Fassung 1.1, Stand 2026-09-05.
Anlage 5 — Auftragsverarbeitungsvereinbarung
Vereinbarung nach Art. 28 DSGVO einschließlich Subprozessorenliste
Anlage 5 zu den AGB evonotex · Fassung 1.1 · Stand 2026-09-05
Diese Auftragsverarbeitungsvereinbarung (nachfolgend „AVV") ist Anlage 5 zu den Allgemeinen Geschäftsbedingungen für die Überlassung der Software evonotex (nachfolgend „AGB") zwischen der Hesse & Hofmann Corporate Systems UG (haftungsbeschränkt) und dem Kunden. Sie regelt die Verarbeitung personenbezogener Daten durch den Anbieter als Auftragsverarbeiter im Auftrag des Kunden als Verantwortlichem.
Diese AVV wird mit der Zustimmung des Kunden nach § 4 Absatz 3 beziehungsweise Absatz 5 der AGB wirksam. Sie ist in Textform abgefasst; das Formerfordernis des Art. 28 Abs. 9 DSGVO ist damit gewahrt.
Im Falle von Widersprüchen zwischen dieser AVV und anderen Vertragsbestandteilen gehen die Regelungen dieser AVV für datenschutzrechtliche Themen vor.
Wichtiger Hinweis zur Verarbeitung von Beschäftigtendaten. evonotex dient der Dienst- und Personalplanung. Gegenstand der Verarbeitung sind daher ganz überwiegend Daten der Beschäftigten des Kunden. Der Kunde hat vor dem Einsatz der Anwendung insbesondere die Rechtsgrundlage der Verarbeitung, seine Informationspflichten und etwaige Mitbestimmungsrechte des Betriebs- oder Personalrats zu klären. Anlage 3 zu dieser AVV ist besonders sorgfältig zu prüfen.
(1) Gegenstand dieser AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zum Zweck der Bereitstellung, des Betriebs, der Wartung und der Unterstützung der Anwendung evonotex nach Maßgabe der AGB und ihrer Anlagen 1 und 2.
(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Vertrags. Für die Zeit nach Vertragsende gelten ausschließlich die Regelungen zu Rückgabe und Löschung in § 10 dieser AVV.
Art und Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten und der betroffenen Personen ergeben sich aus Anlage 3 zu dieser AVV. Die konkrete Ausgestaltung kann je nach Konfiguration durch den Verantwortlichen variieren.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats hierzu verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen sind in Textform zu erteilen. Maßgeblich ist die in Anlage 4 der AGB genannte Supportadresse des Anbieters. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Die Konfiguration der Anwendung durch den Verantwortlichen im Rahmen der von ihr vorgesehenen Einstellungen gilt als dokumentierte Weisung.
(4) Erkennt der Auftragsverarbeiter, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer entsprechenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
Der Auftragsverarbeiter verpflichtet sich insbesondere,
personenbezogene Daten ausschließlich im Rahmen dieser AVV und der erteilten Weisungen zu verarbeiten,
die mit der Verarbeitung betrauten Personen schriftlich oder elektronisch zur Vertraulichkeit zu verpflichten oder sicherzustellen, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO gemäß Anlage 6 der AGB umzusetzen und deren Wirksamkeit mindestens einmal jährlich sowie anlassbezogen zu überprüfen,
den Verantwortlichen bei der Erfüllung seiner Pflichten nach den Art. 32 bis 36 DSGVO sowie bei der Wahrnehmung von Betroffenenrechten nach Maßgabe von § 8 zu unterstützen,
Unterauftragsverarbeiter ausschließlich nach Maßgabe von § 6 einzusetzen,
Verletzungen des Schutzes personenbezogener Daten nach Maßgabe von § 7 zu melden,
personenbezogene Daten nach Beendigung der Verarbeitung nach Maßgabe von § 10 zurückzugeben oder zu löschen,
dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen nach Maßgabe von § 9 zur Verfügung zu stellen.
