Auftragsverarbeitungsvertrag (DSGVO Art. 28) — TimeViking

Zuletzt aktualisiert: 6. Oktober 2026

Dieser Vertrag ist Teil der Allgemeinen Geschäftsbedingungen. Der Kunde akzeptiert ihn bei der Registrierung (zusammen mit den Bedingungen und der Datenschutzerklärung) und erneut beim Bezahlen.

1. Rollen

• Verantwortlicher: der Kunde (das Unternehmen, das die Umgebung nutzt).
• Auftragsverarbeiter: Software Services BV, Meldertsestraat 8/4008, 3545 Halen, Belgien, BE 0895.317.225.

2. Gegenstand, Dauer, Art und Zweck

3. Kategorien betroffener Personen und Daten

• Betroffene Personen: Mitarbeiter und Beschäftigte des Kunden, die Stunden erfassen oder verwalten; Kontaktpersonen von Kunden des Kunden (Kundennamen bei Projekten).
• Daten: Name, E-Mail, Login; Stunden (Datum, Zeit, Dauer, Beschreibung, Projekt, Aufgabe); Genehmigungen; die Verknüpfung mit einem Odoo-Mitarbeiter (ID, Name, geschäftliche E-Mail); Arbeitszeitmodell und Feiertage; Urlaubsdaten (siehe unten); Einstellungen; Auditprotokoll (wer was geändert hat).
• Urlaubsdaten: die Urlaubsart (z. B. Jahresurlaub, Krankheit), der Zeitraum (Beginn und Ende, ganze oder halbe Tage oder Stunden), der Status des Antrags (beantragt, genehmigt, abgelehnt, zurückgezogen), wer entschieden hat, eine eigene Notiz des Antragstellers oder Entscheiders und der Saldo (Zuteilung, genommen, verbleibend) pro Art.
• Krankheit ist ein Gesundheitsdatum (DSGVO Art. 9). Die Art „Krankheit“ oder eine ähnliche Art zeigt, dass jemand krank ist. Unsere Maßnahmen: Den Grund, den der Mitarbeiter in Odoo einträgt (name/private_name), lesen und speichern wir nicht; Kollegen sehen im Teamkalender und im Dashboard nur „abwesend“, ohne die Art; die Art sehen nur der Mitarbeiter selbst, sein Vorgesetzter und der Administrator; ein Administrator kann eine Art als „sensibel“ markieren, dann sehen Kollegen sie nie; das Auditprotokoll speichert bei Urlaub nur Status, Entscheider, Daten und Art, nie die Notiz oder einen Grund für Ablehnung oder Rückzug. Die Rechtsgrundlage nach Art. 9 Abs. 2 (z. B. Art. 9 Abs. 2 Buchst. b, Arbeitsrecht) beurteilt der Kunde selbst und nimmt die Verarbeitung in sein Verzeichnis auf.
• Der Kunde sorgt dafür, dass keine medizinischen Details in der freien Notiz oder der Beschreibung stehen.
• Andere besondere Kategorien (DSGVO Art. 9) sind nicht vorgesehen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

1. verarbeitet nur auf dokumentierte Weisung des Kunden; die Weisungen sind dieser Vertrag, die Bedingungen und die Einstellungen, die der Kunde in der App wählt (z. B. die Anbindung an Odoo);
2. stellt sicher, dass die Personen, die die Daten verarbeiten, zur Vertraulichkeit verpflichtet sind;
3. trifft geeignete technische und organisatorische Maßnahmen (Anlage A);
4. zieht Unterauftragsverarbeiter nur gemäß §6 hinzu;
5. unterstützt den Kunden bei Anfragen betroffener Personen (Export in der App, Löschen, Berichtigen);
6. unterstützt bei der Sicherheit, bei Meldungen von Verletzungen und bei Datenschutz-Folgenabschätzungen, soweit angemessen;
7. löscht die Daten oder gibt sie nach dem Ende zurück (§9);
8. stellt die Informationen zum Nachweis der Einhaltung bereit und ermöglicht ein Audit (§8).

