Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Version 2.1, freigegeben am 26.06.2026. Dieser AVV ist Anlage und integraler Bestandteil der AGB zwischen dem Kunden (Verantwortlicher) und der obriva GmbH, Perler Str. 26, 13088 Berlin (Auftragsverarbeiter). Mit Annahme der AGB schließt der Kunde zugleich diesen AVV. Bei Widersprüchen gehen in datenschutzrechtlichen Fragen die Bestimmungen dieses AVV vor. Ausgerichtet an Art. 28 DSGVO und am EU-Muster (Durchführungsbeschluss (EU) 2021/915).

§ 1 Gegenstand der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der clever.hr-Software und der vereinbarten Leistungen nach dem Hauptvertrag (Personalverwaltung sowie — soweit gebucht — vorbereitende bzw. ausgelagerte Lohn- und Gehaltsabrechnung).

§ 2 Dauer der Verarbeitung

Die Verarbeitung beginnt mit Inkrafttreten des Hauptvertrags und endet mit dessen Beendigung, vorbehaltlich der Lösch- und Rückgaberegelungen in § 13 sowie der nach § 14 fortgeltenden Nachweis- und Auditpflichten.

§ 3 Art und Zweck der Verarbeitung

Art und Zweck umfassen das Erheben, Erfassen, Speichern, Strukturieren, Verknüpfen, Auslesen, Anzeigen, Auswerten, Übermitteln (an vom Verantwortlichen autorisierte Empfänger), Einschränken, Löschen und Anonymisieren personenbezogener Daten zur Bereitstellung sämtlicher Funktionen der Software. Der konkrete Umfang liegt im Ermessen des Verantwortlichen und hängt von Nutzung, gebuchtem Plan und Modulen ab.

§ 4 Art der personenbezogenen Daten

Verarbeitet werden insbesondere: Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten, Notfallkontakt); Vertrags- und Qualifikationsdaten (Arbeitsverträge, Bescheinigungen, Aus- und Weiterbildung, hochgeladene Personaldokumente); Beschäftigungs-, Abwesenheits- und Leistungsdaten (Position, Abteilung, Arbeitszeiten, Urlaub, Krankmeldungen, Evaluationen); Abrechnungs- und Zahlungsdaten (Bankverbindung/IBAN, Entgeltdaten); soweit das Payroll-Modul gebucht ist Lohn- und Gehaltsabrechnungsdaten (Brutto/Netto, Steuerklasse, Sozialversicherungsbeiträge) sowie besondere Identifikationsmerkmale (Steuer-Identifikationsnummer, Sozialversicherungsnummer — verschlüsselt gespeichert); Anwendungs- und Audit-Protokolle.

Besondere Kategorien (Art. 9 DSGVO): Soweit der Verantwortliche besondere Kategorien einbringt — insbesondere Gesundheitsdaten im Rahmen von Krankmeldungen, das Kirchensteuermerkmal aus ELStAM (religiöse Überzeugung) oder Angaben zur Schwerbehinderung —, trägt er für deren Zulässigkeit die alleinige Verantwortung und stellt die erforderlichen Rechtsgrundlagen (Art. 9 Abs. 2 DSGVO, § 26 Abs. 3 BDSG) sicher. Der Auftragsverarbeiter behandelt diese Daten mit den in § 9 beschriebenen besonderen Schutzmaßnahmen.

§ 5 Kategorien betroffener Personen

Betroffene Personen sind, jeweils in Bezug auf den Verantwortlichen oder ein mit ihm verbundenes Unternehmen: aktuelle Mitarbeitende (Angestellte, Werkstudenten, Praktikanten, Auszubildende, Freie, Auftragnehmende, Freiwillige); ehemalige Mitarbeitende; Bewerbende und künftige Mitarbeitende (soweit das entsprechende Modul aktiviert ist); gesetzliche Vertreter, Notfallkontakte und weitere vom Verantwortlichen rechtmäßig erfasste Bezugspersonen.

§ 6 Pflichten und Dateninhaberschaft des Verantwortlichen

6.1 Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung sowie für die Einhaltung aller weiteren ihm als Verantwortlichem obliegenden Pflichten (insbesondere Informations- und Auskunftspflichten gegenüber den betroffenen Personen) selbst verantwortlich. Er stellt sicher, dass für die erfassten Daten eine tragfähige Rechtsgrundlage besteht und Weisungen durch berechtigte Personen erteilt werden.

6.2 Dateninhaberschaft: Die im Auftrag verarbeiteten personenbezogenen Daten stehen ausschließlich dem Verantwortlichen zu. Sie fallen weder in die Insolvenzmasse des Auftragsverarbeiters noch unterliegen sie einem Zurückbehaltungsrecht.

