Auftragsverarbeitungsvertrag (AVV)
§1 Gegenstand und Geltungsbereich
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch Benyamin Jafari (Auftragsverarbeiter) im Auftrag des jeweils lizenzierenden Unternehmens (Verantwortlicher) im Rahmen der Bereitstellung der Zeiterfassungssoftware Clean Clock.
Dieser AVV ergänzt und konkretisiert den zwischen den Parteien geschlossenen Hauptvertrag (Nutzungsbedingungen / SaaS-Vertrag). Im Widerspruchsfall gehen die Regelungen dieses AVV den allgemeinen Nutzungsbedingungen vor.
§2 Rollen und Verantwortlichkeit
| Rolle | Partei | Verantwortlichkeit |
|---|---|---|
| Verantwortlicher (Art. 4 Nr. 7 DSGVO) |
Ihr Unternehmen (der Lizenznehmer) | Legt Zweck und Mittel der Verarbeitung fest; verantwortet Rechtsgrundlage gegenüber Mitarbeitern; erteilt Weisungen an den Auftragsverarbeiter |
| Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) |
Benyamin Jafari, Chemnitzer Str. 69, 01187 Dresden | Verarbeitet Daten nur auf dokumentierte Weisung; stellt technische Infrastruktur bereit; benennt Unterauftragnehmer; unterstützt bei Betroffenenrechten |
§3 Gegenstand, Art und Zweck der Verarbeitung
Art der Verarbeitung: Erhebung, Speicherung, Strukturierung, Abfrage, Verwendung, Übermittlung, Löschung.
Zweck: Bereitstellung der SaaS-Zeiterfassungsapplikation Clean Clock für den Verantwortlichen und dessen Mitarbeiter; technischer Betrieb, Wartung und Support.
Datenkategorien (verarbeitet durch den Auftragsverarbeiter):
| Kategorie | Beschreibung |
|---|---|
| Benutzeridentifikation | Owner/Manager: Name, E-Mail-Adresse, Unternehmens-ID, Benutzer-ID, Rolle (Auth-Konto). Mitarbeitende: Name und persönlicher, je Unternehmen eindeutiger 6-stelliger Personalcode. Keine E-Mail-Adresse, kein Passwort, kein Auth-Konto („codeless"). |
| Zeiterfassungsdaten | Stempelzeiten (Ein/Aus), Pausen (Beginn/Ende), Gesamtdauer, Kommentare, Kostenstellen |
| Standortdaten (optional) | GPS-Breitengrad, GPS-Längengrad zum Zeitpunkt des Stempelns (nur bei aktiviertem GPS-Modus) |
| GPS-Override-Anfragen | Mitarbeiter-ID, Antragsdatum, Kommentar, Admin-Entscheidung |
| Konto-Löschungsanfragen | Benutzer-ID, Antragsdatum, Status der Bearbeitung |
| Pausenzeiten | Pausenbeginn, Pausenende, Pausendauer (Kind-Datensatz zum Zeiteintrag) |
| Authentifizierungsdaten | Gehashte Anmeldedaten, JWT-Tokens, Session-Metadaten, IP-Adressen (Logs) – ausschließlich für Owner und Manager. Mitarbeitende besitzen keine Sitzung und keine Anmeldedaten. |
Betroffene Personen: Mitarbeitende (Reinigungskräfte) sowie Owner/Manager des Verantwortlichen.
Dauer: Entsprechend der Vertragslaufzeit; nach Vertragsende Löschung gemäß §10 dieses AVV.
§4 Weisungsbindung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, das Unionsrecht oder das Recht der Mitgliedstaaten verpflichtet ihn zur Verarbeitung.
Weisungen können erteilt werden:
- Durch die Konfiguration in der Clean Clock Administrationsoberfläche
- Per E-Mail an kontakt@cleanclock.de
- Als schriftliche Ergänzung zu diesem AVV
Hält der Auftragsverarbeiter eine Weisung für unzulässig, informiert er den Verantwortlichen unverzüglich.
§5 Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, der Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).
Zugang zu Produktionsdaten haben ausschließlich Personen, die für den Betrieb und die Wartung von Clean Clock zwingend erforderlichen Zugang benötigen und die einer Vertraulichkeitspflicht unterliegen.
