Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO für die Nutzung von StempelZeit
1. Parteien und Einbeziehung
Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und der MC-Mediadesign GbR, Heideweg 30F, 49477 Ibbenbüren, als Auftragsverarbeiter. Er ist Bestandteil des Vertrags über die Nutzung von StempelZeit (Hauptvertrag) nach den AGB und gilt mit dessen Abschluss oder mit Einrichtung eines Testzugangs als vereinbart. Eine gesonderte Unterzeichnung ist nicht erforderlich. Maßgeblich ist die bei Vertragsschluss gültige Fassung einschließlich der Anlagen.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand: Bereitstellung und Betrieb der Zeiterfassung StempelZeit als Software as a Service.
Dauer: Für die Laufzeit des Hauptvertrags oder des Testzugangs, bis zur Löschung der Daten nach Ziffer 10.
Art und Zweck: Speichern und Verarbeiten der vom Kunden und seinen Mitarbeitern eingegebenen Daten zur Erfassung und Auswertung von Arbeitszeiten und Abwesenheiten, Anmeldung der Nutzer, Versand von System-E-Mails (zum Beispiel Anmeldelinks und Einladungen), Erstellen von Exporten, Datensicherung, Fehleranalyse und IT-Sicherheit.
3. Betroffene Personen und Datenkategorien
Betroffene Personen: Mitarbeiter des Kunden, Poliere, Administratoren des Kunden.
Datenkategorien:
- Stammdaten: Vor- und Nachname, Personalnummer, E-Mail-Adresse, Team, Rolle
- Zugangsdaten: Passwort, PIN und QR-Anmeldecode, jeweils nur als Hash gespeichert
- Arbeitszeitdaten: Datum, Beginn, Ende, Pause, Baustelle oder Einsatzort, Bemerkungen
- Standortdaten: GPS-Koordinaten zum Zeitpunkt des Ein- und Ausstempelns, sofern der Kunde diese Funktion nutzt
- Abwesenheiten: Art (zum Beispiel Urlaub, Freizeitausgleich), Zeitraum, Begründung, Notizen der Verwaltung
- Monatsabschlüsse: Bestätigung der Monatsstunden mit Zeitpunkt und IP-Adresse
- Nutzungs- und Sicherheitsdaten: IP-Adresse, Browserkennung, Zeitpunkte von Anmeldungen und Anmeldeversuchen, Sitzungsdaten
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere Gesundheitsdaten, sind nicht Gegenstand der Verarbeitung. Der Kunde trägt solche Daten nicht in Freitextfelder ein.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Software durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Kunden darauf hin.
5. Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Diese greifen auf Kundendaten nur zu, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist.
6. Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 1 beschrieben. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt.
7. Unterauftragsverarbeiter
Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Kunden vorab in Textform. Der Kunde kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. In diesem Fall kann jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf mindestens dieses Schutzniveau.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Kunden im Rahmen des Möglichen bei Anfragen betroffener Personen und bei den Pflichten nach Art. 32 bis 36 DSGVO. Auskunft, Berichtigung und Löschung kann der Kunde für seine Mitarbeiter weitgehend selbst in der Software vornehmen. Erreicht eine Anfrage einer betroffenen Person den Auftragsverarbeiter, leitet er sie an den Kunden weiter.
9. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Kunden unverzüglich, sobald ihm eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten bekannt wird, und stellt die ihm vorliegenden Informationen für eine Meldung nach Art. 33 DSGVO bereit.
10. Löschung und Rückgabe
Der Kunde kann seine Daten während der Laufzeit jederzeit über die Exportfunktionen der Software sichern. Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle Kundendaten innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er dem Kunden vorher einen Export bereit. Kopien in Datensicherungen werden im regulären Sicherungszyklus überschrieben.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Kunden die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, in erster Linie diesen Vertrag mit Anlagen. Darüber hinaus ermöglicht er Kontrollen in angemessenem Umfang nach rechtzeitiger Anmeldung.
12. Schlussbestimmungen
Bei Widersprüchen gehen die Regelungen dieses Vertrags zur Auftragsverarbeitung dem Hauptvertrag vor. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Anlage 1: Technische und organisatorische Maßnahmen
Zutritts- und Zugangskontrolle
- Betrieb in einem Rechenzentrum in Deutschland, physische Sicherung durch den Hoster (Anlage 2)
- Administrativer Zugriff auf Server nur für berechtigte Personen mit individuellen Zugängen
- Passwörter, PINs und QR-Anmeldecodes werden nur als Hash gespeichert
- Sperre nach wiederholten fehlgeschlagenen Anmeldeversuchen
- Anmeldelinks per E-Mail sind einmalig verwendbar und zeitlich begrenzt
Zugriffskontrolle und Trennung
- Mandantentrennung: Jeder Kunde sieht ausschließlich die Daten seines eigenen Betriebs
- Rollenkonzept: Mitarbeiter sehen nur eigene Daten, Poliere ihr Team, Administratoren den Betrieb
- Zugriff des Anbieters auf Kundendaten nur zu Betrieb, Support und Fehlerbehebung
Weitergabekontrolle
- Verschlüsselte Übertragung per HTTPS/TLS
- Keine Einbindung externer Dienste in die Software, Schriften und Skripte werden vom eigenen Server geladen
Verfügbarkeit und Wiederherstellbarkeit
- Regelmäßige Datensicherung
- Verfahren zur Wiederherstellung aus der Sicherung
Überprüfung
- Sicherheitsrelevante Updates werden zeitnah eingespielt
- Regelmäßige Bewertung, ob die Maßnahmen noch angemessen sind
Anlage 2: Unterauftragsverarbeiter
- Droptop GmbH (Linevast), Am Grashorn 8, 14548 Schwielowsee OT Geltow: Hosting, Datenbank, Datensicherung und E-Mail-Versand. Verarbeitung in Deutschland.
Stand: Oktober 2026