Ergänzend zu § 17 der AGB gilt: Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit für den Auftragsverarbeiter fort. Im Übrigen richtet sich die Vertraulichkeit nach § 17 der AGB.
(1) Der Einsatz von Unterauftragsverarbeitern ist nur zulässig, soweit diese hinreichende Garantien im Sinne des Art. 28 Abs. 1 DSGVO bieten. Hinreichend sind Garantien, wenn sie mindestens das in Anlage 6 der AGB beschriebene Schutzniveau erreichen. Mit dem Unterauftragsverarbeiter ist eine Vereinbarung nach Art. 28 Abs. 4 DSGVO zu schließen.
(2) Die zum Zeitpunkt des Vertragsschlusses genehmigten Unterauftragsverarbeiter sind in Anlage 1 zu dieser AVV aufgeführt. Der Verantwortliche stimmt deren Einsatz mit Vertragsschluss ausdrücklich zu. Im Übrigen ist der Auftragsverarbeiter in Auswahl und Einsatz von Unterauftragsverarbeitern frei, soweit die Voraussetzungen des Absatzes 1 erfüllt sind und das Verfahren nach Absatz 3 eingehalten wird.
(3) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Verantwortlichen hierüber mindestens 30 Kalendertage vorab in Textform. Der Verantwortliche kann dem Wechsel innerhalb von 14 Kalendertagen ab Zugang der Information widersprechen. Ein Widerspruch ist nur aus wichtigem datenschutzrechtlichem Grund zulässig und in Textform zu begründen.
(4) Im Falle eines berechtigten Widerspruchs suchen die Parteien gemeinsam nach einer einvernehmlichen Lösung, die dem wirtschaftlichen Zweck des Vertrags am nächsten kommt. Kommt eine solche Lösung nicht innerhalb von 30 Kalendertagen zustande, ist der Verantwortliche berechtigt, den Vertrag außerordentlich zu kündigen.
(5) Soweit Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten oder Zugriff aus einem Drittland erhalten, stellt der Auftragsverarbeiter sicher, dass geeignete Garantien im Sinne der Art. 44 ff. DSGVO bestehen, insbesondere durch Abschluss der EU-Standardvertragsklauseln und, soweit erforderlich, ergänzende Maßnahmen. Einzelheiten ergeben sich aus Anlage 1 zu dieser AVV.
(6) Der Wechsel eines Unterauftragsverarbeiters ist keine Änderung der AGB oder ihrer Anlagen. Er richtet sich ausschließlich nach diesem Paragrafen. § 23 der AGB findet keine Anwendung.
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO unverzüglich nach Kenntnisnahme, spätestens jedoch innerhalb von 48 Stunden.
(2) Die Meldung erfolgt in Textform an den vom Verantwortlichen benannten Datenschutz-Ansprechpartner. Hat der Verantwortliche keinen gesonderten Ansprechpartner benannt, erfolgt die Meldung an die E-Mail-Adresse des ersten Zugangs der Rolle Geschäftsführung. Der Verantwortliche hält diese Adresse aktuell und kann in der Anwendung eine abweichende Adresse für Datenschutzmeldungen hinterlegen.
(3) Die Meldung enthält, soweit zum Zeitpunkt der Meldung möglich, mindestens
eine Beschreibung der Art der Verletzung,
die betroffenen Kategorien personenbezogener Daten und, soweit möglich, die geschätzte Zahl der betroffenen Personen und Datensätze,
die voraussichtlichen Folgen der Verletzung,
die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Folgen,
Name und Kontaktdaten des Ansprechpartners beim Auftragsverarbeiter.
