To the templates
Verzeichnis von Verarbeitungstätigkeiten: Muster für kloq (Art. 30 Abs. 1 DSGVO, Art. 12 revDSG)
Draft – to be reviewed by a lawyer before publication
This text is a draft and not legal advice. It has not been reviewed by a lawyer and must not be read as binding. Provider company details appear as placeholders in square brackets.
Version 2026-1-entwurf
Open points
These points have to be resolved before publication.
- Rolle von kloq: Für die Kundendaten ist das Unternehmen Verantwortlicher, [FIRMA] ist Auftragsverarbeiter (Art. 28 DSGVO; CH Art. 9 revDSG). Die Rolle von [FIRMA] beim Push-Relay, bei Update-Servern und Support-Telemetrie sowie im Self-Host-Betrieb ist offen; sie kann eine eigene Verantwortlichkeit begründen und ist vor Verwendung zu klären.
- Rolle von Apple und Google bei Push-Mitteilungen (Auftragsverarbeiter oder eigener Verantwortlicher) und deren Eintrag im Data Privacy Framework sind nicht geprüft.
- Rolle des Lohnbüros und der Steuerberatung (Auftragsverarbeiter oder Verantwortlicher) ist in Deutschland uneinheitlich; das Unternehmen entscheidet und passt die Einträge an.
- Rechtsgrundlagen Deutschland: § 26 Abs. 1 Satz 1 BDSG ist nach EuGH C-34/21 unsicher; deshalb sind Art. 6 Abs. 1 lit. b, c, f DSGVO genannt. Zu prüfen ist, ob die Betriebsvereinbarung als Grundlage genügt (EuGH C-65/23, nur über Sekundärquellen belegt).
- Aufbewahrungsfristen: Ausgangswerte sind Produktvorschläge und je Land zu bestätigen (AT Zeitaufzeichnung ohne gesetzliche Frist, Bewerber CH, Personalakte, Protokolle).
- Schweiz: Die Ausnahme von der Verzeichnispflicht für Unternehmen unter 250 Mitarbeitenden entfällt, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko erfolgt (Art. 12 Abs. 5 revDSG, Art. 24 DSV, Stichtag 1. Januar). Im Einzelfall prüfen. Gesundheits- und Biometriedaten sprechen für ein Verzeichnis.
- Belegerkennung: Verarbeitung bei einem Anbieter in den USA; Einstufung nach AI Act und Transfergrundlage (Data Privacy Framework mit anhängigem Rechtsmittel C-703/25 P, Standardvertragsklauseln als Rückfall) offen.
- Rechtsgrundlagen Österreich: Es gibt kein Beschäftigten-Sondergesetz im DSG; § 11 DSG betrifft die Verwarnung und ist keine Grundlage.
This text is only available in German. The German version is the binding one.
Hinweise zur Verwendung
- Dieses Muster ist für das Verzeichnis des Verantwortlichen nach Art. 30 Abs. 1 DSGVO gedacht und für das Verzeichnis nach Art. 12 revDSG (Schweiz). Das Verzeichnis des Auftragsverarbeiters nach Art. 30 Abs. 2 DSGVO führt [FIRMA] für seine Verarbeitung gesondert.
- Streichen Sie Verarbeitungen, die Sie nicht einsetzen. Funktionen, die ein Mitbestimmungs-Gate haben (Standort, Biometrie, Auswertungen, Zugriffsprotokoll für Beschäftigte, Postfach-Prozess, Belegerkennung), sind nur zu führen, wenn sie freigeschaltet sind.
- Die Spalte „Rechtsgrundlage“ ist ein Vorschlag. Eine Betriebsvereinbarung ist keine eigene Rechtsgrundlage, die Prüfung von Art. 5, 6 und 9 DSGVO ersetzt; sie ist daneben zu nennen: [BETRIEBSVEREINBARUNG, DATUM].
