Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Version 1.0 · Stand: Oktober 2026

Als PDF drucken

zwischen

dem Kunden, der sich unter getshiftbuddy.app registriert hat (nachfolgend „Verantwortlicher"),

und

der NEXUS24 Security UG (haftungsbeschränkt), Lise-Meitner-Straße 5, 42119 Wuppertal, Amtsgericht Wuppertal HRB 36576, vertreten durch die Geschäftsführer Maximilian Abels und Björn Hendrik Albers, E-Mail info@nexus24-security.de (nachfolgend „Auftragsverarbeiter").

Präambel

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software „Shift Buddy" (Dispo, Zeiterfassung, Abrechnungsvorbereitung und Controlling) als Online-Dienst zur Verfügung. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO. Er ist Bestandteil des Hauptvertrags (AGB von Shift Buddy).

1. Abschluss in elektronischer Form

1.1 Dieser Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in elektronischem Format geschlossen. Der Verantwortliche stimmt ihm zu, indem er bei der Registrierung die Erklärung „Ich akzeptiere die AGB und den AVV" bestätigt. Der Auftragsverarbeiter speichert Version und Zeitpunkt der Zustimmung zur Firma des Verantwortlichen.

1.2 Der Vertragstext ist jederzeit unter getshiftbuddy.app/avv abrufbar und kann vom Verantwortlichen gespeichert oder ausgedruckt werden.

2. Gegenstand, Dauer, Konkretisierung

2.1 Gegenstand, Art, Zweck, Datenkategorien und Kreis der Betroffenen sind in Anlage 1 beschrieben.

2.2 Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich der kostenlosen Testphase und der anschließenden Exportfrist von 6 Monaten.

2.3 Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Eine Verarbeitung in Drittländern erfolgt nur unter den Voraussetzungen des Kapitels V DSGVO und ist, soweit sie bei Unterauftragsverarbeitern stattfindet, in Anlage 3 ausgewiesen.

3. Weisungsgebundenheit

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen und seine Nutzer (Anlegen, Ändern, Exportieren, Löschen von Daten; Einstellungen zu Rollen, Benachrichtigungen und Importen) gilt als Weisung. Dieser Vertrag und der Hauptvertrag sind die allgemeine Weisung.

3.2 Weitere Weisungen erteilt der Verantwortliche in Textform an info@nexus24-security.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

3.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wird.

3.4 Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke. Ausgenommen ist die Verarbeitung, zu der er gesetzlich verpflichtet ist; in diesem Fall informiert er den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht verbietet.

4. Pflichten des Auftragsverarbeiters

4.1 Vertraulichkeit. Der Auftragsverarbeiter gewährt nur Personen Zugang zu den Daten, die zur Vertraulichkeit verpflichtet sind und die Daten für ihre Aufgaben benötigen. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.

4.2 Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

4.3 Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung der Betroffenenrechte (Art. 12–22 DSGVO), insbesondere durch die Export-, Korrektur- und Löschfunktionen der Anwendung. Richten sich Betroffene direkt an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen und informiert diesen. Er unterstützt ferner, soweit nötig und unter Berücksichtigung der ihm verfügbaren Informationen, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO).

4.4 Meldung von Verletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, an die E-Mail-Adresse des Firmen-Administrators. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, betroffene Datenkategorien und Personen, voraussichtliche Folgen und ergriffene Maßnahmen. Fehlende Informationen reicht er nach.

4.5 Datenschutzbeauftragter. [PRÜFEN: Der Auftragsverarbeiter ist nach § 38 BDSG derzeit nicht zur Benennung eines Datenschutzbeauftragten verpflichtet. Sofern ein Datenschutzbeauftragter benannt ist oder wird, werden dessen Kontaktdaten unter getshiftbuddy.app/datenschutz veröffentlicht.] Ansprechpartner für Datenschutz ist bis dahin die Geschäftsführung unter info@nexus24-security.de.

4.6 Kontrollen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die Beschreibung der TOM (Anlage 2), die Liste der Unterauftragsverarbeiter (Anlage 3) und, soweit vorhanden, Zertifikate oder Prüfberichte der Unterauftragsverarbeiter. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten, zur Vertraulichkeit verpflichteten Prüfer nach Ankündigung mit angemessener Frist (mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne Störung des Betriebs, in der Regel einmal pro Jahr sowie anlassbezogen. Der Auftragsverarbeiter darf für Inspektionen, die über die Bereitstellung vorhandener Unterlagen hinausgehen, eine angemessene Aufwandsvergütung verlangen.

4.7 Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

4.8 Trennung. Der Auftragsverarbeiter trennt die Daten des Verantwortlichen technisch von den Daten anderer Kunden (siehe Anlage 2, Mandantentrennung).

5. Pflichten des Verantwortlichen

5.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage der Verarbeitung von Beschäftigtendaten (z. B. § 26 BDSG, Art. 6 Abs. 1 lit. b, c DSGVO), und für die Wahrung der Rechte der Betroffenen verantwortlich. Er informiert seine Beschäftigten und sonstige Betroffene nach Art. 13, 14 DSGVO über die Verarbeitung in Shift Buddy.

5.2 Der Verantwortliche verwaltet die Nutzerkonten und Rollen seiner Firma eigenverantwortlich und sorgt für die Vertraulichkeit der Zugangsdaten.

5.3 Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5.4 Beschließt der Verantwortliche, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) in Shift Buddy zu verarbeiten, die über die in Anlage 1 genannten hinausgehen, prüft er vorab die Zulässigkeit und informiert den Auftragsverarbeiter.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt die allgemeine Genehmigung zur Einbindung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügen oder Ersetzen von Unterauftragsverarbeitern) mindestens vier Wochen vor Wirksamwerden per E-Mail an den Firmen-Administrator oder durch Hinweis in der Anwendung und aktualisiert Anlage 3 unter getshiftbuddy.app/avv. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

6.3 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

6.4 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne vertragsgemäßen Zugriff auf Inhaltsdaten (z. B. Telekommunikation, Reinigung, Wartung ohne Datenzugriff) sowie die Nutzung von Zahlungsdienstleistern, die als eigenständig Verantwortliche handeln.

7. Löschung und Rückgabe

7.1 Der Verantwortliche kann seine Daten während der Laufzeit jederzeit über die Exportfunktionen der Anwendung in gängigen, maschinenlesbaren Formaten abrufen.

7.2 Nach Beendigung des Hauptvertrags oder Ablauf einer nicht in einen Vertrag überführten Testphase stellt der Auftragsverarbeiter die Daten noch 6 Monate zum Export bereit. Danach löscht er alle personenbezogenen Daten des Verantwortlichen einschließlich Kopien, soweit nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. In Sicherungskopien enthaltene Daten werden im regulären Backup-Zyklus überschrieben und bis dahin nicht aktiv verarbeitet. Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform.

7.3 Unterliegt der Auftragsverarbeiter einer Aufbewahrungspflicht (z. B. für Rechnungsdaten des Verantwortlichen nach § 147 AO, § 257 HGB), beschränkt er die Verarbeitung dieser Daten auf die Aufbewahrung und löscht sie nach Ablauf der Frist.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den Haftungsregelungen des Hauptvertrags (AGB, Ziffer 11), soweit diese mit Art. 82 DSGVO vereinbar sind.

9. Schlussbestimmungen

9.1 Änderungen dieses Vertrags bedürfen der Textform; für Anpassungen der Anlagen 2 und 3 gelten Ziffer 4.2 und 6.2.

9.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

9.3 Es gilt deutsches Recht. Gerichtsstand ist Wuppertal, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

9.4 Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem Zweck am nächsten kommt.

Anlage 1 – Gegenstand und Umfang der Verarbeitung

1. Gegenstand

Bereitstellung und Betrieb der webbasierten Anwendung Shift Buddy für den Verantwortlichen einschließlich Speicherung, Anzeige, Auswertung und Export der vom Verantwortlichen eingegebenen Daten sowie Versand von Benachrichtigungen an seine Nutzer.