6.3 Drittzugriff: Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn die Daten durch Pfändung, Beschlagnahme, ein Insolvenz- oder Vergleichsverfahren oder sonstige Maßnahmen Dritter gefährdet werden, und weist alle Beteiligten darauf hin, dass die Entscheidungsbefugnis ausschließlich beim Verantwortlichen liegt.

§ 7 Verarbeitung nur auf Weisung

7.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Drittlandübermittlungen, es sei denn, er ist hierzu gesetzlich verpflichtet; in diesem Fall teilt er dies vor der Verarbeitung mit, soweit zulässig. Hauptvertrag und AVV bilden die initiale Weisung; weitere Weisungen erteilt der Verantwortliche in Textform (auch E-Mail an legal@clever.hr).

7.2 Hinweispflicht bei rechtswidriger Weisung: Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung auszusetzen.

7.3 Weisungsbefugt sind die vom Verantwortlichen benannten Personen. Ohne Benennung sind nur zur gesetzlichen Vertretung befugte Personen weisungsbefugt.

§ 8 Vertraulichkeit

8.1 Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und vor Aufnahme der Tätigkeit mit den relevanten Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

8.2 Die Vertraulichkeitsverpflichtungen bestehen über die Beendigung der jeweiligen Tätigkeit und über die Beendigung dieses AVV hinaus fort.

§ 9 Technische und organisatorische Maßnahmen

9.1 Der Auftragsverarbeiter implementiert und unterhält angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie von Art, Umfang, Kontext und Zwecken der Verarbeitung und der Risiken. Die aktuelle Fassung ist in Anlage 1 beschrieben.

9.2 Die TOM unterliegen der technischen Weiterentwicklung. Der Auftragsverarbeiter darf sie aktualisieren, solange das vereinbarte Sicherheitsniveau dadurch nicht unterschritten wird.

§ 10 Inanspruchnahme weiterer Auftragsverarbeiter

10.1 Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

10.2 Der Auftragsverarbeiter zeigt die beabsichtigte Hinzunahme oder den Austausch eines Unterauftragsverarbeiters mit einer Frist von mindestens dreißig (30) Kalendertagen vor Beginn der Verarbeitung in Textform an. Erhebt der Verantwortliche innerhalb dieser Frist keinen begründeten Einspruch aus Datenschutzgründen, gilt die Änderung als genehmigt. Im Einspruchsfall steht dem Verantwortlichen, sofern keine einvernehmliche Lösung erzielt wird, ein Sonderkündigungsrecht zu.

10.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf datenschutzrechtliche Pflichten, die den in diesem AVV vereinbarten im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO), und bleibt für deren Handeln verantwortlich.

§ 11 Unterstützung bei Betroffenenrechten

11.1 Wendet sich eine betroffene Person mit einem Antrag nach Kapitel III DSGVO unmittelbar an den Auftragsverarbeiter, verweist dieser sie an den Verantwortlichen, soweit eine Zuordnung möglich ist, und informiert den Verantwortlichen unverzüglich.

11.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Mittel bei der Erfüllung der Betroffenenrechte (Art. 12—23 DSGVO), insbesondere durch Funktionen zur Anzeige, Berichtigung, Einschränkung und Löschung, die Datenexport-Funktion (Auskunft/Übertragbarkeit, Art. 15, 20 DSGVO) sowie die Anonymisierungsfunktion zur Unterstützung von Löschersuchen (Art. 17 DSGVO).

§ 12 Unterstützung bei Sicherheit, Meldung und DSFA

12.1 Meldung von Verletzungen: Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten. Die kürzere Frist gibt dem Verantwortlichen den nötigen Vorlauf für seine eigene 72-Stunden-Meldepflicht nach Art. 33 Abs. 1 DSGVO. Die Benachrichtigung enthält — soweit verfügbar — die in Art. 33 Abs. 3 DSGVO genannten Angaben.

12.2 DSFA und Konsultation: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen (Art. 35) und der vorherigen Konsultation der Aufsichtsbehörde (Art. 36). Die Lohn- und Gehaltsabrechnung gilt regelmäßig als DSFA-pflichtig.

12.3 Behördliche Maßnahmen: Der Auftragsverarbeiter informiert den Verantwortlichen über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde sowie behördliche Ermittlungen, soweit sie den Auftrag betreffen und eine Mitteilung zulässig ist.

12.4 Vergütung: Soweit die Unterstützung nach §§ 11—12 wirtschaftlich nicht zumutbar unentgeltlich erbracht werden kann, kann der Auftragsverarbeiter einen angemessenen Aufwand in Rechnung stellen und teilt die voraussichtlichen Kosten vorab mit.

