Auftragsverarbeitungsvertrag (Anlage I — Art. 28 DSGVO)

Dieses Dokument ist der Anhang I zu den Nutzungsbedingungen von WorkLogTracker und ist untrennbarer Bestandteil derselben. Es regelt die Verarbeitung personenbezogener Daten, die RMTracker im Auftrag des Arbeitgeberunternehmens vornimmt, das den Dienst bucht, gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO).

1. Wer ist wer

Verantwortlicher: das Arbeitgeberunternehmen, das den Dienst bucht. Es entscheidet, wofür und wie die Daten verarbeitet werden, und haftet gegenüber den betroffenen Personen und der Aufsichtsbehörde.

Auftragsverarbeiter:

• Auftragsverarbeiter: RMTracker S.L. („RMTracker“)
• NIF: B88803085
• Anschrift: Avenida de Andalucía Nr. 36, Local 2, 29793 Torrox, Málaga (Spanien)
• E-Mail in Datenschutzangelegenheiten: legal@rmtrackersolutions.com

RMTracker verarbeitet die Daten ausschließlich zur Erbringung des Dienstes. Es verwendet sie nicht für eigene Zwecke, gibt sie nicht an Dritte weiter, außer aufgrund einer gesetzlichen Pflicht, verkauft sie nicht und setzt sie nicht zum Training von Systemen künstlicher Intelligenz ein.

2. Gegenstand, Art und Zweck

Die Arbeitszeit der Belegschaft des Verantwortlichen zu erfassen, Arbeitszeiten und Arbeitsstätten zu verwalten, Arbeitsberichte zu dokumentieren, jeder Arbeitskraft die Gehaltsabrechnungen zur Verfügung zu stellen, die der Verantwortliche speichern möchte, Vorfälle und Korrekturanträge zu bearbeiten und die Berichte und Exporte zu erstellen, die der Verantwortliche anfordert. Die Vorgänge umfassen Erhebung, Erfassung, Strukturierung, Speicherung, Abfrage, Offenlegung gegenüber dem Verantwortlichen selbst, Löschung und Vernichtung. Es wird kein anderer Zweck verfolgt: Die Daten werden weder zur Erstellung von Profilen noch für Werbung noch zum Training von Modellen verwendet.

3. Dauer

Dieser Anhang tritt mit seiner Annahme in Kraft und gilt, solange der Vertrag über die Erbringung des Dienstes besteht. Nach dessen Beendigung gilt das in Abschnitt 9 Vorgesehene.

4. Datenkategorien

5. Kategorien betroffener Personen

• Arbeitnehmer des Verantwortlichen, die in der Anwendung angelegt sind.
• Kontaktpersonen der Kunden des Verantwortlichen, die einen Arbeitsbericht unterschreiben.

5a. Besonderheiten dieses Dienstes

Der Dienst verarbeitet im Auftrag des Verantwortlichen ein Datum besonderer Kategorie im Sinne von Artikel 9 DSGVO: dass ein Arbeitnehmer krankgeschrieben ist, mit den entsprechenden Daten. Diagnosen oder ärztliche Atteste werden nicht verlangt, und innerhalb des Unternehmens sind die Krankschreibungen nur für die Person selbst und für die Rollen Eigentümer, Administrator und Prüfer sichtbar; Teamleiter sehen weder ihre Art noch ihre Daten. Biometrische Daten werden zum Einstempeln nicht verwendet. Der Verantwortliche verpflichtet sich, in die Freitextfelder, einschließlich des Grundes einer Abwesenheit und des Kommentars der entscheidenden Person, keine Diagnosen oder sonstigen klinischen Informationen und keine Daten anderer besonderer Kategorien einzugeben.

Der Standort wird ausschließlich im Moment des Einstempelns abgefragt, um den Abstand zur zugewiesenen Arbeitsstätte zu prüfen, und es erfolgt keine fortlaufende Verfolgung. Es obliegt dem Verantwortlichen, die Belegschaft und ihre Vertreter ausdrücklich und vorab zu informieren, gemäß Artikel 90 LOPDGDD. Wird die Standortberechtigung verweigert, wird die Zeiterfassung dennoch ohne Koordinaten erfasst.

