Vertrag zur Auftragsverarbeitung

Stand: 09.11.2026

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden, der Fairhours nutzt (Verantwortlicher, im Folgenden „Kunde“),

und

Oertel Computers, Inhaber Robin Oertel, Dessauer Straße 8, 90522 Oberasbach (Auftragsverarbeiter, im Folgenden „Anbieter“).

Der Vertrag wird bei der Registrierung elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Der Anbieter speichert Zeitpunkt, handelnde Person und die Fassung des akzeptierten Vertrags.

§ 1 Gegenstand und Dauer

(1) Der Anbieter stellt dem Kunden die Software Fairhours nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag) bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen beschreibt Anlage 1.

(2) Dieser Vertrag gilt für die Testphase und die gesamte Laufzeit des Hauptvertrags. Er gilt darüber hinaus, solange der Anbieter Daten des Kunden verarbeitet, insbesondere im Übergangs- und Datenabrufzeitraum nach dem Vertragsende.

§ 2 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch im Hinblick auf eine Übermittlung in ein Drittland. Ausgenommen ist eine Verarbeitung, zu der der Anbieter nach dem Recht der EU oder Deutschlands verpflichtet ist. In diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vorher mit, soweit das Recht eine solche Mitteilung nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Kunde in Fairhours vornimmt, zum Beispiel eingeschaltete Funktionen, Rollen, Rechte und Aufbewahrungsfristen. Einzelne Weisungen erteilt der Kunde in Textform.

(3) Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

§ 3 Pflichten des Anbieters

(1) Der Anbieter verarbeitet die Daten nur für die Zwecke des Kunden und nicht für eigene Zwecke. Kopien erstellt er nur, soweit sie für die Leistung nötig sind, etwa als Sicherungskopien.

(2) Die Verarbeitung führt Robin Oertel persönlich durch. Setzt der Anbieter weitere Personen ein, etwa eine Vertretung, verpflichtet er sie vorher zur Vertraulichkeit und weist sie in den Datenschutz ein. Die Vertraulichkeit gilt auch nach dem Ende ihrer Tätigkeit.

(3) Ansprechpartner für den Datenschutz ist Robin Oertel, info@fairhours.de. Einen Datenschutzbeauftragten hat der Anbieter nicht benannt.

(4) Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Dafür trägt der Kunde im Kundenkonto Name und Kontaktdaten seines Datenschutzbeauftragten ein, falls er einen benannt hat, und hält sie aktuell.

(5) Der Anbieter verwaltet Kundenkonten, Verträge und Abrechnung in einem Betreiber-Bereich. Daten der Nutzer zeigt dieser Bereich nicht an. Auf Daten in den Konten der Kunden greift der Anbieter nur zu, wenn der Kunde ausdrücklich darum bittet, und nur so weit wie nötig. Ausnahme ist eine akute Störung oder Sicherheitsgefahr. Dann informiert der Anbieter den Kunden im Nachhinein.

(6) Einen Gesamtexport der Daten eines Kunden erstellt der Anbieter nur auf dokumentierte Weisung des Kunden, etwa zum Vertragsende, wenn kein Administrator mehr Zugang hat. Er übergibt den Export verschlüsselt an eine Person, die der Kunde benennt, und löscht seine eigene Kopie nach der Übergabe, spätestens nach 7 Tagen.

(7) Jeden Zugriff nach Absatz 5 und jeden Gesamtexport nach Absatz 6 hält der Anbieter im Betreiber-Protokoll mit Datum, Anlass und Umfang fest. Auf Anfrage erhält der Kunde Auskunft aus diesem Protokoll.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind.

(2) Der Anbieter darf die Maßnahmen an den Stand der Technik anpassen. Das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert er und teilt sie dem Kunden in Textform mit.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die in Anlage 2 genannten Unterauftragsverarbeiter gelten als genehmigt.

(2) Will der Anbieter einen Unterauftragsverarbeiter hinzunehmen oder ersetzen oder den in Anlage 2 genannten Ort der Verarbeitung ändern, kündigt er das mindestens 14 Tage vorher in Textform an, per E-Mail an die Rechnungs-E-Mail-Adresse und an den Datenschutzbeauftragten des Kunden, falls im Kundenkonto hinterlegt, sowie als Hinweis im Kundenkonto. Der Kunde kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen. Muss ein Unterauftragsverarbeiter wegen eines unvorhersehbaren Ereignisses kurzfristig ersetzt werden, kann die Frist kürzer sein. Der Anbieter informiert dann so früh wie möglich.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet der Anbieter dem Kunden dafür.

