Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien aus dem zugrunde liegenden Hauptvertrag (Allgemeine Geschäftsbedingungen / Nutzungsvertrag über die Plattform „klargehalt") für die Verarbeitung personenbezogener Daten im Auftrag.

Der Verantwortliche und der Auftragsverarbeiter werden nachfolgend einzeln auch „Partei" und gemeinsam „Parteien" genannt.

§1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform „klargehalt" zur Unterstützung bei der Umsetzung der EU-Entgelttransparenzrichtlinie (Richtlinie (EU) 2023/970). Die konkreten Leistungen ergeben sich aus dem Hauptvertrag.

(2) Die Verarbeitung erfolgt ausschließlich auf Servern innerhalb der Europäischen Union (Rechenzentrum Irland); zu Drittlandübermittlungen einzelner Unterauftragsverarbeiter siehe §11 und Anlage 2.

(3) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet auch dieser AVV; die Pflichten zur Löschung und Rückgabe (§9) sowie zur Verschwiegenheit bleiben über das Vertragsende hinaus bestehen.

§2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck der Verarbeitung: Erhebung, Speicherung, Organisation, Strukturierung, Auswertung (insbesondere Analyse geschlechtsspezifischer Entgeltunterschiede), Dokumentation, Anzeige und Export personenbezogener Daten zum Zweck der Vorbereitung und Nachweisführung im Rahmen der Entgelttransparenz-Anforderungen.

(2) Art der personenbezogenen Daten:

• Stammdaten von Beschäftigten (Name, Personalnummer, ggf. E-Mail-Adresse, Eintrittsdatum, Geburtsjahr)
• Organisations- und Funktionsdaten (Abteilung, Jobprofil, Karrierestufe, Beschäftigungsart, Standort, Wochenstunden)
• Entgeltdaten (Grundgehalt, variable Vergütung, Provision, Entgeltbänder) und Begründungen zu Entgeltentscheidungen
• Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO: Geschlecht (zur gesetzlich vorgesehenen Analyse des geschlechtsspezifischen Entgeltgefälles)
• Konto- und Nutzungsdaten der für den Verantwortlichen handelnden Nutzer (E-Mail-Adresse, Authentifizierungsdaten, Protokolldaten)

(3) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (einschließlich Bewerber, soweit erfasst) sowie die für den Verantwortlichen handelnden Nutzer der Plattform (HR-/Personalverantwortliche).

(4) Beschäftigte werden ausschließlich als Datensätze geführt; sie erhalten keinen eigenen Plattformzugang. Auskunftsansprüche von Beschäftigten werden über den im Produkt vorgesehenen, HR-vermittelten Auskunftsprozess unterstützt.

§3 Weisungsrecht und Pflichten des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO); in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden im Regelfall durch die Nutzung der Funktionen der Plattform sowie durch die Konfiguration der Organisation durch den Verantwortlichen erteilt. Über die Plattformfunktionen hinausgehende oder ergänzende Einzelweisungen erfolgen in Textform (z. B. per E-Mail an [email protected]) und werden vom Auftragsverarbeiter dokumentiert.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(4) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er trägt insbesondere die Verantwortung für eine gültige Rechtsgrundlage zur Verarbeitung der eingestellten Daten.

§4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• personenbezogene Daten nur gemäß §3 zu verarbeiten;
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
• die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (Anlage 1) umzusetzen und einzuhalten;
• die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern gemäß §6 einzuhalten;
• den Verantwortlichen gemäß §7 bei der Erfüllung von Betroffenenrechten sowie den Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen;
• den Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten gemäß §8 zu informieren;
• nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Verarbeitung zu löschen oder zurückzugeben (§9);
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen gemäß §10 zu ermöglichen;
• einen Ansprechpartner für Datenschutzfragen zu benennen, erreichbar unter [email protected].

§5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus (Art. 32 DSGVO). Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

(2) Die Umsetzung der Maßnahmen ist vor Beginn der Verarbeitung zu dokumentieren und dem Verantwortlichen auf Anfrage nachzuweisen.

§6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 1 DSGVO).

(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen vorab in Textform. Der Verantwortliche kann einer beabsichtigten Änderung aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb von 14 Tagen widersprechen. Im Falle eines berechtigten Widerspruchs, der eine Leistungserbringung verhindert, ist jede Partei zur Kündigung des betroffenen Leistungsteils berechtigt.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag auf Datenschutzpflichten, die den Pflichten dieses AVV im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

§7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 23 DSGVO).

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der ihm zur Verfügung stehenden Informationen.

(3) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern keine entsprechende Weisung vorliegt.

§8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, in der Regel spätestens innerhalb von 48 Stunden (Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt an die vom Verantwortlichen hinterlegte Kontaktadresse.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO. Sicherheitsrelevante Meldungen können auch an [email protected] gerichtet werden.

§9 Löschung und Rückgabe nach Beendigung

(1) Der Verantwortliche kann seine Daten während der Vertragslaufzeit sowie innerhalb von 30 Tagen nach Vertragsende jederzeit selbst über die in der Plattform bereitgestellte Exportfunktion in maschinenlesbarem Format (JSON) exportieren.

(2) Nach Wahl des Verantwortlichen löscht oder gibt der Auftragsverarbeiter nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(3) Folgende Aufbewahrungsfristen gelten: Vertrags- und Entgeltdaten werden für die Dauer der Vertragsbeziehung zuzüglich 90 Kalendertage (Exportzeitraum) gespeichert und danach unwiderruflich gelöscht. Rechnungsdaten werden gemäß handels- und steuerrechtlichen Pflichten 10 Jahre aufbewahrt (§ 257 HGB, § 147 AO). Die zur Erfüllung der EU-Entgelttransparenzrichtlinie erforderliche Compliance-Dokumentation (Begründungs-Trail zu Entgeltentscheidungen und Audit-Protokoll) bleibt gemäß Art. 17 Abs. 3 lit. b DSGVO in anonymisierter Form gespeichert, da sie der Erfüllung einer rechtlichen Verpflichtung sowie der Geltendmachung und Verteidigung von Rechtsansprüchen dient. In Sicherungskopien (Backups) können Restdaten für bis zu 7 Tage fortbestehen, bevor sie endgültig entfallen.

(4) Die Löschung oder Rückgabe ist dem Verantwortlichen auf Anfrage in Textform zu bestätigen.

§10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 1) sowie die aktuelle Liste der Unterauftragsverarbeiter (Anlage 2).

(2) Der Verantwortliche ist berechtigt, sich von der Einhaltung der Pflichten des Auftragsverarbeiters zu überzeugen. Der Nachweis kann durch Selbstauskunft, vorliegende Zertifizierungen oder Prüfberichte (sofern vorhanden) erbracht werden. Reicht dies nicht aus, ermöglicht der Auftragsverarbeiter Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen werden mit angemessener Vorankündigung zu üblichen Geschäftszeiten und so durchgeführt, dass der Geschäftsbetrieb möglichst wenig beeinträchtigt wird.

§11 Verarbeitung in Drittländern

Die Hauptverarbeitung der personenbezogenen Daten (Datenbank, Authentifizierung, Hosting) erfolgt innerhalb der Europäischen Union. Soweit einzelne Unterauftragsverarbeiter (siehe Anlage 2) eine Übermittlung in ein Drittland, insbesondere die USA, mit sich bringen, erfolgt diese ausschließlich auf Grundlage geeigneter Garantien im Sinne von Art. 44 ff. DSGVO, insbesondere der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Inhaltsdaten (Entgelt- und Geschlechtsdaten) werden nicht in Drittländer übermittelt.

§12 Haftung

(1) Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags, soweit dieser AVV nichts Abweichendes bestimmt. Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Der Verantwortliche und der Auftragsverarbeiter haften gegenüber betroffenen Personen nach Maßgabe der in Art. 82 DSGVO getroffenen Regelung.

§13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und Regelungen des Hauptvertrags gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters (Hannover).

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung in Transit: Sämtliche Datenübertragungen erfolgen ausschließlich über TLS 1.3 mit HSTS-Preloading; unverschlüsselte Verbindungen werden abgelehnt.
• Verschlüsselung at Rest: Gespeicherte Daten werden mit AES-256 auf Datenbankebene verschlüsselt.
• Mandantentrennung (Row Level Security): Die Trennung der Daten verschiedener Kunden ist auf PostgreSQL-Datenbankebene durchgesetzt; jede Abfrage wird automatisch auf die Organisation des authentifizierten Nutzers gefiltert.
• Zugriffskontrolle: Authentifizierung über eine self-hosted Identity-Lösung (Logto). Die Aktivierung der Zwei-Faktor-Authentifizierung (MFA) ist optional über die Anmeldung möglich. Rollengetrennter Mehrbenutzer-Zugriff (Administrator, HR-Manager) ist im Premium-Paket verfügbar; das Basis-Paket umfasst einen einzelnen Nutzerzugang.
• Schutz besonderer Kategorien (Art. 9): Geschlechtsdaten werden nicht an Fehlertracking- oder Analysedienste übertragen (Scrubbing aktiv).
• Protokollierung / Audit-Trail: Sicherheitsrelevante Aktionen (Anmeldungen, Datenänderungen, Exporte) werden manipulationssicher protokolliert.
• Sitzungssicherheit: Automatische Abmeldung bei Inaktivität; kein persistentes Token-Caching im Browser.
• Verfügbarkeit und Wiederherstellbarkeit: Tägliche automatische Backups; die Backup-Infrastruktur ist vom Produktivsystem getrennt, und es werden Wiederherstellungsverfahren vorgehalten.
• Vertraulichkeit: Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Diese Liste ist deckungsgleich mit der Subprozessorenliste der Datenschutzerklärung und wird bei Änderungen gemäß §6 Abs. 2 aktualisiert.

Unterzeichnung

Dieser AVV wird mit Abschluss des Hauptvertrags (Annahme im Bestellprozess) wirksam vereinbart. Benötigen Sie eine separat gegengezeichnete Ausfertigung für Ihre Unterlagen, können Sie dieses Dokument ausdrucken, mit Ihren Unternehmensdaten ergänzen, unterzeichnen und an [email protected] senden — wir senden Ihnen eine gegengezeichnete Kopie zurück.

Bei Fragen zu diesem Auftragsverarbeitungsvertrag wenden Sie sich an [email protected].