Auftragsverarbeitungsvertrag (AVV)

Dieser AVV wird bei Vertragsschluss zwischen dem Kunden (Verantwortlicher) und der Heldenschmiede GmbH (Auftragsverarbeiter) geschlossen und mit den Angaben des Kunden ausgefüllt.

Verantwortlicher (Auftraggeber): Firma, Anschrift und Ansprechpartner des gastronomischen Betriebs, der ShiftBar als Arbeitgeber einsetzt (wird bei Vertragsschluss eingetragen).

Auftragsverarbeiter: Heldenschmiede GmbH, Weinstraße 44, 67146 Deidesheim, HRB 65088 (AG Ludwigshafen), USt-IdNr. DE276635498, vertreten durch den Geschäftsführer Dennis Hofmann.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der SaaS-Anwendung ShiftBar (erreichbar unter app.shiftbar.de) gemäß dem zugrundeliegenden Nutzungsvertrag (AGB ShiftBar, nachfolgend "Hauptvertrag").

(2) Die Verarbeitung umfasst insbesondere die Speicherung, Organisation, Anzeige, Änderung und Löschung der Daten, die der Verantwortliche und dessen Beschäftigte in ShiftBar einstellen bzw. die dabei entstehen (z. B. Stempelzeiten).

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach dessen Beendigung gilt § 8 (Löschung und Rückgabe).

§ 2 Art, Zweck, Umfang der Verarbeitung und betroffene Personen

(1) Zweck: Bereitstellung einer Software zur Dienstplanung, Arbeitszeiterfassung, Personalstammdaten- und Vertragsverwaltung sowie Betriebsorganisation für den gastronomischen Betrieb des Verantwortlichen. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich, um diese vertraglich geschuldeten Funktionen technisch bereitzustellen.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anzeigen, Verändern, Auslesen, Übermitteln (im Rahmen von E-Mail-Benachrichtigungen und Sub-Auftragsverarbeitern), Einschränken und Löschen personenbezogener Daten in einer webbasierten Anwendung.

(3) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (Mitarbeiter, Aushilfen, Minijobber, Werkstudenten, kurzfristig Beschäftigte, Gesellschafter-Geschäftsführer); Bewerber bzw. neu eintretende Mitarbeiter im Onboarding; ggf. als Notfallkontakt benannte Dritte.

(4) Kategorien personenbezogener Daten (allgemein): Stammdaten (Name, Geburtsdaten, Staatsangehörigkeit, Familienstand, Anschrift, Kontaktdaten); Steuer- und Meldedaten (Steuerklasse, Steuer-Identifikationsnummer, Tätigkeitsschlüssel u. a.); Sozialversicherungsdaten (SV-Nummer, Krankenkasse, Versicherungsart u. a.); Bankdaten (IBAN, BIC, Geldinstitut, Kontoinhaber); Beschäftigungs- und Vertragsdaten (Eintritt, Tätigkeit, Stunden, Vergütung, Urlaub, Befristung u. a.); digitale Unterschriften (als Bilddatei) nebst Zeitstempeln; Betriebs- und Nutzungsdaten (Schichten, Verfügbarkeiten, Zeiterfassung, Abwesenheiten, Aufgaben, Logbuch, Benachrichtigungen, Login-Daten sowie – bei aktivierter Standortprüfung – die beim Einstempeln erfasste Geo-Position); hochgeladene Dokumente (z. B. Arbeitsvertrag, Krankmeldung, Ausweiskopie) samt Metadaten.

