Auftragsverarbeitungsvertrag (AVV)

Präambel und Parteien

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen

• dem Kunden, der die kloq-Dienste nutzt und im Folgenden Verantwortlicher heißt, und
• [FIRMA], [ANSCHRIFT], [FIRMENBUCHNUMMER/HANDELSREGISTER], [UID], vertreten durch [GESCHÄFTSFÜHRUNG], Kontakt: [KONTAKT], Datenschutzkontakt: [DATENSCHUTZKONTAKT], im Folgenden Auftragsverarbeiter.

Die Angaben zum Verantwortlichen ergeben sich aus dem Konto bei Vertragsabschluss. Der Vertrag wird nach SPEC §17.1.4 mit dem Konto abgeschlossen. Anlagen 1 bis 4 sind Bestandteil des Vertrags.

§1 Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung der Software-Dienste kloq. time, kloq. people, kloq. pay und kloq. mobile als gehostete Dienste (Cloud). Welche Produkte der Verantwortliche nutzt, ergibt sich aus seinem Konto; jedes Produkt ist einzeln nutzbar (ADR-016).
2. Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen.
3. kloq pay ist eine Lohn-Vorerfassung. Es berechnet keine Löhne und meldet nichts an Behörden (SPEC §7). Der Auftragsverarbeiter erbringt keine Lohnverrechnung.
4. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags über die kloq-Dienste. Er endet automatisch mit dessen Ende, vorbehaltlich der Pflichten nach §7.
5. Der Betrieb von kloq im Selbstbetrieb des Verantwortlichen (Self-Host) ist nicht Gegenstand dieses Vertrags (siehe Offene Punkte, Nr. 4).

§2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

1. Art und Zweck der Verarbeitung: Speicherung, Berechnung, Bereitstellung, Übermittlung und Löschung von Daten zur Zeiterfassung, Abwesenheits- und Dienstplanverwaltung, Personen- und Zugangsverwaltung sowie Lohn-Vorerfassung, Spesen- und Belegverwaltung, jeweils nach den Einstellungen des Verantwortlichen.
2. Die Kategorien betroffener Personen und die Kategorien personenbezogener Daten sind in Anlage 1 abschließend beschrieben.
3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur in dem in Anlage 1 beschriebenen minimalen Umfang verarbeitet. Biometrische Daten verarbeitet der Auftragsverarbeiter nicht.
4. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung, die Wahl der Rechtsgrundlage und die Erfüllung seiner Mitbestimmungs- und Informationspflichten verantwortlich. Der Auftragsverarbeiter stellt mit dem Mitbestimmungs-Gate (ADR-019) einen Hinweismechanismus bereit; dieser ersetzt keine Rechtsprüfung und blockiert nicht.

§3 Pflichten des Auftragsverarbeiters

1. Weisungsbindung. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), auch bei Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dies dem Verantwortlichen vorab mit, soweit das Recht dies nicht verbietet. Weisungen ergeben sich aus Anlage 4.
2. Rechtswidrige Weisungen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung auszusetzen, bis die Weisung bestätigt oder geändert wird (Art. 28 Abs. 3 Unterabs. 2 DSGVO).
3. Vertraulichkeit. Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und die nur im erforderlichen Umfang Zugriff haben.
4. Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind (Art. 28 Abs. 3 lit. c DSGVO). Anlage 2 weist je Maßnahme aus, ob sie umgesetzt, teilweise umgesetzt oder geplant ist. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.
5. Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
6. Datenschutzkontakt. Der Auftragsverarbeiter benennt einen Datenschutzkontakt ([DATENSCHUTZKONTAKT]). Ob eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht, prüft er in eigener Verantwortung.
7. Trennung. Daten verschiedener Verantwortlicher werden logisch getrennt (Mandantentrennung, Anlage 2).
8. Keine eigene Nutzung. Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke, insbesondere nicht für Profiling, Leistungs- oder Verhaltensbewertung von Beschäftigten und nicht für das Training von Modellen.
9. Protokollierung des Zugriffs. Zugriffe des Auftragsverarbeiters auf Daten des Verantwortlichen im Rahmen von Wartung und Support erfolgen nur mit Freigabe des Verantwortlichen und werden protokolliert (siehe Anlage 2, Offene Punkte Nr. 17).

