Auftragsverarbeitungsvertrag (AVV)

Dieser AVV wird bei Vertragsschluss zwischen dem Kunden (Verantwortlicher) und der Heldenschmiede GmbH (Auftragsverarbeiter) geschlossen und mit den Angaben des Kunden ausgefüllt.

Verantwortlicher (Auftraggeber): Firma, Anschrift und Ansprechpartner des gastronomischen Betriebs, der ShiftBar als Arbeitgeber einsetzt (Identifikation und Stammdaten ergeben sich aus den bei der Registrierung hinterlegten Angaben; der angenommene Fassungsstand dieses Vertrages wird mit Datum protokolliert).

Auftragsverarbeiter: Heldenschmiede GmbH, Weinstraße 44, 67146 Deidesheim, HRB 65088 (AG Ludwigshafen), USt-IdNr. DE276635498, vertreten durch den Geschäftsführer Dennis Hofmann.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der SaaS-Anwendung ShiftBar (erreichbar unter app.shiftbar.de) gemäß dem zugrundeliegenden Nutzungsvertrag (AGB ShiftBar, nachfolgend "Hauptvertrag").

(2) Die Verarbeitung umfasst insbesondere die Speicherung, Organisation, Anzeige, Änderung und Löschung der Daten, die der Verantwortliche und dessen Beschäftigte in ShiftBar einstellen bzw. die dabei entstehen (z. B. Stempelzeiten).

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach dessen Beendigung gilt § 8 (Löschung und Rückgabe).

§ 2 Art, Zweck, Umfang der Verarbeitung und betroffene Personen

(1) Zweck: Bereitstellung einer Software zur Dienstplanung, Arbeitszeiterfassung, Personalstammdaten- und Vertragsverwaltung sowie Betriebsorganisation für den gastronomischen Betrieb des Verantwortlichen. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich, um diese vertraglich geschuldeten Funktionen technisch bereitzustellen.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anzeigen, Verändern, Auslesen, Übermitteln (im Rahmen von E-Mail-Benachrichtigungen und Sub-Auftragsverarbeitern), Einschränken und Löschen personenbezogener Daten in einer webbasierten Anwendung.

(3) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (Mitarbeiter, Aushilfen, Minijobber, Werkstudenten, kurzfristig Beschäftigte, Gesellschafter-Geschäftsführer); Bewerber bzw. neu eintretende Mitarbeiter im Onboarding; ggf. als Notfallkontakt benannte Dritte.

(4) Kategorien personenbezogener Daten (allgemein): Stammdaten (Name, Geburtsdaten, Staatsangehörigkeit, Familienstand, Anschrift, Kontaktdaten); Steuer- und Meldedaten (Steuerklasse, Steuer-Identifikationsnummer, Tätigkeitsschlüssel u. a.); Sozialversicherungsdaten (SV-Nummer, Krankenkasse, Versicherungsart u. a.); Bankdaten (IBAN, BIC, Geldinstitut, Kontoinhaber); Beschäftigungs- und Vertragsdaten (Eintritt, Tätigkeit, Stunden, Vergütung, Urlaub, Befristung u. a.); digitale Unterschriften (als Bilddatei) nebst Zeitstempeln; Betriebs- und Nutzungsdaten (Schichten, Verfügbarkeiten, Zeiterfassung, Abwesenheiten, Aufgaben, Logbuch, Benachrichtigungen, Login-Daten sowie – bei aktivierter Standortprüfung – die beim Einstempeln erfasste Geo-Position); hochgeladene Dokumente (z. B. Arbeitsvertrag, Krankmeldung, Ausweiskopie) samt Metadaten.

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Der Verantwortliche kann über ShiftBar auch besondere Kategorien personenbezogener Daten verarbeiten, insbesondere Gesundheitsdaten (Angabe der Schwerbehinderung und des Grades der Behinderung nebst ggf. hochgeladenem Ausweis; Krankmeldungen bzw. Arbeitsunfähigkeitszeiträume; Vermerke zum Status nach § 43 Infektionsschutzgesetz) sowie Daten zur religiösen Überzeugung (Konfession zur Berechnung der Kirchensteuer). Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich im technischen Rahmen der Bereitstellung von ShiftBar und ausschließlich auf Weisung des Verantwortlichen. Die datenschutzrechtliche Zulässigkeit der Verarbeitung dieser Daten (insbesondere ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO, z. B. § 26 Abs. 3 BDSG i. V. m. arbeits- und sozialrechtlichen Pflichten) obliegt dem Verantwortlichen.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung an ein Drittland, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der ShiftBar-Funktionen gemäß Hauptvertrag durch den Verantwortlichen und dessen berechtigte Nutzer gilt als Weisung. Weitergehende Einzelweisungen erfolgen in Textform (E-Mail genügt).

