Auftragsverarbeitungsvertrag (AVV)

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

(2) Gegenstand der Auftragsverarbeitung ist die Bereitstellung der Software SecPlaner zur Personalplanung und -verwaltung, insbesondere:

• Speicherung und Verwaltung von Mitarbeiterstammdaten
• Verwaltung von Schichtplänen und Arbeitszeiten
• Erfassung von Abwesenheiten und Urlaubsanträgen
• Zeiterfassung (Ein-/Ausstempeln)
• Sicherheitsprüfung beim Stempeln (Passkeys, Gerätefreigaben)
• Automatische Planungsvorschläge und Planungsassistenz
• Versand von Benachrichtigungen
• Erstellung von Auswertungen und Berichten

(3) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrags über die Nutzung von SecPlaner.

(1) Art der personenbezogenen Daten:

• Stammdaten (Name, Vorname, Anschrift, Geburtsdatum)
• Kontaktdaten (E-Mail, Telefon)
• Beschäftigungsdaten (Qualifikationen, Verfügbarkeiten, Stundensätze)
• Zugangsdaten (E-Mail, gehashte Passwörter/PINs)
• Passkey-Metadaten (Credential-IDs, Signaturen, Gerätefreigabestatus)
• Planungsdaten (Schichten, Einsatzzeiten, Abwesenheiten)
• Auto-Planungsdaten (Präferenzen, Scores, Zuweisungen)
• Zeiterfassungsdaten (Stempelzeiten, optional GPS-Koordinaten)
• Sicherheitsmetadaten (Audit-Logs, Geräte-ID, IP, Browser, Log-Daten)

(2) Kategorien betroffener Personen:

• Mitarbeiter des Verantwortlichen
• Administratoren, Planer und Disponenten des Verantwortlichen

(3) Art und Zweck der Verarbeitung:

Die Erhebung, Speicherung, Abfrage, Verwendung, Übermittlung, Einschränkung und Löschung erfolgt ausschließlich zum Zweck der Bereitstellung der Personalplanungssoftware SecPlaner.

(1) Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
• Sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO)
• Geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (Art. 28 Abs. 3 lit. c DSGVO)
• Die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten (Art. 28 Abs. 3 lit. d DSGVO)
• Den Verantwortlichen bei der Erfüllung der Betroffenenrechte mit geeigneten Maßnahmen zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO)
• Den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO)
• Nach Abschluss der Auftragsverarbeitung alle Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (Art. 28 Abs. 3 lit. g DSGVO)
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen (Art. 28 Abs. 3 lit. h DSGVO)

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt.

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich und stellt sicher:

• Dass eine geeignete Rechtsgrundlage für die Datenverarbeitung vorliegt
• Dass die betroffenen Personen ordnungsgemäß informiert werden
• Dass erforderliche Einwilligungen eingeholt werden, soweit notwendig
• Dass die Daten korrekt und aktuell gehalten werden

(2) Der Verantwortliche erteilt dem Auftragsverarbeiter Weisungen in Textform (E-Mail ist ausreichend).

(3) Der Verantwortliche benennt einen Ansprechpartner für datenschutzrelevante Anfragen.

(1) Der Auftragsverarbeiter trifft folgende Maßnahmen gemäß Art. 32 DSGVO:

(2) Die detaillierte Beschreibung der technischen und organisatorischen Maßnahmen ist als Anlage TOMs Bestandteil dieses Vertrags.

(1) Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung anderer Auftragsverarbeiter. Der Verantwortliche kann innerhalb von 30 Tagen Einspruch erheben.

(3) Der Auftragsverarbeiter stellt sicher, dass den Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegt werden.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte nach Art. 12-22 DSGVO.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(3) Die Software stellt Funktionen zur Verfügung, mit denen der Verantwortliche Auskunftsanfragen beantworten und Daten exportieren kann.

(1) Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Bestimmungen zu überprüfen.

(2) Der Auftragsverarbeiter stellt auf Anfrage zur Verfügung:

• Nachweise über getroffene technische und organisatorische Maßnahmen
• Informationen zu Unterauftragsverarbeitern
• Aktuelle Zertifizierungen und Audit-Berichte

(3) Vor-Ort-Inspektionen sind nach vorheriger Abstimmung und unter Berücksichtigung der betrieblichen Erfordernisse möglich. Die Kosten trägt der Verantwortliche.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden, jede Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
• Beschreibung der wahrscheinlichen Folgen und eingeleiteten Gegenmaßnahmen

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen.

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Der Verantwortliche kann vor der Löschung die Herausgabe der Daten in einem gängigen Format verlangen. Die Software bietet hierfür eine Exportfunktion.

(3) Die Löschung erfolgt spätestens 30 Tage nach Vertragsende. Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen schriftlich.

(1) Die Haftung richtet sich nach Art. 82 DSGVO. Danach haftet jeder an einer Verarbeitung beteiligte Verantwortliche oder Auftragsverarbeiter für den Schaden, der durch eine Verarbeitung entstanden ist, die gegen die DSGVO verstößt.

(2) Ein Auftragsverarbeiter haftet nur, wenn er seinen speziell auferlegten Pflichten nicht nachgekommen ist oder Anweisungen des Verantwortlichen missachtet hat.

(3) Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags (AGB).

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(3) Es gilt das Recht der Bundesrepublik Deutschland.