Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO. Version 1.0, Stand 8. Juli 2026.

Vertragsparteien

Verantwortlicher ist die Firma, die sich bei ZeitWerk registriert und dieses Konto nutzt (nachfolgend „Verantwortlicher“).

Auftragsverarbeiter ist:
IMMO-MEDIA, Inhaber Ernst Hindelang jun.
Ohmstraße 12, 85757 Karlsfeld
E-Mail: info@immo-media.de (nachfolgend „Auftragsverarbeiter“).

Dieser Vertrag kommt mit der Registrierung und der ausdrücklichen Zustimmung des Verantwortlichen zustande. Er konkretisiert die Datenschutzpflichten der Parteien für die Nutzung von ZeitWerk und geht etwaigen abweichenden Bestimmungen des Nutzungsverhältnisses in Datenschutzfragen vor.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Zeiterfassungs-Software ZeitWerk. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich weisungsgebunden für den Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses; der Vertrag endet mit dessen Beendigung.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Erfassung, Speicherung, Berechnung und Auswertung der Arbeits- und Pausenzeiten der Mitarbeiter des Verantwortlichen sowie deren Verwaltung und Export.

Art der personenbezogenen Daten:

• Stammdaten der Mitarbeiter (Name, Namenskürzel)
• Zugangsdaten zur Zeiterfassung (PIN – ausschließlich als Hash gespeichert)
• Zeiterfassungsdaten (Kommen, Pause, Gehen mit Zeitstempel, Notizen zu Korrekturen)
• Konto- und Anmeldedaten des Verantwortlichen (Firmenname, E-Mail, Passwort-Hash)

Kategorien betroffener Personen:

• Mitarbeiter des Verantwortlichen
• Verantwortliche Personen / Administratoren des Verantwortlichen

§ 3 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten nur im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Die Bedienung der Software durch den Verantwortlichen gilt als Weisung. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen geltendes Recht verstößt, informiert er den Verantwortlichen unverzüglich.

§ 4 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich weisungsgebunden und zweckgebunden.
• Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).
• Umsetzung und Aufrechterhaltung der technischen und organisatorischen Maßnahmen nach § 5 (Art. 32 DSGVO).
• Unterstützung des Verantwortlichen bei Betroffenenrechten und Datenschutz-Pflichten (§§ 7, 8).
• Löschung oder Rückgabe der Daten nach Vertragsende (§ 9).
• Bereitstellung der zum Nachweis erforderlichen Informationen (§ 10).

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter gewährleistet ein dem Risiko angemessenes Schutzniveau, insbesondere:

• Verschlüsselte Übertragung: Sämtlicher Datenverkehr erfolgt ausschließlich über TLS (HTTPS).
• Zugangs- und Zugriffskontrolle: Passwörter und PINs werden nur als kryptografischer Hash gespeichert (nie im Klartext). PIN-Eingaben sind gegen Ausprobieren gesperrt (Rate-Limit). Der Verwaltungsbereich erfordert eine zusätzliche Passwortfreigabe.
• Mandantentrennung: Die Daten jedes Verantwortlichen sind logisch strikt getrennt; ein Zugriff auf Daten anderer Firmen ist ausgeschlossen (serverseitige Zugriffsbeschränkung je Firma).
• Keine Drittlandübermittlung: Die Verarbeitung und Speicherung erfolgt ausschließlich auf Servern in Deutschland. Es werden keine Dienste außerhalb der EU (insbesondere keine US-Dienste) eingebunden; die Anwendung stellt keine Verbindungen zu Dritten her (keine Tracker, keine externen Schriftarten oder CDNs).
• Übertragungs- und Eingabekontrolle: Zeiterfassungsdaten werden als revisionsfähiges Ereignis-Protokoll gespeichert; nachträgliche Korrekturen sind als solche gekennzeichnet und nachvollziehbar.
• Verfügbarkeit und Wiederherstellbarkeit: Der Hosting-Dienstleister führt regelmäßige Datensicherungen durch (siehe § 6).

§ 6 Unterauftragsverhältnisse

Der Verantwortliche stimmt dem Einsatz des folgenden Unterauftrags­verarbeiters zu:

• ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland — Hosting, Serverbetrieb und Datensicherung. Verarbeitung ausschließlich in Deutschland; es besteht ein Vertrag über Auftragsverarbeitung (Art. 28 DSGVO).

Beabsichtigt der Auftragsverarbeiter, weitere Unterauftrags­verarbeiter hinzuzuziehen oder zu wechseln, informiert er den Verantwortlichen vorab in Textform. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragsverarbeiter legt Unterauftrags­verarbeitern dieselben Datenschutzpflichten auf, die ihm aus diesem Vertrag obliegen.

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

§ 9 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die verarbeiteten Daten oder gibt sie – nach Wahl des Verantwortlichen – zurück, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Zeiterfassungsdaten unterliegen der Aufbewahrungspflicht des Verantwortlichen (in der Regel zwei Jahre gemäß § 16 Abs. 2 ArbZG); über deren Löschung entscheidet der Verantwortliche.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Die Kontrolle ist mit angemessener Vorankündigung und ohne Störung des Betriebsablaufs durchzuführen.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die gesetzlichen Bestimmungen.

§ 12 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des übrigen Vertrags unberührt. Änderungen bedürfen der Textform.

Version 1.0 · Stand 8. Juli 2026. Die bei der Registrierung akzeptierte Version wird mit Zeitpunkt der Zustimmung dokumentiert.