Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer (GastroTakt) im Auftrag des Verantwortlichen (Mandant/Betrieb). Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags für die Software GastroTakt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst die Erhebung, Speicherung, Veränderung, Übermittlung und Löschung personenbezogener Daten zum Zweck der Dienstplanung, Zeiterfassung, Personalverwaltung und Lohnabrechnung (inkl. DATEV-Export).

3. Art der personenbezogenen Daten

• Stammdaten (Name, Adresse, Kontaktdaten, Geburtsdatum)
• Beschäftigungsdaten (Personalnummer, Vertragsart, Arbeitszeiten, Gehalt)
• Zeiterfassungsdaten (Stempelzeiten, Pausen, Geräte- und IP-Informationen)
• Abwesenheitsdaten (Urlaub, Krankheit ohne Diagnosen)
• Sozialversicherungs- und Steuerdaten

4. Kreis der Betroffenen

Beschäftigte und ehemalige Beschäftigte des Verantwortlichen, deren Daten im Rahmen der Softwarenutzung verarbeitet werden.

5. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
• Gewährleistung der Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
• Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO
• Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzungen
• Löschung oder Rückgabe aller Daten nach Beendigung des Auftrags
• Duldung und Unterstützung von Überprüfungen durch den Verantwortlichen

6. Unterauftragsverarbeiter

Der Einsatz von Unterauftragsverarbeitern bedarf der vorherigen schriftlichen Zustimmung des Verantwortlichen. Aktuell eingesetzte Unterauftragsverarbeiter werden dem Verantwortlichen auf Anfrage mitgeteilt.

7. Technische und organisatorische Maßnahmen

• Verschlüsselte Datenübertragung (TLS/SSL)
• Rollenbasierte Zugriffskontrolle
• Vollständiges Audit-Logging aller Änderungen
• Hosting auf Servern in Deutschland/EU
• Regelmäßige Sicherheitsupdates und Backups
• Zutrittskontrolle zum Rechenzentrum

8. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Er erteilt alle Aufträge und Weisungen schriftlich oder in dokumentierter elektronischer Form und informiert den Auftragnehmer unverzüglich bei Feststellung von Fehlern oder Unregelmäßigkeiten.