Auftragsverarbeitungsvertrag (AVV)
Stand: 31. Mai 2026
Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden ("Verantwortlicher") und ShiftPriority ("Auftragsverarbeiter") und erfüllt die Anforderungen des Art. 28 DSGVO für die Verarbeitung personenbezogener Daten von betroffenen Personen in der EU im Auftrag des Verantwortlichen.
1. Begriffsbestimmungen
- Verantwortlicher — das Kundenunternehmen, das ShiftPriority nutzt.
- Auftragsverarbeiter — ShiftPriority als Betreiber des Dienstes.
- Personenbezogene Daten — Daten zu identifizierten oder identifizierbaren natürlichen Personen, die in den Dienst eingegeben werden, einschließlich Mitarbeiternamen, Kontaktdaten, Rollen und Schichtpläne.
- Verarbeitung — jeder Vorgang im Zusammenhang mit personenbezogenen Daten, einschließlich Speicherung, Abruf, Nutzung und Löschung.
2. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung des ShiftPriority-Dienstes. Die Verarbeitung beginnt mit dem Abonnement und endet mit der Kontolöschung; die Daten werden binnen 30 Tagen danach gelöscht.
3. Art der verarbeiteten Daten
| Datenkategorie | Beispiele |
|---|---|
| Identitätsdaten | Name, Rolle, Beschäftigungsart |
| Kontaktdaten | E-Mail-Adresse, Telefonnummer |
| Planungsdaten | Schichtzeiten, Verfügbarkeit, Urlaubsanträge |
| Finanzdaten | Stundensatz, Trinkgeldauszahlungen, Monatsstunden |
| Authentifizierungsdaten | Gehashtes Passwort, Session-Token |
4. Pflichten des Auftragsverarbeiters
ShiftPriority verpflichtet sich:
- personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
- sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
- geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu ergreifen;
- den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen;
- alle personenbezogenen Daten nach Vertragsende zu löschen oder zurückzugeben;
- Datenschutzverletzungen unverzüglich, spätestens binnen 72 Stunden nach Bekanntwerden, zu melden;
- alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung zu stellen.
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt seine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter. Über geplante Änderungen wird mindestens 14 Tage im Voraus informiert.
| Auftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Supabase, Inc. | Datenbankhosting, Authentifizierung, Edge Computing | EU (Frankfurt, Deutschland) |
| Stripe, Inc. | Zahlungsabwicklung und Rechnungsstellung | USA (SCC gem. Art. 46 DSGVO) |
| Resend, Inc. | Transaktionaler E-Mail-Versand | USA (SCC gem. Art. 46 DSGVO) |
6. Drittlandübermittlungen
Soweit personenbezogene Daten in Drittländer außerhalb des EWR übermittelt werden, stellt ShiftPriority geeignete Garantien durch Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO sicher.
7. Technische und organisatorische Maßnahmen (TOM)
- Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256).
- Row-Level Security auf allen Datenbanktabellen — vollständige Datenisolation je Organisation.
- JWT-basierte Authentifizierung und rollenbasierte Zugriffskontrolle.
- Automatisierte Backups mit Point-in-Time-Recovery.
- 72-Stunden-Meldeprozess bei Datenpannen.
8. Kontrollrechte
Der Verantwortliche kann die Einhaltung dieses AVV nach 14-tägiger schriftlicher Ankündigung prüfen, höchstens einmal jährlich. ShiftPriority wird uneingeschränkt kooperieren.
9. Inkrafttreten
Dieser AVV ist automatisch Bestandteil der Nutzungsbedingungen. Für ein gegengezeichnetes Exemplar wenden Sie sich an [email protected].