Auftragsverarbeitungsvertrag (AVV)

Art. 1 – Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch die Kuhr Holding AG, Mühlweg 2b, 82054 Sauerlach („Auftragsverarbeiter“) im Auftrag des Kunden („Auftraggeber“) im Rahmen der Nutzung der SaaS-Lösung Horalis.

Der AVV gilt für die Dauer des Hauptvertrages. Nach dessen Beendigung richtet sich die weitere Verarbeitung nach Art. 9 dieses Vertrages.

Art. 2 – Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der Bereitstellung der Horalis-Plattform. Dies umfasst insbesondere:

• Zeiterfassung: Erfassung, Speicherung und Auswertung von Arbeitszeiten der Mitarbeiter des Auftraggebers
• Urlaubsverwaltung: Bearbeitung und Genehmigung von Urlaubsanträgen
• Krankmeldungsverwaltung: Erfassung und Verwaltung von Abwesenheiten
• Reservierungsverwaltung: Buchung von Arbeits- und Parkplätzen
• Berichtswesen: Erstellung von Auswertungen und Exporten

Art. 3 – Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:

• Stammdaten: Vor- und Nachname, E-Mail-Adresse
• Arbeitszeiten: Stempelzeiten, Pausenzeiten, Überstunden
• Urlaubstage: Urlaubsanträge, Genehmigungsstatus, Resturlaubskontingent
• Krankmeldungen und sonstige Abwesenheiten
• Stellenbuchungen und Standortinformationen
• Rolleninformationen: Zugriffsrechte und Funktionen innerhalb des Systems

Art. 4 – Kategorien betroffener Personen

Von der Verarbeitung betroffen sind ausschließlich Mitarbeiter des Auftraggebers, die vom Auftraggeber als Nutzer in das System eingetragen werden, sowie Administratoren und Verwaltungspersonal des Auftraggebers.

Art. 5 – Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers hin zu verarbeiten – und den Auftraggeber unverzüglich zu informieren, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen die DSGVO oder andere Datenschutzvorschriften verstößt
• Zur Verschwiegenheit über alle im Rahmen des Vertrages bekanntgewordenen Daten; sämtliche zur Verarbeitung befugten Personen sind auf die Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO)
• Jede Verletzung des Schutzes personenbezogener Daten dem Auftraggeber unverzüglichzu melden (Art. 33 Abs. 2 DSGVO) – mit einer Beschreibung der Art der Verletzung, der betroffenen Datenkategorien, der wahrscheinlichen Folgen und der ergriffenen Maßnahmen, soweit bekannt; Informationen dürfen schrittweise nachgereicht werden
• Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (siehe Art. 7)
• Die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten (siehe Art. 6)
• Den Auftraggeber bei der Wahrnehmung der Rechte betroffener Personen zu unterstützen
• Den Auftraggeber bei der Einhaltung seiner datenschutzrechtlichen Pflichten zu unterstützen
• Nach Abschluss der Verarbeitungstätigkeit alle personenbezogenen Daten zu löschen oder zurückzugeben
• Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen

Art. 6 – Unterauftragsverarbeiter

Der Auftraggeber erteilt seine allgemeine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter:

Bis zum Abschluss des laufenden Umzugs auf eigene Server werden zusätzlich die folgenden Unterauftragsverarbeiter eingesetzt. Sie verarbeiten sämtlich innerhalb der EU, haben jedoch ihren Unternehmenssitz in den USA; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission bzw. das EU-U.S. Data Privacy Framework. Mit Abschluss des Umzugs entfallen sie vollständig.

Der Auftragsverarbeiter informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf Unterauftragsverarbeiter und gibt dem Auftraggeber damit die Möglichkeit, Einwände zu erheben.