(4) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die der Kunde selbst beauftragt hat, insbesondere sein eigenes Microsoft 365, auf das Fairhours in seinem Auftrag zugreift. Ebenfalls keine Unterauftragsverarbeiter sind Dienstleister, die als eigene Verantwortliche handeln, etwa der Zahlungsdienstleister Mollie, und reine Nebenleistungen wie Telekommunikation.

§ 6 Ort der Verarbeitung

(1) Die Daten werden in der EU verarbeitet. Server und Sicherungen stehen in Rechenzentren in Deutschland, der Server in Nürnberg, die Sicherungen außer Haus in Falkenstein. Ausnahme: Über das Support-Postfach des Anbieters (Microsoft, Anlage 2) können Daten im Einzelfall in die USA gelangen, auf Grundlage des EU-US Data Privacy Framework und ergänzend von Standardvertragsklauseln. Diese Übermittlung genehmigt der Kunde mit Abschluss dieses Vertrags.

(2) Eine Verarbeitung in einem Drittland findet nur statt, wenn der Kunde zugestimmt hat und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 7 Unterstützung bei Rechten der betroffenen Personen

(1) Der Anbieter unterstützt den Kunden mit technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Kapitel III DSGVO zu beantworten. Fairhours bietet dafür Funktionen zum Berichtigen, Löschen und Exportieren, für die Personalakte auch einen Auskunfts-Export je Person.

(2) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und verweist die Person an ihn.

§ 8 Unterstützung bei Sicherheit, Datenpannen und Folgenabschätzung

(1) Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO. Für eine Datenschutz-Folgenabschätzung stellt er Bausteine zu Datenflüssen, Datenarten, Unterauftragsverarbeitern, Risiken und Maßnahmen bereit.

(2) Erfährt der Anbieter von einer Verletzung des Schutzes personenbezogener Daten des Kunden, meldet er sie dem Kunden unverzüglich, in der Regel innerhalb von 24 Stunden, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt:

eine Beschreibung der Verletzung, mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze,
einen Ansprechpartner für weitere Informationen,
die wahrscheinlichen Folgen,
die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.

Informationen, die noch fehlen, liefert der Anbieter nach, sobald sie vorliegen.

(3) Meldungen an die Aufsichtsbehörde und an betroffene Personen nimmt der Kunde vor. Der Anbieter tut das nur auf Weisung des Kunden.

§ 9 Löschung und Rückgabe

(1) Daten, die der Kunde in Fairhours löscht, entfernt der Anbieter aus dem laufenden Datenbestand. In Sicherungskopien bleiben sie bis zu deren Ablauf erhalten, höchstens 40 Tage; zur Kopie vor einer Wiederherstellung siehe Absatz 3.

(2) Nach dem Ende des Hauptvertrags kann der Kunde seine Daten im Datenabrufzeitraum von 30 Kalendertagen exportieren und damit zurückerhalten. Danach löscht der Anbieter alle Daten des Kunden, es sei denn, eine gesetzliche Pflicht verlangt die Speicherung. Ist am Tag der Löschung noch ein Zahlungsvorgang offen, etwa eine Lastschrift, kann sich die Löschung bis zu dessen Abschluss verzögern, höchstens um 14 Tage. Endet eine Testphase ohne Buchung, löscht der Anbieter die Daten 90 Tage nach ihrem Ende.

