Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Stand: Oktober 2026
Vertragsparteien
Verantwortlicher („Auftraggeber“): der Betrieb, der Dienstbit nutzt, vertreten durch die Person, die den Betrieb registriert bzw. diesen Vertrag in der App bestätigt hat.
Auftragsverarbeiter („Auftragnehmer“): Julian Peissert, Griesweg 5, 6116 Weer, Österreich, kontakt@planfuchs.at.
Der Vertrag wird elektronisch geschlossen, indem der Auftraggeber ihn bei der Registrierung oder in der App bestätigt. Zeitpunkt und Fassung der Bestätigung werden gespeichert. Der Auftraggeber erhält die bestätigte Fassung per E-Mail und kann sie jederzeit auf dieser Seite abrufen.
1. Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Web-App Dienstbit bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Der Vertrag gilt, solange der Auftraggeber Dienstbit nutzt, und endet automatisch mit dem Ende der Nutzung.
2. Art, Zweck und Umfang
| Zweck | Dienstplanung, Arbeitszeiterfassung, Führung von Überstunden- und Urlaubskonten, Abwicklung von Anträgen, Nachvollziehbarkeit von Änderungen |
|---|---|
| Betroffene | Beschäftigte, Lehrlinge und Leitung des Auftraggebers |
| Datenarten | Name, Rolle, E-Mail-Adresse, Wochenstunden, Urlaubsanspruch, Schichten, Arbeitszeiten, Salden, Abwesenheiten einschließlich Krankenstand (ohne Diagnose), Anträge, Notizen, Anmeldezeitpunkte, Änderungsprotokoll (wer hat wann was geändert), Push-Abos |
| Art der Verarbeitung | Speichern, Anzeigen, Berechnen, Benachrichtigen, Ausdrucken, Exportieren, Sichern, Löschen |
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der App; weitere Weisungen erteilt der Auftraggeber per E-Mail. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.
4. Vertraulichkeit
Der Auftragnehmer und alle Personen, die für ihn Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet (§ 6 DSG). Diese Pflicht gilt über das Vertragsende hinaus.
5. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft insbesondere folgende Maßnahmen (Art. 32 DSGVO):
- Verschlüsselung: Übertragung ausschließlich über HTTPS/TLS; Speicherung bei Google verschlüsselt.
- Zugriffskontrolle: Anmeldung mit bestätigter E-Mail-Adresse und Passwort; serverseitige Sicherheitsregeln trennen die Betriebe strikt und begrenzen den Zugriff nach Rolle (Leitung, Teammitglied).
- Speicherort: Datenbank, Server-Funktionen und Sicherungen im Rechenzentrum Frankfurt am Main. Die Anmeldung (Firebase Authentication) betreibt Google in den USA.
- Datenminimierung: keine Werbung, keine Analyse-Cookies, nur für den Zweck nötige Felder.
- Verfügbarkeit: redundante Infrastruktur von Google Cloud; tägliche Sicherung der Datenbank in Frankfurt am Main, Aufbewahrung 14 Wochen; Wiederherstellung jedes Stands der letzten 7 Tage möglich.
- Nachvollziehbarkeit: Änderungsprotokoll für Dienstzeiten und Korrekturen (wer, wann, vorher, nachher); Einträge können nicht verändert werden.
- Schutz vor Missbrauch: Firebase App Check mit Google Cloud Fraud Defense (früher reCAPTCHA Enterprise) – Zugriffe werden nur aus der echten Dienstbit-App angenommen.
- Administrativer Zugriff: Nur der Auftragnehmer selbst hat administrativen Zugang; seine Konten sind mit Zwei-Faktor-Authentifizierung gesichert. Auf Daten eines Betriebs greift er nur zur Fehlerbehebung oder auf Anfrage des Auftraggebers zu.
- Betrieb: Änderungen am Code werden versioniert und vor der Veröffentlichung automatisch getestet.
Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Der Auftraggeber genehmigt folgende Unterauftragsverarbeiter:
| Google Ireland Limited | Gordon House, Barrow Street, Dublin 4, Irland – Google Firebase und Google Cloud: Datenbank und Sicherungen in Frankfurt, Server-Funktionen für Push-Nachrichten und E-Mails in Frankfurt, Hosting, Anmeldung (Firebase Authentication, betrieben in den USA), App Check mit Google Cloud Fraud Defense. Grundlage sind die Firebase Data Processing and Security Terms bzw. das Google Cloud Data Processing Addendum. Für Übermittlungen an Google LLC (USA) gilt das EU-US Data Privacy Framework (Google LLC ist zertifiziert), ersatzweise die EU-Standardvertragsklauseln. |
|---|---|
| World4You Internet Services GmbH | Wolfgang-Pauli-Straße 2, 4020 Linz, Österreich – Versand der E-Mails (Bestätigung der E-Mail-Adresse, neues Passwort, Bestätigung der Bedingungen) über das Postfach noreply@planfuchs.at. |
Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage vorher. Der Auftraggeber kann innerhalb dieser Frist widersprechen; dann kann jede Seite den Vertrag zu dem Zeitpunkt beenden, ab dem der neue Unterauftragsverarbeiter tätig würde.
7. Unterstützung des Auftraggebers
- Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export) und leitet an ihn gerichtete Anfragen unverzüglich weiter.
- Er unterstützt bei Datenschutz-Folgenabschätzungen und bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO, soweit ihm Informationen vorliegen.
- Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
8. Löschung und Rückgabe
Der Auftraggeber kann seine Daten jederzeit selbst in der App exportieren (Einstellungen → „Daten exportieren“, maschinenlesbares JSON-Format) und den Betrieb samt allen Daten selbst löschen; die Löschung wirkt sofort, in den Sicherungen nach spätestens 14 Wochen. Daneben stellt der Auftragnehmer nach Vertragsende auf Wunsch einen Export der Daten zur Verfügung und löscht sie spätestens 30 Tage nach Vertragsende, sofern keine gesetzliche Pflicht zur Speicherung besteht.
9. Nachweise und Kontrollen
Der Auftragnehmer stellt alle nötigen Informationen zum Nachweis dieser Pflichten bereit und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer nach rechtzeitiger Ankündigung.
10. Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen hat dieser Vertrag Vorrang. Es gilt österreichisches Recht; Gerichtsstand ist Innsbruck.