Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO · Stand August 2026
1. Parteien
Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO) ist das Unternehmen, das Zeit48 nutzt.
Auftragnehmerin (Auftragsverarbeiterin im Sinne des Art. 4 Nr. 8 DSGVO) ist die MARA 48 GmbH, Adalbert-Stifter-Str. 14, 72461 Albstadt.
2. Gegenstand und Dauer
Gegenstand ist die Bereitstellung der Software Zeit48 zur Erfassung von Arbeitszeiten, Urlaub und Abwesenheiten. Die Verarbeitung dauert so lange, wie der Nutzungsvertrag besteht. Nach dessen Ende gilt Ziffer 9.
3. Art, Zweck und Umfang
Verarbeitet wird ausschließlich zur Erbringung der vertraglich vereinbarten Leistung und nach Weisung des Auftraggebers.
| Betroffene Personen | Beschäftigte des Auftraggebers, dessen Führungskräfte und Verwaltungspersonal |
| Datenarten | Stammdaten (Name, E-Mail, Telefon, Personalnummer, Eintrittsdatum), Arbeitszeitdaten (Beginn, Ende, Pausen, Kommentare), Urlaubs- und Abwesenheitsdaten, Arbeitszeitmodelle und Urlaubsansprüche, Standortdaten beim Stempeln (nur wenn vom Auftraggeber aktiviert), Protokolldaten (Änderungen, Anmeldungen) |
| Besondere Kategorien | Keine. Abwesenheitsgründe wie „Krank" werden ohne Diagnosen erfasst; der Auftraggeber trägt dafür Sorge, dass in Freitextfeldern keine Gesundheitsdaten eingetragen werden. |
| Verarbeitungsvorgänge | Erheben, Speichern, Auswerten, Anzeigen, Exportieren, Löschen |
4. Weisungen
Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag und die Einstellungen, die der Auftraggeber in der Anwendung vornimmt. Hält die Auftragnehmerin eine Weisung für rechtswidrig, teilt sie dies mit und darf die Ausführung aussetzen.
5. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO) und werden regelmäßig zum Datenschutz unterwiesen.
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselung: Übertragung ausschließlich über TLS; Passwörter als bcrypt-Hash (12 Runden); Sitzungstoken nur als Hashwert gespeichert.
- Zugangskontrolle: Anmeldung mit persönlichem Konto und bestätigter E-Mail-Adresse; Sitzungen serverseitig widerrufbar; Zugriff auf Server ausschließlich über SSH-Schlüssel.
- Zugriffskontrolle: Rollen- und Rechtesystem je Organisation; Mandantentrennung auf Datenbankebene über die Organisationskennung jeder Tabelle.
- Eingabekontrolle: Änderungsprotokoll mit handelnder Person, Zeitpunkt und altem sowie neuem Wert.
- Verfügbarkeit: Tägliche Sicherung der Datenbank, Aufbewahrung getrennt vom Produktivsystem; Wiederherstellung wird regelmäßig erprobt.
- Datenminimierung: Standortdaten nur bei ausdrücklicher Aktivierung; standardmäßig wird lediglich die Zuordnung zu einer Betriebsstätte gespeichert, nicht die Koordinate. IP-Adressen werden in Protokollen gekürzt.
- Trennungsgebot: Getrennte Umgebungen für Entwicklung, Test und Produktion; keine Echtdaten in Test- oder Entwicklungsumgebungen.
- Belastbarkeit: Serverstandort Deutschland; Betriebssystem- und Anwendungsaktualisierungen werden zeitnah eingespielt.
7. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Wechsel oder Ergänzungen werden mindestens vier Wochen vorher mitgeteilt; der Auftraggeber kann widersprechen und den Vertrag außerordentlich kündigen.
| Dienstleister | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH | Hosting der Anwendung und Datenbank | Deutschland |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (nur Rechnungs- und Zahlungsdaten des Auftraggebers, keine Beschäftigtendaten) | Irland, Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln |
8. Unterstützung des Auftraggebers
Die Auftragnehmerin unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldungen von Verletzungen des Schutzes personenbezogener Daten. Die Anwendung stellt dafür einen vollständigen Datenexport je Person sowie eine Funktion zum Entfernen des Personenbezugs bereit. Verletzungen meldet die Auftragnehmerin unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
9. Löschung und Rückgabe
Nach Ende des Vertrags stellt die Auftragnehmerin auf Wunsch einen vollständigen Export bereit und löscht die Daten spätestens 90 Tage nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen des normalen Sicherungslaufs innerhalb von weiteren 30 Tagen überschrieben.
10. Nachweise und Kontrollen
Die Auftragnehmerin weist die Einhaltung der Pflichten auf Anfrage nach. Der Auftraggeber kann Kontrollen nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten durchführen oder durchführen lassen.