Auftragsverarbeitungsvereinbarung (AVV)

Präambel

Diese Auftragsverarbeitungsvereinbarung („AVV“) wird geschlossen zwischen dem Kunden, der die Plattform CoLeLa nutzt („Verantwortlicher“ oder „Auftraggeber“), und

KeyScan IT Solutions UG (haftungsbeschränkt)
Lars Wellendorf
Salinenstraße 19
99086 Erfurt
E-Mail: info@keyscan-it.de
Telefon: +49 (0) 361 74973-255

(„Auftragsverarbeiter“ oder „Auftragnehmer“).

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform CoLeLa. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO).

§ 1 Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Gegenstand dieser AVV ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der CoLeLa-Plattform, die folgende Leistungen umfasst:

• Digitale Arbeitszeiterfassung und -verwaltung
• Abwesenheits- und Urlaubsverwaltung
• Mitarbeiterverwaltung (Stammdaten, Abteilungen, Standorte)
• Reporting und Auswertungen
• Wirtschaftsgüterverwaltung (Assets) inkl. Umsatzzuordnung
• Rollenverwaltung und Berechtigungssteuerung
• Benachrichtigungen (E-Mail, Push-Notifications)
• Postfach: Anzeige von E-Mails aus Postfächern des Auftraggebers und Weiterleitung erkannter Eingangsrechnungen an die Buchhaltung (DATEV)

1.2 Dauer

Die Vereinbarung gilt für die Dauer des Vertragsverhältnisses zwischen Auftraggeber und Auftragnehmer über die Nutzung der CoLeLa-Plattform. Sie endet automatisch mit Beendigung des Hauptvertrags (Kündigung des Abonnements), sofern keine gesetzlichen Aufbewahrungsfristen einer sofortigen Löschung entgegenstehen.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung der personenbezogenen Daten erfolgt ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen der CoLeLa-Plattform. Die Art der Verarbeitung umfasst:

• Erhebung und Speicherung von Mitarbeiter-Stammdaten
• Erfassung und Berechnung von Arbeitszeiten, Überstunden und Pausen
• Verwaltung von Abwesenheitsanträgen und Urlaubskontingenten
• Zuordnung von Mitarbeitern zu Abteilungen, Standorten und Wirtschaftsgütern
• Erstellung von Berichten und Auswertungen
• Import, Erfassung und Auswertung von Buchhaltungs-, Beleg- und Kontoauszugsdaten zur Kostenkontrolle (Ausgabenmodul), einschließlich des Abgleichs mit Verträgen, Kostenpositionen und Zahlungen — sofern das Feature genutzt wird
• Abgleich von Zahlungseingängen aus importierten Kontoauszügen mit offenen Ausgangsrechnungen des Auftraggebers (anhand von Rechnungsnummer und Betrag), Führung des Zahlstatus einschließlich Teilzahlungen sowie Auswertung offener Forderungen nach Alter und Standort — sofern das Feature genutzt wird
• Abruf festgeschriebener Rechnungen aus einer vom Auftraggeber angebundenen Makler-Software (imwoco) und deren Zuordnung als Umsatz je Mitarbeiter, Standort und Wirtschaftsgut — anhand der vom Auftraggeber gepflegten Import-Kennung der Mitarbeiter und der Objektadresse. Es werden keine Kunden- oder Empfängerdaten übertragen. Auf Wunsch des Auftraggebers meldet CoLeLa Zahlungen aus dem Bankabgleich (Rechnungs-ID, Betrag, Zahlungsdatum — ohne Bank- oder Kundendaten) an diese Software zurück — sofern das Feature genutzt wird
