Auftragsverarbeitungsvertrag (AVV)
Teil A — Auftragsverarbeitungsvertrag
1. Parteien
| Verantwortlicher | Firma Anschrift vertreten durch Name, Funktion |
|---|---|
| Auftragsverarbeiter | FlowAssist AI, David Hinnenkamp c/o Autorenglück #78276, Albert-Einstein-Straße 47, 02977 Hoyerswerda |
2. Gegenstand und Dauer
| Gegenstand | Betrieb der Web-Anwendung FlowAssist: Arbeitszeiterfassung, Abwesenheiten, Auswertungen, Lohn-Export sowie — soweit gebucht — Telefon- und Website-Assistent |
|---|---|
| Dauer | Laufzeit des Hauptvertrags; die Pflichten gelten bis zur Löschung aller Daten |
| Art und Zweck | Speichern, Übermitteln, Auswerten, Exportieren von Beschäftigtendaten für Arbeitszeit- und Abwesenheitsverwaltung |
| Art der Daten | siehe Teil B, Abschnitt 2 |
| Betroffene Personen | Beschäftigte des Verantwortlichen (inkl. Aushilfen und Minijobber), ggf. Bewerber |
3. Weisungsbindung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Konfiguration im Produkt (Mitarbeiter, Regeln, Rollen) gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
4. Vertraulichkeit und Zugriff
- Zugriff nur für benannte Personen, die auf Vertraulichkeit verpflichtet sind.
- Der Support-Zugang des Betreibers ist nicht still: Jeder Support-Login wird beim Kunden im Änderungsnachweis als support_login protokolliert. Der Kunde sieht jederzeit, wann jemand von FlowAssist im Mandanten war.
- Betreiberkonten sind von Kundenkonten technisch getrennt (eigene Tabelle, eigenes Session-Cookie) — ein Kundenkonto kann nie Betreiberrechte erlangen.
5. Technische und organisatorische Maßnahmen (Art. 32)
| Zugangskontrolle | Persönliche Konten, PBKDF2-SHA256-Passwörter (100.000 Iterationen), Brute-Force-Sperre, optional Zwei-Faktor-Anmeldung per E-Mail-Code |
|---|---|
| Zugriffskontrolle | Rollen owner / dispatcher / employee; Mitarbeiter sehen nur eigene Daten |
| Trennung | Jede Tabelle trägt tenant_id; jede Abfrage ist mandantengebunden |
| Weitergabe | Keine Weitergabe an Dritte außer den in Teil B, Abschnitt 3 genannten Sub-Prozessoren |
| Eingabekontrolle | Änderungen an Zeiten nur durch Vorgesetzte und nur mit Begründung |
| Nachvollziehbarkeit | Unveränderbare Hash-Kette über das Änderungsprotokoll, im Produkt selbst prüfbar |
| Löschung | Soft-Delete für Stammdaten mit Historie; Fachdaten-Löschung nach Aufbewahrungsfristen |
| Datenminimierung | Keine Standortverläufe, keine Koordinaten — nur das Ergebnis der Ortsprüfung und ein Label |
| Verschwiegenheit | Verpflichtung aller Beteiligten |
6. Sub-Prozessoren
Genehmigt sind die in Teil B, Abschnitt 3 genannten Dienste. Wechsel oder Neuaufnahme werden dem Kunden vorher in Textform mitgeteilt; Widerspruch ist innerhalb von 30 Tagen möglich.
7. Datenpanne
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich an den Verantwortlichen — mit Art der Verletzung, betroffenen Daten, möglichen Folgen und ergriffenen Maßnahmen, damit die 72-Stunden-Frist nach Art. 33 DSGVO eingehalten werden kann.
8. Betroffenenrechte
Das Produkt unterstützt Auskunft, Berichtigung, Einschränkung, Löschung und Übertragbarkeit (Export-Endpunkt, Löschkonzept). Anfragen von Betroffenen beantwortet der Verantwortliche; der Auftragsverarbeiter unterstützt ihn mit den nötigen Auskünften.
