Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragspartner, Geltungsbereich, Rangfolge

(1) Dieser Vertrag wird geschlossen zwischen dem Kunden von SL-UP (nachfolgend „Auftraggeber“) und

Jörg Lortz, Einzelunternehmen, Friedhofstr. 2a, 63500 Seligenstadt, E-Mail: [email protected] (nachfolgend „Auftragsverarbeiter“).

(2) Er gilt für jede Nutzung von SL-UP durch den Auftraggeber, unabhängig davon, ob er SL-UP kostenlos oder in einem entgeltlichen Tarif nutzt (gemeinsam „Hauptvertrag“). SL-UP wird nur Unternehmern mit Sitz in Deutschland angeboten; für die Verarbeitung gelten die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG).

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen für den Umgang mit personenbezogenen Daten die Regelungen dieses Vertrags vor. Die Anlagen sind Bestandteil dieses Vertrags.

§ 2 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Auftraggeber SL-UP als Software zur Nutzung über das Internet bereit (Urlaubs- und Abwesenheitsverwaltung, Zeiterfassung, Schicht- und Personaleinsatzplanung sowie die weiteren im Hauptvertrag beschriebenen Funktionen) und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers.

(2) Der Vertrag beginnt mit seinem Abschluss und läuft so lange wie der Hauptvertrag. Endet der Hauptvertrag, gelten die Pflichten aus diesem Vertrag fort, bis alle Daten des Auftraggebers nach § 13 gelöscht oder zurückgegeben sind.

§ 3 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Auswerten, Übermitteln an die vom Auftraggeber bestimmten Empfänger, Sichern, Wiederherstellen und Löschen von Daten, jeweils soweit für die Bereitstellung von SL-UP nötig.

(2) Zweck: Bereitstellung, Betrieb, Absicherung, Wartung und Support von SL-UP, insbesondere:

1. Verwaltung von Urlaub und sonstigen Abwesenheiten einschließlich Anträgen, Genehmigungen und Vertretungen,
2. Zeiterfassung (Stempeluhr, Pausen, Arbeitszeitkonten) und Leistungszeiten,
3. Schicht- und Personaleinsatzplanung, Schichttausch,
4. Auswertungen, Exporte und Jahresabschlüsse,
5. Benutzer- und Rechteverwaltung, Anmeldung, Zwei-Faktor-Anmeldung,
6. Benachrichtigungen per E-Mail, in der Anwendung und per Push-Mitteilung,
7. öffentliche Terminbuchung, sofern der Auftraggeber dieses Modul nutzt,
8. vom Auftraggeber eingerichtete Anbindungen (Kalender-Abonnement, Chat-Benachrichtigungen, Webhooks, Programmierschnittstelle),
9. Protokollierung zur Nachvollziehbarkeit und Sicherheit, Datensicherung und Wiederherstellung.

(3) Datenarten

1. Stammdaten: Name, E-Mail-Adresse, Benutzername, Personalnummer, Geburtstag (optional), Abteilung, Rolle, Vorgesetzte, Standort, Bundesland für Feiertage,
2. Beschäftigungsdaten: Eintrittsdatum, Arbeitszeitmodell, Urlaubsanspruch, Resturlaub, Feiertagsregion,
3. Abwesenheitsdaten: Art, Zeitraum und Status von Abwesenheiten, Notizen, Genehmigungsverlauf,
4. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Krankheitstage und andere gesundheitsbezogene Abwesenheitsarten, die der Auftraggeber anlegt (z. B. Kur, Reha, Arzttermin), sowie Nachweise und Anhänge zu Abwesenheiten (z. B. Arbeitsunfähigkeitsbescheinigungen). Diagnosen und medizinische Einzelheiten sind nicht vorgesehen und sollen weder in Notizen noch in Anhängen hinterlegt werden,
5. Zeiterfassungsdaten: Beginn, Ende, Pausen, Arbeitsort-Art (z. B. Büro, mobil), Korrekturen,
6. Standortdaten: Ortsstempel bei Leistungszeiten, nur wenn der Auftraggeber die Funktion einschaltet und die einzelne Person eingewilligt hat,
7. Planungsdaten: Schichten, Besetzungen, Wünsche, Tauschanfragen,
8. Profilfotos, sofern der Auftraggeber die Funktion nutzt,
9. Daten externer Personen bei der Terminbuchung: Name, E-Mail-Adresse, gewählter Termin, freiwillige Angaben,
10. Inhalte von Mitteilungen und Benachrichtigungen,
11. Nutzungs- und Protokolldaten: Zeitpunkte, Aktionen, gekürzte IP-Adressen, Geräte- und Browserangaben, Sitzungs- und Gerätekennungen, Push-Geräte-Token,
12. Inhalte, die der Auftraggeber im Rahmen des Supports übermittelt.