- Länder: AT = Österreich, DE = Deutschland, CH = Schweiz. Bei Beschäftigten in mehreren Ländern gilt pro Datenklasse die längste einschlägige Frist.
- Das Verzeichnis ist aktuell zu halten. Bei jeder neuen Funktion (Änderungsfall nach der Betriebsvereinbarung) ist es zu ergänzen.
1. Allgemeine Angaben
| Angabe | Eintrag |
|---|---|
| Verantwortlicher | [UNTERNEHMEN], [ANSCHRIFT], [LAND] |
| Gemeinsam Verantwortliche | [FALLS VORHANDEN, SONST KEINE] |
| Vertretung des Verantwortlichen | [NAME, FUNKTION] |
| Datenschutzbeauftragte/r | [NAME, KONTAKT ODER „NICHT BESTELLT“] |
| Datenschutzkontakt | [DATENSCHUTZKONTAKT UNTERNEHMEN] |
| Vertretung in der EU (nur CH-Unternehmen ohne Niederlassung in der EU) | [FALLS ZUTREFFEND] |
| Auftragsverarbeiter | [FIRMA] (kloq), Kontakt [KONTAKT], Datenschutz [DATENSCHUTZKONTAKT]; Lohnbüro: [LOHNBÜRO] |
| Stand des Verzeichnisses | [DATUM] |
| Betriebsvereinbarung / Reglement | [BEZEICHNUNG UND DATUM ODER „KEINE“] |
2. Verarbeitungstätigkeiten
2.1 Zeiterfassung (Stempeln)
| Feld | Eintrag |
|---|---|
| Zweck | Aufzeichnung der Arbeitszeit, Abrechnung von Entgelt und Zuschlägen, Nachweis gesetzlicher Arbeitszeitgrenzen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Arbeitsvertrag), lit. c (gesetzliche Aufzeichnungspflicht, AT § 26 AZG; DE ArbZG, MiLoG); DE zusätzlich § 26 BDSG; CH Art. 328b OR, Art. 73 ArGV 1 |
| Betroffene | Beschäftigte, [FREIE MITARBEITENDE, LEIHARBEITSKRÄFTE, FALLS ZUTREFFEND] |
| Datenkategorien | Name, Personalnummer, Zeitpunkt und Art der Buchung (Kommen, Gehen, Pause, Dienstgang), Kanal (Web, Kiosk, Terminal, App), Korrekturen mit Begründung und korrigierender Person, Terminal-Kennung |
| Empfänger | Teamleitung (Gruppe), Personal, Lohnbüro; Auftragsverarbeiter [FIRMA]; Hosting [ANBIETER] |
| Drittlandübermittlung | Keine, Hosting in der EU [BESTÄTIGEN] |
| Löschfristen | AT 36 Monate, DE 36 Monate, CH 60 Monate (Ausgangswerte; Terminal-Lesevorgänge 30 Tage) |
| Technische und organisatorische Maßnahmen | Siehe Abschnitt 3 |
2.2 Standort beim Stempeln (optional: Geofence, NFC-Tag)
| Feld | Eintrag |
|---|---|
| Zweck | [ZWECK, ZUM BEISPIEL NACHWEIS DES ARBEITSORTS BEI AUSSENDIENST] |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO [BEGRÜNDUNG]; AT/DE: Betriebsvereinbarung; CH: Art. 328b OR, Art. 26 ArGV 3 |
| Betroffene | Beschäftigte, die mit Standort stempeln |
| Datenkategorien | Standortergebnis (innerhalb, außerhalb, unbekannt, nicht erhoben), Genauigkeit in Metern, Kennung des Geofence oder NFC-Tags; Koordinaten nur, falls ausdrücklich vorgesehen |
| Empfänger | Person selbst, Personal; Teamleitung nur „Plausibilisierung nötig“ |
| Drittlandübermittlung | Keine |
| Löschfristen | Ergebnis wie Zeitbuchungen; Rohkoordinaten höchstens 0 bis 30 Tage |
| Hinweis | Datenschutz-Folgenabschätzung erforderlich oder zu prüfen (Vorlage DSFA): [DATUM] |