§4 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).
2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mit einer Frist von 30 Tagen (Vorschlag, siehe Offene Punkte Nr. 8) vor dem Wirksamwerden, in Textform und durch Aktualisierung der Liste in Anlage 3 (Verzeichnis der Unterauftragsverarbeiter, SPEC §17.1.4).
3. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Erhebt er Einspruch, suchen die Parteien eine Lösung (z. B. Verzicht auf den Dienst, Alternativanbieter, Abschaltung der betroffenen Funktion). Ist keine zumutbare Lösung möglich, darf der Verantwortliche den betroffenen Dienst außerordentlich kündigen. Die Details sind zu bestätigen (Offene Punkte Nr. 8).
4. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Verantwortlichen für deren Einhaltung.
5. Einzelne Unterauftragsverarbeiter werden nur auf Veranlassung des Verantwortlichen eingesetzt (z. B. die KI-Belegerkennung, die der Verantwortliche aktivieren muss). Ohne Aktivierung fließen keine Daten dorthin.
6. Kein Unterauftragsverhältnis liegt vor bei Dienstleistungen, die der Verantwortliche selbst beauftragt (z. B. SSO-Anbieter wie Microsoft Entra oder Google Workspace, Lohnbüro, Zielsysteme der Connectors). Dies sind eigene Verträge des Verantwortlichen (docs/legal/datenschutz-mitbestimmung.md §3.10, Randfälle).

§5 Unterstützung des Verantwortlichen

1. Betroffenenrechte. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit technischen und organisatorischen Mitteln bei der Beantwortung von Anträgen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Dazu stellt kloq Betroffenenanfragen mit Fristüberwachung und Export bereit (SPEC §17.1.1). Meldet sich eine betroffene Person direkt beim Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an.
2. Fristen. Auskunft und Export entschlüsseln mit dem Personenschlüssel, solange er existiert (ADR-018). Nach Vernichtung des Schlüssels sind die betreffenden Inhalte nicht mehr herstellbar.
3. Datenschutz-Folgenabschätzung. Der Auftragsverarbeiter unterstützt auf Anfrage bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) und stellt dafür Informationen über die Funktionen, Datenflüsse und Maßnahmen bereit, insbesondere zu Standort-, Gesundheits- und Zugriffsprotokoll-Funktionen (docs/legal/datenschutz-mitbestimmung.md §6 Nr. 6, 15).
4. Verletzungen des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Bekanntwerden, so dass der Verantwortliche die Meldefrist von 72 Stunden nach Art. 33 DSGVO einhalten kann (SPEC §17.1.2). Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechperson. Fehlende Angaben werden nachgereicht. Meldeadresse und Ansprechperson stehen in Anlage 4.
5. Meldung durch den Verantwortlichen. Die Meldung an die Aufsichtsbehörde (Art. 33) und die Benachrichtigung Betroffener (Art. 34) sind Sache des Verantwortlichen. Der Auftragsverarbeiter meldet nicht selbst an Aufsichtsbehörden oder Betroffene, es sei denn, ihn trifft eine eigene gesetzliche Pflicht.
6. Sonstige Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).
7. Die Unterstützung ist im Rahmen der Standardfunktionen kostenfrei. Über den Standard hinausgehender Aufwand kann angemessen vergütet werden (Offene Punkte Nr. 10).

§6 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis erfolgt vorrangig durch Dokumentation: Anlage 2, das Verzeichnis nach Art. 30 Abs. 2 DSGVO, die Liste der Unterauftragsverarbeiter und, soweit vorhanden, Prüfberichte (z. B. Ergebnis eines Penetrationtests nach SPEC §4.2.8).
3. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf nach rechtzeitiger Ankündigung (mindestens [30] Tage, Vorschlag) und während der üblichen Geschäftszeiten Prüfungen einschließlich Inspektionen durchführen. Die Prüfung darf den Betrieb nicht unverhältnismäßig stören und keine Daten anderer Kunden offenlegen.
4. Prüfungen finden in der Regel höchstens einmal jährlich statt, außer bei einer Datenpanne oder einem begründeten Verdacht.
5. Die Verteilung der Kosten einer Prüfung ist offen (Offene Punkte Nr. 10).
6. Der Verantwortliche erhält Einsicht in das Zugriffsprotokoll seines Mandanten (Audit-Log), das schreibende Admin-Aktionen, Anmeldungen, Exporte, Einsichten in sensible Felder und Zugriffe des Lohnbüros enthält (SPEC §17). Zugriffe des Auftragsverarbeiters mit Service-Rolle werden gesondert protokolliert (Anlage 2).

