Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen dem Kunden, der die Software „mise“ nutzt (nachfolgend „Auftraggeber“), und:

Ole Ullenboom
Leostraße 72A, 50823 Köln
E-Mail: hi@so-mise.com

(nachfolgend „Auftragsverarbeiter“ oder „mise“).

Er ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und die Datenschutzerklärung (Datenschutzerklärung) und wird mit der Registrierung des Auftraggebers geschlossen (siehe §11).

§1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Software „mise“. Die Verarbeitung umfasst die Module:

• Schichtplanung und Dienstplanerstellung
• Zeiterfassung
• Personalverwaltung (Mitarbeiterstammdaten)
• Verfügbarkeits- und Urlaubsverwaltung
• Dokumentation von Abwesenheiten (Urlaub und Zeiträume der Arbeitsunfähigkeit)
• Checklisten
• Ersatzsuche (Schichtübergabe unter Mitarbeitern)
• Personalkostenübersicht

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags zwischen Auftraggeber und Auftragsverarbeiter. Nach dem Ende des Abonnements oder der Testphase bleiben die Daten noch drei Monate gespeichert und werden dann nach §9 Abs. 3 gelöscht (dort auch die Übergangsregelung für Testphasen und Abonnements, die vor dem 28. Oktober 2026 endeten). Verlangt der Auftraggeber die Löschung (§9 Abs. 1), werden die Daten 30 Tage nach dem Löschauftrag gelöscht (§9 Abs. 2).

§2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der vereinbarten Software-Funktionen, insbesondere:

• Speicherung und Anzeige von Mitarbeiterdaten
• Erstellung, Veröffentlichung und Verwaltung von Schichtplänen
• Erfassung und Auswertung von Arbeitszeiten
• Verwaltung von Verfügbarkeiten und Urlaubsanträgen
• Dokumentation von Zeiträumen der Arbeitsunfähigkeit durch Administratoren des Auftraggebers, deren Anzeige als „abwesend“ (ohne Angabe des Grundes) für die Schichtplanung und deren Export für die Lohnabrechnung des Auftraggebers
• Versand transaktionaler E-Mails (Einladungen, Benachrichtigungen)

Eine Verarbeitung zu anderen Zwecken findet nicht statt. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht der Mitgliedstaaten dazu verpflichtet.

§2a Weisungen

(1) Weisungen erteilt der Auftraggeber durch die Nutzung und Einstellung der Funktionen der Software durch seine Administratoren sowie im Einzelfall in Textform an hi@so-mise.com. Weisungsberechtigt sind die Administratoren des Kontos. Bei Weisungen per E-Mail darf der Auftragsverarbeiter vorher prüfen, ob sie von einem Administrator stammen.

(2) Ist der Auftragsverarbeiter durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

(4) Übermittlungen in Drittländer erfolgen nur, soweit sie in §6 genehmigt sind oder der Auftraggeber sie anweist. Über die Programmierschnittstelle (API) werden Daten nur an vom Auftraggeber bestimmte Empfänger bereitgestellt.

§3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Stammdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer
• Beschäftigungsdaten: Beschäftigungsart, Qualifikationen, Bereiche/Rollen
• Arbeitszeitdaten: Schichtpläne, Zeiterfassungen, Pausen, Überstunden
• Vergütungsdaten: Stundenlohn, Personalkostenübersichten
• Verfügbarkeitsdaten: Wunschschichten, Abwesenheiten, Urlaubsanträge
• Geburtsdatum (soweit vom Auftraggeber erfasst)
• Personalstammdaten (soweit vom Auftraggeber erfasst): Anschrift, Geburtsort und -land, Geburtsname, Geschlecht, Staatsangehörigkeit, Schul- und Berufsabschluss, Personalnummer, Eintritts- und Austrittsdatum, Urlaubsanspruch
• Lohnabrechnungsdaten (soweit vom Auftraggeber erfasst): Bankverbindung (IBAN), Steuer-Identifikationsnummer, Sozialversicherungsnummer, Krankenkasse und Mitgliedsnummer
• Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO), soweit der Auftraggeber sie erfasst: ausschließlich Beginn und Ende von Zeiträumen der Arbeitsunfähigkeit sowie die Angabe, ob eine Arbeitsunfähigkeitsbescheinigung vorliegt. Diagnosen, Befunde und ärztliche Unterlagen werden in mise nicht erfasst.
• Authentifizierungsdaten: E-Mail, Passwort (gehashed), Session-Token
• Technische Daten: IP-Adresse, Browser-Typ, Zugriffszeitpunkt

§4 Kategorien betroffener Personen

• Mitarbeiter und Aushilfen des Auftraggebers
• Ansprechpartner und Administratoren des Auftraggebers

§4a Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Zulässigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information seiner Beschäftigten (Art. 13, 14 DSGVO) und die Aufnahme der Verarbeitung in sein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

(2) Für Zeiträume der Arbeitsunfähigkeit (Art. 9 DSGVO) prüft der Auftraggeber die Rechtsgrundlage und ob eine Datenschutz-Folgenabschätzung erforderlich ist. Er legt fest, wie lange die Einträge gespeichert werden, vergibt die Rollen Administrator und Schichtplaner nur an Personen, die sie für ihre Aufgaben benötigen und zur Vertraulichkeit verpflichtet sind, und trägt keine Diagnosen oder Krankheitsgründe in Freitextfelder der Software (z. B. Notizen) ein.

(3) Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragsverarbeiter unverzüglich.

§5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
• sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO)
• alle erforderlichen technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO zu treffen (siehe §7)
• den Auftraggeber bei der Erfüllung von Betroffenenrechten zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO)
• Verletzungen des Schutzes personenbezogener Daten dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Administratoren zu melden, soweit bekannt mit den Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen); fehlende Angaben reicht er unverzüglich nach
• den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei der Benachrichtigung betroffener Personen, einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde; dazu stellt er auf Anfrage eine Beschreibung der Verarbeitung, der Datenflüsse und der technischen und organisatorischen Maßnahmen bereit
• alle Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben (siehe §9)
• dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen

§6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die in der folgenden Tabelle genannten gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert die Administratoren des Auftraggebers mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail. Der Auftraggeber kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform Einspruch erheben. Kommt keine Einigung zustande, kann der Auftraggeber den Vertrag fristlos kündigen. In dringenden Fällen (z. B. Sicherheitsvorfall, Ausfall eines Dienstleisters) kann die Frist verkürzt werden; das Einspruchsrecht bleibt bestehen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem AVV, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen, und haftet gegenüber dem Auftraggeber für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

(4) Übermittlungen in Drittländer erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, soweit der Dienstleister zertifiziert ist, oder EU-Standardvertragsklauseln). Die Standardvertragsklauseln stellt der Auftragsverarbeiter auf Anfrage zur Verfügung.

§7 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen gem. Art. 32 DSGVO:

Vertraulichkeit

• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (Admin, Schichtplaner, Mitarbeiter)
• Row-Level Security (RLS) auf Datenbankebene: Mandantentrennung
• Zeiträume der Arbeitsunfähigkeit: Lesezugriff auf Datenbankebene (Row-Level Security) nur für freigeschaltete, aktive Administratoren des jeweiligen Auftraggebers und für die betroffene Person; Schreiben nur über geprüfte Datenbankfunktionen. Schichtplaner sehen für den aktuellen und künftige Tage ausschließlich den Hinweis „abwesend“ ohne Grund und ohne AU-Angabe; andere Mitarbeiter sehen nichts. Da genehmigter Urlaub gesondert angezeigt wird, können Schichtplaner aus „abwesend“ auf eine Arbeitsunfähigkeit schließen; der Auftraggeber vergibt die Rolle Schichtplaner deshalb nur an Personen, die die Planung tatsächlich übernehmen. Diese Angaben werden nicht per E-Mail oder Push versendet; die betroffene Person erhält einen neutralen Hinweis in der App ohne Zeitraum. Das Änderungsprotokoll ist nur für Administratoren lesbar und vermerkt nur, dass eine Abwesenheit eingetragen, geändert oder gelöscht wurde – ohne betroffene Person und ohne Zeitraum. Der Auftragsverarbeiter sieht diese Daten nur ein, soweit es im Einzelfall zur Fehlerbehebung erforderlich ist oder der Auftraggeber es anweist, und übermittelt sie nicht an Dienste außerhalb der in §6 genannten Unterauftragsverarbeiter.
• Passwörter werden ausschließlich gehashed gespeichert (bcrypt, über Supabase Auth)
• Authentifizierung über Supabase Auth mit JWT-Token

Integrität

• Transportverschlüsselung: TLS 1.2+ für alle Verbindungen
• Verschlüsselung at rest: AES-256 für die Datenbank (Supabase/AWS)
• CSRF-Schutz (Prüfung der Herkunft) für alle mutierenden Anfragen an die eigenen API-Routen; Webhooks und zeitgesteuerte Aufgaben sind stattdessen per Signatur bzw. Geheimnis abgesichert
• Input-Validierung auf Client- und Serverseite

Verfügbarkeit und Belastbarkeit

• Automatische Datenbank-Backups durch Supabase (täglich, Aufbewahrung 7 Tage)
• CDN-basierte Auslieferung statischer Dateien (Netlify)
• Automatische Benachrichtigung bei Server-, Cron- und Mail-Fehlern; serverseitige Funktionen skalieren automatisch (Netlify)

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen
• Abhängigkeiten werden regelmäßig auf Schwachstellen geprüft
• Datenschutz durch Technikgestaltung (Privacy by Design)

Standort der Datenverarbeitung

Die Datenbank und die Authentifizierung laufen in Frankfurt am Main (AWS eu-central-1); dort werden die Daten gespeichert. Weitere Orte der Verarbeitung (z. B. serverseitige Funktionen, E-Mail-Versand) nennt §6.

§8 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte gem. Art. 15–22 DSGVO, insbesondere:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird die Anfrage unverzüglich an den Auftraggeber weitergeleitet.

§9 Löschung und Rückgabe von Daten

(1) Der Auftraggeber kann die Löschung seiner Daten jederzeit verlangen, auch nach Beendigung des Nutzungsvertrags: über die Funktion „Konto löschen“ in der Software (Einstellungen → Abonnement; nur für Administratoren des Auftraggebers) oder per E-Mail an hi@so-mise.com.

(2) Mit der Kontolöschung ist der Zugang für alle Nutzer des Auftraggebers sofort gesperrt. 30 Tage nach dem Löschauftrag löscht ein täglich laufender, automatischer Löschvorgang sämtliche in der Software gespeicherten personenbezogenen Daten des Auftraggebers einschließlich der Nutzerkonten endgültig, auch wenn die Frist nach Absatz 3 zu diesem Zeitpunkt bereits läuft. Bis dahin kann der Auftraggeber die Löschung per E-Mail rückgängig machen lassen.

(3) Endet das Abonnement (z. B. durch Kündigung) oder die Testphase, ohne dass ein Abonnement abgeschlossen wurde, wird der Zugang gesperrt. Die Daten bleiben danach noch drei Monate gespeichert; in dieser Zeit kann der Auftraggeber die Nutzung durch Abschluss eines Abonnements mit allen Daten fortsetzen. Mindestens 14 Tage vor der Löschung erinnert der Auftragsverarbeiter die Administratoren des Auftraggebers per E-Mail daran, sofern ein Administrator mit gültiger E-Mail-Adresse hinterlegt ist. Nach Ablauf der drei Monate – frühestens 14 Tage nach der Erinnerung, spätestens vier Monate nach dem Ende des Abonnements bzw. der Testphase – löscht ein automatischer Löschvorgang sämtliche in der Software gespeicherten personenbezogenen Daten des Auftraggebers einschließlich der Nutzerkonten endgültig. Übergangsregelung: Endete die Testphase oder das Abonnement vor dem 28. Oktober 2026, werden die Daten frühestens am 28. November 2026 gelöscht, frühestens 14 Tage nach einer Erinnerung per E-Mail an die Administratoren des Auftraggebers. Verlangt ein solcher Auftraggeber die Löschung, wird sie unverzüglich ausgeführt.

(4) Rückgabe: Vor der Löschung kann der Auftraggeber die Daten mit den Exportfunktionen der Software sichern, solange sein Zugang aktiv ist. Auf Wunsch stellt der Auftragsverarbeiter die Daten vor der Löschung in einem gängigen maschinenlesbaren Format (z. B. CSV, JSON) zur Verfügung. Der Auftragsverarbeiter prüft vorher, ob die Anfrage von einem Administrator des Auftraggebers stammt, und stellt den Export ausschließlich an die im Konto hinterlegte Administrator-Adresse und verschlüsselt bereit (z. B. als passwortgeschütztes Archiv; das Passwort wird auf getrenntem Weg mitgeteilt).

(5) Kopien in den automatischen Datensicherungen des Unterauftragsverarbeiters Supabase (siehe §6) werden im Rahmen von dessen regulärem Sicherungszyklus, spätestens nach 7 Tagen, überschrieben; bis dahin sind sie gegen Zugriff geschützt und werden nicht anderweitig verwendet. Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet, etwa Vertrags- und Rechnungsdaten des Auftraggebers, sind nicht Gegenstand dieses AVV. Protokolle fehlgeschlagener E-Mail-Zustellungen (Empfängeradresse, Betreff) werden nach 90 Tagen gelöscht.

(6) Einträge zu Zeiträumen der Arbeitsunfähigkeit können Administratoren des Auftraggebers jederzeit einzeln löschen; liegt ein Eintrag in einem abgeschlossenen Lohnzeitraum, muss der Abschluss zuerst wieder geöffnet werden. Die Einträge werden außerdem mit dem Profil der betroffenen Person gelöscht sowie mit allen Daten des Auftraggebers nach Absatz 2 oder 3. Eine automatische Löschung einzelner Einträge nach einer festen Frist sieht die Software nicht vor; über Aufbewahrungs- und Löschfristen entscheidet der Auftraggeber als Verantwortlicher.

§10 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, die Einhaltung dieses AVV und der technischen und organisatorischen Maßnahmen zu überprüfen. Dies kann erfolgen durch:

• Einholung von Auskünften und Nachweisen beim Auftragsverarbeiter
• Prüfungen vor Ort nach vorheriger Ankündigung (mit angemessener Frist)
• Beauftragung eines unabhängigen Prüfers (unter Geheimhaltungsverpflichtung)

Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zur Verfügung und duldet Überprüfungen.

§11 Schlussbestimmungen

• Dieser AVV wird mit der Registrierung bei mise geschlossen. Er gilt für die Dauer der Nutzung der Software und darüber hinaus, bis die Daten des Auftraggebers nach §9 gelöscht sind. Für Auftraggeber, die sich vor dem 28. Oktober 2026 registriert haben, gilt diese Fassung ab ihrer Zustimmung in Textform.
• Änderungen und Ergänzungen dieses AVV bedürfen der Textform (§ 126b BGB); eine Zustimmung per E-Mail oder über eine protokollierte Bestätigung in der Software genügt. Wesentliche Änderungen kündigt der Auftragsverarbeiter mindestens 30 Tage vor ihrem Wirksamwerden per E-Mail an, es sei denn, der Auftraggeber stimmt ihnen vorher ausdrücklich zu.
• Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
• Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Köln, sofern der Auftraggeber Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand in Deutschland hat.

Stand: 28. Oktober 2026