Auftragsverarbeitungsvertrag
Gültig ab 23. Oktober 2026. Zuletzt aktualisiert: 23. Oktober 2026.
Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und gilt für die personenbezogenen Daten, die ClockWitness bei der Erbringung des Dienstes im Auftrag des Kunden verarbeitet (die „Kundendaten“). Er entspricht Art. 28 der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und gilt mit diesem Schutzniveau unabhängig vom Land des Kunden. In Fragen des Datenschutzes hat er Vorrang vor den Nutzungsbedingungen.
Der Kunde akzeptiert diesen Vertrag mit der Annahme der Nutzungsbedingungen. Wenn Sie ein unterschriebenes Exemplar benötigen, schreiben Sie an privacy@clockwitness.com.
1. Parteien und Rollen
Der Kunde, das im Konto angegebene Unternehmen, ist der Verantwortliche: Er entscheidet, welche Daten erhoben werden, wozu und wie lange. ClockWitness ist der Auftragsverarbeiter: Es verarbeitet die Kundendaten ausschließlich im Auftrag des Kunden und nach dessen Weisungen.
ClockWitness wird bereitgestellt von Espírito Rebelde Publicidade e Marketing Lda.
Anschrift: Rua da Fábrica 222, Armazém 2, 4470-768 Maia, Portugal
Registernummer: 509360378
Kontakt für Datenschutz (Datenschutzbeauftragte/r): Bruna Teixeira, privacy@clockwitness.com.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand und Zweck: Erbringung des in den Nutzungsbedingungen beschriebenen Dienstes, d. h. Erfassung und Nachweis der Arbeitszeit sowie Verwaltung von Dienstplänen, Abwesenheiten, Berichten und Stundenzetteln, entsprechend den vom Kunden aktivierten Funktionen.
Art der Verarbeitung: Erhebung, Hosting, Speicherung, Organisation, Anzeige, Export und Löschung der Daten.
Dauer: solange die Nutzungsbedingungen in Kraft sind und bis die Kundendaten gemäß Abschnitt 11 gelöscht sind.
Betroffene Personen: die Personen, die für den Kunden arbeiten (Mitarbeiter, Manager und Kontoinhaber), und andere Personen, die der Kunde in das Konto einlädt, zum Beispiel eigene Kunden mit Lesezugriff.
Datenkategorien: Kontodaten (Name, E-Mail, Rolle, Sprache, Zeitzone); Geräte (Computername, System- und Agentenversion); Zeiterfassungen, Pausen, Projekte und Aufgabenbeschreibungen; Screenshots; Aktivitätsgrad von Tastatur und Maus (nie, was getippt wird oder welche Tasten gedrückt werden); Namen der Anwendungen und Fenstertitel, wenn der Kunde dies aktiviert lässt; Standort beim Kommen und Gehen in der mobilen App, wenn der Kunde ihn verlangt; Dienstpläne, Abwesenheiten und Gehaltsabrechnungen; und das Audit-Protokoll.
Besondere Kategorien: Der Dienst fragt sie nicht ab, sie können aber in Screenshots, Fenstertiteln oder freien Notizen vorkommen. Der Kunde muss den Dienst so konfigurieren und sein Team so anweisen, dass dieses Risiko verringert wird.
3. Weisungen des Kunden
Wir verarbeiten die Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen außerhalb des Europäischen Wirtschaftsraums (EWR). Weisungen sind die Nutzungsbedingungen, dieser Vertrag, die Einstellungen, die der Kunde im Dashboard wählt (zum Beispiel Screenshots, Frequenz, Anwendungserfassung, Standort und Aufbewahrungsfrist), und sonstige schriftliche Weisungen, die er uns erteilt. Sind wir gesetzlich zu einer anderen Verarbeitung verpflichtet, teilen wir dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.
Sind wir der Auffassung, dass eine Weisung gegen die DSGVO oder ein anderes Datenschutzgesetz verstößt, informieren wir den Kunden unverzüglich.
4. Vertraulichkeit
Die Personen, die wir zur Verarbeitung der Kundendaten befugen, sind zur Vertraulichkeit verpflichtet und greifen nur insoweit auf die Daten zu, wie es zur Erbringung des Dienstes erforderlich ist.
5. Sicherheit
Wir wenden die im Anhang beschriebenen, dem Risiko angemessenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO an. Wir können sie im Laufe der Zeit verbessern, das Gesamtschutzniveau aber nie verringern.
6. Weitere Auftragsverarbeiter
Der Kunde erteilt uns eine allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen, etwa externe Hosting-Dienste, auf denen die Anwendung, die Datenbank, die Speicherung der Screenshots und die Sicherungskopien laufen.
Die aktuelle Liste der weiteren Auftragsverarbeiter ist auf Anfrage per E-Mail an privacy@clockwitness.com erhältlich.
Wir informieren die Kontoinhaber per E-Mail, bevor wir einen weiteren Auftragsverarbeiter hinzuziehen oder ersetzen, damit der Kunde aus berechtigten Gründen Einspruch erheben kann. Finden wir keine Lösung, kann der Kunde das Konto schließen, bevor die Änderung wirksam wird.
Wir erlegen jedem weiteren Auftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und bleiben gegenüber dem Kunden für deren Einhaltung verantwortlich.
7. Internationale Übermittlungen
Wir hosten die Kundendaten in Rechenzentren in der Europäischen Union, und unsere Sicherungskopien bleiben verschlüsselt in der Europäischen Union.
Greifen befugte Mitarbeiter von uns oder ein weiterer Auftragsverarbeiter aus einem Land außerhalb des EWR auf die Kundendaten zu, geschieht dies nur auf Grundlage einer der Garantien aus Kapitel V der DSGVO: eines Angemessenheitsbeschlusses der Europäischen Kommission (einschließlich, für die Vereinigten Staaten, des EU-US-Datenschutzrahmens, sofern der Empfänger danach zertifiziert ist) oder der von der Europäischen Kommission erlassenen Standardvertragsklauseln, zusammen mit einer Bewertung der Auswirkungen der Übermittlung und den sich als notwendig erweisenden zusätzlichen Maßnahmen. Einzelheiten finden Sie im Abschnitt „Internationale Übermittlungen“ der Datenschutzerklärung.
Greifen der Kunde oder von ihm befugte Nutzer von außerhalb des EWR auf die Daten zu, erfolgt dieser Zugriff nach den Weisungen und unter der Verantwortung des Kunden.
8. Anträge betroffener Personen
Wir unterstützen den Kunden bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte. Der Dienst selbst ermöglicht es ihm: jeder Person ihre Aufzeichnungen und Screenshots anzuzeigen; Zeiterfassungen zu korrigieren, wobei jede Korrektur protokolliert wird; Screenshots für das gesamte Unternehmen oder für bestimmte Personen sowie die Anwendungserfassung abzuschalten; und die Aufzeichnungen als CSV und PDF zu exportieren.
Wenn der Kunde uns schriftlich um die Löschung einer bereits deaktivierten Person bittet, löschen wir ihre Screenshots, die Erfassung ihrer Anwendungen und Fenster, die genauen GPS-Koordinaten, die Geräte, die Zugangsdaten und die freien Notizen und ersetzen ihre E-Mail-Adresse durch ein Pseudonym. Wir bewahren die Arbeitszeit- und Abrechnungsaufzeichnungen auf, die der Kunde möglicherweise gesetzlich aufbewahren muss.
Wendet sich eine betroffene Person wegen Kundendaten direkt an uns, leiten wir den Antrag unverzüglich an den Kunden weiter und beantworten ihn inhaltlich nicht, sofern der Kunde uns nicht dazu anweist.
9. Unterstützung des Kunden
Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörde.
10. Verletzungen des Schutzes personenbezogener Daten
Erhalten wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, melden wir sie dem Kunden unverzüglich mit den Informationen nach Art. 33 Abs. 3 DSGVO, die uns zu diesem Zeitpunkt vorliegen, und ergänzen sie, sobald wir weitere erhalten. Wir ergreifen die notwendigen Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern. Es obliegt dem Kunden als Verantwortlichem, die Aufsichtsbehörde und die betroffenen Personen zu benachrichtigen, wenn das Gesetz dies verlangt; wir arbeiten dabei mit ihm zusammen.
11. Ende der Verarbeitung: Rückgabe und Löschung
Der Kunde kann jederzeit seine Aufzeichnungen exportieren (Rückgabe) und die Schließung des Kontos beantragen. Bei der Schließung löschen wir, nachdem ein vollständiger Export der Aufzeichnungen erstellt wurde, das Unternehmen, seine Nutzer, seine Aufzeichnungen und die gespeicherten Screenshots, sofern uns das Gesetz nicht zur Aufbewahrung bestimmter Daten verpflichtet. Die Bilder der Screenshots sind nicht Teil der Exporte.
Der Abschlussexport wird dem Inhaber per E-Mail als persönlicher Link zum Herunterladen zugesandt. Der Link funktioniert ohne Anmeldung, auch nachdem das Konto gelöscht wurde, 30 Tage lang; danach funktioniert er nicht mehr und die Datei wird von unseren Servern gelöscht.
Gelöschte Daten verschwinden aus den Sicherungskopien, sobald diese ablaufen: Die täglichen Sicherungen der Datenbank werden 30 Tage aufbewahrt, die übrigen werden rotiert und regelmäßig ersetzt.
12. Nachweis der Einhaltung und Audits
Wir stellen dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags und von Art. 28 DSGVO erforderlich sind. Wir ermöglichen Audits, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer und tragen dazu bei, nach angemessener Vorankündigung, während der Geschäftszeiten und ohne unverhältnismäßige Beeinträchtigung des Dienstes oder der Daten anderer Kunden.
13. Haftung und Laufzeit
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen. Dieser Vertrag gilt, solange wir Kundendaten verarbeiten.
Dieser Vertrag unterliegt portugiesischem Recht. Für alle Streitigkeiten im Zusammenhang mit ihm sind die Gerichte Portugals zuständig.
Anhang — Technische und organisatorische Maßnahmen
- Alle Verbindungen zum Dienst sind verschlüsselt (HTTPS).
- Passwörter werden nur als Hash gespeichert, nie im Klartext.
- Die Zwei-Faktor-Authentifizierung steht allen Nutzern zur Verfügung, und der Inhaber kann sie für das gesamte Unternehmen verpflichtend machen.
- Rollenbasierter Zugriff (Inhaber, Manager, Mitarbeiter, Kunde): Jede Person sieht nur, was ihre Rolle erlaubt, und die Daten jedes Kunden sind von denen der anderen getrennt.
- Jeder Aufruf der Screenshots einer anderen Person wird in einem Audit-Protokoll festgehalten (wer, wessen und wann).
- Screenshots werden am Ende der vom Kunden festgelegten Aufbewahrungsfrist automatisch gelöscht.
- Sicherungskopien werden verschlüsselt, bevor sie den Server verlassen, und an einem anderen Ort gespeichert.
- Die Daten werden in Rechenzentren in der Europäischen Union gehostet.