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

§ 4 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Datensicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter ergreift die in Anlage 1 beschriebenen geeigneten technischen und organisatorischen Maßnahmen (TOMs).

(3) Unterauftragsverarbeiter: Der Auftragsverarbeiter nimmt weitere Auftragsverarbeiter nur unter den Voraussetzungen des § 5 in Anspruch.

(4) Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO). Der Verantwortliche kann in ShiftBar zu jeder betroffenen Person einen vollständigen, maschinenlesbaren Auszug erzeugen (Auskunft und Datenkopie nach Art. 15 DSGVO sowie, soweit anwendbar, Datenübertragbarkeit nach Art. 20 DSGVO), der neben Stammdaten, Dokumenten, Arbeitszeiten samt Änderungsprotokoll, Abwesenheiten, Schichten und Benachrichtigungen auch die Empfänger und die geltenden Aufbewahrungsfristen ausweist. Stammdaten und Dokumente kann er unmittelbar einsehen und berichtigen. Eine Verarbeitungseinschränkung nach Art. 18 DSGVO kann je Person gesetzt werden; sie hält die automatische Löschung an.

(5) Unterstützung bei weiteren Pflichten: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(6) Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in der Regel innerhalb von 48 Stunden ab eigener Kenntnis, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt die zur Erfüllung der Meldepflichten des Verantwortlichen (Art. 33, 34 DSGVO) erforderlichen Informationen zur Verfügung: Art des Vorfalls, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Der Auftragsverarbeiter hält hierfür ein dokumentiertes Verfahren vor und führt ein Verzeichnis aller Verletzungen einschließlich derjenigen, die nicht meldepflichtig waren (Art. 33 Abs. 5 DSGVO).

(7) Nachweis und Löschung/Rückgabe: Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung (§ 7) und löscht oder gibt die Daten nach Beendigung zurück (§ 8).

(8) Ort der Verarbeitung: Die Verarbeitung und Speicherung der Daten erfolgt auf Servern in Deutschland (Rechenzentrum des Hosting-Dienstleisters, siehe Anlage 2). Eine Verarbeitung außerhalb der EU/des EWR findet nur im Rahmen der in Anlage 2 aufgeführten Sub-Auftragsverarbeiter statt, soweit dort ein Drittlandbezug besteht; hierfür gelten die in Anlage 2 benannten Garantien.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Inanspruchnahme der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in Textform mit einer Frist von mindestens 30 Tagen. Der Verantwortliche kann innerhalb dieser Frist widersprechen; eines wichtigen Grundes bedarf es dafür nicht. Ohne Widerspruch gilt die Genehmigung als erteilt; darauf weist der Auftragsverarbeiter in der Information ausdrücklich hin. Im Fall eines Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; kommt binnen 14 Tagen keine solche zustande, ist jede Partei berechtigt, den Hauptvertrag hinsichtlich der betroffenen Leistung mit einer Frist von einem Monat zum Monatsende zu kündigen. Ist der kurzfristige Austausch eines Unterauftragsverarbeiters aus wichtigem Grund erforderlich, insbesondere bei einem Sicherheitsvorfall oder bei Einstellung der Leistung durch den bisherigen Dienstleister, informiert der Auftragsverarbeiter unverzüglich; das Widerspruchsrecht des Verantwortlichen bleibt unberührt.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung von dessen Pflichten.

