Vertrag zur Auftrags­verarbeitung

• § 1 Gegenstand und Dauer
• § 2 Art, Zweck, Daten, Betroffene
• § 3 Weisungen des Kunden
• § 4 Pflichten des Anbieters
• § 5 Subunternehmer
• § 6 Ort der Verarbeitung
• § 7 Kontrollrechte
• § 8 Löschung und Rückgabe
• § 9 Schlussbestimmungen
• Anlage 1: Technische und organisatorische Maßnahmen
• Anlage 2: Subunternehmer

§ 1 Gegenstand und Dauer

(1) Der Anbieter stellt dem Kunden die Dienstplan-Software wePep als Online-Dienst zur Verfügung. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag regelt die Rechte und Pflichten beider Parteien für diese Auftragsverarbeitung nach Art. 28 DSGVO.

(2) Der Vertrag beginnt mit der Eröffnung des wePep-Kontos und gilt für die Dauer der Nutzung einschließlich eines kostenlosen Testzeitraums. Er endet mit dem Ende des Nutzungsvertrags, spätestens mit der vollständigen Löschung der Daten nach § 8.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Zweck: Erstellen, Verteilen und Verwalten von Dienstplänen, einschließlich Schichttausch, Abwesenheiten, Urlaubsanträgen und Krankmeldungen, sowie Benachrichtigung der Mitarbeitenden des Kunden.

(2) Art der Verarbeitung: Erheben, Speichern, Anzeigen, Übermitteln an die Mitarbeitenden des Kunden (Web und Mobil-App), Auswerten zu Planungszwecken, Löschen.

(3) Arten personenbezogener Daten:

• Stammdaten der Mitarbeitenden: Name, E-Mail-Adresse, Telefonnummer, Rolle, Abteilung, Beschäftigungsart.
• Planungsdaten: vereinbarte Wochenstunden, Verfügbarkeiten, Schichten, geplante Stunden.
• Abwesenheiten: Urlaub, sonstige Abwesenheiten, Krankmeldungen (Zeitraum, ohne Diagnose).
• Nutzungsdaten des Kontos: Anmeldedaten, Geräte-Token für Push-Benachrichtigungen, Zeitpunkte von Änderungen.

(4) Angaben zu Krankmeldungen sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Der Anbieter verarbeitet sie ausschließlich als Abwesenheitszeitraum; eine Diagnose wird nicht erfasst. Der Kunde stellt sicher, dass für diese Verarbeitung eine Rechtsgrundlage besteht, insbesondere § 26 BDSG in Verbindung mit Art. 9 Abs. 2 lit. b DSGVO.

(5) Kategorien betroffener Personen: Mitarbeitende des Kunden einschließlich Aushilfen und Auszubildenden sowie die Nutzerinnen und Nutzer, die der Kunde als Planende im Konto anlegt.

§ 3 Weisungen des Kunden

(1) Der Anbieter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach den dokumentierten Weisungen des Kunden. Weisungen erteilt der Kunde in erster Linie durch die Nutzung der Software und ihrer Einstellungen; darüber hinausgehende Weisungen erfolgen in Textform.

(2) Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(3) Der Anbieter verarbeitet die Daten nicht für eigene Zwecke. Ausgenommen sind Verarbeitungen, zu denen er gesetzlich verpflichtet ist; in diesem Fall informiert er den Kunden vorab, soweit das Gesetz dies zulässt.

§ 4 Pflichten des Anbieters

(1) Vertraulichkeit. Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit und belehrt sie über die datenschutzrechtlichen Pflichten. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

(2) Technische und organisatorische Maßnahmen. Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie mit dem Stand der Technik weiter. Er darf Maßnahmen ändern, sofern das Schutzniveau nicht unterschritten wird.

(3) Unterstützung bei Betroffenenrechten. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er das Anliegen an den Kunden weiter. Er unterstützt den Kunden mit angemessenen Mitteln dabei, Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit zu beantworten, insbesondere durch die Export- und Löschfunktionen der Software.

