Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Version: 2026-11
Stand: Oktober 2026

Vertragsparteien

Verantwortlicher ("Auftraggeber") ist das Unternehmen, die Organisation oder die Person, für die in stoppmichnicht ein Team angelegt wurde. Vertreten wird der Auftraggeber beim Abschluss durch die Person, die das Team anlegt (Inhaber des Teams).

Auftragsverarbeiter ("Auftragnehmer") ist Carsten Fregin, spielgestalt, Pracherdamm 106, 25436 Tornesch, Deutschland, E-Mail: stoppmichnicht@spielgestalt.de.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus der Nutzung von stoppmichnicht nach den Nutzungsbedingungen ("Hauptvertrag").

1. Gegenstand und Dauer

1.1 Der Auftragnehmer betreibt die Zeiterfassung stoppmichnicht (Web-App und Apps) und verarbeitet dabei im Auftrag des Auftraggebers personenbezogene Daten, die der Auftraggeber und seine Mitglieder im Team erfassen.

1.2 Der Vertrag gilt, solange der Auftragnehmer für das Team personenbezogene Daten verarbeitet, also ab dem Anlegen des Teams bis zur vollständigen Löschung oder Rückgabe der Daten nach Ziffer 10.

2. Art, Zweck, Daten und betroffene Personen

2.1 Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen für berechtigte Mitglieder, Auswerten (Summen, Berichte), Verändern, Übermitteln an die Mitglieder des Teams, Erzeugen von Rechnungen und Rechnungs-PDFs, Versenden von Rechnungen an Empfänger, die der Auftraggeber angibt, Speichern hochgeladener Belege, Exportieren auf Anforderung des Auftraggebers bzw. betroffener Mitglieder, Löschen.

2.2 Zweck: Bereitstellung der Funktionen von stoppmichnicht für das Team: Erfassung von Projekt- und Arbeitszeiten, Verwaltung von Kunden, Projekten und Aufgaben, Zusammenarbeit im Team mit Rollen, Freigabe von Stundenzetteln, Erfassung von Ausgaben mit Belegen, Erstellung von Rechnungen und E-Rechnungen.

2.3 Kategorien personenbezogener Daten:

• Mitgliedsdaten: Name, E-Mail-Adresse, Nutzer-ID, Rolle, Beitrittszeitpunkt, Projektzuordnungen; nach dem Ausscheiden Name, E-Mail-Adresse, letzte Rolle sowie Beitritts- und Austrittszeitpunkt,
• Einladungen: E-Mail-Adresse der eingeladenen Person, vorgesehene Rolle, einladende Person, Zeitpunkt,
• Zeitdaten: Datum, Dauer, Startzeitpunkt laufender Timer, Projekt, Aufgabe, Notizen, Abrechenbarkeit, Zeitpunkte von Anlage und Änderung,
• Freigabedaten: Status einer Woche (eingereicht, freigegeben, zurückgegeben), Summe der Stunden, Zeitpunkte, Name der entscheidenden Person und deren Kommentar,
• Ausgaben: Datum, Projekt, Kategorie, Betrag bzw. Menge, Notizen, Abrechenbarkeit, Zeitpunkte von Anlage und Änderung sowie hochgeladene Belege (Bilder oder PDF-Dateien) mit Dateinamen,
• Kundendaten: Name, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Anschrift, Umsatzsteuer-Identifikationsnummer, Käuferreferenz, Notizen,
• Abrechnungsdaten: Stundensätze, Rechnungsdaten des Auftraggebers (Firmenname, Anschrift, Kontakt, Umsatzsteuer-Identifikationsnummer bzw. Steuernummer, Bankverbindung), Rechnungen mit Positionen (auch aus Ausgaben), Beträgen und Status, Rechnungs-PDFs,
• technische Daten: Protokolldaten mit Nutzer-ID, IP-Adresse und Zeitpunkt, soweit sie Inhalten des Teams zugeordnet sind.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber gibt solche Daten nicht ein, insbesondere nicht in Notizen.