(4) Soweit Informationen zum Zeitpunkt der Erstmeldung noch nicht verfügbar sind, werden sie unverzüglich nachgereicht.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung folgender Pflichten:
Wahrung der Rechte betroffener Personen nach den Art. 12 bis 23 DSGVO,
Sicherheit der Verarbeitung nach Art. 32 DSGVO,
Unterstützung bei der Meldung von Verletzungen an die Aufsichtsbehörde nach Art. 33 DSGVO und bei der Benachrichtigung betroffener Personen nach Art. 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen ausschließlich dem Verantwortlichen; der Auftragsverarbeiter gibt sie nicht in dessen Vertretung ab,
Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO,
vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter, sofern aus der Anfrage hervorgeht, dass sie sich auf den Verantwortlichen bezieht.
(3) Der Verantwortliche kann die Rechte betroffener Personen teilweise selbst über die Funktionen der Anwendung erfüllen, insbesondere durch Berichtigung der von ihm gepflegten Daten und durch Export des Datenbestands seiner Firma in einem gängigen Format. Für Auskunftsersuchen einzelner betroffener Personen und für die Löschung einzelner Datensätze unterstützt der Auftragsverarbeiter nach Maßgabe von Absatz 1 und Absatz 4.
(4) Soweit eine Unterstützung über die vertraglich geschuldete Standardunterstützung hinausgeht, kann der Auftragsverarbeiter hierfür eine Vergütung nach dem in Anlage 3 der AGB ausgewiesenen Stundensatz verlangen, soweit gesetzlich zulässig und vorab abgestimmt.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage in angemessenem Umfang die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Hierzu zählen insbesondere die jeweils aktuelle Beschreibung der technischen und organisatorischen Maßnahmen nach Anlage 6 der AGB sowie vorhandene Zertifikate oder Berichte unabhängiger Dritter.
(2) Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten durch Prüfungen zu kontrollieren. Prüfungen vor Ort sind nur nach vorheriger Abstimmung mit einer Frist von mindestens 30 Kalendertagen, während üblicher Geschäftszeiten und unter Wahrung von Geschäftsgeheimnissen sowie der Vertraulichkeitsinteressen anderer Kunden zulässig. Sie dürfen den Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigen und finden grundsätzlich nicht häufiger als einmal jährlich statt; das Recht zu anlassbezogenen Prüfungen bleibt unberührt.
(3) Der Auftragsverarbeiter ist berechtigt, Prüfungen auf eigene Kosten durch unabhängige Dritte durchführen zu lassen und dem Verantwortlichen die entsprechenden Berichte zur Verfügung zu stellen, soweit hierdurch die Kontrollinteressen des Verantwortlichen angemessen gewahrt werden.
(4) Der Aufwand für vom Verantwortlichen veranlasste Prüfungen, die über die Bereitstellung der Standardinformationen nach Absatz 1 hinausgehen, wird nach dem in Anlage 3 der AGB ausgewiesenen Stundensatz vergütet.
(1) Nach Beendigung des Vertrags gibt der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen zurück oder löscht sie. Die Wahl zwischen Rückgabe und Löschung trifft der Verantwortliche durch Weisung in Textform. Trifft er bis zum Ablauf des Exportfensters nach § 15 Absatz 4 der AGB keine Wahl, werden die Daten gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
(2) Modalitäten und Fristen des Datenexports richten sich ausschließlich nach § 15 der AGB. Nach Ablauf des dort genannten Exportfensters werden die produktiven Daten des Verantwortlichen innerhalb weiterer 30 Kalendertage gelöscht.
(3) Daten in Datensicherungen werden nach Ablauf der Aufbewahrungsfrist von 30 Tagen nach Anlage 2 Ziffer 5.1 der AGB durch Überschreibung gelöscht. Eine selektive Löschung einzelner Datensätze aus Datensicherungen ist technisch nicht möglich; dies gilt als bekannt und vom Verantwortlichen akzeptiert.
(4) Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.
Für die Haftung der Parteien gelten die Regelungen des § 19 der AGB entsprechend, soweit zwingendes Datenschutzrecht, insbesondere Art. 82 DSGVO, keine abweichenden Regelungen vorsieht. Die Verantwortung jeder Partei nach Art. 82 DSGVO bleibt von dieser Vereinbarung unberührt.
