# Vereinbarung zur Auftragsverarbeitung
Version 2026-10-17. Der elektronische Abschluss erfolgt bei der Firmenregistrierung gemäß Abschnitt 13 dieser Vereinbarung. Diese Fassung ersetzt keine bereits gespeicherte Vertragsbestätigung; für bestehende Auftraggeber wird eine erforderliche Vertragsänderung gesondert dokumentiert.
## 1. Parteien und Gegenstand
Auftraggeber (Verantwortlicher) ist die bei der Registrierung benannte Firma mit der dort angegebenen vollständigen Geschäftsanschrift und vertretungsberechtigten Person. Weisungs- und Datenschutzkontakt ist die bestätigte Konto-E-Mail der Firma. Diese Angaben werden mit der Zustimmung als Vertragsanlage gespeichert. Auftragnehmer: David Jagubjan, Am Lindenbaum 14, 63150 Heusenstamm, info@mdashboard.de.
Der Auftragnehmer verarbeitet personenbezogene Daten zur Bereitstellung von MDashboard ausschließlich im Auftrag des Auftraggebers. Umfang: Mitarbeiterverwaltung, Arbeitszeiten, Dienstplanung, Aufgaben, Abwesenheiten, Konten, Exporte und technische Unterstützung sowie die vom Auftraggeber genutzten Funktionen für Projekte, Firmenfahrzeuge, Auslagen, Dokumente, betriebliche Kalender und Buchhaltung mit Angeboten, Rechnungen und Zahlungsnachweisen. Die Vereinbarung gilt für die Nutzungsdauer einschließlich vereinbarter Rückgabe- und Löschabwicklung.
## 2. Daten und betroffene Personen
Betroffene sind Beschäftigte und Firmenadministratoren sowie die vom Auftraggeber in seinen betrieblichen Unterlagen erfassten Kunden und Ansprechpartner. Daten: Identifikation, Kontakt/Zugang, Vertragsarbeitszeiten, Dienstpläne, Stempel- und Korrekturereignisse, Aufgaben, Urlaubsanträge, Krankmeldungen ohne Diagnosen, freiwillige Stempelstandorte und Bearbeitungsverläufe. Hinzu kommen Projekt- und Fahrzeugzuordnungen, Kilometerstände, Fahrten, Auslagen und Belege, hochgeladene Dokumente mit Versionen und Empfangsbestätigungen sowie Kunden-, Leistungs-, Angebots-, Rechnungs-, Steuer- und Zahlungsangaben einschließlich eingegebener betrieblicher Bankverbindungen. Dokumente dürfen nur Daten enthalten, die für den vereinbarten betrieblichen Zweck erforderlich sind. Krankmeldungen sind besonders zu schützende Daten; Diagnosen sind nicht vorgesehen. Eine Verarbeitung zusätzlicher Datenarten bedarf vorheriger dokumentierter Vereinbarung.
## 3. Weisungen und Verantwortung
Der Auftraggeber bestimmt Zwecke, Rechtsgrundlagen, zulässige Empfänger und Aufbewahrungsfristen und informiert Beschäftigte. Der Auftragnehmer verarbeitet nur dokumentierte Weisungen, einschließlich Übermittlungen in Drittländer, außer eine anwendbare gesetzliche Verpflichtung verlangt anderes; hierüber informiert er vorab, soweit rechtlich erlaubt. Einstellungen und autorisierte Aktionen in MDashboard sind Weisungen im vereinbarten Umfang. Weitergehende Weisungen erfolgen über benannte Ansprechpartner und werden protokolliert. Bei vermutetem Rechtsverstoß informiert der Auftragnehmer unverzüglich und setzt die betroffene Weisung bis zur Klärung aus. Eigene gesetzliche Pflichten beider Parteien bleiben unberührt.
## 4. Vertraulichkeit und Berechtigungen
Zugriff erhalten nur befugte, zur Vertraulichkeit verpflichtete Personen nach dem Erforderlichkeitsprinzip. Supportzugriffe werden auf Zweck, Dauer und Umfang begrenzt und nachvollziehbar dokumentiert. Berechtigungen werden bei Ausscheiden oder Rollenwechsel entzogen. Die Pflicht besteht nach Vertragsende fort.
## 5. Sicherheit
Der Auftragnehmer setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Anlage TOM beschreibt den tatsächlichen Zustand; unbestätigte Hostingmaßnahmen gelten nicht als zugesichert. Änderungen dürfen das vereinbarte Schutzniveau nicht absenken. Wesentliche sicherheitsrelevante Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt. Regelmäßige Wirksamkeitsprüfungen, Wiederherstellbarkeit, Mandantentrennung und Datenminimierung sind Bestandteil des Betriebs.
## 6. Weitere Auftragsverarbeiter
Eine Beauftragung erfolgt nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Auftraggebers. Bei allgemeiner Genehmigung informiert der Auftragnehmer mindestens 30 Tage vor beabsichtigter Änderung; begründete Einwände werden vor Einsatz geklärt. Kann keine datenschutzgerechte Lösung vereinbart werden, darf die betroffene Verarbeitung nicht mit dem beanstandeten Anbieter fortgesetzt werden. Weitere Auftragsverarbeiter werden mit inhaltlich gleichwertigen Datenschutzpflichten gebunden. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für deren Pflichterfüllung verantwortlich.
Genehmigter Unterauftragnehmer: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Bereitstellung der Serverinfrastruktur für Anwendungs- und Mailbetrieb in Helsinki, Finnland (EU). Der AV-Vertrag vom 22.09.2026 liegt beim Anbieter vor. Betrieb und Administration erfolgen durch den Auftragnehmer; verschlüsselte Sicherungskopien werden zusätzlich auf seinem Laptop in Deutschland gespeichert.
UptimeRobot s. r. o., Obchodná 507/2, 811 06 Bratislava, Slowakei, überwacht ausschließlich den öffentlichen Gesundheitsendpunkt und erhält die Alarmadresse des Betreibers. Es werden keine Beschäftigtenkonten, Stempelzeiten, Krankmeldungen oder Standorte für die Überwachung eingerichtet. Der Dienst verarbeitet Betriebs-/Kontaktdaten des Anbieters nach seinem DPA (https://uptimerobot.com/dpa/); EU/USA-Verarbeitung ist beschrieben. Eine Erweiterung auf Kundendaten bedarf vorheriger gesonderter Prüfung und Information.
OpenStreetMap wird nur nach gesondertem Aufruf geladen. Der Kartenabruf und die damit verbundene Übermittlung von IP-Adresse und Kartenausschnitt sind im Datenschutzhinweis erläutert; der Kartenanbieter wird durch diese Vereinbarung nicht zum Unterauftragnehmer erklärt.
Für vom Auftraggeber freigegebene optionale Push-Mitteilungen werden Google Firebase Cloud Messaging und auf Apple-Geräten zusätzlich der Apple Push Notification Service eingesetzt. Verarbeitet werden technische Installations- und Gerätekennungen sowie eine zufällige Meldungskennung und ein allgemeiner Hinweis. Namen, Aufgabeninhalte, Gesundheitsdaten, Standorte und Dokumente werden nicht als Push-Inhalt übermittelt. Die Dienste können Zustelldaten auf globaler Infrastruktur verarbeiten. Maßgebliche Informationen und Vertragsgrundlagen sind die Firebase-Datenschutz- und Datenverarbeitungsbedingungen (https://firebase.google.com/support/privacy und https://firebase.google.com/terms/data-processing-terms) sowie die einschlägigen Apple-Entwicklerbedingungen und Datenschutzhinweise (https://www.apple.com/legal/privacy/). Die Voraussetzungen für weitere Auftragsverarbeitung und Drittlandübermittlungen gelten auch für diesen Einsatz; eine Aktivierung ersetzt keine erforderlichen Vertragsnachweise.
