Auftragsverarbeitungsvertrag

Stand: 10. September 2026

Zwischen

Verantwortlicher (nachfolgend „Verantwortlicher" oder „Kunde"):

[Firma / Name des Kunden], [Anschrift], vertreten durch [gesetzliche Vertretung]

— und —

Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter" oder „Anbieter"):

BlankTrading UG (haftungsbeschränkt), Gabriele-Münter-Straße 31, 73760 Ostfildern, Deutschland, vertreten durch den Geschäftsführer Leo Solomon

— nachfolgend gemeinsam die „Parteien" —

wird der folgende Vertrag zur Auftragsverarbeitung geschlossen.

§ 1 Gegenstand, Dauer und Präzisierung des Auftrags

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Software-as-a-Service-Anwendung „QuickTeam" (der „Dienst"). Grundlage ist der zwischen den Parteien geschlossene Nutzungsvertrag (die AGB).

(2) Art und Zweck der Verarbeitung, die Art der verarbeiteten personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Über die Beendigung des Nutzungsvertrags hinaus gelten die Pflichten aus diesem Vertrag fort, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet oder aufbewahrt.

(4) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (EU/EWR) statt. Eine Verlagerung der Verarbeitung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO erfolgen.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden zunächst durch diesen Vertrag und den Nutzungsvertrag sowie durch die Nutzung der Funktionen des Dienstes durch den Verantwortlichen und seine Nutzer festgelegt und konkretisiert. Einzelweisungen sind in Textform (z. B. per E-Mail an blanktrading@web.de) zu erteilen.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten im Einklang mit der DSGVO und diesem Vertrag. Er unterstützt den Verantwortlichen bei der Einhaltung der Datenschutzvorschriften nach Maßgabe der folgenden Bestimmungen.

(2) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(3) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf die Maßnahmen im Laufe der Vertragsdauer weiterentwickeln und anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Der Auftragsverarbeiter ist gesetzlich nicht zur Benennung eines Datenschutzbeauftragten verpflichtet, da bei ihm nicht ständig mindestens zwanzig Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG) und keine sonstige Benennungspflicht nach Art. 37 DSGVO besteht. Ansprechperson für Datenschutzfragen ist: blanktrading@web.de.

(5) Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der Daten nur nach Weisung des Verantwortlichen ein. Soweit eine betroffene Person sich unmittelbar an den Auftragsverarbeiter wendet, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

§ 4 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 12 bis 23 DSGVO).

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation), und zwar unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(3) Für Unterstützungsleistungen, die über die gesetzlichen Pflichten hinausgehen oder auf ein vom Verantwortlichen zu vertretendes Verhalten zurückgehen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 5 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, unverzüglich nach Bekanntwerden.

(2) Die Meldung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben. Der Auftragsverarbeiter trifft in Abstimmung mit dem Verantwortlichen angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO gegenüber der Aufsichtsbehörde und den betroffenen Personen obliegen dem Verantwortlichen.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und vom Verantwortlichen genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern in Textform mit angemessener Frist vorab. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von vierzehn (14) Tagen widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; kommt eine solche nicht zustande, ist der Verantwortliche zur Kündigung des Nutzungsvertrags aus wichtigem Grund berechtigt.

(3) Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter durch Vertrag auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

(4) Nicht als Unterauftragsverarbeitung im Sinne dieses Paragraphen gelten Nebenleistungen, die der Auftragsverarbeiter als Fremdleistung in Anspruch nimmt (z. B. Telekommunikations- oder reine Wartungsleistungen ohne konkreten Bezug zu den für den Verantwortlichen verarbeiteten Daten). Der Auftragsverarbeiter ist jedoch verpflichtet, auch insoweit angemessene Vorkehrungen zur Gewährleistung des Datenschutzes und der Datensicherheit zu treffen.

§ 7 Kontrollrechte des Verantwortlichen und Nachweise

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

(2) Der Nachweis kann auch durch die Vorlage geeigneter, aktueller Zertifizierungen, genehmigter Verhaltensregeln oder Berichte unabhängiger Stellen (z. B. Prüfberichte, Testate zur IT-Sicherheit) geführt werden.

(3) Überprüfungen vor Ort werden mit angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und nicht häufiger als einmal jährlich durchgeführt, es sei denn, ein besonderer Anlass (etwa eine Datenschutzverletzung) rechtfertigt eine zusätzliche Prüfung. Der mit einer Prüfung beauftragte Dritte darf nicht Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten.

§ 8 Löschung und Rückgabe nach Abschluss der Verarbeitung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht.

(2) Es gilt die in § 6 Abs. 4 der AGB geregelte Frist von dreißig (30) Tagen für die Bereitstellung der Daten zum Export. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die Daten einschließlich vorhandener Kopien nach dem Stand der Technik, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung ist dem Verantwortlichen auf Verlangen in Textform zu bestätigen.

§ 9 Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrags (§ 10 der AGB), soweit diese mit den zwingenden Vorgaben der DSGVO vereinbar sind.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor.

(2) Änderungen und Ergänzungen dieses Vertrags einschließlich seiner Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch die gesetzliche Regelung.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand der Verarbeitung: Bereitstellung und Betrieb der SaaS-Anwendung QuickTeam zur Personaleinsatz- und Schichtplanung für den Verantwortlichen.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung innerhalb des Betriebs des Verantwortlichen, Bereitstellen, Abgleichen, Einschränken, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.

