Auftragsverarbeitung

Die AVV regelt, wie primadipla Beschäftigtendaten im Auftrag Ihrer Einrichtung verarbeitet. Vertragspartner sind der Anbieter und Ihre Einrichtung. Mitarbeitende müssen diese Vereinbarung nicht selbst abschließen.

Vorbereiteter Entwurf – noch kein Vertragsangebot. Der Anbieter muss die tatsächlichen Schutzmaßnahmen, Dienstleister und Löschfristen ergänzen und prüfen, bevor die AVV abgeschlossen werden kann.

Vereinbarung zur Auftragsverarbeitung

Nach Art. 28 Abs. 3 und 9 DSGVO · Vertragsmuster vom 27. Oktober 2026

1. Parteien, Gegenstand und Dauer

Auftraggeber und Verantwortlicher ist die in der elektronischen Annahme bezeichnete Einrichtung. Auftragnehmer und Auftragsverarbeiter ist der in der Anbieteranlage bezeichnete Betreiber von primadipla. Diese Vereinbarung ergänzt den Vertrag über die webbasierte Dienstplanung und gilt für die gesamte Verarbeitung im Auftrag einschließlich Rückgabe und Löschung nach Vertragsende. Die Anlagen und der dokumentierte elektronische Abschluss sind Bestandteil dieser Vereinbarung. Bei datenschutzrechtlichen Widersprüchen geht diese Vereinbarung den AGB vor.

2. Art, Zweck und Umfang

Der Auftrag umfasst die Speicherung, Organisation, Anzeige, Änderung, automatische Erstellung von Planungsvorschlägen, Veröffentlichung und den Export von Dienstplänen sowie die Verwaltung von Arbeitsbereichen, Benutzerkonten, Qualifikationen, Arbeitszeiten, Wünschen, Abwesenheiten, Zeitkorrekturen, internen Nachrichten und Änderungsprotokollen. Dazu gehören notwendige Wartung, Fehlerbehebung, Datensicherung und Wiederherstellung. Eine Nutzung der Beschäftigtendaten für Werbung, eigene Analysen außerhalb der Leistung oder das Training externer KI-Modelle ist nicht beauftragt.

3. Betroffene Personen und Datenarten

Betroffen sind Beschäftigte, Auszubildende, Leitungskräfte, Administratoren und sonstige von der Einrichtung berechtigt angelegte Personen. Verarbeitet werden insbesondere Name, dienstliche Kontaktdaten, Konto-/Rollen- und Bereichszuordnung, Passwort-Hashes, Qualifikationen, Beschäftigungsumfang, planungsrelevante Alters-/U18-Angaben, Dienstzeiten, Pausen, Urlaub, Wünsche, Zeitkonten, Genehmigungen, Nachrichten sowie Zugriffs- und Änderungsnachweise. Krankheitsbedingte Abwesenheiten können Gesundheitsdaten nach Art. 9 DSGVO darstellen. Diagnosen, Patientendaten und nicht erforderliche sensible Freitexte sind nicht Gegenstand des Auftrags und dürfen nicht eingegeben werden.

4. Verantwortung und Weisungen

Die Einrichtung bestimmt Zwecke, Rechtsgrundlagen, zulässige Daten, Berechtigungen und Aufbewahrungsfristen und erfüllt Informationspflichten gegenüber Beschäftigten. Sie prüft insbesondere die Voraussetzungen für Gesundheitsdaten und Beschäftigtendatenschutz. Der Anbieter verarbeitet ausschließlich auf dokumentierte Weisung, auch bei Übermittlungen. Vertrag und bestimmungsgemäße Bedienung sind dokumentierte Weisungen. Weitere Weisungen erfolgen über den benannten Kontakt in Textform; mündliche Eilweisungen sind unverzüglich zu dokumentieren. Bei einer gesetzlichen Verarbeitungspflicht informiert der Anbieter vorher, soweit das Gesetz dies nicht untersagt. Hält er eine Weisung für rechtswidrig, informiert er unverzüglich und setzt deren betroffenen Teil bis zur Klärung aus.

5. Vertraulichkeit und Sicherheit

Der Anbieter bindet jede zugriffsberechtigte Person an Vertraulichkeit oder stellt eine angemessene gesetzliche Verschwiegenheitspflicht sicher. Zugriff wird auf erforderliche Aufgaben begrenzt und bei Wegfall entzogen. Er trifft unter Berücksichtigung von Risiken und Gesundheitsbezug geeignete Maßnahmen nach Art. 32 DSGVO. Die tatsächlichen technischen und organisatorischen Maßnahmen sind in der Anlage beschrieben. Änderungen dürfen das vereinbarte Schutzniveau nicht absenken; wesentliche Änderungen werden dokumentiert und mitgeteilt. Bei besonderen Risiken stimmen die Parteien zusätzliche Maßnahmen vor der betroffenen Verarbeitung ab.