Art. 7 – Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter hat gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese umfassen insbesondere:

• Verschlüsselung der Übertragung:alle externen Verbindungen ausschließlich über TLS (mindestens Version 1.2), HSTS aktiv, Zertifikate werden automatisch erneuert. Die Verbindung zwischen Anwendungs- und Datenbankserver ist beidseitig gegen eine eigene Zertifizierungsstelle geprüft („verify-full“).
• Verschlüsselung der Sicherungen: sämtliche Datensicherungen sind mit AES-256 verschlüsselt und liegen auf einem getrennten Speicher außerhalb der Server, je Umgebung mit einem eigenen, nur dort gültigen Zugangsschlüssel.
• Passwörter: werden ausschließlich als bcrypt-Hash gespeichert, niemals im Klartext.
• Zugangskontrolle:administrative Zugänge nur über ein VPN – der Datenbankserver ist aus dem Internet überhaupt nicht erreichbar. Anmeldung an den Servern ausschließlich mit Schlüsseln, keine Passwortanmeldung. Für Konten der Anwendung steht eine Zwei-Faktor-Authentisierung bereit, die nach Aktivierung von der Datenbank erzwungen wird.
• Zugriffskontrolle: Row Level Security auf Datenbankebene über alle Tabellen, rollenbasierte Rechtevergabe nach dem Prinzip der minimalen Rechte. Die Vollständigkeit der Zugriffsregeln wird bei jedem Systemaufbau maschinell geprüft.
• Datentrennung:Mandantentrennung auf Datenbankebene – jeder Datensatz trägt eine Mandantenkennung, jede Zugriffsregel ist darauf eingegrenzt. Eine automatisierte Prüfstrecke testet regelmäßig auf mandantenübergreifende Zugriffe. Test- und Produktivumgebung sind vollständig getrennt.
• Verfügbarkeit: wöchentliche Voll- und tägliche Differenzsicherung, fortlaufende Archivierung der Transaktionsprotokolle mit einem Zielwert von höchstens 15 Minuten möglichem Datenverlust, dazu eine tägliche Sicherung der hochgeladenen Dateien.
• Belastbarkeit:die Wiederherstellung wird in protokollierten Übungen mit gemessenen Zeiten regelmäßig erprobt – zuletzt vollständige Wiederherstellung der Datenbank in unter einer Minute gegenüber einem Zielwert von vier Stunden. Überwachung mit Alarmierung rund um die Uhr, einschließlich einer Totmannschaltung, die auch das Ausbleiben einer Meldung erkennt.
• Protokollierung: fachliche Änderungen werden mit Zeitpunkt, handelndem Konto, Mandant und Vorgang festgehalten. Serverseitige Zugriffsprotokolle werden nach 14 Tagen automatisch gelöscht; Anmelde- und Sitzungsangaben werden nicht protokolliert.
• Regelmäßige Überprüfung: jede Änderung durchläuft vor der Übernahme eine automatisierte Prüfstrecke mit Schwachstellenprüfung der Container-Abbilder (blockierend bei kritischen Funden), Suche nach versehentlich veröffentlichten Zugangsdaten und mehreren hundert automatisierten Tests.

Eine ausführliche Darstellung der Maßnahmen einschließlich der Messwerte stellen wir dem Auftraggeber auf Anfrage zur Verfügung.

Art. 8 – Rechte der Betroffenen

Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen (Art. 15–22 DSGVO).

Wenden sich betroffene Personen direkt an den Auftragsverarbeiter, wird dieser den Auftraggeber unverzüglich informieren und den Antrag an ihn weiterleiten.

Art. 9 – Löschung und Rückgabe

Nach Beendigung des Hauptvertrages hat der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben.

Der Auftraggeber hat das Recht, vor Löschung einen Datenexport zu beantragen. Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Art. 10 – Kontroll- und Prüfungsrechte

Der Auftraggeber hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und die vertraglichen Vereinbarungen beim Auftragsverarbeiter in angemessenem Umfang selbst oder durch einen beauftragten Dritten zu kontrollieren.

Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Audits, einschließlich Inspektionen.

Kontrollmaßnahmen sind dem Auftragsverarbeiter mit einem Vorlauf von mindestens vier Wochen in Textform anzukündigen. Sie finden während der üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unangemessen beeinträchtigen und erfolgen in der Regel einmal je Kalenderjahr.

Bei einem konkreten Anlass – insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde – entfällt die Ankündigungsfrist; die Kontrolle ist dann unverzüglich zu ermöglichen. Beauftragte Dritte dürfen keine Wettbewerber des Auftragsverarbeiters sein und sind zur Verschwiegenheit zu verpflichten.