Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Stand: Oktober 2026
Dieser Vertrag gilt zwischen dem Betrieb, der Shiftmate nutzt („Verantwortlicher“), und Vasileios Apostolidis, VASI Design, Wilhelm-Liebknecht-Platz 6, 04105 Leipzig („Auftragsverarbeiter“). Er ist Bestandteil der Nutzungsbedingungen und wird mit der Freischaltung des Kundenkontos in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellen wir ihn auch unterschrieben zur Verfügung.
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Shiftmate (App und Server-Dienst) bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag.
(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags.
§ 2 Art, Zweck und Umfang der Verarbeitung
Art der Verarbeitung: Speichern, Abgleichen zwischen Geräten, Anzeigen, Übermitteln (Push-Mitteilungen, E-Mails), Exportieren und Löschen.
Zweck: Dienstplanung, Arbeitszeiterfassung, Verwaltung von Urlaub und Abwesenheiten, Personalakte und Vorbereitung der Lohnabrechnung des Verantwortlichen.
Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (einschließlich Aushilfen, Auszubildende und Minijobber), Inhaber und Führungskräfte.
Arten von Daten:
- Stamm- und Kontaktdaten (Name, Anschrift, Telefon, E-Mail, Geburtstag, Personalnummer)
- Beschäftigungsdaten (Beschäftigungsart, Position, Eintritt, Wochenstunden, Lokal, Rolle und Rechte)
- Lohn- und Steuerdaten (Stundenlohn, Steuer-ID, Sozialversicherungsnummer, Krankenkasse, IBAN)
- Schichtplan, Arbeitszeiten, Pausen, Korrekturen, Ergebnis der Standortprüfung (ja/nein)
- Abwesenheiten einschließlich Krankheitstagen ohne Diagnose (besondere Kategorie nach Art. 9 DSGVO)
- Dokumente der Personalakte, die der Verantwortliche hochlädt
- Zugangsdaten (E-Mail, Passwort-Hash), Geräte-Kennungen für Push-Mitteilungen
§ 3 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag, den Nutzungsbedingungen und den Einstellungen und Aktionen des Verantwortlichen in der App. Weitere Weisungen erfolgen in Textform.
(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin.
(3) Eine Verarbeitung für eigene Zwecke findet nicht statt, es sei denn, das Recht der EU oder Deutschlands verpflichtet dazu; in diesem Fall teilt der Auftragsverarbeiter dies vorher mit, sofern das Gesetz es nicht verbietet.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind. Er greift auf Inhalte nur zu, soweit es für die Erbringung des Dienstes, den Support auf Anfrage des Verantwortlichen oder die Sicherheit des Dienstes erforderlich ist.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, soweit das Schutzniveau nicht sinkt.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Verantwortlichen vorab in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag außerordentlich kündigen.
(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.
§ 7 Unterstützung des Verantwortlichen
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 15–22 DSGVO). Shiftmate bietet dafür Funktionen zum Einsehen, Ändern, Exportieren und Löschen von Daten. Anfragen, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.
(2) Er unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit Aufsichtsbehörden, soweit es ihn betrifft.
§ 8 Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen. Er ergreift unverzüglich Maßnahmen, um die Folgen zu begrenzen.
§ 9 Löschung und Rückgabe
(1) Während der Laufzeit kann der Verantwortliche Daten jederzeit selbst exportieren und löschen.
(2) Nach Vertragsende löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, nachdem dieser Gelegenheit zum Export hatte, spätestens 30 Tage nach Vertragsende, sofern keine gesetzliche Pflicht zur Speicherung besteht. Löscht der Inhaber sein Konto in der App, werden die Daten sofort gelöscht. Sicherungskopien werden im regulären Rotationszyklus überschrieben.
§ 10 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen nach Absprache. Kontrollen vor Ort finden nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten statt; Kosten trägt jede Seite selbst.
§ 11 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen der Nutzungsbedingungen.
(2) Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor.
Anlage 1 – Technische und organisatorische Maßnahmen
| Bereich | Maßnahmen |
|---|---|
| Zutrittskontrolle | Server in zertifizierten Rechenzentren des Hosters in Deutschland mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal (Maßnahmen des Hosters) |
| Zugangskontrolle | Anmeldung nur mit persönlichem Zugang; Passwörter mit mindestens 8 Zeichen, gespeichert als sicherer Hash; Schutz vor dem Erraten von Passwörtern; Anmeldungen laufen nach 60 Tagen ohne Nutzung ab; Verwaltungsbereich passwortgeschützt; Server-Konfiguration nicht öffentlich abrufbar |
| Zugriffskontrolle | Rollen- und Rechtekonzept (Inhaber, Schichtleitung, Mitarbeiter, einzelne Rechte wie „Löhne sehen“); Prüfung der Rechte auf dem Server bei jeder Anfrage; Mitarbeiter sehen nur eigene bzw. freigegebene Daten |
| Trennungskontrolle | Strikte Mandantentrennung: Jeder Datensatz gehört genau einem Betrieb; die Zuordnung ergibt sich ausschließlich aus dem Anmelde-Token, nie aus der Anfrage |
| Weitergabekontrolle | Verschlüsselte Übertragung (HTTPS/TLS); Dokumente nur nach Anmeldung und Rechteprüfung abrufbar; Push-Mitteilungen nur an Geräte angemeldeter Nutzer |
| Eingabekontrolle | Speicherung, wer einen Datensatz zuletzt geändert hat; nachträgliche Korrekturen von Arbeitszeiten werden gekennzeichnet |
| Verfügbarkeit | Regelmäßige Datensicherung durch den Hoster; Daten zusätzlich auf den Geräten der Nutzer; Exportfunktion als Excel und PDF |
| Datensparsamkeit | Standort wird nur auf dem Gerät geprüft, Koordinaten werden nicht übertragen; kein Tracking, keine Analyse-Tools; Löschen von Konten in der App |
| Überprüfung | Sicherheitstests der Schnittstelle vor Änderungen; Aktualisierung der Software bei bekannten Schwachstellen |
Anlage 2 – Unterauftragsverarbeiter
| Dienstleister | Leistung | Ort |
|---|---|---|
| ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf | Hosting, Datenbank, Dateispeicher, E-Mail-Versand | Deutschland |
| Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland (mit Apple Inc., USA) | Zustellung von Push-Mitteilungen (Push-Token und Text der Mitteilung) | EU / USA (EU-US Data Privacy Framework) |