Rechtliches
Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO für die Nutzung der Software „MW Timeflow"
Stand: 30. Mai 2026
Hinweis zum Vertragsschluss
Dieser Auftragsverarbeitungsvertrag wird im Rahmen der Registrierung Ihrer Organisation für die Software „MW Timeflow" durch Aktivierung des Hinweises „Ich akzeptiere die AGB und den Auftragsverarbeitungsvertrag" elektronisch wirksam (sog. Click-Wrap-Vereinbarung). Eine zusätzliche handschriftliche Unterschrift ist nicht erforderlich. Die Akzeptanz wird mit Zeitstempel im Kundenkonto dokumentiert.
Vertragsparteien
Diese Vereinbarung zur Auftragsverarbeitung („AVV") ist Bestandteil des SaaS-Nutzungsvertrags und wird geschlossen zwischen
Verantwortlicher
Die im Rahmen der Registrierung im Kundenkonto hinterlegte Organisation, vertreten durch die als Administrator/in hinterlegte Person. Die konkreten Angaben (Name der Praxis bzw. Firma, Anschrift und vertretungsberechtigte Person) ergeben sich aus den im Kundenkonto gespeicherten Stammdaten und können dort jederzeit eingesehen und geändert werden.
Auftragsverarbeiter
MW Timeflow
Inhaber: Fabian Martens (Einzelunternehmen)
Daumstraße 182, 13599 Berlin
E-Mail: kontakt@mw-timeflow.de
– gemeinsam „Vertragsparteien" –
Präambel
Die Vertragsparteien haben einen SaaS-Nutzungsvertrag über die Bereitstellung einer webbasierten Software zur digitalen Zeiterfassung geschlossen.
Im Rahmen dieses Vertrags verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.
Zur Konkretisierung der sich hieraus ergebenden Rechte und Pflichten gemäß der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) schließen die Vertragsparteien die nachfolgende Vereinbarung.
§ 1 Anwendungsbereich
§ 2 Konkretisierung des Auftragsinhalts
Gegenstand und Dauer der Auftragsverarbeitung. Gegenstand der Auftragsverarbeitung ist die Bereitstellung einer webbasierten Softwarelösung zur digitalen Zeiterfassung von Mitarbeitenden des Verantwortlichen. Die Verarbeitung erfolgt für die Dauer des SaaS-Nutzungsvertrags. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters erfolgt nicht.
Arten personenbezogener Daten. Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung durch den Auftragsverarbeiter:
- Personenstammdaten (z. B. Vor- und Nachname, Geburtsdatum)
- Kontaktdaten (z. B. E-Mail-Adresse)
- Beschäftigungsdaten (z. B. Vertragsart, Wochenstunden, Urlaubsanspruch, Abteilung)
- Authentifizierungsdaten (Passwörter und PIN-Codes werden ausschließlich als kryptografischer Hash mit bcrypt gespeichert, niemals im Klartext)
- Arbeitszeitdaten (Beginn, Ende, Pausen, Dauer der Arbeitszeit)
- Schichtdaten (geplante Schichten, Schichtwechsel)
- Abwesenheitsdaten (Urlaub, Krankmeldung, sonstige Abwesenheiten)
- Technische Protokolldaten (z. B. IP-Adresse, Zeitstempel)
Kategorien betroffener Personen. Der Kreis der betroffenen Personen umfasst:
- Mitarbeitende des Verantwortlichen
- Administratoren und Leader-Rollen des Verantwortlichen
- vertretungsberechtigte Personen des Verantwortlichen
§ 3 Verpflichtungen und Weisungsbefugnis
§ 4 Beachtung zwingender gesetzlicher Pflichten
Fabian Martens, kontakt@mw-timeflow.de
§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle
§ 6 Mitteilung bei Datenschutzverletzungen
§ 7 Löschung und Rückgabe von Daten
§ 8 Subunternehmen
§ 9 Datenschutzkontrolle
§ 10 Haftung und Schadenersatz
§ 11 Schlussbestimmungen
Anhang „Weisungsbefugnis" zu § 3
Die zur Erteilung und Entgegennahme von Weisungen berechtigten Personen sowie die Kommunikationswege werden wie folgt festgelegt:
Verantwortlicher (weisungsberechtigt)
Weisungsberechtigt ist die im Kundenkonto als Administrator/in hinterlegte Hauptansprechperson des Verantwortlichen. Änderungen oder die Benennung weiterer weisungsberechtigter Personen erfolgen formlos in Textform an kontakt@mw-timeflow.de.
Auftragsverarbeiter (Empfang von Weisungen)
Name: Fabian Martens
E-Mail: kontakt@mw-timeflow.de
Kommunikationsweg für Weisungen: Weisungen erfolgen in Textform (z. B. per E-Mail). Sie werden vom Auftragsverarbeiter dokumentiert.