(4) Betroffene Personen

1. Beschäftigte des Auftraggebers, einschließlich Auszubildender, Aushilfen und ausgeschiedener Beschäftigter,
2. Führungskräfte, Administratoren und sonstige Nutzer des Auftraggebers,
3. externe Personen, die über die Terminbuchung des Auftraggebers einen Termin buchen,
4. Ansprechpartner des Auftraggebers im Support.

§ 4 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(2) Die Weisungen des Auftraggebers sind abschließend festgelegt in

1. diesem Vertrag und dem Hauptvertrag,
2. den Einstellungen und Handlungen, die der Auftraggeber und seine Nutzer in SL-UP vornehmen (z. B. Anlegen, Ändern, Löschen, Exportieren, Einrichten von Anbindungen),
3. Einzelweisungen in Textform an [email protected]. Weisungsberechtigt sind die Nutzer mit Administratorrolle des Auftraggebers.

(3) Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert. Offensichtlich rechtswidrige Weisungen muss er nicht ausführen.

(4) Weisungen, die über den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Änderungswunsch; § 14 gilt.

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten nur für die in § 3 genannten Zwecke und nicht für eigene Zwecke. Er nutzt sie insbesondere nicht für Werbung, nicht zum Training von Systemen künstlicher Intelligenz und gibt sie nicht an Dritte weiter, soweit dieser Vertrag (insbesondere Anlage 1) nichts anderes bestimmt. Zur Versand- und Sicherheitskontrolle (Art. 32 DSGVO) legt der Mailserver des Auftragsverarbeiters von jeder ausgehenden E-Mail eine Kopie in einem Postfach des Auftragsverarbeiters ab; ein täglicher Löschlauf entfernt Kopien nach 30 Tagen automatisch. In Datensicherungen des Hosters können Kopien bis zu deren turnusmäßiger Überschreibung verbleiben. Das betrifft alle E-Mails, die der Server versendet, auch Systemmails und E-Mails mit Daten des Auftraggebers (z. B. Wochenübersichten mit Namen, Abwesenheiten und Geburtstagen, Antrags-, Genehmigungs- und Krankmeldungsmails, Einladungen, Buchungsmeldungen der Terminbuchung). Das ist Teil der in § 3 genannten Leistung (Betrieb und Absicherung des E-Mail-Versands). Die Kopien dienen nur dazu, Zustellprobleme, Fehlversand und Missbrauch zu erkennen und aufzuklären; dafür wird der Inhalt benötigt, da sich Fehlversand und manipulierte Inhalte nur am Inhalt der Nachricht erkennen lassen. Zugriff darauf hat nur der Auftragsverarbeiter selbst (Löschung siehe § 13 Abs. 1).

(2) Er gewährleistet, dass alle Personen, die er zur Verarbeitung einsetzt, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie die Daten nur nach seiner Anweisung verarbeiten (Art. 28 Abs. 3 Satz 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Pflicht besteht nach Ende der Tätigkeit fort.

(3) Die Verarbeitung findet in Rechenzentren in Deutschland statt. Ausnahmen ergeben sich nur aus Anlage 1 und § 8.

(4) Er trifft die technischen und organisatorischen Maßnahmen nach § 9.

(5) Ansprechpartner für Datenschutz beim Auftragsverarbeiter ist Jörg Lortz, [email protected]. Ist ein Datenschutzbeauftragter benannt, teilt der Auftragsverarbeiter dessen Kontaktdaten dem Auftraggeber mit und nennt sie im Impressum und in der Datenschutzerklärung.

(6) Er informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Vertrag betreffen, sowie über Anfragen von Behörden oder Gerichten auf Herausgabe von Daten des Auftraggebers, soweit ihm dies rechtlich erlaubt ist.

