Stempel-Uhr
Fassung herunterladen

Vereinbarung zur Auftragsverarbeitung – Stempel-Uhr

Fassung 2026-09-07 einschließlich Anlagen A bis C. Bei neuen Online-Abschlüssen wird diese Vereinbarung mit ausdrücklicher Bestätigung bei Registrierung und anschließender Freischaltung geschlossen. Eine bloße Ansicht oder ein Download begründet für sich keinen Abschluss. Bestandskunden wird keine neue Zustimmung rückwirkend zugewiesen.

1. Parteien, Gegenstand und Dauer

Auftragsverarbeiter: Quansatech GmbH, Steyrtalstraße 88, 4523 Neuzeug, Österreich. Kontakt und Weisungsannahme: office@quansatech.at.

Verantwortlicher ist der bei Registrierung mit Betriebsnamen und Anschrift angegebene Betrieb, vertreten durch die bestätigende berechtigte Person. Der individuelle Vertragsnachweis enthält Betrieb, Anschrift, handelnde Person, Kontaktadresse, Fassung und Annahmezeitpunkt und ist im Konto herunterladbar. Er vervollständigt diese Vereinbarung.

Gegenstand ist Betrieb, Bereitstellung, Wartung und erforderliche Unterstützung der Zeiterfassungsanwendung. Die Vereinbarung gilt während der beauftragten Verarbeitung einschließlich Test-, Rückgabe- und Löschphase. Eigene Vertrags-/Rechnungsverarbeitung des Anbieters ist davon zu unterscheiden.

2. Daten und Zwecke

Die Anwendung erfasst, speichert, ordnet zu, berechnet, zeigt an, berichtigt und exportiert Arbeitszeit- und Abwesenheitsdaten. Betroffen sind Beschäftigte, ehemalige Beschäftigte und berechtigte Administratoren.

Datenkategorien: Mitarbeiterstammdaten, betriebliche Kontaktangaben, Beschäftigungs- und Arbeitszeitmodelle, Sollzeiten, gehashte Zugangsdaten/PINs, gegebenenfalls Badge-Kennungen, Zeitbuchungen, Korrekturen, Abwesenheiten und zugehörige technische Änderungsdaten. Mandantenbezogene Einrichtungsfortschritte unterstützen Einrichtung und Betreuung; sie sind nicht anonym.

Krankenstandskennzeichnungen können Gesundheitsbezug haben. Diagnosen und medizinische Unterlagen werden nicht benötigt und sollen weder in Freitextfeldern noch per E-Mail übermittelt werden. Der Verantwortliche prüft die einschlägigen Grundlagen einschließlich besonderer Datenkategorien. Beschäftigtendaten werden nicht zur Werbung verkauft, veröffentlicht oder für Werbeplattformen exportiert.

3. Weisungen und Vertraulichkeit

Die Verarbeitung erfolgt im vereinbarten Umfang und nach dokumentierten Weisungen. Weisungen nimmt Quansatech über berechtigte Kontofunktionen oder office@quansatech.at nach Prüfung der Berechtigung entgegen. Rechtlich bedenkliche Weisungen und entgegenstehende gesetzliche Anforderungen werden soweit zulässig mitgeteilt.

Zugriff erhalten nur berechtigte, zur Vertraulichkeit verpflichtete Personen, soweit erforderlich. Berechtigungen werden bei Wegfall des Bedarfs entzogen. Die Vertraulichkeit gilt über Tätigkeits- und Vertragsende hinaus. Der Verantwortliche informiert seine Beschäftigten und legt zulässige Erfassung und Aufbewahrung fest.

4. Sicherheit und Unterstützung

Die Maßnahmen in Anlage A sind Teil der Vereinbarung. Technische Weiterentwicklung darf das vereinbarte Schutzniveau nicht absenken. Quansatech unterstützt den Verantwortlichen im erforderlichen Umfang bei Betroffenenrechten, Sicherheitsvorfällen und notwendigen Datenschutzprüfungen. Anfragen zu Beschäftigtendaten werden dem jeweiligen Verantwortlichen zugeordnet; keine Herausgabe an ungeprüfte Personen.

Bekannt gewordene Verletzungen des Schutzes beauftragter personenbezogener Daten werden dem Verantwortlichen ohne unangemessene Verzögerung gemeldet. Soweit bekannt werden Art, Umfang, betroffene Daten, mögliche Auswirkungen und Maßnahmen mitgeteilt; fehlende Informationen werden ergänzt. Eigene gesetzliche Pflichten bleiben bestehen.

5. Weitere Auftragsverarbeiter und Kontrollen

Die in Anlage B konkret genannten weiteren Auftragsverarbeiter werden mit Abschluss dieser Fassung für den dort begrenzten Umfang genehmigt. Weitere externe Auftragsverarbeiter oder deren Austausch bedürfen vorheriger spezifischer Genehmigung in Textform nach Information über Rechtsträger, Leistung, Daten und Verarbeitungsorte beziehungsweise Transfergrundlagen. Schweigen gilt nicht als Zustimmung. Gleichwertige Datenschutzpflichten sind weiterzugeben; Quansatechs Verantwortung bleibt bestehen.

Quansatech stellt erforderliche Nachweise bereit und ermöglicht geeignete Kontrollen im gesetzlich erforderlichen Umfang. Vertraulichkeit, Systemsicherheit und Rechte anderer Kunden sind zu wahren. Ablauf und Ansprechpartner werden abgestimmt, ohne gesetzliche Kontrollrechte pauschal auszuschließen. Eine Zertifizierung oder ein behördlich geprüftes Datenschutzniveau wird nicht behauptet.

6. Rückgabe und Löschung

Nach tatsächlichem Testende ohne Folgeauftrag beziehungsweise wirksamem Vertragsende bestehen 30 Kalendertage Lese-/Exportzugriff ohne zusätzliches Entgelt. Benachrichtigungen erfolgen zum Test-/Vertragsende und mindestens sieben Kalendertage vor Exportende. Die vorhandenen Exporte beschränken einen weitergehenden berechtigten Rückgabeanspruch nicht.

Mit Abschluss dieses AVV wird die Löschung nach Ende dieser Phase angewiesen, sofern keine andere zulässige Weisung, ein offener berechtigter Rückgabe-/Wechselvorgang oder eine gesetzliche Pflicht entgegensteht. Rückgabe ist grundsätzlich mit anschließender Löschung der verbleibenden beauftragten Daten verbunden. Produktivlöschung einschließlich Arbeitskopien, mandantenbezogener Audit-/Einrichtungsdaten und Zugangsberechtigungen erfolgt ohne unnötige Verzögerung, spätestens binnen sieben Kalendertagen. Sicherungskopien der Plattform laufen spätestens 30 Kalendertage nach tatsächlicher Produktivlöschung aus und sind bis dahin für reguläre Nutzung gesperrt.

Eine geprüfte berechtigte frühere Löschweisung wird produktiv ohne unnötige Verzögerung, spätestens binnen sieben Kalendertagen umgesetzt; die Backupfrist läuft ab tatsächlicher Löschung. Kürzere zwingende Fristen gehen vor. Vor einer Wiederherstellung werden bereits erteilte Löschungen anhand des getrennten Löschregisters berücksichtigt. Umkopieren verlängert Fristen nicht.

Bei einem einschlägigen Anbieterwechsel nach dem Data Act beginnt die mindestens 30-tägige Abrufphase nach Ende des vereinbarten Übergangszeitraums. Ein offener berechtigter Wechsel oder ein vom Anbieter verursachter Exportausfall wird vor Löschung geklärt; neue Endpunkte und Gründe werden dokumentiert. Zwingende Wechsel- und Löschvorgaben gehen vor.

Im gewöhnlichen Ablauf sind die Anwendungsdaten spätestens nach 37 und die Plattform-Backupkopien spätestens nach 67 Kalendertagen ab Test-/Vertragsende entfernt. Produktivlöschung und Backup-Auslauf werden mit Zeitpunkt und Umfangskategorien bestätigt. Eigene gesetzlich benötigte Rechnungsunterlagen und begrenzte Vertrags-/Löschnachweise werden getrennt gehalten; sie enthalten keine Kopie der gelöschten Arbeitszeitbestände. Archivierung oder Nur-Lese-Zugriff allein ist keine Löschung.

Anlage A – Technische und organisatorische Maßnahmen

Anlage B – Eigenbetrieb und genehmigte Dienstleister

Quansatech GmbH, Steyrtalstraße 88, 4523 Neuzeug: eigener Anwendungsbetrieb unter Quansatech/PrimeHosting, Hosting Wien; Plattform-Backups ausschließlich Österreich. PrimeHosting bezeichnet hier keinen zusätzlichen externen Rechtsträger.

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland: Microsoft 365 für geschäftliche E-Mail-Kommunikation, Adressierung und erforderliche Zustell-/Sicherheitsdaten; nicht für die Speicherung der Arbeitszeitdatenbank. Bei beauftragten Supportinhalten erfolgt der Einsatz im erforderlichen Umfang als weiterer Auftragsverarbeiter. Vertragsgrundlage sind die Microsoft-Produktbedingungen und das Microsoft Products and Services Data Protection Addendum. Die tatsächliche Microsoft-Verarbeitung ist nicht ausschließlich auf Österreich beschränkt; Microsoft beschreibt auch bestimmte Verarbeitungen beziehungsweise Zugriffe außerhalb der EU/EFTA und entsprechende Schutzgrundlagen.

Microsoft-Vertragsgrundlage: https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA

Microsoft-Informationen zu grenzüberschreitender Verarbeitung: https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-transfers-for-all-services

Stripe und Google Analytics werden für gesonderte Zahlungs-/Websitezwecke eingesetzt und sind nicht pauschal Auftragsverarbeiter der gesamten Beschäftigtendatenbank. Ihre tatsächlichen Verarbeitungen stehen in den Datenschutzhinweisen. Arbeitszeitlisten und Gesundheitsunterlagen sollen nicht per E-Mail versandt werden; die geschützte Anwendung und der sichere Datenexport sind dafür vorgesehen.

Anlage C – Abschluss und Nachweis

Die bei Registrierung angegebenen Parteien- und Kontaktdaten, Annahmezeitpunkt, Vertragsfassung und Prüfsummen der gespeicherten Dokumente werden im individuellen Vertragsnachweis zusammengeführt. Quansatech nimmt den Vertrag mit Freischaltung des Kontos an. Der Nachweis samt den vollständigen angenommenen Unterlagen ist unter „Mein Konto“ speicherbar. Zuständiger Anbieterkontakt für Weisungen und Datenschutz ist office@quansatech.at; auf Kundenseite der berechtigte Betriebskontakt. Änderungen werden dokumentiert; dem Kunden wird keine rückwirkende Annahme zugewiesen.

Es gilt österreichisches Recht, soweit zwingende Vorschriften nichts anderes vorsehen. Datenschutzrechtliche Ansprüche und gesetzliche Pflichten bleiben unberührt.