Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software NymTime als Software-as-a-Service bereit: Dienstplanung, Zeiterfassung mit dem Smartphone des Mitarbeiters an NFC-Aufklebern (ersatzweise QR-Code oder geoverifiziertes Stempeln), Anwesenheit am Standort als Zeiträume, Erfassung der Ruhepausen nach der vom Verantwortlichen gewählten Regel, Abwesenheiten, Verfügbarkeitsangaben, Schichttausch, Mitteilungen des Betriebs (Aushang), Zeitkonto, Stundenauswertung, Export für die Lohnverrechnung sowie optional Dokumentenablage einschließlich der Einsicht des betroffenen Mitarbeiters, Lohndokumente, Umsatzangaben je Standort und interne Personalkosten. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Die Dauer dieser Vereinbarung richtet sich nach dem Nutzungsvertrag (AGB, nymtime.com/agb). Sie endet mit dem Nutzungsvertrag; Ziffer 10 gilt darüber hinaus, bis alle Daten zurückgegeben oder gelöscht sind.

(3) Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt (Anlage 2).

2. Art, Zweck der Verarbeitung, Datenkategorien und betroffene Personen

(1) Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben. Zusammengefasst: Verwaltung von Stammdaten, Dienstplan, Arbeitszeitaufzeichnungen nach § 26 AZG, Abwesenheiten, Anwesenheitszeiträume am Standort, Gerätedaten, Meldungen der Mitarbeiter sowie — sofern vom Verantwortlichen genutzt — Dokumente und Personalkostenangaben, jeweils zum Zweck der Personaleinsatzplanung, der Erfüllung arbeitsrechtlicher Aufzeichnungspflichten und der Vorbereitung der Lohnverrechnung.

(2) Es werden keine GPS-Koordinaten, Wege oder Bewegungsprofile gespeichert. Die Anwesenheit am Standort wird nur als Ergebnis „innerhalb“, „außerhalb“ oder „Standort nicht verfügbar“ mit Zeitpunkt und Genauigkeit erfasst, und nur während einer Schicht, und nur für Mitarbeiter, für die der Verantwortliche eine Rechtsgrundlage nach § 96 Abs 1 Z 3 ArbVG oder § 10 AVRAG hinterlegt hat.

(3) Der Abwesenheitsgrund „Krankenstand“ wird ohne Diagnose und ohne Angabe der Krankheitsursache erfasst. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind darüber hinaus nur Gegenstand der Verarbeitung, soweit der Verantwortliche die Funktion „Krankenstandsbestätigung (Attest)“ nutzt: Die Bestätigung über Beginn und voraussichtliche Dauer der Arbeitsunfähigkeit ist ein Gesundheitsdatum. Der Verantwortliche darf sie nur ablegen, soweit er sie nach § 4 Entgeltfortzahlungsgesetz (EFZG), § 8 Abs 8 Angestelltengesetz (AngG) oder § 17a Abs 7 Berufsausbildungsgesetz (BAG) verlangen darf; Rechtsgrundlage ist Art. 9 Abs 2 lit. b DSGVO in Verbindung mit diesen Bestimmungen und Art. 88 DSGVO. Der Auftragsverarbeiter beschränkt den Zugriff auf diese Dokumente auf die vom Verantwortlichen dafür berechtigten Personen und den betroffenen Mitarbeiter und wertet ihren Inhalt nicht aus. Der Verantwortliche stellt sicher, dass in Freitextfeldern und in sonstigen Dokumenten keine Diagnosen und keine weiteren Gesundheitsdaten abgelegt werden.

(4) Ergänzend verarbeitet der Auftragsverarbeiter im Auftrag: Verfügbarkeitsangaben der Mitarbeiter (freiwillige Angabe zur Planung; keine Arbeitsbereitschaft und keine Rufbereitschaft im Sinne des AZG, kein Entgeltanspruch), Angebote und Annahmen beim Schichttausch (für Kolleginnen und Kollegen desselben Standorts und derselben Rolle sind Name, Rolle beziehungsweise Abteilung und Zeiten der betroffenen Schicht sichtbar — keine Anwesenheits- oder Leistungsdaten), die vom Mitarbeiter selbst freigegebenen Kontaktdaten für Kolleginnen und Kollegen (Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, Voreinstellung „aus“, jederzeitiger Widerruf nach Art. 7 Abs 3 DSGVO mit sofortiger Wirkung in der Anwendung), Lesebestätigungen zu Mitteilungen des Betriebs (Aushang) sowie die erfassten Ruhepausen und kurzen Pausen samt dem Hinweis „Pause nicht erfasst“. Der Hinweis dient ausschließlich der Korrektur der Aufzeichnung nach § 26 AZG und ist keine Sanktion und keine Leistungsbewertung; die Korrektur nimmt eine Person des Verantwortlichen mit Begründung vor.

(5) Umsatzangaben je Standort, die der Verantwortliche für Kennzahlen einträgt oder importiert, beziehen sich auf den Standort und nicht auf Personen und sind für sich keine personenbezogenen Daten; sie werden nur in Verbindung mit den Personalkosten ausgewertet, die ausschließlich der Geschäftsführung des Verantwortlichen zugänglich sind.

3. Weisungen des Verantwortlichen (Art. 28 Abs 3 lit. a)

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder Österreichs zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen erfolgen durch die Konfiguration im Back Office — insbesondere Standorte und Standortbereich, Rollen und Berechtigungen, Pausenregel je Standort, Frist für Verfügbarkeitsangaben, Genehmigungspflicht beim Schichttausch, Sichtbarkeit von Dokumenten für Mitarbeiter, Aufbewahrungsfristen, Aktivierung der Anwesenheitsprüfung je Mitarbeiter, Freischaltung des Support-Zugriffs (Einstellungen → Abo → Support-Zugriff), Export und Löschung — sowie schriftlich an office@nymtime.com, wobei eine E-Mail genügt (vereinbarte Form nach § 886 ABGB). Der Verantwortliche bestimmt, welche seiner Benutzer weisungsbefugt sind (Rolle Geschäftsführung).

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

4. Vertraulichkeit (Art. 28 Abs 3 lit. b)

(1) Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Verpflichtung über das Ende der Tätigkeit hinaus fortbesteht.

(2) Der Auftragsverarbeiter greift im Regelbetrieb nicht auf die Inhalte des Kundenkontos zu. Ein Support-Zugriff ist nur möglich, wenn der Verantwortliche ihn im Back Office ausdrücklich freischaltet — mit Umfang, Dauer und jederzeitigem Widerruf. Jeder Zugriff wird mit Zeitpunkt, Person und Aktion im Audit-Protokoll des Verantwortlichen festgehalten.

5. Sicherheit der Verarbeitung (Art. 28 Abs 3 lit. c, Art. 32)

(1) Der Auftragsverarbeiter trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen und hält sie während der gesamten Vertragsdauer aufrecht. Er überprüft sie regelmäßig und passt sie dem Stand der Technik an.

(2) Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln und durch gleichwertige ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 3 dokumentiert und dem Verantwortlichen im Back Office angezeigt.

6. Sub-Auftragsverarbeiter (Art. 28 Abs 2 und 4, Abs 3 lit. d)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Sub-Auftragsverarbeiter. Mit jedem Sub-Auftragsverarbeiter besteht ein Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung dem Auftragsverarbeiter.

(2) Beabsichtigt der Auftragsverarbeiter, einen Sub-Auftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorher per E-Mail und im Back Office. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Seite den Nutzungsvertrag zum Ende des laufenden Monats kündigen.

(3) Eine Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind (Angemessenheitsbeschluss oder Standardvertragsklauseln nach Art. 46 Abs 2 lit. c DSGVO). Der Auftragsverarbeiter haftet für Sub-Auftragsverarbeiter wie für eigenes Handeln.

7. Unterstützung bei Betroffenenrechten (Art. 28 Abs 3 lit. e)

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 22 DSGVO) innerhalb der gesetzlichen Fristen zu beantworten.

(2) Dazu stehen im Produkt bereit: Einsicht und monatlicher Export der eigenen Zeitaufzeichnungen in der Mitarbeiter-App (§ 26 Abs 8 AZG, Art. 15 und 20 DSGVO); Export aller Daten eines Mitarbeiters aus dem Back Office; Korrekturen mit Protokoll; Archivierung, Anonymisierung und Löschung nach Aufbewahrungsfristen.

