Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software NymTime als Software-as-a-Service bereit: Dienstplanung, Zeiterfassung mit dem Smartphone des Mitarbeiters an NFC-Tags (ersatzweise geoverifizierte Standort-Buchung ohne NFC), Anwesenheit am Standort als Zeiträume, Erfassung der Ruhepausen nach der vom Verantwortlichen gewählten Regel, Abwesenheiten, Verfügbarkeitsangaben, Schichttausch, Mitteilungen des Betriebs (Aushang), Zeitkonto, Stundenauswertung, Export für die Lohnverrechnung sowie optional Dokumentenablage einschließlich der Einsicht des betroffenen Mitarbeiters, Lohndokumente, Umsatzangaben je Standort und interne Personalkosten. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Die Dauer dieser Vereinbarung richtet sich nach dem Nutzungsvertrag (AGB, nymtime.com/agb). Sie endet mit dem Nutzungsvertrag; Ziffer 10 gilt darüber hinaus, bis alle Daten zurückgegeben oder gelöscht sind.

(3) Die Daten des Verantwortlichen werden ausschließlich in Rechenzentren innerhalb der Europäischen Union gespeichert. Während der Übertragung durchlaufen sie den Reverse Proxy von Cloudflare; E-Mails und Push-Benachrichtigungen werden über die in Anlage 2 genannten Dienste versandt. Die dabei stattfindenden Übermittlungen in Drittländer und ihre Grundlage (Art. 45 und Art. 46 Abs 2 lit. c DSGVO) nennt Anlage 2.

2. Art, Zweck der Verarbeitung, Datenkategorien und betroffene Personen

(1) Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben. Zusammengefasst: Verwaltung von Stammdaten, Dienstplan, Arbeitszeitaufzeichnungen nach § 26 AZG, Abwesenheiten, Anwesenheitszeiträume am Standort, Gerätedaten, Meldungen der Mitarbeiter sowie — sofern vom Verantwortlichen genutzt — Dokumente und Personalkostenangaben, jeweils zum Zweck der Personaleinsatzplanung, der Erfüllung arbeitsrechtlicher Aufzeichnungspflichten und der Vorbereitung der Lohnverrechnung.

(2) Es werden keine GPS-Koordinaten, Wege oder Bewegungsprofile gespeichert. Die Anwesenheit am Standort wird nur als Ergebnis „innerhalb“, „außerhalb“ oder „Standort nicht verfügbar“ mit Zeitpunkt und Genauigkeit erfasst, und nur während einer Schicht, und nur für Mitarbeiter, für die der Verantwortliche eine Rechtsgrundlage nach § 96 Abs 1 Z 3 ArbVG oder § 10 AVRAG hinterlegt hat.

(3) Der Abwesenheitsgrund „Krankenstand“ wird ohne Diagnose und ohne Angabe der Krankheitsursache erfasst. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind darüber hinaus nur Gegenstand der Verarbeitung, soweit der Verantwortliche die Funktion „Krankenstandsbestätigung (Attest)“ nutzt: Die Bestätigung über Beginn und voraussichtliche Dauer der Arbeitsunfähigkeit ist ein Gesundheitsdatum. Der Verantwortliche darf sie nur ablegen, soweit er sie nach § 4 Entgeltfortzahlungsgesetz (EFZG), § 8 Abs 8 Angestelltengesetz (AngG) oder § 17a Abs 7 Berufsausbildungsgesetz (BAG) verlangen darf; Rechtsgrundlage ist Art. 9 Abs 2 lit. b DSGVO in Verbindung mit diesen Bestimmungen und Art. 88 DSGVO. Der Auftragsverarbeiter beschränkt den Zugriff auf diese Dokumente auf die vom Verantwortlichen dafür berechtigten Personen und den betroffenen Mitarbeiter und wertet ihren Inhalt nicht aus. Der Verantwortliche stellt sicher, dass in Freitextfeldern und in sonstigen Dokumenten keine Diagnosen und keine weiteren Gesundheitsdaten abgelegt werden.