• Abruf von E-Mails aus Postfächern, die der Auftraggeber oder seine Mitarbeiter einrichten (IMAP), und deren Zwischenspeicherung zur Anzeige. Die E-Mails verbleiben auf dem Mailserver des Auftraggebers; ein persönliches Postfach sieht nur sein Inhaber — sofern das Feature genutzt wird
• Versand von E-Mails aus eingebundenen Postfächern (Antworten, Weiterleitungen, neue Mails, Entwürfe) über den Mailserver des Auftraggebers, einschließlich einer vom Nutzer eingerichteten Abwesenheitsnotiz sowie einer Liste gesperrter Absender, deren Mails automatisch in den Spam-Ordner verschoben werden — sofern das Feature genutzt wird
• Erkennung von Eingangsrechnungen in Anhängen von Team-Postfächern und — nur mit vorheriger, jederzeit widerruflicher Zustimmung des Inhabers — von persönlichen Postfächern einzelner Mitarbeiter (Auslesen strukturierter E-Rechnungsdaten und des Textes von PDF-Dateien, bei eingescannten Rechnungen per Texterkennung auf den Servern des Auftragnehmers ohne externen Dienst), Zuordnung zu einem Lieferanten im Ausgabenmodul, regelbasierte Zuordnung zur empfangenden Firma — innerhalb eines Mandanten-Verbunds auch zu einer anderen Firma des Verbunds — und unveränderte Weiterleitung über den Mailserver des Auftraggebers an die von der empfangenden Firma hinterlegte DATEV-Eingangsadresse. Je nach Einstellung erst nach Bestätigung durch einen Mitarbeiter; es findet keine automatisierte Einzelentscheidung i.S.d. Art. 22 DSGVO über natürliche Personen statt. Aus persönlichen Postfächern sehen die Bearbeiter des Rechnungseingangs nur Absender, Betreff und den jeweiligen Anhang, nicht die übrige Mail — sofern das Feature genutzt wird
• Regelbasierte Prüfung von Arbeitszeitdaten auf Unregelmäßigkeiten (z.B. fehlende Pausen, vergessenes Ausstempeln, Arbeitszeit während genehmigter Abwesenheiten) einschließlich der Erstellung entsprechender Berichte — ausschließlich auf Veranlassung des Auftraggebers, ohne automatisierte Einzelentscheidung i.S.d. Art. 22 DSGVO
• Versand transaktionaler Benachrichtigungen (E-Mail, Push)
• Authentifizierung und Autorisierung von Benutzern
• Aggregierte, mandantenübergreifende Auswertung im Mandanten-Verbund (Summen, Kennzahlen und Gruppenwerte ohne Personenbezug) — ausschließlich nach Einwilligung beider beteiligten Auftraggeber und Freigabe durch den Auftragnehmer. Personenbezogene Daten verlassen den Mandanten dabei nicht; die beteiligten Auftraggeber bleiben jeweils eigenständige Verantwortliche
• Übertragung einzelner Beschäftigtendatensätze zwischen zwei Mandanten desselben Verbunds (Wechsel des Arbeitgebers innerhalb der Unternehmensgruppe) — ausschließlich auf Veranlassung eines Administrators, der in beiden Mandanten berechtigt ist. Wahlweise vollständig (der Datensatz wird dem aufnehmenden Auftraggeber zugeordnet und mit dessen Schlüssel neu abgelegt; der abgebende behält nur Protokolleinträge und Chat-/Nachrichteninhalte) oder zu einem Stichtag (Daten bis zum Vortag bleiben beim abgebenden Auftraggeber, Daten ab dem Stichtag gehen an den aufnehmenden; eine Stichtags-Übertragung kann wieder zusammengeführt werden)

