Vertrag zur Auftragsverarbeitung

Stand: 19.10.2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO

zwischen dem Betrieb, der Takt im Firmenmodus nutzt („Verantwortlicher“ oder „Kunde“),
und OFFEN: Vor- und Nachname genau wie in der Gewerbeanmeldung (Takt), OFFEN: Straße und Hausnummer, OFFEN: PLZ OFFEN: Ort („Auftragsverarbeiter“).

1. Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung des Firmenmodus von Takt und Takt Station zur Erfassung, Speicherung, Korrektur und Auswertung der Arbeitszeiten der Beschäftigten des Verantwortlichen.
2. Der Vertrag beginnt mit dem Anlegen des Betriebs und endet, wenn alle Daten des Betriebs nach Nr. 10 gelöscht sind.

2. Art, Zweck, Daten und Betroffene

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche sorgt dafür, dass in Freitextfeldern (z. B. Begründungen) keine solchen Daten eingetragen werden, etwa Angaben zu Krankheiten.

Nicht Gegenstand dieses Vertrags sind die Konten der Beschäftigten (E-Mail-Adresse, Anmeldung) und die nur auf ihren Geräten gespeicherten Daten (z. B. Lohn); dafür ist der Anbieter selbst verantwortlich bzw. verarbeitet sie nicht.

3. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; dann teilt er dies vorher mit, soweit das Gesetz es nicht verbietet.
2. Weisungen sind dieser Vertrag, die Einstellungen und Aktionen der Leitung in Takt (insbesondere die Aufbewahrungsdauer, das Entfernen von Beschäftigten, das Entscheiden über Korrekturen, das Schließen des Betriebs) sowie Weisungen in Textform an hallo@meintakt.app.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf sie bis zur Bestätigung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit verarbeitet ausschließlich der Inhaber selbst die Daten.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert er.

6. Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, so früh wie möglich und, soweit der bisherige Unterauftragsverarbeiter dies zulässt, mindestens 14 Tage vorher. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche den Vertrag über den Firmenmodus zum Zeitpunkt des Wechsels kündigen; im Voraus gezahlte Vergütung für die Zeit danach wird anteilig erstattet.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen, einschließlich hinreichender Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet für dessen Verschulden wie für eigenes.
4. Übermittlungen in Drittländer finden nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (siehe Anlage 2).
5. Nicht als Unterauftrag gelten Nebenleistungen wie Telekommunikation oder Post, bei denen der Dienstleister keinen Zugriff auf die Daten hat.

7. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen Betroffener (Art. 12 bis 22 DSGVO). Takt stellt dafür Funktionen bereit (Ansicht und Export der Zeiten je Person, Korrekturen, Entfernen von Beschäftigten). Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter.
2. Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.
3. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
4. Unterstützung, die über die Funktionen von Takt hinausgeht und nicht durch einen Verstoß des Auftragsverarbeiters veranlasst ist, kann er nach Aufwand zu angemessenen Sätzen berechnen, wenn er dies vorher ankündigt.

8. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere diesen Vertrag mit Anlagen und auf Anfrage die Verträge mit Unterauftragsverarbeitern in den nicht vertraulichen Teilen.
2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann nach rechtzeitiger Ankündigung (in der Regel vier Wochen) Kontrollen durchführen, vorrangig durch Einsicht in Unterlagen und Auskünfte. Bei Unterauftragsverarbeitern genügen deren Prüfberichte und Zertifikate.

9. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Beschäftigten, die Beteiligung eines Betriebs- oder Personalrats und die Festlegung der Aufbewahrungsdauer. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

10. Löschung und Rückgabe

1. Während der Laufzeit löscht Takt Daten automatisch nach der vom Verantwortlichen eingestellten Aufbewahrungsdauer (8 bis 10 volle Kalenderjahre) und Einladungen 30 Tage nach Ablauf oder Einlösung.
2. Nach Ende der Leistungen (Schließung des Betriebs, Ende von Abo oder Erprobung) kann der Verantwortliche die Daten 90 Tage lang lesen und exportieren (Rückgabe). Danach löscht der Auftragsverarbeiter alle Daten des Betriebs, sofern keine gesetzliche Pflicht zur Speicherung besteht. Die Aufbewahrungspflichten des Verantwortlichen erfüllt dieser mit den exportierten Daten selbst.
3. Gelöschte Daten können in Sicherungskopien des Server-Dienstleisters noch bis zu deren turnusmäßigem Überschreiben vorhanden sein; sie werden nicht wiederhergestellt, außer zur Wiederherstellung nach einem Störfall.
4. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

