Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Präambel

Dieser Vertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen des zwischen ihnen geschlossenen Hauptvertrages über die Nutzung der SaaS-Plattform ShiftScan (nachfolgend „Hauptvertrag").

Verantwortlicher (nachfolgend „Auftraggeber"): der Kunde gemäß Hauptvertrag.

Auftragsverarbeiter (nachfolgend „Auftragnehmer"): DeviceDoc, Inhaber Nedim Husidic, Anebosstraße 6, 67065 Ludwigshafen am Rhein, vertreten durch den Inhaber Nedim Husidic.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber bleibt Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

Dieser AVV ist integraler Bestandteil des Hauptvertrages (AGB § 14) und wird mit dessen Abschluss in elektronischer Form (Art. 28 Abs. 9 DSGVO) wirksam vereinbart; einer gesonderten Unterzeichnung bedarf es nicht. Auf Anforderung stellt der Auftragnehmer dem Auftraggeber eine unterzeichnete Fassung bereit.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung der ShiftScan-Plattform zur digitalen Zeiterfassung, Schicht- und Einsatzplanung, Abwesenheits- und Urlaubsverwaltung, Objektverwaltung, Lohn-/Zeitdatenexport, Leistungsnachweisführung (u. a. Wachbuch-/Rundgangs-, Reinigungs- und Winterdienst-Nachweise), Team-Chat, Auftraggeber-/Kundenportal, Personen-Notsignal/Alleinarbeiter-Schutz, Bewerbermanagement (Bewerberportal), Kunden-/Zufriedenheitsumfragen, optionale Schnittstellen zu Buchhaltungsdiensten, KI-gestützte Assistenzfunktionen (insbesondere On-Demand-Übersetzung von Chat-Nachrichten, Hilfe-Assistent, Entwurf von Stellenanzeigen, Ticket-/Mängel-Triage, aggregierte Auswertung anonymer Umfrage-Kommentare, Schichtbericht-Entwürfe — Einzelheiten in Anlage 1 und Anlage 3) sowie der zugehörigen Benachrichtigungs- und Abrechnungsfunktionen.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Bereitstellen durch Übermittlung, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.

(3) Zweck: ausschließlich die Erbringung der vertraglich vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

(4) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages. Die Regelungen zur Löschung/Rückgabe nach Vertragsende (§ 11) bleiben unberührt.

Die Einzelheiten der Verarbeitung ergeben sich aus Anlage 1.

§ 2 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich der Übermittlung in Drittländer, sofern nicht eine Rechtspflicht entgegensteht; in diesem Fall teilt der Auftragnehmer dies vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet.

(2) Weisungen werden grundsätzlich durch die Konfiguration und Nutzung der Plattform durch den Auftraggeber erteilt. Darüber hinausgehende Einzelweisungen erfolgen in Textform an info@shiftscan.de.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 3 Art der Daten und Kategorien betroffener Personen

Gegenstand der Verarbeitung sind die in Anlage 1 im Einzelnen aufgeführten Datenarten und Kategorien betroffener Personen. Hierzu zählen ausdrücklich besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (Gesundheitsdaten), soweit der Auftraggeber Abwesenheitsgründe wie „krank" oder „Kind krank" erfasst.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragnehmer setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um und hält diese für die Dauer der Verarbeitung aufrecht.

(2) Die Maßnahmen können im Lauf des Vertragsverhältnisses an den Stand der Technik angepasst werden; das Schutzniveau der vereinbarten Maßnahmen darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

§ 5 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Verschwiegenheitsverpflichtung besteht auch nach Beendigung des Vertrages fort.

§ 6 Inanspruchnahme von Unterauftragsverarbeitern

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zur Hinzuziehung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit angemessener Frist und gibt dem Auftraggeber die Möglichkeit, gegen derartige Änderungen aus wichtigem datenschutzrechtlichem Grund Einspruch zu erheben (innerhalb von 14 Tagen ab Zugang der Information).

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter auf datenschutzrechtliche Verpflichtungen, die denen dieses AVV entsprechen, insbesondere hinreichende Garantien gemäß Art. 28 Abs. 4 DSGVO.

§ 7 Unterstützung des Auftraggebers; Betroffenenrechte

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO), insbesondere durch Bereitstellung von Funktionen zur Auskunft, Datenexport (u. a. CSV-/Lohnexport, REST-API) und Löschung.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntnisnahme.

(2) Die Meldung enthält mindestens die Angaben gemäß Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 9 Kontrollrechte und Nachweise

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Auftragnehmer ermöglicht Überprüfungen, einschließlich Inspektionen, die der Auftraggeber oder ein von ihm beauftragter Prüfer durchführt. Überprüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. Der Nachweis kann auch durch geeignete Zertifikate oder Berichte unabhängiger Stellen erbracht werden.