2.3 Dienstplan und Schichtplanung
| Feld | Eintrag |
|---|---|
| Zweck | Planung von Schichten und Besetzung, Regelprüfung (Ruhezeit, Höchstarbeitszeit, Jugendschutz), Wunschfrei, Tausch |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b, c, f DSGVO; Wunschfrei auch Art. 6 Abs. 1 lit. a DSGVO, soweit freiwillig; Mitbestimmung: AT § 97 Abs. 1 Z 2 ArbVG, DE § 87 Abs. 1 Nr. 2, 3 BetrVG; CH Art. 48 ArG, Art. 69 ArGV 1 |
| Betroffene | Beschäftigte im Schichtbetrieb |
| Datenkategorien | Schichten, Besetzung, Wunschfrei, Verfügbarkeit, Tauschanträge und Zustimmungen, Hinweise der Regelprüfung, Plan/Ist-Abweichungen, neutrale Einsatzbeschränkungen; Geburtsdatum nur für die Jugendschutzprüfung |
| Empfänger | Person selbst, Teamleitung (Gruppe), Personal, Lohnbüro (Zuschläge); Auftragsverarbeiter [FIRMA] |
| Drittlandübermittlung | Keine |
| Löschfristen | Wie Zeitbuchungen; Wunschfrei und Verfügbarkeit [6 Monate] nach der Planungsperiode |
2.4 Abwesenheiten (Urlaub, Pflege, sonstige)
| Feld | Eintrag |
|---|---|
| Zweck | Verwaltung von Urlaub und Abwesenheiten, Lohnabrechnung, Planung |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b, c DSGVO; CH Art. 328b OR |
| Betroffene | Beschäftigte |
| Datenkategorien | Zeitraum, Art der Abwesenheit aus einem minimalen Katalog, Antragsstatus, Genehmigung |
| Empfänger | Person selbst, Teamleitung (nur „abwesend“), Personal, Lohnbüro |
| Drittlandübermittlung | Keine |
| Löschfristen | Wie Lohnunterlagen (AT 84, DE 72, CH 120 Monate; Ausgangswerte) |
2.5 Krankenstand und Arbeitsunfähigkeit (besondere Kategorie)
| Feld | Eintrag |
|---|---|
| Zweck | Entgeltfortzahlung, Meldung, Einsatzplanung |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b, c DSGVO und Art. 9 Abs. 2 lit. b DSGVO; DE § 26 Abs. 3 BDSG; CH Art. 328b OR |
| Betroffene | Beschäftigte |
| Datenkategorien | Tatsache und Dauer der Abwesenheit, Art aus Mindestkatalog (Krankheit, Unfall, Pflege, Sonstiges). Keine Diagnose. Optional Foto der Bescheinigung (nur der Arbeitgeber-Ausfertigung): Upload [ein / aus] |
| Empfänger | Personal, Lohnbüro; Teamleitung nur „abwesend“ bzw. „nicht verfügbar“ |
| Drittlandübermittlung | Keine. Die Belegerkennung wird nie auf Bescheinigungen angewendet |
| Löschfristen | Zeitraum wie Lohnunterlagen; Anhang bis Abrechnung plus 6 Monate |
| Hinweis | Zugriff auf Anhänge wird protokolliert; Vier-Augen-Freigabe bei Löschung |
2.6 Biometrische Zeiterfassung (optional, standardmäßig aus)
| Feld | Eintrag |
|---|---|
| Zweck | [ZWECK, NUR WENN ERFORDERLICH BEGRÜNDET] |
| Rechtsgrundlage | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) oder lit. b, jeweils nur, wenn erforderlich; DE § 26 Abs. 3 BDSG; AT Betriebsvereinbarung; CH Art. 5 lit. c Ziff. 4, Art. 6 Abs. 7 revDSG, Art. 328b OR |
| Betroffene | Beschäftigte, die teilnehmen |