§6 Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die wesentlichen Maßnahmen umfassen:
Zutrittskontrolle
- Serverinfrastruktur in zertifizierten Rechenzentren (Supabase: SOC 2 Type II, ISO 27001 des Rechenzentrums)
- Kein physischer Zugang zu Serverräumen durch den Auftragsverarbeiter selbst (Cloud-Infrastruktur)
Zugangskontrolle
- Multi-Faktor-Authentifizierung (MFA) für alle Administratorzugänge zur Infrastruktur
- SSH-Key-basierter Zugang; keine Passwort-Authentifizierung auf Servern
- Regelmäßige Überprüfung und Rotation von Zugangsdaten
Zugriffskontrolle
- Row-Level Security (RLS) in der Datenbank – jeder Nutzer kann nur auf eigene Unternehmensdaten zugreifen
- Rollentrennung: Admin vs. Mitarbeiter mit unterschiedlichen Datenzugriffsrechten
- Principle of Least Privilege für alle Systemkomponenten
Weitergabekontrolle
- Alle Datenübertragungen via TLS 1.3 verschlüsselt
- Keine Weitergabe an Dritte außer dokumentierten Unterauftragsverarbeitern
- SCCs für alle Drittlandübertragungen
Eingabekontrolle
- Audit-Logging für alle sicherheitskritischen Operationen
- Automatischer GPS-Redaktions-Job (pg_cron) für Koordinatenfelder nach 30 Tagen
Verfügbarkeitskontrolle
- Automatische tägliche Backups, verschlüsselt gespeichert
- Point-in-Time-Recovery (PITR) via Supabase
- Uptime-Monitoring mit automatischen Benachrichtigungen
Trennungsgebot
- Strikte Datentrennung zwischen Unternehmensinstanzen via Tenant-ID
- Produktions- und Testumgebungen sind vollständig getrennt
§7 Unterauftragnehmer (Sub-Auftragsverarbeiter)
Der Auftragsverarbeiter setzt folgende Unterauftragnehmer ein. Der Verantwortliche hat hiermit vorab seine allgemeine Genehmigung erteilt. Bei Änderungen (Hinzufügen/Ersetzen) wird der Verantwortliche mindestens 30 Tage im Voraus informiert und hat das Recht, Einspruch zu erheben.
| Anbieter | Sitz | Zweck | Übertragungsgrundlage |
|---|---|---|---|
| Supabase Inc. | USA (Server: EU-West, Irland) | Datenbank, Authentifizierung, Storage, Edge Functions | SCCs (2021/914/EU) |
| Resend Inc. | USA | Transaktionaler E-Mail-Versand – ausschließlich an Owner und Manager (Einladungen, Passwort-Links, Hinweise zur Pilotphase). Keine Übermittlung von Mitarbeitendendaten. | SCCs (2021/914/EU) |
| Hostinger International Ltd. | EU (Zypern/Litauen) | Auslieferung der statischen Web-Anwendung und Website; kein Datenbankzugriff. Zugriffsprotokolle (IP-Adresse). | Innerhalb EU/EWR |
| OpenStreetMap Foundation (Nominatim) | UK | Geocoding bei der Anlage eines Einsatzortes: Umwandlung des vom Manager eingegebenen Adresstexts in Koordinaten (GPS-Radius-Setup). Einmalig, auf ausdrückliche Aktion. Keine Kartendarstellung, keine Mitarbeitenden-Standortdaten. | Angemessenheitsbeschluss UK (Art. 45 DSGVO) |
Vollständige Details (Datenkategorien, Sicherheitszertifikate) finden Sie unter Unterauftragsverarbeiter.
§8 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 12–22 DSGVO (Betroffenenrechte) durch geeignete technische und organisatorische Maßnahmen:
- Auskunft (Art. 15): Exportfunktion für alle Mitarbeiterdaten auf Anfrage innerhalb von 72 Stunden
- Berichtigung (Art. 16): Zeiterfassungsdaten können durch Administratoren korrigiert werden
- Löschung (Art. 17): Konto-Löschung auf Antrag innerhalb von 12 Monaten (unter Beachtung gesetzlicher Aufbewahrungspflichten)
- Datenübertragbarkeit (Art. 20): Datenexport in CSV/JSON-Format
Anfragen an: kontakt@cleanclock.de
§9 Meldepflichten bei Sicherheitsvorfällen
Bei einer Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Bekanntwerden.
Die Meldung enthält mindestens:
- Art der Verletzung und betroffene Datenkategorien
- Ungefähre Anzahl betroffener Datensätze und Personen
- Wahrscheinliche Folgen der Verletzung
- Ergriffene oder geplante Maßnahmen
Der Auftragsverarbeiter übermittelt die Informationen an die vom Verantwortlichen benannte Kontaktadresse. Fehlt eine Benennung, erfolgt die Meldung an die im Nutzungsvertrag hinterlegte Admin-E-Mail.
§10 Löschung und Rückgabe nach Vertragsende
Nach Beendigung des Hauptvertrags kann der Verantwortliche wählen zwischen:
- Datenexport: Alle Unternehmensdaten werden innerhalb von 30 Tagen in einem strukturierten, maschinenlesbaren Format (JSON/CSV) zur Verfügung gestellt.
- Löschung: Alle Unternehmensdaten werden nach dem Export-Zeitraum (30 Tage nach Vertragsende) endgültig und unwiderruflich gelöscht. Ein Löschnachweis wird auf Anfrage ausgestellt.
Backups werden innerhalb von 90 Tagen nach Vertragsende vollständig gelöscht (entsprechend dem Backup-Rotationszyklus).
Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters (z.B. Buchführungsunterlagen) bleiben unberührt, betreffen jedoch keine personenbezogenen Mitarbeiterdaten des Verantwortlichen.