Auftragsverarbeitungsvertrag (AVV)

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der SaaS-Anwendung Precoria (Personal-, Arbeitszeit- und Compliance-Verwaltung). Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Endet dieser, endet auch dieser AVV.

Art, Umfang, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Kunden, sofern nicht eine Rechtspflicht den Auftragnehmer zu anderem verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).

Die Verarbeitung erfolgt nur im Rahmen der Vereinbarungen und nach Weisung des Kunden. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Kunden; er darf die Ausführung bis zur Bestätigung aussetzen.

Vertraulichkeit: Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

Datensicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen gemäß Anlage 2 (Art. 32 DSGVO).

Unterstützung: Der Auftragnehmer unterstützt den Kunden bei Betroffenenrechten (Art. 12–23), bei Datenschutz-Folgenabschätzungen (Art. 35) sowie bei Meldepflichten (Art. 33/34) im Rahmen seiner Möglichkeiten.

Meldung von Verletzungen: Der Auftragnehmer informiert den Kunden unverzüglich über Verletzungen des Schutzes personenbezogener Daten.

Datenschutzkontakt des Auftragnehmers: datenschutz@precoria.de.

Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu. Der Auftragnehmer informiert den Kunden über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) mit angemessener Frist; der Kunde kann aus wichtigem Grund widersprechen (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer verpflichtet Unterauftragnehmer auf gleichwertige Datenschutzpflichten.

Der Auftragnehmer ist selbst Vertragspartner jedes Unterauftragsverarbeiters und dokumentiert die Vertragskette (Vertragspartner, Datum und Art der Vereinbarung nach Art. 28 Abs. 4 DSGVO, Zugriffsberechtigte). Er legt diese Dokumentation dem Kunden auf Anfrage vor. Dritte, die lediglich Zahlungen für den Auftragnehmer abwickeln, ohne Zugang zu personenbezogenen Daten zu haben, sind keine Unterauftragsverarbeiter.

Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insbesondere Standardvertragsklauseln). Betroffene Unterauftragnehmer und Transfermechanismen sind in Anlage 3 gekennzeichnet.

Der Kunde hat das Recht, die Einhaltung dieses Vertrags zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragnehmer weist die Maßnahmen nach Anlage 2 auf Anfrage nach (z. B. durch Selbstauskunft, Zertifikate oder Berichte der Unterauftragnehmer).

Nach Beendigung löscht oder gibt der Auftragnehmer die personenbezogenen Daten nach Wahl des Kunden zurück, sofern keine auf die jeweilige Partei anwendbare gesetzliche Aufbewahrungspflicht entgegensteht. Aufbewahrte Daten werden in der Verarbeitung eingeschränkt. Gesetzliche Pflichten des Kunden, etwa nach § 17 MiLoG, begründen keine eigenständige Nutzung der Daten durch den Auftragnehmer außerhalb der Weisung.

Wahlrecht und Produktivsysteme: Der Kunde kann seine Daten während der Laufzeit jederzeit vollständig exportieren. Nach Beendigung hält der Auftragnehmer die Daten 30 Tage zum Export bereit und löscht sie danach aus den Produktivsystemen. Verlangt der Kunde die Löschung früher, löscht der Auftragnehmer unverzüglich. Einzelne Löschungen, die der Kunde während der Laufzeit vornimmt oder anweist, werden im Produktivsystem sofort umgesetzt.

Sicherungskopien: Löschungen im Produktivsystem werden in Sicherungskopien nicht einzeln nachvollzogen; die Kopien laufen durch eine feste Rotation aus. Personenbezogene Daten des Kunden sind spätestens 35 Tage nach ihrer Löschung im Produktivsystem aus allen Sicherungskopien des Auftragnehmers und seiner Unterauftragsverarbeiter entfernt. Die technische Erforderlichkeit dieser Frist für die Wiederherstellbarkeit nach Art. 32 Abs. 1 lit. c DSGVO ist in der Verfahrensdokumentation des Auftragnehmers begründet und auf das notwendige Maß begrenzt.

Bis zum Auslaufen werden Sicherungskopien verschlüsselt, vom Produktivbetrieb getrennt und ohne reguläre Nutzung aufbewahrt. Ein Zugriff erfolgt nur zur Wiederherstellung nach einem Ausfall oder Sicherheitsvorfall sowie zur Prüfung der Wiederherstellbarkeit in einer abgeschotteten Umgebung, die nach der Prüfung gelöscht wird.

Wird eine Sicherungskopie in den Produktivbetrieb zurückgespielt, setzt der Auftragnehmer vor der Freigabe alle seit dem Sicherungszeitpunkt erfolgten Löschungen erneut um. Hierfür führt er ein Löschprotokoll. Das Auslaufen der Sicherungskopien wird je Sicherungslauf protokolliert; der Auftragnehmer bestätigt dem Kunden die abgeschlossene Löschung auf Anfrage in Textform.

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags/der AGB.

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Datenschutzfragen vor. Es gilt deutsches Recht.

Zweck: Personal-, Arbeitszeit- und Compliance-Verwaltung (Zeiterfassung, Schichtplanung, Urlaub/Abwesenheit, Lohnadministration, digitale Personalakte, Gefährdungsbeurteilung, Vertrags-/Dokumentenerstellung, KI-Assistenz) sowie — bei Nutzung des entsprechenden Moduls — Reservierungsverwaltung, Gästekartei und Gutscheinverkauf/-verwaltung.