Zweck der Verarbeitung: Schicht- und Einsatzplanung, Verwaltung von Verfügbarkeiten, Präferenzen, Urlaub und Abwesenheiten, Arbeitszeiterfassung, Schichttausch, Notfallvertretung, teaminterne Kommunikation (Ankündigungen, Umfragen, Checklisten), Versand von Benachrichtigungen (Push), Kontoverwaltung und Authentifizierung.

Art der personenbezogenen Daten:

• Kontaktdaten: Name (Vor- und Nachname), E-Mail-Adresse, optional Telefonnummer;
• Profil- und Vertragsdaten: Rolle(n), Vertragsart, Soll-/Höchstarbeitszeit, Überstundensaldo, Urlaubsanspruch, Betriebszugehörigkeit;
• Planungs- und Betriebsdaten: Schichtzuweisungen und -verlauf, Verfügbarkeiten, Schichtpräferenzen, Urlaubs- und Abwesenheitsanträge, Schichttausch- und Notfallvorgänge;
• Kommunikationsdaten: Nachrichten, Ankündigungen, Umfrageabstimmungen, Checklisten-/Aufgabenstatus, Schichtnotizen;
• Nutzungs- und technische Daten: Sitzungskennungen, Zeitstempel, Geräte-Push-Token, Protokolldaten.

Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (einschließlich Aushilfen und ggf. Bewerber, soweit erfasst), Führungskräfte/Verantwortliche des Betriebs sowie sonstige vom Verantwortlichen eingeladene Nutzer.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Nicht vorgesehen. Der Verantwortliche wird solche Daten nicht in Freitextfelder eingeben.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Die nachfolgenden Maßnahmen beschreiben den Stand zum Zeitpunkt des Vertragsschlusses. Ein Teil der infrastrukturbezogenen Maßnahmen (physische Rechenzentrumssicherheit, Netzwerksicherheit, Verschlüsselung im Ruhezustand) wird durch den Unterauftragsverarbeiter Supabase erbracht (siehe Anlage 3).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• *Zutrittskontrolle:* Betrieb in zertifizierten Rechenzentren innerhalb der EU/des EWR; physische Zutrittssicherung durch den Hosting-Unterauftragsverarbeiter.
• *Zugangskontrolle:* Individuelle Benutzerkonten mit Authentifizierung (E-Mail/Passwort bzw. SMS-Einmalcode); Passwörter werden ausschließlich als Hash gespeichert; administrative Zugänge (u. a. zur Datenbank und Verwaltungskonsole) sind zusätzlich durch Zwei-Faktor-Authentifizierung (2FA) geschützt.
• *Zugriffskontrolle:* Zeilenbasierte Zugriffskontrollen (Row-Level Security) auf allen Datentabellen, die die Daten jedes Betriebs voneinander isolieren; serverseitig durchgesetzte Autorisierung über gesicherte Datenbankfunktionen; Zugriff nach dem Prinzip der geringsten Rechte.
• *Trennungskontrolle:* Logische Mandantentrennung der Daten je Betrieb.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• *Weitergabekontrolle:* Verschlüsselung der Datenübertragung nach dem Stand der Technik (TLS).
• *Eingabekontrolle:* Protokollierung sicherheitsrelevanter Ereignisse und Zeitstempel; Nachvollziehbarkeit von Änderungen im Rahmen der Anwendungslogik.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Verschlüsselung im Ruhezustand sowie automatische tägliche Datensicherungen der Infrastruktur durch den Hosting-Unterauftragsverarbeiter mit einer Aufbewahrung der Sicherungen von sieben (7) Tagen.
• Maßnahmen zum Schutz vor Verlust und unbefugter Veränderung.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Durchgeführte sicherheitsbezogene Überprüfung der Anwendung (u. a. Absicherung der Datenbankfunktionen, Entzug von PUBLIC-/anonymen Ausführungsrechten); fortlaufende Aktualisierung eingesetzter Komponenten.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): standardmäßig eingeschränkte Sichtbarkeit von Kollegendaten, Auflösung von Namen nur über zugriffsbeschränkte Funktionen; Möglichkeit der Anonymisierung/Löschung von Beschäftigtendatensätzen.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Hinweis zu Stripe: Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe, Limited) und betrifft die Zahlungs-/Rechnungsdaten des Kunden (Betriebsinhabers). Stripe verarbeitet diese Daten als eigenständig Verantwortlicher, nicht als Unterauftragsverarbeiter des Anbieters, und ist daher hier nicht aufgeführt. Mit Stripe besteht ein Datenverarbeitungsvertrag (DPA); Einzelheiten regelt die Datenschutzerklärung.

Push-Benachrichtigungen: Die vorstehend genannten Push-Dienste erhalten die für die Zustellung erforderlichen technischen Kennungen (Push-Token) und den Inhalt der jeweiligen Benachrichtigung. Soweit hierbei eine Übermittlung in die USA erfolgt, stützt sich der Anbieter auf die in der Tabelle genannten Übermittlungsgrundlagen (EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln); dies wird in der Datenschutzerklärung dargestellt.