5. Datenschutzverletzungen

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und, wenn möglich, innerhalb von 48 Stunden nach Entdeckung an die Administratoren der Umgebung des Kunden, mit dem, was bekannt ist (Art, Betroffene, Folgen, Maßnahmen). Die Meldung an die Aufsichtsbehörde und an die Betroffenen übernimmt der Kunde.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für diese Unterauftragsverarbeiter:

Einladungen und Mitteilungen versenden wir mit unserem eigenen Mailserver auf unseren Servern; es ist keine gesonderte Partei beteiligt.

Nicht in der Liste, da sie die Stundendaten nicht verarbeiten: Mollie (nur Zahlungsdaten des Kunden selbst, für die wir Verantwortlicher sind), Google reCAPTCHA (nur auf der Registrierungsseite und im Kontaktformular). Das Odoo des Kunden ist kein Unterauftragsverarbeiter: Der Kunde verbindet es selbst.

Einen neuen Unterauftragsverarbeiter kündigen wir 30 Tage im Voraus an; der Kunde kann mit Begründung widersprechen und, wenn wir keine Lösung finden, kündigen.

7. Übermittlung außerhalb des EWR

Keine, es sei denn, der Kunde verbindet selbst ein Odoo außerhalb des EWR (dann erteilt der Kunde diese Weisung).

8. Audit

Auf Anfrage gibt der Auftragsverarbeiter einmal pro Jahr eine Beschreibung der Maßnahmen und der Ergebnisse der letzten Sicherheitsüberprüfung. Ein Audit vor Ort nach Vereinbarung, auf Kosten des Kunden, unter Geheimhaltung.

9. Ende

Urlaubsdaten (Urlaub, Tagesaufteilung und Saldo) folgen derselben Aufbewahrungsfrist wie die Stunden: Sie bleiben in der Umgebung, solange diese besteht, sind im Export enthalten und werden bei der Löschung mit gelöscht.

Nach dem Ende des Abonnements ist die Umgebung 60 Tage lang schreibgeschützt; der Kunde kann alles exportieren. Danach löscht der Auftragsverarbeiter die Datenbank der Umgebung und die Logins, und nach 35 Tagen auch die Backups (die Frist der Backup-Rotation). Der Kunde kann früher löschen lassen (in der App).

10. Sprache und Rangfolge

Dieser Vertrag besteht auf Niederländisch, Englisch, Französisch, Deutsch, Spanisch und Italienisch. Bei Abweichungen zwischen den Fassungen gilt der niederländische Text. Bei einem Widerspruch zu den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

Anlage A — Maßnahmen

• Eine eigene Datenbank und ein eigener Datenbankbenutzer pro Kunde; die Anwendung kann die Datenbank eines anderen Kunden nicht öffnen.
• Passwörter gehasht (scrypt/pbkdf2); Odoo-Schlüssel (eines Bot-Benutzers oder persönlich) und das Geheimnis des Moduls verschlüsselt (Fernet), nie in Protokollen.
• Zwei-Faktor-Authentifizierung verfügbar und pro Umgebung erzwingbar; unsere eigene Verwaltung immer mit Zwei-Faktor-Authentifizierung.
• Rechte pro Rolle und pro Unternehmen; ein Auditprotokoll der Änderungen (bei Urlaub ohne Notiz oder Grund).
• Urlaub: Kollegen sehen nur „abwesend“; die Art sehen nur der Mitarbeiter, sein Vorgesetzter und der Administrator; den Grund aus Odoo lesen wir nicht.
• Der Bot in Odoo erhält für Urlaub die Rolle Time Off: Officer, mit der er in Odoo bereits den gesamten Urlaub der Unternehmen sehen kann; der Kunde weist diese Rolle selbst zu und kann sie weglassen (Urlaub funktioniert dann nicht über die App).
• Verschlüsselte Verbindungen (TLS); Anfragen zwischen dem Modul und uns signiert (HMAC, Zeit und Nonce).
• Limits für Anmeldung, Registrierung und die API; Sperre nach wiederholten Fehlern.
• Tägliche Backups pro Datenbank, 35 Tage aufbewahrt, Wiederherstellung getestet.
• Eine Sicherheitsüberprüfung vor dem Start.