§ 3 Kategorien betroffener Personen

Von der Verarbeitung betroffen sind:

• Mitarbeiter und Angestellte des Auftraggebers
• Aushilfen, Praktikanten und freie Mitarbeiter des Auftraggebers
• Administratoren und Teamleiter des Auftraggebers
• Absender und Empfänger von E-Mails in eingebundenen Postfächern, insbesondere Kunden, Lieferanten und Geschäftspartner des Auftraggebers (sofern das Postfach genutzt wird)

§ 4 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Stammdaten: Vorname, Nachname, E-Mail-Adresse, Personalnummer
• Beschäftigungsdaten: Abteilung, Standort/Kostenstelle, Rolle, Stellenanteil, Eintrittsdatum, Austrittsdatum bzw. Ende einer Befristung, Ende der Probezeit
• Arbeitszeitdaten: Stempelzeiten (Ein-/Ausstempeln), Pausenzeiten, Überstundensaldo
• Abwesenheitsdaten: Urlaubstage, Krankheitstage, Berufsschulzeiten, Abwesenheitsanträge und -genehmigungen, Vertretungsregelungen
• Ausbildungsdaten: Ausbildungsbeginn und geplantes Ende, Ausbildungsberuf, Zuordnung von Auszubildenden zu Abteilungen mit Zeitraum (Einsatzstationen), zuständige Ausbildungsbeauftragte, Berufsschulrhythmus (sofern Feature genutzt)
• Vergütungsdaten: Monatsgehalt (sofern im Kostenprofil hinterlegt), Arbeitgeber-Kostenfaktor, Urlaubsanspruch sowie Zusatzleistungen und geldwerte Vorteile (z.B. Dienstrad, Sachbezug, betriebliche Altersvorsorge, Zuschüsse, Prämien) samt Betrag, Laufzeit und steuerlicher Behandlung, sofern erfasst
• Organisationsdaten: Zuordnung zu Wirtschaftsgütern, Umsatzanteile; aus der angebundenen Makler-Software (imwoco) zusätzlich je Rechnung: Rechnungsnummer, Rechnungsdatum, Nettobetrag, Objektadresse, Betreuer-Kürzel und -Name, Anteil in Prozent und Euro sowie der Standort des Mitarbeiters zum Rechnungsdatum (sofern Feature genutzt)
• Dienstwagendaten: Fahrzeugzuordnung, amtliches Kennzeichen, Übergabe- und Rückgabedatum, Entfernung zwischen Wohnung und erster Tätigkeitsstätte sowie der daraus ermittelte geldwerte Vorteil, sofern ein Fahrzeug einem Mitarbeiter zugeordnet ist
• Kommunikationsdaten (Postfach): Absender, Empfänger, Betreff, Datum, Inhalt und Anhänge von E-Mails aus eingebundenen Postfächern, auch selbst verfasster und gesendeter Mails; E-Mail-Adressen gesperrter Absender und der Empfänger einer Abwesenheitsnotiz; Signaturen und Textvorlagen; Zwischenspeicher höchstens 90 Tage, erkannte Rechnungsdateien nur bis zur Erledigung (Weiterleitung oder Verwerfen), danach bleibt nur der Protokolleintrag, Anhänge ohne Rechnung werden nicht gespeichert; bei persönlichen Postfächern zusätzlich der Zeitpunkt der Zustimmung des Inhabers. Dazu die Zugangsdaten der Postfächer (IMAP/SMTP), verschlüsselt (sofern Feature genutzt)
• Rechnungsdaten (Rechnungseingang): Rechnungsnummer, Rechnungsdatum, Betrag, Name, Anschrift und USt-IdNr. von Rechnungssteller und -empfänger, Kundennummer sowie die Zuordnung zur empfangenden Firma und das Weiterleitungsprotokoll (sofern Feature genutzt)
• Technische Daten: IP-Adresse, Browser-Informationen, Push-Subscription-Daten
• Authentifizierungsdaten: Passwort-Hashes, Anmeldetoken
• Dokumentendaten: Hochgeladene Dokumente samt Kategorie (z.B. Arbeitsvertrag, Führerschein, Arbeits-/Aufenthaltserlaubnis, Unterweisung, Zertifikat, Gesundheitsnachweis) und Gültigkeitsdatum des Nachweises (sofern Feature genutzt)
• Buchhaltungs- und Zahlungsdaten (Ausgabenmodul): Buchungen aus importierten Buchungsstapeln, Summen- und Saldenlisten oder Tabellen (Belegdatum, Betrag, Sachkonto, Buchungstext, Belegnummer, Beleg-ID, Name des Rechnungsstellers, Kostenstelle), manuell erfasste Ausgaben, Belegdateien zu Ausgaben (einzeln hochgeladen oder aus dem Belegexport der Buchhaltung importiert), Lieferantenstammdaten (Name, IBAN, Steuernummer) sowie Umsätze aus importierten Kontoauszügen, Abbuchungen wie Zahlungseingänge (Buchungstag, Betrag, Name und IBAN der Gegenpartei, Verwendungszweck); bei Zahlungseingängen ist die Gegenpartei in der Regel ein Kunde des Auftraggebers. Buchungstexte, Verwendungszwecke und Gegenparteien können Namen natürlicher Personen enthalten; Lohn- und Gehaltsbuchungen werden nur als Summen ausgewiesen (sofern Feature genutzt)

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

• personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
• sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
• alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu treffen (siehe § 7);
• den Auftraggeber unverzüglich zu informieren, wenn nach seiner Auffassung eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt;
• den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen;
• den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung);
• nach Beendigung der Verarbeitung alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung zu stellen und Überprüfungen/Audits zu ermöglichen.

§ 6 Unterauftragsverarbeiter

Der Auftragnehmer bedient sich zur Erbringung der vertraglich vereinbarten Leistungen folgender Unterauftragsverarbeiter. Der Auftraggeber stimmt dem Einsatz dieser Unterauftragsverarbeiter mit Abschluss dieser AVV zu.

Der Auftragnehmer wird den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informieren, wobei der Auftraggeber die Möglichkeit hat, gegen derartige Änderungen Einspruch zu erheben.