§ 10 Mitteilungspflichten des Auftragnehmers

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt, sowie bei Kontrollen oder Maßnahmen von Aufsichtsbehörden, soweit diese die Verarbeitung im Auftrag betreffen.

§ 11 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Verarbeitung löscht der Auftragnehmer nach Wahl des Auftraggebers sämtliche personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die Rückgabe erfolgt durch Bereitstellung eines vollständigen Datenexports über einen gesicherten, authentifizierten und zeitlich begrenzten Download. Der Auftraggeber kann seine Daten zudem während der Vertragslaufzeit und bis zum Wirksamwerden der Löschung über die bereitgestellten Export-Funktionen (CSV-/Lohnexport, REST-API) selbst exportieren.

(3) Free-Tarif / Winddown: Wird das Konto auf den Free-Tarif umgestellt, werden über dessen Grenzen hinausgehende Daten zunächst nur gesperrt (nicht gelöscht); der Export bleibt auch im gesperrten Zustand möglich. Nach Bereitstellung des Exports und Ablauf der in der Anwendung mitgeteilten Frist – frühestens nach nachweisbarem Abruf des Exports – löscht der Auftragnehmer die betreffenden Daten. Diese Vorgehensweise gilt als dokumentierte Weisung des Auftraggebers im Sinne des Art. 28 Abs. 3 lit. a DSGVO.

(4) Hinweis zu unveränderlichen Protokollen: Audit-Protokolle (audit_logs) werden aus Integritäts- und Nachweisgründen revisionssicher (append-only) geführt und können personenbezogene Feldwerte enthalten. Für diese gilt eine gesonderte Aufbewahrungs- bzw. Anonymisierungsfrist von 12 Monaten, nach deren Ablauf personenbezogene Inhalte entfernt oder anonymisiert werden.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

(2) Änderungen bedürfen der Textform.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 – Einzelheiten der Verarbeitung

Kategorien betroffener Personen

• Beschäftigte des Auftraggebers (Mitarbeiter, einsetzbare Personen)
• Administrative Nutzer des Auftraggebers (Inhaber, Admins, Manager)
• Kunden/Auftraggeber des Auftraggebers und deren Ansprechpartner (z. B. über Objekt-/Kundenzuordnungen im Portal angelegt), soweit personenbezogen
• Bewerber (im Rahmen des Bewerberportals/Recruitings)

