Vertrag zur Auftragsverarbeitung (AVV)

1. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten von Mitarbeitenden des Verantwortlichen durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software OpenSpot Workspace zur Verwaltung von Arbeitsplätzen, Parkplätzen, Räumen und Anwesenheit. Die Dauer dieses Vertrags entspricht der Laufzeit der Nutzungsvereinbarung zwischen den Parteien.

2. Art und Zweck der Verarbeitung

Verwaltung von Mitarbeiterkonten, Reservierung von Ressourcen (Arbeitsplätze, Parkplätze, Meetingräume, Telefonboxen), Check-in/Anwesenheitserfassung, No-Show-Erkennung, Auswertungen und Berichte zur Auslastung (auch je Abteilung), Anwesenheitsanzeige für Kolleginnen und Kollegen, Standortprüfung beim Parkplatz-Check-in sowie – sofern vom Verantwortlichen aktiviert – anonymes Feedback und Kennzeichen-Erfassung bei Parkplatzbuchungen.

3. Kategorien betroffener Personen

Mitarbeitende, Administrator:innen und sonstige Nutzer:innen des Verantwortlichen, die von diesem zur Nutzung der Software eingeladen oder registriert werden.

4. Kategorien personenbezogener Daten

Name, dienstliche E-Mail-Adresse, Abteilungszuordnung, Reservierungs- und Check-in-Daten, Anwesenheitsstatistiken, flüchtig verarbeitete Standortdaten beim Parkplatz-Check-in (werden nicht gespeichert), anonymes Feedback einschließlich möglicher Freitexte (ohne Nutzerkennung), IP-Adressen in Server-Protokollen des Hosters, optional Kfz-Kennzeichen und ein Foto zur Kennzeichen- Bestätigung, technische Zugangsdaten (verschlüsseltes Passwort, optionales TOTP-Zweitfaktor-Geheimnis). Keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO werden für den regulären Betrieb der Software verarbeitet.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, einschließlich der über die Software-Oberfläche gegebenen Konfiguration;
• zur Vertraulichkeit verpflichtete Personen mit der Verarbeitung zu betrauen;
• angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen (siehe Ziffer 7);
• den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen, u. a. durch die in der Software integrierte Selbstbedienungsfunktion zu Datenexport und Konto-Löschung;
• den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren, die die von ihm verarbeiteten Daten betreffen;
• dem Verantwortlichen alle zur Nachweisführung nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung zu stellen und angemessene Prüfungen zu ermöglichen;
• nach Beendigung der Erbringung der Leistungen sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit eine generelle Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

• Supabase Inc., USA (Datenbank, Authentifizierung, Dateispeicherung), Serverstandort Frankfurt am Main (EU-Region eu-central-1)
• Vercel Inc., USA (Hosting/Ausliefern der Anwendung)
• Resend Inc., USA (Transaktions-E-Mail-Versand)
• Sentry / Functional Software Inc., USA (technisches Fehler-Monitoring, EU-Region)
• Anthropic PBC, USA (nur bei Nutzung der optionalen KI-gestützten Platzerkennung auf hochgeladenen Grundriss-Bildern oder der optionalen KI-Analyse im Bericht; übermittelt werden das Grundriss-Bild und die Bezeichnungen der Ressourcen der Etage bzw. zusammengefasste Kennzahlen, keine personenbezogenen Daten von Mitarbeitenden)

Über die Hinzuziehung weiterer oder den Austausch bestehender Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen vorab in Textform; der Verantwortliche kann der Änderung aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Mit Anbietern außerhalb der EU/des EWR werden EU-Standardvertragsklauseln bzw. eine vergleichbare geeignete Garantie nach Art. 46 DSGVO vereinbart.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung (TLS) für sämtliche Datenverbindungen
• Mandantentrennung auf Datenbankebene durch Row-Level- Security: jede Abfrage ist technisch auf das jeweilige Unternehmen beschränkt
• Passwörter werden ausschließlich gehasht gespeichert, nie im Klartext
• Optionale Zwei-Faktor-Authentifizierung (TOTP) für alle Konten
• Rollenbasierte Zugriffsrechte (Administrator:in vs. Mitarbeiter:in)
• Protokollierung sicherheitsrelevanter Admin-Aktionen im Audit-Log (automatische Löschung nach 90 Tagen)
• Foto-Belege zu Reservierungen liegen in einem privaten Speicherbereich und sind nur über kurzlebige, signierte Links (5 Minuten gültig) abrufbar

8. Weisungsrecht

Der Verantwortliche erteilt Weisungen grundsätzlich durch die Konfiguration der Software (z. B. Einstellungen im Admin-Bereich) sowie ergänzend in Textform an die in Ziffer 1 genannte Kontaktadresse. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

9. Kontrollrechte des Verantwortlichen

Der Verantwortliche ist berechtigt, sich vor Beginn und während der Verarbeitung von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragsverarbeiter stellt hierfür auf Anfrage in angemessenem Umfang Auskünfte und Nachweise zur Verfügung.