§ 13 Löschung und Rückgabe nach Beendigung

13.1 Nach Beendigung der Auftragsverarbeitung ermöglicht der Auftragsverarbeiter dem Verantwortlichen während eines Zeitraums von dreißig (30) Kalendertagen den Export sämtlicher verarbeiteten Daten in einem gängigen, maschinenlesbaren Format oder löscht sie auf Weisung. Der Verantwortliche ist für den rechtzeitigen Export allein verantwortlich.

13.2 Erteilt der Verantwortliche eine verbindliche Löschweisung in Textform, darf der Auftragsverarbeiter die Löschung auch vor Ablauf der 30-Tage-Frist durchführen. Verlangt der Verantwortliche bis Fristablauf weder Herausgabe noch Löschung, löscht der Auftragsverarbeiter die Daten aus der Plattform und den Backups innerhalb der üblichen Backup-Rotationsfristen.

13.3 Gesetzliche Aufbewahrung: Ausgenommen sind Daten mit gesetzlicher Aufbewahrungspflicht — insbesondere lohn- und abrechnungsbezogene Unterlagen nach § 257 HGB, § 147 AO und § 41 EStG (bis zu zehn Jahre). Diese verbleiben für die Dauer der Frist beim Auftragsverarbeiter; nicht mehr benötigte Felder werden anonymisiert. Auf Verlangen bestätigt der Auftragsverarbeiter die Durchführung der Löschung in Textform.

§ 14 Nachweis- und Auditrechte

14.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle zur Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Die Liste der Unterauftragsverarbeiter und die TOM werden als Bestandteil dieses AVV öffentlich gepflegt.

14.2 Vorrang der Nachweis-Dokumente: Legt der Auftragsverarbeiter ein gültiges Zertifikat (z. B. ISO/IEC 27001), einen aktuellen unabhängigen Prüfbericht (z. B. SOC 2 Typ II), genehmigte Verhaltensregeln (Art. 40 DSGVO) oder eine Zertifizierung (Art. 42 DSGVO) vor, gilt der Nachweis als erbracht; ein Vor-Ort-Audit findet nur statt, soweit diese Nachweise zur Klärung eines konkreten Anlasses nicht ausreichen.

14.3 Frequenz- und Dauerdeckel: Anlasslose Vor-Ort-Prüfungen finden höchstens einmal pro Kalenderjahr statt, sind mit einer Frist von mindestens dreißig (30) Tagen anzukündigen und beschränken sich auf einen Geschäftstag zu üblichen Geschäftszeiten. Bei konkretem Anlass — insbesondere nach einer Datenschutzverletzung oder einer Anordnung der Aufsichtsbehörde — entfallen Frequenz- und Fristbegrenzung.

14.4 Prüfer-Eignung: Der Verantwortliche setzt nur Prüfer ein, die zur Verschwiegenheit verpflichtet sind und nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen; der Auftragsverarbeiter kann einen benannten externen Prüfer aus sachlichem Grund ablehnen.

14.5 Kostentragung: Jede Partei trägt die ihr im Zusammenhang mit einer Überprüfung entstehenden eigenen Kosten. Eine gesonderte Vergütung für die Duldung und Mitwirkung an Prüfungen wird nicht erhoben.

§ 15 Drittlandübermittlungen

15.1 Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der EU, einem Vertragsstaat des EWR oder einem Land mit Angemessenheitsbeschluss nach Art. 45 DSGVO statt. Eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss erfolgt nur unter Einhaltung der Art. 44 ff. DSGVO und unter Ergreifung geeigneter Garantien (insbesondere EU-Standardvertragsklauseln).

15.2 Ein etwaiger Drittlandbezug ist in der Liste der Unterauftragsverarbeiter (Anlage 2) ausdrücklich gekennzeichnet.

§ 16 Haftung

16.1 Die Haftung richtet sich, soweit dieser AVV nicht ausdrücklich abweichend regelt, nach den Haftungsregelungen des Hauptvertrags. Die dort vereinbarten Haftungsbeschränkungen und Höchstbeträge gelten auch für Ansprüche aus diesem AVV oder aus datenschutzrechtlichen Pflichtverletzungen.

16.2 Im Außenverhältnis zur betroffenen Person bleibt die gesamtschuldnerische Haftung nach Art. 82 Abs. 4 DSGVO unberührt. Im Innenverhältnis tragen die Parteien den Schaden nach ihrem jeweiligen Verschuldensanteil (Art. 82 Abs. 5 DSGVO).

