Auftragsverarbeitungsvertrag (AVV)

Online abschließen

Admins schließen den AVV in der App unter Einstellungen → AVV & Recht ab und erhalten ihn als PDF.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der Software „zeitfair“ (Arbeitszeiterfassung, Abwesenheiten, Projektzeiten, Auswertungen). Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Erhebung, Speicherung, Auswertung und Löschung von Arbeitszeit-, Pausen-, Abwesenheits- und Projektdaten zur Erfüllung der Arbeitszeitaufzeichnungspflicht und zur Projektabrechnung des Verantwortlichen.

Optional und nur bei Aktivierung durch den Verantwortlichen: KI-gestützte Auswertung (Kategorisierung, Budget- und Auslastungshinweise) durch den Unterauftragsverarbeiter MiniMax.

3. Kategorien betroffener Personen und Daten

Betroffene: Beschäftigte, Auszubildende, freie Mitarbeitende und Administratoren des Verantwortlichen.

Daten: Name, E-Mail, Rolle, Personalnummer, Soll-Arbeitszeit, Zeiteinträge (Beginn, Ende, Pausen, Projekt, Beschreibung), Abwesenheiten (Art, Zeitraum – keine Diagnosen), Protokolldaten (Änderungshistorie, gekürzte IP-Adressen). Optional: Aktivitätskategorien von Geräten, die die betroffene Person selbst gekoppelt hat.

4. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO).

Verpflichtung aller zugriffsberechtigten Personen auf Vertraulichkeit.

Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23 DSGVO), insbesondere durch Export- und Löschfunktionen in der Software.

Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

Löschung oder Rückgabe aller Daten nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Datenhaltung in der EU (Frankfurt, AWS eu-central-1); Verschlüsselung bei Übertragung (TLS 1.2+) und im Ruhezustand (AES-256).

Mandantentrennung auf Datenbankebene (Row Level Security); rollenbasierte Zugriffe (Inhaber, Admin, Teamleitung, Mitarbeitende).

Unveränderliches, hash-verkettetes Audit-Protokoll; Änderungen an Zeiteinträgen nur mit Begründung und Historie.

Datenminimierung: keine Screenshots, keine Tastatureingaben, keine Fenstertitel; Auswertungen auf Teamebene erst ab einer Mindestgruppengröße.

Konfigurierbare Löschfristen und automatisierte Löschung; regelmäßige Backups mit Point-in-Time-Recovery.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in der Liste der Unterauftragsverarbeiter aufgeführten Unternehmen. Änderungen werden mindestens 30 Tage vorab angekündigt; der Verantwortliche kann widersprechen.

Übermittlungen in Drittländer erfolgen nur auf Grundlage geeigneter Garantien (Art. 44 ff. DSGVO), insbesondere EU-Standardvertragsklauseln.

7. Kontrollrechte

Der Verantwortliche kann die Einhaltung dieses Vertrags durch Einholung von Auskünften, Zertifikaten oder – nach angemessener Vorankündigung – durch Inspektionen überprüfen.

8. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags zum Datenschutz vor.