Vertrag zur Auftragsverarbeitung (AVV)
Diese Vorlage regelt die Verarbeitung personenbezogener Daten nach Art. 28 DSGVO, sobald eine Praxis (Verantwortlicher) die MINUTUS-Anwendung nutzt und php technologies GmbH (handelnd unter der Marke CSI Consulting; Auftragsverarbeiter) die Daten in deren Auftrag verarbeitet. Dieser Vertrag gilt, sobald wir Daten in Ihrem Auftrag verarbeiten, etwa beim Hosting durch uns oder bei Fernwartung mit Zugriff auf Daten. Beim reinen Betrieb in Ihrer Praxis ohne unseren Datenzugriff ist er nicht erforderlich. Diese Website selbst benötigt keinen AVV; es gilt dafür die Datenschutzerklärung. Auf Wunsch erhalten Sie den Vertrag zur Unterzeichnung.
1. Gegenstand und Dauer
Gegenstand ist der Betrieb der webbasierten Arbeitszeiterfassung MINUTUS für die Praxis. Der Vertrag gilt für die Laufzeit des Nutzungsverhältnisses.
2. Art und Zweck der Verarbeitung
Erfassung und Auswertung von Arbeitszeiten, Korrekturen, Abwesenheiten und Verträgen der Mitarbeiter der Praxis sowie Bereitstellung von Berichten und eines Audit-Logs, um die Pflicht zur Arbeitszeiterfassung zu erfüllen.
3. Art der Daten und Kreis der Betroffenen
- Datenarten: Stammdaten der Mitarbeiter (Name, E-Mail), Arbeitszeitdaten (Beginn, Ende, Pausen), Abwesenheitsdaten einschließlich Krankheit, Vertragsdaten (Wochenstunden, Arbeitstage, Urlaubsanspruch), Audit-Log-Einträge.
- Betroffene: Mitarbeiter der Praxis und deren Inhaber.
4. Weisungen
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung gemäß Funktionsumfang gilt als Weisung. Hält er eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
5. Vertraulichkeit
Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
6. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.
7. Unterauftragsverarbeiter
Der Einsatz weiterer Auftragsverarbeiter ist nur nach den Maßgaben der Anlage 2 zulässig. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter rechtzeitig vorab; der Verantwortliche kann aus wichtigem Grund widersprechen.
8. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 15 bis 22 DSGVO).
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich und unterstützt bei den Pflichten nach Art. 33 und 34 DSGVO.
10. Löschung und Rückgabe
Nach Beendigung des Nutzungsverhältnisses stellt der Auftragsverarbeiter die Daten auf Wunsch zur Verfügung (z. B. als CSV- und PDF-Export) und löscht sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht.
11. Nachweise und Kontrollrechte
Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen, auch durch vom Verantwortlichen beauftragte Prüfer, nach rechtzeitiger Ankündigung.
12. Schlussbestimmungen
Änderungen bedürfen der Textform. Es gilt deutsches Recht.
Anlage 1 – Technische und organisatorische Maßnahmen
- Zeitstempel werden ausschließlich von der Datenbank auf dem Server erzeugt, nie vom Browser.
- Zugriffstrennung auf Datenbankebene (Row Level Security): Mitarbeiter sehen nur ihre eigenen Datensätze.
- Das Audit-Log ist nur ergänzbar; Änderungen und Löschungen sind nicht zulässig.
- Alle Änderungen laufen über serverseitige Funktionen, keine direkten Schreibzugriffe aus dem Client.
- Rollenbasierter Zugriff (Inhaber, Leitung, Mitarbeiter); Krankmeldungen sind nur für Inhaber und Leitung sichtbar.
- Authentifizierung mit Sitzungs-Token, geschützten Cookies und E-Mail-basiertem Passwort-Reset.
- Verschlüsselte Übertragung (TLS).
Anlage 2 – Unterauftragsverarbeiter
- Hosting (nur bei Betrieb durch uns): Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum in der EU).
- E-Mail-Versand für Einladungen und Passwort-Rücksetzung (nur bei Betrieb durch uns; bei Betrieb in Ihrer Praxis versendet Ihr eigener Mailanbieter über Ihre SMTP-Konfiguration): Migadu GmbH, Basel, Schweiz. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).