Auftragsverarbeitungsvertrag

(1) Dieser Vertrag regelt die Rechte und Pflichten des Auftragnehmers bei der Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers im Rahmen der Nutzung der Software „Vivo" (vivoteam.de).

(2) Der Vertrag gilt für die Dauer der Nutzung von Vivo. Die Pflichten gelten bis zur vollständigen Rückgabe oder Löschung der im Auftrag verarbeiteten Daten fort.

(1) Der Auftragnehmer verarbeitet folgende Kategorien personenbezogener Daten im Auftrag des Auftraggebers:

• Namen und E-Mail-Adressen von Mitarbeitern
• Arbeitszeiten und Anwesenheitsdaten
• Urlaubsanträge, Abwesenheiten und Krankmeldungen; bei Nutzung auch Gesundheitsdaten im Sinne des Art. 9 DSGVO
• Hochgeladene Dokumente, Profilbilder und betriebliche Kommunikationsinhalte
• Schichtplandaten
• Spracheinstellungen

(2) Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der Software Vivo für die digitale Zeiterfassung, Urlaubsverwaltung und Teamkommunikation.

(3) App- und Datenbankhosting erfolgen in Frankfurt am Main, Deutschland (Fly.io / Supabase). Weitere Unterauftragsverarbeiter können Daten außerhalb der EU verarbeiten, insbesondere OneSignal (Push) und OpenAI (Übersetzung von Neuigkeiten-Texten). Einzelheiten ergeben sich aus § 5.

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.

(2) Der Auftraggeber erteilt Weisungen durch die Nutzung der Software sowie durch schriftliche Mitteilung an hallo@vivoteam.de.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO verstößt, informiert er den Auftraggeber unverzüglich.

Der Auftragnehmer verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit, soweit nicht bereits eine gesetzliche Verschwiegenheitspflicht besteht. Unterauftragsverarbeiter erhalten die nach Art. 28 DSGVO erforderlichen Datenschutzpflichten; der Auftragnehmer bleibt für deren Einhaltung im gesetzlichen Umfang verantwortlich.

Er unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Datensicherheit, Datenschutzverletzungen, Folgenabschätzungen und vorherigen Konsultationen. Über gesetzlich vorgeschriebene Verarbeitungen außerhalb einer Weisung informiert er vorab, soweit das Gesetz dies erlaubt.

Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, etwa auf Grundlage eines anwendbaren Angemessenheitsbeschlusses oder geeigneter Garantien. Art und Zweck des Einsatzes ergeben sich aus der Dienstleisterübersicht.

Der Auftragnehmer hat folgende Maßnahmen gemäß Art. 32 DSGVO getroffen:

Vertraulichkeit

• Verschlüsselte Übertragung via HTTPS/TLS
• Verschlüsselte Datenspeicherung
• Zugriffskontrollen und rollenbasierte Berechtigungen
• Passwortlose Authentifizierung per Passkey, E-Mail-Code oder Magic Link

Integrität

• Zentrale Datenhaltung in der Supabase-Datenbank, unabhängig von den austauschbaren App-Servern
• Tägliche Datenbanksicherungen bei Supabase. Extern gespeicherte Dateien sind nicht automatisch Bestandteil einer Datenbanksicherung.
• Änderungsverlauf für Zeitkorrekturen und weitere protokollierte betriebliche Änderungen

Verfügbarkeit

• Zwei App-Server in Frankfurt mit Gesundheitsprüfungen und nacheinander durchgeführten Deployments
• Datenbankverfügbarkeit wird in der Gesundheitsprüfung berücksichtigt; keine gesonderte prozentuale Verfügbarkeitsgarantie

Belastbarkeit

• Technische Serverprotokolle und automatische Gesundheitsprüfungen
• Regelmäßige Sicherheitsupdates

(1) Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein:

(2) Der Auftraggeber stimmt dem Einsatz dieser Unterauftragsverarbeiter mit Abschluss dieses Vertrages zu.

(3) Der Auftragnehmer informiert den Auftraggeber über geplante Hinzuziehungen oder Ersetzungen von Unterauftragsverarbeitern per E-Mail mindestens 30 Tage im Voraus. Der Auftraggeber kann aus nachvollziehbaren datenschutzrechtlichen Gründen innerhalb dieser Frist widersprechen. Die Parteien suchen eine geeignete Alternative; kann keine gefunden werden, kann die betroffene Leistung vor Einsatz des neuen Dienstleisters beendet werden.

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit).

(2) Anfragen von betroffenen Personen leitet der Auftragnehmer unverzüglich an den Auftraggeber weiter.

(1) Nach Beendigung der Verarbeitung gibt der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers zurück oder löscht sie einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Der Auftraggeber kann die Entscheidung an hallo@vivoteam.de mitteilen.

(2) Für eine in der App beauftragte Konto- oder Betriebslöschung gilt die dort angezeigte 30-tägige Wiederherstellungsfrist. Gesetzlich zulässige, berechtigte Löschverlangen werden unabhängig davon geprüft. Gesetzlich aufzubewahrende Daten werden für diesen Zweck gesondert und zugriffsbeschränkt gespeichert; eine pauschale Anonymisierung ersetzt keine gesetzliche Aufbewahrungspflicht.

(3) Sicherungskopien dürfen nach einer Löschweisung nur zur Wiederherstellung und unter Beachtung der Löschweisung verwendet werden. Löschungen sind nach einer Wiederherstellung erneut anzuwenden. Angaben zum konkreten Sicherungs- und Löschverfahren sowie erforderliche Exporte stellt der Auftragnehmer auf Anfrage bereit.

(1) Der Auftraggeber hat das Recht, die Einhaltung der Datenschutzvorschriften beim Auftragnehmer zu kontrollieren.

(2) Der Auftragnehmer stellt die erforderlichen Nachweise bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten Prüfer. Dabei sind Vertraulichkeit, Rechte anderer Kunden und Betriebsabläufe zu berücksichtigen. Anfragen zur Abstimmung können an hallo@vivoteam.de gerichtet werden.

(1) Der Auftragnehmer meldet Datenschutzverletzungen dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden.

(2) Die Meldung erfolgt per E-Mail an die vom Auftraggeber hinterlegte Adresse.

(1) Dieser Vertrag unterliegt deutschem Recht.

(2) Dieser Vertrag und dokumentierte Änderungen können elektronisch in Textform geschlossen werden.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.