Unterauftragsverarbeiter

(1)Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Software „FuE Stundenzettel" als über das Internet nutzbare Anwendung einschließlich der zugehörigen Speicherung, Auswertung und Dokumentenerzeugung.

(2)Der Vertrag beginnt mit seiner Annahme durch den Verantwortlichen und läuft auf unbestimmte Zeit. Er endet automatisch mit dem Ende des zugrunde liegenden Nutzungsvertrags; eine gesonderte Kündigung ist weder erforderlich noch möglich, solange der Nutzungsvertrag besteht.

(3)Der Verantwortliche kann diesen Vertrag jederzeit außerordentlich kündigen, wenn der Auftragsverarbeiter gegen wesentliche Pflichten aus diesem Vertrag oder gegen datenschutzrechtliche Vorschriften verstößt und den Verstoß trotz angemessener Frist nicht abstellt. Die Kündigung dieses Vertrags berührt den Nutzungsvertrag nicht; ohne diesen Vertrag ist die Nutzung der Anwendung jedoch nicht möglich.

(4)Der Auftragsverarbeiter kann den Wortlaut dieses Vertrags ändern, soweit dies zur Anpassung an geänderte Rechtslage, Rechtsprechung oder behördliche Vorgaben oder zur Aufnahme neuer Funktionen erforderlich ist. Eine neue Fassung wird dem Verantwortlichen im Konto angezeigt; er hat ab der Anzeige 30 Tage Zeit, sie anzunehmen. Die Fassungen tragen als Bezeichnung ihr Stand-Datum; die jeweils angenommene Fassung bleibt im Konto abrufbar.

(1)Die Verarbeitung dient allein dem Zweck, dem Verantwortlichen die vertraglich geschuldeten Leistungen bereitzustellen: die Erfassung und Speicherung von Arbeitszeiten, Abwesenheiten, Stammdaten und Projektzuordnungen seiner Beschäftigten, deren Auswertung, die Erzeugung von Nachweisdokumenten (insbesondere Stundenzettel nach der Vorlage des Bundesministeriums der Finanzen) sowie die revisionssichere Protokollierung von Änderungen.

(2)Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Anwendung, Einschränken, Löschen und Vernichten der Daten.

(3)Maschinelle Auswertung hochgeladener Unterlagen. Nutzt der Verantwortliche die Funktion zur Rekonstruktion vergangener Jahre, werden die von ihm hochgeladenen Unterlagen an einen Dienst für künstliche Intelligenz übermittelt und dort ausgewertet, um daraus Vorschläge für Personen, Zeiten und Tätigkeiten zu erzeugen. Der eingesetzte Dienst und die Rahmenbedingungen sind in Anlage 1 benannt. Die Auswertung erfolgt ausschließlich auf Veranlassung des Verantwortlichen; ohne Upload findet sie nicht statt.

(4)Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Die maschinell erzeugten Vorschläge werden dem Verantwortlichen zur Prüfung vorgelegt und wirken sich erst aus, wenn er sie übernimmt; die Verantwortung für die Richtigkeit der übernommenen Daten trägt er.

(5)Der Auftragsverarbeiter verwendet die Daten des Verantwortlichen nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von Modellen künstlicher Intelligenz. Er stellt durch Vereinbarung sicher, dass auch die in Anlage 1 benannten Dienstleister die Inhalte nicht zu solchen Zwecken verwenden. Statistische Auswertungen für Betrieb, Kapazitätsplanung und Fehlersuche erfolgen ausschließlich mit Daten ohne Personenbezug.

(1)Verarbeitet werden folgende Arten personenbezogener Daten: Stammdaten der Beschäftigten (Vor- und Nachname, dienstliche E-Mail-Adresse, Rolle im Konto, vereinbarte Wochenarbeitszeit, Urlaubsanspruch, Kurzarbeit, Feiertage); Zeiterfassungsdaten (Datum, Beginn, Ende, Dauer, Tätigkeitsbeschreibung, Zuordnung zu Vorhaben und Arbeitspaketen); Abwesenheitsdaten (Urlaub, Feiertage, sonstige Abwesenheiten); Protokolldaten (Zeitpunkt, handelnder Nutzer, alter und neuer Wert, IP-Adresse, Browserkennung); Kontaktdaten der Ansprechpartner des Verantwortlichen; Zugangsdaten (E-Mail-Adresse und Passwort-Hashwert); sowie die Inhalte der vom Verantwortlichen hochgeladenen Unterlagen, deren Umfang er selbst bestimmt.

(2)Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Erfasst der Verantwortliche Krankheitstage seiner Beschäftigten, verarbeitet der Auftragsverarbeiter insoweit Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO. Gespeichert werden allein Datum und Status des Fehltags; eine Diagnose, ein ärztliches Attest oder eine sonstige medizinische Angabe wird von der Anwendung weder erhoben noch vorgesehen. Für diese Daten gelten die Maßnahmen der Anlage 2 uneingeschränkt; die Rechtsgrundlage der Verarbeitung (regelmäßig Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG) bestimmt der Verantwortliche. Lädt der Verantwortliche Unterlagen hoch, die solche Angaben enthalten, werden diese im Rahmen der maschinellen Auswertung nach Abschnitt 2 Absatz 3 mitübermittelt; der Verantwortliche prüft vor dem Upload, ob das erforderlich ist.