(3) Sicherungskopien auf dem Server werden nach 14 Tagen überschrieben. Zusätzlich erstellt Hetzner täglich eine Kopie des ganzen Servers (Server-Backup) in Nürnberg; sie wird nach 7 Tagen überschrieben. Sicherungskopien außer Haus sind 35 Tage gegen Löschen und Verändern gesperrt und werden danach automatisch gelöscht, spätestens nach 40 Tagen. Vor Ablauf der Sperre kann sie niemand löschen, auch der Anbieter nicht. Bis dahin sind sie verschlüsselt und vor Zugriff geschützt und werden nur zur Wiederherstellung und für den Wiederherstellungstest nach Anlage 3 verwendet. Beim Test entschlüsselt der Anbieter sie auf seinem Arbeitsplatz (Anlage 3), gibt nur Zahlen aus, keine Inhalte, und löscht die entschlüsselten Daten danach. Stellt der Anbieter Daten aus einer Sicherung wieder her, führt er danach alle Löschungen erneut aus, die seit dem Zeitpunkt der Sicherung fällig geworden sind, insbesondere zum Ende einer Testphase, zum Vertragsende und nach den eingestellten Aufbewahrungsfristen. Löschungen, die der Kunde oder seine Nutzer nach diesem Zeitpunkt selbst in Fairhours vorgenommen haben, kann der Anbieter nicht erkennen. Er teilt dem Kunden deshalb unverzüglich in Textform mit, dass Daten wiederhergestellt wurden und welchen Stand die Sicherung hat, damit der Kunde solche Löschungen wiederholen kann. Auf Wunsch unterstützt er ihn dabei. Vor einer Wiederherstellung sichert der Anbieter den bisherigen Stand der Firma. Diese Kopie verwendet er nur, um das Zugriffsprotokoll der Personalakte vollständig zu halten oder die Wiederherstellung rückgängig zu machen, und löscht sie spätestens 6 Monate nach der Wiederherstellung.

(4) Auf Wunsch bestätigt der Anbieter die Löschung in Textform.

§ 10 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Für die Rechenzentren legt er Zertifikate seines Hosting-Dienstleisters vor und, soweit dieser die Weitergabe erlaubt, dessen Prüfberichte.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung dieses Vertrags überprüfen, auch durch Inspektionen. Der Kunde kündigt Prüfungen mindestens 14 Tage vorher in Textform an. Sie finden während der üblichen Geschäftszeiten statt, ohne den Betrieb unnötig zu stören, und höchstens einmal im Kalenderjahr, außer bei einem konkreten Anlass. Da der Anbieter Fairhours überwiegend aus der Ferne betreibt, erfolgen Prüfungen vorrangig anhand von Unterlagen und per Videokonferenz. Ein Prüfer, der in einem Wettbewerbsverhältnis zum Anbieter steht, kann abgelehnt werden.

(3) Jede Seite trägt ihre eigenen Kosten. Für Prüfungen, die über die Bereitstellung von Unterlagen hinausgehen, kann der Anbieter eine angemessene Vergütung nach Aufwand verlangen, außer die Prüfung deckt einen Verstoß des Anbieters auf.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregeln des Hauptvertrags, soweit das gesetzlich zulässig ist.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in Fragen des Datenschutzes dieser Vertrag vor.

(2) Änderungen dieses Vertrags kündigt der Anbieter mindestens sechs Wochen vorher in Textform an. Änderungen, die den Schutz der Daten verringern, werden nur mit ausdrücklicher Zustimmung des Kunden wirksam. Für Änderungen der Unterauftragsverarbeiter gilt § 5.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Gegenstand, Daten und betroffene Personen

Gegenstand und Zweck

Bereitstellung der Software Fairhours für den Kunden: Erfassung und Verwaltung von Arbeitszeiten, Reisezeiten und Abwesenheiten, Prüfberichte zum Arbeitszeitgesetz, Auswertungen für die Lohnabrechnung, Übernahme von Startwerten und Abwesenheiten aus dem bisherigen System, je nach Buchung digitale Personalakte und Spesen, Anbindung an Microsoft 365 des Kunden, KI-Funktionen und Support.

Art der Verarbeitung

Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an Microsoft 365 des Kunden und an Unterauftragsverarbeiter, Abgleichen, Einschränken, Sichern und Löschen.

Bei einer Datenübernahme liest Fairhours die vom Kunden hochgeladene Excel-Datei nur im Arbeitsspeicher und speichert die Datei nicht. Gespeichert werden die übernommenen Werte und ein Protokoll des Laufs.