§7 Löschung und Rückgabe nach Vertragsende

1. Export vor Löschung. Vor Ende des Vertrags kann der Verantwortliche seine Daten exportieren. Der Auftragsverarbeiter stellt den Export in einem gängigen, maschinenlesbaren Format bereit. Der Verantwortliche ist für die rechtzeitige Durchführung verantwortlich. Die Exportfrist nach Vertragsende beträgt [30] Tage (Vorschlag, zu bestätigen).
2. Löschung. Nach Ablauf der Exportfrist löscht der Auftragsverarbeiter die Daten des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung folgt dem Löschkonzept nach ADR-018. Personenbezug in unveränderlichen (Append-only-)Tabellen besteht nur über Pseudonyme (subject_ref, actor_ref). Personenbezogene Nutzlast ist mit einem Datenschlüssel pro Person verschlüsselt. Gelöscht wird, indem der Personenschlüssel vernichtet und die Zuordnung der Pseudonyme zur Person entfernt wird (Crypto-Shredding). Kurzlebige Rohdaten (z. B. Geräte-Lesungen, Standort-Rohwerte) liegen in zeitlich partitionierten Tabellen und werden durch Partitions-Drop entfernt, nicht durch einzelne Löschungen.
3. Aufbewahrungsklassen. Fristen richten sich nach den Aufbewahrungsklassen je Land und Datenklasse (Anlage 4, SPEC §17.2). Der Verantwortliche kann sie innerhalb von Plausibilitätsgrenzen konfigurieren. Bei Personen mit mehreren Ländern gilt je Datenklasse die längste einschlägige Frist.
4. Sperren statt Löschen. Daten, die noch aufzubewahren sind, werden bis zum Fristablauf gesperrt (Einschränkung nach Art. 18 DSGVO) und danach gelöscht.
5. Legal Hold. Der Verantwortliche kann pro Person oder Vorgang eine Löschsperre mit Begründung setzen (z. B. Rechtsstreit, Prüfung). Solange sie wirkt, wird nicht gelöscht. Jede Sperre und jede Löschung wird im Audit-Log festgehalten, ohne Personenbezug im Klartext.
6. Löschvorschau und Protokoll. Löschläufe zeigen vorab, welche Personen betroffen sind, und werden protokolliert. Für Gesundheits- und Personalakten ist ein Vier-Augen-Prinzip vorgesehen (SPEC §4.2.5, §17.1.3; siehe Status in Anlage 2).
7. Backups. Löschung wirkt in Sicherungen über die Schlüsselvernichtung. Nach einer Wiederherstellung wird das Löschprotokoll erneut angewandt (SPEC §17.3). Ob dies als Löschung im Sinne der DSGVO anerkannt wird, ist offen (Offene Punkte Nr. 13).
8. Bestätigung. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

§8 Drittlandübermittlung

1. Der Auftragsverarbeiter verarbeitet Daten des Verantwortlichen im Gebiet der Europäischen Union (Hosting laut Anlage 3, vorbehaltlich der Bestätigung in Offene Punkte Nr. 7). Für Dienste, die Daten außerhalb des EWR verarbeiten, gilt Absatz 2.
2. Eine Übermittlung in ein Drittland findet nur statt, soweit sie nach Anlage 3 vorgesehen ist, die Voraussetzungen des Kapitels V DSGVO erfüllt sind und, wo sie nur auf Veranlassung des Verantwortlichen erfolgt (KI-Belegerkennung), dieser die Funktion aktiviert hat. Der Auftragsverarbeiter dokumentiert die Transfergrundlage je Unterauftragsverarbeiter.
3. Belegerkennung über Anthropic (USA). Die Funktion ist standardmäßig aus. Sie kann nur aktiviert werden, wenn der Verantwortliche den Abschluss dieses AVV bestätigt hat (im System erzwungen). Übermittelt werden nur das Belegbild und ein fester Prompt, keine Namen, Personalnummern oder Mandantendaten; Krankmeldungen gelangen nie in diese Verarbeitung (ADR-009 Nr. 5). Der Verarbeitungsort ist laut ADR-009 nicht auf die EU beschränkt. Die Transfergrundlage ist offen (Offene Punkte Nr. 1 und 2). Die zulässige Beschreibung gegenüber Beschäftigten lautet: „gespeichert in der EU, Belegerkennung über Anthropic (USA)“, nie „alle Daten in der EU“.
4. Support aus Drittländern. Support-Zugriff auf Daten des Verantwortlichen erfolgt nur aus der EU oder der Schweiz oder mit einer Transfergrundlage, da ein Fernzugriff aus einem Drittland als Übermittlung gilt (SPEC §17, docs/legal/datenschutz-mitbestimmung.md §3.10).
5. Der Auftragsverarbeiter informiert den Verantwortlichen vor jeder Änderung der Transfergrundlage (§4 Abs. 2).

§9 Zusatz für Verantwortliche mit Sitz oder Verarbeitung in der Schweiz (revDSG)

1. Dieser Zusatz gilt, soweit das Schweizer Bundesgesetz über den Datenschutz (revDSG) auf die Verarbeitung anwendbar ist. Er ergänzt die Regelungen dieses Vertrags.
2. Die Auftragsbearbeitung richtet sich nach Art. 9 revDSG: Der Auftragsverarbeiter bearbeitet Personendaten nur so, wie der Verantwortliche es selbst tun dürfte, und nur, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet. Der Verantwortliche bleibt dafür verantwortlich, dass der Auftragsverarbeiter die Datensicherheit gewährleistet. Die Übertragung auf einen Unterauftragsbearbeiter setzt die vorgängige Genehmigung des Verantwortlichen voraus (Art. 9 Abs. 3 revDSG). §4 gilt als solche Genehmigung im Rahmen der allgemeinen Genehmigung mit Information und Einspruchsrecht. Ob diese allgemeine Genehmigung den Anforderungen von Art. 9 Abs. 3 revDSG genügt, ist zu prüfen (Offene Punkte Nr. 11).
3. Datenpannen. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 revDSG). Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) ist Sache des Verantwortlichen und erfolgt so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt (Art. 24 Abs. 1 revDSG). Die Meldefrist aus §5 Abs. 4 gilt auch für CH-Verantwortliche.
4. Auskunft und Herausgabe. Der Auftragsverarbeiter unterstützt Auskunftsbegehren nach Art. 25 revDSG (30 Tage nach Art. 18 Abs. 1 DSV) und Herausgabe- und Übertragungsbegehren nach Art. 28 revDSG (docs/legal/ch-verifikation.md, Abschnitt Datenschutz).
5. Ausland. Die Bekanntgabe von Personendaten ins Ausland richtet sich nach den Vorgaben des revDSG und der DSV. Die EU/EWR-Staaten gelten nach Anhang 1 DSV als Staaten mit angemessenem Datenschutz. Für die USA gilt das Swiss-US Data Privacy Framework (in Kraft seit 15. September 2024, Anhang 1 DSV) nur für zertifizierte Unternehmen (docs/legal/datenschutz-mitbestimmung.md §3.10 [V-CH]). Ob und wie Anthropic hierunter fällt, ist offen (Offene Punkte Nr. 1).
6. Verzeichnis. Das Bearbeitungsverzeichnis richtet sich nach Art. 12 revDSG und Art. 24 DSV. Die Ausnahme für kleine Unternehmen entfällt bei umfangreicher Bearbeitung besonders schützenswerter Personendaten (docs/legal/datenschutz-mitbestimmung.md §5 Nr. 18); die Einzelfallprüfung ist nicht abgeschlossen.
7. Soweit das Schweizer Arbeitsrecht strengere Anforderungen stellt (Art. 328b OR, Art. 26 ArGV 3), bleibt der Verantwortliche dafür verantwortlich, die Funktionen entsprechend zu konfigurieren.
8. Für die Zuständigkeit des EDÖB und für Gerichtsstand und anwendbares Recht gelten §11 und, soweit zwingend, die Schweizer Vorschriften.

