Auftragsverarbeitungsvertrag (AVV) – Stempa Abgleich

Version 1 · Stand 2026-09-05 · Wird in der App beim Einschalten des Abgleichs akzeptiert (Einstellungen → Abgleich). Die akzeptierte Version wird auf dem Gerät gespeichert. Diese Seite ist unter stempa.app/avv veröffentlicht.

Entwurf auf Basis der üblichen Art.-28-Vertragsmuster. Vor der Veröffentlichung von einer Anwältin lesen lassen (docs/PLAN.md §10, Punkt 5).

1. Parteien

Verantwortlicher: der Betrieb, der den Abgleich in der App einschaltet („Betrieb“). Auftragsverarbeiter: Itai Azia, Amsterdam St. 11, 6264106 Tel Aviv, Israel („Anbieter“).

2. Gegenstand und Dauer

Der Anbieter betreibt einen Übermittlungsdienst („Relay“, sync.stempa.app), über den die Geräte des Betriebs verschlüsselte Datensätze austauschen. Der Vertrag beginnt mit dem Einschalten des Abgleichs und endet mit dem Ausschalten, dem Löschen des Betriebs in der App oder der automatischen Löschung nach 24 Monaten ohne Zugriff.

3. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

• Verarbeitung: Speichern und Ausliefern von Datensätzen, die auf den Geräten des Betriebs mit AES-256-GCM verschlüsselt wurden. Der Anbieter besitzt den Schlüssel nicht und kann die Inhalte nicht lesen; eine Verarbeitung im Klartext findet nicht statt.
• Zweck: Abgleich der Arbeitszeitaufzeichnung zwischen den Geräten des Betriebs.
• Kategorien (verschlüsselt): Namen und Terminal-PINs der Mitarbeitenden, Buchungen (Kommen, Gehen, Pausen) mit Zeiten, Korrekturen mit Begründung, Betriebsstammdaten, Kaufstatus.
• Im Klartext beim Anbieter: zufällige Kennung des Betriebs, Hash des Zugangstokens, Größe und Zeitpunkt der verschlüsselten Datensätze. Keine IP-Adressen, keine Zugriffsprotokolle.
• Betroffene: Mitarbeitende des Betriebs.

4. Weisungen

Der Anbieter verarbeitet nur auf dokumentierte Weisung des Betriebs. Weisungen sind die Funktionen der App: Einschalten, Abrufen, Ausschalten, Löschen. Weitere Weisungen in Textform an die Kontaktadresse.

5. Vertraulichkeit

Personen, die beim Anbieter Zugriff auf den Server haben, sind zur Vertraulichkeit verpflichtet. Da der Anbieter nur Chiffrat hält, ist ein Zugriff auf Inhalte technisch ausgeschlossen, solange der Schlüssel nicht vom Betrieb weitergegeben wird.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Ende-zu-Ende-Verschlüsselung auf den Geräten des Betriebs (AES-256-GCM, Schlüssel nur auf den gekoppelten Geräten und dem gedruckten Wiederherstellungscode).
• Transportverschlüsselung (TLS) für jede Verbindung; die App verweigert unverschlüsselte Verbindungen.
• Zugang zum Datensatz nur mit einem zufälligen Token, das der Server nur als Hash speichert.
• Server bei Hetzner Online GmbH, Nürnberg, Deutschland; Zugriff nur per SSH-Schlüssel; gehärtete Systemdienste; keine Zugriffsprotokolle; tägliche verschlüsselte Sicherung (30 Tage) auf einer Hetzner Storage Box in Deutschland.
• Löschung: sofort beim Ausschalten/Löschen durch den Betrieb; automatisch nach 24 Monaten ohne Zugriff.

7. Unterauftragsverarbeiter

Änderungen werden auf stempa.app/avv mit 30 Tagen Vorlauf angekündigt; der Betrieb kann widersprechen, indem er den Abgleich ausschaltet.

8. Unterstützung des Betriebs

Der Anbieter unterstützt den Betrieb bei Betroffenenanfragen (soweit dem Anbieter möglich: Löschung des Datensatzes) und bei den Pflichten aus Art. 32–36 DSGVO.

9. Löschung und Rückgabe

Mit Vertragsende wird der Datensatz gelöscht. Eine Rückgabe ist nicht erforderlich: jedes Gerät des Betriebs hält die vollständigen Daten; die Exportfunktionen der App stellen sie im Klartext bereit.

10. Nachweis und Kontrolle

Der Anbieter stellt auf Anfrage die Beschreibung der technischen Maßnahmen und den Quellcode der Server-Komponente (server/relay.mjs) bereit. Kontrollen vor Ort sind nach Vereinbarung möglich.

11. Meldung von Verletzungen

Der Anbieter meldet dem Betrieb Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, an die in der App hinterlegte oder eine vom Betrieb genannte Adresse. Da der Anbieter nur Chiffrat hält, betrifft eine Verletzung beim Anbieter in der Regel keine lesbaren Inhalte.

12. Schlussbestimmungen

Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Änderungen dieses Vertrags werden in der App zur erneuten Annahme vorgelegt (Versionsnummer).