gemäß Art. 28 DSGVO · Fassung 2026-08-01
[Firma des Kunden, Rechtsform, Anschrift, vertreten durch]
— nachfolgend Verantwortlicher —
[Bilexo Software – vollständiger Firmenname, Rechtsform, Anschrift, vertreten durch]
E-Mail: info@bilexo.de
— nachfolgend Auftragsverarbeiter —
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software TimeStamp zur Zeiterfassung, Dienstplanung und Urlaubsverwaltung als webbasierte Anwendung bereit. Im Rahmen dieser Leistung verarbeitet er personenbezogene Daten der Beschäftigten des Verantwortlichen.
(2) Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.
(3) Der Vertrag beginnt mit der Zustimmung und läuft auf unbestimmte Zeit. Er endet automatisch mit der Beendigung des zugrunde liegenden Nutzungsvertrags und kann von beiden Seiten mit einer Frist von [Frist] zum Monatsende gekündigt werden.
(4) Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung allein verantwortlich. Insbesondere obliegt ihm die Prüfung, ob die Erfassung von Arbeitszeiten und Abwesenheiten seiner Beschäftigten auf einer tragfähigen Rechtsgrundlage beruht und ob eine Beteiligung des Betriebsrats erforderlich ist.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag samt Anlagen stellt die vollständige Weisung bei Vertragsschluss dar.
(2) Spätere Weisungen bedürfen der Textform (E-Mail genügt) und werden dokumentiert.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.
(4) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Der Auftragsverarbeiter wertet die Daten insbesondere nicht zu Analyse-, Werbe- oder Trainingszwecken aus und gibt sie nicht an Dritte weiter, soweit dies nicht in Anlage 3 ausgewiesen oder gesetzlich vorgeschrieben ist.
(1) Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung betrauten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.
(3) Ein Zugriff auf Kundendaten erfolgt nur, soweit dies zur Leistungserbringung, zur Fehlerbehebung oder auf Weisung erforderlich ist.
(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO.
(2) Die Maßnahmen dürfen an den technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird.
(1) Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten sind in Anlage 3 aufgeführt.
(2) Ein Wechsel oder eine Ergänzung wird mindestens vier Wochen vorher in Textform mitgeteilt. Der Verantwortliche kann innerhalb von zwei Wochen widersprechen; in diesem Fall darf der Auftragsverarbeiter mit einer Frist von einem Monat kündigen.
(3) Unterauftragsverarbeiter werden auf ein diesem Vertrag entsprechendes Schutzniveau verpflichtet.
(1) Der Auftragsverarbeiter unterstützt im Rahmen des Zumutbaren bei Betroffenenanfragen (Art. 12–23), der Meldung von Datenschutzverletzungen (Art. 33, 34), der Datenschutz-Folgenabschätzung (Art. 35) und der vorherigen Konsultation (Art. 36 DSGVO).
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird die Anfrage an den Verantwortlichen weitergeleitet und nicht selbst beantwortet.
(3) Auskunft und Berichtigung kann der Verantwortliche jederzeit selbst über die Administrationsoberfläche vornehmen; für den Datenexport siehe § 8.
(4) Löschung einzelner Beschäftigter — derzeitiger Stand. Die Administrationsoberfläche bietet keine vollständige Löschung an. Über die Oberfläche entfernbar sind nur Stammdaten; Anmeldekonto, Zeiterfassungsdaten und Betriebszugehörigkeit bleiben bestehen. Der Zugang eines Beschäftigten lässt sich jederzeit selbst entziehen („Zugänge").
Verlangt eine betroffene Person die Löschung oder scheidet sie aus, führt der Auftragsverarbeiter die Löschung auf Weisung in Textform innerhalb von fünf Werktagen durch.
Ein Löschanspruch nach Art. 17 DSGVO besteht für Arbeitszeitaufzeichnungen regelmäßig nicht, solange die Aufbewahrungspflicht aus § 16 Abs. 2 ArbZG (zwei Jahre) oder steuer- und sozialversicherungsrechtliche Fristen laufen (Art. 17 Abs. 3 lit. b DSGVO). Zu sperren ist der Zugang, nicht der Datenbestand.
(1) Jede bekannt gewordene Verletzung des Schutzes personenbezogener Daten wird unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung in Textform gemeldet.
(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene Gegenmaßnahmen.
(3) Die Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO trifft den Verantwortlichen.
(1) Nach Vertragsende werden sämtliche personenbezogenen Daten gelöscht oder nach Wahl des Verantwortlichen zurückgegeben.
