Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Nutzung der Software „Shiftfy“ ergeben. Er gilt zwischen dem Kunden, der Shiftfy im Rahmen seiner geschäftlichen Tätigkeit nutzt, als Verantwortlichem (Art. 4 Nr. 7 DSGVO) und dem Anbieter als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Mit Abschluss der Registrierung und Bestätigung der Vertragsdokumente wird dieser Vertrag wirksam abgeschlossen.

§ 1 Auftragsverarbeiter (Anbieter)

Bashabsheh Vergabepartner
Inhaber: Mohammad Bashabsheh
Kaiserring 14-16, 68161 Mannheim, Deutschland
E-Mail: Kontakt@shiftfy.info

§ 2 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software-as-a-Service-Lösung Shiftfy (Personaleinsatz-, Schicht- und Zeiterfassungsplanung sowie damit verbundene Funktionen). Die Verarbeitung erfolgt ausschließlich auf Grundlage dieses Vertrags und der dokumentierten Weisungen des Verantwortlichen. Die Dauer des Auftrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag / Abonnement).

§ 3 Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Übermitteln, Einschränken und Löschen personenbezogener Daten zum Zweck der Erbringung der vertraglich vereinbarten Leistungen. Eine Verarbeitung der Daten zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

§ 4 Kategorien betroffener Personen und Daten

Betroffene Personen: Beschäftigte, Mitarbeitende, Bewerber sowie sonstige vom Verantwortlichen im System erfasste Personen.

Datenkategorien: Stammdaten (Name, Kontaktdaten), Beschäftigungsdaten (Rolle, Qualifikationen, Vertragsdaten), Arbeits- und Pausenzeiten, Schicht- und Abwesenheitsdaten einschließlich Zeiten der Arbeitsunfähigkeit (ohne Diagnose), Standort im Moment des Ein- und Ausstempelns, Nachweisfotos, Lohn-/Vergütungsdaten, optional Angaben für Meldungen zur Sozialversicherung und für das Bewachungsgewerbe (§ 34a GewO) sowie ggf. weitere vom Verantwortlichen eingegebene Daten.

§ 5 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Nutzung der über die Software bereitgestellten Funktionen und Einstellungen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

§ 6 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

• Verarbeitung nur gemäß dokumentierter Weisung, auch hinsichtlich Drittlandübermittlungen (lit. a).
• Verpflichtung der zur Verarbeitung befugten Personen zur Vertraulichkeit (lit. b).
• Ergreifen der erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (lit. c, siehe § 8).
• Einsatz weiterer Auftragsverarbeiter nur unter den Bedingungen des § 7 (lit. d).
• Unterstützung des Verantwortlichen bei Betroffenenrechten (lit. e) sowie bei den Pflichten nach Art. 32–36 DSGVO (lit. f).
• Löschung oder Rückgabe aller Daten nach Beendigung (lit. g, siehe § 9).
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung und Ermöglichung von Überprüfungen (lit. h, siehe § 10).
• Zugriff des Auftragsverarbeiters auf Daten des Verantwortlichen nur durch namentlich benannte, zur Vertraulichkeit verpflichtete Personen, ausschließlich zur Störungsbehebung, für den Betrieb oder auf Anfrage des Verantwortlichen.
• Weiterleitung von Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, an den Verantwortlichen innerhalb von drei Werktagen.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der in der Anlage aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Aufnahme oder Ersetzung) und räumt ihm die Möglichkeit zum Widerspruch ein. Mit jedem Unterauftragsverarbeiter werden Verträge geschlossen, die ein dem vorliegenden Vertrag entsprechendes Datenschutzniveau gewährleisten (Art. 28 Abs. 4 DSGVO). Maßgeblich ist die in der Anlage genannte Liste der Unterauftragsverarbeiter.

§ 8 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Datenhaltung in der EU: Anwendung in Frankfurt am Main, Datenbank und Dateien in Irland.
• Verschlüsselung der Übertragung (TLS, HSTS); Verschlüsselung der Daten im Ruhezustand durch den Hosting-Anbieter; zusätzliche Feldverschlüsselung (AES-256-GCM) für Zwei-Faktor-Geheimnisse, Kalender-Zugangsdaten und Sozialversicherungsnummern.
• Mandantentrennung in jeder Datenbankabfrage mit automatischer Absicherung und Prüfung bei jeder Code-Änderung; Datenbank für öffentliche Schnittstellen gesperrt.
• Rollen- und rechtebasierte Zugriffskontrolle mit Feldbeschränkung für sensible Beschäftigtendaten.
• Passwörter nur als Hash (bcrypt), optionale Zwei-Faktor-Authentifizierung, Sperre nach wiederholten Fehlversuchen, Begrenzung der Anfragen.
• Datensparsamkeit: Standort nur beim Stempeln, Koordinaten nach 7 Tagen gelöscht, Nachweisfotos nach 90 Tagen gelöscht, Benachrichtigungen ohne Angabe der Abwesenheitsart.
• Protokollierung von Änderungen an Arbeitszeiten und sicherheitsrelevanten Aktionen.
• Tägliche Datensicherungen der Datenbank, 7 Tage vorgehalten.
• Automatisierte Tests, Prüfung von Abhängigkeiten auf Sicherheitslücken und Überprüfung der Maßnahmen mindestens jährlich.

§ 9 Löschung und Rückgabe nach Beendigung

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann die vollständige Löschung seines Workspace einschließlich hochgeladener Dateien jederzeit über die Anwendung anstoßen und seine Daten vorher exportieren. In Datensicherungen enthaltene Daten werden spätestens nach 7 Tagen überschrieben.

§ 10 Kontroll- und Auditrechte

Der Verantwortliche ist berechtigt, sich von der Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragsverarbeiter stellt hierzu die erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen, auch durch einen vom Verantwortlichen beauftragten Prüfer.

§ 11 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 33 und 34 DSGVO und meldet ihm Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Angaben werden schrittweise nachgereicht.

Anlage: Unterauftragsverarbeiter

Die vollständige, datierte Liste mit Zweck, Verarbeitungsort und Transfergrundlage je Dienstleister ist Bestandteil dieses Vertrags. Vor dem Einsatz eines neuen Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage im Voraus in Textform; der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Die KI-gestützte Stundenzettel-Erkennung (Anthropic, OpenAI) ist standardmäßig deaktiviert und wird nur nach ausdrücklicher Freischaltung durch den Verantwortlichen genutzt.