Auftragsverarbeitungsvertrag

§ 1 Vertragsparteien

(1) Dieser Auftragsverarbeitungsvertrag wird zwischen dem Unternehmen, das NuKlaroPlan registriert oder nutzt, als Auftraggeber und Verantwortlichem im Sinne der DSGVO, und Nuno Rumor, c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach, Deutschland, als Auftragnehmer und Auftragsverarbeiter geschlossen.

(2) Der Vertrag kommt durch Bestätigung des entsprechenden Kontrollkästchens im Rahmen der Registrierung zustande. Die Bestätigung wird systemseitig dokumentiert.

§ 2 Gegenstand und Dauer

(1) Gegenstand der Verarbeitung ist die Bereitstellung der webbasierten Dienstplanungssoftware NuKlaroPlan einschließlich Registrierung, Authentifizierung, Firmenkonto, Schichtplanung, Abwesenheitsverwaltung, Stunden- und Exportfunktionen, technischer Sicherheit, Fehleranalyse und rechtlicher Nachweise.

(2) Die Verarbeitung beginnt mit Registrierung des Auftraggebers und dauert für die Laufzeit des jeweiligen Vertrags- oder Nutzungsverhältnisses. Gesetzliche Aufbewahrungs-, Nachweis- oder Verjährungsfristen bleiben unberührt.

§ 3 Art und Zweck der Verarbeitung

(1) Die Verarbeitung erfolgt zur technischen Bereitstellung von NuKlaroPlan, zur Verwaltung von Firmen- und Nutzerkonten, zur Erstellung und Pflege von Dienstplänen, zur Verwaltung von Schichten, Mitarbeitern, Bereichen, Objekten, Arbeitszeiten, Monatsversionen, Abwesenheiten und Exporten sowie zur Absicherung des Dienstes.

(2) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, insbesondere durch Vertrag, Produktkonfiguration, Eingaben im Nutzerkonto, Supportanfragen oder sonstige schriftliche Weisungen. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber darauf hin, soweit dies rechtlich zulässig ist.

§ 4 Datenarten und betroffene Personen

(1) Verarbeitet werden können insbesondere Namen, Vornamen, E-Mail-Adressen, Nutzerkennungen, Rollen, Firmen- und Teamdaten, Subdomains, Arbeitsbereiche, Objekte, Schichtkürzel, Arbeitszeiten, Planinformationen, Monatsversionen, Exportdaten, IP-Adressen, User-Agents, technische Protokolldaten und rechtliche Nachweise.

(2) Bei der Verwaltung von Abwesenheiten können Zeitraum, Status der Abwesenheit und die Zuordnung zu einem Mitarbeiter verarbeitet werden. Soweit der Auftraggeber krankheitsbedingte Abwesenheiten kennzeichnet, können Gesundheitsdaten im Sinne von Art. 9 DSGVO in Form des krankheitsbezogenen Abwesenheitsstatus und des zugehörigen Zeitraums verarbeitet werden.

(3) Diagnosen, ärztliche Befunde, Arbeitsunfähigkeitsbescheinigungen oder sonstige medizinische Detailinformationen sind nicht Gegenstand der vorgesehenen Standardfunktionen von NuKlaroPlan und sollen durch den Auftraggeber nicht gespeichert werden.

(4) Betroffene Personen sind insbesondere Nutzer und Ansprechpartner des Auftraggebers sowie Mitarbeiter, freie Mitarbeiter, Aushilfen oder sonstige Personen, die der Auftraggeber in NuKlaroPlan erfasst.

§ 5 Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung, die Auswahl der verarbeiteten Daten, die Information betroffener Personen, die Wahrung von Betroffenenrechten und die Zulässigkeit der Eingaben in NuKlaroPlan verantwortlich.

(2) Der Auftraggeber stellt sicher, dass für die Verarbeitung personenbezogener Daten, einschließlich etwaiger Gesundheitsdaten bei krankheitsbedingten Abwesenheiten, eine geeignete Rechtsgrundlage besteht und nur erforderliche Daten eingegeben werden.