Betroffene Personen: Beschäftigte des Kunden, ggf. Bewerber und ausgeschiedene Mitarbeiter sowie — bei Nutzung der Gäste- und Gutscheinfunktionen — Gäste, Reservierende, Gutschein-Käufer und Gutschein-Empfänger.

Datenkategorien:

• Stammdaten (Name, Anschrift, Kontakt, Geburtsdatum/-ort, Staatsangehörigkeit)
• Vertrags-/Vergütungsdaten (Vergütung, Verträge, Arbeitszeiten, Abwesenheiten)
• Steuer-/Sozialversicherungsdaten (Steuer-ID, Steuerklasse, SV-Nummer, Krankenkasse — verschlüsselt)
• Bankdaten (IBAN, Kontoinhaber — verschlüsselt)
• Aufenthaltsdaten (Aufenthaltstitel)
• Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten (Krankheit/Abwesenheit, IfSG-Belehrung, Schwerbehinderung), Religion (Konfession für die Lohnsteuer) — Verarbeitung auf Grundlage § 26 Abs. 3 BDSG
• Nutzungs-/Gerätedaten (Login, Geräte-/Kioskkennungen)
• Gästedaten (Name, Firma, Anschrift, Telefon, E-Mail, Reservierungsdatum/-zeit, Personenzahl, Tisch-/Raumzuordnung, Reservierungsstatus und freiwillige Anmerkungen)
• Gutscheindaten (Käufer- und Empfängername, Käufer-E-Mail, Gutscheinwert, Anlass-/Grußtext, Zahlungs- und Einlösestatus)

• Verschlüsselung at rest: sensible Felder (IBAN, Steuer-ID, SV-Nummer) und hochgeladene Dokumente AES-256-GCM-verschlüsselt
• Verschlüsselung in transit: TLS/HTTPS für sämtliche Verbindungen
• Zugriffskontrolle: rollenbasiert (Mitarbeiter/Admin/Superadmin), Passwörter als bcrypt-Hash, Mandantentrennung pro Betrieb (serverseitige Tenant-Prüfung)
• Mandantentrennung: logische Trennung je Betrieb; Row-Level-Security auf sensiblen Tabellen
• Angriffsschutz: Brute-Force-/Rate-Limit beim Login, Security-Header, eingeschränkte CORS-Herkünfte
• Protokollierung: Audit-Log für sicherheitsrelevante und ändernde Aktionen
• Datenhygiene/Löschung: rollen- und datenartbezogene Lösch- oder Rückgabeprozesse nach Weisung und Vertragsende; Lösch-/Anonymisierungsprotokoll
• Hosting: Datenbank und Datei-Speicher in der EU (Irland, AWS eu-west-1); Anwendungs-Hosting EU-West (Amsterdam); weitere Verarbeiter siehe Anlage 3
• Verfügbarkeit und Wiederherstellbarkeit: vollständige Sicherung von Datenbank und Dateien zweimal täglich (möglicher Datenverlust höchstens zwölf Stunden); jede Sicherung AES-256-verschlüsselt, der Schlüssel liegt getrennt von den Sicherungen; Ablage bei einem anderen Anbieter als dem Datenbankbetrieb sowie, ab Inbetriebnahme (angekündigt zum 10.11.2026), eine weitere verschlüsselte Kopie bei einem Anbieter in Deutschland (Anlage 3), die den Sicherungsspeicher samt Rotation spiegelt und keine eigenen Stände hält; Aufbewahrung: Sicherungen der letzten sieben Tage und ein Monatsstand, Höchstfrist für gelöschte Daten 35 Tage nach § 8; jeder Lauf prüft sich selbst (Entschlüsseln, Vollständigkeit) und wird mit Bestand protokolliert; eine Überwachung meldet ausbleibende Sicherungen und knappen Speicher; zusätzlich führt der Datenbankanbieter eigene Tagessicherungen (sieben Tage); Wiederherstellbarkeit wird mindestens vierteljährlich real erprobt und protokolliert
• Löschprotokoll: Löschungen auf Weisung und nach Vertragsende werden mit Zeitpunkt, Umfang und Bezug protokolliert; vor der Freigabe einer zurückgespielten Sicherung werden die protokollierten Löschungen erneut umgesetzt

Hinweis zur KI-gestützten Wartung. Für Fehlersuche, Datenkorrekturen auf Weisung und die Weiterentwicklung der Anwendung setzen wir KI-gestützte Entwicklungswerkzeuge ein, die Daten an Anthropic PBC (USA) übermitteln können. Dabei werden vorrangig Strukturangaben, Zählwerte und technische Kennungen ohne Personenbezug verarbeitet. Klartext-Daten von Beschäftigten werden nur bei konkretem Anlass und ohne besondere Kategorien nach Art. 9 DSGVO verarbeitet; jeder solche Zugriff wird vorab protokolliert (Zeitpunkt, handelnde Person, Werkzeug, betroffener Betrieb, Zweck, Umfang) und ist dem Kunden auf Anfrage nachzuweisen.