v1.2 · 08.08.2026
Stand: 08.08.2026 Version: 1.0 Geltungsbereich: Art. 28 DSGVO, Art. 32 DSGVO, Art. 82 DSGVO, LOPDGDD Vertragspartner: flowgeist (Auftragsverarbeiter) ↔ Kunde (Verantwortlicher)
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Rechte und Pflichten zwischen dem Verantwortlichen (nachfolgend „Kunde”) und dem Auftragsverarbeiter (nachfolgend „flowgeist”) im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der SaaS-Plattform CombiJornada (Arbeitszeit- und Schichtplanung / Jornada-Management).
Der Vertrag dient der Erfüllung der Verpflichtungen aus Art. 28 DSGVO sowie den entsprechenden Vorgaben des spanischen Datenschutzgesetzes (LOPDGDD — Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales) und gilt ergänzend zu den Allgemeinen Geschäftsbedingungen (AGB) für CombiJornada.
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch flowgeist im Rahmen der Bereitstellung der CombiJornada-Plattform (Arbeitszeit- und Schichtplanungs-Plattform / Jornada-Management) für den Kunden.
(2) Der AVV gilt für die gesamte Dauer der Inanspruchnahme der CombiJornada-Plattform durch den Kunden und endet mit Beendigung des zugrundeliegenden SaaS-Vertrages.
(3) Nach Beendigung des Vertrages gelten die Regelungen zur Löschung und Rückgabe von Daten (§ 3 Abs. 7) fort.
(1) Die Verarbeitung personenbezogener Daten durch flowgeist erfolgt im Rahmen der CombiJornada-Plattform mit folgenden Datenkategorien:
| Datenkategorie | Beschreibung | Beispiele |
|---|---|---|
| Stammdaten | Grundlegende Identifikations- und Kontaktdaten | Name, Vorname, E-Mail-Adresse, Firmenname, Anschrift |
| Arbeitszeitdaten | Daten zur Arbeitszeiterfassung | Arbeitsbeginn, Arbeitsende, Pausenzeiten, Überstunden |
| Schicht- und Dienstplandaten | Daten zur Schicht- und Dienstplanung | Schichtzeiten, Diensteinteilung, Mitarbeiterzuordnung |
| Urlaubs- und Abwesenheitsdaten | Daten zur Urlaubs- und Abwesenheitsverwaltung | Urlaubsanträge, Genehmigungsstatus, Krankheitstage |
| Zugangsdaten | Authentifizierungsdaten | NextAuth + JWT, Passwort-Hash, Session-Token, Benutzerrollen |
| Dokumente | Hochgeladene Dateien | Arbeitsverträge, Schichtpläne als PDF, Abwesenheitsbescheinigungen |
| Audit-Daten | Protokollierung von Systemzugriffen | Login-Zeiten, Aktionen, IP-Adressen, Benutzerkennungen |
| Rechnungsdaten | Zahlungs- und Abrechnungsdaten | Stripe Customer ID, Rechnungsadresse |
(2) Betroffene Personenkreise:
(3) Verarbeitungszwecke: Arbeitszeit-Erfassung, Schichtplanung, Urlaubsverwaltung, Reporting, Mitarbeiter-Self-Service, Abrechnung, Sicherheit und Audit-Protokollierung.
(4) Die Verarbeitung erfolgt ausschließlich im Rahmen der Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Der Verantwortlicher bestätigt, dass die Weisungen im Einklang mit den gesetzlichen Vorgaben (insbesondere DSGVO, LOPDGDD, spanisches Arbeitsrecht) stehen.
flowgeist verarbeitet die personenbezogenen Daten des Verantwortlichen streng vertraulich. flowgeist stellt sicher, dass alle Personen, die im Rahmen des Auftrags Zugang zu personenbezogenen Daten haben, der Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO und Art. 29 DSGVO unterliegen. Die Verschwiegenheitspflicht gilt über das Vertragsende hinaus.
flowgeist implementiert und wartet angemessene technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die TOMs sind im Anhang dieses Vertrages dokumentiert und umfassen insbesondere:
flowgeist beauftragt folgende Unter-Auftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO):
| Unter-Auftragsverarbeiter | Sitz | Leistung | Drittstaaten-Transfer |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland (Falkenstein) | Hosting, PostgreSQL 16, Redis, Backup | Keine (EU) |
| Stripe Payments Europe, Ltd. | Irland (IE) / USA (US-Konzernmutter) | Zahlungsabwicklung | EU-US Data Privacy Framework + SCC |
| AWS S3 (Amazon Web Services, Inc.) | USA / EU | Datei-Storage (Dokumente, PDFs) | EU-US Data Privacy Framework + SCC |
flowgeist schließt mit allen Unter-Auftragsverarbeitern entsprechende AVV-Vereinbarungen gemäß Art. 28 Abs. 4 DSGVO ab. Für Drittstaaten-Übermittlungen werden Standardvertragsklauseln (SCC) und das EU-US Data Privacy Framework (DPF) herangezogen.
