AVV
Entwurf - finale Rechtstexte und Angaben folgen.
Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der HolyElk-Dienste und ergänzt die AGB. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (nachfolgend „Verantwortlicher“); Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist HolyElk, Inhaber Hany Elkholy, Wimmelstraße 2A, 34125 Kassel (nachfolgend „Auftragsverarbeiter“). Stand: November 2026.
1. Gegenstand, Art, Zweck und Dauer der Verarbeitung
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen (Arbeitszeiterfassung, Einsatz- und Abwesenheitsplanung, Auswertung sowie ergänzende Funktionen) im Auftrag und nach Weisung des Verantwortlichen.
(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Sie endet mit dessen Beendigung; die Regelungen zu Löschung und Rückgabe (Ziffer 9) bleiben unberührt.
2. Art der Daten und Kategorien betroffener Personen
(1) Gegenstand der Verarbeitung sind insbesondere: Stammdaten (Name, Personalnummer, Rolle), Kontaktdaten (dienstliche E-Mail), Zeit- und Anwesenheitsdaten (Buchungen, Pausen, Salden), Abwesenheitsdaten (Urlaub, Krankheit) sowie zur Anmeldung erforderliche Zugangs- und Protokolldaten. Krankheitszeiten werden als Abwesenheitsstatus „Krank“ ohne Diagnose erfasst. Soweit der Verantwortliche die Funktion zum Hochladen von Nachweisen nutzt, können Beschäftigte ärztliche Bescheinigungen (z. B. Atteste) hochladen; diese können Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO enthalten. Solche Nachweise sind nur für die betroffene Person und die Administratoren des Verantwortlichen abrufbar und werden bei Löschung der betroffenen Person endgültig gelöscht (siehe Anlage TOM). Soweit der Verantwortliche die Funktion „Bildschirmzeit“ einschaltet, werden zusätzlich je beschäftigter Person und Tag die Minuten der Anwesenheit am Rechner sowie die aktiven und inaktiven Minuten verarbeitet, außerdem, solange die Erfassung läuft, ob und seit wann die Person am Rechner ist; Inhalte, genutzte Programme, besuchte Seiten, Bildschirmfotos oder Tastatureingaben werden nicht erfasst. Soweit der Verantwortliche die Funktion „Kundenzeiten“ nutzt, werden zusätzlich die von ihm angelegten Kunden (Name, optional Kundennummer und Stundensatz) sowie die von Beschäftigten oder Administratoren je Tag und Kunde eingetragenen Zeiten und Notizen verarbeitet.
(2) Kategorien betroffener Personen sind die Beschäftigten des Verantwortlichen sowie ggf. dessen berechtigte Nutzer. Soweit der Verantwortliche in den Kundenzeiten natürliche Personen als Kunden erfasst (z. B. Einzelunternehmer oder Privatkunden), sind auch diese betroffene Personen.
3. Weisungsrecht des Verantwortlichen
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Weisungen erfolgen grundsätzlich in Textform.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere, die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, die technischen und organisatorischen Maßnahmen nach Ziffer 5 einzuhalten, den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen sowie die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern (Ziffer 6) einzuhalten.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen. Die vollständige Beschreibung ist Bestandteil dieses Vertrags: Anlage TOM – technische und organisatorische Maßnahmen. Zusammengefasst insbesondere:
- Hosting ausschließlich auf Servern in Deutschland (Hetzner Online GmbH);
- Verschlüsselung der Datenübertragung (TLS/HTTPS mit HSTS);
- mandantengetrennte Datenhaltung mit zeilenbasierter Zugriffskontrolle (Row-Level-Security) je Mandant;
- rollenbasierte Zugriffsrechte, Speicherung von Passwörtern ausschließlich als Hash, HTTP-only-Sitzungscookies sowie signaturbasierte Authentifizierung der Terminals;
- Protokollierung sicherheitsrelevanter Zugriffe;
- tägliche Datensicherung sowie Löschung bzw. Anonymisierung nach Ablauf der Aufbewahrungsfristen.
6. Unterauftragsverarbeiter
(1) Der Verantwortliche stimmt der Beauftragung folgender Unterauftragsverarbeiter zu: Hetzner Online GmbH (Deutschland) – Hosting und Serverbetrieb; Brevo (Sendinblue SAS, EU) – Versand von Transaktions- und Benachrichtigungs-E-Mails; Mistral AI SAS (Frankreich, EU) – KI-Assistent, verarbeitet die im Assistenten eingegebenen Inhalte, nur bei aktiver Nutzung des Assistenten.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf weitere oder ersetzte Unterauftragsverarbeiter in Textform mit angemessener Frist; der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen. Mit jedem Unterauftragsverarbeiter werden dieselben Datenschutzpflichten vereinbart, wie sie in diesem AVV festgelegt sind.
(3) Nicht Gegenstand dieses AVV und kein Unterauftragsverhältnis sind: (a) die optionale, einwilligungsbasierte Reichweitenmessung mit Google Analytics auf der Website, in den Portalen und in den Desktop-Apps - die Einwilligung holt der Auftragsverarbeiter bei der jeweiligen nutzenden Person selbst ein und ist hierfür eigenständig Verantwortlicher; an Google werden dabei keine Zeiterfassungs-, Stamm- oder sonstigen Inhaltsdaten des Verantwortlichen übermittelt, sondern nur Nutzungsdaten der Software (aufgerufene Seiten bzw. Bereiche ohne Parameter, technische Gerätedaten); (b) die optionale Anmeldung mit Google - die Anmeldung am Google-Konto erfolgt in eigener Verantwortung von Google; der Auftragsverarbeiter erhält daraus ausschließlich die von Google bestätigte E-Mail-Adresse, um sie einem bestehenden Konto zuzuordnen (Zugangsdaten im Sinne der Ziffer 2). Google Ireland Ltd. ist insoweit kein Unterauftragsverarbeiter.
7. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.
8. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.
9. Löschung und Rückgabe
Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann seine Daten vor Vertragsende über die bereitgestellten Exportfunktionen sichern.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Kontrollen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen.
11. Haftung
Für die Haftung gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelungen der AGB entsprechend.
12. Schlussbestimmungen
(1) Bei Widersprüchen zwischen diesem AVV und den AGB gehen hinsichtlich der Auftragsverarbeitung die Regelungen dieses AVV vor.
(2) Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.