Personuppgiftsbiträdesavtal (AVV)

Fassung 2026-10-04 · Stand: 4. Oktober 2026

zwischen

dem bei der Registrierung auf der Internetseite des Auftragsverarbeiters bezeichneten Kunden – nachfolgend „Verantwortlicher“ –

und

booCloud GmbH, Jägerlauf 72b, 22851 Norderstedt, vertreten durch den Geschäftsführer Mathias Gockel – nachfolgend „Auftragsverarbeiter“ –

1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Zeiterfassungs- und Personalverwaltungssoftware boo.time (time.boocloud.de, einschließlich mobiler App und Terminalfunktion) als Software-as-a-Service und verarbeitet dabei personenbezogene Daten im Auftrag.

(2) Grundlage der Auftragsverarbeitung ist der zwischen den Parteien geschlossene Hauptvertrag. Hauptvertrag sind die Allgemeinen Geschäftsbedingungen (AGB) des Auftragsverarbeiters; bei Pilotkunden treten die Bestimmungen der Pilotvereinbarung hinzu. Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Ziffer 10 regelt die Beendigung.

2. Art, Zweck und Umfang der Verarbeitung

Erhebung, Speicherung, Veränderung, Auswertung, Übermittlung an Berechtigte des Verantwortlichen, Einschränkung und Löschung der in Ziffer 3 genannten Daten zum Zweck der Arbeitszeiterfassung, Abwesenheitsverwaltung, Personalaktenführung und Lohnabrechnungszuarbeit des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; anonyme, personenbezugsfreie Betriebsmetriken bleiben unberührt.

3. Datenkategorien und Kreis der Betroffenen

Betroffene: Beschäftigte des Verantwortlichen (einschließlich ausgeschiedener Beschäftigter im Rahmen der Aufbewahrungsfristen) sowie die von ihm angelegten Administrator- und Terminalkonten und Notfallkontakte.

Datenkategorien, je nach genutzten Modulen:

• Stammdaten (Name, Kontaktdaten, Adresse, Geburtsdaten, Personalnummer)
• Kontaktdaten von Notfallkontakten (Name, Beziehung und Telefonnummer einer vom Beschäftigten benannten Person)
• Bankverbindung, Steuer- und Sozialversicherungsdaten, Religionszugehörigkeit (Kirchensteuermerkmal), Arbeitserlaubnisdaten
• Ausweis-/Badge-Kennung für das Stempelterminal
• bei Anmeldung über den Identitätsanbieter des Verantwortlichen (Single Sign-on) die von diesem übermittelte Kontokennung
• Arbeitszeiten, Soll-Zeiten, Überstunden- und Urlaubskonten
• Abwesenheiten einschließlich Krankmeldungen und hochgeladener Krankschreibungen – Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO
• Dokumente der digitalen Personalakte (z. B. Verträge, Gehaltsabrechnungen) mit sämtlichen darin enthaltenen Angaben
• Protokolldaten der Nutzung (An-/Abmeldungen, Änderungsprotokoll)

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) erfolgt ausschließlich im Rahmen der vom Verantwortlichen bestimmten Rechtsgrundlage, insbesondere Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 BDSG oder einer einschlägigen Kollektivvereinbarung (Betriebs- oder Dienstvereinbarung, Tarifvertrag). Die Festlegung und die Rechtmäßigkeit der Rechtsgrundlage obliegen dem Verantwortlichen.

4. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Information seiner Beschäftigten verantwortlich. Er verwaltet die Benutzerkonten und Rollen seiner Beschäftigten in eigener Verantwortung und erteilt Weisungen grundsätzlich über die Funktionen der Software, im Übrigen in Textform an kontakt@boocloud.de.

5. Pflichten des Auftragsverarbeiters

(1) Weisungsbindung: Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen – auch hinsichtlich einer etwaigen Übermittlung in ein Drittland –, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet zur Verarbeitung; in diesem Fall wird der Verantwortliche vor der Verarbeitung informiert, sofern das Recht dies nicht verbietet. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO).

(2) Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Der Zugriff auf Kundendaten ist strukturell beschränkt: die Plattform-Betreiberrolle erreicht dort keine Personaldaten; Support-Zugriff erfolgt nur über ein vom Verantwortlichen selbst angelegtes Konto, das er jederzeit deaktivieren kann. Administrative Zugriffe auf die Infrastruktur sind auf den zur Vertraulichkeit verpflichteten Betriebsverantwortlichen beschränkt und erfolgen nur, soweit es für Betrieb, Wartung und Fehlerbehebung erforderlich ist.

(3) Sicherheit der Verarbeitung (Art. 32 DSGVO): Der Auftragsverarbeiter verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Auftraggeberdaten gem. Art. 32 DS-GVO, zu ergreifen und diese für die Dauer der Verarbeitung der Auftraggeberdaten aufrecht zu erhalten. Die Maßnahmen im Einzelnen beschreibt Anlage 2 (TOM); der Auftragsverarbeiter stellt sie dem Verantwortlichen auf Anfrage an kontakt@boocloud.de zur Verfügung.

(4) Unterstützung des Verantwortlichen: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO. Die Unterstützung ist überwiegend in die Software eingebaut und für den Verantwortlichen selbst ausführbar: vollständiger maschinenlesbarer Datenexport je Beschäftigtem (Art. 15/20 DSGVO), unumkehrbare Löschung/Anonymisierung (Art. 17 DSGVO) unter Erhalt gesetzlicher Aufbewahrungspflichten, Auskunft über gespeicherte Dokumente. Darüber hinausgehende Unterstützung erfolgt auf Anfrage in angemessener Frist. Der Auftragsverarbeiter kann hierfür eine angemessene, aufwandsbezogene Vergütung verlangen, soweit die Unterstützung nicht durch einen von ihm zu vertretenden Verstoß veranlasst ist.

(5) Meldung von Verletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, an die bei der Registrierung hinterlegte E-Mail-Adresse des Administrators des Verantwortlichen, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie zu diesem Zeitpunkt vorliegen, damit der Verantwortliche seine 72-Stunden-Frist wahren kann; fehlende Angaben werden unverzüglich nachgereicht.

(6) Verzeichnis und Nachweise: Der Auftragsverarbeiter führt das Verzeichnis nach Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein die Einschaltung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten sind nachfolgend aufgeführt:

(2) Beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) teilt der Auftragsverarbeiter dem Verantwortlichen mindestens vier Wochen vorher in Textform mit; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist der Einsatz für den Betrieb unverzichtbar und wird keine Abhilfe gefunden, steht beiden Parteien ein Sonderkündigungsrecht des Hauptvertrags zu.

(3) Mit jedem Unterauftragsverarbeiter bestehen Verträge nach Art. 28 Abs. 4 DSGVO mit im Wesentlichen gleichen Datenschutzpflichten. Eine Verarbeitung findet ausschließlich in der EU statt; eine Übermittlung in Drittländer bedarf der vorherigen dokumentierten Weisung des Verantwortlichen und der Garantien der Art. 44 ff. DSGVO.

7. Kontroll- und Auditrechte

(1) Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen. Der Auftragsverarbeiter erfüllt dies zunächst durch Vorlage geeigneter Nachweise (aktuelle TOM, Subunternehmernachweise, einschlägige Prüfberichte oder Zertifikate der Rechenzentrumsbetreiber).

(2) Genügen die Nachweise im Einzelfall nicht, kann der Verantwortliche – selbst oder durch einen zur Vertraulichkeit verpflichteten, nicht im Wettbewerb stehenden Prüfer – nach angemessener Ankündigung (in der Regel 14 Tage, außer bei konkretem Anlass) und ohne konkreten Anlass höchstens einmal je Kalenderjahr während der Geschäftszeiten Auskünfte und Einsicht in die für die Auftragsverarbeitung relevanten Unterlagen und Systeme verlangen. Physische Rechenzentrumsbegehungen richten sich nach den Bedingungen der jeweiligen Betreiber.

(3) Die Kosten eines vom Verantwortlichen veranlassten Audits trägt der Verantwortliche. Deckt das Audit einen erheblichen, vom Auftragsverarbeiter zu vertretenden Verstoß gegen diese Vereinbarung oder gegen datenschutzrechtliche Vorschriften auf, trägt der Auftragsverarbeiter die angemessenen Kosten des betreffenden Audits.

8. Ort der Verarbeitung

Verarbeitung ausschließlich in Rechenzentren in Deutschland bzw. der EU bzw. dem EWR. Fernzugriff zu Betriebszwecken erfolgt aus Deutschland.

9. Haftung

(1) Die Haftung im Verhältnis zu betroffenen Personen richtet sich nach Art. 82 DSGVO; diese Bestimmung bleibt von den nachfolgenden Regelungen unberührt.

(2) Im Innenverhältnis der Parteien gelten für die vertragliche Haftung die Haftungsregelungen des Hauptvertrags (§§ 15 und 16 der AGB). Der Auftragsverarbeiter haftet nicht für Schäden, die daraus entstehen, dass er eine rechtmäßig erteilte und dokumentierte Weisung des Verantwortlichen befolgt hat, es sei denn, er hat die Rechtswidrigkeit der Weisung erkannt oder grob fahrlässig verkannt und den Verantwortlichen nicht nach Ziffer 5 Abs. 1 informiert.

10. Beendigung; Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen auf Wunsch zuvor die eingebauten Datenexporte zur Verfügung (maschinenlesbar je Beschäftigtem; Dokumente lädt der Verantwortliche über die Software).

(2) Anschließend, spätestens dreißig (30) Tage nach Beendigung des Hauptvertrags, löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen durch die dokumentierte Mandantenlöschung: die gesamte Datenbankstruktur des Mandanten in einer Transaktion sowie den vollständigen Dateibestand einschließlich aller Objektversionen; ein Protokolleintrag ohne Personenbezug bleibt als Nachweis der Löschung bestehen. Sicherungskopien laufen mit dem 7-Tage-Wiederherstellungsfenster des Datenbankbetreibers aus; sie werden nicht aktiv weiterverarbeitet. Server- und Anwendungsprotokolle werden nicht einzeln bereinigt; sie laufen nach 14 Tagen aus.

(3) Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt (z. B. Rechnungsdaten); solche Daten werden nach Fristablauf gelöscht.

11. Schlussbestimmungen

Es gilt deutsches Recht. Änderungen bedürfen der Textform. Bei Widersprüchen zum Hauptvertrag geht in datenschutzrechtlichen Fragen diese Vereinbarung vor. Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam.