Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

Verantwortlicher („Kunde“): das Unternehmen, das Zeugniswerk nach den AGB nutzt, mit den bei der Bestellung angegebenen Firmendaten. Auftragsverarbeiter („Anbieter“): LuminaX, Inhaber Fabian Faraz Farid, Richard-Wagner-Straße 137, 41065 Mönchengladbach, E-Mail: [email protected].

Dieser Vertrag wird mit dem Hauptvertrag (Einzelkauf oder Abo) geschlossen, bei Online-Bestellung mit Abschluss des Bezahlvorgangs, und bedarf keiner Unterschrift (Textform, Art. 28 Abs. 9 DSGVO). Er gilt auch für die Erzeugung von Dateien im kostenlosen Generator, wenn ein Unternehmen ihn nutzt.

§ 1 Gegenstand, Art und Zweck

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um Arbeitszeugnisse zu erstellen, zu prüfen, als Datei auszugeben und im Abo zu speichern. Art der Verarbeitung: Erheben, Speichern, Auslesen, Verwenden zur Texterzeugung, Übermitteln an den Kunden, Löschen.

Betroffene Personen: Beschäftigte, ehemalige Beschäftigte und Auszubildende des Kunden; Benutzer des Kunden.

Datenarten:

• Zeugnisdaten: Anrede, Titel, Vor- und Nachname, optional Geburtsdatum und Geburtsort, Position, Beschäftigungszeitraum, Tätigkeiten, Leistungs- und Verhaltensbewertung, Austrittsgrund, Freitexte.
• Benutzerdaten: E-Mail-Adresse, Passwort (nur als Hash), Rolle, Zeitpunkte.
• Briefbogen: Logo, Absenderzeilen.

Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) gehören nicht in ein Zeugnis. Der Kunde gibt sie nicht ein, das Werkzeug weist bei erkannten Begriffen darauf hin.

§ 2 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen und Aktionen des Kunden in der Software (Speichern, Löschen, Export). Weitere Weisungen in Textform an [email protected]. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

§ 3 Pflichten des Anbieters

• Verarbeitung nur zu den Zwecken nach § 1, nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von KI.
• Vertraulichkeit aller Personen mit Zugang.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1).
• Datenschutz-Ansprechperson: [email protected]. Ein Datenschutzbeauftragter ist nicht zu benennen.
• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 4 Unterauftragsverarbeiter

Der Kunde genehmigt die Unterauftragsverarbeiter in Anlage 2. Über Änderungen informiert der Anbieter mindestens vier Wochen vorher per E-Mail und auf dieser Seite. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Hauptvertrag dann zum Änderungszeitpunkt kündigen. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 5 Unterstützung, Meldungen

Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Anfragen Betroffener leitet er an den Kunden weiter. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.

§ 6 Löschung und Rückgabe

Im kostenlosen Generator und beim Einzelkauf werden Zeugnisdaten nur für die Dauer der Dateierzeugung verarbeitet und nicht gespeichert. Im Abo kann der Kunde jedes Zeugnis jederzeit löschen und alle Daten exportieren. Nach Ende des Abos löscht der Anbieter alle Daten des Kunden binnen 90 Tagen, sofern keine gesetzliche Pflicht entgegensteht. Daten in Sicherungen werden mit deren regulärem Ablauf überschrieben.

§ 7 Nachweise und Kontrollen

Der Anbieter stellt auf Anfrage die Informationen zum Nachweis der Einhaltung bereit. Reicht das nicht, sind Kontrollen nach Anmeldung mit angemessener Frist während der Geschäftszeiten möglich.

§ 8 Haftung, Schluss

Für die Haftung gilt Art. 82 DSGVO, im Übrigen die AGB. Es gilt deutsches Recht, Gerichtsstand ist Mönchengladbach.

Anlage 1: Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) für alle Verbindungen.
• Zugang zum Abo nur mit persönlichem Konto, Passwort nur als Hash gespeichert, Konten nur durch Bestellung oder Einladung eines Admins.
• Mandantentrennung: Jede Abfrage wird serverseitig auf die Firma der angemeldeten Person beschränkt, nie anhand von Werten aus dem Browser.
• Datenbank mit Zeilenschutz (RLS) ohne Freigaben für Browser, Zugriff nur durch die Server-Anwendung mit geheimem Schlüssel.
• Datensparsamkeit: kostenloser Generator ohne Speicherung, KI erhält keine Namen, Stripe erhält nur eine Prüfsumme statt Namen.
• Keine Protokollierung von Zeugnisinhalten, keine Reichweitenmessung in der App.
• Server in Deutschland, verschlüsselte Datensicherung alle 6 Stunden mit Kopie außerhalb des Servers und täglichem Wiederherstellungstest, Zugriff auf den Server nur durch den Auftragsverarbeiter mit Schlüssel.
• Administrative Zugänge des Anbieters personalisiert, mit starken Passwörtern und Zwei-Faktor-Anmeldung, soweit verfügbar.

Anlage 2: Unterauftragsverarbeiter