Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien und Verhältnis zum Hauptvertrag

Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO): der Kunde gemäß Deckblatt bzw. Auftrag — im Folgenden „Kunde“.

Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO): Strobl & Schmidtke Elektrotechnik GmbH, Im Kies 19, 72555 Metzingen — im Folgenden „Anbieter“.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung von SUSET ZEIT als Cloud-Dienst (Hauptvertrag, bestehend aus Auftrag und AGB).

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden beim Betrieb von SUSET ZEIT: Bereitstellung und Hosting der Kundeninstanz, Datensicherung und Wiederherstellung, Wartung und Updates sowie Support.

Der Anbieter greift auf Inhalte der Kundeninstanz nur zu, soweit dies für den Betrieb, die Fehlerbehebung oder einen Supportfall erforderlich ist oder der Kunde ihn darum bittet. An die zentrale Betriebsüberwachung des Anbieters werden nur technische Kennzahlen (z. B. Version, Sicherungsstatus, Speicherbelegung, Fehlerzähler) sowie Firmenname und Lizenzangaben, keine Daten der Beschäftigten, übermittelt. Sie läuft auf eigenen, gemieteten Servern bei Hetzner bzw. Hostinger in Deutschland.

Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus Ziff. 13 (Löschung und Rückgabe) sowie zur Vertraulichkeit gelten darüber hinaus.

3. Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (z. B. vom Kunden konfigurierter E-Mail-Versand oder Schnittstellen), Abgleichen, Einschränken, Löschen und Vernichten.

Zweck ist ausschließlich die Erbringung der vertraglichen Leistungen für den Kunden, insbesondere:

• Erfassung und Dokumentation von Arbeitszeiten, Pausen und Projektzeiten (u. a. zur Erfüllung von § 16 Abs. 2 ArbZG und der Arbeitszeitdokumentation)
• Verwaltung von Abwesenheiten, Urlaubs-, Überstunden- und Zeitkonten, Schichtplanung
• Monatsabschluss mit digitaler Bestätigung, Berichte und Exporte für die Lohnabrechnung
• Bereitstellung von Dokumenten an Mitarbeiter, Benachrichtigungen (In-App, E-Mail, Push) und vom Kunden aktivierte Schnittstellen (API/Webhooks)
• Datensicherung, Wiederherstellung, Protokollierung, Fehleranalyse und Support

4. Art der personenbezogenen Daten

Je nach Nutzung durch den Kunden werden insbesondere folgende Datenarten verarbeitet:

• Stammdaten (Name, Anschrift, Kontaktdaten, Personalnummer, Gruppe/Rolle, Eintritts-/Austrittsdatum, Geburtsdatum für die Anwendung des JArbSchG)
• Vertrags- und Abrechnungsdaten (Arbeitszeitmodell, Vergütungsart, Stundenlohn bzw. Lohnsatz-Verlauf, Zuschlagsregeln)
• Zugangsdaten (Benutzername, E-Mail, Passwort-Hash, 2FA-Daten, Geräte- und Sitzungsdaten, Stempeluhr-PIN bzw. NFC-Kennung als Hash)
• Arbeitszeitdaten (Beginn, Ende, Pausen, Projekte, Kunden, Tätigkeiten, Quelle der Buchung, Kommentare, Änderungshistorie, Begründungen nach ArbZG)
• Abwesenheitsdaten (Urlaub, Freizeitausgleich, Sonderurlaub, Dienstlich, Elternzeit)
• Gesundheitsdaten als besondere Kategorie nach Art. 9 DSGVO (Krankmeldungen, Arbeitsunfähigkeitsbescheinigungen, Mutterschutz und Beschäftigungsverbot einschließlich ärztlicher Zeugnisse)
• Dokumente, die der Kunde bereitstellt (z. B. Lohn-/Gehaltsabrechnungen, Verträge, Bescheinigungen)
• Monatsabschlüsse, digitale Bestätigungen, PDF- und CSV-Exporte
• Standortdaten — nur, wenn der Kunde die Standorterfassung aktiviert und der Nutzer im Browser zustimmt
• Protokoll- und Nutzungsdaten (Anmeldungen, Aktionen, IP-Adressen, Fehlerprotokolle)

5. Kategorien betroffener Personen

Beschäftigte des Kunden einschließlich Auszubildender, Praktikanten und Aushilfen, ausgeschiedene Beschäftigte (im Rahmen der Aufbewahrung), vom Kunden benannte Administratoren und sonstige vom Kunden berechtigte Nutzer (z. B. Steuerberater) sowie Ansprechpartner von Kunden des Kunden, soweit diese in Projekten oder Kundenstammdaten erfasst werden.

