Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO).

Auftragsverarbeiter: Rocktician e. K., Gernotstr. 10, 69502 Hemsbach, vertreten durch den Inhaber Yannick Fetsch (Betreiberin der Plattform PlanState)

Verantwortlicher: Der Kunde, der die PlanState-Plattform nutzt

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der PlanState HR-Management-Plattform.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages über die Nutzung der PlanState-Plattform. Nach Beendigung des Vertrages werden die Daten gemäß § 10 dieses AVV behandelt.

Die Verarbeitung dient folgenden Zwecken:

• Personalmanagement und HR-Administration
• Zeiterfassung und Anwesenheitsmanagement
• Abwesenheitsverwaltung und Urlaubsplanung
• Schichtplanung und Dienstplangestaltung
• Mitarbeiterkommunikation und Benachrichtigungen
• Berichtswesen und Analysen für den Verantwortlichen
• Standortverifizierung bei der Zeiterfassung: einmalige Erhebung der Geräteposition beim Ein-/Ausstempeln sowie serverseitiger Abgleich der beim Einstempeln erfassten Position mit dem hinterlegten Arbeitsort, sofern der Verantwortliche die Standortprüfung aktiviert hat

Die Verarbeitung betrifft folgende Kategorien betroffener Personen:

• Beschäftigte des Verantwortlichen (Mitarbeiter, Angestellte, Aushilfen)
• Bewerber (im Rahmen des Recruiting-Moduls)
• Administratoren und Führungskräfte des Verantwortlichen

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung mindestens 30 Tage im Voraus.

Die aktuelle Liste aller genehmigten Unterauftragsverarbeiter ist diesem AVV als Anlage 1 beigefügt.

Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt.

Der Verantwortliche kann einer beabsichtigten Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen nach Zugang der Information widersprechen. Im Fall des Widerspruchs bemühen sich die Parteien einvernehmlich um eine Lösung; kommt eine solche nicht zustande, ist der Verantwortliche berechtigt, den betroffenen Teil der Leistung außerordentlich zu kündigen.

Der Verantwortliche hat das Recht:

• Weisungen zur Datenverarbeitung zu erteilen und anzupassen
• Informationen über die Umsetzung der Datenschutzanforderungen zu verlangen
• Kontrollen durchzuführen oder durch einen Prüfer durchführen zu lassen
• Einsicht in die Liste der Unterauftragsverarbeiter zu nehmen

Der Verantwortliche bleibt für die Einhaltung der datenschutzrechtlichen Vorschriften gegenüber den betroffenen Personen verantwortlich.

Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:

Nach Beendigung der Auftragsverarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.

Auf Wunsch des Verantwortlichen werden die Daten vor der Löschung in einem gängigen, maschinenlesbaren Format zurückgegeben (Datenportabilität).

Die Löschung wird dem Verantwortlichen schriftlich bestätigt.

11.1 Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) bekannt geworden ist, die im Rahmen der Auftragsverarbeitung verarbeitete Daten betrifft (Art. 33 Abs. 2 DSGVO).

11.2 Die Meldung enthält, soweit die Informationen bereits vorliegen: eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen der Verletzung, die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung sowie eine Kontaktstelle für weitere Informationen. Noch nicht verfügbare Informationen werden unverzüglich nachgereicht.

11.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Melde- und Benachrichtigungspflichten aus Art. 33 und 34 DSGVO und dokumentiert alle Verletzungen einschließlich ihrer Umstände, Auswirkungen und der ergriffenen Abhilfemaßnahmen.

12.1 Die Verarbeitung personenbezogener Daten findet grundsätzlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt.

12.2 Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (z. B. EU-US Data Privacy Framework) oder geeigneter Garantien wie der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), und nur im Rahmen der nach § 7 genehmigten Unterauftragsverarbeiter. Der jeweils eingesetzte Übermittlungsmechanismus ist in der Liste der Unterauftragsverarbeiter (Anlage 1 zu diesem AVV) ausgewiesen.

12.3 Im Übrigen gilt die Weisungsgebundenheit nach § 6.1 auch für Übermittlungen in Drittländer.

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den allgemeinen gesetzlichen Bestimmungen.

Der Auftragsverarbeiter haftet für Schäden, die durch eine nicht dem Art. 28 DSGVO entsprechende Verarbeitung oder durch ein Handeln außerhalb oder entgegen den rechtmäßigen Weisungen des Verantwortlichen verursacht wurden.

Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters (69502 Hemsbach).

Diese Liste wird regelmäßig aktualisiert. Änderungen werden Kunden mindestens 30 Tage vor Inkrafttreten mitgeteilt (§ 7 dieses AVV).

Alle Unterauftragsverarbeiter sind vertraglich zur Einhaltung der DSGVO-Anforderungen verpflichtet. Mit jedem Unterauftragsverarbeiter wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

Für Unterauftragsverarbeiter mit Sitz außerhalb der EU wurden Standardvertragsklauseln (SCCs) bzw. ein Angemessenheitsbeschluss (EU-US Data Privacy Framework) vereinbart, um ein angemessenes Datenschutzniveau zu gewährleisten.

Stand der Liste: August 2026