§ 6 Zugriffe durch den Auftragsverarbeiter (Support und Betrieb)

(1) Grundsatz. Der Auftragsverarbeiter greift auf Daten des Auftraggebers nur zu, soweit dies für Betrieb, Sicherheit, Fehlerbehebung oder Support erforderlich ist. Zugriffe erfolgen nur durch Jörg Lortz oder von ihm schriftlich zur Vertraulichkeit verpflichtete Personen.

(2) Support-Ansicht. Zur Bearbeitung einer Support-Anfrage des Auftraggebers oder zur Behebung einer Störung kann der Auftragsverarbeiter die Anwendung so ansehen, wie ein bestimmter Nutzer des Auftraggebers sie sieht. Diese Support-Ansicht

1. ist zeitlich begrenzt und endet automatisch,
2. ist technisch auf lesende Vorgänge beschränkt,
3. wird mit Zeitpunkt und betroffenem Nutzerkonto protokolliert, und zwar im Protokoll des Mandanten und zusätzlich in einem Betreiberprotokoll, das der Auftraggeber nicht löschen kann.

Der Auftraggeber erhält auf Anfrage innerhalb von zehn Arbeitstagen eine Aufstellung aller Support-Zugriffe der letzten zwölf Monate; soweit die Protokollansicht für seine Administratoren freigeschaltet ist, kann er sie dort auch selbst einsehen. Eine Benachrichtigung per E-Mail bei jedem einzelnen Zugriff ist nicht vereinbart.

(3) Eingriffe auf Weisung oder zur Gefahrenabwehr. Ändernde Eingriffe in Daten des Auftraggebers außerhalb der Support-Ansicht (z. B. Wiederherstellen eines früheren Datenstands, Löschen oder Sperren eines Nutzerkontos, Zurücksetzen der Zwei-Faktor-Anmeldung, Wiederherstellen aus einer Datensicherung, Export auf Anforderung) nimmt der Auftragsverarbeiter nur vor

1. auf Weisung des Auftraggebers in Textform, oder
2. ohne Weisung, wenn dies erforderlich ist, um eine Gefahr für die Sicherheit der Daten oder des Dienstes abzuwenden oder einen vom Auftragsverarbeiter verursachten Fehler zu beheben. In diesem Fall informiert er den Auftraggeber unverzüglich in Textform.

(4) Zugriffe auf Datensicherungen erfolgen nur zur Wiederherstellung, zur Prüfung ihrer Lesbarkeit oder auf Weisung des Auftraggebers.

§ 7 Unterauftragsverarbeiter

(1) Allgemeine Genehmigung. Der Auftraggeber genehmigt die Beauftragung der in Anlage 1 Teil A genannten Unterauftragsverarbeiter. Er erteilt außerdem die allgemeine Genehmigung, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende zu ersetzen, nach Maßgabe der folgenden Absätze (Art. 28 Abs. 2 DSGVO).

(2) Auswahl und Vertrag. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig nach ihrer Eignung, insbesondere ihren technischen und organisatorischen Maßnahmen, aus. Er schließt mit jedem einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag (Art. 28 Abs. 4 DSGVO). Bei großen Anbietern mit einheitlichen Vertragsbedingungen genügen deren Datenverarbeitungsbedingungen, wenn sie ein gleichwertiges Schutzniveau sicherstellen. Auf Anfrage stellt er dem Auftraggeber die datenschutzrelevanten Vertragsbestandteile zur Verfügung; Geschäftsgeheimnisse und Preise darf er schwärzen.

(3) Mitteilung. Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter den Auftraggeber mindestens 30 Tage vorher durch einen Hinweis im Administrationsbereich von SL-UP und auf der Seite sl-up.com/trust.php. Die Mitteilung nennt Name und Sitz des Unterauftragsverarbeiters, die Leistung, die betroffenen Daten, den Ort der Verarbeitung und gegebenenfalls die Garantie für eine Drittlandübermittlung. Anlage 1 wird zum selben Zeitpunkt mit dem geplanten Datum der Änderung ergänzt.

(4) Einspruch. Der Auftraggeber kann der Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung in Textform an [email protected] widersprechen, wenn er einen sachlichen, datenschutzrechtlichen Grund hat. Ohne Einspruch bleibt es bei der allgemeinen Genehmigung nach Absatz 1.

