Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO für Zeittel
Stand: 2026-11-01 · Version 1.1.1
zwischen
Amtro UG (haftungsbeschränkt), Knaackstr. 31, 10405 Berlin, E-Mail: info@amtro.de, Telefon: +49 15562 353691, Amtsgericht Charlottenburg, HRB 285846 B – nachfolgend „Auftragsverarbeiter“ –
und
dem jeweiligen Kunden von Zeittel – nachfolgend „Verantwortlicher“ –
1. Gegenstand und Dauer
1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der Software „Zeittel“.
1.2 Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags über die Nutzung von Zeittel. Dieser Vertrag endet spätestens mit vollständiger Beendigung der Auftragsverarbeitung.
2. Art und Zweck der Verarbeitung
2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten, um dem Verantwortlichen die Nutzung von Zeittel als System zur Zeiterfassung, Verwaltung, Auswertung und zum Export von Zeitdaten zu ermöglichen.
2.2 Die Verarbeitung umfasst insbesondere das Speichern, Strukturieren, Auslesen, Bereitstellen, Übermitteln, Exportieren, Protokollieren, Löschen und sonstige technische Verarbeiten personenbezogener Daten im Rahmen der vereinbarten Funktionen.
3. Art der personenbezogenen Daten und Kategorien betroffener Personen
3.1 Kategorien personenbezogener Daten können insbesondere sein: a) Stammdaten von Beschäftigten und sonstigen Nutzern, b) Kontaktdaten, c) Organisations- und Zuordnungsdaten, d) Zeiterfassungsdaten, Pausen, Abwesenheiten und zugehörige Änderungsdaten, e) PIN-bezogene Daten in gehashter Form, f) Geräte- und Zuordnungsdaten im Zusammenhang mit der Stempeluhr, g) Protokoll- und Auditdaten, soweit sie im Kundenkonto anfallen, h) Standortdaten beim Stempeln mit dem eigenen Handy, von Hand oder automatisch: eine zeitnah verfügbare Messung mit Koordinaten, Genauigkeit und Messzeitpunkt, getrennt vom Stempelzeitpunkt, gegebenenfalls die daraus ermittelte Adresse, oder der Grund, warum kein Ort gespeichert wurde. Erfasst wird nur zu Kommen und Gehen; es entsteht kein Standortverlauf, i) Ereignisse der Anwesenheitserkennung, soweit der Verantwortliche diese Funktion einrichtet: Betreten und Verlassen eines Betriebsorts mit Zeitpunkt, erkannt über Geofencing oder das Bluetooth-Signal eines Senders am Betriebsort. Bei der Erinnerung ans Stempeln ohne Koordinaten. Beim automatischen Stempeln übermittelt die App zum Ereignis und beim Abgleich der Anwesenheit eine aktuelle Messung nach h); der Auftragsverarbeiter verwendet sie zur Bestimmung des Anwesenheitszustands, hält sie beim automatischen Ausstempeln vorübergehend bis zur Entscheidung über die Buchung und speichert Koordinaten dauerhaft nur an einer entstandenen Buchung. Ebenfalls dazu gehört die einmalige Standortbestätigung an der Stempeluhr (nur „am Ort: ja/nein“), j) Daten gekoppelter Geräte (Gerätekennung als Hash, Plattform, App-Version, Kopplungs- und Nutzungszeitpunkte) und Push-Tokens für Mitteilungen, k) Dienstpläne und an Beschäftigte versandte Mitteilungen, l) Profilbilder, Abwesenheitsanträge und Dienstplan-Anfragen mit Begründung, m) Prüfwerte der Stempeluhr-PIN (Einweg-Hashes) auf gekoppelten Stempeluhr-Geräten des Verantwortlichen für den Betrieb ohne Internet sowie dort zwischengespeicherte Offline-Stempelvorgänge bis zur Übertragung, n) Stempelvorgänge und Ereignisse der Anwesenheitserkennung, die auf persönlichen Handys der Beschäftigten ohne Internet zwischengespeichert werden, einschließlich der Messung nach h), bis zur bestätigten Übertragung; ungeklärte Ereignisse bis zur Klärung; Ereignisse einer früheren Kopplung werden bei derselben Person übernommen oder archiviert und beim nächsten Abgleich gelöscht, sobald die Archivierung mehr als 30 Tage zurückliegt.