2.4 Kategorien betroffener Personen: Mitglieder und ehemalige Mitglieder des Teams (z.B. Beschäftigte, freie Mitarbeiter, Inhaber), eingeladene Personen, Ansprechpartner und sonstige Kontaktpersonen der Kunden des Auftraggebers sowie Personen, die in Notizen genannt werden oder auf hochgeladenen Belegen erscheinen (z.B. Aussteller einer Quittung).

3. Weisungen

3.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

3.2 Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen und Einstellungen des Dienstes durch den Auftraggeber und seine berechtigten Mitglieder (z.B. Anlegen, Ändern, Löschen von Daten, Einladen von Personen, Vergabe von Rollen). Weitere Weisungen erteilt der Auftraggeber in Textform (E-Mail an stoppmichnicht@spielgestalt.de) durch den Inhaber oder einen Admin des Teams.

3.3 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4. Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Derzeit hat ausschließlich Carsten Fregin administrativen Zugriff. Der Auftragnehmer greift auf Inhalte eines Teams nur zu, soweit das für Betrieb, Fehlerbehebung, Support auf Anfrage des Auftraggebers oder die Erfüllung gesetzlicher Pflichten erforderlich ist.

5. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

6.2 Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragnehmer den Inhaber des Teams mindestens 30 Tage vorher per E-Mail. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag für das Team vor Wirksamwerden der Änderung kündigen. In Notfällen (z.B. Ausfall oder Sicherheitsvorfall eines Dienstleisters) kann die Information ausnahmsweise unverzüglich nachträglich erfolgen.

6.3 Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die sich aus diesem Vertrag ergeben, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Bei Anbietern wie Google geschieht dies durch deren Standardbedingungen zur Auftragsverarbeitung.

6.4 Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Leistungen, die der Auftragnehmer als reine Nebenleistung in Anspruch nimmt (z.B. Telekommunikation, E-Mail-Versand seiner eigenen Korrespondenz), sowie Dienste, die Mitglieder selbst wählen und für die der jeweilige Anbieter eigenständig verantwortlich ist (z.B. die Anmeldung mit Google oder Apple).

7. Unterstützung bei Rechten betroffener Personen

7.1 Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO (Art. 12 bis 22) zu beantworten. Viele Anträge kann der Auftraggeber selbst im Dienst erfüllen: Inhaber, Admins und Manager können Kunden, Projekte und Zeiten einsehen, berichtigen und löschen bzw. archivieren; Inhaber und Admins können die Daten des Teams exportieren, jedes Mitglied die Daten seines Kontos und die selbst erfassten Zeiten.

7.2 Was der Auftraggeber nicht selbst erledigen kann (z.B. vollständige Auskunft oder die Löschung des Kontos eines Mitglieds), erledigt der Auftragnehmer auf Weisung in Textform innerhalb angemessener Frist.

7.3 Wendet sich eine betroffene Person mit einem Anliegen zu Daten des Teams direkt an den Auftragnehmer, leitet er es unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, soweit er nicht dazu angewiesen wird.

8. Unterstützung bei weiteren Pflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung, vorherige Konsultation), insbesondere durch Informationen über den Dienst, die eingesetzten Unterauftragsverarbeiter und die Maßnahmen nach Anlage 1.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten des Teams unverzüglich, nach Möglichkeit innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an die Adresse des Inhabers des Teams.

9.2 Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Was noch nicht bekannt ist, liefert der Auftragnehmer schrittweise nach.

9.3 Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Auftraggeber.