(1) Im Falle von Widersprüchen zwischen dieser AVV und anderen Vereinbarungen der Parteien gehen die Regelungen dieser AVV für datenschutzrechtliche Themen vor.
(2) Änderungen und Ergänzungen dieser AVV bedürfen der Textform (Art. 28 Abs. 9 DSGVO).
(3) Im Übrigen gelten die Schlussbestimmungen sowie die Regelungen zu anwendbarem Recht und Gerichtsstand des § 24 der AGB. Sie werden hier nicht wiederholt.
Die folgenden Unterauftragsverarbeiter sind vom Verantwortlichen mit Vertragsschluss genehmigt. Änderungen richten sich ausschließlich nach § 6 dieser AVV.
Mit „EU/EWR" gekennzeichnete Unterauftragsverarbeiter verarbeiten ausschließlich innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums. Mit „Drittland" gekennzeichnete Unterauftragsverarbeiter können Daten in Drittländer übermitteln; in diesen Fällen sind die EU-Standardvertragsklauseln abgeschlossen.
| Unterauftragsverarbeiter | Rolle im Vertrag | Leistung und Datenkategorien | Standort | Drittlandtransfer |
|---|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland | Infrastruktur-Dienstleister | Server, Speicher, Netzwerk, Abbilder der Serverumgebung. Sämtliche Daten des Verantwortlichen aus der Anwendung, technische Protokolldaten, IP-Adressen. | Nürnberg, Deutschland (EU/EWR) | Nicht erforderlich. Vereinbarung nach Art. 28 DSGVO abgeschlossen. |
| Cloudflare, Inc., 101 Townsend Street, San Francisco, CA, USA (EU: Cloudflare Germany GmbH) | Edge-Dienstleister | Namensauflösung, Auslieferung am Netzrand, Angriffsabwehr, Verschlüsselung am Netzrand. IP-Adressen der Endnutzer, Anfrage- und Antwortdaten, Verbindungsmetadaten. | Globales Netz, vorrangig EU; Verarbeitung in den USA technisch möglich | EU-Standardvertragsklauseln (2021/914); EU-US Data Privacy Framework; Vereinbarung zur Auftragsverarbeitung abgeschlossen. |
| Strato AG, Otto-Ostrowski-Str. 7, 10249 Berlin, Deutschland | E-Mail-Versanddienstleister | Versand transaktionaler E-Mails. E-Mail-Adressen der Empfänger, Inhalte versandter E-Mails, Versandmetadaten. | Berlin, Deutschland (EU/EWR) | Nicht erforderlich. Vereinbarung nach Art. 28 DSGVO abgeschlossen. |
| Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland | Zahlungsdienstleister | Abwicklung des Zahlungsverkehrs. Firmierung, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Kontaktdaten des Ansprechpartners, Zahlungsdaten. Keine Beschäftigtendaten aus der Anwendung. | Irland (EU/EWR), Konzerngesellschaften auch in Drittländern | EU-Standardvertragsklauseln; Vereinbarung zur Auftragsverarbeitung abgeschlossen. Siehe Hinweis 2. |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich | KI-Dienstleister | Verarbeitung von Eingaben für sprachmodellgestützte Funktionen der Anwendung. Nur die für die jeweilige Funktion erforderlichen Inhaltsdaten nach Anlage 6. | Frankreich (EU/EWR) | Nicht erforderlich. Vereinbarung nach Art. 28 DSGVO abgeschlossen. Siehe Hinweis 3. |
Hinweis 1 zum Edge-Dienstleister. Der Edge-Dienstleister ist wesentlicher Bestandteil der Betriebsumgebung und dient dem Schutz vor Angriffen sowie der Beschleunigung der Anwendung. Er verarbeitet personenbezogene Daten vorrangig in europäischen Standorten; eine Verarbeitung in den USA ist technisch nicht ausgeschlossen. Eine Übermittlungsfolgenabschätzung liegt beim Auftragsverarbeiter vor und wird auf Anfrage zur Verfügung gestellt.