(4) Als Unterauftragsverarbeiter gelten nicht Dienste, die hinsichtlich der betreffenden Verarbeitung selbst Verantwortliche sind, sowie reine Nebenleistungen (z. B. Telekommunikation), bei denen keine personenbezogenen Daten des Verantwortlichen im Auftrag verarbeitet werden und ein Zugriff auf solche Daten aufgrund der technischen und organisatorischen Ausgestaltung ausgeschlossen ist. Soweit ein Dienstleister personenbezogene Daten des Verantwortlichen im Auftrag verarbeitet oder im Rahmen seiner Leistung Zugriff auf diese Daten erhalten kann — etwa bei der Wartung —, gelten die Regelungen dieses § 5.

§ 6 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist im datenschutzrechtlichen Sinne allein Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage (u. a. § 26 BDSG, Art. 6 und ggf. Art. 9 DSGVO) für die Verarbeitung der Beschäftigtendaten und der besonderen Kategorien personenbezogener Daten (§ 2 Abs. 5), sowie für die Wahrung der Informationspflichten gegenüber seinen Beschäftigten.

(2) Der Verantwortliche stellt sicher, dass er nur die für den jeweiligen Zweck erforderlichen Daten in ShiftBar einstellt (Datenminimierung) und dass Zugriffsrechte innerhalb seiner Organisation korrekt vergeben werden.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Ergebnisse der Auftragsverarbeitung Fehler oder Unregelmäßigkeiten feststellt.

§ 7 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung der in diesem AVV niedergelegten Pflichten auf Anfrage in geeigneter Weise nach, insbesondere durch Bereitstellung der aktuellen Dokumentation der TOMs (Anlage 1) und ggf. vorliegender Testate oder Berichte seiner Sub-Auftragsverarbeiter.

(2) Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten des Auftragsverarbeiters zu kontrollieren, insbesondere durch Einholung von Auskünften, durch Prüfung der nach Absatz 1 bereitgestellten Nachweise oder – soweit erforderlich – durch Vor-Ort-Kontrollen. Er kann die Kontrolle selbst durchführen oder durch einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen; der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein. Turnusmäßige Vor-Ort-Kontrollen erfolgen zu den üblichen Geschäftszeiten mit einer Vorankündigung von mindestens vier Wochen und höchstens einmal je Kalenderjahr. Besteht ein konkreter Anlass – insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, bei begründetem Verdacht eines Datenschutzverstoßes oder auf Anforderung einer Aufsichtsbehörde –, ist eine angemessen kürzere Vorankündigung zulässig und die Jahresbegrenzung gilt nicht. Kontrollen erfolgen ohne vermeidbare Störung des Betriebsablaufs und unter Wahrung der Geschäftsgeheimnisse sowie der Datensicherheit anderer Kunden. In Rechenzentren von Unterauftragsverarbeitern finden keine Vor-Ort-Kontrollen durch den Verantwortlichen statt; insoweit genügt der Nachweis durch aktuelle Testate oder Prüfberichte des jeweiligen Unterauftragsverarbeiters. Jede Partei trägt die ihr durch die Kontrolle entstehenden Kosten selbst.

§ 8 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

(2) Der Verantwortliche kann vor bzw. bei Beendigung des Hauptvertrags einen Export seiner Daten in einem gängigen, strukturierten Format verlangen (vgl. AGB ShiftBar). Er kann ihn zusätzlich jederzeit selbst erzeugen: einen Gesamtauszug des Betriebs sowie je Person einen vollständigen Auszug einschließlich der hinterlegten Dokumente. Beides ist vor einer Kontolöschung zusammen zu sichern, da der Gesamtauszug die Dokumentinhalte aus Gründen der Dateigröße nicht enthält.

(2a) Aufbewahrung der Sicherungskopien: Die Datenbank wird täglich gesichert. Die Sicherungen werden auf dem Produktivsystem vorgehalten und zusätzlich in ein zweites Rechenzentrum desselben Hosting-Dienstleisters (Falkenstein) ausgelagert. An beiden Orten werden sie spätestens 90 Tage nach ihrer Erstellung gelöscht. Sicherungen, die anlässlich einzelner Wartungsarbeiten erstellt werden, unterliegen derselben Frist von 90 Tagen. Sämtliche Sicherungen werden verschlüsselt gespeichert. Eine gezielte Löschung einzelner Datensätze aus bereits erstellten Sicherungskopien ist technisch nicht möglich. Verlangt der Verantwortliche die Löschung von Daten, wird sie im produktiven Datenbestand ausgeführt; aus den Sicherungskopien entfallen die Daten mit dem Ablauf der Rotation. Bis dahin werden die Sicherungen ausschließlich zur Wiederherstellung im Störungsfall verwendet. Maßgeblich für die Sicherungskopien ist die letzte Sicherung, die vor der Löschung der produktiven Daten nach Absatz 3 erstellt wurde: Spätestens 90 Tage nach dieser Sicherung sind die personenbezogenen Daten des Verantwortlichen auch aus sämtlichen Sicherungskopien entfernt. Da die produktive Löschung nach Absatz 3 innerhalb von 30 Tagen nach Vertragsende erfolgt, sind die Daten bei regulärem Ablauf spätestens rund 120 Tage nach Vertragsende vollständig entfernt.

