Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand 11/2026 · Bestandteil der AGB

1. Gegenstand und Dauer

Karim El Said (Auftragsverarbeiter) verarbeitet für den Kunden (Verantwortlicher) personenbezogene Daten im Rahmen der Software „Schichtpilot“. Der Vertrag gilt für die Dauer des Nutzungsverhältnisses und endet mit der Löschung der Daten.

2. Art der Daten und betroffene Personen

Mitarbeiter des Kunden: Name, Abteilung, Tätigkeit, Wochenstunden, Ein- und Austrittsdatum, Dienste, Abwesenheiten (Urlaub, Krankenstand ohne Diagnose, Wunschfrei), Zeitkonto, Urlaubsanspruch, Vermerke zu ausgegebenen Arbeitsmitteln, Zugangsdaten (Passwort nur als Prüfwert). Gäste: Name, Uhrzeit, Personenzahl und Telefonnummer bei Notizen bzw. Reservierungen, soweit der Kunde sie erfasst.

3. Zweck

Planung von Diensten, Abwesenheiten und Aufgaben sowie Information der Mitarbeiter. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; die Bedienung der Software gilt als Weisung. Hält er eine Weisung für rechtswidrig, informiert er den Kunden.

5. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (HTTPS/TLS), Passwörter nur als scrypt-Prüfwert
• Getrennter Datenbereich und eigener Programmprozess je Kunde
• Rollen- und Rechtekonzept in der Software, Prüfung jeder Änderung am Server
• Schutz vor Rateversuchen (Sperre nach Fehlversuchen), sichere Cookies
• Tägliche Sicherungen, Wiederherstellung möglich; Rechenzentrum in der EU mit Zutrittskontrolle
• Regelmäßige Updates der Server-Software

7. Unterauftragsverarbeiter

Der Kunde stimmt folgenden Unterauftragsverarbeitern zu: Hosting netcup GmbH, Deutschland; E-Mail-Versand E-Mail-Anbieter in der EU; Zahlungsabwicklung Stripe Payments Europe Ltd., Irland (nur Daten des Kunden selbst, keine Mitarbeiterdaten). Über neue Unterauftragsverarbeiter wird der Kunde vorab per E-Mail informiert und kann widersprechen.

8. Unterstützung

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung), bei Datenschutzverletzungen und Datenschutz-Folgenabschätzungen. Datenschutzverletzungen meldet er unverzüglich, möglichst binnen 48 Stunden.

9. Löschung und Rückgabe

Der Kunde kann jederzeit eine Sicherung seiner Daten herunterladen. Nach Löschung des Kontos werden die Daten nach 30 Tagen endgültig gelöscht, Sicherungskopien spätestens nach 60 Tagen.

10. Nachweise und Kontrolle

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die nötigen Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung.

Kontakt Datenschutz: support@schichtpilot.at