§ 6 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur im Rahmen dieses Vertrags und dokumentierter Weisungen des Auftraggebers. Er stellt sicher, dass mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Pflicht unterliegen.

(2) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Beantwortung von Anfragen betroffener Personen sowie bei der Erfüllung von Pflichten nach Art. 32 bis 36 DSGVO, soweit dies nach Art, Umfang und Zweck der Verarbeitung angemessen möglich ist.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten bekannt werden, die Daten des Auftraggebers betreffen.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Der aktuelle Stand umfasst insbesondere Authentifizierung, Prüfung aktiver Firmenmitgliedschaften, logische Mandantentrennung, verschlüsselte öffentliche Übertragung und backendseitige Verwaltung von Firestore-Daten sowie Dokumenten in Cloud Storage.

(2) Cloud-Firestore-Daten werden in der Google-Cloud-Region europe-west3 gespeichert. Die Anwendungsinfrastruktur wird über Server4You sowie die von Server4You eingesetzten Rechenzentrumsstandorte innerhalb der Europäischen Union betrieben. Rollen- und Berechtigungsfunktionen, strukturierte Audit-Protokolle, Backup-/Restore-Dokumentation und Incident-Prozesse werden im Zuge der Produktweiterentwicklung konkretisiert und dokumentiert.

§ 8 Anlage: Technische und organisatorische Maßnahmen

(1) Die folgenden technischen und organisatorischen Maßnahmen beschreiben den derzeitigen Umsetzungsstand von NuKlaroPlan. Maßnahmen, die noch nicht vollständig umgesetzt oder dokumentiert sind, werden entsprechend gekennzeichnet.

• Zugangskontrolle - umgesetzt: Nutzerzugänge werden über Firebase Authentication geschützt. Backend-Endpunkte prüfen gültige Firebase-ID-Tokens; widerrufene Tokens werden bei geschützten API-Aufrufen berücksichtigt.
• Zugriffskontrolle - teilweise umgesetzt: Der Zugriff auf firmenbezogene Funktionen setzt eine aktive Firmenmitgliedschaft voraus. Administrative Zugriffe erfolgen nur im Rahmen von Betrieb, Wartung und Fehlerbehebung durch den Betreiber.
• Mandantentrennung - umgesetzt: Firmen- und Planungsdaten werden logisch nach Firmenkonten getrennt verarbeitet und unter den jeweiligen Firmenbereichen in Firestore abgelegt.
• Transportverschlüsselung - umgesetzt im öffentlichen Betrieb: Die öffentliche Übertragung zwischen Browser und Anwendung erfolgt über HTTPS/TLS. Die Anwendung wird hinter einem TLS-terminierenden Reverse Proxy betrieben.
• Firestore-Zugriff - umgesetzt für Backend-Verarbeitung: Schichtplanungsdaten werden über definierte Backend-Endpunkte und das Firebase Admin SDK verarbeitet. Kunden erhalten keinen direkten administrativen Firestore-Zugriff.
• Rollen- und Berechtigungssystem - teilweise umgesetzt: Firmenmitgliedschaften und Rollen werden gespeichert. Die aktuelle Zugriffskontrolle basiert auf aktiver Firmenmitgliedschaft und firmenbezogener Datenabgrenzung. Erweiterte rollen- und funktionsbezogene Berechtigungen werden schrittweise ausgebaut.
• Logging - teilweise umgesetzt: Technische Fehler und sicherheitsrelevante Betriebsereignisse können serverseitig protokolliert werden. Ein strukturiertes Audit-Logging für Kundenaktionen befindet sich im Aufbau.
• Backup- und Restore-Konzept - in Vorbereitung: Ein eigenständiges app-spezifisches Backup- und Restore-Konzept wird vor der endgültigen Produktivfreigabe beziehungsweise bei entsprechendem Kundenbedarf konkret dokumentiert.
• Incident-Management - in Vorbereitung: Sicherheitsvorfälle werden geprüft und nach Erforderlichkeit bearbeitet. Ein formalisierter Prozess mit festen Meldewegen, Zuständigkeiten und Dokumentationsschritten wird weiter ausgearbeitet.

