Parteien und Gegenstand
Dieser Vertrag über die Auftragsverarbeitung wird geschlossen zwischen dem Kunden (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO – Firmenname und Anschrift gemäß Registrierung bzw. Rechnungsdaten im iamtime-Portal) und
iampat.de
Patrick Herting
Helmstr. 17
45359 Essen
Deutschland
E-Mail: info@iamtime.de
(Auftragsverarbeiter, nachfolgend „Anbieter"). Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der SaaS-Plattform iamtime (Arbeitszeiterfassung und Personalorganisation). Der Vertrag gilt für die Dauer des Hauptvertrags.
Art, Zweck und Umfang der Verarbeitung
Verarbeitet werden Daten ausschließlich zum Zweck der Bereitstellung der vereinbarten Leistungen: Erfassung und Auswertung von Arbeitszeiten, Verwaltung von Abwesenheiten und Urlaubskonten, Schichtplanung, Führung der digitalen Personalakte sowie zugehörige Benachrichtigungen.
Kategorien betroffener Personen: Beschäftigte des Kunden.
Datenarten: Stammdaten (Name, Kontaktdaten, Adresse), Beschäftigungsdaten (Personalnummer, Eintritt/Austritt, Urlaubsanspruch, Wochenstunden), Zeitbuchungen (Beginn, Ende, Standort, Quelle), Abwesenheiten inkl. Krankmeldungen, vom Kunden hochgeladene Dokumente sowie Zugangsdaten (E-Mail, Passwort-Hash, Terminal-PIN).
Weisungsrecht des Kunden
Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden – in der Regel abschließend definiert durch die Funktionen der Plattform. Hält der Anbieter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Kunden unverzüglich.
Vertraulichkeit
Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Technische und organisatorische Maßnahmen
Der Anbieter trifft die in der Anlage „Technische und organisatorische Maßnahmen (TOMs)" beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Sämtliche Daten werden ausschließlich auf Servern in Deutschland verarbeitet.
Unterauftragsverarbeiter
Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting / Rechenzentrumsleistungen (Serverstandort Deutschland)
- Stripe Payments Europe, Ltd. – ausschließlich Zahlungsabwicklung der Abo-Gebühren (Vertrags-, keine Beschäftigtendaten)
Über beabsichtigte Änderungen informiert der Anbieter mindestens vier Wochen vorab in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
Unterstützung und Meldepflichten
Der Anbieter unterstützt den Kunden bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, unter info@iamtime.de-Gegenstelle bzw. an die hinterlegte Admin-Adresse.
Kontrollrechte
Der Kunde kann sich vor Beginn und während der Verarbeitung von der Einhaltung der TOMs überzeugen – in der Regel durch Einsichtnahme in aktuelle Nachweise und Dokumentationen des Anbieters; Vor-Ort-Kontrollen erfolgen nach Terminabstimmung während üblicher Geschäftszeiten.
Löschung und Rückgabe
Nach Beendigung des Hauptvertrags stellt der Anbieter dem Kunden sämtliche Daten auf Anforderung in einem gängigen Format zur Verfügung und löscht sie anschließend gemäß dem Löschkonzept – spätestens 30 Tage nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Schlussbestimmungen
Es gilt deutsches Recht. Im Übrigen gelten die AGB des Anbieters. Dieses Muster wird mit Vertragsschluss wirksam; auf Wunsch stellt der Anbieter eine unterschriebene Fassung mit den Firmendaten des Kunden aus – Anfrage an info@iamtime.de.