Vereinbarung zur Auftragsverarbeitung (AVV)

Vorbemerkung

Diese Vereinbarung gilt für jeden Mandanten von 34a Manager: für Kunden, die 34a Manager lizenziert nutzen, und für Nachunternehmer, die einen kostenlosen Nachunternehmer-Mandanten nutzen. Sie umfasst den Betrieb des Mandanten und die technische Übermittlung von Daten zwischen verbundenen Mandanten. Sie ist kein Nachtrag, sondern eine vollständige Vereinbarung.

Dieser Text gibt die verbindliche Vertragsfassung wieder. Die konkrete Gegenpartei wird nicht im Text eingetragen, sondern über den dokumentierten Zustimmungsnachweis identifiziert (§ 1).

§ 1 Parteien

Auftragsverarbeiter („Anbieter“):

Verantwortlicher („Mandant“): das Sicherheitsunternehmen, das 34a Manager mit einem eigenen Mandanten nutzt, entweder als Kunde mit lizenziertem 34a Manager oder als Nachunternehmer mit einem Nachunternehmer-Mandanten. Ein Nachunternehmer-Mandant ist der kostenlose, im Funktionsumfang eingeschränkte Mandant eines Nachunternehmers für die Zusammenarbeit mit seinen Auftraggebern. „Auftraggeber“ und „Nachunternehmer“ bezeichnen in dieser Vereinbarung die Rollen zweier verbundener Mandanten: Der Auftraggeber beauftragt, der Nachunternehmer wird beauftragt.

Vertragsschluss:

1. Kunden schließen diese Vereinbarung durch die aktive Bestätigung einer vertretungsberechtigten Person in Textform ab, zum Beispiel per geschäftlicher E-Mail.
2. Nachunternehmer-Mandanten schließen sie bei der Registrierung ab: Die zustimmende Person setzt aktiv ein Häkchen und bestätigt, dass sie berechtigt ist, für das Unternehmen zuzustimmen. Dokumentiert werden die Fassung, Name, Funktion und E-Mail-Adresse der zustimmenden Person sowie der Zeitpunkt.
3. Eine stillschweigende Einbeziehung durch bloße Weiternutzung ist nicht vorgesehen. Der Zustimmungsnachweis identifiziert die Gegenpartei; er wird bis sechs Jahre nach Vertragsende aufbewahrt.