6. Unterauftragsverarbeiter und Verarbeitungsorte

Die in der Anlage konkret bezeichneten Unterauftragsverarbeiter sind genehmigt. Für spätere Hinzuziehung oder Ersetzung besteht eine allgemeine schriftliche Genehmigung unter folgenden Bedingungen: Der Anbieter informiert die Einrichtung mindestens 30 Tage vor der beabsichtigten Änderung in Textform mit Name, Aufgabe und Verarbeitungsort. Innerhalb dieses Zeitraums kann die Einrichtung aus begründeten Datenschutzgründen widersprechen. Bis zur Klärung wird der neue Dienstleister nicht für ihre Daten eingesetzt. Ist keine datenschutzgerechte Alternative möglich, können die Parteien die betroffene Leistung vor dem Wechsel beenden. Der Anbieter verpflichtet Unterauftragsverarbeiter mindestens zu denselben Datenschutzpflichten und bleibt für deren Erfüllung gegenüber der Einrichtung verantwortlich.

Verarbeitung und Fernzugriffe erfolgen nur an den vereinbarten Orten in EU/EWR. Drittlandverarbeitung erfordert eine vorherige dokumentierte Weisung beziehungsweise Vereinbarung und die Voraussetzungen der Art. 44 ff. DSGVO. Zahlungsdienstleister für eigene Abrechnungszwecke sind nicht automatisch Unterauftragsverarbeiter für Beschäftigtendaten. Weitere Dienstleister mit möglichem Zugriff, insbesondere E-Mail-, Support- und Backupdienste, müssen in der Anlage vollständig benannt sein.

7. Unterstützung und Betroffenenrechte

Die Einrichtung bleibt Anlaufstelle für Betroffenenrechte. Der Anbieter leitet Anfragen betroffener Personen unverzüglich weiter und beantwortet sie nur auf Weisung oder aufgrund gesetzlicher Pflicht. Unter Berücksichtigung von Art der Verarbeitung und verfügbaren Informationen unterstützt er mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Datenschutz-Folgenabschätzung und vorheriger Konsultation. Er stellt hierfür erforderliche Informationen rechtzeitig bereit. Eine gesonderte Vergütungsabsprache darf die gesetzliche Unterstützung nicht verhindern.

8. Datenschutzverletzungen

Der Anbieter meldet der Einrichtung eine ihm bekannt gewordene Verletzung des Schutzes ihrer personenbezogenen Daten unverzüglich an den vereinbarten Kontakt. Er wartet nicht auf eine vollständige Untersuchung. Soweit verfügbar nennt er Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, Kontaktstelle und ergriffene beziehungsweise geplante Gegenmaßnahmen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Er dokumentiert den Vorfall, sichert erforderliche Nachweise und unterstützt die Einrichtung bei Meldungen und Benachrichtigungen. Eigene gesetzliche Pflichten bleiben unberührt.

9. Nachweise und Kontrollen

Der Anbieter stellt alle Informationen bereit, die den Nachweis der Pflichten nach Art. 28 DSGVO ermöglichen, und ermöglicht Überprüfungen einschließlich Inspektionen durch die Einrichtung oder einen von ihr beauftragten, zur Vertraulichkeit verpflichteten Prüfer. Routinekontrollen werden mit angemessener Vorankündigung so abgestimmt, dass andere Kundendaten geschützt bleiben. Bei konkretem Anlass oder aufsichtsbehördlicher Anordnung gelten keine unangemessenen Verzögerungen. Geeignete vorhandene Nachweise können genutzt werden, ersetzen notwendige Kontrollen jedoch nicht. Der Anbieter unterstützt zuständige Aufsichtsbehörden im gesetzlichen Umfang.

10. Rückgabe, Löschung und Vertragsende

Nach Ende der Leistung gibt der Anbieter nach Wahl der Einrichtung deren personenbezogene Daten zurück oder löscht sie einschließlich vorhandener Kopien, soweit kein Gesetz eine weitere Speicherung verlangt. Format, sichere Übergabe, operative Fristen und der Umgang mit Sicherungskopien sind vor Abschluss in der Anlage festzulegen. Gesetzlich aufbewahrte Daten werden zweckgebunden gesperrt und nach Fristende gelöscht. Bis zur regulären Überschreibung noch vorhandene Sicherungskopien bleiben geschützt, werden nicht produktiv genutzt und nur zur Wiederherstellung im Notfall verarbeitet; dabei werden zuvor angewiesene Löschungen erneut angewendet. Der Anbieter dokumentiert die Durchführung und bestätigt sie auf Anfrage. Diese Regelung ersetzt keine tatsächliche Löschung durch die Software oder den Betreiber.

11. Eigene Verarbeitung und Schlussbestimmungen

Für eigene Vertrags-, Rechnungs- und gesetzliche Nachweisdaten handelt der Anbieter als eigener Verantwortlicher gemäß Datenschutzerklärung. Die Haftung nach Art. 82 DSGVO und zwingende gesetzliche Rechte werden durch diese Vereinbarung nicht eingeschränkt. Änderungen bedürfen einer dokumentierten Vereinbarung; eine neue veröffentlichte Fassung ändert bereits geschlossene Verträge nicht automatisch. Beide Parteien können den vollständigen vereinbarten Text einschließlich Anlagen und Abschlussnachweis elektronisch abrufen und speichern.