Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand, Rollen und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird zwischen dem Kunden (Verantwortlicher) und der Doc Phone GmbH, Rheinstraße 40–42, 64283 Darmstadt (Auftragsverarbeiter) geschlossen und ergänzt die AGB. Er wird durch Bestätigung im Rahmen der Registrierung bzw. Buchung von Crew-OS wirksam.

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Software „Crew-OS“. Die Dauer entspricht der Laufzeit des Hauptvertrags; die Löschpflichten gelten fort.

§ 2 Art, Zweck, Daten und betroffene Personen

Zweck: Personaleinsatzplanung, Arbeitszeiterfassung, Abwesenheits-/Urlaubsverwaltung, Lohn-Vorbereitung, Onboarding und betriebliche Kommunikation.

Betroffene Personen: Beschäftigte, Bewerber und vom Verantwortlichen angelegte Nutzer/Administratoren.

Datenkategorien: Stammdaten (Name, Kontakt, Personalnummer, Geburts-/Eintrittsdatum), Vertrags-/Beschäftigungsdaten, Arbeitszeit- und Anwesenheitsdaten, ggf. auf hochgeladenen Lohnunterlagen enthaltene SV-/Steuermerkmale, Zugangs-/Protokolldaten sowie – sofern vom Verantwortlichen aktiviert – Foto und Standort-Prüfergebnis. Eine gezielte Verarbeitung besonderer Datenkategorien (Art. 9) ist nicht Zweck; stellt der Verantwortliche solche Daten ein (z. B. Krankheitszeiten), geschieht dies auf seine Verantwortung.

§ 3 Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software gemäß ihrer Funktionalität gilt als dokumentierte Weisung; Einzelweisungen erfolgen in Textform an info@doc-phone.de.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Umsetzung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32)

Der Auftragsverarbeiter trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere: Mandantentrennung auf Datenbankebene (Row Level Security, tenant-gebundene Zugriffsprüfung), verschlüsselte Übertragung (TLS/HTTPS, HSTS), private Speicher mit kurzlebigen signierten Zugriffs-URLs, Passwörter als bcrypt-Hash, optionale Zwei-Faktor-Authentisierung, rollenbasierte Rechte, Schutz vor automatisiertem Rateangriff, Protokollierung sicherheitsrelevanter Aktionen sowie mindestens tägliche Sicherungen in Deutschland.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der unten genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) informiert der Auftragsverarbeiter mit angemessener Frist (mind. 4 Wochen); der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund widersprechen.

Unterauftragsverarbeiter werden auf ein gleichwertiges Datenschutzniveau verpflichtet; bei Drittlandbezug werden geeignete Garantien (insb. EU-Standardvertragsklauseln) sichergestellt.

§ 7 Unterstützung, Betroffenenrechte, Meldungen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23) sowie bei Pflichten aus Art. 32–36. Betroffenenanfragen, die den Auftragsverarbeiter erreichen, leitet er unverzüglich weiter.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

§ 8 Kontrollrechte, Löschung, Ort der Verarbeitung

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten nach und ermöglicht Überprüfungen nach angemessener Vorankündigung, vorrangig durch Vorlage geeigneter Nachweise.

Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter die Daten oder gibt sie zurück (30-Tage-Export-Frist gemäß AGB), soweit keine gesetzliche Aufbewahrungspflicht besteht.

Die Verarbeitung findet innerhalb der EU/des EWR statt; die zentrale Datenhaltung (Datenbank und Datei-Speicher) erfolgt in einem Rechenzentrum in Frankfurt am Main. Verbleibende Drittlandbezüge einzelner Unterauftragsverarbeiter sind unten ausgewiesen und mit EU-Standardvertragsklauseln abgesichert.

Anlage — Unterauftragsverarbeiter

Nicht Teil dieses AVV (verarbeiten keine Beschäftigtendaten im Auftrag): Lexware/Lexoffice (nur Rechnungsstellung des Anbieters über Firmendaten des Kunden).