1. Parteien
Verantwortlicher („Auftraggeber“) ist der Kunde, der Gastlo für seinen Betrieb registriert hat. Auftragsverarbeiter („Auftragnehmer“) ist WU Socialmedia GbR, bei der Lohmühle 49
74182 Obersulm.
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung der Software Gastlo (Software-as-a-Service) gemäß den Allgemeinen Geschäftsbedingungen: Speicherung, Organisation, Auswertung und Übermittlung von Daten für Personalverwaltung, Dienstplanung, Zeiterfassung, Lohnvorbereitung, Unterweisungen und Hygienedokumentation des Auftraggebers.
Der Vertrag gilt für die Dauer des Nutzungsvertrags und endet mit ihm; die Pflichten zur Löschung bzw. Rückgabe (Ziffer 11) gelten darüber hinaus.
3. Art der Daten
- Stammdaten: Name, Anschrift, Geburtsdatum, Kontaktdaten, Personalnummer, Position, Bereich.
- Vertrags- und Lohndaten: Eintritt und Austritt, Beschäftigungsart, vereinbarte Arbeitszeit, Vergütung, Zuschläge, Trinkgeldverteilung, Steuer-Identifikationsnummer, Steuerklasse, Konfession (soweit für die Lohnsteuer nötig), Sozialversicherungsnummer, Krankenkasse, Bankverbindung.
- Zeit- und Planungsdaten: Dienstpläne, Verfügbarkeiten, Stempelzeiten, Pausen, gegebenenfalls Standortprüfung beim Stempeln, Urlaubsansprüche.
- Gesundheitsdaten (Art. 9 DSGVO): Krankheitstage und Arbeitsunfähigkeitszeiten, Angaben zum Mutterschutz, Nachweise zur Belehrung nach Infektionsschutzgesetz.
- Qualifikations- und Nachweisdaten: Unterweisungen, Zertifikate, Führerscheinkontrollen, Dokumente, Unterschriften, Arbeitszeugnisse.
- Nutzungsdaten: Zugangsdaten der Nutzer, Rollen, Anmeldezeitpunkte, Änderungsprotokoll.
4. Kategorien betroffener Personen
- Beschäftigte des Auftraggebers einschließlich Minijobber, Aushilfen, Auszubildender und Praktikanten
- ehemalige Beschäftigte sowie neue Beschäftigte im Onboarding
- Nutzer im Auftrag des Auftraggebers (Inhaber, Betriebs- und Schichtleitung, Lohnbüro bzw. Steuerberatung)
5. Weisungsrecht
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich der Einstellungen und Aktionen in der Software, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vorher mit, soweit zulässig. Weitere Weisungen erteilt der Auftraggeber in Textform an info@gastlo.de. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
6. Vertraulichkeit
Alle Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und über den Datenschutz unterrichtet. Zugriffe auf Kundendaten erfolgen nur, soweit dies für Betrieb, Support oder Fehlerbehebung erforderlich ist.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO, Kurzfassung)
- Zutrittskontrolle: Betrieb in Rechenzentren des Hosting-Anbieters in der EU mit Zutrittsschutz nach dessen Sicherheitsnachweisen.
- Zugangskontrolle: persönliche Zugänge, Passwörter mit mindestens 10 Zeichen, gespeichert nur als bcrypt-Hash; Sitzungen höchstens 12 Stunden; Bremsen gegen massenhafte Anmelde- und Reset-Versuche; Einmal-Links nur als Hash gespeichert und zeitlich begrenzt.
- Zugriffskontrolle: Rollen- und Rechtekonzept (Inhaber, Betriebsleitung, Schichtleitung, Lohnbüro, Prüfung, Mitarbeitende); Mitarbeitende sehen nur eigene Daten.
- Trennungskontrolle: strikte logische Trennung der Daten je Kunde (Mandantentrennung).
- Verschlüsselung: Übertragung ausschließlich per TLS (HTTPS mit HSTS); besonders schutzbedürftige Felder (Bankverbindung, Steuer-Identifikationsnummer, Sozialversicherungsnummer) zusätzlich mit AES-256-GCM verschlüsselt gespeichert.
- Eingabekontrolle: Änderungsprotokoll (Audit-Log) mit Zeitpunkt, Nutzer und Art der Änderung.
- Verfügbarkeit und Belastbarkeit: regelmäßige, verschlüsselte Datensicherungen, Wiederherstellungstests, Überwachung des Betriebs.
- Überprüfung: regelmäßige Bewertung der Maßnahmen und Anpassung an den Stand der Technik.
8. Unterauftragsverarbeiter
Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter:
| Anbieter | Leistung | Ort der Verarbeitung |
|---|---|---|
| Vercel Inc., San Francisco, USA (Anwendung, Serverstandort Frankfurt); Neon, USA (Datenbank, Serverstandort Frankfurt); Fly.io, Inc., USA (Prognosedienst, Serverstandort Frankfurt) | Hosting, Datenbank, Datensicherung, Prognosedienst | Rechenzentren in Frankfurt (EU); Anbieter mit Sitz in den USA, EU-US Data Privacy Framework und Standardvertragsklauseln |
| Brevo (Sendinblue SAS), Paris, Frankreich | Versand von System-E-Mails | EU |
| Anthropic | KI-Assistent und Textvorschläge – nur wenn der Auftraggeber diese Funktionen nutzt | USA (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss) |
Stripe verarbeitet ausschließlich Vertrags- und Zahlungsdaten des Auftraggebers selbst, keine Beschäftigtendaten, und ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. An Open-Meteo (Wetter) und OpenHolidays (Feiertage) werden keine personenbezogenen Daten übermittelt.
Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, können beide Seiten den Vertrag zum Wirksamwerden der Änderung kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten.
9. Unterstützung des Auftraggebers
- Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 15 bis 22 DSGVO), insbesondere durch Export- und Löschfunktionen in der Software. Anfragen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich weiter.
- Er unterstützt bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Aufsichtsbehörden (Art. 32 bis 36 DSGVO).
- Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zum Nachweis der Pflichten nötigen Informationen zur Verfügung (zum Beispiel aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, Zertifikate des Hosting-Anbieters). Kontrollen vor Ort sind nach rechtzeitiger Ankündigung während der Geschäftszeiten und ohne Störung des Betriebs möglich.
11. Löschung und Rückgabe
Nach Ende des Vertrags kann der Auftraggeber seine Daten innerhalb von 30 Tagen exportieren. Danach löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers einschließlich vorhandener Kopien, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im regulären Sicherungszyklus überschrieben. Die Löschung wird auf Anfrage bestätigt.
12. Schlussbestimmungen
Im Übrigen gelten die Allgemeinen Geschäftsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Die Haftung richtet sich nach Art. 82 DSGVO und den Allgemeinen Geschäftsbedingungen.