| Datenkategorien | Biometrisches Merkmal (nur im Terminal), Personenkennung; kloq erhält keine Rohmerkmale |
| Empfänger | Terminal-Hersteller [NAME, ROLLE KLÄREN], kloq nur Kennung |
| Drittlandübermittlung | [GGF. HERSTELLER] |
| Löschfristen | Bis Widerruf oder Austritt, Löschung im Terminal binnen [7] Tagen |
| Hinweis | Alternative ohne Biometrie erforderlich; Datenschutz-Folgenabschätzung erforderlich (Vorlage DSFA) |
2.7 Personalstamm und Zugänge (people)
| Feld | Eintrag |
|---|---|
| Zweck | Personalakte, Rollen und Zugänge je Position, Ein- und Austrittsprozess, Meldungen an die Lohnabrechnung |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b, c DSGVO; DE § 26 BDSG; CH Art. 328b OR |
| Betroffene | Beschäftigte, Bewerberinnen und Bewerber (getrennt) |
| Datenkategorien | Stammdaten (Name, Kontakt, Notfallkontakt), Dienstverhältnisse, Position, Team, Standort, Bank- und Sozialversicherungsdaten (verschlüsselt, nur Personal), Geburtsdatum (eingeschränkt, nur für Prüfungen), Schutzzeiträume (nur Art und Zeitraum), Dokumente (Vertrag, Bestätigungen, Meldebestätigungen), Zugangsstatus je System |
| Empfänger | Personal, Lohnbüro, IT-Administration (Zugänge), Verbundene Systeme des Unternehmens [AUFLISTEN]; Auftragsverarbeiter [FIRMA] |
| Drittlandübermittlung | Je angebundenem System [AUFLISTEN] |
| Löschfristen | Personalakte nach Austritt [FRIST]; Bewerberdaten AT 7, DE 6, CH [3] Monate (Ausgangswerte); private Rufnummer für Einladungen bis zur Aktivierung |
2.8 Entgeltabrechnung und Spesen (pay)
| Feld | Eintrag |
|---|---|
| Zweck | Vorbereitung der Lohnabrechnung, Spesen- und Essensabrechnung, Übergabe an das Lohnbüro |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b, c DSGVO; DE § 26 BDSG; CH Art. 328b OR, Art. 958f OR (Aufbewahrung) |
| Betroffene | Beschäftigte |
| Datenkategorien | Lohnarten, Zeitsalden, Zuschläge, Abwesenheiten, Spesenbelege, Kilometer, Essensguthaben, Lohnzettel |
| Empfänger | Personal, Lohnbüro [NAME, ROLLE KLÄREN]; Auftragsverarbeiter [FIRMA] |
| Drittlandübermittlung | Keine, außer Belegerkennung (2.10) |
| Löschfristen | AT 84 Monate, DE 72 Monate Lohnkonto und 96 Monate Buchungsbelege, CH 120 Monate (Ausgangswerte) |
2.9 Mitarbeiter-App und Push-Mitteilungen (mobile)
| Feld | Eintrag |
|---|---|
| Zweck | Stempeln, Einsicht in eigene Zeiten und Pläne, Anträge, Mitteilungen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO; Push-Erinnerungen: Art. 6 Abs. 1 lit. a DSGVO (freiwillig); DE: Betriebsvereinbarung nach § 87 Abs. 1 Nr. 14 BetrVG |
| Betroffene | Beschäftigte, die die App nutzen |
| Datenkategorien | Konto- und Anmeldedaten, Gerätekennung, Push-Token (pseudonym), Einstellungen, Einwilligungen; keine Hintergrund-Ortung |
| Empfänger | Auftragsverarbeiter [FIRMA]; Push-Dienste Apple und Google (inhaltsfreie Mitteilung) |