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Der Verantwortliche kann über ShiftBar auch besondere Kategorien personenbezogener Daten verarbeiten, insbesondere Gesundheitsdaten (Angabe der Schwerbehinderung und des Grades der Behinderung nebst ggf. hochgeladenem Ausweis; Krankmeldungen bzw. Arbeitsunfähigkeitszeiträume; Vermerke zum Status nach § 43 Infektionsschutzgesetz) sowie Daten zur religiösen Überzeugung (Konfession zur Berechnung der Kirchensteuer). Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich im technischen Rahmen der Bereitstellung von ShiftBar und ausschließlich auf Weisung des Verantwortlichen. Die datenschutzrechtliche Zulässigkeit der Verarbeitung dieser Daten (insbesondere ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO, z. B. § 26 Abs. 3 BDSG i. V. m. arbeits- und sozialrechtlichen Pflichten) obliegt dem Verantwortlichen.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung an ein Drittland, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der ShiftBar-Funktionen gemäß Hauptvertrag durch den Verantwortlichen und dessen berechtigte Nutzer gilt als Weisung. Weitergehende Einzelweisungen erfolgen in Textform (E-Mail genügt).

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

§ 4 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Datensicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter ergreift die in Anlage 1 beschriebenen geeigneten technischen und organisatorischen Maßnahmen (TOMs).

(3) Unterauftragsverarbeiter: Der Auftragsverarbeiter nimmt weitere Auftragsverarbeiter nur unter den Voraussetzungen des § 5 in Anspruch.

(4) Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO). Der Verantwortliche kann Stammdaten und hochgeladene Dokumente in ShiftBar unmittelbar selbst einsehen, berichtigen, exportieren und löschen.

(5) Unterstützung bei weiteren Pflichten: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(6) Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt die zur Erfüllung der Meldepflichten des Verantwortlichen (Art. 33, 34 DSGVO) erforderlichen Informationen zur Verfügung.

(7) Nachweis und Löschung/Rückgabe: Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung (§ 7) und löscht oder gibt die Daten nach Beendigung zurück (§ 8).

(8) Ort der Verarbeitung: Die Verarbeitung und Speicherung der Daten erfolgt auf Servern in Deutschland (Rechenzentrum des Hosting-Dienstleisters, siehe Anlage 2). Eine Verarbeitung außerhalb der EU/des EWR findet nur im Rahmen der in Anlage 2 aufgeführten Sub-Auftragsverarbeiter statt, soweit dort ein Drittlandbezug besteht; hierfür gelten die in Anlage 2 benannten Garantien.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Inanspruchnahme der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in Textform mit angemessener Vorlauffrist. Der Verantwortliche kann einer solchen Änderung binnen 14 Tagen aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; kommt eine solche nicht zustande, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung von dessen Pflichten.

(4) Als Unterauftragsverarbeiter gelten nicht Dienste, die der Auftragsverarbeiter als reine Nebenleistung (z. B. Telekommunikation, Wartung) in Anspruch nimmt, ohne dass hierbei planmäßig ein Zugriff auf die Daten des Verantwortlichen erfolgt.

§ 6 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist im datenschutzrechtlichen Sinne allein Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage (u. a. § 26 BDSG, Art. 6 und ggf. Art. 9 DSGVO) für die Verarbeitung der Beschäftigtendaten und der besonderen Kategorien personenbezogener Daten (§ 2 Abs. 5), sowie für die Wahrung der Informationspflichten gegenüber seinen Beschäftigten.

(2) Der Verantwortliche stellt sicher, dass er nur die für den jeweiligen Zweck erforderlichen Daten in ShiftBar einstellt (Datenminimierung) und dass Zugriffsrechte innerhalb seiner Organisation korrekt vergeben werden.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Ergebnisse der Auftragsverarbeitung Fehler oder Unregelmäßigkeiten feststellt.

§ 7 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung der in diesem AVV niedergelegten Pflichten auf Anfrage in geeigneter Weise nach, insbesondere durch Bereitstellung der aktuellen Dokumentation der TOMs (Anlage 1) und ggf. vorliegender Testate oder Berichte seiner Sub-Auftragsverarbeiter.

