Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Unternehmen, das Mitves nutzt („Kunde“, Verantwortlicher), und Mitves (Astalyne Studios, Inhaber Oguzhan Günel, Günzburger Str. 37, 89340 Leipheim, Deutschland) („Mitves“, Auftragsverarbeiter) geschlossen. Er ist Bestandteil der Nutzungsbedingungen und gilt für alle personenbezogenen Daten, die Mitves bei der Erbringung des Dienstes im Auftrag des Kunden verarbeitet.

Er setzt Art. 28 der Datenschutz-Grundverordnung (DSGVO) um und für Kunden in der Türkei Art. 12 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK). Weichen dieser AVV und die Nutzungsbedingungen beim Datenschutz voneinander ab, geht dieser AVV vor.

Der Kunde nimmt diesen AVV mit den Nutzungsbedingungen an, wenn er sein Konto anlegt. Admins können ihn zudem im Dashboard annehmen (Einstellungen → Auftragsverarbeitungsvertrag); Mitves speichert dann Version, Sprache und einen Fingerabdruck des angenommenen Textes und sendet den Text als PDF.

Gegenstand: Bereitstellung des Zeiterfassungsdienstes Mitves (Web-Dashboard, mobile App und API) für den Kunden.

Dauer: für die Laufzeit des Abonnements oder Tests des Kunden und danach bis zur Löschung oder Anonymisierung nach „Löschung und Rückgabe“.

Art: Hosting, Speicherung, Erfassung, Ordnung, Berechnung, Anzeige, Export, Übermittlung und Löschung personenbezogener Daten.

Zweck: Erfassung von Arbeitszeit, Pausen, Urlaub, Begründungen und Abwesenheiten; Prüfung von Stempelungen (Standort, QR-Code, freigegebenes Gerät); Schichtplanung; Erstellung von Zeitnachweisen (Puantaj) und Exporten; Zustellung von Lohndokumenten, Mitteilungen und Benachrichtigungen; Sicherheit des Dienstes und Änderungsprotokoll.

Betroffene Personen: Beschäftigte, Vorgesetzte und Administratorinnen und Administratoren des Kunden, die den Dienst nutzen oder darin erfasst sind.

• Identitäts- und Beschäftigungsdaten: Name, Personalnummer, Position, Team, Standort, Vorgesetzte, Rolle, Beschäftigungsdaten.

• Kontaktdaten: E-Mail-Adresse und Mobilnummer.

• Zeiterfassungsdaten: Kommen und Gehen, Pausen, Urlaubs- und Begründungsanträge, Schichten und Arbeitspläne, Korrekturen mit Begründung.

• Prüfdaten: die GPS-Position im Moment der Stempelung (für die Dauer, die der Kunde in den Unternehmenseinstellungen festlegt, 1 bis 90 Tage, standardmäßig 90 Tage, danach gelöscht), Entfernung zum Standort, Kennung des freigegebenen Geräts und Kennung des gescannten QR-Codes.

• Dokumente und Bilder: vom Kunden veröffentlichte Lohndokumente und optionale Profilfotos.

• Technische Daten: IP-Adresse, App-Version, Betriebssystem, Push-Tokens und Protokolleinträge.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Gesundheitsdaten, nämlich eine als Abwesenheitsart erfasste Krankmeldung (die Art, ihre Daten und eine etwaige Notiz oder Anlage), sowie Daten, die mittelbar eine religiöse Überzeugung erkennen lassen können, nämlich die Kirchensteuermerkmale, die Gehaltsabrechnungen üblicherweise zeigen (EuGH, C-184/20). Mitves wertet sie nicht aus: Einzelheiten einer Krankmeldung sehen nur die betroffene Person sowie Admins und Vorgesetzte, deren Zuständigkeit für Abwesenheiten die Person umfasst; Lohndokumente nur die betroffene Person sowie Admins und Vorgesetzte, deren Zuständigkeit für Lohndokumente die Person umfasst. Biometrische Daten werden nicht verarbeitet. Freitextfelder (zum Beispiel ein Urlaubs- oder Entschuldigungsgrund) könnten weitere Gesundheitsdaten enthalten, wenn Nutzer sie eingeben; der Kunde weist seine Nutzer entsprechend an. Die Rechtsgrundlage bestimmt der Kunde als Verantwortlicher; im Beschäftigungsverhältnis ist dies in der Regel Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit dem nationalen Arbeitsrecht (in Deutschland § 26 Abs. 3 BDSG).

