Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und [Name / Firma – im Adminpanel unter Admin-Daten eintragen], Deutschland als Auftragsverarbeiter („Auftragnehmer“). Gegenstand ist die Bereitstellung der HR-Software Stravira, in der der Auftraggeber Personaldaten verwaltet. Der Vertrag gilt für die Dauer des Hauptvertrags.

• Zweck: Speicherung und Verarbeitung von Personaldaten zur Personalverwaltung des Auftraggebers (Personalakte, Organisation, Abwesenheiten, Zeiterfassung, Recruiting, On-/Offboarding, Entwicklung, Auswertungen).
• Betroffene: Beschäftigte, ehemalige Beschäftigte, Bewerbende, Ansprechpersonen und Nutzende des Auftraggebers.
• Datenarten: Stamm- und Kontaktdaten, Vertrags- und Vergütungsdaten, Arbeitszeiten, Abwesenheiten (bei Krankheit ohne Diagnose), Leistungs- und Entwicklungsdaten, Bewerbungsunterlagen, Dokumente, Protokolldaten.
• Besondere Kategorien: Gesundheitsdaten nur in Form von Abwesenheitszeiträumen; Zugriff nur mit gesonderter Berechtigung.

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – diese erfolgt in der Regel durch die Nutzung und Konfiguration der Software. Er verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, unterstützt den Auftraggeber bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldungen von Datenschutzverletzungen und meldet ihm Verletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Mitarbeitende des Auftragnehmers haben im Betreiberbereich keinen Einblick in Personaldaten der Organisationen.

• Speicherort: ausschließlich Deutschland (netcup GmbH).
• Verschlüsselung: TLS für alle Verbindungen inkl. Datenbank; Passwörter als scrypt-Hash, API-Schlüssel als SHA-256-Hash.
• Zugriffskontrolle: strikte Mandantentrennung auf Datenbankebene, Rollen mit Geltungsbereich (eigene Daten, Team, Organisation), gesonderte Rechte für private, Vergütungs- und Gesundheitsdaten.
• Eingabekontrolle: unveränderliches Audit-Log für Genehmigungen, Rollenänderungen, Exporte und Zugriffe auf sensible Bereiche.
• Sitzungen: HttpOnly-Cookies, Ablauf nach spätestens 14 Tagen, Sperre und Abmeldung durch Administratoren möglich.
• Integrationen: signierte Webhooks mit Schutz gegen interne Ziele; API-Zugriff nur lesend und ohne Vergütungs- und Gesundheitsdaten.
• Datensparsamkeit: Krankmeldungen ohne Diagnose, anonymes Peer-Feedback, Löschfristen für Bewerbungsdaten.

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland – Hosting von Anwendung, Datenbank und Dateien.

Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens vier Wochen im Voraus; der Auftraggeber kann aus wichtigem Grund widersprechen.

Der Auftraggeber kann sich nach Absprache von der Einhaltung dieses Vertrags überzeugen; der Auftragnehmer stellt die erforderlichen Informationen bereit. Nach Vertragsende werden die Daten nach Wahl des Auftraggebers exportiert und anschließend gelöscht, spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Speicherung besteht.