Kategorien personenbezogener Daten

• Stammdaten: Vor-/Nachname, Anzeigename, Personalnummer, E-Mail, Telefon, Anschrift
• Vertrags-/Beschäftigungsdaten: Eintrittsdatum, Vertragsart, Arbeitszeitmodell, Stundensatz, Qualifikationen (inkl. Ablaufdaten)
• Zeit- und Anwesenheitsdaten: Stempelzeiten (Kommen/Gehen), Zeitkorrekturen
• Standortdaten (GPS): einmalige Koordinaten + Genauigkeit beim Stempeln; optionale Koordinaten im Fahrtenbuch und bei Rundgang-/Checkpoint-Scans; beim Personen-Notsignal (Alleinarbeiter-Schutz) ausschließlich bei Auslösen eines Panik-Alarms einmalig erfasst (kein fortlaufendes Tracking, kein Bewegungsprofil)
• Standortverlauf/Streuroute (Winterdienst, optional): ausschließlich beim Winterdienst und nur nach ausdrücklicher Einwilligung der erfassenden Person eine Folge von Koordinaten mit Zeitstempel (die geräumte/gestreute Strecke), datensparsam und nur während des aktiven Einsatzes aufgezeichnet — zum Nachweis der erbrachten Leistung, nicht zur Verhaltens-/Leistungskontrolle; abschaltbar/widerruflich. Die Strecke liegt im Leistungsnachweis-Payload und unterliegt dessen Aufbewahrung.
• Abwesenheits-/Urlaubsdaten inkl. Abwesenheitsgrund
• Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten, soweit Abwesenheitsgründe „krank"/„Kind krank" erfasst werden
• Authentifizierungs-/Gerätedaten: Login-PIN, NFC-UID, QR-Token, Terminal-Kennungen
• Kommunikations-/Benachrichtigungsdaten: E-Mail, Telefon (SMS), ggf. Push-Endpunkte
• Team-Chat-Daten: Nachrichteninhalte, Kanal-/Teilnehmerzuordnung, Lesebestätigungen (Zeitpunkt); bei angeforderter KI-Übersetzung wird der Nachrichtentext an einen Unterauftragsverarbeiter (Anlage 3) übermittelt
• Hilfe-/Support-Anfragen: von Nutzern an den Hilfe-Assistenten gestellte Fragen/Suchbegriffe; zur Beantwortung werden die Frage sowie allgemeine (nicht personenbezogene) Hilfe-Artikel an den Unterauftragsverarbeiter Mistral (Anlage 3) übermittelt; die Anfragen werden zur Qualitätsverbesserung ohne Nutzerzuordnung befristet (max. 120 Tage) protokolliert
• Stellenanzeigen-Eckdaten: vom Auftraggeber eingegebene Angaben zu einer Stelle (Titel, Beschäftigungsart, Einsatzort, Vergütung, Stichworte) zur KI-gestützten Erstellung eines Anzeigentextes (Anlage 3); i. d. R. ohne Personenbezug
• Ticket-/Mängel-Triage: auf Anforderung wird die Freitext-Beschreibung einer Störungs-/Mängelmeldung an den Unterauftragsverarbeiter Mistral (Anlage 3) übermittelt, um Titel, Kategorie und Priorität vorzuschlagen. Datenminimierung: es wird ausschließlich der Meldungstext übermittelt (kein Melder, kein Objekt-/Personenbezug, kein Zuständiger), keine Speicherung; der Vorschlag ist unverbindlich, die Entscheidung trifft der Mensch
• Wachbuch-/Schichtberichtdaten: auf Anforderung werden die Ereignisse eines Objekt-Zeitraums (Zeitpunkt, Art, Titel/Beschreibung von Kontrollscans und Vorfällen — ohne Mitarbeiternamen) an den Unterauftragsverarbeiter Mistral (Anlage 3) übermittelt, um einen Schichtbericht-Entwurf für den Auftraggeber zu erzeugen; keine Speicherung. Das Ergebnis ist ein Entwurf, den der Mensch vor der Weitergabe prüft
• HR-Dokumente: Lohnabrechnungen, Verträge, sonstige Dokumente
• Fahrzeug-/Fahrtenbuchdaten, Tankbelege
• Kunden-/Auftraggeberdaten des Auftraggebers: Firmen- und Kontaktdaten, Ansprechpartner (Name, Kontakt), Objekt-/Kundenzuordnungen (soweit personenbezogen)
• Notsignal-/Lebenszeichen-Daten (Alleinarbeiter-Schutz): Heartbeat-Zeitstempel, Alarm-/Quittierungsstatus; im Panik-Alarm Standortkoordinaten
• Bewerbungsdaten: Bewerbungsunterlagen/Anhänge, Antworten auf Bewerbungsfragen, Bewerbungsquelle/Kanal
• Umfrage-/Feedback-Daten: Antworten, NPS/CSAT-Bewertungen, Freitext; auf Anforderung werden ausschließlich die anonymen Freitext-Kommentare (ohne Kundenname/Score) zur aggregierten KI-Auswertung an den Unterauftragsverarbeiter Mistral (Anlage 3) übermittelt, keine Speicherung
• Protokoll-/Metadaten: IP-Adresse, User-Agent (Audit-/Rate-Limit-Zwecke)

Zweck der Verarbeitung: siehe § 1.

Dauer: Laufzeit des Hauptvertrages; Löschung gemäß § 11.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Hinweis (nicht Vertragsbestandteil): Diese Liste gibt den Stand 2026-07-16 wieder.

1. Vertraulichkeit

• Zutrittskontrolle: Hosting in zertifizierten Rechenzentren der Plattformbetreiber (Supabase, Region Frankfurt/EU; STRATO, Deutschland); kein physischer Zugriff durch den Auftragnehmer.
• Zugangskontrolle: Authentifizierung administrativer Nutzer über E-Mail/Passwort (Passwort-Mindestanforderungen: ≥ 8 Zeichen, Groß-/Kleinschreibung, Ziffer); Mitarbeiter-Authentifizierung über numerische PIN (serverseitig ausschließlich als HMAC-SHA-256-Hash mit geheimem Pepper gespeichert; keine Klartext-PIN in der Datenbank); optional Zwei-Faktor-Authentifizierung (TOTP), deren Secret verschlüsselt gespeichert wird; API-Zugriff über Bearer-Token. Brute-Force-Schutz mit Versuchsbegrenzung (PIN 5/15 min, QR 15/30 min, IP 100/15 min).
• Zugriffskontrolle: Rollen- und Rechtekonzept (super_admin/admin/manager/user) mit granularen Berechtigungen; strikte Mandantentrennung durch PostgreSQL Row-Level-Security über zentrale, abgesicherte Funktionen; schreibende Zugriffe ausschließlich serverseitig (Service-Role). Private Speicher-Buckets für HR-Dokumente (Zugriff nur über zeitlich begrenzte Signed URLs).