§ 9 Unterauftragsverarbeiter und externe Dienstleister

(1) Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese für Betrieb, Sicherheit, Hosting, Authentifizierung, Datenbankbetrieb, Speicherfunktionen, E-Mail-Versand, Zahlungsabwicklung oder Support von NuKlaroPlan erforderlich sind.

(2) Eingesetzte Unterauftragsverarbeiter und technische Dienstleister sind insbesondere:

• Google Ireland Limited sowie mit dieser verbundene Unternehmen der Google-Gruppe: Firebase Authentication, Cloud Firestore, Cloud Storage und zugehörige Cloud-Dienste.
• Server4You: Hosting, Serverbetrieb und technische Infrastruktur sowie die von Server4You eingesetzten Rechenzentrumsstandorte innerhalb der Europäischen Union gemäß aktueller Leistungsbeschreibung des Anbieters.
• Brevo (Sendinblue SAS, Frankreich): Versand transaktionaler E-Mails wie Registrierungs-, Verifizierungs-, Passwort-Reset- und System-E-Mails.
• Stripe Payments Europe Ltd.: Zahlungsabwicklung, insbesondere Verarbeitung von Zahlungs-, Rechnungs- und Transaktionsdaten. Stripe handelt hinsichtlich der Zahlungsabwicklung teilweise als eigenständiger Verantwortlicher im Sinne der DSGVO. Mitarbeiter-, Schicht-, Urlaubs- oder Krankheitsdaten werden nicht an Stripe übermittelt.

(3) Der Auftragnehmer schließt mit Unterauftragsverarbeitern, soweit erforderlich, Vereinbarungen gemäß Art. 28 DSGVO oder vergleichbare datenschutzrechtliche Vereinbarungen ab und verpflichtet diese auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen. Änderungen bei Unterauftragsverarbeitern werden dem Auftraggeber in geeigneter Weise mitgeteilt. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 10 Drittlandübermittlungen

(1) Die primäre Speicherung von Schichtplanungsdaten in Cloud Firestore erfolgt in der Region europe-west3. Dokumente und Dateiablagen können in Cloud Storage verarbeitet werden. Je nach eingesetztem Firebase-Dienst können Authentifizierungs- oder technische Betriebsdaten auch außerhalb der EU beziehungsweise des EWR verarbeitet werden.

(2) Soweit eine Übermittlung in ein Drittland erfolgt, stellt der Auftragnehmer sicher, dass hierfür geeignete Garantien oder anwendbare Transfermechanismen bestehen, insbesondere Angemessenheitsbeschlüsse, das EU-U.S. Data Privacy Framework, soweit anwendbar, oder Standardvertragsklauseln.

§ 11 Löschung und Rückgabe

(1) Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten des Auftraggebers spätestens innerhalb von 30 Tagen gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Soweit Exportfunktionen bereitgestellt werden, kann der Auftraggeber Daten vor Vertragsende exportieren.

(2) Backups und technische Wiederherstellungssysteme werden nach den üblichen Löschzyklen der eingesetzten Infrastruktur bereinigt. Gesetzliche Nachweis- und Verjährungsfristen können zu einer längeren Speicherung einzelner Nachweise führen.

§ 12 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf angemessene Anfrage Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Prüfungen erfolgen grundsätzlich durch Auskunft, Dokumentation oder geeignete Nachweise.

(2) Vor-Ort-Kontrollen sind nur nach vorheriger Abstimmung, während üblicher Geschäftszeiten, unter Wahrung von Sicherheits- und Vertraulichkeitsinteressen sowie ohne Beeinträchtigung des Betriebs oder der Rechte anderer Kunden möglich. Kosten und Umfang sind angemessen zu begrenzen.

§ 13 Schlussbestimmungen

(1) Dieser Auftragsverarbeitungsvertrag ergänzt den Nutzungsvertrag über NuKlaroPlan. Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser Vertrag vor. Änderungen dieses Vertrags werden versioniert bereitgestellt und, soweit erforderlich, erneut bestätigt.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland, soweit zwingende datenschutzrechtliche Vorschriften nichts anderes bestimmen.