← zurück zur App
Auftragsverarbeitungsvertrag (AVV)
Stand: 30. August 2026 · gemäß Art. 28 DSGVO
⚠️ Pilotbetrieb: Die Stunden-App befindet sich in der Erprobung und wird derzeit nicht gewerblich angeboten.
zwischen dem Kundenbetrieb (nachfolgend „Verantwortlicher") — angegeben bei der Registrierung —
und Matteo Syring, An der Schere 2, 34537 Bad Wildungen (nachfolgend „Auftragsverarbeiter").
Die Zustimmung erfolgt elektronisch bei der Registrierung des Betriebs; der Zeitpunkt wird gespeichert.
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt die „Stunden-App" zur Arbeitszeiterfassung und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art und Zweck der Verarbeitung, Datenarten, Betroffene
- Zweck: Erfassung, Speicherung und Auswertung von Arbeitszeiten, Abwesenheiten und Aufträgen einschließlich Auftragsdokumentation (Auftragszettel, Fotos, Termine)
- Datenarten: Stammdaten der Beschäftigten (Name, Login, Funktion, Wochenstunden, Urlaubstage), Zeitdaten (Beginn/Ende/Pausen/Kostenstelle/Notizen), Abwesenheiten, Änderungsprotokolle, Auftrags- und Kundendaten des Verantwortlichen (Kundenname, Anschrift, Telefon, E-Mail, Auftragsbeschreibung), digitale Auftragszettel einschließlich Unterschriften, Fotos und Dateianhänge zu Aufträgen, Termine
- Betroffene: Beschäftigte des Verantwortlichen sowie dessen Kunden und Ansprechpartner
3. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung (die Nutzung der App-Funktionen gilt als Weisung)
- Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
- Technisch-organisatorische Maßnahmen nach Art. 32 DSGVO — u. a. TLS-Verschlüsselung, serverseitige Mandantentrennung (Row Level Security), Passwort-Hashing, unveränderbare Änderungsprotokolle, EU-Datenbankstandort (Frankfurt)
- Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23 DSGVO) und Meldepflichten (Art. 33/34 DSGVO)
- Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung
- Löschung oder Rückgabe aller Daten nach Vertragsende: Der Verantwortliche kann seine Daten 30 Tage lang exportieren (CSV/ZIP-Backup); danach werden sie gelöscht. Gesetzliche Aufbewahrungspflichten liegen beim Verantwortlichen — rechtzeitig exportieren!
4. Unterauftragsverarbeiter
Der Verantwortliche genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter:
| Dienstleister | Leistung | Ort |
|---|
| Supabase Inc. | Datenbank, Authentifizierung, Dateispeicher | Frankfurt (EU) |
| Cloudflare Inc. | Auslieferung der App (CDN) | weltweit, EU-US DPF/SCC |
| Microsoft Corp. (OneDrive) | Ablage regelmäßiger Sicherungskopien (Zugriff nur Auftragsverarbeiter) | EU/USA, EU-US DPF/SCC |
Änderungen werden mit 30 Tagen Vorlauf angekündigt; der Verantwortliche kann aus wichtigem Grund widersprechen.
5. Kontrollrechte
Der Verantwortliche kann sich über die technisch-organisatorischen Maßnahmen durch Einsicht in die aktuelle Verfahrensdokumentation informieren (auf Anfrage); Vor-Ort-Kontrollen sind bei einem reinen Cloud-Dienst durch geeignete Nachweise ersetzt.
6. Haftung, Schlussbestimmungen
Es gilt Art. 82 DSGVO. Nebenabreden bedürfen der Textform. Es gilt deutsches Recht.