Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer der Verarbeitung

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über den Zuschlagskalkulator (nachfolgend „Dienst“) zwischen Matthias Geßner, Dorfstraße 27, 16247 Ziethen (nachfolgend „Auftragsverarbeiter“) und dem Kunden (nachfolgend „Verantwortlicher“).

Gegenstand der Verarbeitung ist das Speichern, Berechnen und Anzeigen der vom Verantwortlichen im Dienst erfassten Beschäftigtendaten zum Zweck der Betriebskosten- und Stundensatzkalkulation.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Sie endet mit der Löschung des Kontos oder des jeweiligen Betriebs durch den Verantwortlichen.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben (Eingabe durch den Verantwortlichen), Speichern, Verändern, Auslesen und Löschen von Beschäftigtendaten sowie deren Verwendung zur Berechnung von Lohnkosten, Produktivstunden und Stundenverrechnungssätzen einschließlich der Lohnsteuer- und Sozialabgabenrechnung.

Der Auftragsverarbeiter verwendet die Daten zu keinem eigenen Zweck. Insbesondere führt er die Daten verschiedener Verantwortlicher nicht zusammen und erstellt keine betriebsübergreifenden Auswertungen oder Statistiken aus ihnen.

§ 3 Kategorien betroffener Personen und Datenkategorien

Betroffene Personen: Beschäftigte des Verantwortlichen (Arbeitnehmer, Minijobber, Teilzeitkräfte), soweit der Verantwortliche deren Daten im Dienst erfasst.

Datenkategorien: Vor- und Nachname (optional, verschlüsselt gespeichert), Freitext-Bezeichnung (Altbestand), Lohnkategorie, Lohnhöhe (brutto oder netto), Sonderzahlungen, Steuerklasse, Kinderfreibeträge, Beschäftigungsart, Wochenstunden sowie die Kirchensteuerpflicht.

Die Kirchensteuerpflicht lässt auf die Religionszugehörigkeit schließen und ist damit eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Die Rechtsgrundlage ihrer Verarbeitung liegt beim Verantwortlichen (regelmäßig Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG, da die Steuerklasse und die Kirchensteuerpflicht für die Lohnrechnung erforderlich sind).

§ 4 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen des Dienstes (Erfassen, Ändern, Berechnen, Exportieren, Löschen) gilt als Weisung in diesem Sinne; darüber hinausgehende Weisungen bedürfen der Textform.

Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er rechtlich verpflichtet ist, Daten ohne dessen Weisung zu verarbeiten (Art. 28 Abs. 3 Satz 2 lit. a DSGVO), es sei denn, die Information ist ihm rechtlich untersagt.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

§ 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie entsprechend dem Stand der Technik fort. Ersatzmaßnahmen dürfen das Schutzniveau nicht unterschreiten; wesentliche Änderungen werden dokumentiert.

§ 7 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 3 lit. d DSGVO)

Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) in Textform; der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Bleibt eine einvernehmliche Lösung aus, dürfen beide Parteien den Nutzungsvertrag außerordentlich kündigen.

Mit jedem Unterauftragsverarbeiter werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Verarbeitung außerhalb der EU beziehungsweise des EWR stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher (siehe Anlage 1).

§ 8 Unterstützungspflichten (Art. 28 Abs. 3 lit. e und f DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12 bis 23 DSGVO) zu beantworten. Auskunft, Berichtigung, Export und Löschung sind als Selbstbedienungsfunktionen im Dienst angelegt; darüber hinausgehende Anträge unterstützt der Auftragsverarbeiter auf Anforderung in Textform.

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und unterstützt ihn bei den Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 9 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

Der Verantwortliche kann seine Daten jederzeit selbst löschen: einzelne Beschäftigtendaten durch Ändern oder Entfernen im Rechner, den gesamten Bestand durch Löschung des Betriebs oder des Kontos. Die Kontolöschung steht als Selbstbedienungsfunktion bereit und erfasst sämtliche Betriebe, Beschäftigten- und Kalkulationsdaten.

Vor der Löschung kann der Verantwortliche seine Ergebnisse über die Exportfunktionen (PDF, CSV) sichern; ein gesondertes Rückgabeformat besteht nicht.

Nach Ende des Nutzungsvertrags löscht der Auftragsverarbeiter verbleibende personenbezogene Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden turnusmäßig überschrieben.

§ 10 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind — insbesondere diesen Vertrag samt Anlagen, die Datenschutzerklärung und auf Anforderung eine Beschreibung der Maßnahmen aus Anlage 2.

Der Verantwortliche kann Kontrollen in Form schriftlicher Auskunftsersuchen durchführen; Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, soweit sie den Betrieb nicht unverhältnismäßig stören und keine Daten anderer Kunden offenlegen.

§ 11 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag (einschließlich AGB) gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

Änderungen dieses Vertrags werden dem Verantwortlichen in Textform mitgeteilt; der jeweils geltende Stand ist mit Versionsnummer im Dienst abrufbar. Es gilt deutsches Recht.

Abschluss: Dieser Vertrag wird elektronisch geschlossen, indem der Kunde ihn bei der Registrierung ausdrücklich annimmt. Der angenommene Versionsstand wird protokolliert. Aktueller Stand: Version 1.0-entwurf vom 3.8.2026.

Anlage 1: Unterauftragsverarbeiter

Diese Liste ist identisch mit den Empfängern in der Datenschutzerklärung — beide werden aus derselben Quelle gepflegt.

• Supabase

  Zweck: Datenbank und Authentifizierung

  Verarbeitungsort: Irland (eu-west-1), Europäische Union

  Auftragsverarbeitung nach Art. 28 DSGVO; die Datenhaltung erfolgt innerhalb der EU [AVV-Stand ergänzen]

• Stripe

  Zweck: Zahlungsabwicklung des Abos

  Verarbeitungsort: Irland und USA

  Auftragsverarbeitung nach Art. 28 DSGVO; Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln [Vertragsstand ergänzen]

• Vercel

  Zweck: Hosting und Auslieferung der Anwendung

  Verarbeitungsort: [Verarbeitungsregion — nach Vertragsschluss ergänzen]

  Auftragsverarbeitung nach Art. 28 DSGVO; bei Verarbeitung außerhalb der EU/des EWR auf Grundlage der Standardvertragsklauseln [Vertragsstand ergänzen]

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen sind implementiert und beschreiben den Ist-Zustand — keine Absichtserklärungen.