Fassung: 2026-10-25-entwurf
zwischen
dem Betrieb, der die Anwendung nutzt und in der Anwendung zustimmt (Name und Anschrift wie in der Anwendung bzw. im Vertrag hinterlegt) — nachfolgend „Verantwortlicher" („Auftraggeber")
und
Andreas Schikowsky, Hochstraßer Weg 2, 83064 Raubling — nachfolgend „Auftragsverarbeiter" („Auftragnehmer")
1. Gegenstand und Dauer
1.1 Der Auftragnehmer stellt dem Auftraggeber eine Anwendung zur Schichtplanung und Stundenerfassung bereit (Web-App, iOS- und Android-App; Produktname „Eintakt“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.
1.2 Der Vertrag gilt für die Dauer der Nutzung der Anwendung und endet mit ihr. Die Pflichten zur Löschung und Rückgabe (Ziffer 10) wirken fort.
2. Art und Zweck der Verarbeitung, Art der Daten, Betroffene
| Zweck | Planung und Besetzung von Schichten, Erfassung und Bestätigung von Arbeitszeiten, Verwaltung von Nachweisen/Qualifikationen, Benachrichtigung über Schichten. |
| Art der Verarbeitung | Erheben, Speichern, Abfragen, Anzeigen, Übermitteln innerhalb der Anwendung, Exportieren (Excel), Löschen. |
| Datenkategorien | Vor- und Nachname, E-Mail-Adresse (Konto), optional Telefonnummer, Rolle im Betrieb, Anstellungsart, Monatsmaximum, Schichtzuteilungen und -meldungen, Arbeitszeiten und Pausen, Überstundenkonto, Nachweise (Art, optional Nummer, Ablaufdatum, optional Dokument), Push-Geräte-/Abonnement-Kennung (nur bei aktivierter Benachrichtigung), Namen von Probearbeitern, Antworten auf Abstimmungen (Zusage/Teilzusage/Absage zu Terminen, ggf. mit kurzer Notiz), Urlaubsanträge (Zeitraum, Stand der Genehmigung). |
| Betroffene | Beschäftigte, Aushilfen und Probearbeiter des Auftraggebers; Verwalter/Planer des Auftraggebers. |
2.2 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber trägt keine Gesundheits- oder vergleichbaren Daten ein; Nachweise sind auf berufliche Qualifikationen beschränkt.
3. Weisungen
3.1 Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Anwendung durch den Auftraggeber und seine Nutzer gilt als Weisung.
3.2 Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.
4. Pflichten des Auftragnehmers
4.1 Vertraulichkeit. Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
4.2 Technische und organisatorische Maßnahmen. Der Auftragnehmer setzt die Maßnahmen aus Anlage 2 um (Art. 32 DSGVO) und entwickelt sie weiter. Wesentliche Verschlechterungen sind unzulässig.
4.3 Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen, soweit ihm das möglich ist. Die Anwendung stellt hierfür unter anderem einen Datenexport (Art. 15/20) und Löschfunktionen bereit.
4.4 Meldung von Verletzungen. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Kenntnis, mit den ihm bekannten Angaben.
4.5 Datenschutzbeauftragter / Ansprechperson: Ein Datenschutzbeauftragter ist nicht bestellt. Ansprechperson ist Andreas Schikowsky, info@eintakt.app.
4.6 Verzeichnis und Nachweise. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO (docs/datenschutz/verarbeitungsverzeichnis.md) und legt dem Auftraggeber auf Anfrage die zur Erfüllung seiner Pflichten nach Art. 30 Abs. 1, 35 und 13 DSGVO nötigen Angaben vor.
4.7 Freitextfelder. Die Anwendung enthält Freitextfelder (Notizen). Der Auftraggeber stellt sicher, dass dort keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) eingetragen werden; die Oberfläche weist bei den Feldern darauf hin.
5. Mandantentrennung
Die Daten verschiedener Auftraggeber werden logisch getrennt (je Betrieb, durchgesetzt über Zeilenzugriffsregeln in der Datenbank). Ein Auftraggeber hat nur Zugriff auf Daten seines Betriebs.
6. Ort der Verarbeitung
Die Daten werden in der Europäischen Union gespeichert (Datenbank und Anmeldung: Region Frankfurt am Main). Mehrere Unterauftragsverarbeiter (Anlage 3) haben ihren Sitz in den USA oder gehören zu US-Konzernen; ein Zugriff von dort (Support, Wartung, Push-Weiterleitung) ist eine Übermittlung in ein Drittland. Sie stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder, wo dieser nicht greift oder entfällt, auf Standardvertragsklauseln (Art. 46 DSGVO) samt ergänzender Maßnahmen. Der Auftragnehmer prüft das vor jedem Einsatz eines Unterauftragsverarbeiters und dokumentiert die Grundlage.
