Vertrag zur Auftragsverarbeitung (AVV)

(1) Dieser Vertrag zur Auftragsverarbeitung (nachfolgend "AVV") ergänzt die Allgemeinen Geschäftsbedingungen der Yanchew UG (haftungsbeschränkt) (nachfolgend "Auftragnehmer") und wird mit Akzeptanz der AGB durch den Kunden (nachfolgend "Auftraggeber") geschlossen.

(2) Der Auftragnehmer verarbeitet im Auftrag des Auftraggebers personenbezogene Daten im Rahmen der Bereitstellung der Dienstify-Software. Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag (AGB) und der Produktbeschreibung.

(3) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit Beendigung des Vertragsverhältnisses.

(1) Gegenstand der Verarbeitung sind folgende Arten personenbezogener Daten:

• Stammdaten (Vor-/Nachname, Geburtsdatum, Anschrift, Telefonnummer, E-Mail-Adresse)
• Beschäftigungsdaten (Personalnummer, Vertragsart, Arbeitszeitmodell, Urlaubsanspruch)
• Besonders schützenswerte Daten (Sozialversicherungsnummer, Personalausweisnummer, Steuer-ID) - verschlüsselt gespeichert
• Zeitwirtschaftsdaten (Arbeitszeiten, Schichtpläne, Abwesenheiten, Urlaubsanträge)
• Standortdaten beim Stempeln (Breiten- und Längengrad mit Genauigkeit bei Ein- und Ausstempeln sowie Beginn und Ende einer Pause), nur wenn der Auftraggeber den GPS-Nachweis für die Stempeluhr eingeschaltet hat
• Abrechnungsdaten (Stundennachweise, Zuschläge, Lohnrelevante Daten)
• Authentifizierungsdaten (E-Mail, Passwort-Hash, Sitzungsinformationen)
• Gerätedaten für Push-Mitteilungen der iOS-App (Gerätekennung/Push-Token, App-Version, abgeschaltete Mitteilungsarten)

(2) Kategorien betroffener Personen:

• Mitarbeiter und freie Mitarbeiter des Auftraggebers
• Administratoren und Nutzer der Dienstify-Plattform

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder nationalem Recht zur Verarbeitung verpflichtet.

(2) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragnehmer ergreift die gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1).

(4) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Erfüllung der Pflichten aus Art. 32-36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte gemäß Kapitel III der DSGVO.

(6) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch stellt der Auftragnehmer dem Auftraggeber vor der Löschung einen Datenexport zur Verfügung.

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Auftraggeber hat den Auftragnehmer unverzüglich zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Der Auftraggeber ist verantwortlich dafür, nur solche personenbezogenen Daten in die Software einzugeben, deren Verarbeitung durch eine gültige Rechtsgrundlage gedeckt ist.

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Subunternehmer) hinzuzuziehen. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Subunternehmern und gibt dem Auftraggeber die Möglichkeit, gegen derartige Änderungen Einspruch zu erheben.

(2) Der Auftragnehmer stellt sicher, dass den Subunternehmern dieselben Datenschutzpflichten auferlegt werden wie in diesem AVV.

(3) Aktuelle Liste der Subunternehmer (Anlage 2):

DPF = EU-U.S. Data Privacy Framework, SCC = EU-Standardvertragsklauseln

* Apple Inc. ist nicht nach dem DPF zertifiziert. Übermittlungen personenbezogener Daten aus dem EWR stützt Apple nach eigenen Angaben auf Standardvertragsklauseln. Zum Inhalt der Push-Mitteilungen siehe Anlage 1, Weitergabekontrolle.

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.

(2) Die Meldung enthält mindestens: die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen Abhilfemaßnahmen.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO.

(1) Der Auftraggeber hat das Recht, die Einhaltung dieses AVV in angemessener Weise zu überprüfen, einschließlich Inspektionen und Audits.

(2) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(3) Inspektionen sind nach angemessener Vorankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten durchzuführen.

(1) Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie nach den Regelungen des Hauptvertrags (AGB).

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragnehmers.