Vertrag zur Auftragsverarbeitung (AVV)

Fassung 1.0 vom 11.10.2026 (Entwurf). Dieser Vertrag gilt zwischen der Organisation, die ConTrack Cloud nutzt („Auftraggeber“, Verantwortlicher im Sinne der DSGVO), und Frank Gutknecht (Conperity), Kiebitzstr. 5h, 85586 Poing („Auftragnehmer“). Er ist Bestandteil der Nutzungsbedingungen (AGB, Abschnitt 8) und gilt mit deren Annahme bei der Registrierung bzw. beim Anlegen einer Organisation als elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO); ConTrack speichert dazu Zeitpunkt, Fassung und Konto.

1. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber ConTrack Cloud bereit (Leistungserfassung, Abrechnung, Angebote, Abwesenheiten, Auswertungen) und verarbeitet dabei personenbezogene Daten im Auftrag. Der Vertrag gilt, solange der Auftraggeber ConTrack nutzt, und endet mit dem Nutzungsvertrag (AGB). [TODO: Verhältnis zu den AGB, Vorrang bei Widersprüchen]

2. Art und Zweck der Verarbeitung, Daten und Betroffene

Zweck ist die Erfassung und Abrechnung von Leistungen des Auftraggebers gegenüber seinen Kunden sowie die Verwaltung seiner Nutzer. Verarbeitet werden:

• Nutzer des Auftraggebers (Inhaber, Admins, Mitglieder, Zeiterfasser): Name, E-Mail-Adresse, Rolle, Anmeldedaten (Passwort nur als Hash), Sitzungen mit Browser-Kennung.
• Mitarbeiter des Auftraggebers: erfasste Arbeitszeiten und Leistungen (Datum, Uhrzeiten, Pausen, Beschreibung, Kunde), Abrechnungsprofil und Stundensatz, Abwesenheiten (Art, Zeitraum).
• Kunden des Auftraggebers und deren Ansprechpartner: Firmen- und Personennamen, Anschrift, E-Mail-Adressen, USt-IdNr., Bestellungen, Rechnungen und Angebote.

Besondere Kategorien (Art. 9 DSGVO): Die Abwesenheitsart „Krank“ ist ein Gesundheitsdatum. ConTrack speichert dazu nur Art und Zeitraum; eine Notiz ist bei Krankheit technisch ausgeschlossen. Der Auftraggeber entscheidet, ob er diese Art nutzt. [TODO: Rechtsgrundlage beim Auftraggeber (§ 26 Abs. 3 BDSG), ggf. neutrale Abwesenheitsart anbieten]

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Einstellungen und Aktionen in ConTrack (z. B. Anlegen, Ändern, Löschen, Export) sowie Weisungen in Textform an info@conperity.de. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er darauf hin.

4. Vertraulichkeit

Personen, die beim Auftragnehmer Zugang zu Daten haben, sind zur Vertraulichkeit verpflichtet. Administratoren des Auftragnehmers sehen im Adminbereich nur Konten und Organisationen, keine Kundendaten (technisch getrennt, siehe Anlage 1). [TODO: Verpflichtung der Beschäftigten dokumentieren]

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die Unterauftragsverarbeiter aus Anlage 2. Über neue oder geänderte informiert der Auftragnehmer vorab per E-Mail an den Inhaber; der Auftraggeber kann innerhalb von [TODO: Frist, z. B. 14 Tagen] aus wichtigem datenschutzrechtlichem Grund widersprechen. [TODO: Folge eines Widerspruchs, z. B. Sonderkündigungsrecht]

7. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit). Vieles kann der Auftraggeber selbst in ConTrack erledigen: Daten ändern und löschen, Mitglieder entfernen, vollständiger Datenexport (Einstellungen → Datenexport). Er unterstützt außerdem bei Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden. [TODO: Vergütung für Unterstützung über das Übliche hinaus]

8. Datenpannen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [TODO: Frist, z. B. 48 Stunden] nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

9. Löschung und Rückgabe nach Vertragsende

Vor dem Ende kann der Auftraggeber alle Daten exportieren (Rechnungen und Angebote als PDF bzw. E-Rechnung, alle Daten als CSV und JSON). Löscht der Inhaber die Organisation, werden alle Daten sofort und vollständig aus der Datenbank entfernt. In Datensicherungen bleiben sie bis zu deren Ablauf erhalten: [TODO: Anbieter/Ort und Aufbewahrungsdauer der Datensicherungen]. Gesetzliche Aufbewahrungspflichten für Rechnungen trägt der Auftraggeber selbst (siehe AGB).

10. Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage nach, etwa durch diese Beschreibung, Auskünfte und [TODO: Zertifikate oder Prüfberichte, falls vorhanden]. Kontrollen vor Ort nach Absprache und mit angemessener Vorlaufzeit. [TODO: Kostenregelung]

11. Haftung und Schlussbestimmungen

[TODO: Haftung nach Art. 82 DSGVO, Schriftform/Textform, salvatorische Klausel, Gerichtsstand]

Anlage 1: Technische und organisatorische Maßnahmen

• Zutritt (Rechenzentrum): [TODO: Hosting-Anbieter und Standort der Server von ConTrack]. [TODO: Zutrittsschutz des Rechenzentrums beschreiben]
• Zugang (Anmeldung): Passwörter mit mindestens 8 Zeichen, gespeichert nur als bcrypt-Hash; Sperre nach wiederholten Fehlversuchen mit Benachrichtigung; Sitzungen in der Datenbank, jederzeit beendbar (Abmelden, Passwortwechsel, Entfernen aus der Organisation wirken nach spätestens 2 Minuten); Administratoren des Auftragnehmers nur mit Zwei-Faktor-Anmeldung.
• Zugriff (Berechtigungen): Rollen je Organisation – Inhaber, Admin, Mitglied, Zeiterfasser (sieht nur eigene Leistungen, keine Stundensätze oder Beträge). Stundensätze und Einstellungen ändern nur Inhaber und Admins.
• Trennung der Organisationen: jede Datenbankabfrage ist auf die eigene Organisation beschränkt, zusätzlich durch Zeilenschutz in der Datenbank (Row-Level-Security). Konten und Organisationen liegen getrennt von den Kundendaten, mit eigener Datenbankrolle; der Adminbereich hat keinen Zugriff auf Kundendaten.
• Weitergabe: Übertragung nur verschlüsselt (HTTPS/TLS). Zugangsschlüssel für Microsoft Outlook und Zwei-Faktor-Geheimnisse sind zusätzlich mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt getrennt von der Datenbank.
• Eingabekontrolle: Protokoll (Audit-Log) für Änderungen an Organisation, Team und Konten; Leistungen tragen die erfassende Person, Rechnungen werden beim Ausstellen unveränderlich gespeichert.
• Verfügbarkeit: Datensicherungen: [TODO: Anbieter/Ort und Aufbewahrungsdauer der Datensicherungen]. Begrenzung von Anfragen gegen Überlastung und das Durchprobieren von Passwörtern. [TODO: Wiederherstellungstests, Überwachung]
• Datensparsamkeit und Löschung: keine Einbindung von Drittanbietern in die Oberfläche (keine Tracker, Schriften von der eigenen Domain); keine Notiz bei Krankheit; Löschen einer Organisation entfernt alle Daten sofort. Server-Logs: [TODO: Umfang und Speicherdauer der Server-Logs].

Anlage 2: Unterauftragsverarbeiter

• Hosting und Betrieb: [TODO: Hosting-Anbieter und Standort der Server von ConTrack]
• E-Mail-Versand (Konto bestätigen, Passwort, Einladungen): [TODO: Anbieter für den E-Mail-Versand]
• Datensicherung: [TODO: Anbieter/Ort und Aufbewahrungsdauer der Datensicherungen]

Microsoft Outlook (optional): Verbindet der Auftraggeber Outlook, meldet er sich über die beim Auftragnehmer registrierte Microsoft-App „ConTrack“ mit seinem eigenen Microsoft-Konto an. ConTrack legt damit nur auf Anforderung E-Mail-Entwürfe mit Rechnungen im Postfach des Auftraggebers an; das Postfach selbst betreibt Microsoft im Auftrag des Auftraggebers (dessen eigener Vertrag mit Microsoft), nicht des Auftragnehmers. [TODO: juristisch prüfen, ob Microsoft durch die zentrale App Unterauftragsverarbeiter wird]