(2) Die Rückgabe kann innerhalb von 30 Tagen nach Vertragsende verlangt werden, in einem gängigen maschinenlesbaren Format (CSV oder JSON).
(3) Danach werden die Daten innerhalb weiterer 30 Tage vollständig gelöscht. Zu diesem Zeitpunkt läuft auch die technische Wiederherstellungsfunktion (sieben Tage, siehe Anlage 2) aus.
(4) Aufbewahrungspflichten des Verantwortlichen bleiben unberührt. Arbeitszeitaufzeichnungen sind nach § 16 Abs. 2 ArbZG zwei Jahre aufzubewahren; lohnsteuer- und sozialversicherungsrechtliche Fristen können länger sein. Der Verantwortliche hat die Daten vor der Löschung selbst zu sichern — die Software stellt dafür einen CSV-Export bereit.
(5) Die Löschung wird auf Verlangen in Textform bestätigt.
(1) Die Einhaltung wird auf Anfrage nachgewiesen, insbesondere durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen.
(2) Vor-Ort-Prüfungen sind nach Ankündigung von mindestens zwei Wochen zu üblichen Geschäftszeiten zulässig und auf das Erforderliche zu beschränken.
(3) Für über die Auskunft hinausgehende Prüfungen kann eine angemessene Vergütung verlangt werden.
Die Haftung richtet sich nach Art. 82 DSGVO sowie dem zugrunde liegenden Nutzungsvertrag. Eine Beschränkung im Außenverhältnis gegenüber betroffenen Personen ist ausgeschlossen.
(1) Änderungen bedürfen der Textform.
(2) Bei Widersprüchen zum Nutzungsvertrag gehen die datenschutzbezogenen Regelungen dieses Vertrags vor.
(3) Die Unwirksamkeit einer Bestimmung lässt die übrigen unberührt.
(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, [Ort].
Erfassung und Verwaltung von Arbeitszeiten, Dienstplänen, Abwesenheiten und Urlaubsansprüchen der Beschäftigten des Verantwortlichen.
Erheben, Speichern, Ordnen, Auslesen, Verwenden, Berichtigen, Übermitteln an den Verantwortlichen (Export), Löschen.
| Kategorie | Konkrete Daten |
|---|---|
| Identifikation und Kontakt | E-Mail-Adresse, Rufname, interne Benutzerkennung |
| Anmeldedaten | Passwort (nur als kryptografischer Hash, siehe Anlage 2) |
| Organisationsdaten | Abteilung, Rolle, vertraglich vereinbarte Monatsstunden |
| Arbeitszeitdaten | Beginn und Ende jeder Stempelung, Dauer, freiwilliger Kommentar |
| Dienstplandaten | Zugewiesene Schichten mit Datum und Uhrzeit, Tausch-Anfragen mit Begründung |
| Abwesenheitsdaten | Urlaubsanträge mit Zeitraum und Status, Anspruch, übertragene Resttage |
| Buchungsdaten | Manuelle Stundengutschriften und -abzüge mit Begründung |
Die Anwendung kann Gesundheitsdaten verarbeiten. Trägt der Verantwortliche eine krankheitsbedingte Abwesenheit ein, entsteht ein Datensatz, aus dem die Arbeitsunfähigkeit einer bestimmten Person an einem bestimmten Tag hervorgeht.
Der Verantwortliche hat sicherzustellen, dass eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt — im Beschäftigungskontext regelmäßig lit. b i. V. m. § 26 Abs. 3 BDSG — und den Zugriff in seinem Betrieb entsprechend zu beschränken.
Sichtbarkeit im Team: Der Dienstplan ist für alle Beschäftigten lesbar; eine als Krankheit benannte Schicht ist damit auch für Kolleginnen und Kollegen sichtbar. Wer das vermeiden will, benennt die Schichtart neutral — dann entfällt allerdings die automatische Stundengutschrift. Diese Abwägung trifft der Verantwortliche.
Ist „GPS-Standort beim Einstempeln" aktiviert, ermittelt das Endgerät beim Einstempeln seine Position. Gespeichert wird ausschließlich der Ortsname (z. B. „Dortmund") — keine Koordinaten, keine Adresse, keine Wegstrecke, keine Ortung zwischen den Stempelungen.
Zur Umwandlung der Koordinaten in einen Ortsnamen werden Breiten- und Längengrad sowie die IP-Adresse des Endgeräts an einen Dritten übermittelt (Nominatim der OpenStreetMap Foundation, siehe Anlage 3). Die Anfrage erfolgt unmittelbar aus dem Browser des Beschäftigten.
