Entwurf. Vorlage für einen Vertrag nach Art. 28 DSGVO. Vor der Verwendung von einer Fachperson prüfen lassen; die Angaben zu Unterauftragsverarbeitern aktuell halten.
Mein Stundenzettel
Vertrag zur Auftragsverarbeitung
zwischen dem Kunden (Betrieb, im Folgenden „Verantwortlicher“) und [Vorname Nachname, Anschrift] (im Folgenden „Auftragsverarbeiter“).
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-App „Mein Stundenzettel“ zur Erfassung von Arbeitszeiten bereit und speichert die Daten dafür. Der Vertrag gilt für die Dauer der Nutzung (einschließlich Testzeitraum) und bis zur Löschung aller Daten nach Nr. 8.
2. Art und Zweck, Daten, Betroffene
| Zweck | Arbeitszeiterfassung und Stundenzettel nach § 17 MiLoG, Hinweise nach dem Arbeitszeitgesetz |
|---|---|
| Daten | Name, vertragliche Wochenstunden, Datum, Arbeitsbeginn, -ende, Pausen, Notizen, Kennzeichnung von Urlaubs- und Krankheitstagen, PIN-Hash; Arbeitgeberangaben |
| Betroffene | Beschäftigte des Verantwortlichen |
| Besondere Kategorien | Die Kennzeichnung „krank“ kann eine Gesundheitsangabe sein (Art. 9 DSGVO). Es werden keine Diagnosen erfasst. |
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der App in ihren Funktionen gilt als Weisung. Hält er eine Weisung für rechtswidrig, weist er darauf hin.
4. Vertraulichkeit
Zugang zu den Daten haben nur der Auftragsverarbeiter selbst und Personen, die zur Vertraulichkeit verpflichtet sind.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Übertragung nur verschlüsselt (HTTPS/TLS).
- Zugang zur Cloud eines Betriebs nur mit dessen Passwort; gespeichert nur als scrypt-Hash mit Salz. Nach 10 Fehlversuchen 15 Minuten Sperre.
- Daten jedes Betriebs in einem eigenen, getrennten Speicherbereich.
- PINs der Mitarbeiter nur als Hash.
- Wöchentliche Sicherung; gleichzeitige Änderungen gehen nicht verloren (bedingtes Schreiben).
- Kein Tracking, keine Weitergabe an Dritte zu eigenen Zwecken.
- [Weitere Maßnahmen ergänzen, z. B. Zwei-Faktor-Anmeldung beim Hosting-Konto]
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Netlify, Inc., San Francisco, USA | Hosting und Datenspeicherung; Übermittlung auf Grundlage [EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln – prüfen] |
|---|
Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab; der Verantwortliche kann aus wichtigem Grund widersprechen und den Vertrag kündigen.
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung), bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Verletzungen des Schutzes der Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Der Verantwortliche kann seine Daten jederzeit als PDF und als Datei exportieren. Nach Vertragsende löscht der Auftragsverarbeiter alle Daten einschließlich der Sicherungen spätestens [3 Monate] nach Vertragsende, sofern keine gesetzliche Pflicht zur Aufbewahrung beim Auftragsverarbeiter besteht.
9. Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten nötigen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Anmeldung.
10. Schluss
Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag für den Datenschutz vor.
Stand: [Datum]