Auftragsverarbeitungsvertrag (Schichtplanung und Zeiterfassung)

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen in der Plattform enoono die Schichtplanung bereit: Team, Einladungen, Einsatzorte und Positionen, Schichtarten, Schichten, Zuordnungen, Verfügbarkeiten, Wunschdienstplan, Planungshinweise, Protokoll und Benachrichtigungen in der App und per E-Mail, und die Zeiterfassung: Stempeln, Pausen, Prüfung, Korrekturen, Korrekturwünsche, Monatsabschluss, Personalnummer und Export der Arbeitszeiten.

(2) Der Vertrag gilt ab der Annahme in der Plattform durch den Inhaber des Betriebskontos. Er endet mit der Löschung des Betriebskontos oder mit einer Kündigung des Verantwortlichen in Textform an kontakt@enoono.com. Die Nutzungsbedingungen von enoono gelten ergänzend.

2. Art, Zweck und Umfang der Verarbeitung

(1) Zweck ist die Planung von Arbeitseinsätzen und der Nachweis, wer wann wo eingeplant war und ob alle Schichten besetzt sind, sowie die Erfassung der tatsächlichen Arbeitszeit für den Arbeitszeitnachweis, die gesetzlichen Aufzeichnungspflichten und die Lohnabrechnung des Verantwortlichen (Zeiterfassung).

(2) Verarbeitet werden: Anzeigename, E-Mail-Adresse (bei eingeladenen Personen und für Benachrichtigungen), Rolle im Team, Herkunft der Mitgliedschaft, Status mit Ein- und Austrittszeitpunkt, optional das vom Planer eingetragene Geburtsjahr (nur für die Hinweise zum Jugendarbeitsschutz); Schichtarten (Vorlagen des Betriebs mit Name, Zeiten, Pause, Farbe, Bedarf, Einsatzort und Position, ohne Personendaten); Schichten mit Zeiten, Pause, Einsatzort, Position, Bedarf, Notiz, Status und Schichtart; Zuordnungen mit Status und Gründen; Wunschphasen (Monat, Frist, Status) und Dienstwünsche je Tag (gewünschte Schichtart, „egal“ oder „kann nicht“, ohne Freitext und ohne Grund) mit Zeitpunkt des Sendens, Freigabe (wer, wann) und daraus entstandener Zuordnung; Verfügbarkeiten; Protokolleinträge mit handelnder Person, Zeitpunkt und Änderung; Benachrichtigungen und Versandaufträge für E-Mails; in der Zeiterfassung Beginn, Ende und Pausen der Arbeitszeit (Zeit des Servers), Bezug zur Schicht, Status und Merker, Bestätigungen, Freigaben und Monatsabschlüsse mit handelnder Person und Zeitpunkt, Korrekturen mit Grund und alten und neuen Werten, bei einem verworfenen Eintrag der Grund, bei einem erledigten oder abgelehnten Korrekturwunsch die Notiz und bei einem wieder geöffneten Monat der Grund (jeweils Freitext), Korrekturwünsche mit Kommentar, bei einem bestätigten ungeplanten Eintrag Einsatzort und Position, die Personalnummer und ein Protokoll der Exporte. Standort und Gerätekennung werden nicht erfasst.

(3) Betroffen sind Beschäftigte und angehende Beschäftigte des Verantwortlichen (eigenes Personal, über enoono eingestellte Bewerber), Planer und der Inhaber.

(4) Bewerberprofile, Unterlagen und andere Marktplatzdaten sind nicht Teil dieser Verarbeitung; sie fließen nicht in die Schichtplanung.

3. Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Weisungen sind die Einstellungen und Handlungen in der Plattform sowie Weisungen in Textform an kontakt@enoono.com.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.

(3) Zur Weisung gehört auch: Setzt der Verantwortliche nach Annahme dieses Vertrags eine Bewerbung auf „eingestellt“, nimmt der Auftragsverarbeiter die Person als Mitarbeiter in das Team auf; Einstellungen, die bei der Annahme schon bestehen, werden dabei übernommen. Endet die Einstellung, tritt die Person aus, sofern sie nicht über eine Einladung Mitglied ist oder als Planer eingesetzt wurde. Eine Einladung können nur Bewerber- und Mitarbeiterkonten mit der eingeladenen, bestätigten E-Mail-Adresse annehmen.

4. Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Beschäftigten (Art. 13, 14 DSGVO) und die Einhaltung des Arbeitszeit- und Jugendarbeitsschutzrechts. Die Planungshinweise der Plattform sind rechtliche Orientierung, keine Rechtsberatung, und nicht vollständig.

(2) Der Verantwortliche lädt nur Personen ein, mit denen ein Beschäftigungsverhältnis besteht oder angebahnt wird, und gibt Zugänge als Planer nur an Personen, die für ihn planen.

(3) In der Zeiterfassung prüft der Verantwortliche die erfassten Zeiten, gibt sie frei und schließt Monate ab; er ist für ihre Richtigkeit, die Lohnabrechnung und die Aufbewahrung von Zeit- und Lohnunterlagen über die Löschfrist nach Nr. 8 Abs. 4 hinaus verantwortlich und sichert dafür seine Exporte, auch vor der Löschung des Betriebskontos. Hinweise zu Pausen und Arbeitszeit sind rechtliche Orientierung, keine Rechtsberatung.

5. Vertraulichkeit und Sicherheit

(1) Personen, die beim Auftragsverarbeiter Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.

(2) Technische und organisatorische Maßnahmen (Art. 32 DSGVO): verschlüsselte Übertragung (TLS); Zugriff in der Datenbank nur über Zeilenregeln und geprüfte Funktionen, getrennt nach Betrieb und Rolle; Verwaltungskonten haben keinen Zugriff auf Schichtdaten; unveränderliches Protokoll jeder Änderung; gesperrte und geschlossene Konten können nicht planen; Zugangsdaten für den E-Mail-Versand nur auf dem Server.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter:

• Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 (Datenbank, Anmeldung; Speicherort Dublin, Irland (eu-west-1))
• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland (Hosting des Servers, den der Auftragsverarbeiter selbst betreibt; Rechenzentrum Deutschland (Frankfurt))
• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland (Versand der E-Mails, Verarbeitungsort Deutschland)
• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland (Postfach kontakt@enoono.com für Weisungen, Anfragen und Meldungen; Verarbeitungsort Deutschland)

(2) Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und die Schichtplanung beenden.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen getroffen werden (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen für die Einhaltung dieser Pflichten.

(4) Für Übermittlungen in Drittländer und Zugriffe von dort gilt bei Supabase Inc. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). IONOS SE verarbeitet die Daten an den in Absatz 1 genannten Orten in Deutschland.

7. Unterstützung

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Anträge, die ihn erreichen und die Schichtplanung eines Betriebs betreffen, leitet er an den Verantwortlichen weiter.

(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Betriebskontos. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, eine Anlaufstelle für weitere Informationen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen; was noch nicht bekannt ist, reicht er unverzüglich nach.

(3) Er unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit die Schichtplanung betroffen ist.

8. Löschung und Rückgabe

(1) Endet der Vertrag, löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Daten der Schichtplanung und der Zeiterfassung dieses Betriebs oder gibt sie ihm zurück und löscht sie danach, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Eine Ausfuhr der Daten der Schichtplanung ist in der Plattform derzeit nicht vorgesehen (Zeitdaten exportiert der Verantwortliche selbst, Nr. 4 Abs. 3); die Rückgabe erfolgt auf Anfrage an kontakt@enoono.com in einem gängigen Format und ist vor der Löschung des Betriebskontos anzufordern. Mit der Löschung des Betriebskontos werden alle Daten der Schichtplanung und der Zeiterfassung dieses Betriebs gelöscht, einschließlich der Benachrichtigungen und der Versandaufträge für E-Mails, auch der noch nicht versendeten; aus Sammelmails mit Schichten mehrerer Betriebe werden seine Schichten entfernt.

(2) Tritt eine Person aus dem Team aus, bleiben ihre bisherigen Schichten zum Nachweis erhalten. Löscht eine Person ihr Konto, wird sie in den Daten des Verantwortlichen als „gelöschtes Konto“ angezeigt.

(3) Laufend gelöscht werden: die E-Mail-Adresse einer Einladung, sobald die Einladung angenommen, zurückgenommen oder nach 14 Tagen abgelaufen ist (im Versandauftrag der Einladungs-E-Mail bleibt sie bis zu 30 Tage nach dem Versand); Versandaufträge für E-Mails (Empfängeradresse, Name des Betriebs und Angaben für die E-Mail) spätestens 30 Tage nach dem Versand, dem endgültigen Fehlschlag oder dem Abbruch; gelesene Benachrichtigungen 180 Tage nach dem Lesen, ungelesene mit der Löschung des Kontos der Person oder des Betriebskontos; interne Merker für Sammelmails, sobald die Schicht vorbei oder abgesagt ist oder die Person nicht mehr im Team ist. Team, Schichten, Zuordnungen, Verfügbarkeiten und Protokoll bleiben bis zur Löschung des Betriebskontos gespeichert; einzelne Schichten können abgesagt, aber nicht gelöscht werden.

(4) Zeitdaten (Einträge mit Pausen, Korrekturwünsche, Monatsabschlüsse sowie die zugehörigen Protokolleinträge und Benachrichtigungen) löscht der Auftragsverarbeiter auf Weisung des Verantwortlichen automatisch 2 Jahre nach dem Ende des Monats, in dem ein Eintrag beginnt, für abgeschlossene und nicht abgeschlossene Monate gleich, mit der Löschung des Betriebskontos sofort. Die Sicherung über diese Frist hinaus erfolgt durch Exporte des Verantwortlichen. Endet der Vertrag ohne Löschung des Betriebskontos, gilt für die Zeitdaten Absatz 1; bis dahin bleibt es bei der Löschung nach diesem Absatz.

(5) Dienstwünsche löscht der Auftragsverarbeiter auf Weisung des Verantwortlichen automatisch 3 Monate nach dem Ende des Wunschmonats (Wünsche für November 2026 zum Beispiel am 1. März 2027) samt Wunschphase, den zugehörigen Protokolleinträgen und Benachrichtigungen, mit der Löschung des Kontos der Person oder des Betriebskontos sofort. Zuordnungen, die aus freigegebenen Wünschen entstanden sind, bleiben wie andere Schichtdaten nach Absatz 3 gespeichert.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Pflichten aus Art. 28 DSGVO nötigen Informationen zur Verfügung und ermöglicht Überprüfungen, in der Regel durch Auskünfte und Dokumentation; Vor-Ort-Prüfungen nach Absprache mit angemessener Vorankündigung.

10. Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen dieses Vertrags erhalten eine neue Fassung; die Schichtplanung kann dann erst nach erneuter Annahme weiter genutzt werden.