(4) Ergänzend verarbeitet der Auftragsverarbeiter im Auftrag: Verfügbarkeitsangaben der Mitarbeiter (freiwillige Angabe zur Planung; keine Arbeitsbereitschaft und keine Rufbereitschaft im Sinne des AZG, kein Entgeltanspruch), Angebote und Annahmen beim Schichttausch (für Kolleginnen und Kollegen desselben Standorts und derselben Rolle sind Name, Rolle beziehungsweise Abteilung und Zeiten der betroffenen Schicht sichtbar — keine Anwesenheits- oder Leistungsdaten), die vom Mitarbeiter selbst freigegebenen Kontaktdaten für Kolleginnen und Kollegen (Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, Voreinstellung „aus“, jederzeitiger Widerruf nach Art. 7 Abs 3 DSGVO mit sofortiger Wirkung in der Anwendung), Lesebestätigungen zu Mitteilungen des Betriebs (Aushang) sowie die erfassten Ruhepausen und kurzen Pausen samt dem Hinweis „Pause nicht erfasst“. Der Hinweis dient ausschließlich der Korrektur der Aufzeichnung nach § 26 AZG und ist keine Sanktion und keine Leistungsbewertung; die Korrektur nimmt eine Person des Verantwortlichen mit Begründung vor.

(5) Umsatzangaben je Standort, die der Verantwortliche für Kennzahlen einträgt oder importiert, beziehen sich auf den Standort und nicht auf Personen und sind für sich keine personenbezogenen Daten; sie werden nur in Verbindung mit den Personalkosten ausgewertet, die ausschließlich der Geschäftsführung des Verantwortlichen zugänglich sind.

3. Weisungen des Verantwortlichen (Art. 28 Abs 3 lit. a)

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder Österreichs zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen erfolgen durch die Konfiguration im Back Office — insbesondere Standorte und Standortbereich, Rollen und Berechtigungen, Pausenregel je Standort, Frist für Verfügbarkeitsangaben, Genehmigungspflicht beim Schichttausch, Sichtbarkeit von Dokumenten für Mitarbeiter, Aufbewahrungsfristen, Aktivierung der Anwesenheitsprüfung je Mitarbeiter, Freischaltung des Support-Zugriffs (Einstellungen → Abo → Support-Zugriff), Export und Löschung — sowie schriftlich an office@nymtime.com, wobei eine E-Mail genügt (vereinbarte Form nach § 886 ABGB). Der Verantwortliche bestimmt, welche seiner Benutzer weisungsbefugt sind (Rolle Geschäftsführung).

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

4. Vertraulichkeit (Art. 28 Abs 3 lit. b)

(1) Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Verpflichtung über das Ende der Tätigkeit hinaus fortbesteht.

(2) Der Auftragsverarbeiter greift im Regelbetrieb nicht auf die Inhalte des Kundenkontos zu. Ein Support-Zugriff ist nur möglich, wenn der Verantwortliche ihn im Back Office ausdrücklich freischaltet — mit Umfang, Dauer und jederzeitigem Widerruf. Jeder Zugriff wird mit Zeitpunkt, Person und Aktion im Audit-Protokoll des Verantwortlichen festgehalten.

5. Sicherheit der Verarbeitung (Art. 28 Abs 3 lit. c, Art. 32)

(1) Der Auftragsverarbeiter trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen und hält sie während der gesamten Vertragsdauer aufrecht. Er überprüft sie regelmäßig und passt sie dem Stand der Technik an.

(2) Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln und durch gleichwertige ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 3 dokumentiert und dem Verantwortlichen im Back Office angezeigt.

6. Sub-Auftragsverarbeiter (Art. 28 Abs 2 und 4, Abs 3 lit. d)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Sub-Auftragsverarbeiter. Mit jedem Sub-Auftragsverarbeiter besteht ein Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung dem Auftragsverarbeiter.

(2) Beabsichtigt der Auftragsverarbeiter, einen Sub-Auftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorher per E-Mail und im Back Office. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Seite den Nutzungsvertrag zum Ende des laufenden Monats kündigen.

(3) Eine Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind (Angemessenheitsbeschluss oder Standardvertragsklauseln nach Art. 46 Abs 2 lit. c DSGVO). Der Auftragsverarbeiter haftet für Sub-Auftragsverarbeiter wie für eigenes Handeln.

7. Unterstützung bei Betroffenenrechten (Art. 28 Abs 3 lit. e)

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 22 DSGVO) innerhalb der gesetzlichen Fristen zu beantworten.

(2) Dazu stehen im Produkt bereit: Einsicht und monatlicher Export der eigenen Zeitaufzeichnungen in der Mitarbeiter-App (§ 26 Abs 8 AZG, Art. 15 und 20 DSGVO); Export aller Daten eines Mitarbeiters aus dem Back Office; Korrekturen mit Protokoll; Archivierung, Anonymisierung und Löschung nach Aufbewahrungsfristen; in der Mitarbeiter-App der Antrag des Mitarbeiters auf Löschung seines Kontos, der an den Verantwortlichen zur Entscheidung weitergeleitet wird (Arbeitszeitaufzeichnungen bleiben für die Dauer nach § 26 AZG erhalten).

