Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

Probenzi verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zur Bereitstellung und zum Betrieb von Crewflora bzw. vereinbarter Zusatzleistungen (Hosting, Support, Einrichtung). Die Dauer entspricht der Laufzeit des Nutzungsvertrags; danach gelten die Lösch- bzw. Rückgabepflichten dieses Vertrags.

2. Art und Zweck der Verarbeitung

Zweck: Betrieb der Crewflora-Anwendung für den Kunden (z. B. Schichtplanung, Mitarbeiterzugänge, Speisekarte, Feedback, Einstellungen, Geräte-/Kiosk-Nutzung). Verarbeitung umfasst Speichern, Auslesen, Übermitteln (im Rahmen der Anwendung), Löschen und technisches Logging, soweit für Sicherheit und Stabilität nötig.

3. Kategorien betroffener Personen und Daten

Typischerweise: Mitarbeitende und Beauftragte des Kunden; ggf. Gäste/Kunden bei Feedback-Funktionen. Datenarten je nach Nutzung: Name, Kontaktdaten, Schicht-/Arbeitszeiten, Zugangsrollen, Gerätezuordnung, Feedback-Inhalte, technische Nutzungsdaten (Login-Zeit, IP bei Rate-Limits). Der Kunde entscheidet, welche Daten er eingibt; besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen und vom Kunden zu vermeiden, sofern nicht gesondert vereinbart.

4. Weisungen

Probenzi verarbeitet Daten nur auf dokumentierte Weisung des Kunden – einschließlich der Nutzung der Softwarefunktionen und schriftlicher Weisungen (E-Mail an kontakt@probenzi.com). Probenzi informiert den Kunden unverzüglich, wenn eine Weisung gegen Datenschutzrecht verstoßen könnte.

5. Pflichten des Auftragsverarbeiters

• Vertraulichkeit: nur Personen mit Bedarf und Verpflichtung auf Vertraulichkeit erhalten Zugang.
• Technische und organisatorische Maßnahmen (TOM) gemäß Anlage A – fortlaufend angepasst.
• Unterstützung bei Betroffenenrechten, soweit möglich und zumutbar.
• Unterstützung bei Datenschutz-Folgenabschätzung und Aufsichtsbehördenanfragen, soweit betroffen.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Kunden ohne unangemessene Verzögerung nach Bekanntwerden.

6. Unterauftragsverarbeitung

Der Kunde erteilt allgemeine Genehmigung für Unterauftragsverarbeiter, die für Hosting, E-Mail-Versand oder Infrastruktur notwendig sind. Probenzi informiert über wesentliche Änderungen (neue oder ersetzte Unterauftragsverarbeiter) mit angemessener Vorlaufzeit; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Aktuelle typische Kategorien: Hosting-/Server-Provider in der EU/EWR (oder mit geeignetem Transfermechanismus). Eine aktuelle Liste wird auf Anfrage bereitgestellt bzw. im Kundenangebot vermerkt.

7. Ort der Verarbeitung

Primär EU/EWR. Übermittlungen in Drittländer nur mit geeigneten Garantien (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln) und Information an den Kunden.

8. Rechte der betroffenen Personen

Anfragen Betroffener leitet Probenzi an den Kunden weiter, sofern sie Probenzi erreichen und erkennbar den Kunden betreffen. Probenzi unterstützt den Kunden bei Auskunft, Berichtigung, Löschung und Einschränkung im Rahmen der technischen Möglichkeiten von Crewflora.

9. Löschung und Rückgabe

Nach Ende der Verarbeitung löscht Probenzi personenbezogene Kundendaten oder gibt sie zurück – nach Wahl des Kunden – und löscht vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Übliche Frist für produktive Löschung nach Vertragsende: 30 Tage, sofern nicht anders vereinbart. Backup-Restbestände entfallen mit dem nächsten regulären Backup-Zyklus.

10. Nachweis und Prüfungen

Probenzi stellt dem Kunden auf Anfrage Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Vor-Ort-Audits sind mit angemessener Frist, außerhalb kritischer Betriebszeiten und unter Wahrung der Vertraulichkeit anderer Kunden möglich; Kosten trägt der Kunde, sofern kein wesentlicher Verstoß festgestellt wird.

11. Haftung

Die Haftung richtet sich nach den gesetzlichen Vorgaben der DSGVO sowie dem Hauptvertrag / den AGB, soweit nicht zwingend abweichend.

Anlage A – Technische und organisatorische Maßnahmen (kurz)

• Zugangskontrolle: Invite-only Konten, Passwort-Hashes, Session-Cookies (HttpOnly, Secure, SameSite), Rate-Limits
• Übertragung: HTTPS für öffentliche Zugriffe
• Trennung: kundenspezifische Projekt-/Mandantenzugriffe über Berechtigungen
• Verfügbarkeit: Hosting-Backups und Monitoring im Rahmen des SLA
• Eingabekontrolle: protokollierte relevante Admin-/Support-Zugriffe, soweit technisch vorgesehen
• Auftragskontrolle: Weisungsbindung, kein Verkauf von Kundendaten

Abschluss

Mit Beauftragung bzw. Nutzung von Crewflora akzeptiert der Kunde diesen AV-Vertrag in der dann aktuellen Fassung, sofern nicht ein individuell unterzeichneter AV-Vertrag vorliegt. Kontakt: kontakt@probenzi.com