10. Löschung und Rückgabe nach Ende der Verarbeitung

10.1 Vor dem Ende kann der Auftraggeber die Daten des Teams jederzeit selbst exportieren (Team-Export in der Teamverwaltung). Nach Ende der Leistungen für das Team (Kündigung oder Löschung des Teams) gibt der Auftragnehmer dem Auftraggeber auf Wunsch die Daten des Teams in einem gängigen, maschinenlesbaren Format (z.B. JSON oder CSV) zusammen mit den Rechnungs-PDFs heraus. Der Wunsch ist innerhalb von 30 Tagen nach Ende in Textform zu äußern; bis dahin werden die Daten nicht gelöscht, es sei denn, der Auftraggeber verlangt die sofortige Löschung.

10.2 Danach löscht der Auftragnehmer alle personenbezogenen Daten des Teams in seinen Systemen, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Aus Sicherungs- und Protokollsystemen der Unterauftragsverarbeiter werden die Daten nach deren Fristen entfernt (Protokolle nach 30 Tagen, tägliche Sicherungen der Datenbank nach 7 Tagen). Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

10.3 Daten, die der Auftraggeber während der Laufzeit im Dienst löscht, werden sofort aus der Datenbank entfernt.

11. Nachweise und Überprüfungen

11.1 Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

11.2 Der Auftraggeber kann Überprüfungen einschließlich Inspektionen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Sie sind mit angemessener Frist (in der Regel 30 Tage) anzukündigen, während der üblichen Geschäftszeiten durchzuführen, dürfen den Betrieb nicht unverhältnismäßig stören und finden höchstens einmal jährlich statt, es sei denn, es gibt einen konkreten Anlass (z.B. eine Verletzung nach Ziffer 9). Jede Partei trägt ihre eigenen Kosten.

11.3 Für die Rechenzentren und Dienste der Unterauftragsverarbeiter kann der Nachweis durch deren aktuelle Zertifizierungen und Prüfberichte erbracht werden (bei Google z.B. ISO/IEC 27001, 27017, 27018 und SOC-2-Berichte); Inspektionen vor Ort richten sich dort nach den Bedingungen des jeweiligen Anbieters.

12. Ort der Verarbeitung und Drittlandübermittlung

Die Daten des Teams werden in Rechenzentren in der EU gespeichert (Anlage 2). Übermittlungen in Drittländer finden nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln, wie in Anlage 2 beschrieben.

13. Haftung

Für die Haftung im Außenverhältnis gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nichts anderes bestimmt.

14. Abschluss, Laufzeit und Änderungen

14.1 Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Inhaber legt das Team an, nachdem der Dienst auf diesen Vertrag hingewiesen und ihn verlinkt hat. Mit dem Anlegen kommt der Vertrag in der dann aktuellen Version zustande. Der Auftragnehmer speichert beim Team als Nachweis die Version (derzeit "2026-11"), den Zeitpunkt des Abschlusses und die Nutzer-ID der Person, die das Team angelegt hat. Die jeweils aktuelle Version ist unter stoppmichnicht.de/avv abrufbar; frühere Versionen stellt der Auftragnehmer auf Anfrage zur Verfügung.

14.2 Die Laufzeit richtet sich nach der Nutzung des Dienstes durch das Team (Ziffer 1.2). Pflichten, die ihrer Natur nach über das Ende hinaus wirken (z.B. Vertraulichkeit, Löschung), bestehen fort.

14.3 Neue Versionen dieses Vertrags teilt der Auftragnehmer dem Inhaber des Teams mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail mit. Sie werden wirksam, wenn der Auftraggeber zustimmt. Änderungen, die allein der Umsetzung gesetzlicher Vorgaben dienen oder das Schutzniveau nicht verringern, werden auch wirksam, wenn der Auftraggeber nicht innerhalb dieser Frist widerspricht; darauf weist die Mitteilung hin. Widerspricht der Auftraggeber, gilt die bisherige Version fort, und beide Parteien können den Hauptvertrag für das Team kündigen.

