Vollständiger Entwurf auch unter docs/recht/avv.md. Verbindlich wird der AVV mit anwaltlicher Freigabe und Unterzeichnung durch Kunde und Anbieter.
§1 Gegenstand und Dauer
Der Kunde (Verantwortlicher) beauftragt den Anbieter von 360zeit, Medica-Saar-MVZ GmbH (Auftragsverarbeiter), mit der Verarbeitung personenbezogener Daten Beschäftigter zum Zweck der Arbeitszeiterfassung und des technischen Betriebs der Software. Die Dauer entspricht der Laufzeit des Nutzungsvertrags bzw. bis zur vollständigen Löschung/Rückgabe nach Vertragsende.
§2 Art der Daten und betroffene Personen
- Stammdaten Beschäftigter
- Zeitbuchungen, Abwesenheiten
- Standortprüfergebnisse; Rohkoordinaten nur bei Abweichung
- technische Protokolle, Sessions, Audit-Ereignisse
Betroffene: Beschäftigte und ggf. Administratoren des Kunden.
§3 Weisungsbindung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, einschließlich im Hinblick auf Übermittlungen in ein Drittland — es sei denn, er ist durch Unions- oder Mitgliedstaatenrecht dazu verpflichtet.
§4 Vertraulichkeit
Personen, die zur Verarbeitung befugt sind, werden zur Vertraulichkeit verpflichtet (bzw. unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht).
§5 TOM
Maßnahmen gemäß Art. 32 DSGVO. Beschreibung (Entwurf): docs/recht/tom.md. U. a.: Zugriffskontrolle, Verschlüsselung in Transit, Protokollierung, Backup, rollenbasierte Rechte.
§6 Unterauftragsverarbeiter
Der Kunde willigt in die Beauftragung der folgenden Unterauftragsverarbeiter ein. Änderungen werden mitgeteilt. Diese Liste ist aktuell zu halten.
| Name | Leistung | Ort (Stand) |
|---|---|---|
| IONOS SE | Hosting / Server | Deutschland |
| Resend | Transaktions-E-Mails (Login-Codes u. a.) | anwaltlich zu klären |
§7 Löschung nach Vertragsende
Nach Ende der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Kunden zurück — soweit keine gesetzliche Aufbewahrungspflicht entgegensteht — und löscht vorhandene Kopien, inkl. Backups nach Ablauf der Backup-Frist.
§8 Kontrollrechte
Der Kunde kann die Einhaltung der TOM in angemessenem Umfang prüfen (Auskünfte, ggf. Audits nach Vorankündigung). Details im finalen Vertrag.
§9 Meldepflichten
Der Auftragsverarbeiter unterstützt den Kunden bei Art. 32–36 DSGVO, insbesondere Meldung von Verletzungen des Schutzes personenbezogener Daten an den Kunden ohne schuldhafte Verzögerung.
§10 Kontakt
AVV-Unterlagen und Rückfragen: dr.fadi75@gmail.com