3.1a Die Verarbeitungen nach 3.1 h), i) und n) (Ortsfunktionen) sind optional. Zeittel ist auch vollständig ohne Ortsfunktionen nutzbar. Anwesenheitserkennung, automatisches Stempeln und Standortbestätigung richtet der Verantwortliche in den Einstellungen von Zeittel für einzelne Beschäftigte ein und schaltet sie dort wieder aus. Den Ort beim Stempeln am Handy steuert er über den Stempelweg; auf seine Weisung in Textform schaltet der Auftragsverarbeiter ihn für das gesamte Kundenkonto ab. Ist eine Funktion ausgeschaltet, findet die zugehörige Verarbeitung nicht statt. Mit Vereinbarung dieser Fassung ist das Ein- und Ausschalten der hier beschriebenen Ortsfunktionen eine dokumentierte Weisung nach 4.1a und erfordert keine weitere Änderung dieses Vertrags.
3.2 Betroffene Personengruppen können insbesondere sein: a) Beschäftigte des Verantwortlichen, b) sonstige dem Verantwortlichen zugeordnete Nutzer, c) Ansprechpartner des Verantwortlichen.
4. Weisungsgebundenheit
4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen; das gilt auch für die Übermittlung in ein Drittland oder an eine internationale Organisation. Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer abweichenden Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet.
4.1a Weisungen erteilt der Verantwortliche in erster Linie durch die Nutzung und Konfiguration der Funktionen von Zeittel (insbesondere Anlegen und Löschen von Beschäftigten, Stempelweg, Betriebsorte und Ortsfunktionen, Exporte); darüber hinausgehende Weisungen erfolgen in Textform an die oben genannte E-Mail-Adresse.
4.2 Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
4.3 Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für datenschutzrechtlich unzulässig, weist er den Verantwortlichen unverzüglich darauf hin.
5. Pflichten des Verantwortlichen
5.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Bestehen einer Rechtsgrundlage, die Erfüllung von Informationspflichten und die Wahrung der Rechte betroffener Personen verantwortlich.
5.2 Der Verantwortliche bleibt im Verhältnis zu den betroffenen Personen allein verantwortliche Stelle, soweit dieser Vertrag nichts Abweichendes regelt.
5.3 Der Verantwortliche hat den Auftragsverarbeiter unverzüglich zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei der datenschutzrechtlichen Prüfung der Auftragsergebnisse feststellt.
6. Vertraulichkeit und Zugriffsberechtigung
6.1 Der Auftragsverarbeiter stellt sicher, dass Personen, die mit der Verarbeitung personenbezogener Daten befasst sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6.2 Der Zugang zu personenbezogenen Daten ist auf diejenigen Personen beschränkt, die diese Daten zur Erfüllung der vertraglichen Pflichten benötigen.
7. Technische und organisatorische Maßnahmen
7.1 Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten unter Berücksichtigung von Art. 32 DSGVO.
7.2 Die zum Zeitpunkt des Vertragsschlusses bestehenden technischen und organisatorischen Maßnahmen sind in Anlage 1 beschrieben.
7.3 Der Auftragsverarbeiter ist berechtigt, technische und organisatorische Maßnahmen weiterzuentwickeln, sofern das Schutzniveau nicht unterschritten wird.
8. Unterstützungspflichten
8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei dessen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten.
8.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, soweit dies erforderlich und zumutbar ist.
9. Meldung von Datenschutzverletzungen
9.1 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, wenn ihm eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten bekannt wird.
9.2 Die Information enthält, soweit möglich, die dem Auftragsverarbeiter vorliegenden Angaben zur Art der Verletzung, zu den betroffenen Daten und Personengruppen sowie zu den bereits ergriffenen oder vorgeschlagenen Maßnahmen.
10. Nachweis und Kontrollen
10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen.
10.2 Nachweise können insbesondere durch geeignete Dokumentationen, Selbstauskünfte, Auszüge aus Sicherheitskonzepten oder vergleichbare Nachweise erbracht werden.
10.3 Vor-Ort-Kontrollen und Audits durch den Verantwortlichen oder einen von ihm beauftragten Prüfer sind nach angemessener Vorankündigung, zu üblichen Geschäftszeiten und unter Berücksichtigung berechtigter Geheimhaltungs- und Sicherheitsinteressen des Auftragsverarbeiters zulässig, soweit sie erforderlich sind und kein milderes Mittel ausreicht.
10.4 Der Verantwortliche trägt die Kosten einer durch ihn veranlassten Prüfung, soweit die Prüfung keinen vom Auftragsverarbeiter zu vertretenden erheblichen Verstoß nachweist.
11. Unterauftragsverarbeiter
11.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen.
11.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in geeigneter Form, sodass der Verantwortliche die Möglichkeit hat, aus wichtigem datenschutzrechtlichem Grund zu widersprechen.
11.3 Zum Zeitpunkt des Vertragsschlusses setzt der Auftragsverarbeiter folgende Unterauftragsverarbeiter ein: a) Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting der Anwendung und Datenbank (Rechenzentrum Nürnberg) sowie verschlüsselte Datensicherungen und Protokollarchiv (in der EU), b) InterNetworX GmbH (INWX), Prinzessinnenstraße 30, 10969 Berlin, Deutschland: technischer Versand von System-E-Mails (Einladungen, Anmelde- und Einladungslinks, Hinweise zu Dienstplan und Anträgen) per SMTP, c) 650 Industries, Inc. („Expo“), USA: Zustellung von Push-Mitteilungen an die App; Expo übergibt die Mitteilung an Apple Inc. (Apple Push Notification service) bzw. Google LLC (Firebase Cloud Messaging), die sie auf das Gerät zustellen. Übermittelt werden Push-Token, Titel und Text der Mitteilung sowie technische Verweise (z. B. Kennung einer Buchung); Mitteilungen enthalten keine Daten anderer Beschäftigter.
11.4 Der Auftragsverarbeiter schließt mit Unterauftragsverarbeitern Verträge nach Art. 28 Abs. 4 DSGVO, die ein diesem Vertrag entsprechendes Datenschutzniveau gewährleisten.
11.5 Adressdienst: Für die Adresssuche zu Betriebsorten übermittelt der Auftragsverarbeiter auf Weisung des Verantwortlichen nur den eingegebenen Suchtext bzw. den gewählten Kartenpunkt des Betriebsorts, ohne Namen oder Kennung, an den Dienst Nominatim der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich). Die OpenStreetMap Foundation ist dabei eigenständiger Empfänger und kein Unterauftragsverarbeiter. Orte beim Stempeln werden nicht an diesen Dienst übermittelt.
12. Drittlandverarbeitung
12.1 Eine Verarbeitung in Drittstaaten erfolgt nur, soweit dies vertraglich vorgesehen, gesetzlich zulässig und durch geeignete Garantien abgesichert ist.
12.2 Sofern der Auftragsverarbeiter Unterauftragsverarbeiter in Drittstaaten einsetzt, wird er die hierfür erforderlichen datenschutzrechtlichen Voraussetzungen sicherstellen.
12.3 Für den Push-Dienst nach 11.3 c) erfolgt die Übermittlung in die USA an 650 Industries, Inc. auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) bzw. einer Zertifizierung unter dem EU-US Data Privacy Framework, soweit vorhanden; an Apple Inc. und Google LLC auf Grundlage ihrer Zertifizierung unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023). Für den Adressdienst nach 11.5 erfolgt eine Übermittlung in das Vereinigte Königreich auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO).
13. Löschung und Rückgabe nach Vertragsende
13.1 Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen 30 Tage lang den Export der Daten in den in Zeittel vorgesehenen Formaten zur Verfügung (Rückgabe). Der Verantwortliche kann in dieser Frist stattdessen die sofortige Löschung in Textform verlangen.