Das Speichern der Gehaltsabrechnungen in der Anwendung ist für den Verantwortlichen optional, und er kann sie jederzeit löschen. Innerhalb des Unternehmens sehen sie nur die Person selbst und die Rollen Eigentümer, Administrator und Prüfer; Teamleiter nicht. Sie werden für die Frist aufbewahrt, die der Verantwortliche in der Anwendung konfiguriert und die nicht kürzer als vier Jahre sein darf.

Der Zahlungsdienstleister ist nicht unter den Unterauftragsverarbeitern aufgeführt, weil er keinen Zugriff auf die Daten der Belegschaft hat: Er wirkt ausschließlich an der Abrechnung gegenüber dem Kunden mit, einer Verarbeitung, bei der RMTracker als Verantwortlicher und nicht als Auftragsverarbeiter handelt.

6. Pflichten von RMTracker als Auftragsverarbeiter

Gemäß Artikel 28 Absatz 3 DSGVO verpflichtet sich RMTracker:

1. Die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, einschließlich der Weisungen zu internationalen Übermittlungen. Die normale Nutzung des Dienstes stellt diese Weisung dar. Ist RMTracker der Ansicht, dass eine Weisung gegen das Datenschutzrecht verstößt, teilt es dies unverzüglich mit.
2. Die Vertraulichkeit zu gewährleisten derjenigen, die auf die Daten zugreifen, durch ausdrückliche Verpflichtung oder gesetzliche Pflicht, die nach Ende des Verhältnisses fortbesteht.
3. Die Maßnahmen nach Artikel 32 anzuwenden, die in Abschnitt 7 beschrieben sind.
4. Keinen weiteren Auftragsverarbeiter ohne Genehmigung heranzuziehen. Der Verantwortliche genehmigt die in Abschnitt 8 aufgeführten Unterauftragsverarbeiter. Jede Hinzufügung oder Ersetzung wird dreißig Tage im Voraus mitgeteilt, und der Verantwortliche kann widersprechen; widerspricht er und ist die Änderung für die Erbringung des Dienstes unerlässlich, kann er den Vertrag ohne Vertragsstrafe kündigen.
5. Den Verantwortlichen zu unterstützen, damit er die Ausübung der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch erfüllen kann. Wendet sich eine betroffene Person direkt an RMTracker, wird sie an den Verantwortlichen verwiesen und dieser unverzüglich informiert.
6. Den Verantwortlichen zu unterstützen bei der Erfüllung der Artikel 32 bis 36: Sicherheit, Meldung von Verletzungen und Folgenabschätzung.
7. Verletzungen der Sicherheit zu melden ohne unangemessene Verzögerung und in jedem Fall innerhalb von achtundvierzig Stunden, nachdem sie davon Kenntnis erlangt hat, mit den ihr vorliegenden Informationen nach Artikel 33 Absatz 3. Achtundvierzig und nicht zweiundsiebzig, weil der Verantwortliche einen Spielraum braucht, um seine eigene Frist einzuhalten.
8. Die Daten zu löschen oder zurückzugeben bei Beendigung, gemäß Abschnitt 9.
9. Dem Verantwortlichen die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieses Anhangs erforderlich sind, und Überprüfungen zu ermöglichen und zu ihnen beizutragen, gemäß Abschnitt 10.

7. Sicherheitsmaßnahmen

Die Maßnahmen werden danach beschrieben, was das System tut, nicht danach, was in einem Vertrag üblicherweise gesagt wird. Sie sind überprüfbar:

• Trennung zwischen Unternehmen. Der Zugriff auf die Daten ist in der Datenbank selbst durch Sicherheit auf Zeilenebene (Row Level Security) beschränkt: Eine Person erreicht nur die Daten des Unternehmens, dem sie angehört.
• Zugriffskontrolle nach Rolle. Innerhalb jedes Unternehmens hängt es von der Rolle ab, was jede Person sehen und tun kann; dies wird auch auf dem Server und nicht nur in der Benutzeroberfläche durchgesetzt.
• Trennung der arbeitsrechtlichen Kennungen. NIF und Sozialversicherungsnummer werden getrennt vom übrigen Stammsatz gespeichert und sind nur für die Person selbst und für diejenigen zugänglich, die die Lohnabrechnung verwalten oder eine Inspektion betreuen.
• Gehaltsabrechnungen im privaten Speicher. Die Dateien der Gehaltsabrechnungen werden in einem nicht öffentlichen Speicher abgelegt, nach Unternehmen und Rolle beschränkt, und über signierte Links von kurzer Gültigkeit heruntergeladen. Wer sie hochlädt und wer sie löscht, wird protokolliert.
• Verschlüsselung. Die Kommunikation wird verschlüsselt übertragen, und Passwörter werden mit widerstandsfähigen Ableitungsfunktionen gespeichert.
• Integrität der Aufzeichnung. Zeiterfassungen können weder verändert noch gelöscht werden: Ein Fehler wird durch eine genehmigte Korrektur behoben, die neben der ursprünglichen Zeiterfassung protokolliert wird.
• Nachvollziehbarkeit. Relevante Handlungen an den Daten werden mit ihrem Urheber und ihrem Zeitpunkt protokolliert.
• Zugriff des Personals von RMTracker nur mit Berechtigung. Das Personal von RMTracker hat keinen dauerhaften Zugriff auf die Betriebsdaten des Verantwortlichen. Es greift nur lesend darauf zu, wenn ein Eigentümer oder Administrator des Verantwortlichen ihm in der Anwendung eine vorübergehende Berechtigung von 24 Stunden, 72 Stunden oder 7 Tagen erteilt, die er jederzeit widerrufen kann, und auch dann ohne Zugriff auf die arbeitsrechtlichen Kennungen, auf die Dokumente der Belegschaft und auf die gespeicherten Dateien. Jede Berechtigung, jeder Widerruf und jeder Zugriff wird protokolliert, und der Verantwortliche kann sie in der Anwendung einsehen. Die direkte Abfrage der Datenbank bleibt Notfällen vorbehalten, wird vorab mit ihrer Begründung protokolliert und den Eigentümern und Administratoren des Verantwortlichen mitgeteilt.
• Datensicherungen, die vom Unterauftragsverarbeiter für die Speicherung verwaltet werden, mit Wiederherstellung zu einem früheren Zeitpunkt.
• Datenminimierung. Der Standort wird nur im Moment des Einstempelns abgefragt, und es erfolgt keine fortlaufende Verfolgung.

Die Maßnahmen können weiterentwickelt werden. RMTracker wird sie nicht verschlechtern: Jede Änderung behält ein gleichwertiges oder höheres Schutzniveau bei.

8. Genehmigte Unterauftragsverarbeiter

Mit jedem Unterauftragsverarbeiter unterhält RMTracker einen Vertrag, der dieselben Pflichten auferlegt wie dieser Anhang, und haftet gegenüber dem Verantwortlichen für dessen Handeln wie für das eigene.

9. Ende der Auftragsverarbeitung

Nach Beendigung des Vertrags wird RMTracker die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten löschen oder sie ihm in einem gängigen und maschinenlesbaren Format zurückgeben, wenn er dies vor der Löschung verlangt, und die vorhandenen Kopien löschen.

Nach Beendigung des Abonnements hat der Verantwortliche dreißig Tage Zeit, seine Daten mit den Funktionen der Anwendung selbst zu exportieren. Nach Ablauf dieser Frist wird RMTracker die in seinem Auftrag verarbeiteten personenbezogenen Daten einschließlich der Kopien löschen, es sei denn, es muss sie aufgrund einer gesetzlichen Pflicht aufbewahren; in diesem Fall werden sie für die entsprechende Frist gesperrt. Der Verantwortliche kann zuvor die Rückgabe in einem strukturierten und gängigen Format oder die sofortige Löschung verlangen, die auf Wunsch schriftlich bestätigt wird. Es ist daran zu erinnern, dass das Arbeitsrecht den Verantwortlichen verpflichtet, die Arbeitszeiterfassung vier Jahre lang aufzubewahren: Der Export vor der Löschung ist keine Empfehlung, sondern ermöglicht es ihm, diese Pflicht weiterhin zu erfüllen.

