Vertrag zur Auftragsverarbeitung
Stand: 18. Oktober 2026
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher, im Folgenden „Kunde“) und Ralf Fangmeier, Föhrenkamp 38, 45481 Mülheim an der Ruhr (Auftragsverarbeiter, im Folgenden „Anbieter“). Er gilt für die Zeiterfassung mytymok und wird mit dem Vertragsschluss Bestandteil der AGB.
§ 1 Gegenstand und Dauer
(1) mytymok läuft auf dem Webspace des Kunden. Der Anbieter verarbeitet personenbezogene Daten nur, soweit er bei der Einrichtung, beim Einspielen von Updates und im Support Zugriff auf diesen Webspace hat, und nur im Auftrag und nach Weisung des Kunden.
(2) Der Vertrag läuft so lange, wie der Anbieter Leistungen nach den AGB erbringt, und endet mit ihnen.
§ 2 Art, Zweck und betroffene Daten
(1) Zweck ist die Einrichtung, Pflege und Fehlerbehebung der Zeiterfassung des Kunden.
(2) Betroffene Personen sind die Beschäftigten des Kunden und die Personen, die mytymok verwalten.
(3) Datenarten:
- Stammdaten: Name, E-Mail-Adresse, Personalnummer, Sollzeiten, Urlaubsanspruch,
- Arbeitszeiten: Kommen, Gehen, Pausen, Korrekturen und deren Begründungen,
- Abwesenheiten: Urlaub und Krankheit; Krankheitstage sind Gesundheitsdaten nach Art. 9 DSGVO,
- technische Daten: Protokoll der Änderungen, öffentliche Passkey-Schlüssel der Telefone, gehashte PINs und Chip-Kennungen.
(4) Biometrische Daten (Fingerabdruck, Gesicht) verlassen das Telefon der Beschäftigten nicht und werden von mytymok nicht verarbeitet.
§ 3 Weisungen
(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen ergeben sich aus diesem Vertrag, den AGB und Einzelweisungen in Textform.
(2) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin.
§ 4 Vertraulichkeit
Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Unterliegt der Kunde einer beruflichen Schweigepflicht, zum Beispiel nach § 203 StGB, werden die eingesetzten Personen entsprechend zur Verschwiegenheit verpflichtet.
§ 5 Technische und organisatorische Maßnahmen
Der Anbieter trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Zugriff auf den Webspace nur per SSH mit persönlichem Schlüssel, keine Weitergabe von Zugängen,
- verschlüsselte Übertragung (HTTPS, SSH) für alle Zugriffe,
- keine Kopien der Daten außerhalb des Webspace, außer zur Fehlerbehebung im Einzelfall und nur so lange wie nötig,
- verschlüsselte nächtliche Datensicherung, deren privater Schlüssel beim Kunden liegt,
- zeitnahe Sicherheitsupdates von mytymok.
§ 6 Unterauftragsverarbeiter
Der Anbieter setzt keine Unterauftragsverarbeiter ein. Der Hoster des Webspace ist Vertragspartner und gegebenenfalls Auftragsverarbeiter des Kunden, nicht des Anbieters. Den Vertrag zur Auftragsverarbeitung mit dem Hoster schließt der Kunde selbst.
§ 7 Unterstützung des Kunden
(1) Der Anbieter unterstützt den Kunden im Rahmen seiner Möglichkeiten bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO.
(2) Stellt der Anbieter eine Verletzung des Schutzes personenbezogener Daten fest, informiert er den Kunden unverzüglich.
§ 8 Kontrolle
Der Kunde kann sich nach rechtzeitiger Ankündigung von der Einhaltung dieses Vertrags überzeugen. Der Anbieter stellt die dafür nötigen Informationen bereit.
§ 9 Ende der Verarbeitung
Nach Ende der Leistungen gibt der Anbieter seine Zugänge zum Webspace zurück und löscht etwaige Kopien von Daten des Kunden, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Die Daten selbst verbleiben beim Kunden.
Diese Bedingungen wurden nach bestem Wissen erstellt und ersetzen keine individuelle Rechtsberatung.