2. Art und Zweck der Verarbeitung

• Einsatz-/Dienstplanung (Schichten, Bedarf, Besetzung, Schichtbörse, Verfügbarkeiten, Serien)
• Zeiterfassung (Check-in/Check-out, Ist-Zeiten, Korrekturen) und Stundenabgleich mit Auftraggebern und Subunternehmern
• Arbeitszeitkonten, Überstunden, Abwesenheiten (Urlaub, Krankheit) und Lohnfortzahlung
• Vorbereitung der Lohnabrechnung (Lohnstunden, Zuschläge, Fahrtkosten, Verdienstgrenzen-Hinweise) und der Kundenrechnungen; Exporte für Buchhaltungs- und Lohnsoftware (z. B. Lexware, DATEV)
• Controlling (Umsatz, Kosten, Ergebnis je Kunde, Objekt und Mitarbeiter; Rücklagen; Umsatzsteuer-Vorauszahlung)
• Verwaltung von Qualifikationen und Nachweisen (z. B. Sachkunde/Unterrichtung nach § 34a GewO, Bewacherregister-Kennung) mit Fristen
• Aufgabenverwaltung für das Büro, interne Benachrichtigungen (In-App und Web-Push)
• Datenübernahme aus Altsystemen (Tabellen, ShiftJuggler-Export, Freitext-Monatslisten), teils mit KI-gestützter Spaltenerkennung
• Protokollierung von Änderungen (Audit-Log) zur Nachvollziehbarkeit
• Optional: Anbindung eines vom Verantwortlichen gewählten KI-Assistenten über die bereitgestellte Schnittstelle (MCP); die Verarbeitung durch den angebundenen Assistenten verantwortet der Verantwortliche

3. Kategorien personenbezogener Daten

Mitarbeiter des Verantwortlichen (inkl. Aushilfen, Werkstudenten, Minijobber):

• Stammdaten: Name, Vorname, Personalnummer, Geburtsdatum, Anschrift, Telefonnummer, E-Mail-Adresse
• Beschäftigungsdaten: Vertragsart, Eintritts-/Austrittsdatum, Rolle in der Anwendung, Führerschein (ja/nein), Krankenkasse [PRÜFEN: nur sofern vom Verantwortlichen erfasst]
• Qualifikationen und Nachweise: Art, Ausweis-/Nachweisnummern (z. B. Sachkundenachweis, Bewacherregister-ID), Gültigkeit, hochgeladene Nachweisdokumente
• Vergütungsdaten: Stundenlohn bzw. Monatsgehalt mit Gültigkeitszeiträumen, Zuschläge, Fahrtkostensätze, Verdienstgrenzen
• Zeitdaten: geplante und tatsächliche Einsatzzeiten, Check-in/Check-out-Zeitstempel, Arbeitszeitkonten, Überstunden, Abwesenheiten einschließlich Krankheitszeiten (nur Zeitraum, keine Diagnosen)
• Einsatzdaten: zugewiesene Schichten, Objekte, Kunden, Fahrten/Kilometer
• Nutzungsdaten: Login-Daten (E-Mail, Passwort-Hash), Push-Abonnements (Endpunkt und Schlüssel des Browsers), Benachrichtigungen, Einträge im Audit-Log

Ansprechpartner der Kunden (Auftraggeber) und Subunternehmer des Verantwortlichen:

• Name, Funktion, geschäftliche Kontaktdaten (Telefon, E-Mail), Zuordnung zu Kunde/Objekt, ggf. Zugang zur Anwendung (Stundenabgleich)

Administratoren/Nutzer des Verantwortlichen:

• Name, E-Mail-Adresse, Passwort-Hash, Rolle, Zeitpunkt und Version der Zustimmung zu AGB/AVV

4. Besondere Kategorien (Art. 9 DSGVO)

Krankheitsbedingte Abwesenheiten werden nur als Zeitraum und Abwesenheitsart verarbeitet (für Lohnfortzahlung und Arbeitszeitkonto). Diagnosen oder Krankheitsgründe sind nicht vorgesehen und sollen vom Verantwortlichen nicht eingegeben werden.

5. Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (Arbeitnehmer, Aushilfen, Werkstudenten, Minijobber, ggf. freie Mitarbeiter)
• Mitarbeiter von Subunternehmern des Verantwortlichen, soweit sie in Einsätze eingeplant werden
• Ansprechpartner bei Kunden (Auftraggebern) des Verantwortlichen
• Nutzer der Anwendung (Administratoren, Disponenten, Verwaltung)

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Anwendung wird auf der Plattform Lovable Cloud betrieben; Datenbank, Authentifizierung und Dateispeicher laufen auf Supabase (PostgreSQL) in einer Region innerhalb der EU [PRÜFEN: Region im Supabase-Projekt verifizieren und hier benennen, z. B. „Frankfurt (eu-central-1)"].

1. Vertraulichkeit

Zutrittskontrolle: Der Betrieb erfolgt in Rechenzentren der Unterauftragsverarbeiter (Anlage 3), die physische Sicherheitsmaßnahmen nach Industriestandard umsetzen (Zutrittsbeschränkung, Überwachung, Besucherregelung). Der Auftragsverarbeiter betreibt keine eigenen Server.

Zugangskontrolle:

• Anmeldung mit E-Mail und Passwort (Mindestlänge 10 Zeichen, Abgleich mit bekannten kompromittierten Passwörtern durch den Auth-Dienst); Passwörter werden ausschließlich gehasht gespeichert
• Sitzungen über signierte Tokens mit begrenzter Laufzeit; Abmeldung jederzeit möglich
• Zugriff auf die Produktivdatenbank und die Projekt-Konfiguration nur für die Geschäftsführung des Auftragsverarbeiters mit personalisierten Konten; Zwei-Faktor-Authentifizierung für diese Konten [PRÜFEN: bei Lovable und Supabase aktiviert?]
• Serverseitige Schlüssel (Dienstschlüssel, API-Schlüssel, Push-Schlüssel) liegen ausschließlich in der geschützten Umgebungs-Konfiguration des Servers und sind im Browser nicht verfügbar

Zugriffskontrolle (Berechtigungskonzept):

• Rollen je Firma: Administrator, Disponent, Verwaltung, Mitarbeiter; Rollenvergabe nur durch den Administrator der Firma, mit Protokollierung
• Durchsetzung der Rechte direkt in der Datenbank über Row Level Security (RLS) für alle Tabellen; Lohn- und Vergütungsdaten sind nur für Administrator/Verwaltung sowie den jeweiligen Mitarbeiter für eigene Daten lesbar, Disponenten sehen keine Löhne; Mitarbeiter sehen nur eigene Schichten, Zeiten und Konten
• Sicherheitskritische Funktionen (Firmenanlage, Rollenvergabe, Lohnsatz-Abfrage, Verdienstgrenzen) laufen als geprüfte Datenbankfunktionen mit Berechtigungsprüfung; Funktionen für die Firmenanlage sind nur mit dem serverseitigen Dienstschlüssel aufrufbar

Trennungskontrolle (Mandantentrennung):

• Jede Firma ist durch eine Firmen-ID auf jedem Datensatz gekennzeichnet; restriktive RLS-Richtlinien beschränken jeden lesenden und schreibenden Zugriff auf die Firma des angemeldeten Nutzers
• Nutzer ohne Firmenzuordnung haben keinen Datenzugriff
• Test- und Produktivfirmen sind logisch getrennt; Demo-Daten liegen in einem separaten Demo-Modus ohne Datenbankzugriff

Pseudonymisierung/Datenminimierung:

