gem. Art. 28 DSGVO für die SaaS-Plattform SL-UP Urlaubsplaner
Archivfassung 1.1 – Stand: Juli 2026zwischen dem Kunden der SaaS-Plattform SL-UP (nachfolgend „Auftraggeber") und
Software und Büroservice Christine Schremmer
Odenwaldring 13, 63500 Seligenstadt
E-Mail: [email protected]
(nachfolgend „Auftragsverarbeiter")
Gegenstand dieses Auftragsverarbeitungsvertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform SL-UP zur Abwesenheitsverwaltung, Schichtplanung und Zeiterfassung.
Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages über die Nutzung von SL-UP. Dieser AVV endet automatisch mit Beendigung des Hauptvertrages.
Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der Erbringung der vertraglich vereinbarten SaaS-Leistungen, insbesondere:
Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:
Von der Verarbeitung betroffen sind folgende Kategorien von Personen:
Der Auftragsverarbeiter verpflichtet sich zu folgenden Maßnahmen:
Der Auftraggeber erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern gem. Art. 28 Abs. 2 DSGVO. Folgende Unterauftragsverarbeiter werden derzeit eingesetzt:
Support-Zugriff durch Identitätsübernahme. Zur technischen Kundenbetreuung können Mitarbeiter des Auftragsverarbeiters mit Superadmin-Rechten zeitlich begrenzt (maximal 30 Minuten) und ausschließlich lesend in ein Benutzerkonto des Auftraggebers wechseln. Schreibende Vorgänge sind technisch gesperrt. Jeder Zugriff wird im Audit-Log des Mandanten protokolliert und dem Lizenzadministrator unverzüglich per E-Mail angezeigt. Rechtsgrundlage: Art. 28 DSGVO in Verbindung mit diesem Vertrag.
Über beabsichtigte Änderungen bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern wird der Auftraggeber mindestens 14 Tage vorab per E-Mail informiert. Der Auftraggeber hat das Recht, gegen solche Änderungen innerhalb von 14 Tagen nach Mitteilung schriftlich Einspruch zu erheben. Wird kein Einspruch erhoben, gilt die Zustimmung als erteilt. Im Fall eines berechtigten Einspruchs, dem der Auftragsverarbeiter nicht abhelfen kann, steht dem Auftraggeber ein außerordentliches Kündigungsrecht zu.
Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten wie in diesem AVV festgelegt. Sub-AV-Verträge werden dem Auftraggeber auf Anfrage zugänglich gemacht (Art. 28 Abs. 2 Satz 2 DSGVO).
Für den Fall, dass Unterauftragsverarbeiter in Drittländern außerhalb des EWR tätig sind, werden geeignete Garantien nach Art. 44 ff. DSGVO sichergestellt (EU-US DPF und/oder EU-Standardvertragsklauseln gem. Durchführungsbeschluss 2021/914/EU). Die vollständige Sub-AV-Liste mit Garantien ist im Trust-Center einsehbar.
Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gem. Art. 32 DSGVO implementiert. Das vollständige TOM-Dokument ist einsehbar unter: sl-up.com/tom.php (auf Anfrage auch als PDF erhältlich unter [email protected]).
Physischer Schutz durch Hosting bei Key-Systems GmbH (DD24) in einem Rechenzentrum in Deutschland mit den üblichen physischen Sicherheitsmaßnahmen des Rechenzentrumsbetreibers.
Schutz vor unbefugter Systemnutzung durch individuelle Benutzerkonten mit Passwortschutz, optionale Zwei-Faktor-Authentifizierung (2FA), automatisches Session-Management mit Timeout und Sperrung nach fehlgeschlagenen Anmeldeversuchen.
Sicherstellung, dass Berechtigte nur auf die ihrer Berechtigung unterliegenden Daten zugreifen können, durch rollenbasierte Berechtigungen (Superadmin, Admin, Manager, Mitarbeiter), strenge Mandantentrennung und Prinzip der minimalen Rechte.
Schutz bei Datenübertragung durch TLS-Verschlüsselung aller Verbindungen (HTTPS) und verschlüsselte API-Kommunikation.
