Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien

Verantwortlicher (Auftraggeber):
Poppinga Käseservice – Hermann J. Poppinga Inh. Sven Poppinga e.K.
Osterhusen 5, 26409 Wittmund
Telefon: +49 4467 9477-0
E-Mail: info@poppinga-kaeseservice.de
vertreten durch die Geschäftsführung.

Auftragsverarbeiter (Auftragnehmer):
Makemore GmbH
Robert-Perthel-Straße 81, 50739 Köln
vertreten durch die Geschäftsführung.
Datenschutzbeauftragter: Prof. Dr. Bernd Glatinczki, datenschutz@makemore.de

Die Makemore GmbH entwickelt, hostet und wartet die Mitarbeiter-Plattform im Auftrag des Verantwortlichen.

2. Rollenverteilung und Weisungsbindung

Hinsichtlich sämtlicher in diesem Vertrag genannten Beschäftigtendaten ist allein Poppinga Käseservice – Hermann J. Poppinga Inh. Sven Poppinga e.K. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Die Makemore GmbH handelt ausschließlich als Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO und verfolgt hinsichtlich dieser Daten keine eigenen Zwecke. Insbesondere gilt vertraglich und technisch:

• keine Nutzung der Daten für eigene Produkte, Analysen, Statistiken oder Werbung
• kein Training von KI-Modellen mit Daten des Verantwortlichen
• keine Zusammenführung mit Daten anderer Auftraggeber; strikte Mandantentrennung
• Zugriff von Beschäftigten des Auftragnehmers nur nach dem Need-to-know-Prinzip, protokolliert, ausschließlich zu Betrieb, Fehlerbehebung und Support
• keine Weitergabe an Dritte außer an die in Ziffer 7 genannten Unterauftragsverarbeiter

Weisungen erfolgen in Textform durch die vom Verantwortlichen benannten Personen (HR- und Admin-Rollen). Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf deren Ausführung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO). Überschreitet der Auftragnehmer den Rahmen dieses Vertrags, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

3. Gegenstand, Dauer und Beendigung

Gegenstand ist die Verarbeitung personenbezogener Beschäftigtendaten im Rahmen des Betriebs der internen Mitarbeiter-App. Die Laufzeit entspricht der Nutzungsdauer der Plattform; der Vertrag kann mit einer Frist von drei Monaten gekündigt werden, aus wichtigem Grund fristlos. Rechte und Pflichten zur Löschung und Herausgabe (Ziffer 11) überdauern das Vertragsende.

4. Art und Zweck der Verarbeitung (aktueller Funktionsumfang)

• Benutzerverwaltung, Authentifizierung und Rollenvergabe
• Urlaubs- und Abwesenheitsanträge inkl. Genehmigungsworkflow
• Digitale Personalakte und Stammdatenpflege
• Bereitstellung von Lohnabrechnungen (zugriffsgeschützt)
• Onboarding (inkl. Gruppen und individueller Checklisten), Schulungen, Sicherheitsunterweisungen, Technik-Wissen
• Interne Kommunikation: News, Chat, Umfragen, Ideenwerkstatt, Kummerkasten
• Meeting-Protokoll mit vorheriger, unterschriebener Einwilligung aller Teilnehmenden
• HR-Assistent (KI-gestützte Beantwortung interner Fragen, ohne serverseitige Speicherung des Chatverlaufs)
• Automatische Übersetzung der Oberfläche inkl. Erfassung fehlender Übersetzungen
• Benefits-Verwaltung, Mitarbeiterempfehlungen, Veranstaltungen
• Materialanforderung, Schadensmeldung, interner Flohmarkt
• Web-Push-Benachrichtigungen (VAPID) und transaktionale E-Mails

Nicht Gegenstand dieses Vertrags sind Zeiterfassung, Dienst- und Personalplanung, Krankmeldung, Reisekosten, Fuhrpark, Projekte/Tagesberichte, OCR-Scanner, Sprachnotizen, Performance-Bewertungen, Kontakte, Kundenideen, Fördercheck, Speiseplan, CO₂-Bilanz, Compliance-Modul, AR-Vorschau, Live-Hochrechnung, Gewinnspiele sowie eine KI-Frühwarnung. Diese Module sind deaktiviert; es werden hierfür keine Daten verarbeitet.

5. Betroffene Personen und Datenkategorien

Betroffen sind Beschäftigte, Auszubildende und Bewerber:innen im Empfehlungsprozess des Verantwortlichen. Datenkategorien: Stamm- und Kontaktdaten, Beschäftigungsdaten, Abwesenheiten, Entgeltdokumente, Schulungs- und Unterweisungsnachweise, Kommunikationsinhalte, Meeting-Protokolle und Einwilligungsunterschriften, freiwillig hochgeladene Bilder/Dateien, Push-Abonnements sowie Log- und Gerätedaten.

Besondere Kategorien (Art. 9 DSGVO): Eine Verarbeitung ist nicht vorgesehen und wird technisch minimiert. Da in freien Textfeldern (insbesondere Chat, Kummerkasten und HR-Assistent) gleichwohl Angaben etwa zu Gesundheit oder Schwerbehinderung eingegeben werden können, wird eine gelegentliche, nicht beabsichtigte Verarbeitung solcher Daten ausdrücklich mitgeregelt. Schutzmaßnahmen: Hinweis- und Warnmechanismus vor dem Absenden im HR-Assistenten, keine serverseitige Speicherung des HR-Chatverlaufs, Verschlüsselung, strenge Rollenbeschränkung, keine Auswertung solcher Inhalte und unverzügliche Löschung auf Verlangen. Rechtsgrundlage ist in diesen Fällen die ausdrückliche Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO) bzw. § 26 Abs. 3 BDSG.