(3)Betroffene Personen sind: die Beschäftigten des Verantwortlichen einschließlich ehemaliger Beschäftigter, deren Zeiten nachträglich rekonstruiert werden; seine Ansprechpartner und Kontobevollmächtigten; von ihm beauftragte externe Berater und Steuerberater, denen er Zugang gewährt; sowie weitere Personen, soweit sie in hochgeladenen Unterlagen genannt sind.

(4)Der Verantwortliche stellt sicher, dass die Aufnahme weiterer Datenarten - etwa durch Freitext in Tätigkeitsbeschreibungen oder durch den Upload zusätzlicher Unterlagen - auf das erforderliche Maß beschränkt bleibt.

(1)Weisungsbindung. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich einer Übermittlung in ein Drittland, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Dieser Vertrag einschließlich der Auswahl der Funktionen durch den Verantwortlichen stellt die Erstweisung dar. Weitere Weisungen erteilt der Verantwortliche in Textform an mail@fue-stundenzettel.de.

(2)Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

(3)Vertraulichkeit. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und macht sie mit den einschlägigen datenschutzrechtlichen Anforderungen vertraut (Art. 28 Abs. 3 lit. b DSGVO). Die Verarbeitung erfolgt derzeit ausschließlich durch den Inhaber selbst; werden weitere Personen eingesetzt, geschieht dies erst nach schriftlicher Verpflichtung.

(4)Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter ergreift die nach Art. 32 DSGVO erforderlichen Maßnahmen; ihr Stand ist in Anlage 2 beschrieben. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden in Anlage 2 nachgeführt.

(5)Meldung von Verletzungen des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden (Art. 33 Abs. 2 DSGVO). Die Meldung geht in Textform an die im Konto hinterlegte Adresse des Inhabers und enthält, soweit bekannt, Art und Umfang des Vorfalls, die betroffenen Datenarten und Personengruppen, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(6)Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO), jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. e und f DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Auskunft, Berichtigung, Einschränkung, Löschung und Export kann der Verantwortliche für die in der Anwendung gespeicherten Daten überwiegend selbst vornehmen; die dafür vorgesehenen Funktionen gelten als Unterstützung im Sinne dieses Absatzes.

(7)Nachweise und Überprüfungen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis erfolgt vorrangig durch Auskunft in Textform und durch Vorlage der Anlage 2 in der jeweils geltenden Fassung. Eine Überprüfung vor Ort wird mit angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geheimhaltungsinteressen Dritter durchgeführt; der Auftragsverarbeiter kann den durch eine Überprüfung entstehenden Aufwand nach Aufwand berechnen, soweit sie über eine jährliche Überprüfung hinausgeht oder nicht durch einen konkreten Anlass veranlasst ist.

(8)Verzeichnis und Ansprechpartner. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Ansprechpartner in Datenschutzfragen ist der Inhaber, erreichbar unter mail@fue-stundenzettel.de.

(1)Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die im Zeitpunkt der Annahme dieses Vertrags eingesetzten Unterauftragsverarbeiter sind in Anlage 1 mit Rechtsträger, Zweck, Verarbeitungsort und Grundlage benannt; Anlage 1 trägt ein eigenes Stand-Datum, das mit der Annahme festgehalten wird.

(2)Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, kündigt er dies mindestens 30 Tage vorher an. Die Ankündigung erfolgt durch Aktualisierung der öffentlich abrufbaren Liste unter https://fue-stundenzettel.de/unterauftragsverarbeiter sowie durch einen Hinweis im Konto; auf Wunsch zusätzlich per E-Mail an die hinterlegte Adresse des Inhabers.

(3)Der Verantwortliche kann einer Änderung innerhalb der Ankündigungsfrist aus einem wichtigen, datenschutzbezogenen Grund in Textform widersprechen. Kann der Grund nicht ausgeräumt werden und ist die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht zu erbringen, ist jede Partei berechtigt, den Nutzungsvertrag zum Zeitpunkt des geplanten Wechsels außerordentlich zu kündigen; bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

(4)Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung.

(5)Nebenleistungen, die der Auftragsverarbeiter bei Dritten bezieht, ohne dass diese Zugriff auf personenbezogene Daten des Verantwortlichen erhalten - etwa Telekommunikation, Post ohne Datenträger, Reinigung oder Wartung ohne Zugriff -, gelten nicht als Unterauftragsverarbeitung. Der Auftragsverarbeiter trifft auch insoweit angemessene Vorkehrungen zum Schutz der Daten.

(1)Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Server, Datenbank, hochgeladene Unterlagen und Sicherungen liegen in Deutschland.