6. Pflichten und Rechte des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er stellt insbesondere sicher, dass

• eine Rechtsgrundlage für die Verarbeitung besteht — für Beschäftigtendaten insbesondere Art. 6 Abs. 1 lit. b und c DSGVO, für Gesundheitsdaten Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG, für Standortdaten ggf. eine Einwilligung
• die betroffenen Beschäftigten nach Art. 13 DSGVO informiert werden
• die Mitbestimmungsrechte eines Betriebsrats (insbesondere § 87 Abs. 1 Nr. 6 BetrVG) gewahrt sind
• nur die für den jeweiligen Zweck erforderlichen Daten erfasst und Lösch- bzw. Aufbewahrungsfristen in der Anwendung umgesetzt werden

7. Weisungen

Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden — auch hinsichtlich der Übermittlung in Drittländer —, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Kunden diese Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erteilt der Kunde grundsätzlich durch die Konfiguration und Nutzung der Anwendung. Darüber hinausgehende Weisungen erfolgen in Textform (E-Mail an support@suset.de). Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

Ist der Anbieter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

8. Pflichten des Anbieters

Der Anbieter verpflichtet sich insbesondere:

• alle mit der Verarbeitung befassten Personen auf die Vertraulichkeit zu verpflichten bzw. sicherzustellen, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Ziff. 9 umzusetzen und regelmäßig zu überprüfen
• den Kunden bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) mit geeigneten Maßnahmen zu unterstützen; Anfragen, die direkt beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter
• den Kunden bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung zu unterstützen
• Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, in Textform zu melden — mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar — und unverzüglich Maßnahmen zur Eindämmung zu ergreifen
• ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen
• den Kunden über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden, die diesen Vertrag betreffen, zu informieren, soweit rechtlich zulässig
• personenbezogene Daten ausschließlich in Rechenzentren innerhalb der EU bzw. des EWR zu verarbeiten; eine Verarbeitung in Drittländern erfolgt nur nach vorheriger Zustimmung des Kunden und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO
• als Ansprechpartner für den Datenschutz zur Verfügung zu stehen: Julian Strobl, info@suset.de

9. Technische und organisatorische Maßnahmen

Der Anbieter gewährleistet ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Er trifft insbesondere folgende Maßnahmen:

• Zutrittskontrolle: Betrieb ausschließlich in professionellen Rechenzentren in Deutschland (Unterauftragsverarbeiter gemäß Ziff. 10); die physische Sicherung (u. a. Zutrittskontrolle) richtet sich nach den technischen und organisatorischen Maßnahmen der Rechenzentrumsbetreiber; kein Betrieb auf eigener Hardware in Büroräumen
• Zugangskontrolle: Server-Administration ausschließlich per SSH-Schlüssel (keine Passwort-Anmeldung) und nur über ein VPN durch namentlich bestimmte Personen; Hoster-Konten mit Zwei-Faktor-Authentifizierung; Firewall und Angriffserkennung vor dem Webserver; in der Anwendung Passwort-Richtlinie nach BSI-Empfehlung, Speicherung nur als Hash, Zwei-Faktor-Authentifizierung (für Administratoren Pflicht, für Mitarbeiter einschaltbar), Rate-Limit sowie IP- und Kontosperre bei Angriffsversuchen, Sitzungs-Timeout, Geräteverwaltung mit Fernabmeldung
• Zugriffskontrolle: rollenbasierte Berechtigungen (Mitarbeiter, frei definierbare Zwischenrollen, Administrator); Mitarbeiter sehen nur eigene Daten; Passwortbestätigung vor besonders sensiblen Administrationsaktionen; Downloads von Anhängen nur für Berechtigte
• Trennungskontrolle: eigene, isolierte Instanz mit eigener Datenbank und eigenem Dateispeicher je Kunde; Trennung von Demo-, Test- und Produktivsystemen
• Verschlüsselung: Transportverschlüsselung per TLS (HTTPS) für alle Verbindungen; verschlüsselte Speicherung (AES-256-GCM) von Geheimnissen der Zwei-Faktor-Authentifizierung, Zugangsdaten für E-Mail-Dienste und Schlüsseln für Push-Benachrichtigungen; optional passwortverschlüsselter Backup-Download
• Weitergabekontrolle: Übermittlungen nur über verschlüsselte Kanäle; Schnittstellen mit API-Schlüssel und HMAC-signierten Webhooks; sensible Dokumente werden per E-Mail nur als Link, nicht als Anhang versendet
• Eingabekontrolle: manipulationssicheres Protokoll relevanter Vorgänge (Hash-Kette SHA-256) mit regelmäßiger Integritätsprüfung; Änderungshistorie je Zeiteintrag; Prüfsummen für archivierte Monatsberichte
• Verfügbarkeitskontrolle: automatische, mindestens tägliche Sicherung von Datenbank und Dateien, signiert (HMAC-SHA256), mit gestaffelter Aufbewahrung; täglicher automatisierter Probe-Restore als Funktionsnachweis; Überwachung von Backup- und Fehlerstatus
• Integrität und Belastbarkeit: Prüfung hochgeladener Dateien anhand der Dateisignatur, Entfernung aktiver Inhalte aus PDFs, Neuerzeugung von Bildern; Content-Security-Policy; automatisierte Tests vor jedem Update
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 Abs. 4 DSGVO; Zugriffe des Anbieters auf Kundeninhalte nur im Rahmen von Ziff. 2
• Verfahren zur regelmäßigen Überprüfung: Überprüfung und Aktualisierung der Maßnahmen bei wesentlichen Änderungen, mindestens jährlich; zeitnahes Einspielen von Sicherheitsupdates