(5) Folgen eines Einspruchs. Die Parteien suchen dann gemeinsam nach einer Lösung, z. B. einer Konfiguration, durch die der neue Unterauftragsverarbeiter keine Daten des Auftraggebers erhält. Finden sie innerhalb von 14 Tagen keine Lösung, kann der Auftragsverarbeiter die Änderung für den Auftraggeber unterlassen, oder der Auftraggeber kann den Hauptvertrag mit Wirkung zum Zeitpunkt der Änderung außerordentlich kündigen. Im Voraus bezahlte Entgelte für die Zeit nach Vertragsende werden anteilig erstattet. Bis zur Kündigung setzt der Auftragsverarbeiter den neuen Unterauftragsverarbeiter für den Auftraggeber nicht ein, soweit das technisch möglich ist.

(6) Dringende Fälle. Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden, weil er seine Leistung einstellt, insolvent wird oder ein erhebliches Sicherheitsrisiko besteht, darf der Auftragsverarbeiter den Ersatz vor Ablauf der Frist einsetzen. Er informiert den Auftraggeber dann unverzüglich; Absätze 4 und 5 gelten entsprechend mit Fristbeginn ab Zugang dieser Mitteilung.

(7) Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen der Dritte keinen Zugriff auf Daten des Auftraggebers erhält, sowie Dienste, die der Auftraggeber oder seine Nutzer selbst auswählen und einrichten (Anlage 1 Teil B).

(8) Der Auftragsverarbeiter haftet gegenüber dem Auftraggeber dafür, dass seine Unterauftragsverarbeiter ihre Datenschutzpflichten erfüllen (Art. 28 Abs. 4 Satz 2 DSGVO).

§ 8 Übermittlungen in Drittländer

(1) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur durch die in Anlage 1 dafür genannten Unterauftragsverarbeiter und nur unter den Voraussetzungen der Art. 44 bis 49 DSGVO statt.

(2) Grundlage ist bei Empfängern, die unter dem EU-US Data Privacy Framework zertifiziert sind, der Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (Art. 45 DSGVO). Zusätzlich oder bei fehlender Zertifizierung gelten die Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO), bei Übermittlungen zwischen Auftragsverarbeiter und Unterauftragsverarbeiter in Modul 3. Welche Grundlage für welchen Unterauftragsverarbeiter gilt, nennt Anlage 1.

(3) Fällt eine Grundlage weg (z. B. durch eine Entscheidung des Gerichtshofs der Europäischen Union zum Data Privacy Framework), stellt der Auftragsverarbeiter die Übermittlung unverzüglich auf eine andere zulässige Grundlage um oder stellt sie ein und informiert den Auftraggeber. § 7 Abs. 5 gilt entsprechend.

§ 9 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 (sl-up.com/tom.php) beschriebenen Maßnahmen nach Art. 32 DSGVO. Sie berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie das Risiko für die Rechte der betroffenen Personen, insbesondere wegen der Gesundheitsdaten nach § 3 Abs. 3 Nr. 4 und der Maßnahmen nach § 22 Abs. 2 BDSG.

(2) Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und passt sie an. Er darf sie durch gleichwertige oder bessere Maßnahmen ersetzen, ohne dass dies eine Vertragsänderung ist; das Schutzniveau darf nicht sinken. Wesentliche Änderungen dokumentiert er in Anlage 2.

(3) Kein technisches System bietet vollständige Sicherheit. Der Auftragsverarbeiter schuldet die Maßnahmen nach Anlage 2 und ein dem Risiko angemessenes Schutzniveau, keinen bestimmten Erfolg.

§ 10 Unterstützung des Auftraggebers

(1) Betroffenenrechte. Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Dazu stellt SL-UP Funktionen zum Einsehen, Berichtigen, Exportieren und Löschen von Daten bereit. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.

(2) Weitere Pflichten. Er unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

(3) Datenschutz-Folgenabschätzung. Für die Verarbeitung von Gesundheits- und Beschäftigtendaten hat der Auftraggeber als Verantwortlicher zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist (Art. 35 DSGVO). Der Auftragsverarbeiter stellt dafür auf Anfrage an [email protected] eine Vorlage mit Angaben zu SL-UP bereit.