Mit allen Unterauftragsverarbeitern wurden Auftragsverarbeitungsverträge gemäß Art. 28 Abs. 4 DSGVO geschlossen. Für den Datentransfer in die USA wird das EU-US Data Privacy Framework als Transfermechanismus genutzt.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:

7.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verschlüsselte Datenübertragung mittels TLS/SSL (HTTPS)
• Passwörter werden ausschließlich als kryptografische Hashes gespeichert (bcrypt)
• Mandantentrennung: Strikte Datenisolation zwischen Kunden auf Datenbankebene
• Rollenbasiertes Berechtigungssystem mit granularen Scopes (Eigene, Abteilung, Standort, Alle)
• Authentifizierung über signierte JWT-Tokens mit begrenzter Gültigkeitsdauer
• Zentrale Anmeldeidentität: Passwort, Zwei-Faktor-Code und Kontosperre werden je Person genau einmal geführt, auch wenn sie mehreren Mandanten angehört. Die Zugehörigkeit zu einem Mandanten bleibt davon getrennt und wird je Mandant vergeben und entzogen
• Zugriff auf Produktionssysteme ist auf autorisiertes Personal beschränkt
• Hochgeladene Dokumente (Arbeitsverträge, Nachweise, Vorlagen) werden vor der Speicherung mit AES-256-GCM verschlüsselt. Jeder Mandant hat einen eigenen Schlüssel; ein Zugriff auf den Speicher allein gibt die Inhalte nicht preis
• Zugangsdaten zu angebundenen Fremdsystemen (z.B. API-Key und -Secret der Makler-Software, Passwörter von E-Mail-Postfächern) werden mit dem Schlüssel des Mandanten verschlüsselt gespeichert, nie an die Oberfläche zurückgegeben und nur über HTTPS übertragen
• Der Dokumentenspeicher ist nicht öffentlich adressierbar. Jeder Abruf läuft über die Anwendung und damit über die Berechtigungsprüfung des Mandanten
• Verbindungen zu Mailservern werden nur zu öffentlichen Adressen aufgebaut, nicht in interne Netze. E-Mail-Inhalte werden in einer isolierten Ansicht ohne Skriptausführung angezeigt; Inhalte von fremden Servern (z.B. Tracking-Pixel) werden nicht geladen

7.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabevalidierung auf Server- und Client-Seite
• Schutz gegen SQL-Injection durch parametrisierte Abfragen (ORM)
• Schutz gegen Cross-Site-Scripting (XSS) und Cross-Site-Request-Forgery (CSRF)
• Automatisierte Code-Reviews und Sicherheitsprüfungen

7.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Hosting auf einer hochverfügbaren Cloud-Infrastruktur (Vercel Edge Network)
• Datenbank-Hosting mit automatischen Backups und Point-in-Time-Recovery (Neon)
• Dokumentenspeicher mit georedundanter Ablage in der Region Frankfurt (Vercel Blob)
• Automatische Skalierung bei erhöhter Last
• Monitoring der Systemverfügbarkeit

7.4 Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Regelmäßige automatische Datenbank-Backups
• Wiederherstellungsverfahren sind dokumentiert und getestet
• Versionierung des Anwendungscodes mit Rollback-Möglichkeit

7.5 Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen
• Automatische Bereinigung temporärer und verwaister Daten (Cron-Jobs)
• Protokollierung sicherheitsrelevanter Ereignisse

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat. Die Meldung enthält mindestens:

• eine Beschreibung der Art der Verletzung
• die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze
• eine Beschreibung der wahrscheinlichen Folgen
• eine Beschreibung der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen

Die Meldung erfolgt per E-Mail an die dem Auftragnehmer bekannte Kontaktadresse des Auftraggebers. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO.

§ 9 Löschung und Rückgabe von Daten

Nach Beendigung des Vertragsverhältnisses löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Der Auftraggeber kann vor der Löschung einen Export seiner Daten anfordern.

Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende. Sie umfasst neben den Datenbankinhalten auch sämtliche hochgeladenen Dokumente im Dokumentenspeicher. Mit dem Mandanten wird zugleich dessen Verschlüsselungsschlüssel vernichtet; ohne ihn sind etwaige technische Restbestände dauerhaft nicht mehr lesbar. Der Auftragnehmer bestätigt die vollständige Löschung auf Anfrage schriftlich.

§ 10 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen können schriftlich oder in elektronischer Form (E-Mail) erteilt werden.

Die Nutzung der CoLeLa-Plattform durch den Auftraggeber und dessen Konfiguration der Plattform (z.B. Aktivierung von Features, Rollenvergabe, Einrichtung von Abteilungen und Standorten) gelten als dokumentierte Weisungen im Sinne dieser Vereinbarung.

§ 11 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

Inspektionen einschließlich Überprüfungen können nach angemessener Vorankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten durchgeführt werden, ohne den Betriebsablauf des Auftragnehmers unverhältnismäßig zu stören.

§ 12 Schlussbestimmungen

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Erfurt.