(3) Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, sofern er nicht vom Verantwortlichen dazu angewiesen wird.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 28 Abs 3 lit. f, Art. 33)

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Bekanntwerden, per E-Mail an die Adresse der Ansprechperson. Die Meldung enthält die Angaben nach Art. 33 Abs 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33) und bei der Benachrichtigung der betroffenen Personen (Art. 34) und dokumentiert alle Verletzungen samt Auswirkungen und Abhilfemaßnahmen.

9. Datenschutz-Folgenabschätzung und Konsultation (Art. 28 Abs 3 lit. f, Art. 35 und 36)

(1) Die systematische Erfassung der Anwesenheit von Beschäftigten kann eine Datenschutz-Folgenabschätzung nach Art. 35 Abs 3 lit. a DSGVO erforderlich machen. Der Auftragsverarbeiter stellt dem Verantwortlichen dafür eine Vorlage der Datenschutz-Folgenabschätzung für NymTime und die technischen Angaben zum Produkt zur Verfügung und unterstützt ihn bei einer allfälligen vorherigen Konsultation der Aufsichtsbehörde (Art. 36).

(2) Die Durchführung der Datenschutz-Folgenabschätzung für den eigenen Einsatz sowie der Abschluss einer Betriebsvereinbarung (§ 96 Abs 1 Z 3 ArbVG) oder die Einholung der Zustimmung (§ 10 AVRAG) obliegen dem Verantwortlichen.

10. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs 3 lit. g)

(1) Nach Beendigung des Nutzungsvertrags kann der Verantwortliche seine Daten 30 Tage lang vollständig aus dem Back Office exportieren (Excel, CSV, Dokumente im Originalformat). Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht Unionsrecht oder österreichisches Recht den Auftragsverarbeiter selbst zur Speicherung verpflichtet; in diesem Fall wird die Verarbeitung auf die Aufbewahrung beschränkt. Die Aufbewahrungspflichten des Verantwortlichen (insbesondere § 26 AZG, § 132 BAO) bleiben dessen eigene Pflicht (§ 14 Abs 3 AGB); er erfüllt sie durch den rechtzeitigen Export.

(2) Die Löschung wird dem Verantwortlichen auf Verlangen schriftlich bestätigt. Sicherungskopien werden spätestens 35 Tage nach der Löschung der Primärdaten überschrieben.

(3) Während der Vertragsdauer kann der Verantwortliche einzelne Mitarbeiter archivieren, anonymisieren oder löschen und die Aufbewahrungsfristen je Datenart innerhalb der gesetzlichen Mindestwerte selbst festlegen. Ein täglicher Lauf setzt die Fristen um und protokolliert Anzahl und Datenart der gelöschten Datensätze.

11. Nachweise und Überprüfungen (Art. 28 Abs 3 lit. h)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere diese Vereinbarung, die Anlagen, das Verzeichnis nach Art. 30 Abs 2 DSGVO und Berichte über die Überprüfung der technischen und organisatorischen Maßnahmen.

(2) Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung dieser Vereinbarung nach angemessener Ankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten überprüfen, höchstens einmal pro Kalenderjahr, sofern nicht eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde eine weitere Überprüfung erfordert. Der Auftragsverarbeiter wirkt an Überprüfungen mit.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder Österreichs verstößt.

12. Haftung und Schlussbestimmungen

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und im Übrigen nach § 15 der AGB. Im Verhältnis der Parteien zueinander haftet jede Seite für die Verletzung der ihr nach dieser Vereinbarung und der DSGVO obliegenden Pflichten.

(2) Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Als ausschließlicher Gerichtsstand wird nach § 104 JN — bei Verantwortlichen mit Sitz in einem anderen Mitgliedstaat zusätzlich nach Art. 25 der Verordnung (EU) Nr. 1215/2012 (EuGVVO) — das sachlich zuständige Gericht für Wien, Innere Stadt, vereinbart. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftlichkeit; die Parteien vereinbaren dafür nach § 886 ABGB eine erleichterte Form, eine E-Mail an die hinterlegte Adresse genügt. Das gilt auch für die Aufhebung dieses Erfordernisses.

(3) Die elektronische Bestätigung dieser Vereinbarung beim Kauf — mit Zeitpunkt, Version, Prüfsumme des Dokuments, IP-Adresse und Benutzer — wird im Kundenkonto festgehalten und gilt als Abschluss in einem elektronischen Format im Sinne des Art. 28 Abs 9 DSGVO. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.

Anlage 1 — Gegenstand der Verarbeitung: Datenkategorien, betroffene Personen, Zwecke

Kategorien personenbezogener Daten (je Kategorie: Daten — Zweck — Rechtsgrundlage des Verantwortlichen):

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Position, Rolle, Standortzuordnung, Personalnummer, Beschäftigungsart, Eintritts- und Austrittsdatum, Wochenstunden — Verwaltung, Dienstplan, Abrechnung — Art. 6 Abs 1 lit. b und c DSGVO.
• Dienstplan: geplante Schichten, Rollen, Mindestbesetzung, offene Schichten — Personaleinsatzplanung — Art. 6 Abs 1 lit. b DSGVO.
• Verfügbarkeiten: Angabe je Tag oder Halbtag („verfügbar“, „ungern“, „nicht verfügbar“), Zeitpunkt der Eingabe — freiwillige Angabe zur Planung, keine Arbeitsbereitschaft und keine Rufbereitschaft im Sinne des AZG — Art. 6 Abs 1 lit. b DSGVO.
• Schichttausch: Angebot, Rückmeldungen der Kolleginnen und Kollegen desselben Standorts und derselben Rolle (für diese sichtbar: Name, Rolle beziehungsweise Abteilung, Zeiten der Schicht), Entscheidung der Führungskraft, Ergebnis der Prüfung arbeitszeitrechtlicher Grenzen — Personaleinsatzplanung — Art. 6 Abs 1 lit. b DSGVO.
• Kontaktfreigabe (Kontakte): Kennzeichen, ob der Mitarbeiter seine Telefonnummer und E-Mail-Adresse für Kolleginnen und Kollegen desselben Standorts sichtbar geschaltet hat, samt Zeitpunkt der Erteilung und eines allfälligen Widerrufs — Erreichbarkeit im Team — Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, Voreinstellung „aus“, Widerruf jederzeit nach Art. 7 Abs 3 DSGVO.
• Mitteilungen des Betriebs (Aushang): Text, Adressatenkreis, Gültigkeit, Lesebestätigung je Mitarbeiter mit Zeitpunkt — Nachweis der Kenntnisnahme betrieblicher Informationen — Art. 6 Abs 1 lit. b und f DSGVO; keine Leistungskontrolle.
• Arbeitszeitaufzeichnungen: tatsächlicher Beginn und Ende, Ruhepausen (§ 11 AZG, unbezahlt) und kurze Pausen samt Kennzeichen „Pause nicht erfasst“, Stempelmethode (NFC, QR, geoverifiziert), Zeitkonto-Saldo im Durchrechnungszeitraum, Korrekturen mit Begründung und Bearbeiter — § 26 AZG — Art. 6 Abs 1 lit. c DSGVO.
• Abwesenheiten: Art (Urlaub, Krankenstand, Zeitausgleich, Pflegefreistellung, Feiertag, Sonderurlaub, Schulung, unbezahlt), Zeitraum, Status, Bearbeiter; beim Krankenstand ohne Diagnose — Dienstplan, Entgeltfortzahlung — Art. 6 Abs 1 lit. b und c DSGVO.
• Anwesenheit am Standort: Zeiträume „innerhalb“, „außerhalb“, „Standort nicht verfügbar“ mit Zeitpunkt und Genauigkeit in Metern; keine Koordinaten, keine Wege — Nachweis der Anwesenheit während der Schicht — § 96 Abs 1 Z 3 ArbVG (Betriebsvereinbarung) oder § 10 AVRAG (Zustimmung), Art. 88 DSGVO.
• Gerätedaten: Gerätekennung, öffentlicher Schlüssel, Modell und Betriebssystemversion, Status (aktiv, ersetzt, gesperrt), Zeitpunkt der Registrierung — ein Gerät pro Person, Fälschungsschutz — Art. 6 Abs 1 lit. f DSGVO.
• Meldungen des Mitarbeiters: „komme später“, „heute nicht“, Freitext an den Betrieb — Organisation der Schicht — Art. 6 Abs 1 lit. b DSGVO.