Mitves verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden. Die Nutzungsbedingungen, dieser AVV und die Einstellungen des Kunden im Dienst sind bei Vertragsschluss seine vollständigen Weisungen; weitere Weisungen erfolgen in Textform (E-Mail genügt).

Mitves informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und kann ihre Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

Mitves nutzt die personenbezogenen Daten nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht für Werbung.

Mitves stellt sicher, dass die zur Verarbeitung befugten Personen vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind und nur den Zugriff erhalten, den ihre Aufgabe erfordert.

Mitves trifft die technischen und organisatorischen Maßnahmen nach Anlage 2, angemessen zum Risiko (Art. 32 DSGVO). Mitves darf sie dem technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

Der Kunde erteilt Mitves die allgemeine Genehmigung, die in Anlage 1 genannten Unterauftragsverarbeiter einzusetzen. Mitves informiert den Kunden mindestens 30 Tage vorher per E-Mail oder im Dashboard über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Kunde kann in dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; findet sich keine Lösung, kann er den betroffenen Teil des Dienstes kündigen.

Die aktuelle Liste mit Version und datiertem Änderungsverlauf ist unter https://mitves.com/de/legal/subprocessors veröffentlicht; weicht sie von Anlage 1 ab, gilt die veröffentlichte Liste.

Mitves erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die nicht weniger schützen als dieser AVV, und haftet gegenüber dem Kunden für seine Unterauftragsverarbeiter.

Kundendaten werden in der Europäischen Union gehostet. Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR, stellt Mitves einen Angemessenheitsbeschluss (zum Beispiel das EU-US Data Privacy Framework für zertifizierte Empfänger) oder die EU-Standardvertragsklauseln als Garantie sicher.

Für Kunden in der Türkei ist das Hosting in der EU eine Übermittlung ins Ausland nach Art. 9 KVKK. Der Kunde als Verantwortlicher wählt den Übermittlungsmechanismus (zum Beispiel den der Datenschutzbehörde gemeldeten Standardvertrag); Mitves unterzeichnet die erforderlichen Dokumente.

Die Garantie je Unterauftragsverarbeiter nennt die veröffentlichte Liste der Unterauftragsverarbeiter (https://mitves.com/de/legal/subprocessors).

Mitves unterstützt den Kunden bei Anfragen betroffener Personen mit den Funktionen des Dienstes (Export personenbezogener Daten, Berichtigung, Deaktivierung, Löschung durch Anonymisierung oder vollständige Löschung) und, wo diese nicht genügen, auf Anfrage.

Mitves unterstützt den Kunden bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32 bis 36 DSGVO) unter Berücksichtigung der ihm vorliegenden Informationen.

Mitves meldet dem Kunden eine Verletzung des Schutzes seiner personenbezogenen Daten unverzüglich und möglichst innerhalb von 48 Stunden, nachdem sie Mitves bekannt wurde. Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der Betroffenen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen (Art. 33 Abs. 3 DSGVO).

Nach Ende des Abonnements kann der Kunde seine Daten aus dem Dienst exportieren. Mitves löscht oder anonymisiert die personenbezogenen Daten des Kunden innerhalb von 90 Tagen, sofern Mitves sie nicht gesetzlich aufbewahren muss. Verschlüsselte Sicherungen werden innerhalb ihres Rotationszeitraums von 14 Tagen überschrieben und bis dahin nicht zu anderen Zwecken wiederhergestellt.

Mitves stellt dem Kunden die Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen werden mindestens 30 Tage vorher angekündigt, finden während der Geschäftszeiten statt, höchstens einmal jährlich, sofern keine Verletzung Anlass gibt, und auf Kosten des Kunden.

• Hosting und Infrastruktur: virtuelle Server in den Niederlanden (EU). Alle Daten, Dateien und Sicherungen des Dienstes.