Die Aktivierung ist eine Entscheidung des Verantwortlichen, bedarf einer eigenen Rechtsgrundlage und ist regelmäßig mitbestimmungspflichtig. Als Alternative ohne Übermittlung an Dritte steht „manuelle Ortseingabe" zur Verfügung.
Stand 01.08.2026, am laufenden System überprüft.
Zutrittskontrolle. Es werden keine eigenen Server betrieben; die Verarbeitung erfolgt in den nach ISO/IEC 27001 zertifizierten Rechenzentren von Google (Anlage 3).
Zugangskontrolle. Zugang nur über persönliches Konto mit E-Mail und Passwort. Passwörter werden niemals im Klartext gespeichert, sondern ausschließlich als scrypt-Hash; ein Auslesen ist auch für den Auftragsverarbeiter nicht möglich.
Zugriffskontrolle. Serverseitig durch Firestore Security Rules erzwungen — nicht durch die Oberfläche. Auch bei direktem Zugriff über die Programmierschnittstelle gilt:
Mandantentrennung. Die Daten jedes Kunden liegen in einem serverseitig abgeschotteten Bereich; die Zugehörigkeit wird bei jedem Zugriff geprüft. Ein Zugriff auf Daten eines anderen Kunden ist ausgeschlossen — auch dann, wenn dort dieselbe E-Mail-Adresse vorkommt. Nachgewiesen durch einen automatisierten Test gegen die real ausgelieferten Regeln (42 Prüffälle, zuletzt vollständig bestanden).
Übertragungskontrolle. Sämtliche Verbindungen ausschließlich über TLS; ein unverschlüsselter Abruf ist nicht möglich.
Verschlüsselung im Ruhezustand. Google-verwaltete Schlüssel, AES-256.
Eingabekontrolle. Manuelle Korrekturen erfordern eine Begründung und sind in der Oberfläche gekennzeichnet; nachgetragene Endzeiten werden automatisch als Korrektur vermerkt.
Speicherort: Firestore-Standort eur3 — Mehrfachregion
innerhalb der Europäischen Union (Belgien und Niederlande), georedundant
repliziert.
Wiederherstellbarkeit: Point-in-Time-Recovery aktiv, Zeitraum sieben Tage.
Offlinefähigkeit: Die Anwendung speichert im Browser des Endgeräts zwischen, damit bei unterbrochener Verbindung weitergestempelt werden kann.
| Unternehmen | Leistung | Ort | Gilt |
|---|---|---|---|
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Datenbank, Benutzerverwaltung, Auslieferung der Anwendung, Serverfunktionen | Europäische Union (eur3; Serverfunktionen europe-west1) |
immer |
| OpenStreetMap Foundation (Dienst „Nominatim"), Cambridge, Vereinigtes Königreich | Umwandlung von Koordinaten in einen Ortsnamen | Vereinigtes Königreich | nur bei aktivierter GPS-Funktion |
Zur Standortfunktion. Im Auslieferungszustand deaktiviert; dann werden an die OpenStreetMap Foundation keinerlei Daten übermittelt. Bei Aktivierung werden Breiten- und Längengrad sowie die IP-Adresse des Endgeräts übermittelt, unmittelbar aus dem Browser des Beschäftigten.
[Vor Aktivierung zu klären: Fortbestand eines Angemessenheitsbeschlusses für das Vereinigte Königreich; Zulässigkeit der Nominatim-Nutzung in einem kostenpflichtigen Produkt.]
Die Speicherung erfolgt innerhalb der EU. Ein Zugriff aus einem Drittland durch verbundene Unternehmen von Google zu Support- und Wartungszwecken ist gleichwohl nicht ausgeschlossen. [Nachweis des Google-Cloud-Datenverarbeitungszusatzes mit Standardvertragsklauseln nach Art. 46 DSGVO ist beizufügen.]
E-Mail-Benachrichtigungen finden für Kunden dieses Vertrags nicht statt. Die Anwendung enthält eine Benachrichtigungsfunktion über einen externen E-Mail-Dienst; diese ist für neue Kunden technisch deaktiviert und wird ausschließlich für den Eigenbetrieb des Auftragsverarbeiters genutzt. Es werden daher keine personenbezogenen Daten des Verantwortlichen an einen E-Mail-Dienstleister übermittelt.
Der Domain-Registrar stellt lediglich die Namensauflösung bereit und verarbeitet keine personenbezogenen Daten des Verantwortlichen; er ist daher kein Unterauftragsverarbeiter.