Auftragsverarbeitungsvertrag (AVV)

Wenn ein Unternehmen TashOS nutzt, stellt es Daten seiner Mitarbeitenden in die Anwendung ein. Über diese Daten entscheidet ausschließlich das Kundenunternehmen – es ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. TashOS verarbeitet sie nur weisungsgebunden und ist insoweit Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO.

Art. 28 Abs. 3 DSGVO verlangt für diese Konstellation einen schriftlichen Vertrag – elektronische Form genügt. Dieses Dokument ist dieser Vertrag. Es wird mit dem Abschluss des Nutzungsvertrags über TashOS einbezogen und geht den Nutzungsbedingungen in allen Fragen der Auftragsverarbeitung vor (§ 10 Abs. 1 der Nutzungsbedingungen).

Kunden, die den AVV zusätzlich unterzeichnet in ihren Unterlagen führen möchten, erhalten ihn auf Anfrage als unterschriebenes Exemplar unter daniyaldatis@gmail.com.

Auftragsverarbeiter (nachfolgend „Anbieter“):

Daniyal Mohammadi (Einzelunternehmer)
Liegnitzer Str. 13
69124 Heidelberg
E-Mail: daniyaldatis@gmail.com

Verantwortlicher (nachfolgend „Kunde“): das Unternehmen, das den Nutzungsvertrag über TashOS abgeschlossen hat, mit den bei Vertragsschluss angegebenen Daten.

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Anbieter für den Kunden im Rahmen der Bereitstellung und des Betriebs der Software TashOS als Software-as-a-Service.

(2) Die Dauer des Auftrags entspricht der Laufzeit des Nutzungsvertrags. Der Auftrag endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung dieses Vertrags bedarf.

(3) Der Anbieter verarbeitet die Daten ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, sofern in Anlage 2 nichts anderes angegeben ist.

(1) Art und Zweck: Speichern, Ordnen, Auslesen, Verändern, Auswerten und Löschen personenbezogener Daten zum Zweck der Aufgaben- und Teamkoordination, der Arbeitsorganisation, der internen Kommunikation sowie der Erstellung von Auswertungen und Priorisierungsvorschlägen innerhalb des Unternehmens des Kunden.

(2) Kategorien betroffener Personen:

• Beschäftigte des Kunden, die in TashOS als Mitarbeitende geführt werden
• Führungskräfte und Filialleitungen des Kunden
• Administratoren und sonstige Nutzerkonten des Kunden
• weitere Personen, deren Daten der Kunde selbst in TashOS einstellt, z. B. externe Dienstleister

(3) Arten der verarbeiteten Daten:

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Position, Abteilung bzw. Team, Unternehmens- und Filialzugehörigkeit, Rolle und Berechtigungsstufe, Beschäftigungsart, vereinbarte Wochenstunden, Eintrittsdatum, Profilbild
• Inhaltsdaten: Aufgaben und deren Beschreibungen, Fristen, Notizen, Statusmeldungen, Kalender- und Termineinträge, interne Nachrichten
• Leistungsbezogene Daten: Bewertungen, Zielerreichung, Jahresberichte, Wochenübersichten, Produktivitäts- und Auslastungskennzahlen, automatisiert berechnete Prioritäts- und Kapazitätswerte
• Nutzungs- und Protokolldaten: Anmeldezeitpunkte, Anmeldeverfahren, gekürzte IP-Adresse, Protokolle sicherheitsrelevanter Vorgänge (Audit-Log)

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – etwa Gesundheitsdaten oder Angaben zur Gewerkschaftszugehörigkeit – sind nicht Gegenstand dieses Auftrags. Der Kunde stellt sicher, dass er solche Daten nicht in TashOS einstellt. Soweit der Kunde sie dennoch einstellen will, bedarf dies einer gesonderten schriftlichen Vereinbarung.

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Das gilt auch für die Übermittlung in ein Drittland. Besteht ausnahmsweise eine Rechtspflicht zur Verarbeitung nach Unionsrecht oder dem Recht eines Mitgliedstaats, teilt der Anbieter dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Anwendung durch den Kunden im vertraglich vorgesehenen Rahmen gilt als Weisung. Darüber hinausgehende Einzelweisungen erteilt der Kunde in Textform an die in § 12 genannte Kontaktstelle.

(3) Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Anbieter ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Kunden auszusetzen.

(4) Weisungsberechtigt auf Seiten des Kunden sind die von ihm benannten Personen, üblicherweise die in TashOS mit der Rolle „Administrator“ geführten Nutzer.

(1) Der Anbieter setzt zur Verarbeitung ausschließlich Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Diese Personen werden vor Aufnahme der Tätigkeit mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht. Die Verpflichtung wirkt auch nach Beendigung der Tätigkeit fort.

(1) Der Anbieter trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1 beschrieben und Bestandteil dieses Vertrags.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Kunden auf Anfrage mit.

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und damit ausdrücklich genehmigt.

(2) Beabsichtigt der Anbieter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Kunden mindestens vier Wochen vorher in Textform. Der Kunde kann der Änderung innerhalb von zwei Wochen ab Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann der Anbieter die betroffene Leistung einstellen oder der Kunde den Nutzungsvertrag zum Zeitpunkt der geplanten Änderung außerordentlich kündigen.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für dessen Verhalten wie für eigenes.

(4) Nicht als Unterauftragsverarbeitung im Sinne dieses Paragraphen gelten Nebenleistungen, die der Anbieter bei Dritten in Anspruch nimmt, ohne dass diese auf die Inhaltsdaten des Kunden zugreifen – etwa Telekommunikations- oder Reinigungsdienstleistungen.

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu erfüllen – insbesondere Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20).

(2) TashOS stellt dem Kunden hierfür Funktionen zur Verfügung, mit denen er die Daten einzelner betroffener Personen selbst exportieren und löschen kann. Der Kunde ist gehalten, diese Funktionen vorrangig zu nutzen.

(3) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Der Anbieter erteilt Auskünfte über Daten des Kunden nur nach dessen Weisung.

(1) Der Anbieter unterstützt den Kunden bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen – jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(2) Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, meldet er dies dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Kunden als Verantwortlichem.

(1) Nach Beendigung des Auftrags löscht der Anbieter alle personenbezogenen Daten des Kunden oder gibt sie nach dessen Wahl zurück. Der Kunde teilt seine Wahl spätestens bei Beendigung des Vertrags mit; trifft er keine Wahl, wird gelöscht.

(2) Vor der Löschung stellt der Anbieter dem Kunden die Daten für einen Zeitraum von 30 Tagen nach Vertragsende in einem gängigen, maschinenlesbaren Format zum Export bereit. Nach Ablauf dieser Frist erfolgt die Löschung einschließlich der Sicherungskopien nach einem dokumentierten Verfahren.

(3) Davon ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Diese Daten werden für die Dauer der Aufbewahrungspflicht gesperrt und danach gelöscht.

(1) Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.

(2) Der Nachweis kann geführt werden durch aktuelle Testate, Zertifizierungen oder Berichte unabhängiger Stellen, durch eine geeignete Zertifizierung nach Art. 42 DSGVO oder durch eine aussagekräftige Selbstauskunft.

(3) Genügen diese Nachweise nicht, kann der Kunde nach rechtzeitiger Ankündigung – in der Regel mindestens vier Wochen – während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Prüfer darf kein Wettbewerber des Anbieters sein. Für den Aufwand über eine Prüfung pro Kalenderjahr hinaus kann der Anbieter eine angemessene Vergütung verlangen.

Eine Übermittlung personenbezogener Daten in ein Land außerhalb der EU bzw. des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – also insbesondere auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst erforderlicher ergänzender Schutzmaßnahmen. Übermittlungen, die stattfinden, sind in Anlage 2 kenntlich gemacht.

(1) Kontaktstelle für alle Fragen der Auftragsverarbeitung, für Weisungen und für Meldungen nach § 8 ist: daniyaldatis@gmail.com.

(2) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrags, soweit sie zwingendem Recht nicht entgegenstehen.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen und Ergänzungen bedürfen der Textform.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Heidelberg, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Der Anbieter hat für die Verarbeitung im Rahmen von TashOS insbesondere die folgenden Maßnahmen getroffen. Der Anbieter betreibt keine eigenen Rechenzentren; die Angaben zu Rechenzentren, Verschlüsselung und Sicherung beruhen auf den veröffentlichten Angaben der Plattform (Wix.com Ltd., Base44).