9. Löschung und Rückgabe nach Vertragsende
Wahlweise Rückgabe als Export oder Löschung. Die Löschung umfasst alle mandantenbezogenen Fachdaten, Dateien und Sitzungen. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt — er teilt vorher mit, ob Daten nach § 16 Abs. 2 ArbZG oder aus steuerlichen Gründen aufbewahrt werden müssen.
10. Kontrollrechte
Der Verantwortliche darf die Einhaltung dieser Pflichten prüfen (Auskunft, Einsichtnahme, Nachweise). Dafür stehen im Produkt Änderungsnachweis, Kettenprüfung, Rollenliste und Export zur Verfügung.
Teil B — Verzeichnis von Verarbeitungstätigkeiten (Art. 30)
B1. Vorlage für den Kunden (Verantwortlicher)
| Verarbeitungstätigkeit | Arbeitszeiterfassung und Abwesenheitsverwaltung |
|---|---|
| Verantwortlicher | Firma, Anschrift, Kontakt |
| Zweck | Erfüllung der Zeiterfassungspflicht (§ 16 Abs. 2 ArbZG), Lohnabrechnung, Dienstplanung |
| Rechtsgrundlage | § 26 Abs. 1 BDSG; Art. 6 Abs. 1 lit. b und c DSGVO; Pausen und Ruhezeiten: Art. 6 Abs. 1 lit. c DSGVO (ArbZG) |
| Datenkategorien | Name, Personalnummer, Kontaktdaten, Anstellungsart, Wochenstunden, Arbeitsort-Profil, Zeitstempel Beginn/Ende, Pausenminuten, Buchungsart und -quelle, Gerätekennung, Ergebnis der Ortsprüfung, Abwesenheiten (Art und Zeitraum), Gesundheitsangaben (nur „krank“, keine Diagnose), Änderungsnachweis |
| Betroffene | Beschäftigte des Verantwortlichen |
| Empfänger | Steuerberater/Lohnbüro (Export), ggf. Betriebsrat nach Betriebsvereinbarung |
| Drittlandübermittlung | siehe B3 — derzeit keine beabsichtigte Übermittlung |
| Löschfristen | Zeiterfassung mindestens 2 Jahre (§ 16 Abs. 2 ArbZG), steuer- und sozialrechtlich länger; Atteste kürzer, nur zum Nachweis der Entgeltfortzahlung |
B2. Vorlage für FlowAssist (Auftragsverarbeiter)
| Verantwortlicher | jeweilige Kundenfirma (Mandant) |
|---|---|
| Auftragsverarbeiter | FlowAssist AI, David Hinnenkamp, Hoyerswerda |
| Zweck | Speicherung und Verarbeitung der Beschäftigtendaten ausschließlich für den Mandanten |
| Kategorien | siehe B1 |
| Löschung | bei Vertragsende nach Teil A, Abschnitt 9 |
B3. Sub-Prozessoren und Datenresidenz
| Cloudflare (Pages, Functions) | Auslieferung der Anwendung und Serverlogik — verarbeitet Daten im Auftrag, speichert selbst keine; globales Edge-Netz mit EU-Verarbeitung |
|---|---|
| Cloudflare D1 | Datenbank mit dem gesamten Fachbestand; EU-Region konfiguriert |
| Cloudflare KV | Sitzungen und kurzlebige Demo-Marker; nicht regionsgebunden, kurzlebig |
| Cloudflare R2 | Atteste und Belege — noch nicht aktiv; beim Aktivieren in EU-Jurisdiction |
| Resend | E-Mail-Versand (Anmelde-Codes, Benachrichtigungen): E-Mail-Adresse und Mailinhalt, USA — Standardvertragsklauseln |
| Retell AI | Sprach-KI, nur wenn der Telefon-Assistent gebucht ist: Transkriptausschnitt und erkannte Absicht |
| Stripe | Zahlungsabwicklung und Rechnungen: Zahlungs- und Rechnungsdaten, Irland/USA |
Abschluss
Der Vertrag tritt mit Unterzeichnung durch beide Parteien in Kraft. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
| Ort, Datum | |
|---|---|
| Für den Verantwortlichen | |
| Für FlowAssist AI | David Hinnenkamp Ort, Datum |
Rückfragen und Abschluss: [email protected]