Vertrag zur Auftragsverarbeitung (AVV)

1. Vertragsparteien

Verantwortlicher (Kunde): TODO: Firmenname und Anschrift des Kunden
Auftragsverarbeiter (Anbieter): TODO: Firmenname und Anschrift Anbieter

2. Gegenstand und Dauer

Gegenstand: Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung von Locast (Zeiterfassung, Dienstplan, Abwesenheits- und Lohnverwaltung).

Dauer: für die Laufzeit des Hauptvertrags. TODO: Genauer Vertragszeitraum

3. Art und Zweck der Verarbeitung

• Erfassung, Speicherung und Verarbeitung von Arbeitszeitdaten
• Bereitstellung von Auswertungen und Exporten
• Authentifizierung und Zugriffssteuerung

4. Kategorien betroffener Personen

• Beschäftigte des Kunden (inkl. Aushilfen, Minijobber, Auszubildende)
• TODO: Ggf. weitere Personenkategorien

5. Kategorien personenbezogener Daten

• Stammdaten (Name, Personalnummer)
• Kontaktdaten
• Arbeitszeiten, Pausen, Schichten, Abwesenheiten
• Authentifizierungsdaten (PIN-Hash)

6. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
• Ergreifung der erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage TOM)
• Unterstützung des Verantwortlichen bei Betroffenenanfragen und Pflichten nach Art. 32–36 DSGVO
• Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von TODO: Stunden

7. Technische und organisatorische Maßnahmen (TOM)

TODO: Separates TOM-Dokument beifügen: Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeitskontrolle, Trennungsgebot, Pseudonymisierung, Verschlüsselung, Backup-Konzept

8. Unterauftragsverarbeiter

Der Kunde stimmt folgenden Unterauftragsverarbeitern zu:

• Hosting/Datenbank: TODO: Hoster-Name, Region, Zweck
• TODO: Weitere Subunternehmer (E-Mail, Monitoring, etc.)

Über Änderungen wird der Verantwortliche mindestens TODO: Anzahl Tage im Voraus informiert; Widerspruchsrecht besteht.

9. Rechte des Verantwortlichen

• Weisungsrecht
• Kontrollrecht (auch durch beauftragte Dritte)
• Anspruch auf Nachweise (z. B. Zertifikate, Auditberichte)

10. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. TODO: Frist konkretisieren

11. Haftung

TODO: Haftungsregelung gemäß Art. 82 DSGVO durch Anwalt prüfen

12. Schlussbestimmungen

Anwendbares Recht: Recht der Bundesrepublik Deutschland. Gerichtsstand: TODO: Ort. Änderungen bedürfen der Textform.