(3) Richtet eine betroffene Person einen Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, sofern er nicht vom Verantwortlichen dazu angewiesen wird.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 28 Abs 3 lit. f, Art. 33)

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Bekanntwerden, per E-Mail an die Adresse der Ansprechperson. Die Meldung enthält die Angaben nach Art. 33 Abs 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33) und bei der Benachrichtigung der betroffenen Personen (Art. 34) und dokumentiert alle Verletzungen samt Auswirkungen und Abhilfemaßnahmen.

9. Datenschutz-Folgenabschätzung und Konsultation (Art. 28 Abs 3 lit. f, Art. 35 und 36)

(1) Die systematische Erfassung der Anwesenheit von Beschäftigten kann eine Datenschutz-Folgenabschätzung nach Art. 35 Abs 3 lit. a DSGVO erforderlich machen. Der Auftragsverarbeiter stellt dem Verantwortlichen dafür eine Vorlage der Datenschutz-Folgenabschätzung für NymTime und die technischen Angaben zum Produkt zur Verfügung und unterstützt ihn bei einer allfälligen vorherigen Konsultation der Aufsichtsbehörde (Art. 36).

(2) Die Durchführung der Datenschutz-Folgenabschätzung für den eigenen Einsatz, die Einordnung, ob die Anwesenheitsprüfung eine Betriebsvereinbarung (§ 96 Abs 1 Z 3 ArbVG) oder eine Einwilligung (§ 10 AVRAG) erfordert, sowie deren Abschluss beziehungsweise Einholung obliegen dem Verantwortlichen.

10. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs 3 lit. g)

(1) Nach Beendigung des Nutzungsvertrags kann der Verantwortliche seine Daten 30 Tage lang vollständig aus dem Back Office exportieren (Excel, CSV, Dokumente im Originalformat). Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht Unionsrecht oder österreichisches Recht den Auftragsverarbeiter selbst zur Speicherung verpflichtet; in diesem Fall wird die Verarbeitung auf die Aufbewahrung beschränkt. Die Aufbewahrungspflichten des Verantwortlichen (insbesondere § 26 AZG, § 132 BAO) bleiben dessen eigene Pflicht (§ 14 Abs 3 AGB); er erfüllt sie durch den rechtzeitigen Export.

(2) Die Löschung wird dem Verantwortlichen auf Verlangen schriftlich bestätigt. Sicherungskopien werden spätestens 35 Tage nach der Löschung der Primärdaten überschrieben.

(3) Während der Vertragsdauer kann der Verantwortliche einzelne Mitarbeiter archivieren, anonymisieren oder löschen und die Aufbewahrungsfristen je Datenart innerhalb der gesetzlichen Mindestwerte selbst festlegen. Ein täglicher Lauf setzt die Fristen um und protokolliert Anzahl und Datenart der gelöschten Datensätze.

11. Nachweise und Überprüfungen (Art. 28 Abs 3 lit. h)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere diese Vereinbarung, die Anlagen, das Verzeichnis nach Art. 30 Abs 2 DSGVO und Berichte über die Überprüfung der technischen und organisatorischen Maßnahmen.

(2) Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung dieser Vereinbarung nach angemessener Ankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten überprüfen, höchstens einmal pro Kalenderjahr, sofern nicht eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde eine weitere Überprüfung erfordert. Der Auftragsverarbeiter wirkt an Überprüfungen mit.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder Österreichs verstößt.

12. Haftung und Schlussbestimmungen

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und im Übrigen nach § 15 der AGB. Im Verhältnis der Parteien zueinander haftet jede Seite für die Verletzung der ihr nach dieser Vereinbarung und der DSGVO obliegenden Pflichten.

(2) Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Als ausschließlicher Gerichtsstand wird nach § 104 JN — bei Verantwortlichen mit Sitz in einem anderen Mitgliedstaat zusätzlich nach Art. 25 der Verordnung (EU) Nr. 1215/2012 (EuGVVO) — das sachlich zuständige Gericht für Wien, Innere Stadt, vereinbart. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftlichkeit; die Parteien vereinbaren dafür nach § 886 ABGB eine erleichterte Form, eine E-Mail an die hinterlegte Adresse genügt. Das gilt auch für die Aufhebung dieses Erfordernisses.

(3) Die elektronische Bestätigung dieser Vereinbarung beim Kauf oder, wenn der Auftragsverarbeiter das Kundenkonto auf Anfrage eingerichtet hat, bei der ersten Anmeldung der Geschäftsführung im Back Office — mit Zeitpunkt, Version, Prüfsumme (SHA-256) des bestätigten Dokumenttexts, IP-Adresse und Benutzer — wird im Kundenkonto festgehalten und gilt als Abschluss in einem elektronischen Format im Sinne des Art. 28 Abs 9 DSGVO. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.

Anlage 1 — Gegenstand der Verarbeitung: Datenkategorien, betroffene Personen, Zwecke

Kategorien personenbezogener Daten (je Kategorie: Daten — Zweck — Rechtsgrundlage des Verantwortlichen):

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Position, Rolle, Standortzuordnung, Personalnummer, Beschäftigungsart, Eintritts- und Austrittsdatum — Verwaltung, Dienstplan, Abrechnung — Art. 6 Abs 1 lit. b und c DSGVO.
• Vertragsdaten (Vereinbarung): vertragliche Arbeitszeit (Stunden je Woche, Monat oder Jahr), Beschäftigungskategorie (Vollzeit, Teilzeit, Jugendliche unter 18, Lehre, Saison, sonstige), Durchrechnungszeitraum, anwendbarer Kollektivvertrag, Urlaubsanspruch in Tagen, jeweils mit Gültigkeitsbeginn und Versionsverlauf — Dienstplan, Zeitkonto, Urlaubsstand, Prüfung arbeitszeitrechtlicher Grenzen — Art. 6 Abs 1 lit. b und c DSGVO.
• Dienstplan: geplante Schichten, Rollen, Mindestbesetzung, offene Schichten, Veröffentlichungs- und Bestätigungszeitpunkte (wer den Plan wann veröffentlicht hat, wann der Mitarbeiter ihn gesehen und bestätigt hat), Änderungen nach der Veröffentlichung mit Begründung — Personaleinsatzplanung, Nachweis der rechtzeitigen Bekanntgabe — Art. 6 Abs 1 lit. b und c DSGVO.
• Verfügbarkeiten: Angabe je Tag oder Halbtag („verfügbar“, „ungern“, „nicht verfügbar“), Zeitpunkt der Eingabe — freiwillige Angabe zur Planung, keine Arbeitsbereitschaft und keine Rufbereitschaft im Sinne des AZG — Art. 6 Abs 1 lit. b DSGVO.
• Schichttausch: Angebot, Rückmeldungen der Kolleginnen und Kollegen desselben Standorts und derselben Rolle (für diese sichtbar: Name, Rolle beziehungsweise Abteilung, Zeiten der Schicht), Entscheidung der Führungskraft, Ergebnis der Prüfung arbeitszeitrechtlicher Grenzen — Personaleinsatzplanung — Art. 6 Abs 1 lit. b DSGVO.
• Kontaktfreigabe (Kontakte): Kennzeichen, ob der Mitarbeiter seine Telefonnummer und E-Mail-Adresse für Kolleginnen und Kollegen desselben Standorts sichtbar geschaltet hat, samt Zeitpunkt der Erteilung und eines allfälligen Widerrufs — Erreichbarkeit im Team — Einwilligung nach Art. 6 Abs 1 lit. a DSGVO, Voreinstellung „aus“, Widerruf jederzeit nach Art. 7 Abs 3 DSGVO.
• Mitteilungen des Betriebs (Aushang): Text, Adressatenkreis, Gültigkeit, Lesebestätigung je Mitarbeiter mit Zeitpunkt — Nachweis der Kenntnisnahme betrieblicher Informationen — Art. 6 Abs 1 lit. b und f DSGVO; keine Leistungskontrolle.
• Arbeitszeitaufzeichnungen: tatsächlicher Beginn und Ende, Ruhepausen (§ 11 AZG, unbezahlt; geplante Pausenblöcke je Schicht, bezahlt oder unbezahlt, sowie eine von der Standortleitung bestätigte Pause mit Bearbeiter) und kurze Pausen samt Kennzeichen „Pause nicht erfasst“, Stempelmethode (NFC oder Standort-Buchung ohne NFC), Abweichungsprotokoll bei vertraglicher Arbeitszeit (bestätigte Tage „wie geplant“, tatsächliche Zeiten bei einer Abweichung, Meldung des Mitarbeiters und Bestätigung der Führungskraft), Zeitkonto je Abrechnungsperiode (Vertragsstunden, gutgeschriebene Stunden, Saldo, Übertrag und Periodenabschluss), Korrekturen mit Begründung und Bearbeiter — § 26 AZG — Art. 6 Abs 1 lit. c DSGVO.
• Abwesenheiten: Art (Urlaub, Krankenstand, Zeitausgleich, Pflegefreistellung, Feiertag, Sonderurlaub, Schulung, unbezahlt), Zeitraum, Status, Bearbeiter; beim Krankenstand ohne Diagnose — Dienstplan, Entgeltfortzahlung — Art. 6 Abs 1 lit. b und c DSGVO.
• Anwesenheit am Standort: Zeiträume „innerhalb“, „außerhalb“, „Standort nicht verfügbar“ mit Zeitpunkt und Genauigkeit in Metern; keine Koordinaten, keine Wege — Nachweis der Anwesenheit während der Schicht — § 96 Abs 1 Z 3 ArbVG (Betriebsvereinbarung) oder § 10 AVRAG (Zustimmung), Art. 88 DSGVO.
• Gerätedaten: Gerätekennung, öffentlicher Schlüssel, Modell und Betriebssystemversion, Push-Token für Benachrichtigungen, Status (aktiv, ersetzt, gesperrt), Zeitpunkt der Registrierung — ein Gerät pro Person, Fälschungsschutz — Art. 6 Abs 1 lit. f DSGVO.
• Meldungen des Mitarbeiters: „komme später“, „heute nicht“, Freitext an den Betrieb — Organisation der Schicht — Art. 6 Abs 1 lit. b DSGVO.
• Dokumente (optional): Anmeldung zur Sozialversicherung (§ 33 ASVG), Dienstzettel (§ 2 AVRAG), Dienstvertrag, Nachweise samt allfälligem Ablaufdatum, vom Betrieb angeforderte und vom Mitarbeiter hochgeladene Unterlagen, Lohnzettel und Jahreslohnzettel (L16) samt automatisch vorgeschlagenen Feldern mit Prüfvermerk, jeweils mit dem Kennzeichen, ob das Dokument für den betroffenen Mitarbeiter in der App sichtbar ist — Personalakt, Vorbereitung der Lohnverrechnung — Art. 6 Abs 1 lit. c DSGVO, § 132 BAO, ASVG. Lohndokumente sehen nur die Geschäftsführung, vom Verantwortlichen ausdrücklich berechtigte Personen und der betroffene Mitarbeiter; jeder Zugriff wird protokolliert. Aufbewahrung nach der Datenart „Mitarbeiterdokumente“.
• Krankenstandsbestätigung (Attest, optional): Beginn und voraussichtliche Dauer der Arbeitsunfähigkeit ohne Diagnose — Nachweis des Krankenstandes und Entgeltfortzahlung — Gesundheitsdatum, Art. 9 Abs 2 lit. b DSGVO in Verbindung mit § 4 EFZG, § 8 Abs 8 AngG beziehungsweise § 17a Abs 7 BAG; Zugriff nur für die Geschäftsführung, vom Verantwortlichen ausdrücklich dazu berechtigte Personen und den betroffenen Mitarbeiter; jeder Zugriff wird protokolliert. Aufbewahrung nach der Datenart „Mitarbeiterdokumente“.
• Personalkosten (optional, nur für die Geschäftsführung sichtbar): Stundensatz, Zuschläge, Vorschüsse, Anpassungen mit Historie — interne Kalkulation — Art. 6 Abs 1 lit. f DSGVO.
• Umsatzangaben je Standort (optional): Tagesumsatz und Zielwert — Kennzahl Personalkostenanteil — keine personenbezogenen Daten; sie werden nur gemeinsam mit den Personalkosten ausgewertet.
• Protokolle: Audit-Protokoll (wer, was, wann, vorher/nachher), Benachrichtigungen — Nachweis, Sicherheit — Art. 5 Abs 2 und Art. 32 DSGVO.
• Kategorien betroffener Personen: Arbeitnehmer, freie Dienstnehmer, Leiharbeitskräfte, Praktikanten und Lehrlinge des Verantwortlichen. Die Benutzer des Back Office (Geschäftsführung, Manager, Steuerberatung) und die Ansprechperson des Verantwortlichen sind nicht Gegenstand dieser Vereinbarung; für ihre Daten ist der Auftragsverarbeiter selbst Verantwortlicher (Datenschutzerklärung, Abschnitte 6 und 7).
• Zwecke: Personaleinsatzplanung; Erfüllung der Aufzeichnungspflicht nach § 26 AZG einschließlich der Ruhepausen nach § 11 AZG; Nachweis der Anwesenheit während der Schicht; Verwaltung von Abwesenheiten; Organisation von Verfügbarkeiten, Schichttausch und betrieblichen Mitteilungen; Ablage und Bereitstellung von Personaldokumenten; Vorbereitung der Lohnverrechnung; Sicherheit und Nachvollziehbarkeit des Systems.
• Aufbewahrung (Standardwerte Österreich, vom Verantwortlichen innerhalb der Mindestwerte änderbar): Arbeitszeitaufzeichnungen 84 Monate (Minimum 12 Monate, § 26 AZG; § 132 BAO); Roh-Anwesenheitsereignisse 3 Monate; Meldungen 12 Monate; Audit-Protokoll 84 Monate (Minimum 12 Monate); Mitarbeiterdokumente (Datenart „employee_documents“, einschließlich hochgeladener Nachweise und Krankenstandsbestätigungen) 84 Monate; Lohndokumente 84 Monate (Minimum 84 Monate, § 132 BAO); Personalkosten 84 Monate; Benachrichtigungen 6 Monate; archivierte Mitarbeiterprofile 84 Monate, danach Anonymisierung. Verfügbarkeiten, Tauschvorgänge und Lesebestätigungen werden mit dem zugehörigen Dienstplan beziehungsweise der Mitteilung gelöscht, längstens nach 12 Monaten.

Anlage 2 — Genehmigte Sub-Auftragsverarbeiter

Stand 28. September 2026. Der Auftragsverarbeiter setzt folgende Sub-Auftragsverarbeiter ein; die jeweils aktuelle Liste ist im Back Office unter Einstellungen → Abo einsehbar.

• Hosting des Dienstes (Server, Datenbank, Dateiablage, Sicherungskopien): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Rechenzentrum Falkenstein (Deutschland, Region fsn1), Object Storage in derselben Region. Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; keine Verarbeitung außerhalb der EU.
• Hosting und Auslieferung der Website nymtime.com sowie Weiterleitung des gesamten Datenverkehrs zu api.nymtime.com, app.nymtime.com und admin.nymtime.com (Reverse Proxy, Transportverschlüsselung, Schutz vor Überlastungsangriffen): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, USA). Die TLS-Verbindung endet bei Cloudflare; Cloudflare verarbeitet damit technisch alle übertragenen Daten einschließlich der Beschäftigtendaten während der Übertragung, speichert aber keine Inhalte des Dienstes — zwischengespeichert werden nur statische Dateien, dazu Verbindungsprotokolle zur Abwehr von Angriffen. Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Übermittlung in die USA auf Grundlage der Zertifizierung nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) und der Standardvertragsklauseln (Art. 46 Abs 2 lit. c DSGVO).
• E-Mail-Versand (Anmelde- und Einladungslinks, Aktivierungscodes der Mitarbeiter-App, Benachrichtigungen, Vertrags- und Zahlungsmitteilungen, Rechnungen): Resend, Inc., San Francisco, USA — Versand über Amazon Simple Email Service in der Region eu-west-1 (Irland). Verarbeitete Daten: Empfängeradresse, Betreff, Inhalt und Zustellstatus der Nachricht. Garantie: Data Processing Addendum vom 28.09.2026 (Art. 28 DSGVO); Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Expo zertifiziert ist. Technische Nutzungsdaten des Dienstes (etwa die IP-Adresse beim Abruf des Push-Tokens) verarbeitet Expo zusätzlich in eigener Verantwortung.
• Push-Benachrichtigungen an die Mitarbeiter-App: Expo (650 Industries, Inc., USA), Zustellung an die Geräte über den Apple Push Notification service (Apple Inc.) beziehungsweise Firebase Cloud Messaging (Google). Verarbeitete Daten: Push-Token des Geräts, Kennung und Art der Benachrichtigung, ein allgemeiner Text ohne personenbezogenen Inhalt. Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) und der Standardvertragsklauseln (Art. 46 Abs 2 lit. c DSGVO).
• Automatische Felderkennung in Dokumenten (nur wenn der Verantwortliche diese Funktion aktiviert): Anbieter mit Verarbeitung in der EU, keine Nutzung der Daten zu Trainingszwecken — wird vor Aktivierung der Funktion hier ergänzt; bis dahin ist die Funktion deaktiviert.
• Adresssuche im Back Office (Vorschläge beim Eintragen einer Standortadresse): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Deutschland (Dienst Photon, Server in der EU; Datengrundlage OpenStreetMap, ODbL 1.0). Übermittelt wird ausschließlich der eingegebene Adresstext; die Anfrage stellt unser Server, nicht der Browser. Mitarbeiterdaten werden nicht übermittelt. Ersatzweise bei Ausfall: Nominatim der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich — ein Auftragsverarbeitungsvertrag ist mit der Stiftung nicht abschließbar; der Dienst erhält nur den Adresstext und wird nur als Ausweichweg abgefragt.

Zur Vollständigkeit — eigenständige Verantwortliche, keine Sub-Auftragsverarbeiter: Europäische Kommission, Rue de la Loi 200, 1049 Brüssel, Belgien (Bestätigung der UID-Nummer des Verantwortlichen im MwSt-Informationsaustauschsystem VIES; übermittelt werden nur Ländercode und UID-Nummer, Rechtsgrundlage Art. 6 Abs 1 lit. c DSGVO iVm § 11 Abs 1a UStG 1994; keine Mitarbeiterdaten), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland (Zahlungsabwicklung, Rechnungsstellung und Abonnementverwaltung für den Verantwortlichen als Kunden; Übermittlungen an Stripe, Inc. (USA) unter dem EU-US Data Privacy Framework und Standardvertragsklauseln) sowie Österreichische Post AG, Rochusplatz 1, 1030 Wien, oder ein Kurierdienst (Zustellung der NFC-Tags an die Geschäfts- oder Lieferadresse; erhält ausschließlich Versanddaten: Firma, Ansprechperson, Adresse, gegebenenfalls Telefonnummer). Keiner dieser Empfänger verarbeitet Daten der Mitarbeiter des Verantwortlichen.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

• Zutritts- und Zugangskontrolle: Betrieb des Dienstes ausschließlich in Rechenzentren in der EU; physische Zutrittskontrolle und Zertifizierung nach ISO 27001 sind Anforderung an den Hosting-Anbieter des Dienstes (Hetzner Online GmbH, Anlage 2); administrativer Zugang nur über personengebundene Konten mit SSH-Schlüsseln, Zwei-Faktor-Authentifizierung für die Verwaltungskonsole ebenfalls als Anforderung an den Hosting-Anbieter; kein gemeinsam genutztes Konto.
• Zugriffskontrolle im Produkt: rollen- und rechtebasiertes Berechtigungssystem (Geschäftsführung, Manager, Mitarbeiter, weitere Rollen mit einzelnen Berechtigungen), Beschränkung von Managern auf zugewiesene Standorte; Personalkostendaten nur für die Geschäftsführung; Krankenstandsbestätigungen und Lohndokumente nur für die Geschäftsführung, vom Verantwortlichen ausdrücklich berechtigte Personen und den betroffenen Mitarbeiter, jeder Zugriff darauf wird protokolliert; Anmeldung am Back Office über personenbezogene Zugänge mit der E-Mail-Adresse als Benutzerkennung und einem Passwort, das ausschließlich als Hashwert mit zufälligem Salz (scrypt) gespeichert wird — Festlegen des Passworts über einen einmaligen Link (24 Stunden gültig), Rücksetzen über einen einmaligen Link (1 Stunde gültig), Bestätigung einer neuen E-Mail-Adresse mit Code an die neue Adresse, Sperre für 15 Minuten nach 10 Fehlversuchen, Beendigung aller bestehenden Sitzungen bei jeder Passwortänderung, Sitzungs-Cookie mit Ablauf nach 14 Tagen, optionale Zwei-Faktor-Authentifizierung (TOTP-App, vom Verantwortlichen betriebsweit aktivierbar, Wiederherstellungscodes nur als Hashwert, TOTP-Geheimnis verschlüsselt gespeichert); Aktivierung der Mitarbeiter-App per Einmalcode an die hinterlegte E-Mail-Adresse (Gültigkeit begrenzt, höchstens 5 Versuche, Anfragen je Adresse und IP-Adresse begrenzt); Zugriffe werden protokolliert.
• Gerätebindung: genau ein aktives Gerät je Mitarbeiter; kryptografisches Schlüsselpaar im sicheren Speicher des Geräts; jede Stempelung wird vom Gerät signiert; ein neues Gerät wird nur nach Bestätigung eines E-Mail-Codes und Nachweis der Anwesenheit am Standort (NFC-Tag oder Standortprüfung) gebunden — das bisherige Gerät wird dabei automatisch gesperrt, der Betrieb benachrichtigt und der Wechsel protokolliert; der Betrieb kann ein Gerät jederzeit sperren.