§10 Haftung

1. Entwurf, Platzhalter. Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, soweit nichts anderes vereinbart wird.
2. Eine Haftungsbegrenzung im Innenverhältnis (z. B. auf [BETRAG/VIELFACHES] der jährlichen Vergütung) und die Behandlung von Schäden aus Weisungen des Verantwortlichen oder aus Handlungen von Unterauftragsverarbeitern sind noch nicht festgelegt (Offene Punkte Nr. 9).
3. Die Haftung für Vorsatz, grobe Fahrlässigkeit, Verletzung von Leben, Körper und Gesundheit sowie nach zwingendem Recht bleibt unberührt.
4. Eine Vertragsstrafe ist nicht vereinbart (Offene Punkte Nr. 10).

§11 Laufzeit und Schlussbestimmungen

1. Der Vertrag beginnt mit dem Abschluss und endet mit dem Nutzungsvertrag. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt, insbesondere bei schwerwiegenden Verstößen gegen Datenschutzpflichten.
2. Pflichten, die ihrer Natur nach über das Vertragsende hinaus wirken (Vertraulichkeit, Löschung, Haftung), bleiben bestehen.
3. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Änderung dieser Klausel. Änderungen der Anlagen 2 und 3 richten sich nach §3 Abs. 4 und §4.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem Zweck am nächsten kommt.
5. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.
6. Anwendbares Recht und Gerichtsstand: [ANWENDBARES RECHT UND GERICHTSSTAND – noch festzulegen]. Zwingende Vorschriften des Datenschutzrechts bleiben unberührt.
7. Vertragsparteien, Ansprechpersonen und Unterschriften: Der Vertrag wird elektronisch mit dem Konto abgeschlossen (SPEC §17.1.4). Der Abschluss wird mit Zeitpunkt und Person protokolliert.

Anlage 1 Gegenstand, Dauer, Art, Zweck, Betroffene, Datenkategorien

1.1 Gegenstand und Zweck je Produkt

Quellen: SPEC §5 bis §8, ADR-016.

Art der Verarbeitung für alle Produkte: Erheben, Erfassen, Speichern, Ordnen, Verknüpfen, Berechnen, Auslesen, Abfragen, Übermitteln (an berechtigte Nutzer und, wo konfiguriert, an Zielsysteme und Lohnbüro), Einschränken, Löschen.

1.2 Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (Mitarbeitende, auch in Teilzeit, mit mehreren Dienstverhältnissen oder in mehreren Ländern).
• Ausgeschiedene Beschäftigte (eingeschränkter Zugang für Auskunft, Lohnzettel und Widerruf von Einwilligungen, SPEC §2.2.11).
• Nutzerinnen und Nutzer mit Verwaltungsrollen: Administratoren, Personal (HR), IT-Administratoren, Teamleitungen, Datenschutz- und Betriebsratsrollen.
• Mitarbeitende des Lohnbüros (Nutzerkonten des Verantwortlichen; sie sehen pro Sitzung genau einen Mandanten).
• Bewerber:innen: nicht umfasst (siehe Offene Punkte Nr. 14).

1.3 Kategorien personenbezogener Daten

1.4 Besondere Kategorien (Art. 9 DSGVO)

• Gesundheitsdaten: bei Krankenstand nur Zeitraum und Art (Art-Katalog minimal), keine Diagnose (SPEC §5.4.8, §17). Das Foto einer Bestätigung ist optional und standardmäßig aus (in DE entfällt die Vorlagepflicht bei gesetzlich Versicherten durch die eAU; docs/legal/datenschutz-mitbestimmung.md §3.4). Wenn der Verantwortliche Anhänge aktiviert, sind sie mit eigener Aufbewahrungsklasse (health_attachments) gespeichert und nie Teil der Belegerkennung.
• Schutzzeiträume (Mutterschutz, Stillzeit, Behinderung) sind Gesundheitsdaten und abgeschottet gespeichert: nur Art, von, bis, ohne Diagnose; sichtbar nur für Personal und die Person selbst (SPEC §6.1.6).
• Biometrie: Der Auftragsverarbeiter speichert und verarbeitet keine biometrischen Daten. Falls der Verantwortliche ein Terminal mit Biometrie betreibt, bleibt das Template im Terminal; kloq erhält nur die Benutzer-ID aus dem Terminal. Der Verantwortliche bleibt dennoch Verantwortlicher nach Art. 9 DSGVO (docs/legal/datenschutz-mitbestimmung.md §1 Nr. 5, §3.3).