| Drittlandübermittlung | USA (Push-Dienste); Grundlage [DATA PRIVACY FRAMEWORK / STANDARDVERTRAGSKLAUSELN, BESTÄTIGEN] |
| Löschfristen | Gerätekennung und Token bis Abmeldung oder Austritt; Einwilligungsnachweise Widerruf plus 36 Monate |
2.10 Belegerkennung (optional, standardmäßig aus)
| Feld | Eintrag |
|---|---|
| Zweck | Auslesen von Betrag, Datum, Händler und Steuer aus Belegfotos; Ergebnis wird von Menschen bestätigt |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b, c DSGVO; CH Art. 328b OR |
| Betroffene | Beschäftigte, die Belege einreichen; Dritte auf Belegen |
| Datenkategorien | Belegbild, Erkennungsergebnis, Name auf Quittung, gegebenenfalls Kartenstummel, Kilometerangaben |
| Empfänger | Anthropic (USA) als Unterauftragsverarbeiter von [FIRMA]; Personal, Lohnbüro |
| Drittlandübermittlung | USA; Grundlage [DATA PRIVACY FRAMEWORK / STANDARDVERTRAGSKLAUSELN, BESTÄTIGEN]; CH: Datenschutzrahmen Schweiz-USA, soweit zertifiziert |
| Löschfristen | Belege AT 84, DE 96, CH 120 Monate; beim Anbieter [ZUSAGE EINTRAGEN] |
| Hinweis | Nicht für Krankenstandsunterlagen. Abschaltbar; manuelle Erfassung bleibt möglich |
2.11 Zugriffs- und Änderungsprotokoll
| Feld | Eintrag |
|---|---|
| Zweck | Sicherheit, Nachvollziehbarkeit von Änderungen, Nachweis der Rechenschaft, Transparenz für Beschäftigte („Wer hat meine Daten gesehen?“) |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO, Art. 5 Abs. 2 und Art. 32 DSGVO; CH Art. 6 revDSG, Art. 4 DSV |
| Betroffene | Beschäftigte, deren Daten gelesen oder geändert werden; Beschäftigte mit Zugriffsrechten (Personal, Teamleitung, Admin) |
| Datenkategorien | Zeitpunkt, Handlung, Objektart, Rolle, Pseudonym der Person, Zweck; Inhalte verschlüsselt |
| Empfänger | Administration; Betriebsrat nach Betriebsvereinbarung; Person selbst (Datum, Rolle, Zweck) |
| Drittlandübermittlung | Keine |
| Löschfristen | Einsichtsprotokoll 12 Monate; Administrationsprotokoll [FRIST]; Löschung durch Vernichtung des Personenschlüssels |
| Hinweis | Das Protokoll ist zugleich ein Datenbestand über Beschäftigte mit Zugriff; Mitbestimmung beachten |
2.12 Austritt und Postfach (optional)
| Feld | Eintrag |
|---|---|
| Zweck | Geordnete Übergabe, Sperre des Postfachs, Archivierung geschäftlicher Mails, Zugriff nur bei dokumentiertem Anlass |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f, c DSGVO; Einwilligung nur zusätzlich; CH Art. 328b OR |
| Betroffene | Ausscheidende Beschäftigte; Korrespondenzpartner (Dritte) |
| Datenkategorien | Fallakte (Zweck, Rechtsgrund, Freigebende, Umfang, Ablaufzeit, Ergebnis); Mailinhalte verbleiben im Zielsystem und werden nicht in kloq gespeichert |
| Empfänger | Personal, Datenschutz, Betriebsrat (Freigabe), IT-Administration (befristeter Zugriff) |
| Drittlandübermittlung | Je Mail-Anbieter des Unternehmens [EINTRAGEN] |
