Auftragsverarbeitungsvertrag (AVV)

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der SaaS-Anwendung Precoria (Personal-, Arbeitszeit- und Compliance-Verwaltung). Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Endet dieser, endet auch dieser AVV.

Art, Umfang, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Kunden, sofern nicht eine Rechtspflicht den Auftragnehmer zu anderem verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).

Die Verarbeitung erfolgt nur im Rahmen der Vereinbarungen und nach Weisung des Kunden. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Kunden; er darf die Ausführung bis zur Bestätigung aussetzen.

Vertraulichkeit: Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

Datensicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen gemäß Anlage 2 (Art. 32 DSGVO).

Unterstützung: Der Auftragnehmer unterstützt den Kunden bei Betroffenenrechten (Art. 12–23), bei Datenschutz-Folgenabschätzungen (Art. 35) sowie bei Meldepflichten (Art. 33/34) im Rahmen seiner Möglichkeiten.

Meldung von Verletzungen: Der Auftragnehmer informiert den Kunden unverzüglich über Verletzungen des Schutzes personenbezogener Daten.

Datenschutzkontakt des Auftragnehmers: datenschutz@precoria.de.

Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu. Der Auftragnehmer informiert den Kunden über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) mit angemessener Frist; der Kunde kann aus wichtigem Grund widersprechen (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer verpflichtet Unterauftragnehmer auf gleichwertige Datenschutzpflichten.

Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insbesondere Standardvertragsklauseln). Betroffene Unterauftragnehmer und Transfermechanismen sind in Anlage 3 gekennzeichnet.

Der Kunde hat das Recht, die Einhaltung dieses Vertrags zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragnehmer weist die Maßnahmen nach Anlage 2 auf Anfrage nach (z. B. durch Selbstauskunft, Zertifikate oder Berichte der Unterauftragnehmer).

Nach Beendigung löscht oder gibt der Auftragnehmer die personenbezogenen Daten nach Wahl des Kunden zurück, sofern keine auf die jeweilige Partei anwendbare gesetzliche Aufbewahrungspflicht entgegensteht. Aufbewahrte Daten werden in der Verarbeitung eingeschränkt. Gesetzliche Pflichten des Kunden, etwa nach § 17 MiLoG, begründen keine eigenständige Nutzung der Daten durch den Auftragnehmer außerhalb der Weisung.

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags/der AGB.

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Datenschutzfragen vor. Es gilt deutsches Recht.

Zweck: Personal-, Arbeitszeit- und Compliance-Verwaltung (Zeiterfassung, Schichtplanung, Urlaub/Abwesenheit, Lohnadministration, digitale Personalakte, Gefährdungsbeurteilung, Vertrags-/Dokumentenerstellung, KI-Assistenz) sowie — bei Nutzung des entsprechenden Moduls — Reservierungsverwaltung, Gästekartei und Gutscheinverkauf/-verwaltung.

Betroffene Personen: Beschäftigte des Kunden, ggf. Bewerber und ausgeschiedene Mitarbeiter sowie — bei Nutzung der Gäste- und Gutscheinfunktionen — Gäste, Reservierende, Gutschein-Käufer und Gutschein-Empfänger.

Datenkategorien:

• Stammdaten (Name, Anschrift, Kontakt, Geburtsdatum/-ort, Staatsangehörigkeit)
• Vertrags-/Vergütungsdaten (Vergütung, Verträge, Arbeitszeiten, Abwesenheiten)
• Steuer-/Sozialversicherungsdaten (Steuer-ID, Steuerklasse, SV-Nummer, Krankenkasse — verschlüsselt)
• Bankdaten (IBAN, Kontoinhaber — verschlüsselt)
• Aufenthaltsdaten (Aufenthaltstitel)
• Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten (Krankheit/Abwesenheit, IfSG-Belehrung, Schwerbehinderung), Religion (Konfession für die Lohnsteuer) — Verarbeitung auf Grundlage § 26 Abs. 3 BDSG
• Nutzungs-/Gerätedaten (Login, Geräte-/Kioskkennungen)
• Gästedaten (Name, Firma, Anschrift, Telefon, E-Mail, Reservierungsdatum/-zeit, Personenzahl, Tisch-/Raumzuordnung, Reservierungsstatus und freiwillige Anmerkungen)
• Gutscheindaten (Käufer- und Empfängername, Käufer-E-Mail, Gutscheinwert, Anlass-/Grußtext, Zahlungs- und Einlösestatus)

• Verschlüsselung at rest: sensible Felder (IBAN, Steuer-ID, SV-Nummer) und hochgeladene Dokumente AES-256-GCM-verschlüsselt
• Verschlüsselung in transit: TLS/HTTPS für sämtliche Verbindungen
• Zugriffskontrolle: rollenbasiert (Mitarbeiter/Admin/Superadmin), Passwörter als bcrypt-Hash, Mandantentrennung pro Betrieb (serverseitige Tenant-Prüfung)
• Mandantentrennung: logische Trennung je Betrieb; Row-Level-Security auf sensiblen Tabellen
• Angriffsschutz: Brute-Force-/Rate-Limit beim Login, Security-Header, eingeschränkte CORS-Herkünfte
• Protokollierung: Audit-Log für sicherheitsrelevante und ändernde Aktionen
• Datenhygiene/Löschung: rollen- und datenartbezogene Lösch- oder Rückgabeprozesse nach Weisung und Vertragsende; Lösch-/Anonymisierungsprotokoll
• Hosting: Datenbank und Datei-Speicher in der EU (Irland, AWS eu-west-1); Anwendungs-Hosting EU-West (Amsterdam); weitere Verarbeiter siehe Anlage 3
• Verfügbarkeit und Wiederherstellbarkeit: tägliche vollständige Sicherung von Datenbank und Dateien, AES-256-verschlüsselt und bei einem anderen Anbieter als dem Datenbankbetrieb abgelegt; Aufbewahrung 14 Tagesstände und 12 Monatsstände; jeder Lauf wird automatisch auf Lesbarkeit geprüft, ausbleibende Sicherungen lösen einen Alarm aus; zusätzlich Tagessicherungen des Datenbankanbieters; Wiederherstellbarkeit wird mindestens vierteljährlich real erprobt

Hinweis zur KI-gestützten Wartung. Für Fehlersuche, Datenkorrekturen auf Weisung und die Weiterentwicklung der Anwendung setzen wir KI-gestützte Entwicklungswerkzeuge ein, die Daten an Anthropic PBC (USA) übermitteln können. Dabei werden vorrangig Strukturangaben, Zählwerte und technische Kennungen ohne Personenbezug verarbeitet. Klartext-Daten von Beschäftigten werden nur bei konkretem Anlass und ohne besondere Kategorien nach Art. 9 DSGVO verarbeitet; jeder solche Zugriff wird vorab protokolliert (Zeitpunkt, handelnde Person, Werkzeug, betroffener Betrieb, Zweck, Umfang) und ist dem Kunden auf Anfrage nachzuweisen.