Auftragsverarbeitungsvertrag (AVV)

[VORLAGE – vor Veröffentlichung von einer Rechtsanwältin / einem Rechtsanwalt prüfen lassen und diesen Hinweis entfernen.]

nach Art. 28 DSGVO · Stand: [Datum] · Version: 2026-10-beta. Der Vertrag wird bei der Registrierung in Zetly durch Bestätigung abgeschlossen.

1. Parteien und Gegenstand

Verantwortlicher („Auftraggeber“) ist das Unternehmen, das sich in Zetly registriert. Auftragsverarbeiter („Auftragnehmer“) ist [Vor- und Nachname bzw. Firmenname], [Straße und Hausnummer], [PLZ Ort]. Gegenstand ist die Bereitstellung der Anwendung Zetly zur Zeiterfassung, Einsatzplanung, Abwesenheitsverwaltung und Dokumentenerstellung.

2. Dauer

Der Vertrag gilt für die Dauer der Nutzung von Zetly einschließlich der Testphase und endet mit Löschung aller Daten des Auftraggebers.

3. Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

• Zweck: Erfassung und Auswertung von Arbeitszeiten, Planung von Einsätzen, Verwaltung von Abwesenheiten, Erstellung von Stundenzetteln, Leistungsnachweisen und Exporten für die Lohnabrechnung, Versand dieser Dokumente.
• Betroffene Personen: Beschäftigte des Auftraggebers, Ansprechpartner von Kunden des Auftraggebers, Benutzer der Anwendung.
• Datenarten: Name, Kontaktdaten (E-Mail, Telefon), Personalnummer, Sprache, Rolle; Arbeitszeiten, Pausen, Einsatzorte und -zeiten, erledigte Aufgaben; Urlaub und Abwesenheiten einschließlich der Tatsache einer Arbeitsunfähigkeit (ohne Diagnose – Gesundheitsdatum nach Art. 9 DSGVO); Unterschriften auf Stundenzetteln; Kunden- und Objektdaten (Adressen, Hinweise); Zugangs- und Protokolldaten.

4. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Funktionen der Anwendung. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich.

5. Pflichten des Auftragnehmers

• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit.
• Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1.
• Unterstützung des Auftraggebers bei Anfragen betroffener Personen (Art. 12–22 DSGVO), insbesondere durch Export- und Löschfunktionen.
• Unterstützung bei Datenschutz-Folgenabschätzungen und bei Pflichten nach Art. 32–36 DSGVO.
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von [48] Stunden nach Kenntnis.
• Verarbeitung ausschließlich in der EU bzw. bei den in Anlage 2 genannten Unterauftragsverarbeitern unter Einhaltung von Art. 44 ff. DSGVO.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens [vier] Wochen vorher per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall die Nutzung beenden.

7. Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung zu üblichen Geschäftszeiten.

8. Löschung und Rückgabe

Nach Ende der Nutzung kann der Auftraggeber seine Daten über die Exportfunktionen herunterladen. Der Auftragnehmer löscht die Daten [30] Tage nach Vertragsende; Datensicherungen werden nach spätestens [14] weiteren Tagen überschrieben.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Server in einem Rechenzentrum in Deutschland mit Zutrittskontrolle; Datenbank nicht aus dem Internet erreichbar; Zugriff auf den Server nur per SSH-Schlüssel; Benutzerkonten mit Rollen und Rechten; strikte Trennung der Daten verschiedener Auftraggeber (Mandantentrennung in jeder Datenbankabfrage).
• Verschlüsselung: Übertragung ausschließlich über HTTPS (TLS); Passwörter nur als gesalzener Hash (PBKDF2); gespeicherte SMTP-Zugangsdaten verschlüsselt.
• Integrität: Protokollierung von Änderungen (Zeitstempel, Benutzer); abgeschlossene Monate gesperrt; Schutz vor gleichzeitigen Änderungen.
• Verfügbarkeit: tägliche Datensicherung, Aufbewahrung [14] Tage, [zusätzliche Kopie außerhalb des Servers]; Überwachung von Fehlern und Antwortzeiten ohne personenbezogene Daten; automatischer Neustart von Diensten.
• Datenminimierung: Screenshots aus Support-Anfragen werden nach 90 Tagen automatisch gelöscht; Fehlermeldungen werden vor der Übermittlung von personenbezogenen Daten bereinigt.
• Überprüfung: regelmäßige Aktualisierung der Software und Prüfung der Maßnahmen.

Anlage 2 – Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
  Rechenzentrum: Server und Datenbank der Anwendung (Standort Deutschland), tägliche Datensicherung
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA
  DNS, Schutz vor Angriffen und verschlüsselte Verbindung (Tunnel) zum Server. Daten werden auf dem Weg zum Server verarbeitet, aber nicht gespeichert. Grundlage für die Übermittlung: EU-US Data Privacy Framework / Standardvertragsklauseln
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
  Auslieferung der Programmdateien der Web-Oberfläche (app.zetly.de) und dieser Website. Die Daten der Anwendung (Zeiten, Mitarbeiter usw.) laufen nicht über Vercel. Grundlage: EU-US Data Privacy Framework / Standardvertragsklauseln
• [E-Mail-Versanddienst, z. B. Brevo / Postmark / IONOS – Name und Anschrift eintragen]
  Versand von System-E-Mails (Einladungen, Passwort zurücksetzen, Antworten auf Support-Anfragen, Dokumente)