• Bei der Registrierung wird die IP-Adresse nur als SHA-256-Hash mit anwendungsspezifischem Präfix zur Begrenzung von Registrierungsversuchen gespeichert
• Für die KI-gestützte Spaltenerkennung werden nur die ersten Zeilen einer Tabelle, auf 30 Spalten und 80 Zeichen je Zelle gekürzt, übertragen; die Erkennung ist nur für berechtigte Nutzer der Firma aufrufbar
• Push-Nachrichten enthalten nur Titel, Kurztext und einen Link in die Anwendung; Inhalte werden Ende-zu-Ende zum Browser verschlüsselt (Web-Push-Standard, RFC 8291)

2. Integrität

Weitergabekontrolle:

• Verschlüsselung aller Verbindungen zwischen Browser, Anwendungsserver, Datenbank und Unterauftragsverarbeitern mit TLS (HTTPS)
• Verschlüsselung der Datenbank und der Backups im Ruhezustand (AES-256) durch den Datenbankanbieter
• Exporte erfolgen nur durch berechtigte Nutzer innerhalb ihrer Firma
• Serverseitiger Benachrichtigungsversand ist durch ein geheimes Token abgesichert

Eingabekontrolle:

• Audit-Log: sicherheits- und abrechnungsrelevante Änderungen (z. B. Rollenvergabe, Korrekturen an Zeiten und Konten) werden mit Nutzer, Zeitpunkt, Objekt, Begründung und Vorher-/Nachher-Werten protokolliert
• Zeitstempel (erstellt/geändert) auf allen Datensätzen
• Serverseitige Validierung aller Eingaben (Schemaprüfung), Schutz vor Bots durch Honeypot-Felder und Ratenbegrenzung je IP-Hash bei der Registrierung

3. Verfügbarkeit und Belastbarkeit

• Tägliche automatische Datenbank-Backups durch den Datenbankanbieter mit Aufbewahrung von mindestens 7 Tagen [PRÜFEN: Backup-Plan des Supabase-Projekts/Lovable Cloud verifizieren; Point-in-Time-Recovery nur in höheren Tarifen]
• Hochverfügbare Infrastruktur der Plattformanbieter mit Überwachung, Redundanz und Schutz vor Überlastungsangriffen (DDoS)
• Zielwert Verfügbarkeit 99 % im Monatsmittel (siehe AGB Ziffer 8)
• Fehler- und Störungsüberwachung der Anwendung mit serverseitiger Protokollierung
• Automatische Bereinigung ungültiger Push-Endpunkte

4. Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Verantwortlich ist die Geschäftsführung; Überprüfung dieses TOM-Katalogs mindestens jährlich und bei wesentlichen Änderungen der Architektur
• Nutzung der automatischen Sicherheits- und Performance-Hinweise des Datenbankanbieters (Security Advisor) bei jeder Änderung des Datenmodells
• Automatisierte Tests für Abrechnungs- und Berechtigungslogik vor Auslieferung
• Incident-Prozess: Meldung an den Verantwortlichen binnen 48 Stunden (Ziffer 4.4), Dokumentation des Vorfalls, Nachbereitung
• Auftragskontrolle: schriftliche Verträge mit allen Unterauftragsverarbeitern (Anlage 3), regelmäßige Prüfung ihrer Zertifikate und Datenschutzhinweise
• Datenschutzfreundliche Voreinstellungen: neue Firmen starten leer, ohne Fremdzugriff; Beispieldaten nur auf ausdrücklichen Wunsch

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Stand: Oktober 2026. Aufgeführt sind nur Dienste, die im Quellcode der Anwendung tatsächlich eingebunden sind.

Hinweis Zahlungsabwicklung: Die Zahlungsabwicklung ist über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, vorgesehen. Stripe verarbeitet Zahlungsdaten des Verantwortlichen (Rechnungsadresse, E-Mail, Zahlungsmittel) als eigenständig Verantwortlicher und ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. [PRÜFEN: Stripe ist derzeit nicht im Code eingebunden; Zeile aktivieren, sobald die Integration live ist.]

Nicht eingebunden: Es werden keine Analyse-, Tracking- oder Werbedienste eingesetzt.

NEXUS24 Security UG (haftungsbeschränkt) · Lise-Meitner-Straße 5 · 42119 Wuppertal · info@nexus24-security.de