§ 2 Gegenstand, Dauer, Art und Zweck

1. Der Anbieter stellt dem Mandanten die SaaS-Anwendung „34a Manager“ in einer eigenen Mandanten-Instanz bereit. Für Kunden umfasst sie insbesondere Personalverwaltung, Dienst- und Schichtplanung, Qualifikationsverwaltung, Abrechnung und Rechnungsstellung sowie Statistiken. Ein Nachunternehmer-Mandant umfasst Personal, Disposition für Aufträge verbundener Auftraggeber, Nachweise und die Abrechnung mit verbundenen Auftraggebern; eigene Kunden, Rechnungen an eigene Kunden, Lohnabrechnung und die Staff App gehören nicht dazu.
2. Der Mandant ist Verantwortlicher für alle personenbezogenen Daten, die er in seiner Mandanten-Instanz verarbeitet, einschließlich der Daten, die er an verbundene Mandanten übermittelt oder von ihnen empfängt; der Anbieter verarbeitet sie ausschließlich im Auftrag.
3. Dauer: Laufzeit des Nutzungsvertrags, bei Nachunternehmer-Mandanten bis zur Löschung des Nachunternehmer-Mandanten. Datenkategorien, betroffene Personen und Fristen ergeben sich aus Anlage A.
4. Zum Gegenstand gehört außerdem die technische Übermittlung von Daten zwischen verbundenen Mandanten über die zentrale Netzwerk-Datenbank des Anbieters („Hub“), und zwar in beiden Richtungen: vom Auftraggeber an den Nachunternehmer (zum Beispiel Anfragen, Übernahmeliste, Gutschriften) und vom Nachunternehmer an den Auftraggeber (zum Beispiel Zusagen, Personen-Kanal, Firmennachweise); Firmendaten senden beide Seiten. Eine Verbindung entsteht durch eine Einladung oder eine Verbindungsanfrage aus dem Firmenverzeichnis und ist erst aktiv, wenn der Nachunternehmer sie angenommen hat; der Auftraggeber kann sie sperren oder widerrufen. Der Hub vermittelt Nachrichten zwischen den Mandanten; er führt kein eigenes Personal und keine eigenen Benutzerkonten.
5. Für die Daten, die verbundene Mandanten einander übermitteln, ist jeder Mandant selbst Verantwortlicher; zwischen ihnen findet eine Übermittlung zwischen zwei Verantwortlichen statt. Der Anbieter übermittelt die Daten im Auftrag des jeweils sendenden Mandanten und speichert sie beim Empfänger im Auftrag des empfangenden Mandanten. Daten, die der Hub für eine Verbindung vorhält (Anlage A Abschnitt 2 b), verarbeitet der Anbieter im Auftrag der beiden verbundenen Mandanten. Einzelheiten regelt Anlage A Abschnitt 4.
6. Als eigener Verantwortlicher und damit nicht nach dieser Vereinbarung verarbeitet der Anbieter: das Firmenverzeichnis, die Registrierung von Nachunternehmer-Mandanten und den Vertrag mit ihnen einschließlich der Zustimmungsnachweise, E-Mails zum Lebenszyklus eines Nachunternehmer-Mandanten sowie das Anmeldeverzeichnis für die Anmeldung von Nachunternehmer-Mandanten. Diese Verarbeitungen beschreibt die Datenschutzerklärung.

§ 3 Weisungsgebundenheit

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Mandanten. Die Nutzung der Funktionen durch den Mandanten (zum Beispiel Anlegen von Personal, Besetzen einer Schicht, Annehmen einer Verbindung, Senden einer Zusage oder einer Gutschrift) gilt als dokumentierte Weisung.
2. Weisungen außerhalb des Funktionsumfangs bedürfen der Textform (zum Beispiel E-Mail an den Support) und werden auditiert.
3. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Mandanten unverzüglich und darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 UAbs. 2 DSGVO).
4. Bei der Übermittlung an einen verbundenen Mandanten gilt die Handlung des sendenden Mandanten als Weisung zur Übermittlung. Mit der Einladung oder Verbindungsanfrage (Auftraggeber) und ihrer Annahme (Nachunternehmer) weist jeder der beiden Mandanten den Anbieter an, Daten, die der andere an ihn sendet, in seiner Mandanten-Instanz abzulegen.

§ 4 Vertraulichkeit

Der Anbieter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Anbieter trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie fort. Maßnahmen dürfen durch gleichwertige oder bessere ersetzt werden; wesentliche Änderungen werden dokumentiert.
2. Die Bewacher-ID einer Person und das Geburtsdatum unterliegen der Zweckbindung aus Anlage A Abschnitt 6. Eine Suche nach Personen über Mandanten hinweg gibt es nicht. Die Bewacher-ID einer Person wird an den Auftraggeber nur in Zusagen und im Personen-Kanal übermittelt, an den Nachunternehmer nur in der Übernahmeliste.
3. Personendaten in Zusagen und im Personen-Kanal werden zwischen den Mandanten Ende-zu-Ende verschlüsselt übermittelt; der Hub sieht davon nur Referenzen (Anlage B Abschnitt 1.5).

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2, 4 DSGVO)

1. Der Mandant erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage C genannten Unterauftragsverarbeiter.
2. Beabsichtigte Änderungen (Hinzufügen oder Ersetzen) teilt der Anbieter mindestens vier Wochen vorab in Textform mit (E-Mail an die Administratoren des Mandanten und Hinweis in der Anwendung). Der Mandant kann aus wichtigem, datenschutzbezogenem Grund widersprechen; im Widerspruchsfall kann jede Partei die Nutzung beenden, wenn keine zumutbare Alternative besteht.
3. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der dieser Vereinbarung im Schutzniveau entspricht.

§ 7 Unterstützungspflichten

Der Anbieter unterstützt den Mandanten im Rahmen des technisch Möglichen:

1. Betroffenenrechte (Art. 12–23 DSGVO): mit den in Anlage A Abschnitt 5 beschriebenen Mitteln (Auskunft, Berichtigung, Löschung und Anonymisierung, Einschränkung). Anfragen betroffener Personen leitet der Anbieter unverzüglich an den Mandanten weiter, den sie betreffen, ohne selbst inhaltlich zu antworten.
2. Sicherheit und Meldepflichten (Art. 32–36 DSGVO): Der Anbieter meldet dem Mandanten Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
3. Datenschutz-Folgenabschätzung (Art. 35, 36 DSGVO): mit den Informationen aus dem Verarbeitungsverzeichnis, der Beschreibung der technischen und organisatorischen Maßnahmen und der Schwellwertprüfung zur DSFA-Pflicht.

§ 8 Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

1. Der Anbieter stellt dem Mandanten alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung; vorrangig durch aussagekräftige Dokumentation (Beschreibung der technischen und organisatorischen Maßnahmen, Audit-Konzept, Zertifikate der Unterauftragsverarbeiter).
2. Prüfungen vor Ort oder durch beauftragte Dritte sind nach angemessener Ankündigung (mindestens 14 Tage) während der Geschäftszeiten möglich; sie dürfen den Betrieb und die Rechte anderer Mandanten (Mandantentrennung) nicht beeinträchtigen.

§ 9 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

1. Nach Ende der Nutzung werden die Daten des Mandanten nach dessen Wahl herausgegeben (Export) und anschließend nach den Fristen der Anlage A gelöscht oder anonymisiert. Nachunternehmer-Mandanten steht vor der Löschung das Export-Paket aus Anlage A Abschnitt 3 zur Verfügung.
2. Gesetzliche Aufbewahrungspflichten (zum Beispiel § 147 AO für Abrechnungsbelege) bleiben unberührt; betroffene Daten werden für die operative Nutzung gesperrt (Art. 18 DSGVO) und nach Fristablauf gelöscht.
3. Die Löschung und Anonymisierung erfolgt automatisiert durch tägliche Läufe; Fehler eines Laufs werden protokolliert.
4. Daten, die der Mandant an verbundene Mandanten übermittelt hat, liegen dort in deren Verantwortung. Sie werden nicht mit dem Mandanten gelöscht, sondern nach den Fristen, die Anlage A Abschnitt 3 für den Empfänger vorsieht.

§ 10 Ort der Verarbeitung, Drittlandübermittlung

1. Die Verarbeitung der Plattformdaten erfolgt in Rechenzentren innerhalb der Europäischen Union (Deutschland, siehe Anlage C).
2. Über die in Absatz 3 geregelte Push-Zustellung hinaus findet eine Übermittlung in Drittländer nicht statt. Sollte sie künftig erforderlich werden, erfolgt sie nur auf Grundlage der Kapitel-V-Instrumente der DSGVO und nach dem Verfahren aus § 6.
3. Firebase Cloud Messaging (FCM): FCM wird auf globaler Infrastruktur betrieben; eine Verarbeitung außerhalb der EU ist möglich. Google LLC ist die dokumentierte Vertragsgesellschaft. Die Firebase Data Processing and Security Terms in der Fassung vom 21.08.2024, das EU-US Data Privacy Framework und die einbezogenen EU-Standardvertragsklauseln werden als Transferinstrumente herangezogen. Der projektspezifische Vertrags- und Transfernachweis ist Bestandteil der Datenschutzdokumentation; Google und FCM sind in Anlage C aufgeführt. Bei iOS wird der Apple Push Notification Service (APNs) als eigenständiger Empfänger und Zustellinfrastruktur eingesetzt.

§ 11 Haftung, Laufzeit, Schlussbestimmungen

1. Die Haftung richtet sich nach Art. 82 DSGVO und den Allgemeinen Geschäftsbedingungen.
2. Diese Vereinbarung gilt für die Dauer der Nutzung; die Pflichten aus § 9 bestehen darüber hinaus fort.
3. Änderungen dieser Vereinbarung erfordern eine neue Fassung mit neuer Fassungsnummer und erneuter dokumentierter Zustimmung. Rein redaktionelle Änderungen erfordern keine erneute Zustimmung.
4. Für diese Vereinbarung und alle sich aus oder im Zusammenhang mit ihr ergebenden vertraglichen Rechtsverhältnisse gilt das Recht der Republik Kroatien unter Ausschluss des UN-Kaufrechts. Zwingende Vorschriften des Unionsrechts, insbesondere der Datenschutz-Grundverordnung (EU) 2016/679, bleiben unberührt. Der Gerichtsstand richtet sich nach Ziffer 8.2 der AGB.

---

Anlage A – Gegenstand der Verarbeitung

1. Kategorien betroffener Personen

• Beschäftigte des Mandanten (Sicherheitsmitarbeiter, Verwaltung, Disposition)
• Nutzer des Mandanten in der Anwendung
• Ansprechpartner von Auftraggebern und Objekten des Mandanten
• Personen eines Nachunternehmers, die beim Auftraggeber als fremdgeführte Personen geführt oder in Zusagen genannt werden
• Personen, die ein Auftraggeber einem Nachunternehmer in der Übernahmeliste anbietet
• Inhaber und Ansprechpartner verbundener Unternehmen, soweit Firmendaten, Firmennachweise, Gutschriften oder die Gutschrift-Vereinbarung Personenbezug haben (zum Beispiel bei Einzelunternehmern oder bei der Person, die der Vereinbarung zustimmt)

2. Datenkategorien

a) Betrieb des Mandanten (je Mandanten-Datenbank)

Ein Nachunternehmer-Mandant nutzt davon nur einen Teil; Lohnabrechnung, Staff App sowie Push- und Gerätedaten entfallen.

b) Zusammenarbeit verbundener Mandanten

Die Austrittsmeldung einer Person ist Teil des Personen-Kanals (Abschnitt 3). Bewacher-ID und Geburtsdatum dienen nur den Zwecken aus Abschnitt 6.

3. Lösch- und Anonymisierungsfristen

Betrieb des Mandanten:

• Daten werden für die Dauer der Vertragsbeziehung verarbeitet; nach Vertragsende Export auf Wunsch, anschließend Löschung der Mandanten-Datenbank binnen 90 Tagen. Gesetzliche Aufbewahrungspflichten (§ 147 AO: 8 Jahre für Buchungsbelege) bleiben unberührt.
• Push-Gerätedaten: Token während der aktiven Geräteregistrierung; sofortige Token-Löschung bei einer dem Backend gemeldeten Deaktivierung, bei ungültigem Token, Entzug des App-Zugangs oder Löschung des Benutzerkontos; automatische Deaktivierung nach 90 Tagen ohne App-Kontakt; Löschung tokenfreier Gerätedaten nach weiteren 30 Tagen. Nicht zugestellte FCM-Nachrichten erhalten eine maximale Lebensdauer von 24 Stunden.

Ende eines Nachunternehmer-Mandanten:

• Ohne Nutzung: Hat sich 12 Monate niemand angemeldet und besteht keine Verbindung, erhalten die Administratoren eine E-Mail; 30 Tage danach wird der Nachunternehmer-Mandant gelöscht. Eine Anmeldung oder eine Verbindung innerhalb dieser 30 Tage beendet die Frist.
• Kündigung: jederzeit in den Grundeinstellungen im Reiter „Konto“; gelöscht wird 90 Tage nach der Kündigung. Bis dahin kann die Kündigung zurückgenommen werden.
• Export-Paket: Vor der Löschung kann der Nachunternehmer-Mandant ein ZIP-Archiv abrufen, mit Listen im CSV-Format (Personal einschließlich der Stammdaten aus dem Personalbogen ohne Bank-, Steuer-, Sozialversicherungs- und Gesundheitsangaben; Qualifikationen; Einsätze bei Auftraggebern; Gutschriften) und den PDF-Dateien der empfangenen Gutschriften. Der Abruf ist 7 Tage möglich.
• Löschung: Die Plattform löscht die Datenbank und die Dateien des Nachunternehmer-Mandanten.

Zusammenarbeit verbundener Mandanten:

Austritt einer Person: Setzt der Nachunternehmer bei einer Person ein Austrittsdatum, übermittelt sein Mandant es automatisch über den Personen-Kanal an jeden Auftraggeber, der die Person führt. Dort ist die Person ab diesem Datum nicht mehr einplanbar; bereits bestätigte spätere Schichten werden als Konflikt gemeldet. Vergangene Einsätze bleiben unverändert; die Anonymisierung folgt der Frist für fremdgeführte Personen.

4. Übermittlung zwischen verbundenen Mandanten

Übermitteln verbundene Mandanten einander Daten (Abschnitt 2 b), ist das eine Übermittlung zwischen zwei Verantwortlichen. Der sendende Mandant veranlasst sie, legt die Rechtsgrundlage je Zweck fest und dokumentiert sie; der empfangende Mandant ist für die weitere Verarbeitung in seiner Mandanten-Instanz verantwortlich. In Betracht kommen insbesondere:

• beim Nachunternehmer für die Daten der eigenen Beschäftigten: Art. 6 Abs. 1 lit. b, c und f DSGVO in Verbindung mit § 26 BDSG (Durchführung des Beschäftigungsverhältnisses und Einsatzplanung, Meldepflichten zum Bewacherregister nach der BewachV);
• beim Auftraggeber: Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis der Qualifikation und Zuverlässigkeit eingesetzter Personen nach § 34a GewO und der BewachV).

Die Information der betroffenen Personen obliegt dem jeweiligen Mandanten; der Anbieter stellt dafür Mustertexte bereit. Vereinbarungen zwischen verbundenen Mandanten, etwa über das Gutschriftverfahren, schließen diese untereinander; der Anbieter ist nicht deren Partei.

5. Unterstützung bei Betroffenenrechten

• Auskunft und Datenübertragbarkeit: Der Mandant sieht die Daten in der Anwendung. Auf dokumentierte Anfrage stellt der Anbieter die dem Mandanten technisch zugeordneten Daten einer Person zusammen. Nachunternehmer-Mandanten steht zusätzlich das Export-Paket aus Abschnitt 3 zur Verfügung.
• Berichtigung: durch den Mandanten in der Anwendung. Die Daten einer fremdgeführten Person berichtigt der Nachunternehmer in seinem Mandanten; die Änderung erreicht den Auftraggeber über den Personen-Kanal.
• Löschung: harte Löschung oder Anonymisierung nach Abschnitt 3; ein Soft-Delete gilt nicht als Löschung.
• Einschränkung und Widerspruch: Der Anbieter unterstützt den Mandanten auf dokumentierte Anfrage dabei, betroffene Daten bis zur Klärung von der operativen Nutzung auszunehmen.

6. Zweckbindung der Bewacher-ID und der Bewacherregister-Nummer

• Bewacher-ID einer Person: Sie wird nur verwendet
  • in der Übernahmeliste, damit der Nachunternehmer eine angebotene Person einer vorhandenen eigenen Person zuordnet und keine Dubletten entstehen, und
  • in Zusage und Personen-Kanal, damit der Auftraggeber die eingesetzte Person seinen Meldungen zu Wachpersonen im Bewacherregister nach § 34a GewO und der BewachV zuordnen kann.
  Zweck ist in beiden Fällen der Nachweis der Zuverlässigkeit und Qualifikation; den Rahmen für die Verwendung der Nummer bilden § 4 Abs. 1 S. 3 und § 5 Abs. 1 S. 3 BewachRV.
• Bewacherregister-Nummer eines Unternehmens: Sie dient im Firmenverzeichnis als Suchschlüssel, um einen bereits bekannten Geschäftspartner eindeutig zu finden. Gefunden werden nur Unternehmen, die auffindbar sind; die Antwort nennt nur den Firmennamen. Das Firmenverzeichnis verarbeitet der Anbieter als eigener Verantwortlicher (§ 2 Nr. 6).
• Nicht zulässig sind insbesondere: Profilbildung über Mandanten hinweg, eine Suche nach Personen anhand von Bewacher-ID oder Geburtsdatum über Mandanten hinweg, Marketing und eine Weitergabe an Dritte außerhalb der Vertragskette.

---

Anlage B – Technische und organisatorische Maßnahmen

Fassung v1.1 · Stand: 21.10.2026

Gegliedert nach Art. 32 Abs. 1 DSGVO. Maßnahmen dürfen durch gleichwertige oder bessere ersetzt werden; wesentliche Änderungen werden mit Datum nachgeführt.

1. Vertraulichkeit

1.1 Zutritts- und Infrastrukturkontrolle

• Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (Nürnberg/Falkenstein); physische Sicherheit gemäß den Maßnahmen des Hosters (zertifiziert nach ISO 27001), mit dem ein Auftragsverarbeitungsvertrag besteht.
• Kein Betrieb produktiver Daten auf lokalen Arbeitsrechnern; reguläre Dateiablagen erfolgen in Object Storage bei Hetzner. Dort liegt auch das Export-Paket eines Nachunternehmer-Mandanten; es ist 7 Tage abrufbar.

1.2 Zugangskontrolle (Systeme)

• Server-Zugang nur per SSH mit Schlüsselverfahren; administrativer Zugriff nur durch einen dokumentiert kleinen Personenkreis.
• Anwendungszugang über personengebundene Konten; Passwort-Hashing (bcrypt), Rate-Limits auf Login- und Reset-Routen.
• Nachunternehmer-Mandanten melden sich nur über den eigenen Partner-Host an. Das Anmeldeverzeichnis des Partner-Hosts speichert E-Mail-Adressen nur als kryptografischen Fingerabdruck (HMAC) mit eigenem Geheimnis.
• Der Hub hat keine eigenen Benutzerkonten; Mandanten erreichen ihn nur über die Anwendung (Abschnitt 1.4).

1.3 Zugriffskontrolle (Least Privilege)

• Rollen- und Rechtemodell je Team; serverseitige Prüfung über Policies.
• Allowlist im Nachunternehmer-Mandanten: Erreichbar sind nur freigegebene Seiten und Komponenten, in der Weboberfläche und in der API.
• Fremdgeführte Personen sind beim Auftraggeber schreibgeschützt; ihre Daten pflegt der Nachunternehmer.
• Datenbank-Rechtetrennung im Hub: getrennte Datenbankrollen für Laufzeit (nur lesende und schreibende Datenoperationen, kein DDL) und für Migrationen; keine Superuser-Rechte.
• Fail-closed-Schalter: Identitätsdaten im Hub (Einladungen zur Registrierung) werden nur bei strikt geprüftem Freigabewert verarbeitet; unklare Werte gelten als geschlossen.
• Mandantenübergreifender Supportzugriff im Hub ist produktiv deaktiviert; eine Aktivierung ist nur mit benannter Rolle, strukturierter Pflichtbegründung und Protokollierung jedes Zugriffs möglich.

1.4 Trennungskontrolle (Mandantentrennung)

• Je Mandant eine eigene Datenbank; der Hub nutzt eine eigene, getrennte Datenbank; keine datenbankübergreifenden Fremdschlüssel.
• Daten fließen zwischen Mandanten nur über den Hub und nur zwischen verbundenen Mandanten (Abschnitt 2.1).
• Modulgrenze: Der Code eines Mandanten erreicht den Hub nur über eine definierte Schnittstelle (Fassade); ein automatischer Test im Build-Prozess verhindert neue direkte Zugriffe.

1.5 Pseudonymisierung, Verschlüsselung und Datenminimierung

• Ende-zu-Ende-Verschlüsselung: Personendaten in Zusagen und im Personen-Kanal werden zwischen den Mandanten verschlüsselt (gemeinsamer Anwendungsschlüssel; die Referenz der Person ist mitverschlüsselt und schützt gegen Vertauschen). Der Hub reicht sie verschlüsselt weiter, sieht nur Referenzen und speichert weder Namen noch Bewacher-IDs.
• Die Vorbelegung einer Einladung liegt im Hub verschlüsselt; von der IBAN enthält sie nur die letzten vier Stellen und einen HMAC.
• Die Felder je Datenfluss legt Anlage A fest; Nachrichten und Warteschlangen enthalten nur die zwecknotwendigen Felder.
• Bewacher-ID und Geburtsdatum werden nur für die Zwecke aus Anlage A Abschnitt 6 verwendet; eine Suche nach Personen über Mandanten hinweg gibt es nicht.
• Push-Inhalte sind standardisiert und enthalten keine Namen, freien Notizen, Einsatzorte oder vollständigen Nachrichteninhalte; FCM-Nachrichten verfallen nach spätestens 24 Stunden.

2. Integrität

2.1 Übertragungskontrolle

• TLS-Verschlüsselung für alle Web-Zugriffe.
• Datenbankverbindung zum Hub mit SSL-Pflicht.
• Absenderprüfung: Der Hub nimmt Nachrichten nur vom festgestellten Absender-Mandanten an und prüft, dass zwischen Absender und Empfänger eine aktive Verbindung besteht; Nachrichten fremder Absender enden in der Ablage nicht zustellbarer Nachrichten (Dead-Letter).
• Schemaprüfung: Jede Nachricht wird gegen ein festgelegtes Schema je Ereignisart und Fassung geprüft (JSON-Schema).
• Übermittlung zwischen Mandanten ausschließlich über diese definierten Ereignisse; keine Ad-hoc-Exporte.

2.2 Eingabekontrolle (Nachvollziehbarkeit)

• Nachrichten zwischen Mandanten bleiben nach dem Leeren ihres Inhalts als Vorgang nachvollziehbar (Ereignis, Zeitpunkt, Zustellstatus).
• Anmeldungen am Mandanten werden protokolliert.
• Protokolleinträge im Hub enthalten Akteur, Organisation, Aktion, Objekt, Zeitpunkt und minimierte technische Metadaten.

3. Verfügbarkeit und Belastbarkeit

• Produktivbetrieb hinter Loadbalancer mit mehreren Anwendungs-Hosts.
• Automatisierte, reproduzierbare Deployments mit Release-Verifikation.
• Datenbank-Backups: Alle Datenbanken werden täglich automatisiert gesichert. Die Wiederherstellbarkeit wird regelmäßig durch automatisierte Restore-Proben überprüft; Sicherung und Probe werden täglich überwacht, ein Fehlschlag löst eine Benachrichtigung aus. Die zuletzt durchgeführten Restore-Proben waren erfolgreich und deckungsgleich mit dem Ausgangsbestand.
• Täglicher Retention-Lauf mit Fehlerüberwachung und Benachrichtigung.