Hinweis 2 zum Zahlungsdienstleister. Der Zahlungsdienstleister verarbeitet ausschließlich Vertrags-, Rechnungs- und Zahlungsdaten des Verantwortlichen. Er erhält keinen Zugriff auf die in der Anwendung verarbeiteten Beschäftigtendaten. Soweit der Zahlungsdienstleister für die Zahlungsabwicklung eigene Zwecke verfolgt, insbesondere zur Erfüllung aufsichtsrechtlicher Pflichten und zur Betrugsprävention, handelt er insoweit als eigener Verantwortlicher. § 16 Absatz 5 der AGB ist zu beachten.
Hinweis 3 zum KI-Dienstleister. Der Auftragsverarbeiter hat mit dem KI-Dienstleister vertraglich vereinbart, dass die übermittelten Daten ausschließlich zur Erbringung der beauftragten Leistung verwendet und nicht zum Training eigener oder fremder Modelle eingesetzt werden. Welche Daten zu diesem Zweck übermittelt werden, ergibt sich aus Anlage 6 der AGB. Setzt der Auftragsverarbeiter einen KI-Dienstleister außerhalb der Europäischen Union ein, richtet sich dies nach § 6 Absatz 3 und Absatz 5 dieser AVV; ein solcher Einsatz ist dem Verantwortlichen vorab anzuzeigen.
Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die der Auftragsverarbeiter zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus umsetzt, sind in Anlage 6 der AGB beschrieben. Anlage 6 ist Bestandteil dieser AVV.
Die nachfolgende Beschreibung konkretisiert Art und Zweck der Verarbeitung im Sinne des Art. 28 Abs. 3 DSGVO. Sie beschreibt die Verarbeitung in der Standardkonfiguration der Anwendung. Nimmt der Verantwortliche Einstellungen vor, durch die weitere Kategorien personenbezogener Daten oder weitere Verarbeitungszwecke hinzutreten, zeigt er dies dem Auftragsverarbeiter vorab in Textform an; die Beschreibung wird sodann einvernehmlich angepasst.
| Aspekt | Beschreibung |
|---|---|
| Gegenstand der Verarbeitung | Bereitstellung der Anwendung evonotex zur Dienst- und Personalplanung als Software as a Service einschließlich Betrieb, Wartung und Support. |
| Zweck der Verarbeitung | Erfüllung der vertraglichen Leistungen, insbesondere Planung und Dokumentation des Personaleinsatzes, Zeiterfassung, Verwaltung von Abwesenheiten, Aufbereitung von Daten für die Entgeltabrechnung, Nutzerverwaltung, Benachrichtigungen, Support und Fehlerbehebung. |
| Art der Verarbeitung | Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten. |
| Betroffene Personen | Beschäftigte des Verantwortlichen einschließlich Auszubildender und Aushilfen; Führungskräfte des Verantwortlichen; der vom Verantwortlichen benannte Steuerberater; sonstige vom Verantwortlichen mit einem Zugang ausgestattete Personen. |
| Kategorien personenbezogener Daten | Stammdaten (Name, Kontaktdaten, Personalnummer, Funktion, Standortzuordnung); Anmeldedaten (E-Mail-Adresse, Passwort-Hashwerte, Sitzungsdaten); Vertrags- und Arbeitszeitdaten (vereinbarte Arbeitszeit, Vertragsart, Qualifikationen, Verfügbarkeiten und Präferenzen); Planungs- und Einsatzdaten (geplante und tatsächliche Schichten, Standorte, Vertretungen, Schichttausch); Zeiterfassungsdaten (Beginn, Ende und Dauer der Arbeitszeit, Pausen, Abweichungen); Abwesenheitsdaten (Art, Beginn und Ende der Abwesenheit); Daten zur Vorbereitung der Entgeltabrechnung (Zuschlagsrelevante Zeiten für Nacht-, Sonntags- und Feiertagsarbeit); Nutzungsdaten (Anmeldezeitpunkte, durchgeführte Aktionen); technische Protokolldaten (IP-Adressen, Browserkennung, Zeitstempel); Kommunikationsdaten (Inhalte aus Supportmeldungen und Benachrichtigungen). |
