Vertrag zur Auftragsverarbeitung

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftrags- verarbeiter im Auftrag der Verantwortlichen zur Bereitstellung und zum Betrieb der Software „VS Haus“. Die Dauer entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag); der Auftrag endet mit dessen Beendigung.

Zweck: Planung und Vertretung von Einsätzen, Erfassung von Arbeitszeiten, digitaler Leistungsnachweis, Führung eines digitalen Fahrtenbuchs sowie Verwaltung des Mülltonnen-Service.

Art der Daten: Stammdaten der Beschäftigten (Name, Benutzername/E-Mail, Rolle, Beschäftigungsart), Arbeitszeiten, optionale Standortdaten (nur bei aktiviertem GPS, ausschließlich Start/Stopp), Fahrt-/Fahrtenbuchdaten, Auftrags- und Leistungsnachweisdaten einschließlich optionaler Fotos.

Kategorien betroffener Personen: Beschäftigte der Verantwortlichen (Mitarbeitende) sowie deren Ansprechpartner.

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Hält er eine Weisung für rechtswidrig, informiert er die Verantwortliche unverzüglich.

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere: Verschlüsselung der Übertragung (TLS) und der Daten im Ruhezustand; Zugriffskontrolle und mandantengetrennte Datenhaltung (Row Level Security je Firma); nur einmal abschließbare Speicherung der Arbeitszeit- und Fahrtdaten, deren Korrekturen separat protokolliert werden; regelmäßige Datensicherungen. Einzelheiten siehe Anlage 1.

Die Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der nachstehenden Unter-Auftragsverarbeiter. Der Auftragsverarbeiter verpflichtet diese auf gleichwertige Datenschutzpflichten:

• Supabase (Supabase Pte. Ltd.) — Datenbank, Authentifizierung und Datei-Speicher. Datenhaltung der Datenbank in der EU (Amazon Web Services, Region Frankfurt / eu-central-1).
• Vercel Inc. — Hosting und Auslieferung der Anwendung (EU-Region Frankfurt).

Soweit hierbei eine Verarbeitung in einem Drittland (insb. USA) erfolgt, geschieht dies auf Grundlage geeigneter Garantien (EU-Standardvertragsklauseln, ergänzend EU-U.S. Data Privacy Framework). Über beabsichtigte Änderungen der Unter-Auftragsverarbeiter wird die Verantwortliche rechtzeitig informiert; ihr steht ein Widerspruchsrecht zu.

Der Auftragsverarbeiter unterstützt die Verantwortliche im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen (Art. 12–22 DSGVO).

Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Datensicherheit, der Meldung von Verletzungen des Schutzes personenbezogener Daten und einer etwaigen Datenschutz-Folgenabschätzung. Er meldet ihm bekannt gewordene Datenschutzverletzungen unverzüglich.

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl der Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Für gesetzlich aufbewahrungspflichtige Daten (insbesondere Arbeitszeit- und Fahrtenbuchdaten) gelten die jeweiligen Fristen.

Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen. Er weist die Verantwortliche unverzüglich auf Weisungen hin, die seiner Auffassung nach gegen Datenschutzrecht verstoßen.

Änderungen und Ergänzungen bedürfen der Textform (elektronische Form genügt, Art. 28 Abs. 9 DSGVO). Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des Vertrags im Übrigen unberührt. Es gilt deutsches Recht.