Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO
zwischen
dem Kunden (Firma und Anschrift gemäß Registrierung in der Software) (im Folgenden „Verantwortlicher")
und
Sven Kaminsky (MakeMyOffice), Von Somnitz Ring 13, 21423 Winsen (Luhe) (im Folgenden „Auftragsverarbeiter")
1. Gegenstand und Dauer
Dieser Vertrag konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO im Zusammenhang mit der Nutzung der Software „MakeMyOffice" durch den Verantwortlichen. Die Laufzeit entspricht der Laufzeit des Hauptvertrags (Abonnement gemäß AGB).
2. Art und Zweck der Verarbeitung
Bereitstellung einer SaaS-Software zur internen Personalverwaltung: Erfassung von Arbeitszeiten, Verwaltung von Urlaubs- und Krankheitstagen (nur als Anzahl, ohne Diagnose/Grund), Kennzahlen-Tracking, optionale Dokumenten-Wissensdatenbank, Vorlagen-Generierung.
3. Art der personenbezogenen Daten
- Stammdaten: Name, geschäftliche E-Mail-Adresse, Rolle (Admin/Mitarbeiter); optional Geburtsdatum und Datum des Unternehmenseintritts (nur falls vom Kunden gepflegt, für den Geburtstags-/Jubiläumshinweis im Team).
- Arbeitszeitdaten: Kommen-/Gehen-Zeiten, Pausen, Kennzeichnung einzelner Tage als Homeoffice.
- Abwesenheitsdaten: Urlaubszeiträume; Krankheitstage ausschließlich als Zeitraum/Anzahl, ohne Diagnose oder Grund (Datenminimierung gemäß Art. 25 DSGVO — technisch auf Datenbankebene erzwungen, nicht nur im Formular); weitere Abwesenheitskategorien (Mutterschutz, Elternzeit, unbezahlter Sonderurlaub) jeweils nur als Zeitraum, ohne Notizfeld im Formular vorgesehen.
- Frei eingegebene Texte des Kunden: To-dos, Ankündigungen, ggf. hochgeladene Dokumente (bei Nutzung der Wissensdatenbank).
- Optional: Sicherheitsfaktor bei aktivierter Zwei-Faktor-Authentifizierung eines Nutzers (TOTP), technisch verwaltet durch Supabase Auth — der Auftragsverarbeiter selbst hat keinen Zugriff auf den Faktor.
Diese Daten können, soweit sie sich auf Mitarbeiter beziehen, im Falle von Krankheitsdaten sowie im Falle von Mutterschutz-Einträgen (Rückschluss auf eine Schwangerschaft) besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO darstellen. Rechtsgrundlage hierfür beim Verantwortlichen ist regelmäßig § 26 BDSG.
4. Kategorien betroffener Personen
Mitarbeiter des Verantwortlichen, die Zugang zur Software erhalten.
5. Pflichten des Auftragsverarbeiters
(1) Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der Software-Funktionen gilt als Weisung).
(2) Vertraulichkeitsverpflichtung der mit der Verarbeitung befassten Personen.
(3) Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anlage 1.
(4) Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten sowie bei Datenschutz-Folgenabschätzungen, soweit zumutbar.
(5) Meldung von Datenschutzverletzungen (Data Breaches) unverzüglich, in der Regel binnen 48 Stunden nach Kenntnisnahme, damit der Verantwortliche die 72-Stunden-Frist nach Art. 33 DSGVO einhalten kann.
(6) Löschung oder Rückgabe aller personenbezogenen Daten nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Ausnahme: Abrechnungsdaten im Abrechnungsbereich, siehe AGB).
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Supabase | Datenbank, Authentifizierung, Dateispeicher | Frankfurt/EU |
| Hostinger | Anwendungshosting | Frankfurt/Deutschland |
| OpenAI | KI-Wissensdatenbank (nur bei Aktivierung durch den Kunden) | USA (SCC) |
| Stripe | Zahlungsabwicklung | Irland/EU |
Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern; der Verantwortliche kann dem innerhalb angemessener Frist widersprechen.
7. Kontrollrechte
Der Verantwortliche ist berechtigt, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten in geeigneter Form (z. B. Selbstauskunft, Nachweise) zu überzeugen.
8. Weisungsberechtigte Personen
Weisungen sind zu richten an: info@webtoolwinsen.de
Anlage 1: Technische und organisatorische Maßnahmen (TOM)
Zutrittskontrolle: Entfällt größtenteils, da Cloud-Infrastruktur (Supabase, Hostinger) mit eigenen Zertifizierungen; keine eigene Serverhardware des Auftragsverarbeiters.
Zugangskontrolle: Zugriff auf die Anwendung ausschließlich über individuelle, passwortgeschützte Accounts (Supabase Auth), optional zusätzlich absicherbar durch Zwei-Faktor-Authentifizierung (TOTP). Passwörter werden gehasht gespeichert, nie im Klartext.
Zugriffskontrolle (Mandantentrennung): Jede Firma (Organisation) ist auf Datenbankebene über Row-Level-Security (RLS) strikt von anderen Firmen getrennt — durchgesetzt direkt in der Datenbank, nicht nur in der Anwendung.
Trennungskontrolle: Innerhalb einer Firma sind Rollen (Admin/Mitarbeiter) technisch getrennt durchgesetzt.
Übertragungskontrolle: Verschlüsselte Übertragung (HTTPS/TLS) für sämtliche Verbindungen zwischen Nutzer, Anwendung und Datenbank.
Verfügbarkeitskontrolle / Datensicherung: Automatisierte technische Sicherungsmaßnahmen im Rahmen der eingesetzten Cloud-Infrastruktur (siehe Unterauftragsverarbeiter, Ziffer 6).
Datenminimierung: Krankheitstage werden ausschließlich als Anzahl erfasst, ohne Diagnose oder Grund — technisch über eine Datenbank-Regel erzwungen (nicht nur im Formular umgehbar).
Auftragskontrolle: Verarbeitung erfolgt ausschließlich im Rahmen der Software-Funktionen; kein manueller Zugriff auf Kundendaten durch den Auftragsverarbeiter außer im Rahmen des technischen Supports.