• Cloudflare, Inc. (Vereinigte Staaten): DNS, TLS und Reverse-Proxy-Schutz für den gesamten Datenverkehr; Bot-Prüfung Cloudflare Turnstile bei der Registrierung.

• Google (Firebase, Vereinigte Staaten): Absturzberichte über Firebase Crashlytics und Push-Benachrichtigungen über Firebase Cloud Messaging für die mobile App; auf iPhones werden Push-Benachrichtigungen über den Apple Push Notification Service (APNs) zugestellt.

• Amazon Web Services EMEA SARL (Luxemburg), Amazon SNS in der Region Frankfurt (EU): Einmalcodes und Einrichtungslinks per SMS.

• Amazon Web Services EMEA SARL (Luxemburg), Amazon SES in der Region Frankfurt (EU): Konto-, Benachrichtigungs- und Zusammenfassungs-E-Mails.

• Amazon Web Services EMEA SARL (Luxemburg), Amazon S3 in der Region Frankfurt (EU): externe Kopie der verschlüsselten Datenbank- und Dateisicherungen, nach 14 Tagen gelöscht.

• Zoho Corporation B.V. (Niederlande), Zoho Mail im EU-Rechenzentrum: Support- und Rechnungspostfächer von Mitves, soweit eine Anfrage Kundendaten enthält.

Keine Unterauftragsverarbeiter von Kundendaten, zur Transparenz genannt: Die OpenStreetMap Foundation (Vereinigtes Königreich) liefert Kartenkacheln an die Browser von Administratoren im Web-Dashboard; die Zahlungsanbieter Stripe Payments Europe, Ltd. (Irland) und PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) verarbeiten die eigenen Zahlungsdaten des Kunden als eigenständige Verantwortliche; der MIAS-Dienst (VIES) der Europäischen Kommission erhält die USt-IdNr. des Kunden zur Prüfung, bevor Reverse Charge angewendet wird.

• Hosting in der EU; Produktion, Staging und Sicherungen getrennt; Serverzugang nur für benannte Administratoren nach dem Prinzip der geringsten Rechte.

• Verschlüsselung bei der Übertragung (TLS) für alle Verbindungen; tägliche verschlüsselte Sicherungen von Datenbank und Dateien mit einem Wiederherstellungstest bei jedem Lauf.

• Trennung der Kunden: Jeder Datensatz gehört zu einem Unternehmen und wird bei jeder Anfrage nach Unternehmen gefiltert (im Zweifel gesperrt).

• Zugriffskontrolle: Rollen (Admin, Vorgesetzte, Beschäftigte) und Zuständigkeitsbereiche nach Team, Standort und Gruppe; API-Tokens mit Berechtigungen, Ablauf und Widerruf; inaktive Sitzungen enden.

• Besondere Kategorien: Art, Daten, Notizen und Anlagen einer Krankmeldung werden nur der betroffenen Person sowie Admins und Vorgesetzten mit Zuständigkeit für Abwesenheiten der Person angezeigt und exportiert; Lohndokumente nur der betroffenen Person und der Zuständigkeit für Lohndokumente.

• Gerätefreigabe: Stempelungen nur von Geräten, die ein Administrator freigegeben hat; Geräte können gesperrt werden.

• Integrität und Nachvollziehbarkeit: Korrekturen bewahren die vorherigen Werte mit Person, Zeitpunkt und Grund; Protokoll der Verwaltungsaktionen.

• Datenminimierung: GPS nur im Moment der Stempelung und nach der vom Kunden festgelegten Frist gelöscht; keine Dauerortung, keine Biometrie; API-Antworten enthalten nur freigegebene Felder; Geheimnisse und Inhalte von Lohndokumenten werden nie protokolliert.

• Verfügbarkeit und Belastbarkeit: überwachte Dienste mit Zustandsprüfungen und Alarmen; Anfragebegrenzungen bei Anmeldung und sensiblen Endpunkten.

• Entwicklung: Sicherheitsupdates von Abhängigkeiten, automatisierte Tests und Code-Review vor jeder Auslieferung.