6. Transparenzübersicht der eingesetzten Dienste

• TLS-/SSL-Verschlüsselung (TLS 1.2+): ja
• Datenbank, Auth & Storage in der EU (Frankfurt): ja
• Edge-Auslieferung / CDN (Cloudflare, EU-Standorte): ja
• KI-Verarbeitung über die Makemore KI in EU-Rechenzentren: ja
• Modelltraining mit Kundendaten: nein
• Automatisierte Einzelentscheidungen / Profiling (Art. 22): nein
• Web-Push per VAPID ohne Drittanbieter: ja
• Transaktionale E-Mails über 1&1 IONOS SE, Rechenzentrum Frankfurt: ja
• Analyse-/Tracking-Tools (GA4, Matomo, Hotjar, Clarity, PostHog, Plausible …): nein
• Drittanbieter-Crash-Tracking (z. B. Sentry): nein – eigenes Logging in der EU-Datenbank
• Werbe-Cookies, IDFA/GAID, Conversion-Tracking: nein
• Social-Plugins, Facebook Connect: nein
• Google Maps, reCAPTCHA, Google Web Fonts (extern): nein
• Standort-/GPS-Daten, Adressbuch, Kalender: nein
• Kamera/Mikrofon: nur nach aktiver Auslösung durch die betroffene Person
• Zahlungsdienste, Warenverkauf, Vertragsschlüsse in der App: nein
• Newsletter, SMS-Werbung: nein

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Mit jedem bestehen Verträge nach Art. 28 Abs. 4 DSGVO mit gleichwertigen Pflichten. Ein Wechsel oder eine Ergänzung wird mindestens 30 Tage vorher in Textform angekündigt; der Verantwortliche kann widersprechen.

8. Ort der Verarbeitung und Drittlandtransfer

Speicherung und Verarbeitung personenbezogener Inhalte erfolgen in EU-Rechenzentren (Frankfurt am Main). Ein regelmäßiger Drittlandtransfer findet nicht statt. Ein Zugriff aus den USA ist allein bei Supabase Inc. und Cloudflare, Inc. im Support- oder Missbrauchsfall möglich; Grundlage sind die EU-Standardvertragsklauseln nach Beschluss (EU) 2021/914 (Modul 3) nebst TOM-Anhang und Transfer-Impact-Assessment sowie – bei Cloudflare – zusätzlich das EU-US Data Privacy Framework. Für Makemore GmbH, die Makemore KI und 1&1 IONOS SE besteht kein Drittlandbezug. Flankierend gelten Verschlüsselung in Transit und at rest sowie Zugriffsbeschränkung und Protokollierung.

9. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich nach dokumentierter Weisung
• Verpflichtung aller eingesetzten Personen auf Vertraulichkeit
• Umsetzung und Fortschreibung der TOMs nach Art. 32 DSGVO
• Meldung von Datenschutzverletzungen unverzüglich, spätestens 24 Stunden nach Kenntnis (Art. 33 DSGVO)
• Unterstützung bei Betroffenenrechten (Art. 12–22) und Datenschutz-Folgenabschätzungen (Art. 35)
• Bereitstellung von Nachweisen und Mitwirkung bei Audits
• Führen eines Verzeichnisses der Verarbeitungstätigkeiten (Art. 30 Abs. 2)

10. Technische und organisatorische Maßnahmen (Art. 32)

• Transportverschlüsselung TLS 1.2+, Verschlüsselung at rest
• Row-Level-Security auf allen Tabellen, minimale Datenbank-Rechte
• Rollenbasierte Zugriffskontrolle mit separater Rollentabelle (keine Rollen im Profil)
• Passwort-Hashing, erzwungener Passwortwechsel bei Erstanmeldung
• Zugriffsschutz für Entgeltdokumente
• Einwilligungs- und Nachweisdokumentation (u. a. Meeting-Aufnahmen) inkl. Widerrufsprozess
• Protokollierung sicherheitsrelevanter Aktionen
• Regelmäßige Backups inkl. Wiederherstellungstests
• Trennung von Test- und Produktionsumgebung, Mandantentrennung
• Automatisiertes Löschkonzept mit den in Ziffer 11 festgelegten Fristen

11. Löschkonzept, Kontrollrechte und Beendigung

Für jede Datenart gelten die folgenden Regelfristen; die Löschung erfolgt automatisiert, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Der Verantwortliche kann die Einhaltung dieses Vertrags jederzeit prüfen, auch durch beauftragte Dritte; der Auftragnehmer stellt auf Anforderung aktuelle Nachweise (TOM-Dokumentation, Testate) bereit. Nach Vertragsende werden alle personenbezogenen Daten binnen 30 Tagen nach Wahl des Verantwortlichen gelöscht oder in einem gängigen Format herausgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung wird schriftlich bestätigt.

Ergänzend gilt die Datenschutzerklärung.