Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 14. September 2026

Dieser Vertrag gilt für den Cloud-Betrieb von ZeitPro. Wer ZeitPro im eigenen Haus betreibt, braucht ihn nicht: der Anbieter erhält dann keine personenbezogenen Daten.

Er wird zwischen dem Kunden als Verantwortlichem und

Jasmann Werk 52, Inhaber Muhammad Saeed
Elberfelder Straße 72, 42553 Velbert
E-Mail: support@gnavo.de
als Auftragsverarbeiter

mit dem Vertrag über den Cloud-Betrieb geschlossen (§ 9 der AGB) und gilt in elektronischer Form (Art. 28 Abs. 9 DSGVO). Auf Wunsch unterzeichnen die Parteien ihn zusätzlich.

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software ZeitPro als eigene Instanz mit eigener Datenbank. Dabei verarbeitet er personenbezogene Daten im Auftrag.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Frist für Export und Löschung nach Ziffer 9.

2. Art, Zweck, Betroffene, Daten

Zweck: Erfassung und Auswertung von Arbeitszeiten, Abwesenheiten und Schichten; Vorbereitung der Lohnabrechnung; Nachweise nach § 16 Abs. 2 ArbZG und § 17 MiLoG.
Art der Verarbeitung: Erheben, Speichern, Berechnen, Anzeigen, Übermitteln an vom Verantwortlichen bestimmte Empfänger (etwa seine Steuerkanzlei), Exportieren, Sichern, Löschen.
Betroffene: Beschäftigte des Verantwortlichen; Nutzer der Verwaltung; vom Verantwortlichen eingeladene Personen seiner Steuerkanzlei.
Datenarten: Name, Personalnummer, dienstliche E-Mail-Adresse, Eintritt und Austritt, Abteilung, Vorgesetzte, Sollzeiten, Stempelzeiten, Pausen, Arbeitstage, Zuschläge, Urlaub und sonstige Abwesenheiten, Korrekturanträge, Schichtplan und Schichttausche, Projektzeiten, Terminal-PIN und Passwörter (nur als Hash), Kartennummer, Foto (freiwillig), Änderungsprotokoll.
Mit dem Modul Lohn & DATEV zusätzlich: Geburtsdatum, Anschrift, Steuer-ID, Steuerklasse, Kinderfreibeträge, Sozialversicherungsnummer, Krankenkasse, Beitragsgruppen, Bankverbindung, Vergütung.
Besondere Kategorien (Art. 9 DSGVO): Zeiten der Arbeitsunfähigkeit (Beginn, Ende, Zusammenhang für die Entgeltfortzahlung) – keine Diagnosen; mit dem Modul Lohn & DATEV das Kirchensteuermerkmal (Konfession).

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich dazu verpflichtet; in diesem Fall teilt er das vorher mit, soweit das Gesetz es nicht verbietet. Die Bedienung der Software durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Auf eine Kundeninstanz greift der Auftragsverarbeiter nur zu, wenn der Verantwortliche es für Unterstützung oder Fehlerbehebung wünscht, oder zur Abwehr einer Störung.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen stehen in Anlage 1. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag kündigen.

(3) Die Daten werden in Deutschland verarbeitet. Eine Übermittlung in ein Land außerhalb der EU und des EWR findet nur mit dem KI-Modul statt, wenn der Verantwortliche es einschaltet (Anlage 2).

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 15 bis 22 DSGVO) – ZeitPro enthält dafür die Auskunft nach Art. 15 per Klick, den vollständigen Datenexport und eine Prüfung der Aufbewahrungsfristen –, bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen (Art. 33, 34 DSGVO) und bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO), soweit ihm Informationen vorliegen.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nachdem er davon Kenntnis erlangt hat, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie bekannt sind.