Anhang „Technisch-organisatorische Maßnahmen (TOM)"
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
| Maßnahme | Umsetzung |
|---|---|
| Pseudonymisierung und Verschlüsselung | Sämtliche Verbindungen werden ausschließlich verschlüsselt übertragen (TLS). Passwörter und PIN-Codes werden ausschließlich als kryptografischer Hash (bcrypt) gespeichert, niemals im Klartext. |
| Vertraulichkeit (Zugriffskontrolle) | Zugriff nur für berechtigte Nutzer über Login-System; rollen- und kontextbasierte Zugriffskontrolle; Zugriff auf Datenbanken nur über sichere, authentifizierte Verbindungen. |
| Integrität | Schutz vor unbefugter Veränderung durch Zugriffsbeschränkungen, Validierung von Eingaben und Protokollierung relevanter Systemereignisse. |
| Verfügbarkeit | Bereitstellung über das europäische Edge-Netzwerk eines etablierten Hosting-Anbieters; Schutz vor Ausfällen durch redundante Infrastruktur. |
| Wiederherstellbarkeit | Automatische Backups der Datenbank-Infrastruktur (Point-in-Time-Recovery bis zu 30 Tage); dokumentierte Wiederherstellungsverfahren. |
| Authentifizierung | Login mit Benutzername und Passwort; optionaler PIN für Terminal-Stempeln; sichere Hashing-Verfahren (bcrypt). |
| Weitergabekontrolle | Datenübertragung ausschließlich verschlüsselt (TLS); keine Weitergabe an Dritte ohne Berechtigung. |
| Speicherkontrolle | Datenbanken sind nicht öffentlich zugänglich; Zugriff ausschließlich über gesicherte, authentifizierte Verbindungen. |
| Physische Sicherheit | Persistente Datenspeicherung in einem Rechenzentrum in Frankfurt am Main (Deutschland). Auslieferung erfolgt über das europäische Edge-Netzwerk des Hosting-Anbieters. |
| Protokollierung | Logging sicherheitsrelevanter Zugriffe und Systemereignisse zur Nachvollziehbarkeit; Speicherdauer maximal 30 Tage. |
| Systemkonfiguration | Sichere Standardkonfigurationen; regelmäßige Sicherheits-Updates der eingesetzten Software-Komponenten. |
| IT-Organisation | Zugriff auf produktive Systeme nur für berechtigte Personen; dokumentierte interne Zugriffsbeschränkungen. |
| Datenminimierung | Erhebung und Speicherung nur derjenigen personenbezogenen Daten, die für die Zeiterfassung tatsächlich erforderlich sind. |
| Datenqualität | Validierung und Plausibilitätsprüfung von Eingaben innerhalb der Anwendung. |
| Löschkonzept | Löschung der Auftragsdaten nach Vertragsende gemäß § 7 dieser Vereinbarung; Umsetzung von Löschanforderungen im Rahmen der Funktionen der Anwendung. |
| Rechenschaftspflicht | Dokumentation der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO sowie der eingesetzten Schutzmaßnahmen. |
| Datenübertragbarkeit | Export der Daten in maschinenlesbaren Formaten (z. B. PDF, CSV) über Funktionen innerhalb der Anwendung möglich. |
| Unterstützung des Verantwortlichen | Unterstützung bei Betroffenenrechten (Art. 15 – 21 DSGVO) sowie bei Datenschutzvorfällen im Rahmen des § 6 dieser Vereinbarung. |
Anhang „Subunternehmen" zu § 8
Der Auftragsverarbeiter setzt zur Bereitstellung der Software folgende Subunternehmen ein:
Vercel, Inc.
440 N Barranca Ave #4133, Covina, CA 91723, USA
Hosting und Auslieferung der Anwendung (europäisches Edge-Netzwerk, primär Frankfurt am Main)
Datenverarbeitung primär in der EU (Edge-Netzwerk Frankfurt am Main). Eine Übermittlung an die US-Muttergesellschaft kann im Einzelfall nicht ausgeschlossen werden; sie erfolgt auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln).
Neon, Inc.
USA (Hauptsitz)
Verwaltete PostgreSQL-Datenbank-Infrastruktur
Persistente Datenspeicherung ausschließlich im Rechenzentrum Frankfurt am Main (Deutschland). Eine Übermittlung an die US-Muttergesellschaft kann im Einzelfall nicht ausgeschlossen werden; sie erfolgt auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln).
Stripe Payments Europe, Limited / Stripe, Inc.
1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (operativer Vertragspartner für den EWR) / Hauptsitz USA
Abwicklung kostenpflichtiger Abonnements (Checkout, Subscription-Management, Rechnungsstellung)
Verarbeitung primär durch Stripe Payments Europe, Limited (Irland, EWR). Eine Übermittlung an die US-Muttergesellschaft Stripe, Inc. kann im Einzelfall nicht ausgeschlossen werden; sie erfolgt auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln).
Resend, Inc.
USA
Versand transaktionaler E-Mails (z. B. Onboarding-Mails, Benachrichtigungen)
Übermittlung von Zustelldaten (E-Mail-Adresse, Name, Nachrichteninhalt) in die USA. Die Übermittlung erfolgt auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (Standardvertragsklauseln sowie — soweit aktiv zertifiziert — EU-US Data Privacy Framework).