(3) Die Löschung der produktiven Daten erfolgt innerhalb von 30 Tagen nach Vertragsende bzw. nach erfolgtem Export. Der Vorgang läuft automatisiert: Nach einer Karenzzeit von 14 Tagen, in der die Löschung noch widerrufen werden kann, entfernt ein täglich laufender Auftrag sämtliche Daten des Betriebs aus der Produktivdatenbank. Eine dokumentierte Sperre unterbricht die Löschung nur, soweit der Verantwortliche eine dokumentierte Weisung zur weiteren Aufbewahrung oder zur Einschränkung der Verarbeitung erteilt hat oder soweit Unionsrecht oder das Recht eines Mitgliedstaats den Auftragsverarbeiter zur weiteren Speicherung verpflichtet. Im letzteren Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen über Rechtsgrund, Umfang und voraussichtliche Dauer der Speicherung, soweit dies rechtlich zulässig ist. Die betroffenen Daten werden während dieser Zeit für andere Zwecke gesperrt und nach Wegfall des Speichergrundes gelöscht.

§ 9 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (AGB ShiftBar) entsprechend, soweit dies gesetzlich zulässig ist.

§ 10 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)

Vertraulichkeit: Betrieb der Anwendung in einem Rechenzentrum des Hosting-Dienstleisters (Hetzner Online GmbH) in Deutschland (Standort Nürnberg); die Sicherungen werden zusätzlich in ein zweites Rechenzentrum desselben Dienstleisters in Deutschland ausgelagert (Standort Falkenstein). Die physische Sicherung obliegt dem Hosting-Dienstleister. Anmeldung der Nutzer über persönliche E-Mail-Adresse mit Einmal-Login-Code (6-stellig, zeitlich begrenzt gültig) sowie optionalem, als bcrypt-Hash gespeicherten Passwort. Brute-Force-Schutz durch Begrenzung der Fehlversuche, Entwertung des Codes und Drosselung der Code-Neuanforderung. Administrativer Server-Zugang ausschließlich über SSH mit Public-Key-Authentifizierung. Rollenbasiertes Berechtigungskonzept (Plattform-Admin, Inhaber/Super-Admin, Filialleiter/Admin, Mitarbeiter). Mandantentrennung: Jeder Datensatz ist einer Organisation zugeordnet; Zugriffe regulärer Kundenrollen werden anhand dieser Zuordnung auf die Organisation des angemeldeten Nutzers beschränkt. Davon getrennt besteht eine Plattform-Administration des Auftragsverarbeiters, die für Betrieb und Störungsbeseitigung organisationsübergreifend zugreifen kann; dieser Zugriff erfolgt nur im erforderlichen Umfang über gesonderte Berechtigungen.

Integrität: Übertragung sämtlicher Daten zwischen Endgerät und Server ausschließlich transportverschlüsselt (TLS/HTTPS). Feldweise verschlüsselt in der Datenbank abgelegt (AES-256-GCM, anwendungsseitig) werden: Angabe zur Schwerbehinderung und Grad der Behinderung, Konfession, Krankenkasse und privater Krankenversicherer, Rentenbefreiung, Notfallkontakt, Steuer-Identifikationsnummer, Sozialversicherungsnummer sowie Bankverbindung (IBAN, BIC, Kontoinhaber). Ebenfalls verschlüsselt abgelegt werden die Inhalte der Dokumente, die zu einer beschäftigten Person in deren Personalakte hinterlegt werden — darunter Arbeitsverträge, Arbeitsunfähigkeitsbescheinigungen, Ausweiskopien und Schwerbehindertennachweise. Nicht verschlüsselt sind demgegenüber die Dateien der allgemeinen betrieblichen Dokumentenablage (Wiki, Betriebsunterlagen); sie ist nicht für Personaldokumente vorgesehen. Ohne den nur auf dem Anwendungsserver hinterlegten Schlüssel sind diese Felder und Dateien auch bei einem Zugriff auf die Datenbank oder eine Sicherungskopie nicht lesbar; fehlt der Schlüssel, startet die Anwendung in der Produktion nicht und speichert die betroffenen Daten insbesondere nicht ersatzweise im Klartext.

Nicht feldweise verschlüsselt sind demgegenüber Name, Anschrift und Geburtsdatum sowie der Zeitraum einer Arbeitsunfähigkeit (Beginn und Ende der Krankschreibung); der Zeitraum wird für die betriebliche Auswertung von Fehlzeiten benötigt und wäre verschlüsselt nicht auswertbar. Die Bescheinigung selbst ist verschlüsselt.

E-Mail-Versand über einen spezialisierten Dienstleister (siehe Anlage 2). Nachträgliche Änderungen an Zeiterfassungsdatensätzen werden in einem Audit-Log (ändernde Person, Zeitpunkt, altes/neues Feld, Grund) festgehalten; administrative Änderungen an weiteren Inhalten werden in einem Admin-Audit-Log erfasst. Ein Protokoll darüber, wer welche Personalakte gelesen hat, besteht derzeit nicht.

Verfügbarkeit und Belastbarkeit: Betrieb in einer containerisierten Umgebung mit automatischem Neustart der Dienste und Zustandsprüfung (Healthcheck) der Datenbank. Nächtliche Sicherung der Datenbank.

Überprüfung und Trennung: Trennungskontrolle über die Mandantentrennung; Einsatz von Unterauftragsverarbeitern nur gemäß § 5 und Anlage 2. Es bestehen keine förmlichen Sicherheits-Zertifizierungen (z. B. ISO 27001) des Auftragsverarbeiters; hierauf wird ausdrücklich nicht Bezug genommen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Push-Benachrichtigungen: Aktiviert eine beschäftigte Person Benachrichtigungen auf ihrem Gerät, entsteht dabei eine vom BROWSER vergebene Zustelladresse. ShiftBar sendet die Nachricht verschlüsselt an diese Adresse; sie wird vom Push-Dienst des jeweiligen Browsers zugestellt (Apple, Google oder Mozilla – je nach Gerät). Übermittelt werden die Zustelladresse, ein öffentlicher Schlüssel und der verschlüsselte Nachrichteninhalt; der Anbieter des Push-Dienstes kann den Inhalt nicht lesen. Diese Anbieter sind in der Tabelle oben nicht aufgeführt, weil sie nicht von ShiftBar beauftragt werden: Der Zustellweg hängt an der Browserwahl der beschäftigten Person, nicht an einer Auswahlentscheidung des Auftragsverarbeiters. Wer keine Benachrichtigungen aktiviert, löst diesen Vorgang nicht aus. Der Verantwortliche wird hierauf hingewiesen, damit er es in seiner eigenen Beschäftigteninformation nennen kann.

Hinweis zu weiteren Diensten: Auf der öffentlichen Website shiftbar.de läuft zusätzlich ein KI-Lead-Chatbot desselben Anbieters (Anthropic). Dieser verarbeitet ausschließlich die Eingaben von Website-Interessenten und keine Daten aus der Anwendung; er ist deshalb nicht Gegenstand dieses Vertrags. Stripe wird oben aus Gründen der Transparenz aufgeführt; für die Zahlungsabwicklung handelt Stripe aufgrund eigener gesetzlicher Pflichten weitgehend als eigener Verantwortlicher. Beschäftigtendaten werden nicht an Stripe übermittelt. Eine optionale KI-gestützte Schichtverteilung ist in der Produktion derzeit nicht aktiviert; vor einer Aktivierung wird sie hier aufgenommen und datenschutzrechtlich bewertet. Der Hosting-Dienstleister setzt seinerseits eigene Sub-Dienstleister ein; Näheres ergibt sich aus dessen Auftragsverarbeitungsvertrag.