Arten der Daten

Bereich	Daten
Stammdaten	Name, dienstliche E-Mail-Adresse, Kennungen aus Microsoft Entra ID, Abteilung oder Gruppe, Vorgesetzte, Rolle, Arbeitszeitmodell, Eintritt und Austritt, Urlaubsanspruch, Resturlaub und Überstunden-Übertrag, Nummer des Stempel-Chips
Arbeitszeiten	Beginn, Ende und Pausen, Erfassungsweg (Browser, Handy, Terminal), Überstundenkonto, Arbeitsort Büro oder Homeoffice; daraus errechnete Werte für Lohnabrechnung und Prüfbericht, etwa eine Mindestlohn-Untergrenze aus den Stunden und dem gesetzlichen Mindestlohn. Ein Gehalt speichert Fairhours nicht.
Reisezeiten (nur wenn der Kunde sie einschaltet)	Abschnitte einer Reise mit Beginn und Ende und der Zeitzone am Start und am Ende, etwa „Europe/Berlin“. Die Zeitzone lässt einen groben Rückschluss auf die Region zu, einen genaueren Ort speichert Fairhours nicht. Außerdem: Art der Reise (zum Beispiel selbst gefahren, Bahn, Flug oder Mitfahrt), Kennzeichen „im Ausland“, Bemerkung, Bewertung für das Arbeitszeitgesetz, Gutschrift in Prozent, Abzug für den Arbeitsweg (ergibt sich daraus, ob eine Reise zu Hause beginnt oder endet), Genehmigung oder Ablehnung mit Entscheider und Grund, Protokoll aller Änderungen mit altem und neuem Wert
Abwesenheiten	Urlaub und sonstige Abwesenheiten, Anträge, Genehmigungen und Ablehnungen, auch aus einer Datenübernahme. Legt der Kunde eigene Arten an, aus denen sich Angaben zur Gesundheit ergeben können, etwa Kur oder Beschäftigungsverbot, sind auch das Gesundheitsdaten (Art. 9 DSGVO). Die besonderen Schutzmaßnahmen für Krankheitstage (Anlage 3) gelten für sie nicht.
Krankheitstage	Zeiträume mit dem Grund „krank“. Das sind Gesundheitsdaten (Art. 9 DSGVO). Den Grund sehen nur die betroffene Person, ihre Vorgesetzten und Administratoren.
Microsoft 365	Termine und Abwesenheitsnotizen, die Fairhours anlegt; Arbeitsort in Outlook und Teams; Benachrichtigungen über das freigegebene Absender-Postfach. Bei eingeschaltetem Anwesenheitskalender: Betreff, Ort, Beginn, Dauer, ganztägig und „Anzeigen als“ der Termine der freigegebenen Gruppe, ohne privat markierte Termine, Teilnehmende, Organisator und Einladungstext. Gespeichert werden nur eine Prüfsumme und die Einordnung des Termins. Im Messekalender: Betreff, Ort und Kürzel von Terminen.
Personalakte (Zusatzmodul)	Dokumente wie Verträge, Abmahnungen und Bescheinigungen mit ihren Metadaten, Aufbewahrungsfristen und Zugriffsprotokoll. Die Dokumente können besondere Kategorien von Daten enthalten (Art. 9 DSGVO), etwa Angaben zur Gesundheit, Schwerbehinderung oder Religionszugehörigkeit.
Spesen (Zusatzmodul)	Belegbilder und Belegdateien (können Namen enthalten), Beträge, Datum, Händler, Reisedaten, Pauschalen, Freigaben
KI-Funktionen (Zusatzmodul)	Belegbilder (können Namen enthalten); Fragen im Hilfe-Chat, in denen Namen, Kürzel und E-Mail-Adressen vor der Übermittlung durch Decknamen ersetzt werden; Termin-Angaben für den Anwesenheitskalender (Betreff ohne Links, E-Mail-Adressen und Telefonnummern, Ort, ganztägig, „Anzeigen als“, Dauer, Wochentag). Steht im Betreff oder Ort ein Name, wird er mit übermittelt. Für den Messekalender: Betreff, Ort und Kürzel.
Protokolldaten	IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung (14 Tage); Zugriffsprotokoll der Personalakte; Protokoll jeder Datenübernahme (Admin, Zeitpunkt, Anzahl Personen und Abwesenheiten, Prüfsumme der Datei); Betreiber-Protokoll der Zugriffe und Gesamtexporte des Anbieters
Support	Inhalte, die der Kunde für eine Support-Anfrage übermittelt

Betroffene Personen

Beschäftigte des Kunden, einschließlich Auszubildender, Aushilfen und ehemaliger Beschäftigter,
Vorgesetzte und Administratoren des Kunden,
Dritte, deren Daten in Dokumenten, Belegen oder Terminen vorkommen, etwa Geschäftspartner oder Hotels.