9. Ende der Verarbeitung

Nach Ende des Hauptvertrags kann der Verantwortliche binnen 30 Tagen alle Daten exportieren (Einstellungen → Datenexport; auf Wunsch stellt der Auftragsverarbeiter den Export bereit). Danach löscht der Auftragsverarbeiter die Instanz; Sicherungen werden mit Ablauf ihrer Aufbewahrung gelöscht (Anlage 1). Die Löschung bestätigt er auf Wunsch in Textform.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten nach Art. 28 DSGVO nötigen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Anmeldung mit angemessener Frist, in der Regel durch Vorlage von Unterlagen.

11. Haftung

Es gilt Art. 82 DSGVO.

Anlage 1 – Technische und organisatorische Maßnahmen

Vertraulichkeit

Server im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Deutschland), ISO 27001-zertifiziert; Zutritt und Zugang dort nach deren Maßnahmen.
Serverzugang nur per SSH-Schlüssel, keine Anmeldung mit Passwort.
Jeder Kunde erhält eine eigene Anwendung mit eigener Datenbank; keine gemeinsame Datenbank mehrerer Kunden.
Die Datenbank ist nur im internen Container-Netz erreichbar, ohne Port nach außen.
Verbindungen nur verschlüsselt (HTTPS mit TLS, HSTS); E-Mails der Anwendung nur über eine verschlüsselte Verbindung (STARTTLS verpflichtend).
Passwörter und PINs nur als Hash; Hashes verlassen die Schnittstelle nie.
Rollenmodell: Mitarbeiter sehen nur eigene Daten; Zeiten der Arbeitsunfähigkeit nur Führung und Verwaltung; Zugang der Steuerkanzlei nur zu freigegebenen Monaten.
Stempelterminals nur nach Kopplung durch die Verwaltung, jederzeit sperrbar; die PIN dient nur dem Stempeln, persönliche Daten zeigt das Terminal erst nach dem persönlichen Passwort.
Anmeldungen sind gegen Durchprobieren begrenzt.

Integrität

Änderungen an Stempelzeiten nur mit Begründung; das Änderungsprotokoll wird nur fortgeschrieben, nicht verändert.
Plausibilitätsprüfung bei Buchungen; Mitarbeiter können nicht zurückdatieren.

Verfügbarkeit und Belastbarkeit

Tägliche Sicherung jeder Instanz (Datenbank, Fotos, Konfiguration), verschlüsselt mit age; der private Schlüssel liegt nicht auf dem Server. Aufbewahrung 30 Tage; ein fehlgeschlagener Lauf wird als Fehlschlag protokolliert.
Automatischer Neustart der Dienste.

Verfahren zur regelmäßigen Überprüfung

Automatisierte Tests, auch der Zugriffsregeln, bei jeder Änderung; Prüfung vor jeder Auslieferung.

Anlage 2 – Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Betrieb der Server (Rechenzentrum Falkenstein). Ort der Verarbeitung: Deutschland.
Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin – Versand der E-Mails der Anwendung (Kontomails wie „Passwort vergessen“, Benachrichtigungen, auf Weisung des Verantwortlichen Lohndateien an seine Steuerkanzlei). Ort der Verarbeitung: Deutschland.
Anthropic Ireland, Limited – nur mit gebuchtem und vom Verantwortlichen eingeschaltetem KI-Modul: Beantwortung von Anfragen an die KI-Funktionen (Claude). Die Verarbeitung kann auch in den USA stattfinden; Grundlage ist das Data Processing Addendum von Anthropic mit den EU-Standardvertragsklauseln.

Zum KI-Modul: Es bleibt aus, bis die Verwaltung des Verantwortlichen es ausdrücklich einschaltet; Zeitpunkt und Konto werden gespeichert. An die KI gehen nur die für die jeweilige Frage nötigen Daten, standardmäßig mit Personalnummern statt Namen. Gesundheitsdaten (Krankheit und ihre Gründe) werden nie übermittelt.

Keine Unterauftragsverarbeiter sind Zahlungsdienstleister: sie verarbeiten nur Vertrags- und Zahlungsdaten des Kunden, keine Daten seiner Mitarbeiter. Die Wetter- und Feiertagsanzeige der Stempeluhr fragt öffentliche Dienste nur mit Postleitzahl oder Ort des Betriebs ab, ohne personenbezogene Daten.