| Besondere Kategorien personenbezogener Daten | Die Anwendung sieht die Erfassung krankheitsbedingter Abwesenheiten als Abwesenheitsart vor. Die Angabe, dass eine Abwesenheit krankheitsbedingt ist, kann ein Gesundheitsdatum im Sinne des Art. 9 Abs. 1 DSGVO darstellen. Eine Erfassung von Diagnosen, Befunden oder sonstigen medizinischen Angaben ist nicht vorgesehen. Der Verantwortliche stellt sicher, dass für die Verarbeitung eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht, insbesondere nach Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG, und dass die erforderlichen zusätzlichen Schutzmaßnahmen getroffen werden. Weitere besondere Kategorien personenbezogener Daten sind nicht vorgesehen; beabsichtigt der Verantwortliche deren Verarbeitung, zeigt er dies dem Auftragsverarbeiter vorab an. |
| Dauer der Verarbeitung | Für die Laufzeit des Vertrags sowie für das Exportfenster und die Aufbewahrungsfrist der Datensicherungen nach Vertragsende (§ 10 dieser AVV). |
| Ort der Verarbeitung | Im Rechenzentrum des jeweils beauftragten Infrastruktur-Dienstleisters innerhalb der Europäischen Union. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Dienstleister und Standorte ergeben sich aus Anlage 1 zu dieser AVV. |
| Verantwortung des Verantwortlichen | Der Verantwortliche stellt sicher, dass die Verarbeitung der Beschäftigtendaten auf einer zulässigen Rechtsgrundlage beruht, dass er seine Informationspflichten erfüllt und dass etwaige Mitbestimmungsrechte des Betriebs- oder Personalrats, insbesondere nach § 87 Abs. 1 Nr. 2 und Nr. 6 BetrVG, vor dem Einsatz der Anwendung beachtet werden. § 12 Absatz 3 der AGB ist zu beachten. |
| Fassung | Stand | Anmerkung |
|---|---|---|
| 1.0 | September 2026 | Erstfassung für evonotex. Abgeleitet aus Anlage D des Rahmenvertrags. Subprozessorenliste um Zahlungs- und KI-Dienstleister erweitert; Beschreibung der Verarbeitung auf Beschäftigtendaten umgestellt. |
| 1.1 | 2026-09-05 | § 8 Abs. 3 auf die tatsächlich vorhandenen Funktionen zurückgeführt. Sonst unverändert. |
| Stelle | Änderung | Warum |
|---|---|---|
| § 8 Abs. 3 | „weitgehend selbst … insbesondere durch Auskunft, Berichtigung, Export und Löschung" → „teilweise selbst … insbesondere durch Berichtigung und Export"; für Auskunft und Löschung ausdrücklicher Verweis auf die Unterstützung nach Abs. 1 und Abs. 4 | Die Anwendung bietet keinen personenbezogenen Auskunfts-Export: Exportiert wird der Datenbestand der gesamten Firma. Ein Auskunftsersuchen nach Art. 15 DSGVO ließe sich damit nur erfüllen, indem der Verantwortliche den Gesamtexport von Hand filtert — der zudem die Daten aller übrigen Beschäftigten enthielte. Auch die Löschung einzelner Datensätze ist nicht als Funktion vorhanden. Eine Zusage, die auf eine nicht vorhandene Funktion verweist, verlagert die Verantwortung an die falsche Stelle |
Nicht geändert: Gegenstand und Dauer, Weisungsrecht, Pflichten des Auftragsverarbeiters, Vertraulichkeit, Unterauftragsverarbeiter einschließlich Subprozessorenliste, Meldefrist von 48 Stunden, Nachweise und Prüfungen, Rückgabe und Löschung, Haftung sowie die Beschreibung der Verarbeitung.