1. Vertraulichkeit

• Zugangskontrolle: Zugang zur Anwendung nur über persönliche Benutzerkonten mit Authentifizierung. Einladungen erfolgen über zeitlich befristete, einmalig einlösbare Tokens.
• Zugriffskontrolle: Abgestuftes Rollenkonzept (Administrator, Filialleitung, Mitarbeitende) mit Rechteprüfung auf Datensatzebene. Jeder Datensatz ist einer Firma und ggf. einer Filiale zugeordnet; die Prüfung erfolgt serverseitig, nicht im Browser.
• Trennungskontrolle: Mandantentrennung über die Firmenzuordnung jedes Datensatzes. Ein Zugriff auf Daten anderer Kundenunternehmen ist technisch ausgeschlossen.
• Pseudonymisierung: IP-Adressen werden vor der Speicherung gekürzt (IPv4 um das letzte Oktett, IPv6 auf das /64-Präfix) und damit nur pseudonymisiert protokolliert.
• Zutrittskontrolle zu den Rechenzentren: liegt bei den Betreibern der Rechenzentren. Die Plattform nennt eine Zertifizierung nach SOC 2 Typ II und ISO 27001.

2. Integrität

• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge in einem Audit-Log (wer, welche Aktion, welcher Datensatz, Zeitpunkt, gekürzte IP) sowie Protokollierung von Anmeldevorgängen.
• Weitergabekontrolle: Transportverschlüsselung aller Verbindungen per TLS. Serverseitige Eingabevalidierung nach festen Schemata, um Manipulationen an Abfragen auszuschließen; Maskierung von Sonderzeichen vor der Ausgabe in HTML.
• Missbrauchsschutz: Begrenzung der Aufrufhäufigkeit sicherheitsrelevanter Funktionen (Rate-Limiting) zum Schutz vor automatisierten Angriffen.
• Verschlüsselung gespeicherter Daten: Nach Angabe der Plattform AES-256 im Ruhezustand, einschließlich der Sicherungen.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung: Die Plattform erstellt automatisiert und regelmäßig verschlüsselte Sicherungen. Intervall und Aufbewahrungsdauer bestimmt die Plattform.
• Wiederherstellbarkeit: Die Plattform unterhält nach eigenen Angaben dokumentierte Wiederherstellungsverfahren mit festgelegten Wiederherstellungszielen. Konkrete Zeiten sagt der Anbieter nicht zu.
• Verfügbarkeit: 98 % im Monatsmittel, siehe § 8 der Nutzungsbedingungen.

4. Verfahren zur regelmäßigen Überprüfung

• Automatisierter Sicherheitsscan der Anwendung in täglichem Turnus mit dokumentiertem Befund; erkannte Schwachstellen werden nach Schweregrad priorisiert behoben.
• Trennung zwischen regulären Nutzerrechten und erhöhten Systemrechten: Schreibvorgänge, die erhöhte Rechte erfordern, laufen ausschließlich über gesonderte, geprüfte Serverfunktionen.
• Funktionen für Datenexport und Datenlöschung einzelner Betroffener, um Anträge nach Kapitel III DSGVO fristgerecht bedienen zu können.
• Datenschutz-Management: Zuständig ist der Anbieter selbst (Daniyal Mohammadi, daniyaldatis@gmail.com). Ein Datenschutzbeauftragter ist nicht benannt, weil dazu keine Pflicht besteht.

Die folgenden Dienstleister verarbeiten im Auftrag des Anbieters personenbezogene Daten des Kunden. Alle sind nach Art. 28 Abs. 4 DSGVO vertraglich gebunden.

Die jeweils aktuelle Fassung dieser Liste ist auf dieser Seite abrufbar. Änderungen werden nach § 6 Abs. 2 angekündigt.

Dieser Vertrag regelt das Verhältnis zwischen Ihnen und uns. Als Verantwortlicher treffen Sie darüber hinaus eigene Pflichten, auf die wir Sie ausdrücklich hinweisen:

• Sie benötigen für die Verarbeitung der Daten Ihrer Beschäftigten eine eigene Rechtsgrundlage, in der Regel § 26 BDSG bzw. Art. 6 Abs. 1 lit. b oder f DSGVO, und Sie müssen Ihre Beschäftigten nach Art. 13 DSGVO informieren.
• TashOS erstellt Auswertungen zu Auslastung, Zielerreichung und Produktivität. Software, die geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, unterliegt in Betrieben mit Betriebsrat dessen Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Prüfen Sie vor der Einführung, ob eine Betriebsvereinbarung erforderlich ist.
• Die von TashOS berechneten Prioritäts- und Auslastungswerte sind Entscheidungshilfen für Ihre Führungskräfte, keine automatisierten Entscheidungen. Treffen Sie auf ihrer Grundlage Entscheidungen mit rechtlicher Wirkung gegenüber Beschäftigten, beachten Sie Art. 22 DSGVO.
• Sie führen das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO für Ihre Verarbeitung selbst. Die Angaben aus § 2 dieses Vertrags können Sie dafür übernehmen.