Auftragsverarbeitungsvereinbarung (AVV) für vivotempo

Präambel

Die Bergx2 GmbH, Hochriesstr. 46, 85560 Ebersberg, Deutschland (im Folgenden „Auftragsverarbeiter“), betreibt die Software-as-a-Service-Anwendung vivotempo für Urlaubsverwaltung, Arbeitszeiterfassung, Krankmeldungen und weitere Personalaufgaben. Bei der Nutzung verarbeitet sie personenbezogene Daten im Auftrag des Kunden (im Folgenden „Verantwortlicher“) im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO. Diese Vereinbarung legt die Pflichten und Rechte beider Parteien nach Art. 28 Abs. 3 DSGVO fest.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand. Der Auftragsverarbeiter stellt dem Verantwortlichen vivotempo als Software-as-a-Service bereit. Dabei verarbeitet er die in Anhang 1 beschriebenen personenbezogenen Daten ausschließlich nach den Weisungen des Verantwortlichen.

(2) Dauer. Die Vereinbarung gilt ab Abschluss des Vertrags über vivotempo (Hauptvertrag nach den AGB) und endet mit dessen Ende. Die Pflichten zur Rückgabe und Löschung (§ 10) und zur Vertraulichkeit (§ 5 Abs. 2) gelten darüber hinaus fort.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet die Daten zu folgenden Zwecken:

• Bereitstellung von vivotempo: Urlaubs- und Abwesenheitsverwaltung, Arbeitszeiterfassung im Browser und am Terminal, Krankmeldungen, Gesundheitsprämie, Auswertungen und Exporte für die Lohnabrechnung
• Anmeldung und Schutz der Zugänge: Passwort, zweiter Faktor, Passkeys und Anmeldung am Terminal
• Versand von Mitteilungen in der App und per E-Mail
• Betrieb, Sicherheit, Fehleranalyse und Support

(2) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, zum Beispiel für Werbung, Profilbildung oder den Verkauf von Daten, findet nicht statt.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Die Einzelheiten stehen in Anhang 1. Betroffen sind die Beschäftigten des Verantwortlichen, auch ehemalige, sowie weitere Personen, denen er Zugang zu vivotempo einräumt.

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Je nach genutzten Funktionen verarbeitet vivotempo Gesundheitsdaten (Krankmeldungen mit Zeitraum und gegebenenfalls Bescheinigungen) und biometrische Daten (ein aus einem Kamerabild berechnetes Gesichtsmerkmal zur Anmeldung am Terminal, nur wenn der Verantwortliche diese Anmeldeart einschaltet; das Kamerabild selbst wird nicht gespeichert). Der Verantwortliche stellt sicher, dass dafür eine Rechtsgrundlage besteht; für die Gesichtserkennung ist in der Regel eine freiwillige Einwilligung der Beschäftigten erforderlich. vivotempo beschränkt den Zugriff auf diese Daten auf die vom Verantwortlichen berechtigten Rollen.

§ 4 Pflichten und Rechte des Verantwortlichen

(1) Verantwortung und Weisungen. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 DSGVO). Als Weisung gelten diese Vereinbarung und die Einstellungen, die der Verantwortliche in vivotempo vornimmt, zum Beispiel Rollen, Rechte, eingeschaltete Funktionen und Aufbewahrungsfristen. Weitere Weisungen erteilt er in Textform.

(2) Information der Beschäftigten. Der Verantwortliche informiert die betroffenen Personen nach Art. 13 und 14 DSGVO über die Verarbeitung.

(3) Prüfung. Der Verantwortliche prüft die Maßnahmen nach Anhang 2 auf ihre Eignung für seine Verarbeitung und teilt Bedenken dem Auftragsverarbeiter mit.

§ 5 Pflichten des Auftragsverarbeiters

(1) Weisungsgebundenheit. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, soweit das Recht dies nicht verbietet. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 DSGVO).

(2) Vertraulichkeit. Alle Personen, die Zugang zu den Daten haben, sind vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).

(3) Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anhang 2 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

(4) Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Betroffenenrechten (§ 7), bei Meldungen von Datenschutzverletzungen (§ 8) und bei einer Datenschutz-Folgenabschätzung.

(5) Datenschutzbeauftragter. Datenschutzbeauftragter des Auftragsverarbeiters ist Zsu Sernc-Urban, erreichbar unter der oben genannten Anschrift oder per E-Mail an info@bergx2.de mit dem Betreff „Datenschutz“.

§ 6 Unterauftragsverarbeiter

(1) Genehmigung. Der Verantwortliche genehmigt die in Anhang 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Änderungen. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform, und zwar an die E-Mail-Adressen der Administratoren des Kundenkontos.

(3) Widerspruch. Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine einvernehmliche Lösung, kann der Verantwortliche den Hauptvertrag außerordentlich kündigen.

(4) Verpflichtung. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieser Vereinbarung (Art. 28 Abs. 4 DSGVO).

(5) Drittländer. Eine Übermittlung in Länder außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, auch des EU-US Data Privacy Framework, oder der Standardvertragsklauseln der EU-Kommission.

§ 7 Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). vivotempo bietet dafür unter anderem Funktionen zum Bearbeiten, Exportieren und Löschen von Daten.

(2) Wenden sich betroffene Personen direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nur auf dessen Weisung.

§ 8 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten in seinem Verantwortungsbereich oder bei einem Unterauftragsverarbeiter.

(2) Die Meldung erfolgt in Textform an die Administratoren des Kundenkontos und enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art und Umfang der Verletzung, Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen.

(3) Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und an betroffene Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei mit allen nötigen Informationen.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus dieser Vereinbarung nötig sind, insbesondere die aktuelle Fassung der Anhänge 2 und 3 sowie Zertifikate und Prüfberichte der Rechenzentrumsbetreiber.

(2) Der Verantwortliche kann sich nach Anmeldung mit einer Frist von mindestens vier Wochen von der Einhaltung der Maßnahmen überzeugen, auch vor Ort während der üblichen Geschäftszeiten. Kontrollen dürfen den Betrieb nicht unverhältnismäßig stören und finden ohne besonderen Anlass höchstens einmal im Kalenderjahr statt. Prüfer müssen zur Vertraulichkeit verpflichtet sein.

§ 10 Rückgabe und Löschung

(1) Während der Vertragslaufzeit kann der Verantwortliche Daten in vivotempo selbst bearbeiten und löschen sowie Aufbewahrungsfristen für Zeiteinträge und Krankmeldungen einstellen.

(2) Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück (Export in einem gängigen, maschinenlesbaren Format) oder löscht sie, spätestens 30 Tage nach Vertragsende, sofern keine gesetzliche Pflicht zur Speicherung besteht.

(3) Datensicherungen werden im regulären Sicherungszyklus überschrieben, spätestens nach 30 Tagen. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

(4) Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters, zum Beispiel für Abrechnungsunterlagen nach § 257 HGB und § 147 AO, bleiben unberührt.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrags (AGB) und Art. 82 DSGVO.

(2) Änderungen dieser Vereinbarung bedürfen der Textform. Neue Fassungen kündigt der Auftragsverarbeiter mindestens 30 Tage vor Wirksamwerden an (siehe „Wirksamkeit“).

(3) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht in Fragen des Datenschutzes diese Vereinbarung vor.

(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

(5) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Anhang 1: Beschreibung der Verarbeitung

• Gegenstand: Bereitstellung von vivotempo als Software-as-a-Service mit Hosting, Datenhaltung, Anmeldung, Mitteilungen und Support
• Dauer: Laufzeit des Hauptvertrags und höchstens 30 Tage danach für Rückgabe und Löschung
• Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Abfragen, Auswerten, Bereitstellen für berechtigte Nutzer, Löschen
• Betroffene Personen: Beschäftigte des Verantwortlichen (auch ehemalige), Administratoren und weitere Nutzer, denen er Zugang einräumt
• Stammdaten: Name, E-Mail-Adresse, Personalnummer, Abteilung, Rolle, Eintritt und Austritt, Arbeitsland, Zeitzone, Profilbild
• Abwesenheiten: Urlaubsanträge und Entscheidungen mit Kommentaren, Urlaubskonto und Übertrag, sonstige Abwesenheiten
• Arbeitszeit: Beginn, Ende, Pausen, Korrekturen, Zeitpunkt und Terminal einer Buchung, Zuschläge und Salden
• Gesundheitsdaten (Art. 9 DSGVO): Krankmeldungen mit Zeitraum und hochgeladenen Bescheinigungen, Krankheitstage für die Gesundheitsprämie
• Anmeldedaten: E-Mail-Adresse, Passwort (nur als Hash), zweiter Faktor (E-Mail-Adresse oder Threema-ID), öffentliche Schlüssel von Passkeys
• Anmeldung am Terminal: PIN, NFC-Karten-ID, QR-Code, Bluetooth-Geräte-ID; auf Wunsch des Verantwortlichen ein Gesichtsmerkmal als Merkmalsvektor (biometrische Daten nach Art. 9 DSGVO)
• Protokolle: Logbuch der Änderungen mit Zeitpunkt und handelnder Person, technische Server-Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Adresse)
• Mitteilungen: Benachrichtigungen in der App und per E-Mail
• Speicherort: Datenbank und Dateiablage bei Supabase in der EU (Rechenzentrum Paris, Frankreich), Serverfunktionen bei Vercel in der EU (Region Paris)
• Drittländer: Vercel Inc. und Supabase Inc. haben ihren Sitz in den USA; ein Zugriff von dort, zum Beispiel für Betrieb und Support, ist möglich und durch das EU-US Data Privacy Framework sowie Standardvertragsklauseln abgesichert. Für die Threema GmbH (Schweiz) besteht ein Angemessenheitsbeschluss der EU-Kommission.

Anhang 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen gelten für vivotempo. Einzelheiten der Umsetzung, zum Beispiel Konfigurationen, werden aus Sicherheitsgründen nicht öffentlich beschrieben; der Verantwortliche erhält sie im Rahmen von § 9 auf begründete Anfrage.

• Zutrittskontrolle: Die Server stehen in Rechenzentren der Dienstleister (Amazon Web Services über Supabase, Vercel) mit zertifizierter physischer Sicherheit, unter anderem nach ISO/IEC 27001 und SOC 2. Die Geschäftsräume des Auftragsverarbeiters sind gegen unbefugten Zutritt gesichert; Besucher bewegen sich dort nur in Begleitung.
• Zugangskontrolle: Anmeldung mit persönlichem Konto und Passwort, auf Wunsch mit zweitem Faktor (E-Mail-Code, Threema, Passkey) und Sperre nach fünf Fehlversuchen; Terminals melden sich mit einem eigenen Geräteschlüssel an; administrative Zugänge zu den Dienstleistern haben nur wenige berechtigte Personen.
• Zugriffskontrolle: Trennung der Kunden auf Datenbankebene (Row Level Security); abgestufte Rollen (Mitarbeiter, Teamleitung, HR, Administrator) mit feinen Rechten; Gesundheitsdaten und Anmeldemerkmale nur für berechtigte Rollen; automatisierte Tests der Zugriffsregeln bei jeder Änderung.
• Trennungskontrolle: Daten verschiedener Kunden werden logisch getrennt verarbeitet; jeder Zugriff ist an den jeweiligen Kunden gebunden.
• Verschlüsselung: Alle Verbindungen sind per TLS verschlüsselt; Datenbank und Dateiablage sind im Ruhezustand verschlüsselt; Passwörter werden nur als Hash gespeichert.
• Eingabekontrolle: Änderungen an Mitarbeiterdaten, Anträgen, Zeiteinträgen und Einstellungen werden im Logbuch mit Zeitpunkt und handelnder Person protokolliert; Korrekturen an Zeiteinträgen bleiben nachvollziehbar.
• Weitergabekontrolle: Daten werden nur verschlüsselt übertragen; Exporte und Auswertungen stehen nur berechtigten Rollen zur Verfügung; eine Weitergabe ohne vertragliche Grundlage findet nicht statt.
• Auftragskontrolle: Verträge zur Auftragsverarbeitung mit allen Unterauftragsverarbeitern (Anhang 3) und deren regelmäßige Überprüfung.
• Verfügbarkeit und Belastbarkeit: Betrieb bei Dienstleistern mit redundanter Infrastruktur und laufender Überwachung; regelmäßige Datensicherungen der Datenbank; Terminals speichern Buchungen bei einem Verbindungsabbruch zwischen und übertragen sie nachträglich.
• Wiederherstellbarkeit: Die Datensicherungen erlauben die Wiederherstellung der Daten nach einem Zwischenfall.
• Überprüfung und Bewertung: benannter Datenschutzbeauftragter, festgelegtes Vorgehen bei Datenschutzverletzungen, automatisierte Tests vor jeder Veröffentlichung, regelmäßige Sicherheitsprüfungen der Zugriffsregeln.
• Datenminimierung und Löschung: einstellbare Aufbewahrungsfristen für Zeiteinträge und Krankmeldungen, Rückgabe und Löschung nach Vertragsende gemäß § 10.