(4) Datenschutz-Folgenabschätzung. Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die dieser für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde benötigt.

(5) Verletzungen des Schutzes personenbezogener Daten. Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich nach Bekanntwerden, so dass der Kunde seine Meldefrist von 72 Stunden nach Art. 33 DSGVO einhalten kann. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.

(6) Nachweis. Der Anbieter weist dem Kunden auf Anfrage die Einhaltung der Pflichten aus diesem Vertrag nach, insbesondere durch die Beschreibung der Maßnahmen in Anlage 1 und durch Auskünfte in Textform.

(7) Ansprechpartner. Ansprechpartner für Datenschutzfragen beim Anbieter ist Florian Winge, erreichbar unter florian@winge-it-solutions.de.

§ 5 Subunternehmer

(1) Der Anbieter setzt für die Verarbeitung der Daten des Kunden keine weiteren Auftragsverarbeiter (Subunternehmer) ein. Anlage 2 gibt den aktuellen Stand wieder.

(2) Will der Anbieter künftig einen Subunternehmer einsetzen, informiert er den Kunden vorab in Textform über Firma, Sitz und Zweck des Einsatzes. Der Kunde kann innerhalb von vier Wochen nach Zugang der Information aus wichtigem Grund widersprechen. Widerspricht der Kunde nicht, gilt die Zustimmung als erteilt. Bei einem berechtigten Widerspruch, dem der Anbieter nicht abhelfen kann, darf jede Partei den Nutzungsvertrag zum Ende des laufenden Abrechnungszeitraums kündigen.

(3) Setzt der Anbieter einen Subunternehmer ein, verpflichtet er diesen vertraglich auf dieselben Datenschutzpflichten, die ihn nach diesem Vertrag treffen, und bleibt dem Kunden gegenüber für dessen Pflichterfüllung verantwortlich.

§ 6 Ort der Verarbeitung

(1) Die Verarbeitung findet ausschließlich auf Servern in Deutschland statt.

(2) Eine Übermittlung in ein Drittland außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt. Soll sich das ändern, bedarf es der vorherigen Zustimmung des Kunden und der Voraussetzungen nach Kapitel V DSGVO.

§ 7 Kontrollrechte des Kunden

(1) Der Kunde hat das Recht, sich von der Einhaltung dieses Vertrags zu überzeugen. Dazu erteilt der Anbieter auf Anfrage Auskunft und stellt vorhandene Nachweise in Textform zur Verfügung.

(2) Reicht dies im Einzelfall nicht aus, kann der Kunde nach Abstimmung des Termins mit angemessener Frist eine Prüfung beim Anbieter durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, in der Regel einmal jährlich sowie bei einem konkreten Anlass. Die Prüfung erfolgt während der üblichen Geschäftszeiten und ohne Störung des Betriebs.

§ 8 Löschung und Rückgabe nach Vertragsende

(1) Während der Laufzeit kann der Kunde seine Daten jederzeit über die Exportfunktionen der Software in einem gängigen, maschinenlesbaren Format abrufen.

(2) Nach Ende des Nutzungsvertrags löscht der Anbieter alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen, es sei denn, eine gesetzliche Aufbewahrungspflicht steht entgegen. Daten in Sicherungskopien werden mit dem turnusmäßigen Überschreiben der Sicherungen gelöscht, spätestens jedoch nach weiteren 30 Tagen; bis dahin werden sie nicht mehr aktiv verarbeitet.

(3) Auf Wunsch bestätigt der Anbieter die Löschung in Textform.

(4) Unabhängig vom Vertragsende werden abgeschlossene Vorgänge wie vergangene Schichttausch-Anfragen, Urlaubsanträge und Krankmeldungen nach einer festen Frist automatisch gelöscht. Die Frist ist in der Software dokumentiert.