7. Unterauftragsverarbeiter
7.1 Der Auftraggeber stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
7.2 Der Auftragnehmer informiert den Auftraggeber 30 Tage vor Änderungen (Hinzuziehen oder Ersetzen). Der Auftraggeber kann aus wichtigem Grund widersprechen; andernfalls steht beiden ein Sonderkündigungsrecht zu. Betrifft die Änderung einen Unterauftragsverarbeiter des Unterauftragsverarbeiters und kündigt dieser sie dem Auftragnehmer nur kurzfristig an, informiert der Auftragnehmer den Auftraggeber unverzüglich nach Kenntnis; die Frist von 30 Tagen gilt dann nicht.
7.3 Der Auftragnehmer verpflichtet die Unterauftragsverarbeiter vertraglich auf ein vergleichbares Datenschutzniveau.
8. Kontrollrechte
Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach (z. B. durch Auskunft, Nachweise zu den Maßnahmen). Prüfungen vor Ort sind nach Anmeldung und während üblicher Geschäftszeiten möglich, sofern sie den Betrieb nicht unverhältnismäßig stören. Bei Unterauftragsverarbeitern weist der Auftragnehmer die Einhaltung durch deren Prüfberichte und Zertifizierungen nach; Prüfungen vor Ort bei diesen sind nur im Rahmen ihrer Verträge möglich.
9. Betroffenenanfragen
Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
10. Löschung und Rückgabe
10.1 Nach Vertragsende löscht der Auftragnehmer alle Daten des Auftraggebers oder gibt sie heraus (Excel-Export / Datenexport), nach Wahl des Auftraggebers. Davon ausgenommen sind gesetzliche Aufbewahrungspflichten (z. B. Arbeitszeitnachweise, § 16 Abs. 2 ArbZG, zwei Jahre) für die Dauer der Frist; danach erfolgt die Löschung gemäß Löschkonzept (docs/datenschutz/loeschkonzept.md).
10.2 Die Anwendung löscht Daten ausgeschiedener Beschäftigter nach den dort geregelten Fristen.
11. Haftung
Es gelten die gesetzlichen Regeln (Art. 82 DSGVO). Im Innenverhältnis gilt die Haftungsregelung der Nutzungsbedingungen (dort Ziffer 8).
12. Schlussbestimmungen
12.1 Abschluss. Der Vertrag kommt zustande, wenn die Verwaltung des Betriebs ihm in der Anwendung elektronisch zustimmt (Art. 28 Abs. 9 DSGVO). Der Auftragnehmer hält Fassung, Zeitpunkt und zustimmende Person fest und stellt dem Auftraggeber diese Angaben in der Anwendung („Betrieb → Verträge“) bereit. Eine Unterschrift ist nicht erforderlich.
12.2 Neue Fassungen. Ändert der Auftragnehmer diesen Vertrag, holt er die Zustimmung zur neuen Fassung in der Anwendung ein; bis dahin gilt die bisherige Fassung. Eine Änderung der Unterauftragsverarbeiter (Ziffer 7.2) teilt er zusätzlich 30 Tage vorher in der Anwendung und per E-Mail an die Verwaltung mit.
12.3 Änderungen im Übrigen bedürfen der Textform. Es gilt deutsches Recht. Gerichtsstand ist Raubling. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
Anlage 1 — Gegenstand der Verarbeitung
Siehe Ziffer 2.
Anlage 2 — Technische und organisatorische Maßnahmen
Maßgeblich ist docs/datenschutz/tom.md (aktueller Stand). Kern:
- Zugriffskontrolle / Mandantentrennung: Zeilenzugriffsregeln (RLS) auf jeder fachlichen Tabelle, Rollen admin/planner/employee,
anonohne Rechte, sensible Spalten der Mitgliedschaft für Kollegen gesperrt. - Vertraulichkeit bei Übertragung: verschlüsselt (TLS); Browser-Push Ende-zu-Ende verschlüsselt (RFC 8291).
- Minimierung: kein Tracking, keine Analyse- oder Werbe-Dienste, kein Standort; E-Mail-Adressen werden in der Oberfläche nicht angezeigt.
- Datenhaltung: ausschließlich EU (Frankfurt am Main).
- Integrität: Prüfungen in der Datenbank (Überschneidung, Kapazität, Nachweise), Protokollierung der Löschläufe.
