Vertrag über die Auftragsverarbeitung

gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO)

zwischen

dem Unternehmen, das sich unter dem betreffenden Nutzerkonto bei „KlugzAI" registriert und diesen Vertrag im Rahmen der Registrierung elektronisch bestätigt oder unterzeichnet hat. Die Identifikationsdaten des Verantwortlichen (Firmenname, Anschrift sowie ggf. vertretungsberechtigte Person) ergeben sich aus den bei der Registrierung bzw. Kontoeinrichtung angegebenen Angaben.

– nachfolgend „Verantwortlicher" –

und

– nachfolgend „Auftragsverarbeiter" –

– einzeln auch „Partei", gemeinsam „Parteien" –

Präambel

Der Auftragsverarbeiter stellt dem Verantwortlichen eine cloudbasierte Software zur Arbeitszeiterfassung („KlugzAI") als Software-as-a-Service zur Verfügung. Im Rahmen der Nutzung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Sinne des Art. 28 DSGVO.

§ 1 Gegenstand und Dauer

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Bereitstellung und Betrieb der Software KlugzAI). Art, Umfang und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Über die Beendigung des Hauptvertrags hinausgehende Löschungs- und Rückgabepflichten sowie Verschwiegenheitspflichten bleiben unberührt.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Software gemäß Hauptvertrag und ihrer Funktionen durch den Verantwortlichen gilt als Weisung. Weitergehende Weisungen erfolgen in Textform (z. B. per E-Mail an info@klugzai.de).

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

1. personenbezogene Daten nur nach Weisung des Verantwortlichen zu verarbeiten (§ 2);
2. die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
3. die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen und einzuhalten (§ 4, Anlage 2);
4. die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten (§ 5);
5. den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen sowie seiner Pflichten nach Art. 32–36 DSGVO zu unterstützen (§ 6);
6. nach Abschluss der Verarbeitung die personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (§ 7);
7. dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 8);
8. einen etwaigen datenschutzrechtlichen Verstoß im Verantwortungsbereich des Auftragsverarbeiters unverzüglich mitzuteilen.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) zu.

(2) Der Auftragsverarbeiter stellt sicher, dass mit den Unterauftragsverarbeitern datenschutzrechtliche Verpflichtungen vereinbart werden, die den Pflichten dieses Vertrags im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO).

(3) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen hierüber vorab in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter zur Unterstützung in Anspruch nimmt (z. B. Telekommunikations- oder Reinigungsdienste). Er bleibt verpflichtet, auch hier angemessene Schutzvorkehrungen zu treffen.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO) und der Datenschutz-Folgenabschätzung (Art. 35 DSGVO).

(3) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt, meldet er dies dem Verantwortlichen unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, unter Angabe der verfügbaren Informationen.

§ 7 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht.

(2) Der Verantwortliche kann seine Daten vor Beendigung über die Exportfunktionen der Software selbst ausleiten (PDF-/Excel-Export). Die Löschung erfolgt einschließlich der Entfernung aus den Datenbeständen; in Backups vorhandene Daten werden im Rahmen des regulären Backup-Zyklus (30 Tage) überschrieben bzw. gelöscht.

§ 8 Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach, insbesondere durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 2) sowie ggf. durch Zertifikate/Berichte der eingesetzten Unterauftragsverarbeiter.

(2) Reichen diese Nachweise nicht aus, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem von diesem beauftragten Prüfer nach angemessener Vorankündigung und während der üblichen Geschäftszeiten Überprüfungen, ohne den Betriebsablauf unverhältnismäßig zu beeinträchtigen.

§ 9 Datenübermittlung in Drittländer

(1) Die Verarbeitung der personenbezogenen Daten erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (Datenspeicherung in EU-Rechenzentren, vgl. Anlage 3).

(2) Soweit eingesetzte Unterauftragsverarbeiter Daten in ein Drittland übermitteln oder dort verarbeiten (z. B. durch Konzerngesellschaften in den USA), erfolgt dies nur bei Vorliegen geeigneter Garantien im Sinne der Art. 44 ff. DSGVO, insbesondere auf Grundlage einer Zertifizierung nach dem EU-US Data Privacy Framework und/oder von Standardvertragsklauseln.

§ 10 Haftung

Für die Haftung der Parteien gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags entsprechend, soweit dieser Vertrag keine abweichenden Regelungen enthält.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck

Bereitstellung und Betrieb der Software „KlugzAI" zur Erfassung und Verwaltung von Arbeitszeiten der Beschäftigten des Verantwortlichen (u. a. Zeiterfassung, Auswertungen, Berichte, Verwaltung von Abwesenheiten und Projekten, optional KI-gestützte Auswertungen).

Art der Verarbeitung

Erheben, Erfassen, Speichern, Organisieren, Verändern, Auslesen, Verwenden, Übermitteln (an Unterauftragsverarbeiter), Löschen personenbezogener Daten mittels automatisierter Verfahren.

Art der personenbezogenen Daten

• Stammdaten: Vor- und Nachname, E-Mail-Adresse;
• Vertrags-/Beschäftigungsdaten: Vertragsbeginn, wöchentliche/tägliche Arbeitszeit, Urlaubsanspruch, Stundensaldo;
• Arbeitszeitdaten: erfasste Arbeitszeiten, Pausen, Projektzuordnungen, Abwesenheitsarten (Urlaub, Krankheit als Abwesenheitsstatus ohne Diagnose, Feiertag, Freizeitausgleich), Notizen;
• Nutzungs- und Metadaten: Zugangsdaten (E-Mail), technische Protokolldaten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Abwesenheitsstatus „Krankheit" wird ohne Angabe von Diagnosen oder Gesundheitsdetails verarbeitet.

Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (Arbeitnehmer/innen);
• Administratoren und Nutzer der Anwendung beim Verantwortlichen.

Dauer

Für die Laufzeit des Hauptvertrags; anschließend Löschung/Rückgabe gemäß § 7.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Betrieb erfolgt auf der Infrastruktur von Google (Firebase / Google Cloud) in EU-Rechenzentren, die nach anerkannten Standards (u. a. ISO/IEC 27001) zertifiziert ist. Ergänzend gelten die folgenden Maßnahmen des Auftragsverarbeiters:

Anlage 3 – Genehmigte Unterauftragsverarbeiter