2. Integrität

• Weitergabekontrolle: Transportverschlüsselung (TLS/HTTPS) für sämtliche Verbindungen.
• Verschlüsselung at rest: auf Ebene der Datenbank- und Speicherplattform (Supabase).
• Eingabekontrolle: revisionssichere Audit-Protokollierung von Änderungen (append-only, Hash-Ketten); API-Schlüssel, Login-PINs und PIN-Setup-Token werden ausschließlich als (gepfefferter) SHA-256-/HMAC-Hash gespeichert; das TOTP-Secret sowie Zugangs-Token optionaler Buchhaltungs-Integrationen werden verschlüsselt (AES-GCM) abgelegt.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung auf Plattformebene (Supabase); zusätzliche Schema-Sicherung vor Deployments.
• Wiederherstellbarkeit über die Backup-/Point-in-Time-Recovery-Funktionen der Plattform (Supabase) gewährleistet; Wiederherstellungen werden anlassbezogen geprüft.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Trennungskontrolle: logische Mandantentrennung pro tenant_id (RLS).
• Datenschutz-Management: Verantwortlich ist der Inhaber (Geschäftsleitung); Überprüfung der technischen und organisatorischen Maßnahmen mindestens jährlich.

Anlage 3 – Genehmigte Unterauftragsverarbeiter (Stand 2026-07-14)

Nicht im Einsatz und daher nicht Bestandteil dieser Liste: Telegram, WhatsApp. Werden diese künftig aktiviert, sind sie vor Inbetriebnahme als Unterauftragsverarbeiter aufzunehmen.

Keine Auftragsverarbeitung (öffentliche Abrufe, Einbindung von Dritt-Inhalten bzw. vom Auftraggeber veranlasste Übermittlungen – daher nicht in obiger Liste):

• Optionale Buchhaltungs-Integration (lexoffice, sevDesk, FastBill) – auf Veranlassung und mit dem eigenen Konto des Auftraggebers werden Rechnungs-/Kontaktdaten an den vom Auftraggeber gewählten Buchhaltungsdienst übermittelt. Der Auftraggeber wählt Anbieter und Konto selbst und ist insoweit für die Übermittlung verantwortlich; es handelt sich um eine vom Auftraggeber veranlasste Übermittlung an dessen eigenen Dienstleister, nicht um eine vom Auftragnehmer beauftragte Unterauftragsverarbeitung. Der hinterlegte Zugangs-Token wird verschlüsselt verwahrt.
• Google Maps (Kartenlinks) – in Alarm-/Navigations-Hinweisen werden Koordinaten in einen Google-Maps-Link eingebettet; eine Übermittlung an Google erfolgt erst, wenn der Empfänger den Link öffnet (Einbindung von Drittinhalten).
• Deutscher Wetterdienst (DWD) – beim Winterdienst-Nachweis werden zum Erfassungszeitpunkt amtliche Wetterdaten über das frei zugängliche Angebot „DWD OpenData" (GeoNutzV) abgerufen. Übermittelt werden ausschließlich die Koordinaten des Erfassungsortes, keine personenbezogenen Daten. Der DWD ist eine öffentliche Stelle (Bundesoberbehörde, Deutschland/EU); eine Auftragsverarbeitung nach Art. 28 DSGVO liegt insoweit nicht vor.
• OpenStreetMap Foundation – zur Kartendarstellung von Objekt-/Kundenstandorten werden Kartenkacheln von tile.openstreetmap.org in den Browser des jeweiligen Nutzers geladen (dabei wird dessen IP-Adresse an OpenStreetMap übermittelt). Es handelt sich um die Einbindung von Drittinhalten, nicht um eine Auftragsverarbeitung im Auftrag des Auftraggebers.
• OpenStreetMap Foundation (Kartenausschnitte in Dokumenten) – werden Karten in ein PDF eingebettet (z. B. die aufgezeichnete Strecke in einem Winterdienst-Leistungsnachweis), ruft der Server des Auftragnehmers die benötigten Kartenkacheln ab. Übermittelt werden dabei ausschließlich die Koordinaten des Kartenausschnitts, keine IP-Adresse und keine Identifikatoren des Nutzers, sodass für den Dienst kein Personenbezug herstellbar ist. Auch hier liegt keine Auftragsverarbeitung vor.

Diese Datenflüsse sind in der Datenschutzerklärung (Abschnitte „Kartenmaterial (OpenStreetMap)" und „Wetterdaten (DWD)") transparent gemacht.

Hinweis: OpenStreetMap/Nominatim wird zur Geokodierung von Objekt-/Geschäftsadressen sowie zur Umkehr-Geokodierung erfasster Koordinaten (z. B. Fahrtenbuch) genutzt. Bei der Umkehr-Geokodierung werden ausschließlich die erfassten Koordinaten über den Server des Auftragnehmers übermittelt — ohne IP-Adresse des Nutzers und ohne Identifikatoren, sodass für den Dienst kein Personenbezug herstellbar ist.

Ort, Datum / Unterschriften

Auftraggeber: ___________________ Auftragnehmer: ___________________