Der Verantwortliche erteilt hiermit die generelle Genehmigung zur Beauftragung der oben genannten Unter-Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). flowgeist informiert den Verantwortlichen über wesentliche Änderungen der Unter-Auftragsverhältnisse.
flowgeist unterstützt den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Datenübertragbarkeitsbegehren betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Die Unterstützung erfolgt im Rahmen der technischen Möglichkeiten der Plattform.
flowgeist unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO, soweit die Verarbeitungstätigkeiten dies erforderlich machen (Art. 28 Abs. 3 lit. f DSGVO). Dies umfasst die Bereitstellung relevanter Informationen über die Verarbeitung und die TOMs.
flowgeist meldet dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, jede Verletzung des Schutzes personenbezogener Daten, die für den Verantwortlichen relevant sein können (Art. 28 Abs. 3 lit. g, Art. 33 DSGVO). Die Meldung umfasst:
flowgeist dokumentiert alle Datenschutzverletzungen einschließlich der getroffenen Maßnahmen.
Nach Beendigung des Auftragsverhältnisses löscht flowgeist die personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Rückgabe der Daten in einem strukturierten, gängigen und maschinenlesbaren Format kann innerhalb von 30 Tagen nach Vertragsende auf Verlangen des Verantwortlichen erfolgen.
Aufbewahrungsfristen:
| Datenkategorie | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Stammdaten | 30 Tage nach Vertragsende | DSGVO Art. 5 Abs. 1 lit. e |
| Arbeitszeitdaten | 4 Jahre | Art. 34 Estatuto de los Trabajadores |
| Schicht- und Dienstplandaten | 4 Jahre | Art. 34 Estatuto de los Trabajadores |
| Urlaubs- und Abwesenheitsdaten | 4 Jahre | Spanisches Arbeitsrecht |
| Audit-Logs | 3 Jahre | Art. 6 Abs. 1 lit. f DSGVO |
| Rechnungsdaten | 10 Jahre | § 147 AO / Art. 67 LGT (Spanien) |
flowgeist verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Weisungen können in Textform (E-Mail) erteilt werden. flowgeist dokumentiert alle Weisungen.
Sofern flowgeist der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Bestimmungen (DSGVO, LOPDGDD oder spanisches Arbeitsrecht) verstößt, wird flowgeist den Verantwortlichen unverzüglich darauf hinweisen (Art. 28 Abs. 3 lit. a Halbsatz 2 DSGVO).
(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung (Art. 28 Abs. 3 DSGVO) und für die Einhaltung der gesetzlichen Vorgaben, insbesondere:
(2) Der Verantwortlicher stellt sicher, dass die betroffenen Personen (Mitarbeiter) gemäß Art. 13/14 DSGVO über die Datenverarbeitung informiert werden und dass die erforderlichen Rechtsgrundlagen (insbesondere Art. 6 Abs. 1 lit. b, Art. 88 DSGVO, Art. 22 LOPDGDD) vorliegen.
(3) Der Verantwortlicher ist verantwortlich für die Einhaltung der Informations- und Mitwirkungspflichten gegenüber dem Betriebsrat oder der Arbeitnehmervertretung (gemäß spanischem Arbeitsrecht, insbesondere Art. 64 Estatuto de los Trabajadores).
(4) Der Verantwortlicher prüft und genehmigt die in § 3 Abs. 3 genannten Unter-Auftragsverarbeiter.
(5) Der Verantwortlicher trägt die Verantwortung für die Richtigkeit, Vollständigkeit und Aktualität der in die CombiJornada-Plattform eingegebenen Daten.
(1) Der Verantwortliche hat das Recht, die Einhaltung der Pflichten von flowgeist gemäß Art. 28 DSGVO zu kontrollieren. Dies umfasst insbesondere:
(2) flowgeist unterstützt den Verantwortlichen bei Kontrollen und Audits im angemessenen und zumutbaren Umfang. Die Durchführung von Audits erfolgt nach vorheriger Terminabsprache (mindestens 4 Wochen im Voraus) und unter Beachtung der Betriebsgeheimnisse von flowgeist.
