Vertrag zur Auftragsverarbeitung
nach Art. 28 Abs. 3 DSGVO · Version 2026-07
§ 1 Parteien und Gegenstand
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Anbieter der Plattform Takt — [Name / Firma des Anbieters, Anschrift] („Auftragsverarbeiter") — im Auftrag des Betriebs, der bei der Registrierung angegeben wurde („Verantwortlicher"). Er wird elektronisch geschlossen, indem der Verantwortliche ihn bei der Registrierung akzeptiert; Zeitpunkt und Vertragsversion werden gespeichert. Gegenstand ist der Betrieb der Personal-Plattform Takt (Dienstplanung, Zeiterfassung, Personalakte, Lohn-Vorbereitung).
§ 2 Art, Zweck und Dauer der Verarbeitung
Verarbeitet werden Daten, die der Verantwortliche oder seine Beschäftigten in die Plattform eingeben, ausschließlich zum Zweck der Bereitstellung der vertraglichen Funktionen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags; § 9 regelt Löschung und Rückgabe.
§ 3 Kategorien betroffener Personen und Daten
Betroffene: Beschäftigte, Bewerber:innen und Auftragnehmer des Verantwortlichen.
Datenkategorien: Stammdaten (Name, Kontakt, Foto), Vertrags- und Lohndaten (Vertragsart, Stunden, Vergütung, Steuer-/SV-Angaben), Arbeitszeiten und Abwesenheiten (einschließlich Krankheit als Gesundheitsdatum nach Art. 9 DSGVO), Dokumente der Personalakte, Kommunikations- und Protokolldaten innerhalb der Plattform.
§ 4 Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der dokumentierten Weisungen des Verantwortlichen — insbesondere greift er auf Inhaltsdaten des Betriebs nur zu, wenn der Verantwortliche dies verlangt (z. B. im Support-Fall) oder eine gesetzliche Pflicht besteht. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
§ 5 Vertraulichkeit
Zum Zugriff befugte Personen sind zur Vertraulichkeit verpflichtet. Betreiberzugriffe sind auf das für Betrieb, Sicherheit und Support erforderliche Minimum beschränkt.
§ 6 Technische und organisatorische Maßnahmen (Anlage 1)
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie fort, ohne das Schutzniveau zu unterschreiten.
§ 7 Unterauftragsverarbeiter (Anlage 2)
Der Verantwortliche genehmigt die in Anlage 2 gelisteten Unterauftragsverarbeiter. Über geplante Änderungen informiert der Auftragsverarbeiter vorab in Textform (E-Mail an die Rechnungs- bzw. Konto-Adresse); der Verantwortliche kann aus wichtigem Grund widersprechen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; bei Verarbeitung außerhalb der EU/des EWR bestehen EU-Standardvertragsklauseln.
§ 8 Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt bei Betroffenenrechten (die Plattform stellt dafür u. a. den Datenexport nach Art. 15 bereit), bei der Sicherheit der Verarbeitung sowie bei Meldungen von Datenschutzverletzungen. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
§ 9 Löschung und Rückgabe
Nach Vertragsende werden die Daten des Betriebs auf Wunsch herausgegeben und anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sicherungskopien werden turnusmäßig überschrieben.
§ 10 Nachweis und Kontrolle
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach (Dokumentation, Auskünfte, Bestätigungen der Unterauftragsverarbeiter). Kontrollen vor Ort sind nach Ankündigung zu den üblichen Geschäftszeiten möglich, soweit erforderlich.
Anlage 1 — Technische und organisatorische Maßnahmen
- Mandantentrennung: Jede Datenbankzeile trägt die Betriebs-ID; der Anwendungszugriff läuft über eine Datenbankrolle, deren Row-Level-Security die Trennung technisch erzwingt.
- Verschlüsselung: Transport ausschließlich über TLS (HTTPS); Speicherung auf verschlüsselten Datenträgern (AES-256) beim Datenbankanbieter.
- Zugriffskontrolle: Rollen- und Rechtemodell in der Anwendung (Inhaber / Leitung mit Bereichs-Scope / Mitarbeitende sehen nur Eigenes); Betreiberzugriff auf Administrationsschlüssel beschränkt.
- Standort: Anwendungsserver in Deutschland (Hetzner), Datenbank und Dateispeicher in der EU (Frankfurt).
- Protokollierung: Änderungsjournal in der Anwendung (wer hat wann was geändert); Server-Protokolle mit kurzer Aufbewahrung.
- Datensicherung: Automatische Datenbank-Backups des Anbieters mit Wiederherstellungsmöglichkeit.
- Härtung: Sicherheits-Header (CSP), Ratenbegrenzung an Anmeldewegen, Upload-Beschränkungen (Typ-Allowlist, Größen-Limit), signaturgeprüfte Zahlungs-Webhooks.
- Minimierung: Kartendaten werden ausschließlich beim Zahlungsdienstleister verarbeitet und erreichen die Plattform nicht.
Anlage 2 — Unterauftragsverarbeiter
| Dienstleister | Zweck | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH, Gunzenhausen (DE) | Hosting der Anwendung | Deutschland |
| Supabase Inc. | Datenbank, Anmeldung, Dateispeicher | EU (Frankfurt); Vertrag mit SCC |
| Stripe Payments Europe, Ltd., Dublin (IE) | Zahlungsabwicklung (nur Abrechnungsdaten des Betriebs, keine Beschäftigtendaten) | EU; Konzern-Transfers mit SCC |
| Google Ireland Ltd. (Google Workspace) | E-Mail-Kommunikation (Support, Rechnungen) | EU; SCC |
| Push-Dienste der Browser-Hersteller (Google, Apple, Mozilla) | Zustellung von Push-Benachrichtigungen — nur bei aktivierter Einwilligung der Person; Inhalte pseudonymisiert | EU/USA; SCC der Anbieter |
Abschluss: elektronisch bei der Registrierung des Betriebs. Gespeichert werden Zeitpunkt und Version. Fragen an hallo@taktwork.de. Siehe auch die Datenschutzerklärung.