(2) Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten des Auftragsverarbeiters zu kontrollieren, insbesondere durch Einholung von Auskünften oder – soweit erforderlich – durch Vor-Ort-Kontrollen. Vor-Ort-Kontrollen erfolgen zu den üblichen Geschäftszeiten, mit angemessener Vorankündigung (mindestens vier Wochen), ohne vermeidbare Störung des Betriebsablaufs und unter Wahrung der Geschäftsgeheimnisse und der Datensicherheit anderer Kunden.

§ 8 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

(2) Der Verantwortliche kann vor bzw. bei Beendigung des Hauptvertrags einen Export seiner Daten in einem gängigen, strukturierten Format verlangen (vgl. AGB ShiftBar).

(3) Die Löschung der produktiven Daten erfolgt innerhalb von 30 Tagen nach Vertragsende bzw. nach erfolgtem Export. Bestehende Sicherungskopien (Backups) werden im Rahmen des üblichen Backup-Zyklus überschrieben und spätestens 30 Tage nach Vertragsende endgültig gelöscht.

§ 9 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (AGB ShiftBar) entsprechend, soweit dies gesetzlich zulässig ist.

§ 10 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)

Vertraulichkeit: Betrieb der Anwendung in einem Rechenzentrum des Hosting-Dienstleisters (Hetzner Online GmbH) in Deutschland (Standort Nürnberg); die physische Sicherung obliegt dem Hosting-Dienstleister. Anmeldung der Nutzer über persönliche E-Mail-Adresse mit Einmal-Login-Code (6-stellig, zeitlich begrenzt gültig) sowie optionalem, als bcrypt-Hash gespeicherten Passwort. Brute-Force-Schutz durch Begrenzung der Fehlversuche, Entwertung des Codes und Drosselung der Code-Neuanforderung. Administrativer Server-Zugang ausschließlich über SSH mit Public-Key-Authentifizierung. Rollenbasiertes Berechtigungskonzept (Plattform-Admin, Inhaber/Super-Admin, Filialleiter/Admin, Mitarbeiter). Strikte Mandantentrennung: jeder Datensatz ist einer Organisation zugeordnet, sämtliche Abfragen sind auf die Organisation des angemeldeten Nutzers eingeschränkt.

Integrität: Übertragung sämtlicher Daten zwischen Endgerät und Server ausschließlich transportverschlüsselt (TLS/HTTPS). E-Mail-Versand über einen spezialisierten Dienstleister (siehe Anlage 2). Nachträgliche Änderungen an Zeiterfassungsdatensätzen werden in einem Audit-Log (ändernde Person, Zeitpunkt, altes/neues Feld, Grund) festgehalten; administrative Änderungen an weiteren Inhalten werden in einem Admin-Audit-Log erfasst.

Verfügbarkeit und Belastbarkeit: Betrieb in einer containerisierten Umgebung mit automatischem Neustart der Dienste und Zustandsprüfung (Healthcheck) der Datenbank. Nächtliche Sicherung der Datenbank.

Überprüfung und Trennung: Trennungskontrolle über die Mandantentrennung; Einsatz von Unterauftragsverarbeitern nur gemäß § 5 und Anlage 2. Es bestehen keine förmlichen Sicherheits-Zertifizierungen (z. B. ISO 27001) des Auftragsverarbeiters; hierauf wird ausdrücklich nicht Bezug genommen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Hinweis zu weiteren Diensten: Der KI-Lead-Chatbot der öffentlichen Website shiftbar.de nutzt einen KI-Dienst (Anthropic, USA) und verarbeitet dort ausschließlich die Eingaben von Website-Interessenten, nicht die Personaldaten der Mitarbeiter in der App; er ist daher kein Unterauftragsverarbeiter für die ShiftBar-Personaldaten. Eine optionale KI-gestützte Schichtverteilung ist in der Produktion derzeit nicht aktiviert; vor einer Aktivierung wird sie als Unterauftragsverarbeiter aufgenommen und datenschutzrechtlich bewertet. Der Hosting-Dienstleister setzt seinerseits eigene Sub-Dienstleister ein; Näheres ergibt sich aus dessen Auftragsverarbeitungsvertrag.