11. Haftung und Schluss

1. Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB für Betriebe.
2. Änderungen dieses Vertrags bedürfen der Textform. Anlage 2 wird nach Nr. 6 aktualisiert.
3. Es gilt deutsches Recht; Gerichtsstand wie in den AGB für Betriebe.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Server werden ausschließlich in zertifizierten Rechenzentren des Server-Dienstleisters betrieben (Frankfurt am Main); der Auftragsverarbeiter betreibt keine eigenen Serverräume.
• Zugangskontrolle: Verwaltungszugänge zu den Diensten nur mit persönlichen Konten und starken Passwörtern; OFFEN: Zwei-Faktor-Anmeldung bei Supabase, Resend, Website-Hoster, Apple-ID und Google-Konto einschalten und hier bestätigen. Die Verwaltungszugänge werden nur auf eigenen, aktuellen und mit Gerätecode bzw. Festplattenverschlüsselung geschützten Geräten des Anbieters genutzt.
• Zugriffskontrolle: Zugriff aus den Apps nur über die Programmierschnittstelle mit serverseitigen Zugriffsregeln (derzeit Row Level Security der Postgres-Datenbank): Beschäftigte lesen nur ihre eigenen Daten, die Leitung nur die Daten ihres Betriebs. Schreibzugriffe sind direkt gesperrt und laufen ausschließlich über geprüfte Server-Funktionen. Stempelungen sind nur anfügbar; Änderungen erfolgen als gekennzeichnete Korrektur, das Original bleibt erhalten.
• Stempeluhr ohne Konto: Eine Station erhält nach Kopplung durch die Leitung ein eigenes Geheimnis und kann nur die für die Anzeige nötigen Daten ihres Betriebs abrufen; die Leitung kann sie jederzeit entkoppeln.
• Trennungskontrolle: Logische Trennung der Betriebe in der Datenbank über die Betriebskennung und Sicherheitsregeln; Test- und Entwicklungsdaten nur mit Testkonten.
• Datensparsamkeit: Lohn, Ziele und Notizen bleiben auf den Geräten der Beschäftigten; kein Standort, keine Biometrie, keine Analyse- oder Werbedienste.

Integrität

• Weitergabekontrolle: Alle Verbindungen sind mit TLS verschlüsselt. Daten werden in der Datenbank im Ruhezustand verschlüsselt gespeichert (Verschlüsselung des Server-Dienstleisters).
• Eingabekontrolle: Jede Stempelung wird mit einem nicht exportierbaren Schlüssel des freigegebenen Geräts unterschrieben und auf dem Server geprüft; die Uhrzeit setzt der Server; jedes weitere Gerät muss die Leitung freigeben; QR-Codes an der Station wechseln alle zehn Sekunden. Für Korrekturen werden Antragsteller, Entscheider, Zeitpunkt und Begründung gespeichert.

Verfügbarkeit und Belastbarkeit

• Betrieb bei einem Server-Dienstleister mit redundanter Infrastruktur; OFFEN: Das Supabase-Projekt läuft im Free-Tarif ohne automatische Sicherungen (Stand 19.10.2026); vor dem Launch Pro-Tarif mit täglichen Sicherungen buchen und hier eintragen.
• Fällt die Verbindung aus, kann die Leitung Zeiten nachtragen.

Verfahren zur regelmäßigen Überprüfung

• Automatische Tests der Server-Funktionen und Sicherheitsregeln vor jeder Änderung; Änderungen am Datenbankschema nur über versionierte Migrationen.
• Regelmäßige Prüfung der Sicherheitshinweise des Server-Dienstleisters und Einspielen von Aktualisierungen.
• Automatischer täglicher Löschlauf nach den Aufbewahrungsfristen.
• Dokumentierter Ablauf für Datenschutzverletzungen und Anfragen Betroffener.

Anlage 2: Unterauftragsverarbeiter

Stand: 19.10.2026