Vertrag zur Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

Fassung vom 20.10.2026

zwischen

________________, ________________
vertreten durch ________________
— nachfolgend „Verantwortliche“ —

und

KERNVARO SOFTWARE, Inhaber Andy Jahnke, Upsprunger Str. 16, 33154 Salzkotten, Deutschland, E-Mail info@kernvaro.com
— nachfolgend „Auftragsverarbeiter“ —

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für die Verantwortliche Leistungen nach dem zwischen ihnen geschlossenen Vertrag (Bestellung oder Angebot mit den Allgemeinen Geschäftsbedingungen — nachfolgend „Hauptvertrag“). Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter dabei im Auftrag der Verantwortlichen vornimmt, und zwar bei:

1. Betrieb auf unseren Servern: Bereitstellung, Speicherung und Betrieb der Software (SHIFTDECK Zeiterfassung mit ihren Modulen, Hausmeister-Modul, Baustellen-Modul, KiTa-Modul und die dazugehörigen Apps — etwa ZEIT, TERMINAL, NFC, HAUSMEISTER, BAUSTELLE und ELTERN —, soweit sie mit der betreuten Instanz der Verantwortlichen verbunden sind) als eigene Instanz der Verantwortlichen: Einrichtung, Speicherung der Daten, Updates, Sicherung, Wiederherstellung, Überwachung und Versand der E-Mails, die die Instanz verschickt;
2. Support und Wartung: Bearbeitung von Anfragen und Störungen, auch per Fernzugriff, bei denen der Auftragsverarbeiter personenbezogene Daten der Verantwortlichen zur Kenntnis nehmen kann — auch dann, wenn die Software auf einem Server der Verantwortlichen läuft —, sowie Daten, die die Verantwortliche ihm dafür selbst übermittelt (etwa Bildschirmfotos oder Exporte in einem Ticket).

(2) Nicht Gegenstand dieses Vertrags sind: die Prüfung der Lizenz durch den Lizenzserver (Lizenzschlüssel, Gerätekennung als Prüfwert, Programmversion, IP-Adresse) — dafür ist der Auftragsverarbeiter selbst verantwortlich, Einzelheiten stehen in seiner Datenschutzerklärung; die Vertrags-, Rechnungs- und Kontaktdaten der Verantwortlichen und ihrer Ansprechpartner; der Betrieb der Software auf einem Server der Verantwortlichen, solange der Auftragsverarbeiter keinen Zugriff erhält; die Lern-App „Lesehöhle“, für die ein eigener Vertrag gilt.

(3) Der Vertrag beginnt mit seinem Abschluss und gilt, solange der Auftragsverarbeiter Leistungen nach Absatz 1 erbringt. Er endet mit dem Hauptvertrag, ohne dass es einer gesonderten Kündigung bedarf. § 10 gilt über das Vertragsende hinaus.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Art der Verarbeitung: Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an die Nutzer der Verantwortlichen, Sichern, Wiederherstellen, Einschränken und Löschen — jeweils über die Software und nach den Einstellungen der Verantwortlichen.

(2) Zweck: Die Verantwortliche nutzt die Software für ihre eigenen Zwecke — Arbeitszeiterfassung und Dienstplanung, Urlaub und Abwesenheiten, Vorbereitung der Lohnabrechnung, Objektbetreuung, Baustellendokumentation und die Organisation einer Kindertagesstätte. Der Auftragsverarbeiter betreibt die Software dafür, sichert die Daten und beseitigt Störungen. Er verarbeitet die Daten zu keinem eigenen Zweck, nicht für Werbung und nicht für Auswertungen.

(3) Daten und Betroffene — je nachdem, welche Teile der Software die Verantwortliche nutzt:

(4) Besondere Kategorien (Art. 9 DSGVO): Krankheitszeiten von Beschäftigten sowie Allergien, Unverträglichkeiten und Krankmeldungen von Kindern sind Gesundheitsdaten. Die Verantwortliche stellt sicher, dass sie dafür eine Rechtsgrundlage hat (etwa § 26 Abs. 3 BDSG bzw. Art. 9 Abs. 2 lit. a oder b DSGVO), und sorgt dafür, dass ihre Nutzer keine Diagnosen und keine weiteren besonderen Kategorien — etwa Angaben zu Religion, Herkunft oder Gewerkschaftszugehörigkeit — in Freitextfelder eintragen.

(5) Nicht verarbeitet werden: biometrische Daten (kein Fingerabdruck, keine Gesichtserkennung), Ortungen im Hintergrund oder Wegaufzeichnungen, Werbe- und Analysedaten.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen, auch hinsichtlich einer Übermittlung in ein Drittland. Als Weisung gelten dieser Vertrag, der Hauptvertrag, die Bedienung und die Einstellungen der Software durch die Verantwortliche und ihre Nutzer sowie Einzelweisungen in Textform (E-Mail oder Ticket im Kundenbereich). Ist der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er der Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(2) Die Daten werden ausschließlich in der Europäischen Union verarbeitet. Eine Übermittlung in ein Drittland findet nicht statt; eine Änderung bedarf der vorherigen Zustimmung der Verantwortlichen in Textform und der Voraussetzungen der Art. 44 ff. DSGVO.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Verantwortliche unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis die Verantwortliche sie bestätigt oder ändert.

§ 4 Vertraulichkeit und Zugriff

(1) Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht wurden.

(2) Auf die Inhalte einer Instanz greift er nur zu, soweit es für Betrieb, Sicherung, Wiederherstellung oder die Beseitigung einer Störung erforderlich ist oder die Verantwortliche ihn darum bittet. Zugriffe zur Fehlersuche, die nicht von der Verantwortlichen angestoßen wurden, teilt er ihr im Kundenbereich oder per E-Mail mit.

§ 5 Technische und organisatorische Maßnahmen

Es gelten die Maßnahmen der Anlage 1. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen teilt er mit.

§ 6 Unterauftragsverarbeiter

(1) Die Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an (E-Mail an die Verantwortliche und Hinweis im Kundenbereich). Die Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Auftragsverarbeiter den Einwand nicht ausräumen, darf die Verantwortliche diesen Vertrag und den Hauptvertrag ohne Frist zum Zeitpunkt des Wechsels kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Der Anbieter unserer Server (Anlage 2) setzt seinerseits Unterauftragsverarbeiter ein, insbesondere den Betreiber des Rechenzentrums und Dienstleister für Netzanbindung und Abwehr von Überlastungsangriffen. Nach seinem Vertrag ist er nicht verpflichtet, Änderungen daran vorab anzukündigen. Der Auftragsverarbeiter teilt der Verantwortlichen solche Änderungen unverzüglich in Textform mit, sobald er davon Kenntnis erlangt, und prüft den Standort seiner Server regelmäßig. Absatz 2 Satz 2 und 3 gilt entsprechend.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags entsprechen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen; Abweichungen sind in Absatz 3 offengelegt. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber der Verantwortlichen für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO).

(5) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Leistungen, die der Auftragsverarbeiter nicht im Auftrag erbringen lässt, etwa Post- und Telekommunikationsdienste; und Dienste, die die Verantwortliche selbst einschaltet (etwa Apple- und Google-Dienste auf den Geräten ihrer Nutzer oder ein Lohnbüro, an das sie Exporte schickt).

§ 7 Unterstützung der Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Software erlaubt der Verantwortlichen, Daten selbst zu berichtigen, zu löschen und vollständig zu exportieren. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, verweist er sie an die Verantwortliche und leitet das Anliegen unverzüglich an diese weiter.

(2) Er unterstützt die Verantwortliche außerdem bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, indem er die dafür nötigen Angaben zur Verarbeitung und zu den Maßnahmen bereitstellt.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet der Verantwortlichen Verletzungen des Schutzes ihrer Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, per E-Mail an die im Kundenbereich hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht. Er unterstützt die Verantwortliche bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen der Betroffenen (Art. 33 und 34 DSGVO) und ergreift unverzüglich Maßnahmen, um die Folgen zu mindern.

Kontakt des Auftragsverarbeiters für Datenschutz und Meldungen: info@kernvaro.com. Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht dazu besteht (Art. 37 DSGVO, § 38 BDSG).

§ 9 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die von der Verantwortlichen oder einem anderen von ihr beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden — in der Regel nach vorheriger Anmeldung mit angemessener Frist und während der üblichen Geschäftszeiten, ohne den Betrieb und die Daten anderer Kunden zu gefährden. Rechte der Aufsichtsbehörden bleiben unberührt.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit löscht die Verantwortliche Daten selbst in der Software; für die Dauer der Aufbewahrung ist sie verantwortlich. Gelöschte Daten verschwinden mit dem Auslaufen der Sicherungen (Anlage 1) auch aus diesen.

(2) Nach Vertragsende gibt der Auftragsverarbeiter der Verantwortlichen nach ihrer Wahl alle Daten zurück oder löscht sie (Art. 28 Abs. 3 lit. g DSGVO): Auf Anforderung stellt er ihr die Daten 30 Tage lang als vollständigen Export in einem gängigen, maschinenlesbaren Format zur Verfügung; verlangt sie die sofortige Löschung, löscht er ohne diese Frist. Spätestens nach Ablauf der 30 Tage löscht er die Instanz mit allen Daten und Sicherungen und vorhandene Kopien, sofern nicht eine Pflicht zur Speicherung nach dem Recht der Union oder Deutschlands besteht. Inhalte, die die Verantwortliche in Tickets geschickt hat (etwa Bildschirmfotos oder Exporte), löscht er nach Vertragsende auf Anforderung, sonst spätestens drei Jahre nach Abschluss des Tickets; Schriftwechsel, den er als Geschäftskorrespondenz aufbewahren muss, bleibt davon unberührt. Die Löschung bestätigt er auf Anfrage in Textform.

§ 11 Schlussbestimmungen

Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO); jede Partei kann ihn jederzeit ausdrucken und speichern. Änderungen bedürfen der Textform; eine neue Fassung wird im Kundenbereich zur Bestätigung vorgelegt. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Die Haftung richtet sich nach dem Hauptvertrag, soweit Art. 82 DSGVO nichts anderes bestimmt. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Ort und Zutritt: eigene dedizierte Server, die nur der Auftragsverarbeiter nutzt, in einem Rechenzentrum in den Niederlanden (Anlage 2); Zutritt zu den Räumen nur für das Personal des Rechenzentrums.
• Zugang zu den Servern: Verwaltungszugänge nur für den Inhaber des Auftragsverarbeiters mit persönlichen Zugangsdaten; die Datenbanken sind nicht aus dem Internet erreichbar, nur vom jeweiligen Server selbst.
• Trennung: Jede betreute Instanz läuft in einem eigenen Container mit eigener Datenbank und eigenem Zugang, ohne Sonderrechte auf dem Server; eine Instanz kann die Daten einer anderen nicht lesen.
• Übertragung: verschlüsselt über HTTPS (TLS) mit automatisch erneuerten Zertifikaten; Apps verbinden sich nur mit der Instanz der Verantwortlichen.
• Anmeldung und Rechte in der Software: Kennwörter und PINs nur als Prüfwert; Rollen und Rechte legt die Verantwortliche selbst fest.
• Kundenbereich und Leitstand des Auftragsverarbeiters: Kennwörter nur als BCrypt-Prüfwert, Sperre nach wiederholten Fehlversuchen, Schutz gegen gefälschte Formulare (CSRF); Mitarbeiter des Auftragsverarbeiters erhalten nur die Rechte, die ihre Aufgabe verlangt (etwa nur Support).
• Verfügbarkeit: tägliche vollständige Sicherung jeder Instanz (alle 24 Stunden), getrennt von der laufenden Datenbank; ältere Sicherungen laufen automatisch aus, spätestens nach 30 Tagen; Rückspielen auf Anforderung; jederzeit vollständiger Export für die Verantwortliche über einen signierten, zeitlich begrenzten Link.
• Vertragsende und Zahlungsverzug: Eine Sperre schaltet die Instanz nur auf Lesen; Daten bleiben erhalten und exportierbar (§ 10).
• Datensparsamkeit: keine Werbe-, Analyse- oder Trackingdienste in Software und Apps; Standort beim Stempeln nur auf Wunsch der Verantwortlichen und mit Zustimmung der Person.
• Organisation: Verpflichtung auf Vertraulichkeit; Meldeweg für Datenpannen über info@kernvaro.com (§ 8); Überprüfung der Maßnahmen bei jeder wesentlichen Änderung.

Anlage 2 — Unterauftragsverarbeiter

Name und Anschrift des Unternehmens sehen Sie im Kundenbereich, bevor Sie den Vertrag abschließen. Auf Anfrage an info@kernvaro.com schicken wir Ihnen die Liste auch vorab.

Weitere Unterauftragsverarbeiter sind nicht eingesetzt. E-Mails verschickt der Auftragsverarbeiter über seinen eigenen Mailserver auf diesen Servern.