• Dokumente (optional): Anmeldung zur Sozialversicherung (§ 33 ASVG), Dienstzettel (§ 2 AVRAG), Dienstvertrag, Nachweise samt allfälligem Ablaufdatum, vom Betrieb angeforderte und vom Mitarbeiter hochgeladene Unterlagen, Lohnzettel und Jahreslohnzettel (L16) samt automatisch vorgeschlagenen Feldern mit Prüfvermerk, jeweils mit dem Kennzeichen, ob das Dokument für den betroffenen Mitarbeiter in der App sichtbar ist — Personalakt, Vorbereitung der Lohnverrechnung — Art. 6 Abs 1 lit. c DSGVO, § 132 BAO, ASVG. Aufbewahrung nach der Datenart „Mitarbeiterdokumente“.
• Krankenstandsbestätigung (Attest, optional): Beginn und voraussichtliche Dauer der Arbeitsunfähigkeit ohne Diagnose — Nachweis des Krankenstandes und Entgeltfortzahlung — Gesundheitsdatum, Art. 9 Abs 2 lit. b DSGVO in Verbindung mit § 4 EFZG, § 8 Abs 8 AngG beziehungsweise § 17a Abs 7 BAG; Zugriff nur für die dafür berechtigten Personen des Verantwortlichen und den betroffenen Mitarbeiter. Aufbewahrung nach der Datenart „Mitarbeiterdokumente“.
• Personalkosten (optional, nur für die Geschäftsführung sichtbar): Stundensatz, Zuschläge, Vorschüsse, Anpassungen mit Historie — interne Kalkulation — Art. 6 Abs 1 lit. f DSGVO.
• Umsatzangaben je Standort (optional): Tagesumsatz und Zielwert — Kennzahl Personalkostenanteil — keine personenbezogenen Daten; sie werden nur gemeinsam mit den Personalkosten ausgewertet.
• Protokolle: Audit-Protokoll (wer, was, wann, vorher/nachher), Benachrichtigungen — Nachweis, Sicherheit — Art. 5 Abs 2 und Art. 32 DSGVO.
• Kategorien betroffener Personen: Arbeitnehmer, freie Dienstnehmer, Leiharbeitskräfte, Praktikanten und Lehrlinge des Verantwortlichen. Die Benutzer des Back Office (Geschäftsführung, Manager, Steuerberatung) und die Ansprechperson des Verantwortlichen sind nicht Gegenstand dieser Vereinbarung; für ihre Daten ist der Auftragsverarbeiter selbst Verantwortlicher (Datenschutzerklärung, Abschnitte 6 und 7).
• Zwecke: Personaleinsatzplanung; Erfüllung der Aufzeichnungspflicht nach § 26 AZG einschließlich der Ruhepausen nach § 11 AZG; Nachweis der Anwesenheit während der Schicht; Verwaltung von Abwesenheiten; Organisation von Verfügbarkeiten, Schichttausch und betrieblichen Mitteilungen; Ablage und Bereitstellung von Personaldokumenten; Vorbereitung der Lohnverrechnung; Sicherheit und Nachvollziehbarkeit des Systems.
• Aufbewahrung (Standardwerte Österreich, vom Verantwortlichen innerhalb der Mindestwerte änderbar): Arbeitszeitaufzeichnungen 84 Monate (Minimum 12 Monate, § 26 AZG; § 132 BAO); Roh-Anwesenheitsereignisse 3 Monate; Meldungen 12 Monate; Audit-Protokoll 84 Monate (Minimum 12 Monate); Mitarbeiterdokumente (Datenart „employee_documents“, einschließlich hochgeladener Nachweise und Krankenstandsbestätigungen) 84 Monate; Lohndokumente 84 Monate (Minimum 84 Monate, § 132 BAO); Personalkosten 84 Monate; Benachrichtigungen 6 Monate; archivierte Mitarbeiterprofile 84 Monate, danach Anonymisierung. Verfügbarkeiten, Tauschvorgänge und Lesebestätigungen werden mit dem zugehörigen Dienstplan beziehungsweise der Mitteilung gelöscht, längstens nach 12 Monaten.

Anlage 2 — Genehmigte Sub-Auftragsverarbeiter

Stand 15. September 2026. Der Auftragsverarbeiter setzt folgende Sub-Auftragsverarbeiter ein; die jeweils aktuelle Liste ist im Back Office unter Einstellungen → Abo einsehbar.