§ 9 Schlussbestimmungen

(1) Dieser Vertrag geht bei Widersprüchen den übrigen Vereinbarungen zwischen den Parteien vor, soweit es die Verarbeitung personenbezogener Daten betrifft. Im Übrigen gelten die Nutzungsbedingungen von wePep.

(2) Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelungen des Nutzungsvertrags.

(3) Änderungen dieses Vertrags teilt der Anbieter dem Kunden mindestens vier Wochen vor Inkrafttreten in Textform mit. Widerspricht der Kunde nicht bis zum Inkrafttreten, gilt die geänderte Fassung. Der Anbieter weist in der Mitteilung auf diese Folge hin. Die jeweils aktuelle Fassung ist unter wepep.de/avv.html abrufbar.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, die der Anbieter für den Betrieb von wePep getroffen hat.

1. Vertraulichkeit

• Zutrittskontrolle: Die Server stehen in einem Rechenzentrum in Deutschland mit Zutrittsregelung, Überwachung und Protokollierung des Zutritts. Der Anbieter selbst hat keinen physischen Zugang zu den Servern.
• Zugangskontrolle: Zugriff auf Server nur über persönliche, schlüsselbasierte Anmeldung (SSH); kein Passwort-Login; Administrationszugriff nur für den Anbieter. Nutzerkonten in wePep sind durch individuelle Anmeldedaten geschützt; Passwörter werden ausschließlich als Hash gespeichert.
• Zugriffskontrolle: Rollen- und Rechtekonzept in der Software: Planende sehen nur ihren Betrieb, Mitarbeitende nur ihren eigenen Plan und die freigegebenen Teaminformationen. Daten verschiedener Kunden sind logisch voneinander getrennt (Mandantentrennung).
• Trennungskontrolle: Produktiv-, Test- und Entwicklungsumgebung sind getrennt; mit Produktivdaten wird nicht entwickelt oder getestet.
• Pseudonymisierung: Wo für den Betrieb ausreichend, etwa in Protokollen und Fehlerberichten, werden Daten ohne direkten Personenbezug verarbeitet.

2. Integrität

• Weitergabekontrolle: Jede Datenübertragung zwischen Browser oder App und Server ist mit TLS verschlüsselt. Daten werden auf den Servern verschlüsselt gespeichert.
• Eingabekontrolle: Änderungen an Plänen, Abwesenheiten und Stammdaten werden mit Zeitpunkt und verursachendem Nutzerkonto protokolliert und sind für den Kunden in der Software nachvollziehbar.

3. Verfügbarkeit und Belastbarkeit

• Sicherungen: Tägliche, verschlüsselte Sicherungen der Datenbank; Wiederherstellung wird regelmäßig geprüft.
• Betrieb: Überwachung der Systeme mit Benachrichtigung bei Störungen; zeitnahes Einspielen von Sicherheitsupdates; Firewall, so dass nur die für den Dienst nötigen Ports erreichbar sind.
• Wiederherstellbarkeit: Dokumentiertes Verfahren, um den Dienst aus den Sicherungen auf neuer Infrastruktur wiederherzustellen.

4. Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Die Maßnahmen werden mindestens jährlich und bei wesentlichen Änderungen des Dienstes überprüft.
• Vorfallmanagement: Dokumentiertes Verfahren zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen, siehe § 4 Abs. 5.
• Datenschutzfreundliche Voreinstellungen: Die Software erfasst nur die Daten, die für die Dienstplanung nötig sind; abgeschlossene Vorgänge werden nach einer festen Frist automatisch gelöscht.
• Auftragskontrolle: Verarbeitung ausschließlich nach Weisung des Kunden gemäß § 3; keine Subunternehmer.

Anlage 2: Subunternehmer

Der Anbieter setzt derzeit keine Subunternehmer für die Verarbeitung der Daten des Kunden ein. Änderungen werden nach § 5 Abs. 2 mitgeteilt und hier nachgetragen.

Version 1.0, Stand: Oktober 2026.