Anlage 2: Unterauftragsverarbeiter

Unternehmen	Leistung	Ort	Wann
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Server, Datenbanken und Sicherungen auf dem Server; tägliche Kopie des ganzen Servers (Server-Backup); verschlüsselte Sicherungen außer Haus (Object Storage)	Rechenzentrum Nürnberg; Sicherungen außer Haus im Rechenzentrum Falkenstein	immer
Langdock GmbH, Greifswalder Straße 212, 10405 Berlin	KI-Funktionen: Belegprüfung, Hilfe-Chat, Einordnung im Anwesenheitskalender, Zuordnung im Messekalender. Modell Claude von Anthropic über den EU-Zugang von Langdock. Weitere Unterauftragsverarbeiter von Langdock laut dessen Auftragsverarbeitungsvertrag.	EU	nur wenn KI-Funktionen gebucht und eingeschaltet sind
Microsoft Ireland Operations Limited, Dublin, Irland	E-Mail-Postfächer von Fairhours (info@fairhours.de für den Support, konto@fairhours.de für Hinweise des Systems an den Anbieter)	EU, im Einzelfall USA auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln	nur wenn eine E-Mail personenbezogene Daten von Nutzern enthält, etwa eine Support-Anfrage des Kunden

Anlage 3: Technische und organisatorische Maßnahmen

Maßnahmen mit dem Vermerk [GEPLANT] setzt der Anbieter bis zum angegebenen Datum um.

1. Vertraulichkeit

Zutritt zu den Rechenzentren

Server in Rechenzentren der Hetzner Online GmbH in Deutschland, zertifiziert nach ISO/IEC 27001. Prüfung der technischen und organisatorischen Maßnahmen durch TÜV Rheinland i-sec, Bericht vom 19.02.2026 ohne Abweichungen.
Physischen Zugang zu den Servern hat nur Personal des Rechenzentrums.
Arbeitsplatz des Administrators: verschlüsselte Festplatte, Anmeldung nur mit Kennwort, PIN oder Windows Hello, Virenschutz und automatische Updates

Zugang zu den Systemen

Server-Zugang nur für Robin Oertel, per SSH nur mit Schlüssel, Anmeldung mit Kennwort abgeschaltet.
Firewall (ufw) lässt nur die Ports 22, 80 und 443 zu, fail2ban sperrt wiederholte Fehlversuche.
Zwei-Faktor-Anmeldung bei Hetzner, Microsoft 365 und Langdock.
Anmeldung an Fairhours nur über Microsoft Entra ID des Kunden. Fairhours speichert keine Kennwörter der Nutzer.
Kennwörter der Stempelterminals nur als scrypt-Hash.

Zugriff auf Daten

Rollen und Rechte in Fairhours, die der Kunde festlegt.
Den Grund „krank“ sehen nur die betroffene Person, ihre Vorgesetzten und Administratoren.
Zugriffsprotokoll für die Personalakte.
Der Betreiber-Bereich zeigt Kundenkonten, Verträge und Abrechnung, keine Daten der Nutzer. Er ist nur für den Anbieter zugänglich.
Zugriffe des Anbieters auf Kundendaten nur auf ausdrückliche Bitte des Kunden und nur so weit nötig. Ausnahme: akute Störung oder Sicherheitsgefahr mit nachträglicher Information.
Gesamtexport durch den Anbieter nur auf dokumentierte Weisung des Kunden, verschlüsselte Übergabe, Löschung der eigenen Kopie nach der Übergabe, spätestens nach 7 Tagen.
Betreiber-Protokoll für jeden Zugriff und jeden Gesamtexport mit Datum, Anlass und Umfang.
Reisezeiten anderer Personen sieht nur, wer deren Tage sehen darf. Jede Änderung an Reisezeiten und an den Reisezeit-Einstellungen wird mit altem und neuem Wert protokolliert.
Datenübernahmen aus Excel dürfen nur Administratoren mit vollen Rechten durchführen. Krankheitstage werden dabei nicht übernommen. Jeder Lauf wird mit Person, Zeitpunkt, Anzahlen und Prüfsumme der Datei protokolliert.

Trennung

Jede Kundenfirma hat eine eigene Datenbank, einen eigenen Systembenutzer, einen eigenen Ordner und einen eigenen Prozess.
Nach jedem Update wird automatisch geprüft, dass keine Firma auf Daten einer anderen zugreifen kann.

