Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung vom 4. November 2026

zwischen dem Kunden von HR3000 als Verantwortlichem („Auftraggeber“) und Johannes Lassner, Lassners IT Factory, Finkenweg 64, 36251 Bad Hersfeld, als Auftragsverarbeiter („Auftragnehmer“). Der Vertrag ist Bestandteil der Nutzungsbedingungen und wird mit der Registrierung bzw. Einrichtung des Zugangs geschlossen.

1. Gegenstand, Dauer, Art und Zweck

Der Auftragnehmer betreibt HR3000 für den Auftraggeber: Bereitstellung, Hosting, Wartung und Datensicherung der Software zur Arbeitszeiterfassung, Abwesenheits- und Schichtplanung sowie Personalverwaltung. Der Vertrag gilt für die Dauer des Nutzungsvertrags.

2. Art der Daten und Kreis der Betroffenen

Betroffene: Beschäftigte des Auftraggebers einschließlich Aushilfen und Auszubildender, ehemalige Beschäftigte sowie Nutzer des Auftraggebers (z. B. Personalverantwortliche).

Daten: Stammdaten (Name, Personalnummer, Standort, Team, ggf. Geburtsdatum), Login-Daten (E-Mail, Passwort-Hash, Stempel-PIN als Hash, Chip-Kennung), Arbeitszeitdaten (Stempelungen, Pausen, Salden, Schichtpläne), Abwesenheiten (z. B. Urlaub, Krankheit und Krankheit eines Kindes ohne Diagnose – Gesundheitsdaten nach Art. 9 DSGVO), Vertrags- und Vergütungsdaten, Dokumente der Personalakte nach Wahl des Auftraggebers sowie Protokolldaten (Änderungsprotokoll, technische Protokolle).

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag, die Nutzung der Funktionen von HR3000 durch den Auftraggeber sowie Einzelweisungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

4. Pflichten des Auftragnehmers

• Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Abschnitt 8 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) – insbesondere über die Funktionen Datenexport, Bearbeiten und Anonymisieren – sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen.
• Er stellt dem Auftraggeber die zum Nachweis dieser Pflichten nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgenden Unterauftragsverarbeiters zu:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Betrieb der Server (Rechenzentrum in Falkenstein, Deutschland) und Speicher für die verschlüsselte Datensicherung (Rechenzentrum in der EU).

Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber vorab in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

6. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nicht.

7. Löschung und Rückgabe

Nach Ende des Vertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer sie, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen werden mit Ablauf von deren Aufbewahrungsfristen gelöscht, spätestens nach zwölf Monaten.

8. Technische und organisatorische Maßnahmen

• Zutritt: Server in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum des Unterauftragsverarbeiters.
• Zugang: Server-Administration nur per SSH-Schlüssel; nach außen nur die nötigen Ports (HTTPS, SSH); automatische Sperre bei wiederholten Fehlanmeldungen.
• Zugriff: Rollenkonzept (Admin, HR, Teamleader, Mitarbeiter), Vergütungsdaten nur für Admins; strikte Trennung der Daten verschiedener Kunden in jeder Abfrage; Passwörter und PINs nur als sichere Hashes gespeichert; Begrenzung von Anmeldeversuchen.
• Weitergabe: Übertragung ausschließlich verschlüsselt (HTTPS mit HSTS); Dokumente der Personalakte verschlüsselt gespeichert; Datensicherungen verschlüsselt.
• Eingabekontrolle: Änderungsprotokoll (Audit-Log) für wesentliche Änderungen.
• Verfügbarkeit: tägliche Datensicherung, zusätzlich verschlüsselt an einem getrennten Speicherort; Wiederherstellung wird regelmäßig geprüft; die Tablet-App puffert Stempelungen bei Verbindungsstörungen.
• Trennung: Mandantentrennung; Entwicklung und Tests ohne echte Personaldaten.
• Überprüfung: automatisierte Tests vor jeder Auslieferung; zeitnahe Sicherheitsupdates.