Vertrag zur Auftragsverarbeitung

Nach Art. 28 DSGVO. Sie erfassen mit IDO Zeit personenbezogene Daten Ihrer Beschäftigten – Sie sind dafür verantwortlich, wir verarbeiten sie in Ihrem Auftrag. Dieser Vertrag hält fest, was das konkret bedeutet.

1. Die Beteiligten

Verantwortlicher sind Sie als Kunde (Auftraggeber). Auftragsverarbeiter ist die IDO GmbH, Oschersleben (Anschrift siehe Impressum).

Ansprechpartner für den Datenschutz auf unserer Seite: info@ido-gmbh.de. Ein Datenschutzbeauftragter ist benannt, sobald die gesetzlichen Voraussetzungen dafür vorliegen.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung und der Betrieb der Zeiterfassung „IDO Zeit" einschließlich der von Ihnen gebuchten Zusatzmodule. Die Verarbeitung dauert so lange, wie der zugrunde liegende Nutzungsvertrag läuft, zuzüglich der in Abschnitt 9 genannten Frist.

3. Art, Zweck und betroffene Personen

Zweck: Erfassung, Speicherung, Auswertung und Bereitstellung von Arbeitszeiten und damit zusammenhängenden Daten für Ihre betrieblichen Zwecke – insbesondere zur Erfüllung Ihrer Aufzeichnungspflichten nach § 16 ArbZG und § 17 MiLoG.

Betroffene Personen: Ihre Beschäftigten, gegebenenfalls Ihre Kontaktpersonen bei Auftraggebern.

Kategorien personenbezogener Daten:

• Stammdaten: Name, E-Mail-Adresse, Personalnummer, Anschrift, Geburtsdatum, Eintrittsdatum, Standortzuordnung
• Arbeitszeitdaten: Beginn, Ende, Pausen, Abwesenheiten, Urlaubsansprüche, Zeitkontosalden, nachträgliche Änderungen samt Begründung
• Planungsdaten: Schichten, Objekt- und Auftragszuordnungen
• Optional und nur bei aktivierter Funktion: Standortkoordinaten zum Zeitpunkt einer Buchung
• Optional: Kennung einer RFID-Karte – gespeichert ausschließlich als Prüfwert, nie im Klartext
• Technische Daten: Anmeldezeitpunkte, IP-Adresse fehlgeschlagener Anmeldeversuche (zur Abwehr von Angriffen, kurzlebig)
• Gegebenenfalls Gehaltsangaben, wenn Sie diese eintragen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht planmäßig verarbeitet. Laden Sie Nachweise zu Abwesenheiten hoch (z. B. Bescheinigungen), können darin Gesundheitsdaten enthalten sein; solche Dateien liegen verschlüsselt außerhalb des Web-Verzeichnisses und sind nur berechtigten Personen Ihrer Firma zugänglich.

4. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf Ihre dokumentierte Weisung. Die Nutzung der Anwendung durch Sie und Ihre Beschäftigten sowie dieser Vertrag sind Ihre Weisung. Einzelweisungen richten Sie bitte in Textform an info@ido-gmbh.de.

Halten wir eine Weisung für rechtswidrig, weisen wir Sie darauf hin und dürfen die Ausführung aussetzen, bis Sie sie bestätigen oder ändern.

5. Vertraulichkeit

Alle Personen, die bei uns Zugang zu Ihren Daten haben, sind auf Vertraulichkeit verpflichtet und im Datenschutz unterwiesen. Der Zugriff ist auf das beschränkt, was zur Erbringung der Leistung erforderlich ist.

6. Unterauftragnehmer

Sie stimmen dem Einsatz der folgenden Unterauftragnehmer zu. Wir informieren Sie mindestens vier Wochen vorher über eine Änderung; Sie können ihr aus wichtigem Grund widersprechen.

Push-Benachrichtigungen auf Mobilgeräte laufen technisch über den Push-Dienst des jeweiligen Browserherstellers (Google, Apple, Mozilla). Übertragen wird dabei nur der verschlüsselte Nachrichteninhalt an eine anonyme Geräteadresse – kein Name, keine Personalnummer.

Setzen Sie als Betreiber der Plattform eigene Statistik- oder Werbeschnipsel ein, kommen dadurch weitere Empfänger hinzu, die hier zu ergänzen sind.

7. Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Beschrieben ist, was die Anwendung tatsächlich tut – nicht, was üblich wäre.