Kalender-Abonnements (iCal): Der Auftragsverarbeiter stellt eine Funktion bereit, mit der Abwesenheiten als Kalender-Datei abonniert werden können — wahlweise die eigenen Abwesenheiten einer Person oder, sofern der Auftraggeber dies einrichtet, die einer ganzen Abteilung. Der Abruf erfolgt ohne Anmeldung über eine Adresse mit zufälligem 256-Bit-Token, befristet und jederzeit widerrufbar; jede abonnierende Person erhält eine eigene Adresse. Krankheitsbezogene Abwesenheiten werden dabei ausnahmslos neutral als „Abwesend“ ohne Art und Notiz übertragen, sodass besondere Kategorien nach Art. 9 DSGVO nicht über diesen Weg übermittelt werden. Der Abruf erfolgt durch die vom Auftraggeber bzw. seinen Beschäftigten gewählte Kalender-Anwendung (z. B. Google, Microsoft, Apple). Diese Anbieter sind keine Unterauftragsverarbeiter des Auftragsverarbeiters im Sinne des § 6; die Entscheidung über Einrichtung und Zielsystem und damit auch über einen etwaigen Drittlandtransfer trifft der Auftraggeber als Verantwortlicher. Der Auftragsverarbeiter weist im Produkt vor dem Anlegen eines Abteilungs-Abonnements ausdrücklich hierauf hin und verlangt eine Bestätigung.
Nachvollziehbarkeit von Dateneingaben durch Audit-Log mit Protokollierung von Änderungen, Zeitstempel bei allen Datenoperationen und CSRF-Token-Schutz bei allen Schreiboperationen.
Schutz gegen zufällige Zerstörung oder Verlust durch tägliche automatisierte Backups, Monitoring der Systemverfügbarkeit und angestrebte Verfügbarkeit von 99 % im monatlichen Durchschnitt.
Getrennte Verarbeitung von Daten verschiedener Auftraggeber durch konsequente Mandantentrennung per tenant_id auf Datenbankebene, isolierte Datenbereiche pro Mandant und keine mandantenübergreifende Dateneinsicht.
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, damit der Auftraggeber die gesetzliche Meldefrist von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) einhalten kann.
Die Meldung enthält mindestens:
Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Einhaltung der Pflichten gem. Art. 32 bis 36 DSGVO, insbesondere bei:
Hinweis zur Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Der Auftraggeber ist als Verantwortlicher verpflichtet, für Verarbeitungen mit voraussichtlich hohem Risiko (insb. Gesundheitsdaten via Kranken-Absencen, AU-/Krankheitsnachweise, Abwesenheitsanhänge, Zeiterfassung und Beschäftigtendaten) eine DSFA zu prüfen bzw. durchzuführen. Der Auftragsverarbeiter stellt ein DSFA-Muster für SL-UP-Kunden aktiv im Onboarding sowie jederzeit unter [email protected] bereit (Art. 28 Abs. 3 lit. f DSGVO). Die TOM-Dokumentation und eine Liste der verarbeiteten Datenkategorien stehen im TOM-Dokument zur Verfügung.
Der Auftraggeber hat das Recht, die Einhaltung dieses AVV durch Audits oder Inspektionen (auch durch beauftragte Dritte) zu überprüfen. Der Auftragsverarbeiter stellt hierfür die erforderlichen Informationen bereit und gewährt angemessenen Zugang. Audits sind mit angemessener Vorlaufzeit anzukündigen.
Dieser Auftragsverarbeitungsvertrag tritt mit Abschluss des Hauptvertrages in Kraft und endet automatisch mit dessen Beendigung.
Bei Beendigung des Hauptvertrages wird der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers entweder zurückgeben oder datenschutzkonform löschen. Die Löschung bzw. Rückgabe erfolgt innerhalb von 30 Tagen nach Vertragsende.
Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Verlangen schriftlich.
Bestehende gesetzliche Aufbewahrungspflichten (z. B. § 147 AO für Rechnungsdaten) bleiben hiervon unberührt.
Für Auftraggeber mit Sitz in der Schweiz gilt dieser Vertrag ergänzend als Auftragsbearbeitungsvertrag im Sinne des Schweizer Datenschutzgesetzes (nDSG, in Kraft seit 01.09.2023). Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der einschlägigen Bestimmungen des nDSG, insbesondere zur Unterstützung bei der Erfüllung von Betroffenenrechten nach Art. 25 und 32 nDSG sowie zur Meldung von Datenschutzverletzungen. Zuständige Aufsichtsbehörde für Auftraggeber in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB, www.edoeb.admin.ch).
Dieser AVV wird durch die Nutzung der SaaS-Plattform SL-UP in Verbindung mit der Zustimmung zu den Allgemeinen Geschäftsbedingungen geschlossen. Er gilt als angenommen mit Beginn der Nutzung der Plattform.
Auftragsverarbeiter:
Software und Büroservice Christine Schremmer
Odenwaldring 13, 63500 Seligenstadt
E-Mail: [email protected]
Stand: Juli 2026 | Bei Fragen: [email protected]
von den Entwicklern des SL-Urlaubsplaners