16.3 Haftungsbeschränkungen gelten nicht bei Vorsatz oder grober Fahrlässigkeit, bei Verletzung des Lebens, des Körpers oder der Gesundheit, bei Arglist oder bei Übernahme einer Garantie.

§ 17 Schlussbestimmungen

17.1 Form (Art. 28 Abs. 9 DSGVO): Dieser AVV und seine Änderungen bedürfen der Textform; ein elektronisches Format ist ausreichend, sofern die Zuordnung des Erklärungsinhalts und der Parteien nachvollziehbar bleibt.

17.2 Beweislast: Im Streit über die Erfüllung der Pflichten nach Art. 28 DSGVO trägt der Auftragsverarbeiter die Darlegungs- und Beweislast für die Einhaltung der ihm obliegenden technischen und organisatorischen Maßnahmen.

17.3 Rechtswahl und Gerichtsstand: Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts; zwingende Vorschriften des Datenschutzrechts der EU und des Mitgliedstaats des Verantwortlichen bleiben unberührt. Ausschließlicher Gerichtsstand ist, soweit zulässig, Berlin.

17.4 Salvatorische Klausel: Ist eine Bestimmung dieses AVV unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

17.5 Vorrang: Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

17.6 Verbundene Unternehmen: Der Verantwortliche kann mit ihm verbundene Unternehmen (§§ 15 ff. AktG) diesem AVV durch eine Beitrittserklärung in Textform beitreten lassen.

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

Stand 24.06.2026. Beschreibt die tatsächlich umgesetzten Maßnahmen nach Art. 32 DSGVO.

A. Vertraulichkeit: Authentifizierung über E-Mail/Passwort (Laravel Fortify) mit Mehr-Faktor-Authentifizierung (MFA) und CAPTCHA (Altcha); rollen- und berechtigungsbasierte Zugriffskontrolle; mandantenfähige Architektur mit durchgehender Tenant-Isolation; Verschlüsselung besonders sensibler Felder (IBAN, Steuer-ID, Sozialversicherungsnummer) und hochgeladener Anhänge mit tenant-spezifischem Schlüssel.

B. Integrität: Transportverschlüsselung (TLS); Audit-Protokollierung (Akteur, Zeitpunkt, Art der Änderung) mit signaturgesicherten Prüfpunkten; Virenscan hochgeladener Dateien (ClamAV).

C. Verfügbarkeit und Belastbarkeit: regelmäßige Backups mit definiertem Wiederherstellungsprozess nach Maßgabe des Hosters (Scalingo, EU).

D. Datenschutz-Management und Evaluierung: definierte Aufbewahrungs- und Löschprozesse (kohortenbasierte Anonymisierung, Legal Hold); laufende Bewertung der Maßnahmen; eine ISO-27001-Zertifizierung ist in Planung.

E. Hosting: Anbieter und Standorte siehe Anlage 2; der Standort entscheidet über den Drittlandbezug (§ 15).

Anlage 2 — Unterauftragsverarbeiter

Stand 26.06.2026. Aufgeführt sind ausschließlich die tatsächlich produktiv eingesetzten Unterauftragsverarbeiter. Die Hinzunahme weiterer Anbieter wird vor der ersten Verarbeitung nach § 10.2 (30-Tage-Vorlauf, Widerspruchsrecht) angekündigt und erst dann aufgenommen.

Scalingo SAS — EU (Frankreich, Paris): Platform-as-a-Service (Anwendungs-Hosting, PostgreSQL, Redis, Speicherung sämtlicher Anwendungsdaten und hochgeladener Dokumente/Anhänge). Kein Drittland (EU-only).

Brevo SA — EU (Frankreich, Paris): Transaktions-E-Mail und E-Mail-Benachrichtigungen. Kein Drittland (EU-only).

Scaleway SAS — EU (Frankreich/Niederlande, Paris/Amsterdam): Object-Storage für hochgeladene Dokumente (Verträge, Belege). Kein Drittland (EU-only).

Bunny Holdings d.o.o. (Bunny.net) — EU (Slowenien): autoritatives DNS-Management für die Domain clever.hr, Edge-Caching/CDN, DDoS-Schutz und Web Application Firewall (WAF). Kein Drittland (EU-Anbieter).

AppSignal B.V. — EU (Niederlande): Application Performance Monitoring (Performance- und Fehlerüberwachung der Anwendung, Stack-Trace-Diagnose). Kein Drittland (EU-only).

Anlage 3 — Beschreibung der Verarbeitung

Die Beschreibung der Verarbeitung im Sinne von Anhang I.B des EU-Musters (2021/915) ergibt sich aus den §§ 1—5 dieses AVV (Gegenstand, Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen).