Zum Inhalt springen
irot Time Menü

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 23. September 2026

Dieser Vertrag gilt für den Cloud-Betrieb von irot Time. Wer irot Time im eigenen Haus betreibt, braucht ihn nicht: der Anbieter erhält dann keine personenbezogenen Daten.

Er wird zwischen dem Kunden als Verantwortlichem und

Jasmann Werk 52, Inhaber Muhammad Saeed
Elberfelder Straße 72, 42553 Velbert
E-Mail: time@irot.com
als Auftragsverarbeiter

mit dem Vertrag über den Cloud-Betrieb geschlossen (§ 9 der AGB) und gilt in elektronischer Form (Art. 28 Abs. 9 DSGVO). Auf Wunsch unterzeichnen die Parteien ihn zusätzlich.

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software irot Time als eigene Instanz mit eigener Datenbank. Dabei verarbeitet er personenbezogene Daten im Auftrag.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Frist für Export und Löschung nach Ziffer 9.

2. Art, Zweck, Betroffene, Daten

  • Zweck: Erfassung und Auswertung von Arbeitszeiten, Abwesenheiten und Schichten; Vorbereitung der Lohnabrechnung; Nachweise nach § 16 Abs. 2 ArbZG und § 17 MiLoG.
  • Art der Verarbeitung: Erheben, Speichern, Berechnen, Anzeigen, Übermitteln an vom Verantwortlichen bestimmte Empfänger (etwa seine Steuerkanzlei), Exportieren, Sichern, Löschen.
  • Betroffene: Beschäftigte des Verantwortlichen; Nutzer der Verwaltung; vom Verantwortlichen eingeladene Personen seiner Steuerkanzlei.
  • Datenarten: Name, Personalnummer, dienstliche E-Mail-Adresse, Eintritt und Austritt, Abteilung, Vorgesetzte, Sollzeiten, Stempelzeiten, Pausen, Arbeitstage, Zuschläge, Urlaub und sonstige Abwesenheiten, Korrekturanträge, Schichtplan und Schichttausche, Projektzeiten, Terminal-PIN und Passwörter (nur als Hash), Kartennummer, Foto (freiwillig), Änderungsprotokoll; IP-Adresse und Browserkennung nur in den Fällen und Fristen nach Anlage 1.
  • Mit dem Modul Lohn & DATEV zusätzlich: Geburtsdatum, Anschrift, Steuer-ID, Steuerklasse, Kinderfreibeträge, Sozialversicherungsnummer, Krankenkasse, Beitragsgruppen, Bankverbindung, Vergütung.
  • Besondere Kategorien (Art. 9 DSGVO): Zeiten der Arbeitsunfähigkeit (Beginn, Ende, Zusammenhang für die Entgeltfortzahlung) – keine Diagnosen; mit dem Modul Lohn & DATEV das Kirchensteuermerkmal (Konfession).
  • Mitarbeiter aus Lohnabrechnungen übernehmen: Lohnabrechnungen – auch eingescannte oder fotografierte – liest der Browser des Verantwortlichen selbst (bei Scans mit einer Texterkennung, die im Browser läuft); das Dokument erreicht den Auftragsverarbeiter nicht. Nur Dokumente, die der Browser nicht lesen kann, werden – ausschließlich mit eingeschaltetem KI-Modul und mit Einwilligung für jeden einzelnen Vorgang – zur Erkennung an den Unterauftragsverarbeiter nach Anlage 2 übermittelt. Das Dokument kann dabei alle Datenarten einer Lohnabrechnung enthalten, auch das Kirchensteuermerkmal. Übernommen werden nur Personalnummer, Name, Geburts- und Eintrittsdatum, Wochenstunden, Urlaubsanspruch, Abteilung, Kostenstelle sowie Berater- und Mandantennummer. Liest der Browser die Abrechnung selbst, kann der Verantwortliche zusätzlich die Lohn-Stammdaten (Anschrift, Steuer-ID, Steuerklasse, Kinderfreibeträge, Kirchensteuermerkmal, Sozialversicherungsnummer, Krankenkasse, Beitragsgruppen, Bankverbindung, Vergütung) in die Stammdaten seiner Mitarbeiter übernehmen; das setzt das Modul Lohn & DATEV voraus und geschieht nur auf ausdrückliche Auswahl. An den Unterauftragsverarbeiter gehen diese Angaben nie: über den KI-Weg kommen nur die oben genannten Felder zurück. Der Auftragsverarbeiter speichert das Dokument nicht; für die Aufbewahrung beim Unterauftragsverarbeiter gelten dessen Bedingungen (Anlage 2).

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich dazu verpflichtet; in diesem Fall teilt er das vorher mit, soweit das Gesetz es nicht verbietet. Die Bedienung der Software durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Auf eine Kundeninstanz greift der Auftragsverarbeiter nur zu, wenn der Verantwortliche es für Unterstützung oder Fehlerbehebung wünscht, oder zur Abwehr einer Störung.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen stehen in Anlage 1. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag kündigen.

(3) Die Daten werden in Deutschland verarbeitet. Eine Übermittlung in ein Land außerhalb der EU und des EWR findet nur mit dem KI-Modul statt, wenn der Verantwortliche es einschaltet (Anlage 2).

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 15 bis 22 DSGVO) – irot Time enthält dafür die Auskunft nach Art. 15 per Klick, den vollständigen Datenexport und eine Prüfung der Aufbewahrungsfristen –, bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen (Art. 33, 34 DSGVO) und bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO), soweit ihm Informationen vorliegen.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nachdem er davon Kenntnis erlangt hat, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie bekannt sind.

9. Ende der Verarbeitung

Nach Ende des Hauptvertrags kann der Verantwortliche binnen 30 Tagen alle Daten exportieren (Einstellungen → Datenexport; auf Wunsch stellt der Auftragsverarbeiter den Export bereit). Danach löscht der Auftragsverarbeiter die Instanz; Sicherungen werden mit Ablauf ihrer Aufbewahrung gelöscht (Anlage 1). Die Löschung bestätigt er auf Wunsch in Textform.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten nach Art. 28 DSGVO nötigen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Anmeldung mit angemessener Frist, in der Regel durch Vorlage von Unterlagen.

11. Haftung

Es gilt Art. 82 DSGVO.

Anlage 1 – Technische und organisatorische Maßnahmen

Vertraulichkeit

  • Server im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Deutschland), ISO 27001-zertifiziert; Zutritt und Zugang dort nach deren Maßnahmen.
  • Serverzugang nur per SSH-Schlüssel, keine Anmeldung mit Passwort.
  • Jeder Kunde erhält eine eigene Anwendung mit eigener Datenbank; keine gemeinsame Datenbank mehrerer Kunden.
  • Die Datenbank ist nur im internen Container-Netz erreichbar, ohne Port nach außen.
  • Verbindungen nur verschlüsselt (HTTPS mit TLS, HSTS); E-Mails der Anwendung nur über eine verschlüsselte Verbindung (STARTTLS verpflichtend).
  • Passwörter und PINs nur als Hash; Hashes verlassen die Schnittstelle nie.
  • Rollenmodell: Mitarbeiter sehen nur eigene Daten; Zeiten der Arbeitsunfähigkeit nur Führung und Verwaltung; Zugang der Steuerkanzlei nur zu freigegebenen Monaten.
  • Stempelterminals nur nach Kopplung durch die Verwaltung, jederzeit sperrbar; die PIN dient nur dem Stempeln, persönliche Daten zeigt das Terminal erst nach dem persönlichen Passwort.
  • Anmeldungen sind gegen Durchprobieren begrenzt. Dafür zählt der Server Anfragen und Fehlversuche je IP-Adresse ausschließlich im Arbeitsspeicher; ein Eintrag wird spätestens 20 Minuten nach der letzten Anfrage von dort entfernt und nirgends abgelegt.
  • IP-Adressen speichert die Anwendung nur als Nachweis an zwei Stellen: bei der Bestätigung eines Dokuments (am Handy, am Terminal oder bei der Einstellung) und im Änderungsprotokoll für Zugriffe und Änderungen über den Zugang der Steuerkanzlei und im Bereich Datenschutz; im Änderungsprotokoll zusätzlich die Browserkennung. Nach 90 Tagen kürzt die Anwendung die IP-Adresse automatisch auf ihr Netz (IPv4 auf /24, IPv6 auf /48) und löscht die Browserkennung; der Nachweis selbst bleibt. Zugriffsprotokolle mit IP-Adressen schreibt der Webserver für die Anwendung nicht.

Integrität

  • Änderungen an Stempelzeiten nur mit Begründung; das Änderungsprotokoll wird nur fortgeschrieben, nicht verändert.
  • Plausibilitätsprüfung bei Buchungen; Mitarbeiter können nicht zurückdatieren.

Verfügbarkeit und Belastbarkeit

  • Tägliche Sicherung jeder Instanz (Datenbank, Fotos, Konfiguration), verschlüsselt mit age; der private Schlüssel liegt nicht auf dem Server. Aufbewahrung 30 Tage; ein fehlgeschlagener Lauf wird als Fehlschlag protokolliert.
  • Automatischer Neustart der Dienste.

Verfahren zur regelmäßigen Überprüfung

  • Automatisierte Tests, auch der Zugriffsregeln, bei jeder Änderung; Prüfung vor jeder Auslieferung.

Anlage 2 – Unterauftragsverarbeiter

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Betrieb der Server (Rechenzentrum Falkenstein). Ort der Verarbeitung: Deutschland.
  • Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin – Versand der E-Mails der Anwendung (Kontomails wie „Passwort vergessen“, Benachrichtigungen, auf Weisung des Verantwortlichen Lohndateien an seine Steuerkanzlei). Ort der Verarbeitung: Deutschland.
  • Anthropic Ireland, Limited – nur mit gebuchtem und vom Verantwortlichen eingeschaltetem KI-Modul: Beantwortung von Anfragen an die KI-Funktionen (Claude), einschließlich der Erkennung von Lohnabrechnungen, die der Browser nicht selbst lesen kann (nur mit Einwilligung je Vorgang, Abschnitt 2). Die Verarbeitung kann auch in den USA stattfinden; Grundlage ist das Data Processing Addendum von Anthropic mit den EU-Standardvertragsklauseln.

Zum KI-Modul: Es bleibt aus, bis die Verwaltung des Verantwortlichen es ausdrücklich einschaltet; Zeitpunkt und Konto werden gespeichert. An die KI gehen nur die für die jeweilige Frage nötigen Daten, standardmäßig mit Personalnummern statt Namen. Gesundheitsdaten (Krankheit und ihre Gründe) werden nie übermittelt.

Keine Unterauftragsverarbeiter sind Zahlungsdienstleister: sie verarbeiten nur Vertrags- und Zahlungsdaten des Kunden, keine Daten seiner Mitarbeiter. Die Wetter- und Feiertagsanzeige der Stempeluhr fragt öffentliche Dienste nur mit Postleitzahl oder Ort des Betriebs ab, ohne personenbezogene Daten.