• Hosting (Server, Datenbank, Dateiablage, Sicherungskopien): Rechenzentrum in der EU — der Anbieter wird vor Inbetriebnahme des Produktivsystems hier mit Firma, Sitz und Standort des Rechenzentrums ergänzt. Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; keine Verarbeitung außerhalb der EU.
• E-Mail-Versand (Einladungen, Benachrichtigungen, Rechnungen): Anbieter mit Verarbeitung in der EU — der Anbieter wird vor Inbetriebnahme des Produktivsystems hier mit Firma, Sitz und Region ergänzt. Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Automatische Felderkennung in Dokumenten (nur wenn der Verantwortliche diese Funktion aktiviert): Anbieter mit Verarbeitung in der EU, keine Nutzung der Daten zu Trainingszwecken — wird vor Aktivierung der Funktion hier ergänzt; bis dahin ist die Funktion deaktiviert.
• Adresssuche im Back Office (Vorschläge beim Eintragen einer Standortadresse): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Deutschland (Dienst Photon, Server in der EU; Datengrundlage OpenStreetMap, ODbL 1.0). Übermittelt wird ausschließlich der eingegebene Adresstext; die Anfrage stellt unser Server, nicht der Browser. Mitarbeiterdaten werden nicht übermittelt. Ersatzweise bei Ausfall: Nominatim der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich — ein Auftragsverarbeitungsvertrag ist mit der Stiftung nicht abschließbar; der Dienst erhält nur den Adresstext und wird nur als Ausweichweg abgefragt.

Zur Vollständigkeit — eigenständige Verantwortliche, keine Sub-Auftragsverarbeiter: Europäische Kommission, Rue de la Loi 200, 1049 Brüssel, Belgien (Bestätigung der UID-Nummer des Verantwortlichen im MwSt-Informationsaustauschsystem VIES; übermittelt werden nur Ländercode und UID-Nummer, Rechtsgrundlage Art. 6 Abs 1 lit. c DSGVO iVm § 11 Abs 1a UStG 1994; keine Mitarbeiterdaten), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland (Zahlungsabwicklung, Rechnungsstellung und Abonnementverwaltung für den Verantwortlichen als Kunden; Übermittlungen an Stripe, Inc. (USA) unter dem EU-US Data Privacy Framework und Standardvertragsklauseln) sowie Österreichische Post AG, Rochusplatz 1, 1030 Wien, oder ein Kurierdienst (Zustellung der NFC-Aufkleber an die Geschäfts- oder Lieferadresse; erhält ausschließlich Versanddaten: Firma, Ansprechperson, Adresse, gegebenenfalls Telefonnummer). Keiner dieser Empfänger verarbeitet Daten der Mitarbeiter des Verantwortlichen.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