Vertraulichkeit

• Mandantentrennung: Jeder Datensatz trägt die Kennung der Firma, zu der er gehört. Jede Abfrage ist darauf eingeschränkt. Eine Firma kann die Daten einer anderen technisch nicht sehen.
• Passwörter werden mit Argon2id gehasht, nie im Klartext gespeichert und sind auch für uns nicht lesbar.
• RFID-Kartenkennungen liegen ausschließlich als HMAC-Prüfwert vor. Eine Klartextliste, die man zum Klonen von Karten nutzen könnte, existiert nicht – auch nicht bei uns.
• Zugangscodes zu Objekten sind mit XSalsa20-Poly1305 verschlüsselt.
• Rollen und Rechte auf vier Ebenen: Mitarbeiter, Standortleiter, Firmen-Admin, Plattform-Admin – dazu eine Freigabe je Mitarbeiter und Modul.
• Übertragung ausschließlich über HTTPS. Die Sitzungs-Cookies sind auf HTTPS beschränkt, für Skripte unlesbar und gegen Übernahme von fremden Seiten gesichert.
• Wandterminals weisen sich mit einer Signatur je Anfrage aus. Der Geräteschlüssel wird abgeleitet und nirgends gespeichert – wer nur die Datenbank hat, gewinnt daraus keinen Schlüssel.
• Dokumente und Fotos liegen außerhalb des Web-Verzeichnisses und sind nicht über eine Adresse abrufbar, sondern nur über die geprüfte Anwendung.

Integrität

• Änderungsprotokoll: Jedes nachträgliche Eintragen, Korrigieren und Löschen einer Arbeitszeit wird mit Vorzustand, Nachzustand, Person, Zeitpunkt und Pflichtbegründung festgehalten. Das ist zugleich Ihr Nachweis nach § 17 MiLoG.
• Eingaben werden serverseitig geprüft, Datenbankabfragen ausschließlich mit gebundenen Parametern gestellt.
• Formulare sind gegen das Unterschieben von Anfragen fremder Seiten geschützt (CSRF-Token).
• Schutzkopfzeilen gegen Einbetten in fremde Seiten, gegen das Erraten von Inhaltstypen und gegen ungewollte Geräteberechtigungen.

Verfügbarkeit und Belastbarkeit

• Tägliche automatische Sicherung von Datenbank und Dateien, Aufbewahrung 14 Tage, zusätzlich an einen zweiten Ort außerhalb des Anwendungsverzeichnisses.
• Rückspielprobe: Die Wiederherstellbarkeit wird regelmäßig überprüft, indem eine echte Sicherung in eine Wegwerf-Datenbank eingespielt und mit dem Ist-Stand verglichen wird.
• Offline-Fähigkeit: Buchungen auf dem Smartphone funktionieren ohne Netz und werden nachträglich übertragen – ein Ausfall führt nicht zu verlorenen Arbeitszeiten.
• Fehlerprotokollierung mit Alarmwirkung, ohne personenbezogene Inhalte: aufgezeichnet werden Zeitpunkt, Fehler und Benutzerkennung, nicht aber Eingaben, Cookies oder E-Mail-Adressen.

Trennung, Prüfung, Verbesserung

• Test- und Produktivumgebung sind getrennt; in der Testumgebung liegen keine echten Kundendaten.
• Vor jeder Auslieferung laufen eine automatische Prüfung der kompletten Anwendung und eine statische Code-Analyse.
• Anmeldeversuche werden je IP-Adresse begrenzt, um Angriffe durch systematisches Ausprobieren abzuwehren.

8. Unterstützung und Meldepflichten

Wir unterstützen Sie bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit). Die Anwendung enthält dafür eine Datenauskunft-Funktion, mit der Sie die Daten einer Person vollständig als Paket ausgeben können.

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir Sie unverzüglich – damit Sie Ihre Frist nach Art. 33 DSGVO (72 Stunden) einhalten können.

Wir unterstützen Sie bei einer Datenschutz-Folgenabschätzung und bei einer Abstimmung mit der Aufsichtsbehörde, soweit die dafür nötigen Angaben nur uns vorliegen.

9. Löschung und Rückgabe

Sie können Ihre Daten während der gesamten Vertragslaufzeit selbst exportieren (CSV, Lohnexport, Nachweispaket, Datenauskunft). Nach Vertragsende halten wir sie 30 Tage zum Abruf bereit und löschen sie anschließend einschließlich der Sicherungen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

10. Nachweise und Kontrolle

Wir weisen die Einhaltung dieses Vertrags auf Anfrage in Textform nach. Sie haben das Recht, sich von der Einhaltung zu überzeugen – nach vorheriger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

11. Verhältnis zu den übrigen Vereinbarungen

Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen. Bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag vor.

Fragen dazu? info@ido-gmbh.de