10. Überprüfung

Der Verantwortliche kann einmal im Jahr und mit fünfzehn Tagen Vorankündigung die zum Nachweis der Einhaltung dieses Anhangs erforderlichen Informationen verlangen. Er kann außerdem eine Überprüfung durchführen, selbst oder durch einen unabhängigen Dritten, der kein Wettbewerber von RMTracker ist, nach vorheriger Vereinbarung über Termin, Umfang und Vertraulichkeit und ohne den Dienst zu unterbrechen.

Zusätzliche Überprüfungen, die sich aus einer Verletzung der Sicherheit, einem Verlangen der Aufsichtsbehörde oder einer nachgewiesenen Pflichtverletzung ergeben, unterliegen dieser jährlichen Begrenzung nicht.

11. Vertraulichkeitsverpflichtung

Dieser Abschnitt ersetzt eine gesonderte Vertraulichkeitsvereinbarung, sodass kein eigenes Dokument unterschrieben werden muss.

Beide Parteien verpflichten sich, die vertraulichen Informationen der anderen, auf die sie anlässlich dieses Verhältnisses zugreifen, geheim zu halten, sie nur zu dessen Durchführung zu nutzen und sie Dritten nicht ohne schriftliche Genehmigung offenzulegen. Als vertraulich gelten nicht öffentliche technische, kaufmännische, finanzielle und organisatorische Informationen und insbesondere die personenbezogenen Daten, die aufgrund dieses Anhangs verarbeitet werden.

Nicht vertraulich sind Informationen, die:

• vor ihrem Erhalt öffentlich waren oder es werden, ohne dass diese Verpflichtung verletzt wird;
• der empfangenden Partei bereits rechtmäßig und ohne Geheimhaltungspflicht vorlagen;
• unabhängig entwickelt wurden, ohne die Informationen der anderen Partei zu verwenden; oder
• aufgrund einer gesetzlichen Pflicht oder auf Verlangen einer zuständigen Behörde offengelegt werden müssen; in diesem Fall wird die andere Partei vorher benachrichtigt, sofern dies zulässig ist.

Diese Verpflichtung gilt drei Jahre nach Beendigung des Verhältnisses fort. Für personenbezogene Daten gibt es keine Frist: Die Vertraulichkeitspflicht nach Artikel 28 Absatz 3 Buchstabe b DSGVO verfällt nicht.

12. Haftung

Jede Partei haftet für die Schäden, die sie durch die Verletzung der Pflichten verursacht, die dieser Anhang und die DSGVO ihr auferlegen, nach Maßgabe von Artikel 82 der Verordnung. RMTracker haftet nicht für die Weisungen des Verantwortlichen und nicht für die Rechtmäßigkeit der Verarbeitungen, über die dieser entscheidet.

13. Annahme ohne Unterschrift

Dieser Anhang wird auf elektronischem Weg mit der Anlage des Kontos angenommen, in der Form, die Artikel 28 Absatz 9 DSGVO zulässt, und erfordert keine handschriftliche Unterschrift. Von jeder Annahme wird festgehalten, wer sie vorgenommen hat, wann und welche Version des Textes in Kraft war. Der Verantwortliche kann jederzeit eine Bescheinigung über seine Annahmen anfordern.

Ändert sich dieser Anhang, wird mit angemessener Vorankündigung informiert und eine neue Annahme eingeholt. Die früheren werden aufbewahrt: Sie sind der Verlauf dessen, was jeweils in Kraft war.

14. Anwendbares Recht

Dieser Anhang unterliegt der DSGVO, dem Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (Organgesetz 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung der digitalen Rechte) und dem spanischen Recht. Für das hier nicht Geregelte gelten die Nutzungsbedingungen von WorkLogTracker, deren Bestandteil er ist.