(3) flowgeist stellt dem Verantwortlichen auf Anfrage die erforderlichen Nachweise (Zertifikate, Audit-Berichte) zur Verfügung, soweit diese nicht vertraulich sind.
(1) Die primäre Verarbeitung personenbezogener Daten erfolgt in Deutschland (Hetzner Online GmbH, Falkenstein). Eine Übermittlung in Drittstaaten (außerhalb der EU/EWR) findet statt bei:
AWS S3 (USA): Datei-Storage über AWS S3. AWS ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Zusätzlich werden Standardvertragsklauseln (SCC) der Europäischen Kommission abgeschlossen.
Stripe (USA): Zahlungsabwicklung über Stripe Payments Europe, Ltd. (Irland). Stripe Inc. (USA) als Konzernmutter ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich werden Standardvertragsklauseln (SCC) angewendet.
(2) flowgeist hat für beide Drittstaaten-Übermittlungen eine Transfer-Impact-Assessment (TIA) gemäß Art. 46 DSGVO durchgeführt. Die Ergebnisse der TIA bestätigen, dass keine Gründe bestehen, an einem angemessenen Schutzniveau zu zweifeln. Die TIA wird regelmäßig (mindestens jährlich) aktualisiert.
(3) flowgeist informiert den Verantwortlichen unverzüglich, wenn neue oder geänderte Umstände die Drittstaaten-Übermittlung betreffen und eine Anpassung der TIA oder der Schutzmaßnahmen erforderlich machen.
(4) Der Verantwortliche ist für die Unterrichtung der betroffenen Personen über die Drittstaaten-Übermittlung gemäß Art. 13/14 DSGVO verantwortlich.
(1) Die Haftung richtet sich nach Art. 82 DSGVO sowie den gesetzlichen Bestimmungen. flowgeist haftet dem Verantwortlichen für Schäden, die durch eine Verletzung der Pflichten aus diesem AVV oder der DSGVO entstehen, nach Maßgabe der gesetzlichen Bestimmungen.
(2) flowgeist haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit. Für leichte Fahrlässigkeit haftet flowgeist nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), deren Verletzung die Erreichung des Vertragszwecks gefährdet, und nur in Höhe des typischerweise vorhersehbaren Schadens.
(3) Die Haftung für indirekte Schäden, Folgeschäden und entgangenen Gewinn ist, soweit gesetzlich zulässig, auf den typischerweise vorhersehbaren Schaden begrenzt.
(4) Die vorstehenden Haftungsbeschränkungen gelten nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie für Fälle zwingender gesetzlicher Haftung.
(1) Dieser AVV unterliegt, soweit gesetzlich zulässig, deutschem Recht unter Ausschluss des UN-Kaufrechts (CISG). Für Verträge mit Kunden mit Sitz in Spanien gilt ergänzend spanisches Recht, soweit nicht zwingende EU-Vorgaben (insbesondere DSGVO) etwas anderes bestimmen.
(2) Gerichtsstand ist, soweit gesetzlich zulässig, Mettmann (Deutschland). Für Streitigkeiten mit spanischen Kunden ist, soweit gesetzlich zulässig, auch der Sitz des Kunden in Spanien als Gerichtsstand vereinbart.
(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, unwirksame Bestimmungen durch solche zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommen.
(4) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Formvorschrift.
(5) Dieser AVV ist Teil des SaaS-Vertrages für CombiJornada und gilt ergänzend zu den AGB.
Auftragsverarbeiter: flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland E-Mail: info@flowgeist.de Datenschutz: datenschutz@flowgeist.de
Verantwortlicher (Kunde):
Name/Firma: ________________________ Anschrift: ________________________ E-Mail: ________________________ Datum: ________________________
Die detaillierten Technischen und Organisatorischen Maßnahmen (TOMs) sind in einem separaten Dokument dokumentiert:
Referenz: TOMs CombiJornada — Technische und organisatorische Maßnahmen (Stand: 08.08.2026, Version 1.0)
Die TOMs umfassen:
| Version | Datum | Wesentliche Änderungen |
|---|---|---|
| 1.0 | 08.08.2026 | Erstfassung als produktspezifischer AVV für CombiJornada |
flowgeist (Auftragsverarbeiter) Ralf Carsjens Datum: ______________
Kunde (Verantwortlicher) Name: ______________ Datum: ______________
© 2026 flowgeist – Ralf Carsjens · Alle Rechte vorbehalten