Vertrag zur Auftragsverarbeitung

Stand: November 2026

Dieser Vertrag gilt zwischen der registrierten Firma („Verantwortlicher“) und JK Industries (Inhaber Julian Kluesekamp) („Auftragsverarbeiter“) nach Art. 28 DSGVO. Er kommt mit der Zustimmung zu den AGB bei der Registrierung zustande.

1. Gegenstand, Dauer, Art und Zweck

Der Auftragsverarbeiter stellt die Online-Software Stamp bereit und verarbeitet dabei personenbezogene Daten im Auftrag der Firma. Zweck ist die Erfassung und Auswertung von Arbeitszeiten, Abwesenheiten und Schichten sowie, wenn aktiviert, die Verwaltung von Kunden und Rechnungen und die Nutzung des Assistenten Scott. Art der Verarbeitung: Erheben, Speichern, Auslesen, Abfragen, Übermitteln an die Firma, Löschen. Der Vertrag gilt, solange die Firma Stamp nutzt, und endet mit der vollständigen Löschung der Daten nach dem Ende des Nutzungsvertrags (Abschnitt 3).

2. Arten von Daten und betroffene Personen

Betroffene: Mitarbeiter und Administratoren der Firma, Ansprechpartner von Kunden der Firma.
Daten: Name, E-Mail-Adresse, Arbeitszeiten, Pausen, Notizen, Abwesenheiten, Schichten, Wochenstunden, Urlaubsanspruch, Stundenlohn und Kostensätze, Zuordnung zu Tätigkeiten, Kundenstammdaten, Rechnungsdaten, Nutzungsprotokolle des Assistenten Scott (Aktionen und je Gespräch die gekürzte erste Frage mit dem Namen der Person), technische Sitzungsdaten, Prüfwerte der IP-Adresse zur Begrenzung von Anmeldeversuchen sowie die IP-Adresse bei Anforderungen zum Zurücksetzen des Passworts. Prüfwerte zum Schutz der Testzeit betreffen Registrierungsdaten, für die wir selbst verantwortlich sind (siehe Datenschutzerklärung).
Besondere Kategorien: Die Abwesenheitsart „krank“ ist ein Gesundheitsdatum (Art. 9 DSGVO). Gespeichert werden nur Art und Zeitraum, keine Diagnosen. Wird Scott eingeschaltet und für Aktionen freigegeben, können Administratoren Scott nach Abwesenheiten der Mitarbeiter fragen; an den KI-Dienst geht die Art dann nur als „abwesend“, ohne Unterscheidung nach Krankheit. Bei der Sprache gilt das für Abfrageergebnisse, was gesprochen wird, geht im Ton mit (Abschnitt 4). Weitere besondere Kategorien sind nicht vorgesehen; die Firma gibt solche Daten nicht in Freitextfelder ein.

3. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung der Firma, auch hinsichtlich der Übermittlung in ein Drittland, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet zur Verarbeitung; dann teilt der Auftragsverarbeiter dies der Firma vorher mit, soweit das Recht es nicht verbietet. Als Weisung gelten die Nutzung der Funktionen von Stamp, die Einstellungen der Firma (z. B. Scott an oder aus) und dieser Vertrag. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Firma unverzüglich darauf hin und kann die Ausführung aussetzen.
Verpflichtung aller Personen mit Zugriff auf Vertraulichkeit oder gesetzliche Verschwiegenheit.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe Abschnitt 6).
Unterstützung der Firma bei Anfragen betroffener Personen (Anfragen, die bei uns eingehen, leiten wir an die Firma weiter), bei Datenschutz-Folgenabschätzungen und bei Meldungen von Datenschutzverletzungen (Art. 32 bis 36 DSGVO). Anfragen von Behörden zu den Daten der Firma teilen wir der Firma mit, soweit das zulässig ist. Eine Verletzung des Schutzes personenbezogener Daten melden wir der Firma unverzüglich, grundsätzlich innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die bei der Registrierung hinterlegte Adresse des Firmen-Administrators. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgesehene Maßnahmen sowie einen Ansprechpartner. Fehlende Angaben reichen wir nach. Die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1) und die Benachrichtigung der Betroffenen (Art. 34) bleibt Sache der Firma. Der Ablauf ist intern dokumentiert.
Nach Vertragsende: Die Firma kann ihre Daten exportieren (Mitarbeiter, Zeiten, Pausen, Abwesenheiten, Schichten, Tätigkeiten, Kunden, Rechnungen, Mitteilungen; Rechnungs-PDFs als Archiv) und ihr Konto samt allen Daten in Stamp selbst löschen. Weitere Daten (z. B. interne Protokolle) geben wir auf Anfrage in einem gängigen Format heraus. Das Konto wird erst gelöscht, nachdem die Firma ihre Daten exportiert hat. Wird das Konto nicht gelöscht, bleiben die Daten nach einer Sperre erhalten, bis die Firma sie exportiert hat; frühestens 60 Tage nach der Sperre und nach einer Erinnerung löschen wir sie dann. Ein pseudonymer Nachweis der Zustimmung zu AGB und diesem Vertrag (ohne Namen) bleibt acht Jahre erhalten. Daten aus Datensicherungen auf dem Server werden spätestens nach 14 Tagen gelöscht; die wöchentliche Kopie auf einem Gerät des Auftragsverarbeiters wird nach spätestens 8 Wochen überschrieben. Gesetzliche Aufbewahrungspflichten der Firma für Rechnungen bleiben bei der Firma.
Der Auftragsverarbeiter stellt der Firma alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Die Firma darf die Einhaltung kontrollieren, nach Anmeldung und innerhalb angemessener Frist; der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen.

4. Unterauftragsverarbeiter

Die Firma stimmt dem Einsatz folgender Unterauftragsverarbeiter allgemein zu:

alphabytes GmbH, Hennigfeldstr. 7, 44795 Bochum, Deutschland, als Hosting-Dienstleister, der Rechenzentrumsleistungen der Bradler & Krantz GmbH & Co. KG, Kurt-Schumacher-Platz 8, 44787 Bochum, Deutschland, nutzt (Bereitstellung der Server, der Datenbank und des E-Mail-Versands);
nur wenn die Firma den Assistenten Scott einschaltet zusätzlich OpenAI (für Kunden im EWR OpenAI Ireland Limited, Dublin; Muttergesellschaft OpenAI, L.L.C., USA) für die Textverarbeitung. Übermittelt werden Fragen, Gesprächsverlauf, Hilfetexte und, wenn die Firma Aktionen freigibt, die jeweils abgefragten Daten, bei Administratoren auch Zeiten, Mengen und Abwesenheiten (die Art „krank“ als „abwesend“). Namen von Mitarbeitern und Kunden werden in Text und Abfrageergebnissen durch Platzhalter ersetzt, E-Mail-Adressen, Telefonnummern, Notizen und Kommentare nicht übertragen; Die Sprache (Spracherkennung, Vorlesen, Live-Gespräch) gehört nicht zum Tarif: Sie läuft nur, wenn die Firma einen eigenen OpenAI-Schlüssel hinterlegt und die Sprache eigens freischaltet. Dann ist die Firma selbst Vertragspartnerin von OpenAI für diese Nutzung, wir leiten Ton und Text ohne Speicherung durch (beim Live-Gespräch läuft der Ton direkt zwischen Gerät und OpenAI), und das Ersetzen von Namen ist bei der Sprache technisch nicht möglich. Passwörter, Zugangs- und Bankdaten sowie Stundenlöhne und Kostensätze werden vor der Übermittlung entfernt. Die Verarbeitung kann in den USA stattfinden; Grundlage sind die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) im Auftragsverarbeitungszusatz von OpenAI. Nach den Angaben von OpenAI werden die Daten nicht zum Training verwendet; Protokolle zur Missbrauchserkennung bleiben standardmäßig bis zu 30 Tage gespeichert. Unterauftragnehmer von OpenAI veröffentlicht OpenAI selbst.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen gleichwertige Datenschutzpflichten, wie sie in diesem Vertrag gelten, und bleibt gegenüber der Firma für deren Einhaltung verantwortlich. Über beabsichtigte Änderungen informieren wir mindestens 30 Tage vorab per E-Mail. Die Firma kann aus einem datenschutzrechtlichen Grund innerhalb dieser Frist widersprechen; dann können beide Seiten den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Ausschalten kann die Firma den Einsatz von OpenAI jederzeit selbst, indem sie Scott ausschaltet.

5. Verantwortung der Firma

Die Firma ist für die Rechtmäßigkeit der Verarbeitung gegenüber ihren Mitarbeitern verantwortlich, insbesondere für die Information der Beschäftigten, die Beachtung von Betriebsvereinbarungen und Mitbestimmungsrechten und arbeitsrechtlichen Vorgaben sowie für Weisungen an den Auftragsverarbeiter.

6. Technische und organisatorische Maßnahmen

Zugriffskontrolle: Anmeldung mit Passwort (nur als Hash gespeichert), Rollen Mitarbeiter und Admin, Begrenzung von Anmeldeversuchen. Das Sitzungs-Cookie ist vor dem Auslesen durch Skripte geschützt und wird serverseitig in der Datenbank verwaltet; eine Passwortänderung beendet alle Sitzungen.
Mandantentrennung: Alle Daten sind einer Firma zugeordnet, Abfragen sind auf die eigene Firma beschränkt.
Übertragung: Verschlüsselung per HTTPS, Schutz vor Cross-Site-Request-Forgery, strenge Inhaltssicherheitsrichtlinie (Content-Security-Policy).
Nachvollziehbarkeit: Änderungen an Zeiteinträgen durch Admins werden protokolliert; Aktionen des Assistenten Scott werden mit Zeitpunkt, Person und Inhalt protokolliert. Vor der Übermittlung an den KI-Dienst werden Passwörter, Zugangs- und Bankdaten, Stundenlöhne und Kostensätze, E-Mail-Adressen, Telefonnummern und Notizen entfernt, Namen durch Platzhalter ersetzt (nicht bei der Sprache) und „krank“ zu „abwesend“ gemacht.
Trennung von Test- und Echtdaten: Tests und Entwicklung laufen ausschließlich auf einer getrennten Datenbank mit erfundenen Daten und auf einer Kopie der Anwendung ohne Zugangsdaten des Produktivsystems. Echtdaten werden dafür nicht verwendet.
Schwachstellen- und Patchmanagement: Der Anbieter prüft regelmäßig die eingesetzten Komponenten (PHP-Version beim Hoster, mitgelieferte Bibliotheken) auf bekannte Schwachstellen und spielt Sicherheitsupdates zeitnah nach Schweregrad ein; kritische Lücken in der Regel innerhalb weniger Tage.
Überprüfung der Wirksamkeit (Art. 32 Abs. 1 lit. d): Die Maßnahmen werden mindestens jährlich sowie bei wesentlichen Änderungen anhand einer Checkliste geprüft und das Ergebnis dokumentiert. Automatische Tests (u. a. Mandantentrennung, Löschung, Export, Wiederherstellung einer Sicherung) laufen vor jeder Veröffentlichung.
Verzeichnis der Verarbeitungstätigkeiten: Der Anbieter führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO für die Verarbeitung im Auftrag und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.
Datenminimierung und Fristen: Prüfwerte zum Schutz vor Missbrauch (IP-Adresse) werden nur als Hash gespeichert und nach höchstens zwei Tagen gelöscht; Sitzungen verfallen spätestens 400 Tage nach der letzten Nutzung; das Scott-Protokoll wird nach 90 Tagen gelöscht.
Verfügbarkeit und Sicherung: Tägliche automatische Sicherung der Datenbank auf dem Server, verschlüsselt (AES-256-GCM) und außerhalb des über das Internet erreichbaren Verzeichnisses, aufbewahrt werden die letzten 14 Sicherungen; zusätzlich wird wöchentlich eine Kopie, weiterhin verschlüsselt, auf ein Gerät des Auftragsverarbeiters geladen (nur für den Benutzer lesbar, die letzten 8 Kopien bleiben erhalten). Ein Dritter ist daran nicht beteiligt.
Hosting: Die Maßnahmen des Hosting-Anbieters für Rechenzentrum, physischen Zugang, Netzwerk und Datenträger regelt der Auftragsverarbeiter vertraglich mit dem Anbieter; auf Anfrage informiert er die Firma darüber.

7. Haftung

Für die Haftung zwischen den Parteien gelten die Regelungen der AGB, auch für diesen Vertrag. Ansprüche betroffener Personen nach Art. 82 DSGVO bleiben unberührt.

Impressum · Datenschutz · AGB · AV-Vertrag