§ 11 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er davon Kenntnis erlangt hat (Art. 33 Abs. 2 DSGVO), damit der Auftraggeber die Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO einhalten kann. Die Meldung geht in Textform an die E-Mail-Adresse des Lizenzadministrators.

(2) Die Meldung enthält, soweit bekannt,

1. eine Beschreibung der Art der Verletzung, der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
2. Namen und Kontaktdaten einer Anlaufstelle,
3. die wahrscheinlichen Folgen,
4. die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.

Was noch nicht bekannt ist, reicht der Auftragsverarbeiter ohne unangemessene Verzögerung schrittweise nach.

(3) Ob eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und eine Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) erforderlich ist, entscheidet der Auftraggeber als Verantwortlicher; zuständig ist die für ihn zuständige Aufsichtsbehörde. Der Auftragsverarbeiter unterstützt ihn dabei und meldet nicht selbst im Namen des Auftraggebers, es sei denn, der Auftraggeber weist ihn dazu an.

(4) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Abmilderung möglicher Folgen und dokumentiert den Vorfall.

§ 12 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Den Nachweis erbringt der Auftragsverarbeiter vorrangig durch Unterlagen: diesen Vertrag mit Anlagen, die Beschreibung der Maßnahmen, schriftliche Auskünfte auf Fragebögen des Auftraggebers sowie Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate der Rechenzentrumsbetreiber).

(3) Reichen die Unterlagen im Einzelfall nicht aus, kann der Auftraggeber eine Überprüfung vor Ort oder per Videokonferenz verlangen. Sie ist mindestens 30 Tage vorher in Textform anzukündigen, findet während der üblichen Geschäftszeiten statt, darf den Betrieb nicht unverhältnismäßig stören und höchstens einmal im Kalenderjahr stattfinden, es sei denn, es besteht ein konkreter Anlass (z. B. eine Datenschutzverletzung oder eine Anordnung der Aufsichtsbehörde). Prüfer müssen zur Verschwiegenheit verpflichtet sein und dürfen nicht im Wettbewerb mit dem Auftragsverarbeiter stehen. Daten anderer Kunden und Sicherheitsgeheimnisse, deren Offenlegung die Sicherheit anderer Kunden gefährden würde, werden nicht offengelegt; hierüber ist eine angemessene Zusammenfassung zu geben.

(4) Die Rechenzentren werden von Unterauftragsverarbeitern betrieben. Eine Besichtigung richtet sich nach deren Bedingungen; an ihre Stelle treten in der Regel deren Prüfberichte und Zertifikate.

(5) Rechte der Aufsichtsbehörden bleiben unberührt.

§ 13 Löschung und Rückgabe

(1) Während der Laufzeit entscheidet der Auftraggeber, welche Daten er speichert und wann er sie löscht. SL-UP löscht zusätzlich automatisch:

1. Anhänge zu Abwesenheiten (z. B. Arbeitsunfähigkeitsbescheinigungen) 24 Monate nach dem Hochladen,
2. Notizen zu Abwesenheiten zwei Jahre nach Ende der Abwesenheit,
3. Abwesenheiten, Zeiteinträge und Schichten zehn Jahre nach ihrem Ende,
4. Stammdaten deaktivierter Benutzerkonten, die seit drei Jahren nicht mehr geändert wurden und zu denen keine Abwesenheiten der letzten sieben Jahre vorliegen (Pseudonymisierung),
5. Kopien ausgehender E-Mails im Postfach des Auftragsverarbeiters (§ 5 Abs. 1) durch einen täglichen Löschlauf nach 30 Tagen; in Datensicherungen des Hosters können sie bis zu deren turnusmäßiger Überschreibung verbleiben,
6. weitere Daten nach den in Anlage 2 genannten Fristen.

Bis zum Ablauf dieser Fristen bleiben Abwesenheitseinträge einschließlich ihrer Art (z. B. „Krankheit“) gespeichert, sofern der Auftraggeber sie nicht vorher löscht. Eine frühere automatische Löschung oder Anonymisierung krankheitsbezogener Abwesenheiten findet derzeit nicht statt; über eine kürzere Speicherdauer entscheidet der Auftraggeber als Verantwortlicher. Die Löschläufe finden regelmäßig, teils monatlich statt; die tatsächliche Löschung kann sich deshalb um bis zu einen Monat verschieben.