13.2 Nach Ablauf der Frist veranlasst der Auftragsverarbeiter die Löschung aller personenbezogenen Daten des Verantwortlichen einschließlich der Beschäftigten-, Zeit-, Geräte- und Standortdaten und dokumentiert die Löschung. Ausgenommen sind nur Daten, die der Auftragsverarbeiter nach Unionsrecht oder dem Recht der Bundesrepublik Deutschland aufbewahren muss (insbesondere Rechnungen und Abrechnungsunterlagen nach § 147 AO und § 257 HGB, darunter die Monatsstände mit Anzahl und Rolle der gezählten Beschäftigten, ohne Namen); diese bewahrt er verschlüsselt, getrennt vom laufenden Betrieb und nur für diesen Zweck bis zum Ablauf der Frist auf.
13.3 Kopien in Datensicherungen werden nach dem festen Sicherungsturnus des Auftragsverarbeiters, spätestens nach sechs Monaten, überschrieben und bis dahin nicht für andere Zwecke verarbeitet.
14. Schlussbestimmungen
14.1 Im Übrigen gelten die Regelungen des Hauptvertrags, soweit sie diesem Vertrag nicht widersprechen.
14.2 Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
14.3 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform, soweit keine strengere Form gesetzlich erforderlich ist.
Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)
1. Zutrittskontrolle — Hosting in professioneller Rechenzentrumsinfrastruktur über den eingesetzten Hosting-Anbieter.
2. Zugangskontrolle — Authentifizierung für Benutzerkonten; Passwortspeicherung nicht im Klartext; rollenbezogene Berechtigungen im System; technisch notwendige Sitzungs- und Schutzmechanismen.
3. Zugriffskontrolle — Rollenmodell im System; Beschränkung des Zugriffs auf Daten nach Zuständigkeit und Berechtigung; administrative Zugriffe nur nach betrieblicher Erforderlichkeit.
4. Weitergabekontrolle — Übertragung der Anwendung über HTTPS/TLS; E-Mail-Versand nur im jeweils technisch vorgesehenen Rahmen.
5. Eingabekontrolle — Protokollierung wesentlicher Änderungen an Zeiteinträgen und zugehörigen Vorgängen über Audit-Mechanismen innerhalb des Systems.
5a. Datenminimierung bei Standortdaten und Nutzungssignalen — Beim Stempeln am Handy Standort nur im Moment von Kommen und Gehen, keine Ortung im Hintergrund und kein Verlauf; die Anwesenheitserkennung übermittelt bei der Erinnerung nur Ereignisse ohne Koordinaten, beim automatischen Stempeln Messungen, deren Koordinaten dauerhaft nur an einer entstandenen Buchung gespeichert werden; Koordinaten werden nicht in Audit-Log oder technische Protokolle übernommen; an den Adressdienst gehen keine Orte beim Stempeln, nur Suchtext bzw. Kartenpunkt eines Betriebsorts; nur Inhaber und Verwalter des Kundenkontos sehen den Ort; Nutzungssignale der Anwendung enthalten keine Namen, Zeiten oder Standorte.
5b. Geräte- und Zugangsschutz — Geräte- und Kopplungsgeheimnisse werden nur als SHA-256-Hash gespeichert; Gerätezugänge laufen nach 90 Tagen ohne Nutzung ab und können jederzeit vom Verantwortlichen widerrufen werden; Schlüsseltausch ist jederzeit möglich; Stempeluhr-PINs als Einweg-Hash (Argon2) mit Sperre nach Fehlversuchen; der Zugang zur Verwaltung auf gekoppelten Geräten ist zusätzlich durch Gerätesperre bzw. Biometrie des Betriebssystems geschützt.
6. Verfügbarkeitskontrolle — Betrieb auf Serverinfrastruktur mit Datensicherungs- und Wiederanlaufprozessen; Datensicherungen der Datenbank verschlüsselt offsite in der EU, Überschreiben nach festem Turnus (spätestens nach sechs Monaten); technische Protokolle werden nach 90 Tagen gelöscht (lokal und in der verschlüsselten Offsite-Kopie).
7. Trennungsgebot — Mandantenbezogene Zuordnung von Daten im Kundenkonto; Verarbeitung im Rahmen der jeweiligen Organisationszugehörigkeit.
8. Belastbarkeit und Wiederherstellbarkeit — Einsatz von Datensicherungen und betrieblichen Wiederherstellungsprozessen nach Maßgabe des aktuellen Betriebs.