kann für Weisungen, die über den vertraglich vereinbarten Umfang hinausgehen, eine angemessene Vergütung verlangen.

4.3 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

4.4 Eine Verarbeitung außerhalb der Weisung erfolgt nur, wenn der Auftragsverarbeiter hierzu nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus. Der Zugriff ist auf die Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Genannt werden nur Maßnahmen, die tatsächlich umgesetzt sind:

• ·Verschlüsselung der Übertragung: Die Anwendung ist ausschließlich über HTTPS mit TLS erreichbar.
• ·Verschlüsselung der Speicherung: Datenbank, Datei-Ablage und Sicherungen werden durch die eingesetzten Anbieter verschlüsselt gespeichert.
• ·Mandantentrennung auf Datenbankebene: Jede Tabelle mit Organisationsbezug ist durch Row Level Security abgesichert. Die Trennung wirkt in der Datenbank selbst, nicht erst in der Anwendung.
• ·Rollen- und Rechtesystem: Neun Rollen mit abgestuften Rechten. Der Zugriff auf Entgelt- und Personaldaten ist gesondert geschützt und nicht Bestandteil der operativen Planungsrollen.
• ·Getrennte, nicht öffentliche Datei-Ablage: Dokumente der Personalakte, Nachweise und Belege liegen in nicht öffentlich lesbaren Ablagen mit eigenen Zugriffsregeln.
• ·Authentifizierung: Passwörter werden ausschließlich als Hash gespeichert; Anmeldung und Sitzungsverwaltung erfolgen über einen dafür ausgelegten Dienst.
• ·Protokollierung: Sicherheitsrelevante Vorgänge und Zugriffe auf Auswertungen werden protokolliert.
• ·Begrenzung von Anfragen: Serverseitige Ratenbegrenzung gegen automatisierte Zugriffe.
• ·Trennung von Geheimnissen: Zugangsschlüssel liegen ausschließlich in der Umgebungskonfiguration des Hosters, nicht im Quellcode.
• ·Sicherungen: Regelmäßige Sicherungen durch den Datenbankanbieter zur Wiederherstellung des Systems.

Ausdrücklich nicht vorhanden: HeyAudit besitzt keine Zertifizierung nach ISO 27001, keinen SOC-2-Bericht und keine Zertifizierung durch das BSI oder eine Prüforganisation. Solche Nachweise werden nicht behauptet.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

7.1 Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der nachstehend genannten Unterauftragsverarbeiter.

7.2 Der Auftragsverarbeiter unterrichtet über jede beabsichtigte Änderung mindestens vier Wochen vorher in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Kann der Einwand nicht ausgeräumt werden, darf der Verantwortliche den Hauptvertrag zum geplanten Wirksamwerden der Änderung außerordentlich kündigen.

7.3 Mit jedem Unterauftragsverarbeiter bestehen Verpflichtungen, die den Anforderungen des Art. 28 DSGVO entsprechen.

Die Stripe Payments Europe, Ltd. wickelt Zahlungen ab. Für Zahlungsdaten ist Stripe eigenständig Verantwortlicher und daher kein Unterauftragsverarbeiter im Sinne dieser Vereinbarung. Beschäftigtendaten des Verantwortlichen werden nicht an Stripe übermittelt.

8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach den Art. 15 bis 22 DSGVO zu beantworten.

8.2 Die Anwendung stellt dafür Funktionen bereit: Auskunft und Datenübertragbarkeit über den Export im JSON-Format, Berichtigung über die Bearbeitung der Datensätze, Löschung über die Löschfunktionen und die Kontolöschung.

8.3 Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden in Textform. Die Meldung enthält, soweit bekannt, eine Beschreibung des Vorfalls, die betroffenen Datenarten und Personengruppen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

9.2 Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn dabei.

9.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen ebenso bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer vorherigen Konsultation nach Art. 36 DSGVO, soweit die dafür erforderlichen Informationen nur ihm vorliegen.

10.1 Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter die Daten zum Export bereit. Die Frist richtet sich nach Ziffer 13.5 der Allgemeinen Geschäftsbedingungen.

10.2 Danach löscht der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

10.3 Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen, insbesondere nach § 147 Abgabenordnung und § 257 Handelsgesetzbuch, werden für die Dauer der Frist gesperrt und ausschließlich zu diesem Zweck verarbeitet. Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen überschrieben.

11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

11.2 Der Verantwortliche kann Überprüfungen durchführen oder durch einen von ihm beauftragten Prüfer durchführen lassen. Prüfungen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten, ohne vermeidbare Störung des Betriebs und höchstens einmal jährlich, es sei denn, es besteht ein besonderer Anlass.

11.3 Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten.

11.4 Der Auftragsverarbeiter wirkt an Prüfungen mit. Für einen Aufwand, der über die Bereitstellung vorhandener Nachweise hinausgeht, kann er eine angemessene Vergütung verlangen.

12.1 Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Die Anwendung läuft in Frankfurt, die Datenbank in Irland.

12.2 In zwei Fällen können Daten in die USA übermittelt werden: bei der Erzeugung von Texten über OpenAI und, falls der Verantwortliche den SMS-Kanal aktiviert, beim Versand über Twilio. Für diese Übermittlungen stützt sich der Auftragsverarbeiter auf die Standardvertragsklauseln der Europäischen Kommission oder, soweit der Empfänger zertifiziert ist, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework.

12.3 Vor einer Übermittlung an OpenAI werden personenbezogene Angaben aus den übergebenen Vorgaben entfernt.

12.4 Die Anbieter Vercel, Supabase und Resend haben ihren Sitz in den USA, verarbeiten die Daten für HeyAudit jedoch in den oben genannten europäischen Regionen. Ein Zugriff aus einem Drittland im Rahmen von Wartung und Betrieb lässt sich nicht vollständig ausschließen; auch hierfür bestehen die genannten Garantien.

13.1 Diese Vereinbarung wird mit dem Hauptvertrag Vertragsbestandteil. Der Abschluss erfolgt zusammen mit der Registrierung: dabei werden die Allgemeinen Geschäftsbedingungen angenommen, und deren Ziffer 14.2 erklärt diese Vereinbarung zu ihrem Bestandteil. Ein gesonderter Abschluss ist nicht nötig.

13.2 Benötigen Sie ein gesondert unterzeichnetes Exemplar oder wollen Sie einen eigenen Vertragstext verwenden, wenden Sie sich an hallo@heyaudit.de.

13.3 Ein Abschluss in elektronischer Form genügt. Art. 28 Abs. 9 DSGVO verlangt Schriftform, lässt dafür aber ausdrücklich ein elektronisches Format zu. Eine eigenhändige Unterschrift ist damit nicht erforderlich, und es entsteht kein Nachteil daraus, dass diese Vereinbarung nicht gesondert unterzeichnet wird.

13.4 Ein Datenschutzbeauftragter ist nicht benannt; eine Benennungspflicht nach Art. 37 DSGVO oder § 38 BDSG besteht nach unserer Einschätzung nicht. Ansprechpartner für Fragen zum Datenschutz und für Weisungen nach Ziffer 4 ist Ted Osammor, erreichbar unter hallo@heyaudit.de.