(2) Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten bis zum Ablauf des im Hauptvertrag (AGB §§ 17 und 18) vorgesehenen Abrufzeitraums (mindestens 30 Tage) über die Exportfunktionen in gängigen, maschinenlesbaren Formaten herunterladen; dies ist die Rückgabe im Sinne von Art. 28 Abs. 3 Satz 2 lit. g DSGVO. Datenkategorien, die nicht über die Exportfunktionen abrufbar sind, stellt der Auftragsverarbeiter auf Anforderung in einem gängigen, maschinenlesbaren Format bereit.

(3) Nach Ablauf des Abrufzeitraums löscht der Auftragsverarbeiter das Kundenkonto. Die Daten des Auftraggebers werden danach in einem monatlichen Löschlauf frühestens 30 Tage und spätestens zwei Monate nach der Löschung des Kundenkontos endgültig aus dem laufenden System entfernt. In Datensicherungen enthaltene Daten werden im Rahmen der regelmäßigen Rotation der Sicherungen überschrieben, spätestens zwölf Monate nach der Löschung im laufenden System; bis dahin werden sie nur für eine Wiederherstellung genutzt und nicht in das laufende System zurückgespielt.

(4) Wechselt der Auftraggeber nur von einem entgeltlichen Tarif in die kostenlose Nutzung, endet der Hauptvertrag nicht; die Daten bleiben erhalten.

(5) Eine Pflicht zur Speicherung nach Unionsrecht oder deutschem Recht bleibt unberührt. Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet (z. B. Vertrags- und Rechnungsdaten des Auftraggebers), fallen nicht unter diesen Vertrag.

(6) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 14 Vergütung

(1) Ohne gesonderte Vergütung erbringt der Auftragsverarbeiter: die Selbstbedienungsfunktionen in SL-UP (Export, Berichtigung, Löschung), Export und Wechselunterstützung nach dem Hauptvertrag, Meldungen nach § 11, die Unterlagen nach § 12 Abs. 2, Mitteilungen nach §§ 7 und 8 sowie jede Unterstützung, die durch einen Pflichtverstoß des Auftragsverarbeiters oder seiner Unterauftragsverarbeiter veranlasst ist.

(2) Sonstige Unterstützungsleistungen nach §§ 10 und 12 (z. B. individuelle Fragebögen, Prüfungen nach § 12 Abs. 3, Mitwirkung an einer Datenschutz-Folgenabschätzung über die Vorlage hinaus, Einzelweisungen nach § 4 Abs. 4) kann der Auftragsverarbeiter nach Aufwand zu dem Stundensatz berechnen, der im Hauptvertrag oder in der Preisliste genannt ist, ersatzweise zu einem angemessenen Stundensatz. Er nennt den voraussichtlichen Aufwand vorher in Textform. Bis zu zwei Stunden im Kalenderjahr sind kostenfrei.

(3) Die Vergütung darf die Wahrnehmung der Rechte des Auftraggebers nach Art. 28 DSGVO nicht unzumutbar erschweren.

§ 15 Haftung

(1) Für Schäden, die einer betroffenen Person entstehen, haften die Parteien nach Art. 82 DSGVO. Diese Haftung wird durch diesen Vertrag nicht beschränkt.

(2) Im Verhältnis zwischen den Parteien trägt jede Partei den Teil eines Schadens oder Schadenersatzes, der ihrem Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO). Der Auftragsverarbeiter ist nur verantwortlich, wenn er seine speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO oder diesem Vertrag nicht erfüllt oder rechtmäßige Weisungen des Auftraggebers missachtet oder gegen sie gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).

(3) Im Übrigen gelten für Ansprüche zwischen den Parteien aus diesem Vertrag die Haftungsregeln des Hauptvertrags (AGB § 19). Sie gelten nicht bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit, bei Ansprüchen nach dem Produkthaftungsgesetz und soweit eine Garantie übernommen wurde.

