Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO für die Nutzung der Software Stempla — mit den Anlagen 1 (Verarbeitung im Überblick), 2 (Technische und organisatorische Maßnahmen nach Art. 32 DSGVO) und 3 (Unterauftragsverarbeiter)
Stand: Juli 2026

Dieser Auftragsverarbeitungsvertrag ist gemäß § 12 Abs. 2 der AGB Bestandteil jedes Nutzungsvertrags über Stempla. Parteien sind der Kunde als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO („Verantwortlicher") und die in-Reach UG (haftungsbeschränkt) & Co. KG, Altstadt 2-4, 95028 Hof als Auftragsverarbeiter („Auftragsverarbeiter", „wir"). Eines gesonderten Abschlusses in Schriftform bedarf es nicht; auf Wunsch stellen wir den AVV zur beidseitigen Zeichnung bereit.

§ 1 Gegenstand und Dauer

1. Wir verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des Betriebs der Software Stempla (Zeiterfassung, Abwesenheitsverwaltung, Betriebsdatenerfassung, Auswertungen und Lohn-Export) gemäß dem Nutzungsvertrag.
2. Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Die Regelungen zur Löschung (§ 10) gelten über das Vertragsende hinaus.

§ 2 Art und Zweck der Verarbeitung; Datenarten; Betroffene

Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Der Verantwortliche bestimmt durch seine Konfiguration (insbesondere Abwesenheitsarten, benutzerdefinierte Felder, Modul-Buchungen und das GPS-Opt-in der Mobile-App), welche Daten innerhalb dieses Rahmens tatsächlich verarbeitet werden.

§ 3 Weisungen

1. Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern wir nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet sind; in einem solchen Fall teilen wir dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
2. Die Nutzung der Software durch den Verantwortlichen und seine Nutzer (einschließlich Konfiguration, Datenerfassung, Auswertungen und Exporten) gilt als Weisung. Darüber hinausgehende Weisungen bedürfen der Textform.
3. Halten wir eine Weisung für datenschutzrechtswidrig, informieren wir den Verantwortlichen unverzüglich und dürfen die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 4 Vertraulichkeit

Wir setzen für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den für sie relevanten Datenschutzanforderungen vertraut gemacht wurden.

§ 5 Technische und organisatorische Maßnahmen

1. Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passen sie fortlaufend an den Stand der Technik an.
2. Die Maßnahmen dürfen weiterentwickelt und durch mindestens gleichwertige ersetzt werden, solange das Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir in der jeweils aktuellen Fassung der Anlage 2 unter dieser Adresse.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 genannten Unterauftragsverarbeiter.
2. Die Beauftragung weiterer oder der Austausch bestehender Unterauftragsverarbeiter wird dem Verantwortlichen mindestens vier Wochen vor Wirksamwerden in Textform angekündigt (E-Mail oder Hinweis im Portal). Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen; führt der Widerspruch zu keiner einvernehmlichen Lösung, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
3. Mit jedem Unterauftragsverarbeiter schließen wir einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV uns.
4. Die Verarbeitung findet in der Europäischen Union bzw. im Europäischen Wirtschaftsraum statt. Eine Übermittlung in Drittländer erfolgt nur über die in Anlage 3 ausgewiesenen Unterauftragsverarbeiter und nur auf Grundlage geeigneter Garantien nach Kapitel V DSGVO (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss, etwa das EU-US Data Privacy Framework).

§ 7 Unterstützung des Verantwortlichen

1. Wir unterstützen den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten — in erster Linie durch die Selbstbedienungs-, Auskunfts-, Export-, Berichtigungs- und Anonymisierungsfunktionen der Software. Gehen Betroffenenanträge direkt bei uns ein, leiten wir sie unverzüglich an den Verantwortlichen weiter und beantworten sie nicht selbst.
2. Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation).
3. Aufwände für Unterstützungsleistungen, die über die Funktionen der Software und gesetzliche Pflichten hinausgehen, dürfen wir nach vorheriger Ankündigung zu angemessenen Sätzen berechnen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Verantwortlichen unverzüglich, nachdem uns eine Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten bekannt geworden ist. Die Meldung enthält, soweit bereits verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; nicht sofort verfügbare Informationen reichen wir ohne unangemessene Verzögerung nach. Die Meldung an die Aufsichtsbehörde und an betroffene Personen ist Sache des Verantwortlichen.