• Zutritts- und Zugangskontrolle: Betrieb ausschließlich in Rechenzentren in der EU; physische Zutrittskontrolle und Zertifizierung nach ISO 27001 sind Anforderung an den Hosting-Anbieter, der vor Inbetriebnahme hier benannt wird; administrativer Zugang nur über personengebundene Konten mit SSH-Schlüsseln, Zwei-Faktor-Authentifizierung für die Verwaltungskonsole ebenfalls als Anforderung an den Hosting-Anbieter; kein gemeinsam genutztes Konto.
• Zugriffskontrolle im Produkt: rollen- und rechtebasiertes Berechtigungssystem (Geschäftsführung, Manager, Mitarbeiter, weitere Rollen mit einzelnen Berechtigungen), Beschränkung von Managern auf zugewiesene Standorte; Lohn- und Personalkostendaten nur für die Geschäftsführung; Krankenstandsbestätigungen nur für die dafür berechtigten Personen und den betroffenen Mitarbeiter; Anmeldung am Back Office über personenbezogene Zugänge mit der E-Mail-Adresse als Benutzerkennung und einem Passwort, das ausschließlich als Hashwert mit zufälligem Salz (scrypt) gespeichert wird — Festlegen des Passworts über einen einmaligen Link (24 Stunden gültig), Rücksetzen über einen einmaligen Link (1 Stunde gültig), Bestätigung einer neuen E-Mail-Adresse mit Code an die neue Adresse, Sperre für 15 Minuten nach 10 Fehlversuchen, Beendigung aller bestehenden Sitzungen bei jeder Passwortänderung, Sitzungs-Cookie mit Ablauf nach 14 Tagen, optionale Zwei-Faktor-Authentifizierung (TOTP-App, vom Verantwortlichen betriebsweit aktivierbar, Wiederherstellungscodes nur als Hashwert, TOTP-Geheimnis verschlüsselt gespeichert); Aktivierung der Mitarbeiter-App per Einmalcode an die hinterlegte E-Mail-Adresse (Gültigkeit begrenzt, höchstens 5 Versuche, Anfragen je Adresse und IP-Adresse begrenzt); Zugriffe werden protokolliert.
• Gerätebindung: genau ein aktives Gerät je Mitarbeiter; kryptografisches Schlüsselpaar im sicheren Speicher des Geräts; jede Stempelung wird vom Gerät signiert; ein neues Gerät wird nur nach Bestätigung eines E-Mail-Codes und Nachweis der Anwesenheit am Standort (NFC-Aufkleber oder Standortprüfung) gebunden — das bisherige Gerät wird dabei automatisch gesperrt, der Betrieb benachrichtigt und der Wechsel protokolliert; der Betrieb kann ein Gerät jederzeit sperren.
• NFC-Aufkleber: NTAG 424 DNA mit dynamischer, kryptografisch geprüfter Nachricht (Secure Unique NFC) und Zählerprüfung gegen Kopieren und Wiedereinspielen; QR-Codes mit standortgebundenem Code und Prüfung der Standortzone.
• Datenminimierung: keine Speicherung von Koordinaten, Wegen oder Fotos; Anwesenheit nur als Zeiträume; Prüfung nur während der Schicht; Anwesenheitsprüfung je Mitarbeiter erst nach hinterlegter Rechtsgrundlage; Roh-Ereignisse werden nach 3 Monaten verdichtet.
• Verschlüsselung: Übertragung ausschließlich über TLS 1.2 oder höher; die Datenbank liegt auf einem mit LUKS (dm-crypt, AES-XTS) verschlüsselten Volume beim Hosting-Anbieter, Dokumente und Sicherungskopien liegen serverseitig verschlüsselt im Object Storage (Verschlüsselung at rest); Schlüssel und Zugangsdaten außerhalb des Quellcodes; Passwörter und Anmeldecodes nur als Hashwert mit zufälligem Salz.
• Integrität und Nachvollziehbarkeit: unveränderbares Audit-Protokoll (Anfügen erlaubt, Ändern und Löschen durch Datenbankregel verhindert) für alle sicherheitsrelevanten Aktionen; nur Soft-Delete mit Zeitstempel; Korrekturen von Arbeitszeiten mit Begründung, Bearbeiter und Vorher-Wert.
• Verfügbarkeit: tägliche Sicherungskopien mit 35 Tagen Aufbewahrung auf verschlüsselten Datenträgern, Wiederherstellungstests als Anforderung an den Hosting-Anbieter, der vor Inbetriebnahme hier benannt wird, Überwachung mit Alarmierung, Zwischenspeicherung von Stempelungen auf dem Gerät bei Verbindungsverlust.
• Trennung: logische Trennung der Kundendaten durch Organisationsschlüssel in jeder Abfrage; getrennte Umgebungen für Entwicklung, Test und Produktivbetrieb; keine Produktivdaten in Test- oder Entwicklungsumgebungen.
• Aufbewahrung und Löschung: konfigurierbare Fristen je Datenart mit erzwungenen gesetzlichen Mindestwerten; täglicher automatisierter Lösch- und Anonymisierungslauf mit Protokoll; Rückgabe und Löschung nach Ziffer 10.
• Support-Zugriff: kein Zugriff des Auftragsverarbeiters auf Kundendaten im Regelbetrieb; Zugriff nur nach Freischaltung durch den Verantwortlichen mit Umfang, Dauer und jederzeitigem Widerruf; jeder Zugriff protokolliert.
• Organisation: Verpflichtung aller Beteiligten zur Vertraulichkeit; dokumentierter Prozess für Datenschutzverletzungen mit Meldung binnen 48 Stunden; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs 2 DSGVO; jährliche Überprüfung dieser Maßnahmen; Sicherheitsupdates innerhalb angemessener Frist; Grundsätze Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) im Entwicklungsprozess.