(4) Ergänzend zu einer Freistellung nach dem Hauptvertrag stellt der Auftraggeber den Auftragsverarbeiter von Ansprüchen betroffener Personen frei, soweit diese darauf beruhen, dass der Auftraggeber schuldhaft Daten ohne Rechtsgrundlage in SL-UP verarbeitet, Weisungen erteilt, die gegen Datenschutzrecht verstoßen, oder seine Pflichten nach § 16 verletzt. Dies gilt nicht, soweit der Auftragsverarbeiter den Schaden mitverursacht hat; dann gilt Absatz 2.

§ 16 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen, die Information der Beschäftigten (Art. 13 DSGVO), etwaige Einwilligungen (z. B. für Ortsstempel), die Beteiligung des Betriebsrats und für die Prüfung einer Datenschutz-Folgenabschätzung.

(2) Er legt in SL-UP keine Daten ab, die für die Zwecke nach § 3 nicht erforderlich sind, insbesondere keine Diagnosen.

(3) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Er hält die E-Mail-Adresse des Lizenzadministrators aktuell. Mitteilungen nach diesem Vertrag gelten als zugegangen, wenn sie an diese Adresse versandt wurden und keine Unzustellbarkeitsnachricht eingeht.

§ 17 Wechsel des Vertragspartners

(1) Für Verträge, die mit Software und Büroservice Christine Schremmer, Odenwaldring 13, 63500 Seligenstadt, geschlossen wurden, tritt Jörg Lortz mit Wirkung zu dem 10.10.2026 an deren Stelle (Vertragsübernahme nach § 11 der Fassung 1.3). Auftraggeber, die damit nicht einverstanden sind, können der Übernahme bis zum 10.11.2026 per E-Mail an [email protected] widersprechen. Technische und organisatorische Maßnahmen, Speicherort und Unterauftragsverarbeiter haben sich durch den Wechsel nicht geändert.

(2) Für diese Auftraggeber gilt die von ihnen angenommene frühere Fassung weiter, bis ein Administrator diese Fassung 2.1 annimmt (§ 18 Abs. 2).

(3) Wer mit dem Wechsel nicht einverstanden ist, kann den Hauptvertrag jederzeit beenden und seine Daten zuvor über die Exportfunktionen herunterladen; § 13 gilt.

(4) Die früheren Fassungen bleiben im Archiv abrufbar: AVV 2.0, AVV 1.3 und AVV 1.2.

(5) Künftige Übertragungen des Vertrags einschließlich dieses Vertrags richten sich nach AGB § 22.

§ 18 Abschluss, Änderungen, Schlussbestimmungen

(1) Abschluss. Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), indem ein Administrator des Auftraggebers ihn in SL-UP annimmt. SL-UP fordert Administratoren des Auftraggebers bei der Anmeldung dazu auf, solange noch keine Fassung angenommen ist. Als Nachweis speichert der Auftragsverarbeiter Zeitpunkt, annehmende Person und Fassung jeder Annahme in einer Annahmehistorie, die bei späteren Annahmen erhalten bleibt. Der Vertrag kann jederzeit unter sl-up.com/avv.php abgerufen und als PDF gespeichert werden.

(2) Änderungen. Eine neue Fassung dieses Vertrags kann ein Administrator des Auftraggebers in SL-UP annehmen. Bis zur Annahme gilt für den Auftraggeber die zuletzt angenommene Fassung weiter. Änderungen von Anlage 1 richten sich nach § 7, Änderungen von Anlage 2 nach § 9 Abs. 2.

(3) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(4) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(5) Es gilt deutsches Recht. Für Gerichtsstand und Erfüllungsort gilt AGB § 26.

Auftragsverarbeiter:
Jörg Lortz
Friedhofstr. 2a, 63500 Seligenstadt
E-Mail: [email protected]

Anlage 1 – Unterauftragsverarbeiter

gehört zu AVV Version 2.1 · Stand: Oktober 2026

Teil A – Unterauftragsverarbeiter mit Zugriff auf Daten des Auftraggebers

Diesen Unterauftragsverarbeitern hat der Auftraggeber mit Abschluss dieses Vertrags zugestimmt (§ 7 Abs. 1).

Teil B – Keine Unterauftragsverarbeiter (zur Transparenz)

Die folgenden Stellen erhalten keine Daten des Auftraggebers im Auftrag oder werden vom Auftraggeber bzw. seinen Beschäftigten selbst gewählt. Sie sind deshalb keine Unterauftragsverarbeiter im Sinne von § 7.