(2)Bei den in Anlage 1 benannten Diensten der Google- und der Stripe-Gruppe lässt sich ein Zugriff aus den Vereinigten Staaten nicht vollständig ausschließen. Vertragliche Partner sind jeweils die europäischen Rechtsträger; Grundlage einer etwaigen Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) in Verbindung mit ergänzenden Maßnahmen sowie, soweit einschlägig, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO). Die Anforderungen der Art. 44 ff. DSGVO sind damit gewahrt.

(3)Für die maschinelle Auswertung hochgeladener Unterlagen ist der Dienst ausdrücklich auf die EU-Multiregion festgelegt. Der Auftragsverarbeiter weist die Einhaltung anhand der vom Anbieter gemeldeten Region der Verbindungsterminierung (tlsTerminationRegionCode) nach und protokolliert sie.

(4)Eine Übermittlung in weitere Drittländer findet nicht statt. Wird sie künftig erforderlich, gilt das Verfahren nach Abschnitt 5 Absatz 2 und 3 entsprechend.

(1)Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Er bestimmt Zweck und Mittel der Verarbeitung im Rahmen der von der Anwendung angebotenen Funktionen.

(2)Er stellt sicher, dass für die Erfassung und Verarbeitung der Daten seiner Beschäftigten eine Rechtsgrundlage besteht, dass eine etwaige Beteiligung des Betriebsrats erfolgt ist und dass die betroffenen Personen nach Art. 13 und 14 DSGVO informiert wurden.

(3)Er ist für die Richtigkeit und Aktualität der eingegebenen Daten verantwortlich, insbesondere für die Prüfung maschinell erzeugter Vorschläge vor deren Übernahme.

(4)Er verwaltet die Zugänge seiner Beschäftigten und der von ihm beauftragten Berater eigenständig und entzieht sie unverzüglich, wenn die Berechtigung entfällt. Er benennt dem Auftragsverarbeiter einen Ansprechpartner für Datenschutzfragen; das ist im Zweifel der im Konto hinterlegte Inhaber.

(5)Er unterrichtet den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Vorschriften feststellt.

(1)Der Verantwortliche kann seine Daten jederzeit selbst exportieren; die Anwendung stellt dafür Ausgabeformate für Nachweisdokumente und Auswertungen bereit. Der Export ist der vorrangige Weg der Rückgabe im Sinne des Art. 28 Abs. 3 lit. g DSGVO.

(2)Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen auf dessen Anforderung. Ohne Anforderung bleiben die Daten zunächst gespeichert, damit der Verantwortliche seinen Nachweispflichten weiter nachkommen kann; der Auftragsverarbeiter weist ihn auf die Möglichkeit der Löschung hin.

(3)Unabhängig davon gelten folgende Fristen innerhalb der Anwendung: Vorgänge des Rekonstruktions-Wizards und die dort hochgeladenen Unterlagen werden 90 Tage nach der letzten Aktivität automatisch gelöscht; 83 Tage nach der letzten Aktivität ergeht eine Erinnerung; ein Vorgang kann jederzeit über den Löschlink sofort gelöscht werden. Nach drei Tagen ohne Aktivität ergeht eine einmalige Erinnerung. Ein vom Verantwortlichen angefordertes Löschen seines Kontos wird unverzüglich ausgeführt.

(4)Protokolldaten des Prüfpfads werden nicht automatisch gelöscht. Sie dienen dem Nachweis der Unveränderbarkeit der Aufzeichnungen und unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten der §§ 147 AO, 257 HGB; der Auftragsverarbeiter bewahrt sie mindestens zehn Jahre auf. Die Löschung unterbleibt ferner, soweit und solange eine Aufbewahrungspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht (Art. 28 Abs. 3 lit. g DSGVO a. E.). Für diese Daten gelten die Pflichten dieses Vertrags fort.

(5)Sicherungskopien werden im Rahmen des üblichen Sicherungslaufs mit dem Ablauf der in Anlage 2 genannten Aufbewahrungsdauer überschrieben; eine gezielte Löschung einzelner Datensätze aus bereits erstellten Sicherungen erfolgt nicht.

(1)Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags und der Allgemeinen Geschäftsbedingungen; eine Beschränkung der Haftung gegenüber betroffenen Personen oder Aufsichtsbehörden ist damit nicht verbunden.

(2)Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag oder den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrags in Datenschutzfragen vor. Weisungen des Verantwortlichen gehen diesem Vertrag vor, soweit sie mit ihm vereinbar sind.

(3)Der Verantwortliche darf diesen Vertrag nach Art. 28 Abs. 9 DSGVO in Textform schließen; die Annahme im Konto und die Speicherung des daraus erzeugten Dokuments einschließlich Zeitpunkt, annehmender Person, Fassung und Prüfsumme genügen der Textform. Eine eigenhändige Unterschrift ist nicht erforderlich. Das Dokument bleibt im Konto jederzeit abrufbar.

(4)Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(5)Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

(6)Bestandteil dieses Vertrags sind: Anlage 1 (Unterauftragsverarbeiter) und Anlage 2 (Technische und organisatorische Maßnahmen).