• NFC-Tags: NXP NTAG 424 DNA, eingerichtet für eine dynamische, kryptografisch signierte Nachricht je Berührung (Secure Unique NFC) mit Zählerprüfung — ausgelegt, um Kopieren und Wiedereinspielen zu verhindern; der Chipschlüssel wird weder dem Telefon noch den Nutzern offengelegt; der QR-Code auf dem NFC-Tag führt nur zur Download-Seite der Mitarbeiter-App und ist keine Stempelmethode; Standort-Buchung ohne NFC nur innerhalb des Standortbereichs.
• Datenminimierung: keine Speicherung von Koordinaten oder Wegen; bei der Stempelung keine Fotos — Bilder gelangen nur als vom Mitarbeiter selbst hochgeladene Dokumente in das System (etwa eine Krankenstandsbestätigung); Anwesenheit nur als Zeiträume; Prüfung nur während der Schicht; Anwesenheitsprüfung je Mitarbeiter erst nach hinterlegter Rechtsgrundlage; Roh-Ereignisse werden nach 3 Monaten verdichtet; Push-Benachrichtigungen ohne personenbezogenen Inhalt.
• Verschlüsselung: Übertragung ausschließlich über TLS 1.2 oder höher (bis zum Reverse Proxy von Cloudflare und von dort erneut verschlüsselt bis zu den Servern des Dienstes); die Datenbank liegt auf mit LUKS (dm-crypt, AES-XTS) verschlüsselten Volumes beim Hosting-Anbieter; Dokumente verschlüsselt die Anwendung vor der Ablage im Object Storage mit AES-256-GCM, die Schlüssel liegen nur auf den Anwendungsservern; Sicherungskopien der Datenbank verschlüsselt pgBackRest vor der Ablage im Object Storage mit AES-256; Schlüssel und Zugangsdaten außerhalb des Quellcodes; Passwörter und Anmeldecodes nur als Hashwert mit zufälligem Salz.
• Integrität und Nachvollziehbarkeit: unveränderbares Audit-Protokoll (Anfügen erlaubt, Ändern und Löschen durch Datenbankregel verhindert) für alle sicherheitsrelevanten Aktionen; nur Soft-Delete mit Zeitstempel; Korrekturen von Arbeitszeiten mit Begründung, Bearbeiter und Vorher-Wert.
• Server-Protokolle: Die Protokolle der Anwendungsserver (Schnittstelle, Webserver) enthalten IP-Adressen, aber keine Inhalte von Dokumenten oder Lohndaten; sie werden nach Größe rotiert (höchstens fünf Dateien zu je 10 MB je Dienst) und spätestens nach 30 Tagen gelöscht.
• Verfügbarkeit: zwei Datenbankserver mit laufender Replikation; tägliche Sicherungskopien (wöchentlich vollständig, täglich differenziell, dazu fortlaufende Archivierung der Transaktionsprotokolle) mit bis zu 35 Tagen Aufbewahrung, verschlüsselt im Object Storage des Hosting-Anbieters in der EU; monatlicher automatischer Wiederherstellungstest; Überwachung mit Alarmierung; Zwischenspeicherung von Stempelungen auf dem Gerät bei Verbindungsverlust.
• Trennung: logische Trennung der Kundendaten durch Organisationsschlüssel in jeder Abfrage; getrennte Umgebungen für Entwicklung, Test und Produktivbetrieb; keine Produktivdaten in Test- oder Entwicklungsumgebungen.
• Aufbewahrung und Löschung: konfigurierbare Fristen je Datenart mit erzwungenen gesetzlichen Mindestwerten; täglicher automatisierter Lösch- und Anonymisierungslauf mit Protokoll; Rückgabe und Löschung nach Ziffer 10.
• Support-Zugriff: kein Zugriff des Auftragsverarbeiters auf Kundendaten im Regelbetrieb; Zugriff nur nach Freischaltung durch den Verantwortlichen mit Umfang, Dauer und jederzeitigem Widerruf; jeder Zugriff protokolliert.
• Organisation: Verpflichtung aller Beteiligten zur Vertraulichkeit; dokumentierter Prozess für Datenschutzverletzungen mit Meldung binnen 48 Stunden; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs 2 DSGVO; jährliche Überprüfung dieser Maßnahmen; Sicherheitsupdates innerhalb angemessener Frist; Grundsätze Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) im Entwicklungsprozess.