14.4 Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Der Dienst läuft ausschließlich in Rechenzentren von Google (Anlage 2) mit dortiger physischer Sicherung (Zutrittskontrollen, Überwachung, Sicherheitspersonal). Der Auftragnehmer betreibt keine eigenen Server.
• Zugangskontrolle: Anmeldung der Nutzer über Firebase Authentication (Passwort als Hash gespeichert, alternativ Anmeldung mit Google oder Apple). Einladungen lassen sich nur mit bestätigter E-Mail-Adresse sehen und annehmen. Administrativer Zugang zu Firebase und Google Cloud nur für den Auftragnehmer über ein Google-Konto mit Zwei-Faktor-Authentifizierung.
• Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (Inhaber, Admin, Manager, Mitglied), das in den Firestore-Sicherheitsregeln auf dem Server durchgesetzt wird: Mitglieder lesen nur Projekte, denen sie zugeordnet sind, und nur eigene Zeiten; Stundensätze, Rechnungsdaten und Rechnungen nur Inhaber und Admins; Mitgliedschaften, Rollen und Rechnungen schreiben nur Serverfunktionen nach Prüfung der Rolle. Rechnungs-PDFs und Belege in Cloud Storage sind für Clients nicht direkt zugänglich; Belege lesen nur die Person, die sie hochgeladen hat, sowie Manager, Admins und der Inhaber über eine Serverfunktion. Firebase App Check wird für Datenbank und alle Serverfunktionen erzwungen (reCAPTCHA Enterprise, App Attest, DeviceCheck, Play Integrity), damit nur die echten Apps und die echte Web-App zugreifen.
• Trennungskontrolle: Logische Trennung der Daten je Team (eigener Datenbankpfad je Team); die Sicherheitsregeln prüfen bei jedem Zugriff die Mitgliedschaft im jeweiligen Team. Getrennte Projekte für Test (Staging) und Betrieb (Production); Tests nur mit Testdaten.
• Pseudonymisierung: Datensätze verweisen auf Personen über zufällige Nutzer-IDs; Protokolle enthalten keine Inhalte von Zeiteinträgen, Kunden oder Rechnungen.

Integrität

• Weitergabekontrolle: Alle Verbindungen zwischen Apps, Web-App, Website und Servern sind per TLS verschlüsselt (HTTPS). Google verschlüsselt gespeicherte Daten standardmäßig (Verschlüsselung ruhender Daten).
• Eingabekontrolle: Datensätze tragen Zeitpunkte von Anlage und Änderung, Zeiteinträge und Rechnungen die erstellende Person. Abgerechnete, eingereichte und freigegebene Zeiteinträge sowie abgerechnete Ausgaben sind gegen Änderung gesperrt; den Status der Freigabe setzen nur Serverfunktionen. Administrative Zugriffe auf Google Cloud werden in den Audit-Protokollen von Google erfasst.

Verfügbarkeit und Belastbarkeit

• Speicherung der Datenbank in der Multi-Region eur3 mit synchroner Replikation über mehrere Rechenzentren in der EU; Serverfunktionen und Dateien in der Region Frankfurt mit der Redundanz von Google Cloud.
• Absicherung gegen Überlastung und Missbrauch durch App Check und die Skalierung der Google-Dienste.
• Tägliche Sicherung der Datenbank (Cloud Firestore Backups in derselben Region), 7 Tage aufbewahrt, für die Wiederherstellung nach Datenverlust; darüber hinaus Wiederherstellung nach Ausfällen im Rahmen der Verfügbarkeitszusagen von Google.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests der Sicherheitsregeln; jede Änderung der Regeln wird vor der Auslieferung getestet.
• Änderungen werden zuerst in der Testumgebung (Staging) geprüft, dann in den Betrieb übernommen.
• Regelmäßige Aktualisierung von Abhängigkeiten und Überprüfung dieser Maßnahmen, mindestens jährlich und bei wesentlichen Änderungen des Dienstes.
• Datenminimierung: keine Werbung, kein Tracking, keine Analyse-Software im Dienst.

Anlage 2: Unterauftragsverarbeiter

Zur Startseite