Anhang 3: Unterauftragsverarbeiter

Stand: 14.10.2026

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Hosting der Anwendung und der Serverfunktionen (Region Paris, Frankreich) und Auslieferung der Webseite; verarbeitet alle Daten beim Bearbeiten von Anfragen sowie Server-Protokolle. Grundlage: Vertrag zur Auftragsverarbeitung, EU-US Data Privacy Framework, Standardvertragsklauseln.
• Supabase Inc., USA: Datenbank, Anmeldung und Dateiablage im Rechenzentrum Paris (Frankreich, Amazon Web Services); verarbeitet alle in Anhang 1 genannten Daten. Grundlage: Vertrag zur Auftragsverarbeitung, EU-US Data Privacy Framework, Standardvertragsklauseln.
• Scaleway SAS, Paris, Frankreich: Versand von E-Mails (Mitteilungen, Codes, Links); verarbeitet E-Mail-Adresse, Name und Inhalt der Nachricht. Grundlage: Vertrag zur Auftragsverarbeitung.
• Threema GmbH, Churerstrasse 82, 8808 Pfäffikon SZ, Schweiz: Zustellung von Anmeldecodes per Threema, nur wenn Nutzer Threema als zweiten Faktor wählen; verarbeitet Threema-ID und Code. Grundlage: Angemessenheitsbeschluss der EU-Kommission für die Schweiz.

E-Mails laufen zusätzlich über einen Weiterleitungsdienst der Bergx2 GmbH selbst. Weitere Dienstleister ohne Zugriff auf Daten aus vivotempo, zum Beispiel für die Zahlungsabwicklung des Kundenkontos (Mollie), für Feiertagsdaten oder für die Prüfung der Umsatzsteuer-Identifikationsnummer (VIES), sind keine Unterauftragsverarbeiter im Sinne dieser Vereinbarung.

Wirksamkeit

Diese Vereinbarung wird mit Abschluss des Hauptvertrags (Registrierung nach den AGB) Bestandteil des Vertrags; der Abschluss in elektronischem Format genügt (Art. 28 Abs. 9 DSGVO).

Zusätzlich können Administratoren des Kunden die Vereinbarung im Kundenkonto ausdrücklich annehmen. Gespeichert werden dabei die Version, Datum und Uhrzeit, die annehmende Person, der Kunde und eine Prüfsumme der angenommenen Fassung.

Neue Fassungen kündigt der Auftragsverarbeiter mindestens 30 Tage vor Wirksamwerden in Textform an; im Kundenkonto werden die Administratoren um erneute Annahme gebeten.

Auf Wunsch des Kunden kann die Vereinbarung zusätzlich unterschrieben oder qualifiziert elektronisch signiert werden; die elektronische Annahme bleibt davon unberührt.

Versionen

• Version 1.0 vom 14.10.2026: erste Fassung