§ 9 Nachweise und Kontrollen

1. Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — in erster Linie durch diese Dokumentation (einschließlich Anlage 2), Ergebnisse interner Prüfungen sowie künftige Prüfberichte oder Zertifizierungen.
2. Der Verantwortliche kann darüber hinaus Überprüfungen — einschließlich Inspektionen — durchführen oder durch einen zur Vertraulichkeit verpflichteten, nicht mit uns im Wettbewerb stehenden Prüfer durchführen lassen. Kontrollen erfolgen mit angemessener Vorlauffrist (in der Regel vier Wochen), während der üblichen Geschäftszeiten, höchstens einmal je Kalenderjahr — außer bei konkretem Anlass (etwa einer gemeldeten Verletzung) oder behördlicher Anordnung. Jede Partei trägt ihre eigenen Kosten.

§ 10 Löschung und Rückgabe nach Ende der Verarbeitung

1. Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit über die Export- und Berichtsfunktionen der Software erhalten; hierzu ist er vor Vertragsende gehalten (§ 12 Abs. 3 AGB).
2. Nach Beendigung des Nutzungsvertrags löschen wir die im Auftrag verarbeiteten personenbezogenen Daten, sofern und soweit keine Rechtspflicht zur Aufbewahrung besteht. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Rechnungs- und Buchführungsdaten nach GoBD), werden bis zum Ablauf der jeweiligen Frist gesperrt aufbewahrt und anschließend gelöscht.
3. Innerhalb der Laufzeit gilt das Löschkonzept der Software: Nach Austritt eines Beschäftigten und Ablauf der vom Verantwortlichen konfigurierten Aufbewahrungsfrist (gesetzliche Untergrenzen: 2 Jahre für Arbeitszeitnachweise nach § 16 ArbZG, bis zu 10 Jahre für lohnrelevante Unterlagen) werden Personenstammdaten anonymisiert und Erfassungsmedien gelöscht; Bewegungsdaten verbleiben nur pseudonymisiert für Aggregat-Auswertungen. Die Läufe werden im Audit-Log protokolliert.

§ 11 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor.
2. Im Übrigen gelten die Schlussbestimmungen der AGB (§ 17) entsprechend, insbesondere Rechtswahl und Gerichtsstand.

Anlage 1 — Verarbeitung im Überblick

Gegenstand und Zweck: Betrieb der Software Stempla für den Verantwortlichen — Erfassung, Verwaltung und Auswertung von Arbeitszeiten, Abwesenheiten, Betriebsdaten (BDE/Projekte), Erstellung von Zeitnachweisen und Berichten, Lohn-Export an das Lohnsystem des Verantwortlichen, Benachrichtigungen sowie Abo-/Rechnungsverwaltung.

Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (einschließlich Auszubildende, Leiharbeitnehmer, Aushilfen), Nutzer mit Verwaltungsrollen sowie Ansprechpartner des Verantwortlichen.

Kategorien personenbezogener Daten:

• Stammdaten: Name, Personalnummer, Organisationseinheit, Kostenstelle, Lohnsystem-Personalnummer, optional Mitarbeiterfoto.
• Kontodaten: Anmelde-E-Mail-Adresse, Rollenzuordnung; Passwörter und Zweitfaktoren verbleiben beim von uns selbst betriebenen Identity Provider und sind für uns nicht im Klartext einsehbar.
• Erfassungsmedien: Transponder-/Ausweisnummern (RFID/Barcode), Kiosk-PIN (ausschließlich als Argon2-Hash gespeichert). Keine biometrischen Daten — biometrische Erfassungsverfahren sind bewusst nicht Teil der Software.
• Bewegungsdaten: Kommen/Gehen-Buchungen, Pausen, BDE-/Projektbuchungen, Buchungsquelle (Web, Kiosk, Mobile-App, Schnittstelle) mit Zeitstempeln, daraus berechnete Salden und Tagesergebnisse.
• Abwesenheitsdaten: Abwesenheitsart und Zeitraum. Verwendet der Verantwortliche Abwesenheitsarten mit Gesundheitsbezug (etwa „Krank" oder „Arztbesuch"), lässt der Eintrag Rückschlüsse auf den Gesundheitszustand zu und berührt damit besondere Kategorien nach Art. 9 DSGVO. Der Verantwortliche stellt die erforderliche Rechtsgrundlage sicher (im Beschäftigungskontext regelmäßig § 26 Abs. 3 BDSG); die Software speichert nur die Art und den Zeitraum, keine Diagnosen und keine Atteste.
• Standortdaten: ausschließlich in der Mobile-App und nur bei ausdrücklich aktiviertem Opt-in des jeweiligen Nutzers werden Buchungen um GPS-Koordinaten ergänzt; ohne Opt-in werden keine Standortdaten erfasst. Das Kiosk-Terminal erfasst keine Standortdaten.
• Benutzerdefinierte Felder: vom Verantwortlichen frei definierte Zusatzfelder. Für deren Inhalt und Datenminimierung ist allein der Verantwortliche verantwortlich.
• Abrechnungsbezogene Daten des Verantwortlichen: Firmen- und Ansprechpartnerdaten, Abrechnungs-E-Mail, Rechnungs- und Zahlungsstatusdaten (keine Beschäftigtendaten).

Protokoll- und Sicherungsdaten: Audit-Protokolle über Änderungen (Akteur, Zeitpunkt, Vorher/Nachher), technische Server-Protokolle sowie Datensicherungen gemäß Anlage 2.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

Stempla wird im Eigenbetrieb auf eigener Infrastruktur in Deutschland/EU betrieben (Debian-Linux, native Dienste, kein Fremd-PaaS); der Identity Provider (Zitadel) wird auf derselben Infrastruktur selbst betrieben. Die Maßnahmen im Einzelnen:

1. Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a)

• Transportverschlüsselung mit TLS (TLS 1.3, HTTPS-Erzwingung samt HSTS) für sämtliche Verbindungen zwischen Nutzern, Terminals, Mobile-App und den Diensten; interne Dienste und Datenbank sind nicht öffentlich erreichbar (nur localhost bzw. VPN).
• Datensicherungen werden verschlüsselt und getrennt vom Produktivsystem aufbewahrt.
• Kiosk-PINs werden ausschließlich als Argon2-Hash gespeichert; Passwörter und Zweitfaktoren verwaltet der Identity Provider nach Stand der Technik.
• Pseudonymisierung nach Fristablauf: Personenstammdaten ausgeschiedener Beschäftigter werden anonymisiert, Bewegungsdaten behalten nur eine nichtsprechende Kennung (siehe § 10 Abs. 3 AVV).

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

• Zutrittskontrolle: Betrieb in einem professionellen Rechenzentrum in Deutschland/EU mit Zutrittskontrolle (Anbieter siehe Anlage 3); kein Serverbetrieb in Büroräumen.
• Zugangskontrolle: Administrativer Zugang zum Server ausschließlich per SSH mit Schlüssel-Authentifizierung und nur über VPN; öffentlich erreichbar sind ausschließlich die Web-Endpunkte (Ports 80/443). Nutzer-Anmeldung über den Identity Provider mit Passwort-Richtlinie, Brute-Force-Schutz und Mehr-Faktor-Authentifizierung/Passkeys; Kiosk-PINs mit Fehlversuchssperre (5 Fehlversuche → 5 Minuten Sperre).
• Zugriffskontrolle: Rollenmodell je Mandant (Admin, Personalbüro, Teamleiter nur für das eigene Team, Mitarbeiter nur für eigene Daten, Maschinen-Identitäten mit engen Scopes). Die Anwendungen verbinden sich niemals als Datenbank-Superuser; getrennte Datenbankrollen mit minimalen Rechten (die Erfassungsschnittstelle darf z. B. ausschließlich Buchungen einfügen). Support-Zugriff durch uns nur nach ausdrücklicher Freigabe des Kunden, zeitlich befristet und vollständig protokolliert.
• Trennungskontrolle (Mandantentrennung): Mandantentrennung mit zwei unabhängigen Verteidigungslinien — Mandantenfilter in der Anwendung und Row-Level-Security in der Datenbank (FORCE, gilt auch für privilegierte Anwendungsrollen). Der Mandantenkontext stammt ausschließlich aus dem validierten Anmelde-Token, nie aus Anfrageparametern; ohne Mandantenkontext liefert die Datenbank keine Zeilen. Die Trennung wird durch eine umfangreiche, mit jeder Änderung wachsende Suite automatisierter Isolationstests (derzeit über 100) in der kontinuierlichen Integration abgesichert — einschließlich Angriffsszenarien wie umgangener Anwendungsfilter und rohem SQL.