Anlage 2 Technisch-organisatorische Maßnahmen (TOM)

Stand: 2026-10-10, abgeleitet aus Code, Migrationen und Spezifikation des Repositories. Die Spalte „Status“ hat drei Werte:

• umgesetzt: im Code oder in den Migrationen nachweisbar (Fundstelle angegeben). Der Betrieb ist damit nicht bestätigt, nur die Software-Fähigkeit.
• teilweise: Bausteine sind vorhanden, die vollständige Maßnahme ist es noch nicht.
• geplant: laut SPEC vorgesehen, im Code oder Betrieb nicht nachweisbar. Dies ist ein Ziel, keine Zusage des Ist-Zustands.

Mehrere Betriebsmaßnahmen (Hosting, Backups, Zugangsverwaltung beim Anbieter) lassen sich aus dem Repository nicht nachweisen. Sie sind deshalb nicht als „umgesetzt“ gekennzeichnet.

2.1 Zutrittskontrolle und Hosting

2.2 Zugangskontrolle (Authentifizierung)

2.3 Zugriffskontrolle (Berechtigungen)

2.4 Verschlüsselung

2.5 Pseudonymisierung und Crypto-Shredding

2.6 Integrität

2.7 Verfügbarkeit und Wiederherstellbarkeit

2.8 Trennungskontrolle

2.9 Eingabe- und Auftragskontrolle

2.10 Weitere Maßnahmen

Anlage 3 Unterauftragsverarbeiter

Stand: 2026-10-10. Die Genehmigung nach §4 gilt für die folgenden Einträge. Änderungen werden 30 Tage (Vorschlag) vor Wirksamwerden in Textform mitgeteilt; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen (§4 Abs. 2 und 3).

Hinweise:

• Der Verantwortliche kann Push-Benachrichtigungen abschalten (Abruf beim Öffnen der App). Für Apple und Google ist zu klären, ob sie Auftragsverarbeiter oder eigene Verantwortliche sind; der Eintrag ist bis dahin vorsorglich.
• Die in §4 Abs. 6 genannten Dienstleister des Verantwortlichen (SSO-Anbieter, Zielsysteme, Lohnbüro) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.
• Weitere Unterauftragsverarbeiter (z. B. Fehlerberichte, Monitoring, Support-Werkzeuge) sind derzeit nicht vorgesehen. Telemetrie ist standardmäßig personenfrei (SPEC §4.2.6).

Anlage 4 Weisungen, Kontakte, Löschfristen

4.1 Weisungen

1. Dokumentierte Weisungen. Als dokumentierte Weisung gelten erstens die Konfiguration durch den Verantwortlichen im Produkt (Einstellungen, Rechte, Aufbewahrungsklassen, Aktivierung optionaler Funktionen wie Standort und Belegerkennung, Exporte, Löschungen und Legal Holds) und zweitens schriftliche Weisungen in Textform an [DATENSCHUTZKONTAKT].
2. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Weisungen, die über die Standardfunktionen hinausgehen, können angemessene Zusatzkosten auslösen (Offene Punkte Nr. 10).

4.2 Weisungsberechtigte und Weisungsempfänger

4.3 Kontakt für Datenpannen

Die Meldung erfolgt unverzüglich in Textform (§5 Abs. 4). Für CH-Verantwortliche gilt „so rasch als möglich“ (§9 Abs. 3).

4.4 Löschfristen (Aufbewahrungsklassen)

Ausgangswerte, zu bestätigen. Die Werte sind Regeldaten (packages/rules, mit Rechtsgrund-Referenz und valid_from), pro Verantwortlichem innerhalb von Plausibilitätsgrenzen anpassbar. Der frühere Standard von 7 Jahren für alle lohnrelevanten Daten ist gestrichen. Bei Personen mit mehreren Ländern gilt je Datenklasse die längste einschlägige Frist. Fristbeginn ist je Klasse zu definieren. Quelle: SPEC §17.2, docs/legal/datenschutz-mitbestimmung.md §3.7, §5 Nr. 8 und 9.

Die Fristen der Zeitbuchungen für AT und DE sind nicht aus einer gesetzlichen Frist abgeleitet (AZG § 26 enthält keine; ArbZG § 16 Abs. 2 und MiLoG § 17 Abs. 2 gelten nur für eine Teilmenge) und beruhen auf Verjährung und Verfall. Das Ergebnis der Standorterfassung folgt der Frist für time_records.