## 7. Unterstützung und Anfragen
Der Auftragnehmer unterstützt bei Auskunft, Berichtigung, Löschung, Einschränkung und weiteren Betroffenenrechten mit geeigneten technischen/organisatorischen Mitteln. Er leitet unmittelbar erhaltene Anfragen unverzüglich an den zuständigen Auftraggeber weiter und beantwortet sie hinsichtlich Beschäftigtendaten nicht eigenmächtig, außer auf Weisung oder gesetzlicher Pflicht. Er unterstützt im erforderlichen Umfang bei Art. 32–36 DSGVO einschließlich Folgenabschätzung und Behördenkonsultation.
## 8. Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber ohne unangemessene Verzögerung nach Bekanntwerden einer Verletzung personenbezogener Daten. Er liefert sukzessive verfügbare Angaben zu Art, Umfang, betroffenen Personen/Daten, Folgen, Kontakt und Gegenmaßnahmen; fehlende Angaben verzögern die Erstinformation nicht. Maßnahmen, Beweissicherung und Kommunikation werden abgestimmt, soweit Sofortmaßnahmen nicht erforderlich sind. Die Entscheidung über Meldungen des Auftraggebers bleibt dessen Verantwortung; eigene Meldepflichten des Auftragnehmers bleiben bestehen.
## 9. Nachweise und Kontrollen
Der Auftragnehmer stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder beauftragte Prüfer. Schutz anderer Kunden, Vertraulichkeit und Betriebssicherheit sind angemessen zu berücksichtigen, ohne gesetzliche Kontrollrechte auszuschließen. Erkenntnisse und Abhilfemaßnahmen werden dokumentiert. Er informiert unverzüglich, wenn eine Kontrollweisung nach seiner Auffassung Datenschutzrecht verletzt.
## 10. Rückgabe und Löschung
Nach Ende der Verarbeitung gibt der Auftragnehmer nach Wahl des Auftraggebers Daten zurück oder löscht sie und bestehende Kopien, soweit keine gesetzliche Speicherungspflicht besteht. Die App bietet vorherigen Export. Die vom Betreiber vorgesehene Kontolöschung sperrt die Nutzung sofort, ermöglicht Widerruf innerhalb von 30 Tagen und führt anschließend zur Löschung durch den täglichen Lauf. Eine berechtigte frühere Löschweisung ist separat zu bearbeiten; die Widerrufsfrist schränkt gesetzliche Betroffenenrechte nicht pauschal ein. Backups sind ausschließlich zur Wiederherstellung geschützt aufzubewahren und nach der vereinbarten Frist zu überschreiben. Bei Restore werden bereits erfolgte Löschungen vor Wiederfreigabe erneut angewendet. Die nachfolgende Anlage regelt die vereinbarte Speicherung und den technischen Ablauf.
## 11. Anlage: Aufbewahrung und Archivauftrag
Die Firma beauftragt während der Nutzung sowie nach Beendigung des operativen Kontos die gesperrte Nachweisaufbewahrung von Arbeitszeiten, Korrekturen, Dienstplänen, Zeit-/Urlaubskonten, zugehörigen Abwesenheitsnachweisen und der erforderlichen Arbeitszeitmodellbasis bis zehn Jahre ab Ende des Nachweisjahres. Für 2026 endet die Frist am 31.12.2036. Diese Vertragsregel ist keine Behauptung einer gesetzlichen Zehnjahrespflicht für jede Datenart; die Firma prüft ihre konkreten Rechtsgrundlagen und erteilt abweichende rechtlich erforderliche Weisungen über den Datenschutzkontakt. Gesetzliche Betroffenenrechte bleiben bestehen.
Nach Ablauf der 30-tägigen Widerrufsfrist werden Firmenzugänge und operative Daten gelöscht. Zuvor werden die benötigten Nachweise getrennt nach Jahren authentifiziert verschlüsselt archiviert. GPS, Aufgaben und Datenschutzanfragen gehören nicht ins Arbeitszeitarchiv. Die Auftragsverarbeitung für die gesperrten Nachweise besteht bis zu deren Rückgabe/Löschung fort; kein Zugriff für tägliche Geschäftsnutzung. Herausgabe nur nach Identitäts- und Berechtigungsprüfung. Der Firmenexport vor Kontolöschung ergänzt dieses Archiv.
Standorte: 30 Tage. Vollständig erledigte Aufgabenpakete ohne offene Probleme: 60 Tage ab letzter Bearbeitung. Abgeschlossene oder abgelehnte Datenschutzanfragen samt Antwort: 60 Tage ab Abschluss; offene Anfragen bleiben erhalten. Bereinigungen laufen täglich und werden überwacht. Noch benötigte Modellgrundlagen und jahresübergreifende Nachweise bleiben für die jüngeren Nachweisjahre verfügbar.
Verschlüsselte Serverbackups: 14 Tage. Auf einem Rechner des Auftragnehmers in Deutschland bleiben die letzten 30 verschlüsselten Sicherungskopien erhalten. Jede enthält den Sicherungsverlauf der letzten 14 Tage; dadurch können Daten bis zu etwa 44 Tage nach ihrer Löschung vorhanden sein, länger nur während Offlinezeiten. Diese Kopien dienen ausschließlich der Wiederherstellung. Vor Wiederfreigabe eines Restores werden Löschjournal und abgelaufene Nachweise erneut berücksichtigt. Unvollständige Nachweise verhindern die Wiederfreigabe.
## 12. Anlage: Technische und organisatorische Maßnahmen
- Transport: HTTPS mit TLS 1.2/1.3; verschlüsselte Mailverbindungen. Keine Zusage einer Ende-zu-Ende-Verschlüsselung von E-Mails.
- Zugriff: persönliche Anmeldungen, Passwort-Hashes, begrenzte Anmelde-/Registrierungsversuche, verifizierte Firmen-E-Mail vor Geschäftsnutzung, serverseitige Rollen- und Mandantenprüfung, zeitlich begrenzte Einmallinks. Administrative Serverzugriffe mit SSH-Schlüssel und Firewall.
- Speicherung: Dateiberechtigungen begrenzen Zugriff auf Datenbank und Schlüssel; Backups und getrennte Jahresarchive sind verschlüsselt. Keine Zusage einer vollständigen Verschlüsselung sämtlicher aktiver Serverdaten. Schlüssel werden geschützt gesichert; Änderungen dürfen die Wiederherstellbarkeit gültiger Archive nicht zerstören.
- Minimierung: Standorte ausgeschaltet als Voreinstellung, Stempeln ohne Standort; keine Hintergrundortung; keine Diagnosefelder. Karten erst nach gesondertem Aufruf.
- Verfügbarkeit: tägliche Sicherung, zusätzliche verschlüsselte Laptopkopie, Überwachung von Diensten und Bereinigungen, getrenntes Löschjournal, isolierte Wiederherstellungstests. Kein zugesicherter unterbrechungsfreier Betrieb.
- Organisation: Vorfallverantwortlicher David Jagubjan, Vertretung Fikret Xhemajli; Kontakt info@mdashboard.de. Befugnisse werden gesondert vergeben. Regelmäßige Prüfung der Zugriffe, Updates, Sicherheitsmeldungen und Wiederherstellung. Zehn Jahre Sicherheitsupdates ab jeweiliger öffentlicher Veröffentlichung gemäß Nutzungsbedingungen.
## 13. Elektronischer Abschluss und Vertragskopie
Vor der Registrierung können alle Vertragsunterlagen gelesen werden. Die vertretungsberechtigte Person bestätigt ihre Befugnis sowie Nutzungsbedingungen und diese Vereinbarung. Bei erfolgreicher Registrierung werden Firmenangaben, bestätigte Textfassungen, deren Prüfsummen, Versionskennung und Serverzeitpunkt gemeinsam gespeichert. Veraltete Textversionen werden abgewiesen; eine Änderung bestehender Texte ersetzt keine bereits gespeicherte Zustimmung.
Die bestätigten Unterlagen sind im Firmenkonto unter „Konto & Datenschutz“ einsehbar und im Firmendatenexport enthalten. Die Firma sichert ihre Kopie vor Kontolöschung. Änderungen erfolgen dokumentiert; gesetzliche Haftung und Betroffenenrechte werden nicht eingeschränkt.
Grundlagen: Art. 28 DSGVO; https://www.baden-wuerttemberg.datenschutz.de/auftragsverarbeitung-nach-ds-gvo/.