3. Integrität (Art. 32 Abs. 1 lit. b)

• Buchungsströme, Monatsabschlüsse, Lohn-Export-Läufe, Rechnungen und das Audit-Protokoll sind append-only: Datenbank-Trigger und entzogene Rechte verhindern nachträgliche Änderung oder Löschung; Korrekturen erfolgen ausschließlich als neue, gekennzeichnete Ereignisse (Storno/Korrektur).
• Eingabekontrolle: Alle Stammdatenänderungen und Korrekturen werden automatisch mit Akteur, Zeitpunkt und Vorher/Nachher-Werten im Audit-Log protokolliert; das Audit-Log selbst ist unveränderlich.
• Diese Schutzmechanismen werden durch verpflichtende automatisierte Prüfungen (Schema-Wächter für Row-Level-Security und Append-only) in der kontinuierlichen Integration abgesichert.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

• Tägliche Datensicherung der Datenbanken; lokale Vorhaltung ca. 14 Tage, zusätzlich externe, verschlüsselte Sicherung des gesamten Anwendungs- und Datenbestands (Langzeitaufbewahrung).
• Dokumentierte Wiederherstellungs-Prozedur; der Buchungsstrom ist als unveränderliches Ereignisprotokoll die Quelle der Wahrheit, aus der abgeleitete Daten reproduzierbar sind.
• Gehärtetes Minimal-System: Firewall (nur 80/443 öffentlich), automatische Sicherheitsupdates, keine unnötigen Dienste.
• Offline-Fähigkeit der Erfassung: Kiosk-Terminals und Mobile-App puffern Buchungen lokal und übertragen sie nach; ein Ausfall der Verbindung führt nicht zu Datenverlust.

5. Verfahren zur regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d)

• Automatisierte Test-Suite (Isolations-, Schema- und Fachtests) als Pflicht vor jeder Auslieferung.
• Regelmäßige Einspielung von Sicherheitsupdates (unbeaufsichtigte Updates plus überwachte Wartungsfenster).
• Technische Protokolle werden nur kurzfristig aufbewahrt (Zielwert: längstens 30 Tage), Audit-Protokolle nach den gesetzlichen Fristen für Lohnunterlagen.
• Vor dem Produktivstart verbindlich vorgesehen (Betriebsreife-Programm): externer Penetrationstest, Wiederherstellungs-Test unter Last, Statusseite mit Monitoring/Alarmierung sowie die Benennung des Rechenzentrums-Anbieters in Anlage 3. Diese Anlage wird dann aktualisiert.

6. Organisatorische Maßnahmen

• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (§ 4 AVV).
• Grundsatz der Datenminimierung im Produkt: keine Biometrie, GPS nur per Opt-in, sensible Zusatzfelder kennzeichenbar, Demo-Umgebungen ausdrücklich ohne Echtdaten.
• Dokumentierte Inbetriebnahme- und Betriebsprozeduren; Trennung von Entwicklungs-, Test- und Produktivumgebung (lokale Entwicklungsumgebung ohne Produktivdaten).

Anlage 3 — Unterauftragsverarbeiter

Der Identity Provider (Zitadel) und die Datenbank werden von uns selbst betrieben und sind keine Unterauftragsverarbeiter.