Verschlüsselung

Alle Verbindungen sind per TLS verschlüsselt, auch die der Stempelterminals (eigene Adresse, eigenes Zertifikat).
Dateien und sensible Felder der Personalakte sind mit AES-256-GCM verschlüsselt, mit eigenem Schlüssel je Firma.
Die Schlüssel der Personalakte werden getrennt von den Daten aufbewahrt. Nur im Server-Backup von Hetzner liegen sie zusammen mit den Daten.
Spesen-Belege sind verschlüsselt gespeichert, wie die Personalakte mit AES-256-GCM und eigenem Schlüssel je Firma.
Ruhende Daten zu Krankheitstagen werden verschlüsselt.
Sicherungen außer Haus werden auf dem Server mit dem Zertifikat des Anbieters verschlüsselt, bevor sie ihn verlassen. Den privaten Schlüssel zum Öffnen hat nur der Anbieter, offline.

Datensparsamkeit und Pseudonymisierung

Im Hilfe-Chat werden Namen, Kürzel und E-Mail-Adressen vor der Übermittlung an die KI durch Decknamen ersetzt. Fragen werden nicht dauerhaft gespeichert.
Anwesenheitskalender: als privat markierte Termine, Teilnehmende, Organisator und Einladungstext werden nie verwendet. Links, E-Mail-Adressen und Telefonnummern werden aus dem Betreff entfernt. Gespeichert werden nur eine Prüfsumme und die Einordnung.
Die KI-Antwort wird geprüft: nur Arten aus einer festen Liste, feste Regeln wie „Frei“ oder „Mit Vorbehalt“ kann sie nicht überstimmen.
Der Zugriff auf Microsoft 365 ist auf die vom Kunden freigegebene Gruppe beschränkt.

2. Integrität

Übertragungen zu Microsoft 365, zu Langdock und zu den Stempelterminals erfolgen verschlüsselt.
Zugriffe auf die Personalakte werden protokolliert, Zugriffe des Anbieters dokumentiert.
Neue Versionen werden Firma für Firma eingespielt.

3. Verfügbarkeit und Belastbarkeit

Tägliche Sicherung je Firma auf dem Server, 14 Tage aufbewahrt.
Tägliche Kopie des ganzen Servers durch Hetzner (Server-Backup) in Nürnberg, 7 Tage aufbewahrt.
Zusätzliche tägliche Sicherung jeder Firma, des Kundenkonto-Bereichs und der Schlüssel der Firmen außerhalb des Servers im Hetzner Object Storage (Rechenzentrum Falkenstein), verschlüsselt, 35 Tage gegen Änderung und Löschung gesperrt (Object Lock im Modus Compliance), danach automatisch gelöscht, spätestens nach 40 Tagen.
Wiederherstellungstest der Sicherungen außer Haus: am 08.11.2026 bestanden (Sicherungen abgerufen, entschlüsselt und die Datenbanken auf Unversehrtheit geprüft). Wiederholung mindestens einmal jährlich und nach jedem Wechsel des Schlüssels, der Zugangsdaten oder des Sicherungsverfahrens.
Sicherheitsupdates für Ubuntu und den Webserver Caddy werden täglich automatisch eingespielt. Eine Prüfung meldet Sicherheitsupdates für Node.js.
Tägliche automatische Prüfung des Servers, unter anderem der Trennung der Firmen, der Rechte, der Schlüssel und des Speicherplatzes, mit Mail an den Anbieter bei Fehlern.
[GEPLANT bis 30.11.2026] Überwachung der Erreichbarkeit von außen mit Alarm.
Rechenzentrum mit redundanter Infrastruktur nach den Maßnahmen von Hetzner.

4. Regelmäßige Überprüfung und Organisation

Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen.
Festgelegter Ablauf für Datenpannen mit Meldung an den Kunden nach § 8 dieses Vertrags.
Notfallplan: Der Anbieter ist Einzelunternehmer; eine Vertretung ist derzeit nicht benannt.
Unterauftragsverarbeiter werden sorgfältig ausgewählt, mit Auftragsverarbeitungsvertrag und Nachweisen wie Zertifikaten und Prüfberichten.
Alle eingesetzten Personen sind zur Vertraulichkeit verpflichtet.