- Verfügbarkeit / Wiederherstellung: verschlüsselte Sicherungen der Datenbank, Aufbewahrung höchstens 30 Tage; die Wiederherstellung wird erprobt und protokolliert, bevor echte Beschäftigtendaten verarbeitet werden.
- Löschung: Löschkonzept mit Fristen (
docs/datenschutz/loeschkonzept.md). - Test: automatisierte Tests gegen die echte Datenbank, inklusive Mandantentrennung und Rechten.
Anlage 3 — Unterauftragsverarbeiter
| Dienst | Aufgabe | Ort | Stand |
|---|---|---|---|
| Supabase (Supabase Pte. Ltd., Singapur; Datenbank bei AWS) | Datenbank, Anmeldung, Dateispeicher, Edge Functions | AWS eu-central-1 (Frankfurt); Vertragspartner mit Sitz in Singapur, Zugriff aus Drittländern (Support, Wartung) möglich — Grundlage Standardvertragsklauseln (Beschluss 2021/914, Modul 3, irisches Recht); weitere Unterauftragsverarbeiter von Supabase: supabase.com/legal/customer-resources/subprocessor-list | Supabase Data Processing Addendum, Version 1 vom 01.08.2026, Teil der Nutzungsbedingungen von Supabase |
| Brevo (Brevo GmbH, Berlin — Vertragspartner für Kunden in Deutschland; Konzern: Brevo SAS, Frankreich) | Versand von Bestätigungscode, Passwort-Zurücksetzen, Sicherheitsmitteilungen, Einladungen per E-Mail, Mitteilung über das Ende der Zugehörigkeit zu einem Betrieb (Betriebsname, Vorname, Grund, Löschtermine); speichert dazu Empfänger, Betreff, Zeitpunkt und Zustellprotokolle | Hosting Frankreich (OVH) und Belgien (Google Cloud); Support und Wartung durch Konzerngesellschaften (u. a. Deutschland, Indien, USA) und Dienstleister (u. a. Zendesk, Cloudflare, USA) möglich — Grundlage Standardvertragsklauseln und, soweit zertifiziert, EU-US Data Privacy Framework; Liste der Unterauftragsverarbeiter: Anhang 2 des Brevo-AV-Vertrags | Brevo-AV-Vertrag (Anhang 3 der Nutzungsbedingungen, Fassung vom 01.10.2025) |
| Expo (650 Industries, Inc., USA) | Zustellung von Push-Nachrichten an die native App — nur bei aktivierter Benachrichtigung; verarbeitet Push-Token, Titel, Text und eine technische Kennung (Betriebs-ID, Tag), keine Namen; leitet an Apple (APNs) und Google (FCM) weiter | US-Unternehmen — Drittlandübermittlung, Grundlage EU-US Data Privacy Framework (Zertifizierung laut Datenschutzerklärung von Expo); eine Verarbeitung in der EU ist nicht zugesagt; Liste der Unterauftragsverarbeiter: expo.dev/privacy/subprocessors (Stand 19.10.2026) | Auftragsverarbeitungsvertrag besteht (Data Processing Addendum vom 23.10.2026): Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Meldung von Sicherheitsvorfällen ohne unangemessene Verzögerung, Löschung oder Rückgabe binnen 90 Tagen nach Vertragsende; Änderungen der Unterauftragsverarbeiter gelten mit Veröffentlichung auf der genannten Seite als mitgeteilt |
| Cloudflare, Inc. (derzeit; ein Wechsel des Hosters wird nach Ziffer 7.2 angekündigt) | Auslieferung der Web-App (statische Dateien; Zugriffsprotokolle mit IP-Adresse) | US-Unternehmen mit weltweitem Netz — Drittlandübermittlung, Grundlage Standardvertragsklauseln (Beschluss 2021/914) und Data Privacy Framework | Cloudflare Customer DPA (Fassung 6.4 vom 03.04.2026), Teil der Nutzungsbedingungen des Hosters; Liste der Unterauftragsverarbeiter: cloudflare.com/gdpr/subprocessors |
Nicht Unterauftragsverarbeiter, sondern eigenständig Verantwortliche bzw. Teil der Browserfunktion: Mollie B.V. (Zahlungsabwicklung des Abos — derzeit abgeschaltet; nach Mollies eigener Einordnung Verantwortlicher neben dem Kunden, ein Auftragsverarbeitungsvertrag besteht dort nur für das Produkt „Mollie Invoice“, das nicht genutzt wird), Google (Adress-Vorschlag und Kartenvorschau, nur nach Einwilligung bzw. optional) sowie die Push-Dienste der Browserhersteller (sehen nur verschlüsselte Nachrichten). Beschreibung in der Datenschutzerklärung.
Stand: 26.10.2026