| Löschfristen | Postfach 90 Tage gesperrt; geschäftliche Mails nach Dokumenttyp (AT 7, DE 6, CH 10 Jahre; Ausgangswerte) |
2.13 Einwilligungen und Betroffenenanfragen
| Feld | Eintrag |
|---|---|
| Zweck | Nachweis von Einwilligungen und deren Widerruf; Bearbeitung von Auskunfts-, Berichtigungs-, Lösch- und Übertragungsanfragen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. c DSGVO (Art. 7 Abs. 1, Art. 12 bis 22); CH Art. 25, 28 revDSG |
| Betroffene | Beschäftigte, Anfragende |
| Datenkategorien | Zweck, Textversion, Zeitpunkt, Kanal, Widerruf; Anfrage, Frist, Identitätsprüfung, Bearbeiter |
| Empfänger | Personal, Datenschutz |
| Drittlandübermittlung | Keine |
| Löschfristen | Einwilligungen Widerruf plus 36 Monate; Anfragen [FRIST] |
| Hinweis | Fristen: AT/DE ein Monat (verlängerbar um zwei Monate, begründet), CH 30 Tage |
3. Technische und organisatorische Maßnahmen (Auszug)
Die vollständige Liste steht in der TOM-Anlage zum Auftragsverarbeitungsvertrag mit [FIRMA]. Das Unternehmen ergänzt eigene Maßnahmen.
| Bereich | Maßnahme (Vorbefüllung nach Produktbeschreibung) |
|---|---|
| Zugriff | Rollenmodell, Zugriff nur auf Daten des Mandanten (Row Level Security), Mehrfaktor-Anmeldung für privilegierte Rollen |
| Verschlüsselung | Verschlüsselung bei Übertragung; Feldverschlüsselung für sensible Daten (Bank, Gesundheit, Standort-Rohwerte); Schlüssel pro Person für Protokoll-Inhalte |
| Integrität | Verkettetes, manipulationssicheres Protokoll; Zeitbuchungen nicht änderbar, Korrekturen als neue Einträge |
| Löschung | Löschkonzept nach Aufbewahrungsklassen, Vorschau, Vier-Augen-Freigabe bei Gesundheits- und Personalakten; Löschung durch Vernichtung des Personenschlüssels oder Entfernen der Datenpartition; Backup-Löschung über Schlüsselvernichtung |
| Verfügbarkeit | Sicherungen, Wiederherstellung; Offline-Puffer in der App |
| Trennung | Mandantentrennung; Bewerberdaten getrennt |
| Protokolle | Keine personenbezogenen Daten in Anwendungsprotokollen |
| Organisation | Schulung der Rollen, Datenschutzkontakt [DATENSCHUTZKONTAKT UNTERNEHMEN], Meldewege für Datenschutzverletzungen |
| Eigene Maßnahmen | [ERGÄNZEN] |
4. Übersicht Empfänger und Drittländer
| Empfänger | Rolle | Land | Transfergrundlage |
|---|---|---|---|
| [FIRMA] (kloq) | Auftragsverarbeiter | [LAND] | Auftragsverarbeitungsvertrag; Unterauftragsverarbeiter-Liste |
| Hosting [ANBIETER] | Unterauftragsverarbeiter | EU | [BESTÄTIGEN] |
| Lohnbüro [NAME] | [AUFTRAGSVERARBEITER / VERANTWORTLICHER] | [LAND] | [VERTRAG] |
| Apple, Google | Push-Dienst | USA | [DATA PRIVACY FRAMEWORK / STANDARDVERTRAGSKLAUSELN] |
| Anthropic | Belegerkennung (Unterauftragsverarbeiter) | USA | [DATA PRIVACY FRAMEWORK / STANDARDVERTRAGSKLAUSELN] |
| [WEITERE] |
5. Änderungshistorie
| Datum | Änderung | Bearbeiter/in |
|---|---|---|
| [DATUM] | Erstellung | [NAME] |