Auftragsverarbeitungsvertrag

Stand: 15. September 2026

Zwischen

Verantwortlicher (nachfolgend „Verantwortlicher" oder „Kunde"):

dem Unternehmen, das den Dienst als Kunde im Sinne von § 1 Abs. 4 der AGB registriert hat, mit den im Kundenkonto hinterlegten Angaben (insbesondere Name des Betriebs und Land), vertreten durch die Person, die diesen Vertrag nach § 1 Abs. 5 für den Kunden abgeschlossen hat

— und —

Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter" oder „Anbieter"):

BlankTrading UG (haftungsbeschränkt), Gabriele-Münter-Straße 31, 73760 Ostfildern, Deutschland, vertreten durch den Geschäftsführer Leo Solomon

— nachfolgend gemeinsam die „Parteien" —

wird der folgende Vertrag zur Auftragsverarbeitung geschlossen.

§ 1 Gegenstand, Dauer und Präzisierung des Auftrags

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Software-as-a-Service-Anwendung „QuickTeam" (der „Dienst"). Grundlage ist der zwischen den Parteien geschlossene Nutzungsvertrag (die AGB).

(2) Art und Zweck der Verarbeitung, die Art der verarbeiteten personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Über die Beendigung des Nutzungsvertrags hinaus gelten die Pflichten aus diesem Vertrag fort, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet oder aufbewahrt.

(4) Die primäre Datenbank und ihre Sicherungen werden bei Supabase in der Region Irland gespeichert. Dies ist keine Zusage, dass sämtliche Verarbeitungen ausschließlich in der EU erfolgen: Webauslieferung, serverseitige Webverarbeitung, E-Mail und Push-Zustellung sowie Supportzugriffe können gemäß Anlage 3 auch Drittländer betreffen. Übermittlungen setzen eine wirksame Grundlage nach Art. 44 ff. DSGVO voraus. Weitere Unterauftragsverarbeiter und Änderungen unterliegen § 6.

(5) Dieser Vertrag wird elektronisch geschlossen: Die für den Kunden handelnde Person stimmt ihm bei der Registrierung oder, bei einer neuen Fassung, im Dashboard zu und versichert dabei, zur Vertretung des Kunden berechtigt zu sein. Der Auftragsverarbeiter speichert zu jeder Zustimmung die Fassung dieses Vertrags, den Zeitpunkt, das handelnde Konto und den Kunden. Er stellt dem Verantwortlichen diese Angaben und den Vertragstext in der angenommenen Fassung auf Anfrage in Textform zur Verfügung.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden zunächst durch diesen Vertrag und den Nutzungsvertrag sowie durch die Nutzung der Funktionen des Dienstes durch den Verantwortlichen und seine Nutzer festgelegt und konkretisiert. Einzelweisungen sind in Textform (z. B. per E-Mail an blanktrading@web.de) zu erteilen.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich und setzt die betroffene Verarbeitung bis zur rechtlichen Klärung aus. Die bloße Bestätigung einer rechtswidrigen Weisung macht deren Ausführung nicht zulässig.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten im Einklang mit der DSGVO und diesem Vertrag. Er unterstützt den Verantwortlichen bei der Einhaltung der Datenschutzvorschriften nach Maßgabe der folgenden Bestimmungen.

(2) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(3) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf die Maßnahmen im Laufe der Vertragsdauer weiterentwickeln und anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Datenschutzanfragen bearbeitet die Geschäftsführung unter blanktrading@web.de. Ein Datenschutzbeauftragter ist derzeit nicht benannt. Der Anbieter überprüft die Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG anhand der tatsächlichen Tätigkeiten, Risiken und Betriebsgröße; allein die Unterschreitung von zwanzig mit der Verarbeitung beschäftigten Personen schließt eine Pflicht nicht aus.

(5) Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der Daten nur nach Weisung des Verantwortlichen ein. Soweit eine betroffene Person sich unmittelbar an den Auftragsverarbeiter wendet, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

§ 4 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 12 bis 23 DSGVO).

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation), und zwar unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(3) Eine zusätzliche Vergütung setzt eine vorherige Vereinbarung über gesondert beauftragte Leistungen voraus. Sie darf die Erfüllung der gesetzlichen Unterstützungspflichten und die Ausübung der Kontroll- oder Betroffenenrechte nicht behindern. Für Export und Anbieterwechsel gelten die kostenfreien Regelungen der AGB.

§ 5 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, unverzüglich nach Bekanntwerden.

(2) Die Meldung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben. Der Auftragsverarbeiter trifft in Abstimmung mit dem Verantwortlichen angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO gegenüber der Aufsichtsbehörde und den betroffenen Personen obliegen dem Verantwortlichen.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und vom Verantwortlichen genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern in Textform mit angemessener Frist vorab. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von vierzehn (14) Tagen widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; kommt eine solche nicht zustande, ist der Verantwortliche zur Kündigung des Nutzungsvertrags aus wichtigem Grund berechtigt.

(3) Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter durch Vertrag auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

(4) Nicht als Unterauftragsverarbeitung im Sinne dieses Paragraphen gelten Nebenleistungen, die der Auftragsverarbeiter als Fremdleistung in Anspruch nimmt (z. B. Telekommunikations- oder reine Wartungsleistungen ohne konkreten Bezug zu den für den Verantwortlichen verarbeiteten Daten). Der Auftragsverarbeiter ist jedoch verpflichtet, auch insoweit angemessene Vorkehrungen zur Gewährleistung des Datenschutzes und der Datensicherheit zu treffen.

§ 7 Kontrollrechte des Verantwortlichen und Nachweise

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

(2) Der Nachweis kann auch durch die Vorlage geeigneter, aktueller Zertifizierungen, genehmigter Verhaltensregeln oder Berichte unabhängiger Stellen (z. B. Prüfberichte, Testate zur IT-Sicherheit) geführt werden.

(3) Überprüfungen werden grundsätzlich mit angemessener Vorankündigung und unter Wahrung der Sicherheit, Vertraulichkeit und Rechte anderer Kunden organisiert. Anlassbezogene und dringende Prüfungen sowie gesetzlich erforderliche Prüfungen bleiben jederzeit möglich; es gibt keine starre jährliche Obergrenze. Bei berechtigten Interessenkonflikten des vorgeschlagenen Prüfers stimmen die Parteien eine unabhängige Alternative ab, ohne das Kontrollrecht auszuschließen.

§ 8 Löschung und Rückgabe nach Abschluss der Verarbeitung

(1) Nach Abschluss der Leistungen gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen die personenbezogenen Daten zurück und löscht vorhandene Kopien oder löscht sie ohne Rückgabe, sofern keine gesetzliche Aufbewahrungspflicht besteht. Eine Weisung zur früheren Löschung bleibt möglich.

(2) Für Bereitstellung, rechtzeitig verlangte Exporte und Anbieterwechsel gelten die Fristen aus § 6 Abs. 4 bis 7 der AGB auch für diesen Vertrag. Die betreffenden Daten werden nicht gelöscht, bevor eine laufende Übergangsphase, die vollständige Bereitstellung und die anschließende mindestens dreißigtägige Abruffrist abgeschlossen sind. Eine technisch oder organisatorisch erforderliche Löschsperre setzt diese Fristen um; sie verlängert die produktive Nutzung nicht ohne entsprechende vertragliche Grundlage.

(3) Verbliebene Datenbank-Sicherungskopien laufen spätestens sieben Tage nach der produktiven Löschung aus. Sie werden bis dahin nur zur Wiederherstellung geschützt aufbewahrt; bei einer Wiederherstellung werden zwischenzeitlich angeordnete Löschungen erneut vollzogen. Die Löschung wird auf Verlangen in Textform bestätigt.

(4) Eigene Abrechnungsunterlagen und Vertragsnachweise des Anbieters fallen nur insoweit außerhalb dieses Löschauftrags, wie er sie auf eigener Rechtsgrundlage zweckgebunden aufbewahren darf. Umfang und Fristen ergeben sich aus Ziffer 5.2 und 15 der Datenschutzerklärung. Das rechtfertigt keine weitere Nutzung der übrigen Beschäftigtendaten.

§ 9 Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrags (§ 10 der AGB), soweit diese mit den zwingenden Vorgaben der DSGVO vereinbar sind.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor.

(2) Individuelle Vereinbarungen haben Vorrang (§ 305b BGB). Im Übrigen bedürfen Änderungen einschließlich der Anlagen der Textform; Änderungen von Unterauftragsverarbeitern richten sich nach § 6. Eine Veröffentlichung allein ersetzt keine erforderliche Vertragsannahme.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch die gesetzliche Regelung.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand der Verarbeitung: Bereitstellung und Betrieb der SaaS-Anwendung QuickTeam zur Personaleinsatz- und Schichtplanung für den Verantwortlichen.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung innerhalb des Betriebs des Verantwortlichen, Bereitstellen, Abgleichen, Einschränken, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.

Zweck der Verarbeitung: Schicht- und Einsatzplanung, Verwaltung von Verfügbarkeiten, Präferenzen, Urlaub und Abwesenheiten, Schichttausch, Notfallvertretung, teaminterne Kommunikation (Ankündigungen, Umfragen, Checklisten), Versand von Benachrichtigungen (Push), technische Bereitstellung betrieblicher Zugriffe. Die allgemeine Verwaltung persönlicher Anmeldekonten, Vertragsnachweise und Abrechnung erfolgt in eigener Verantwortlichkeit des Anbieters gemäß Datenschutzerklärung und ist nicht Gegenstand dieses Auftrags. Die Zustellung betrieblicher Mitteilungen im Auftrag des Kunden einschließlich der hierfür nötigen Push-Verarbeitung gehört dagegen zum Auftrag.

Art der personenbezogenen Daten:

• Kontaktdaten: Name (Vor- und Nachname), E-Mail-Adresse, optional Telefonnummer;
• Profil- und Vertragsdaten: Rolle(n), Vertragsart, Soll-/Höchstarbeitszeit, Überstundensaldo, Urlaubsanspruch, Betriebszugehörigkeit;
• Planungs- und Betriebsdaten: Schichtzuweisungen und -verlauf, Verfügbarkeiten, Schichtpräferenzen, Urlaubs- und Abwesenheitsanträge, Schichttausch- und Notfallvorgänge;
• Kommunikationsdaten: Nachrichten, Ankündigungen, Umfrageabstimmungen, Checklisten-/Aufgabenstatus, Schichtnotizen;
• Nutzungs- und technische Daten: Sitzungskennungen, Zeitstempel, Geräte-Push-Token, Protokolldaten.

Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (einschließlich Aushilfen und ggf. Bewerber, soweit erfasst), Führungskräfte/Verantwortliche des Betriebs sowie sonstige vom Verantwortlichen eingeladene Nutzer.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Der Dienst ist nicht für Diagnosen, Arbeitsunfähigkeitsbescheinigungen oder vergleichbare Gesundheitsunterlagen bestimmt. Freitexte können dennoch Gesundheitsangaben enthalten. Eine Verarbeitung ist dann nur bei einer im Einzelfall tragfähigen Ausnahme nach Art. 9 Abs. 2 DSGVO und angemessenen Schutzmaßnahmen zulässig; die Zustimmung zu diesem AVV schafft keine solche Ausnahme. Unnötige Angaben sind zu entfernen. Der Verantwortliche und der Auftragsverarbeiter erfüllen jeweils ihre gesetzlichen Pflichten. Die aktuelle Sichtbarkeit von Notfallgründen ist in Ziffer 7.4 und 8 der Datenschutzerklärung beschrieben; diese Beschreibung ist keine Erlaubnis für unnötige Offenlegungen.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Die nachfolgenden Maßnahmen beschreiben den Stand zum Zeitpunkt des Vertragsschlusses. Ein Teil der infrastrukturbezogenen Maßnahmen (physische Rechenzentrumssicherheit, Netzwerksicherheit, Verschlüsselung im Ruhezustand) wird durch den Unterauftragsverarbeiter Supabase erbracht (siehe Anlage 3).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Primäre Datenbank in der EU (Irland); physische Zutrittssicherung durch die Infrastrukturbetreiber. Für weitere Verarbeitung und Drittlandzugriffe gilt Anlage 3.
• Zugangskontrolle: Individuelle Benutzerkonten mit Authentifizierung (E-Mail-Adresse und Passwort; Bestätigung der E-Mail-Adresse per Einmalcode); Passwörter werden ausschließlich als Hash gespeichert; administrative Zugänge (u. a. zur Datenbank und Verwaltungskonsole) sind zusätzlich durch Zwei-Faktor-Authentifizierung (2FA) geschützt.
• Zugriffskontrolle: Zeilenbasierte Zugriffskontrollen (Row-Level Security) auf allen Datentabellen, die die Daten jedes Betriebs voneinander isolieren; serverseitig durchgesetzte Autorisierung über gesicherte Datenbankfunktionen; Zugriff nach dem Prinzip der geringsten Rechte.
• Trennungskontrolle: Logische Mandantentrennung der Daten je Betrieb.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Verschlüsselung der Datenübertragung nach dem Stand der Technik (TLS).
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse und Zeitstempel; Nachvollziehbarkeit von Änderungen im Rahmen der Anwendungslogik.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Verschlüsselung im Ruhezustand sowie automatische tägliche Sicherungen der Datenbank (ohne separat gespeicherte Anhangdateien; hierfür sind gesonderte Sicherungsmaßnahmen erforderlich) durch den Hosting-Unterauftragsverarbeiter mit einer Aufbewahrung der Sicherungen von sieben (7) Tagen.
• Maßnahmen zum Schutz vor Verlust und unbefugter Veränderung.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Wiederherstellung, Löschung, Mandantentrennung und rollenbezogene Zugriffe sind risikoorientiert zu prüfen; wesentliche Änderungen erfordern eine erneute Bewertung. Eine Prüfung des Quelltexts ersetzt keinen Nachweis der produktiven Konfiguration.
• Durchgeführte sicherheitsbezogene Überprüfung der Anwendung (u. a. Absicherung der Datenbankfunktionen, Entzug von PUBLIC-/anonymen Ausführungsrechten); fortlaufende Aktualisierung eingesetzter Komponenten.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): standardmäßig eingeschränkte Sichtbarkeit von Kollegendaten, Auflösung von Namen nur über zugriffsbeschränkte Funktionen; Möglichkeit der Pseudonymisierung/Löschung von Beschäftigtendatensätzen gemäß Ziffer 15 der Datenschutzerklärung.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Hinweis zu Stripe: Stripe Payments Europe, Limited verarbeitet Zahlungs- und Rechnungsdaten für die eigene Vertragsverwaltung des Anbieters. Je nach Zweck handelt Stripe dabei als dessen Auftragsverarbeiter oder als eigenständig Verantwortlicher. Stripe erhält über diese Integration keine Dienstpläne oder Beschäftigtenprofile zur Abrechnung. Stripe ist deshalb kein Unterauftragsverarbeiter für die in diesem AVV beauftragte betriebliche Personalplanung. Einzelheiten und die Rollenabgrenzung enthält Ziffer 6 der Datenschutzerklärung.

Push-Benachrichtigungen: Die vorstehend genannten Push-Dienste erhalten die für die Zustellung erforderlichen technischen Kennungen (Push-Token) und den Inhalt der jeweiligen Benachrichtigung. Soweit hierbei eine Übermittlung in die USA erfolgt, stützt sich der Anbieter auf die in der Tabelle genannten Übermittlungsgrundlagen (EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln); dies wird in der Datenschutzerklärung dargestellt.