Vertrag zur Auftragsverarbeitung
Stand: 14. November 2026
nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und QuickPartner, Inhaber Sergio Özmen, Poststraße 33, 20354 Hamburg („Auftragnehmer“). Der Vertrag wird mit der Buchung von Quinn abgeschlossen.
1. Gegenstand und Dauer
Der Auftragnehmer betreibt für den Auftraggeber die Web-Anwendung Quinn (siehe AGB). Dabei verarbeitet er personenbezogene Daten im Auftrag. Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus bis zur vollständigen Löschung der Daten.
2. Art und Zweck der Verarbeitung
Speichern, Anzeigen, Auswerten, Sichern und Löschen von Daten, damit der Auftraggeber Quinn nutzen kann: Arbeitszeiterfassung, Urlaubs- und Krankmeldungen, Stundenzettel, Lager und Bestellungen, je nach Buchung auch KI-Assistent und Büro-Funktionen.
3. Arten der Daten und Betroffene
| Betroffene | Daten |
|---|---|
| Beschäftigte des Auftraggebers | Name, Benutzername, Personalnummer, Beschäftigungsart, Stundenlohn, Arbeitszeiten und Einsatzorte, Urlaub und Abwesenheiten, Unterschriften, Geräte-Anmeldungen (PIN, Face ID), Protokolle der Nutzung |
| Beschäftigte (besondere Kategorie, Art. 9 DSGVO) | Krankmeldungen und Fotos von Arbeitsunfähigkeitsbescheinigungen (verschlüsselt gespeichert) |
| Inhaber und Büro | Name, E-Mail-Adresse, Zugangsdaten, Einstellungen |
| Kunden, Lieferanten und Ansprechpartner des Auftraggebers | Namen, Kontaktdaten, Objekte und Adressen, Bestellungen; bei gebuchtem Büro-Assistenten auch Inhalte von E-Mails und Belegen |
4. Pflichten des Auftragnehmers
- Er verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; die Nutzung von Quinn und dieser Vertrag sind solche Weisungen. Hält er eine Weisung für rechtswidrig, teilt er das unverzüglich mit.
- Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
- Er unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–22 DSGVO), bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32–36 DSGVO).
- Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden.
- Er weist die Einhaltung dieses Vertrags auf Anfrage nach und ermöglicht Überprüfungen nach rechtzeitiger Ankündigung.
5. Unterauftragsverarbeiter
Der Auftraggeber stimmt den folgenden Unterauftragsverarbeitern zu. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens vier Wochen vorher an; der Auftraggeber kann aus wichtigem Grund widersprechen und den Vertrag dann kündigen.
| Unternehmen | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server und Speicher für Betrieb und Datensicherung | Deutschland |
| Anthropic (nur mit gebuchtem KI-Assistenten) | Erzeugt Antworten des KI-Assistenten aus den Chat-Inhalten | USA; Standardvertragsklauseln der EU-Kommission |
6. Rechte und Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Beschäftigten. Er kann Weisungen in Textform erteilen.
7. Löschung und Rückgabe
Nach Vertragsende stellt der Auftragnehmer die Daten auf Wunsch bis zu 30 Tage lang zum Export bereit und löscht sie danach, einschließlich aller Kopien. Datensicherungen werden spätestens 30 Tage danach überschrieben. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt.
Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Zutritt: Server in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum der Hetzner Online GmbH in Nürnberg mit Zutrittskontrolle und Videoüberwachung.
- Zugang: Server-Zugriff nur per SSH-Schlüssel, Firewall, automatische Sperre bei wiederholten Fehlversuchen; App-Anmeldung mit Passwort, Face ID oder gerätegebundener PIN, Sperre nach Fehlversuchen.
- Zugriff: Rollen und Rechte je Person (z. B. sehen Mitarbeiter nur eigene Daten, Objektleiter nur Zeiten, keine Löhne); Krankmeldungen sehen nur der Mitarbeiter selbst und Admins.
- Trennung: Eigene Datenbank und eigener Systembenutzer je Auftraggeber.
- Weitergabe: Übertragung ausschließlich verschlüsselt (HTTPS/TLS, HSTS).
- Eingabe: Änderungen an Arbeitszeiten und Lager stehen mit Person und Zeitpunkt in unveränderbaren Protokollen.
- Verfügbarkeit: Tägliche verschlüsselte Datensicherung (AES-256) an einem zweiten Ort, mit automatischer Wiederherstellungsprobe; Überwachung der Dienste alle 5 Minuten mit Alarm.
- Verschlüsselung: Dokumente wie Arbeitsunfähigkeitsbescheinigungen werden verschlüsselt gespeichert.
- Überprüfung: Automatische Tests vor jedem Update; regelmäßige Prüfung und Aktualisierung der Maßnahmen.