4. Löschkonzept

• Aufbewahrungsfristen sind im Code hinterlegt und bewusst nicht per Umgebung verstellbar, damit die dokumentierte Datenschutzentscheidung nicht spurlos änderbar ist.
• Tägliche automatisierte Lösch- und Anonymisierungsläufe; Fehler eines Laufs werden protokolliert.
• Kurze Fristen für Nachrichten: Inhalte mit Personen- oder Firmendaten werden 1 Tag nach Zustellung geleert, nach endgültigem Fehler (auch im Dead-Letter) nach 7 Tagen, im Hub und in beiden Mandanten; Inhalte übriger Nachrichten nach 30 Tagen.
• Daten eines Nachunternehmers beim Auftraggeber: Fremdgeführte Personen werden 24 Monate nach dem letzten Einsatz anonymisiert; Kopien von Firmennachweisen werden 6 Monate nach Ende der Verbindung samt Dateien gelöscht, beim Löschen des Vertragspartners sofort (Anlage A Abschnitt 3).
• Nachunternehmer-Mandanten ohne Nutzung oder nach Kündigung werden nach den Fristen aus Anlage A Abschnitt 3 über die Plattform gelöscht (Datenbank und Dateien).
• Ein Soft-Delete gilt nicht als Löschung; die Anonymisierung leert die in Anlage A Abschnitt 3 genannten Merkmale.
• FCM-Token werden bei Deaktivierung, ungültiger Provider-Meldung, Entzug des App-Zugangs oder Löschung des Benutzerkontos physisch aus dem Datensatz entfernt. Ein täglicher Lauf deaktiviert Registrierungen nach 90 Tagen ohne App-Kontakt und löscht tokenfreie Gerätedaten nach weiteren 30 Tagen.

5. Organisatorische Maßnahmen und Überprüfung

• Dokumentierte Datenschutzentscheidung mit Feldlisten, Zweckbindung und Fristen; Änderungen nur über neue dokumentierte Entscheidungen.
• Secret-Scanning im Entwicklungsprozess; keine Secrets im Code; Konfigurationsdateien mit Zugangsdaten sind nicht versioniert.
• Mehrstufiger Qualitätsprozess je Feature (Definition, Design, Umsetzung, QA, Review) mit verpflichtenden Tests für Rechteprüfung und Modul-Gating.
• Kleiner, benannter Personenkreis: Verantwortlich ist die Geschäftsführung; kompensierend wirken die technischen Kontrollen (Protokollierung, Freigabeschalter, Datenbank-Rechtetrennung, Absender- und Schemaprüfung).

---

Anlage C – Unterauftragsverarbeiter

Fassung v1.0 · Stand: 03.09.2026

Genehmigte Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2, 4 DSGVO:

Produktiv eingesetzter Push-Dienst

Firebase Cloud Messaging (FCM) ist als optionaler Push-Dienst für die Staff App produktiv aktiviert. Übertragen werden:

• der FCM-Registration-Token des Geräts,
• ein standardisierter Benachrichtigungstitel und -text,
• Inbox-ID, Ereignistyp, Kontexttyp und -ID, gegebenenfalls Kontextdatum und Priorität,
• technisch anfallende Verbindungsdaten.

Bei iOS leitet FCM die Nachricht über den Apple Push Notification Service (APNs) weiter. Apple ist deshalb als weiterer Empfänger und eigenständige Zustellinfrastruktur zu dokumentieren. Apple wird für APNs nicht als Unterauftragsverarbeiter in dieser Anlage geführt. Die APNs-Bedingungen enthalten keine Weisungsbindung nach Art. 28 DSGVO und erlauben Apple die Verarbeitung technischer Daten für eigene Betriebs-, Sicherheits- und Compliance-Zwecke.

Hinweise

• E-Mail-Versand: Der Versand erfolgt über einen eigenen SMTP-Dienst innerhalb der bereits aufgeführten Hetzner-Infrastruktur; deshalb ist kein zusätzlicher Unterauftragsverarbeiter für den E-Mail-Versand aufgeführt.
• Änderungen dieser Liste folgen dem Verfahren aus § 6 dieser Vereinbarung: Vorabinformation mindestens vier Wochen in Textform, Widerspruchsrecht aus wichtigem, datenschutzbezogenem Grund.

---

Fragen zu dieser Vereinbarung

Für Datenschutzanliegen und Fragen zu dieser Vereinbarung erreichen Sie uns unter [Protected] .