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie weiterentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Kunden auf Anfrage mit.

Eine ausführliche Beschreibung enthält die Anlage Technische und organisatorische Maßnahmen (TOM): suset-zeit.de/avv/tom

10. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Zum Zeitpunkt des Vertragsschlusses sind folgende Unterauftragsverarbeiter genehmigt:

10a. Änderung von Unterauftragsverarbeitern

Der Anbieter informiert den Kunden mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform an die hinterlegte Kontaktadresse. Der Kunde kann innerhalb von drei Wochen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.

Keine Unterauftragsverhältnisse sind Nebenleistungen, die der Kunde selbst wählt und verantwortet, insbesondere der vom Kunden konfigurierte E-Mail-Versand über sein eigenes Microsoft-365- oder SMTP-Konto, vom Kunden aktivierte Schnittstellen zu Drittsoftware sowie die Zustellung von Push-Benachrichtigungen über die Dienste der Browser- bzw. Gerätehersteller (z. B. Apple, Google, Mozilla), die nur nach Freigabe auf dem jeweiligen Gerät erfolgt und deren Inhalte verschlüsselt übertragen werden.

11. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen sowie Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate).

Der Kunde ist berechtigt, Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchzuführen. Inspektionen sind mit einer Frist von mindestens zwei Wochen anzukündigen, erfolgen während der üblichen Geschäftszeiten ohne Störung des Betriebs und — außer aus konkretem Anlass — höchstens einmal jährlich. Den Aufwand für Inspektionen vor Ort kann der Anbieter angemessen in Rechnung stellen, soweit die Prüfung nicht durch einen Verstoß des Anbieters veranlasst ist.

12. Vertragsschluss und Form

Dieser Vertrag wird mit dem Hauptvertrag geschlossen. Die Parteien unterzeichnen ihn schriftlich oder in einem elektronischen Format (z. B. unterschriebenes und eingescanntes PDF oder elektronische Signatur); dies genügt der Form nach Art. 28 Abs. 9 DSGVO.

Der Vertragstext ist unter suset-zeit.de/avv abrufbar und als PDF mit ausfüllbaren Feldern und Unterschriftsseite erhältlich.

Der produktive Betrieb mit personenbezogenen Daten von Beschäftigten setzt den Abschluss dieses Vertrags voraus.

13. Löschung und Rückgabe nach Vertragsende

Nach Ende des Hauptvertrags stellt der Anbieter dem Kunden auf Wunsch bis zu 30 Tage lang einen Export der Daten in einem gängigen Format bereit. Der Kunde kann seine Daten zudem bis zum Vertragsende jederzeit selbst exportieren.

Spätestens 30 Tage nach Ablauf dieser Frist löscht der Anbieter alle personenbezogenen Daten des Kunden einschließlich Kopien aus den Produktivsystemen, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Die Datensicherungen innerhalb der Kundeninstanz werden mit der Instanz gelöscht. Externe Datensicherungen werden im Rahmen der regulären Rotation spätestens 13 Monate nach Vertragsende gelöscht.

Der Anbieter bestätigt die Löschung auf Anfrage in Textform. Gesetzliche Aufbewahrungspflichten des Kunden (z. B. § 16 Abs. 2 ArbZG, § 147 AO) erfüllt der Kunde durch rechtzeitigen Export.

14. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (AGB), soweit dem nicht zwingendes Recht entgegensteht.

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Änderungen der Unterauftragsverarbeiter richten sich nach Ziff. 10a.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht; Gerichtsstand ist der im Hauptvertrag vereinbarte.

Stand: Oktober 2026