Auftragsverarbeitungsvertrag

1. Gegenstand, Rollen und anwendbares Recht

Dieser AVV gilt, wenn Super44 personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, um Super44 oder Superstaff bereitzustellen. Der Verantwortliche bestimmt Zwecke und wesentliche Mittel; Super44 verarbeitet nur nach diesem Vertrag und rechtmäßigen Weisungen des Verantwortlichen.

Für Verarbeitungen im EWR beziehen sich Verweise auf die DSGVO auf die Verordnung (EU) 2016/679. Für UK-Verarbeitungen beziehen sie sich auf die UK GDPR und den Data Protection Act 2018. Für beide Regelwerke gelten dieselben Auftragsverarbeiterpflichten nach Artikel 28.

2. Einzelheiten der Verarbeitung

Gegenstand ist das Hosting und der Betrieb der vereinbarten Dienste für Geschäftsassistenz, Ausgaben und Personal. Die Verarbeitung dauert während der Vertragslaufzeit zuzüglich der unten beschriebenen Lösch- und Backup-Fristen. Sie umfasst Erheben, Erfassen, Ordnen, Speichern, Abrufen, Analysieren, Übermitteln auf Weisung, Einschränken, Exportieren und Löschen. Zweck ist die Bereitstellung, Absicherung, Unterstützung und Wartung der ausgewählten Dienste.

• Betroffene Personen: Inhaber und berechtigte Nutzer des Verantwortlichen; Arbeitnehmer einschließlich junger Beschäftigter, soweit deren Beschäftigung rechtmäßig ist; in Superstaff erfasste Beschäftigte, Auftragnehmer, Bewerber oder ehemalige Beschäftigte; sowie Kundenkontakte in verbundenen Geschäftsdaten.
• Datenarten: Identifikations- und Kontaktdaten; Geburtsdatum; Rollen, Beschäftigungsarten und rechtlicher Beschäftigungsstatus; Beschäftigungsbeginn; vereinbarte Vergütung und Wochenstunden; Urlaubsgeldmethode, Beginn des Urlaubsjahres und Urlaubsansprüche; Nachweise zu Arbeitsberechtigung und Beschäftigungs-Onboarding; Verfügbarkeit; Schichtpläne; Urlaub, Abwesenheiten und Tauschanfragen; Stempel-, Kiosk-, Stundenzettel- und Lohnexportdaten; Chat-Weisungen; POS-, Beleg- und Integrationsdaten; Geräte-, Sicherheits- und Supporttelemetrie.
• Besondere Kategorien sind nicht erforderlich. Der Verantwortliche darf sie nur übermitteln, wenn dies notwendig, rechtmäßig und vom Dienst ausdrücklich unterstützt ist. Krankheitsstatus kann Gesundheitsdaten offenbaren; der Verantwortliche muss Details minimieren und eine geeignete Rechtsgrundlage und Schutzmaßnahmen anwenden.

3. Pflichten und Weisungen des Verantwortlichen

Der Verantwortliche ist für Rechtmäßigkeit, Fairness, Transparenz und Richtigkeit der Daten und Weisungen verantwortlich, erteilt erforderliche Hinweise, bestimmt Rechtsgrundlagen, führt nötige Beschäftigtenbeteiligung durch und bearbeitet Betroffenenrechte. Er stellt sicher, dass berechtigte Nutzer nur zulässige Daten eingeben. Vertrag, Produktkonfiguration, dokumentierte Supportanfragen und rechtmäßige Nutzung von Produktfunktionen gelten als dokumentierte Weisungen.

Hält Super44 eine Weisung für datenschutzrechtswidrig, informiert es den Verantwortlichen, soweit nicht gesetzlich verboten, und kann die betroffene Verarbeitung bis zur Klärung aussetzen.

4. Pflichten des Auftragsverarbeiters

• Personenbezogene Daten nur auf dokumentierte Weisung verarbeiten, auch bei internationalen Übermittlungen, sofern nicht Unions-, Mitgliedstaaten- oder UK-Recht etwas anderes verlangt; soweit zulässig, informiert Super44 vorab.
• Sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.
• Geeignete technische und organisatorische Maßnahmen nach Artikel 32 einführen und aufrechterhalten.
• Die Bedingungen für Unterauftragsverarbeiter in Abschnitt 6 einhalten.
• Den Verantwortlichen unter Berücksichtigung der Verarbeitungsart durch geeignete Maßnahmen bei Betroffenenanfragen unterstützen.
• Unter Berücksichtigung der Verarbeitungsart und verfügbarer Informationen bei Pflichten nach Artikeln 32 bis 36 unterstützen, insbesondere Sicherheit, Datenschutzverletzungen, Folgenabschätzungen und Behördenkonsultation.
• Nach Ende der Dienste nach Wahl des Verantwortlichen Daten löschen oder zurückgeben und Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Erforderliche Nachweise bereitstellen und angemessene Prüfungen nach Abschnitt 9 ermöglichen.

5. Sicherheit und Vorfälle

Super44 setzt risikogerechte Maßnahmen ein, darunter minimale Zugriffsrechte, Verschlüsselung bei Übertragung und Speicherung soweit unterstützt, primäres Hosting der Anwendung in einer EU-Region, mandantenbezogene Autorisierung, Protokollierung und Monitoring, sichere Entwicklung und Änderungen, Backups, Wiederherstellungsverfahren, Schwachstellenmanagement und Incident Response. Die Modellinferenz über Bedrock kann die in Abschnitt 7 beschriebene abgesicherte regionsübergreifende Verarbeitung nutzen. Maßnahmen dürfen weiterentwickelt werden, sofern das Gesamtschutzniveau nicht wesentlich sinkt.

Super44 informiert den Verantwortlichen unverzüglich, nachdem es von einer Verletzung des Schutzes personenbezogener Daten des Verantwortlichen Kenntnis erlangt. Die Meldung enthält verfügbare Informationen für dessen Pflichten und wird ergänzt, sobald weitere Tatsachen bekannt werden. Super44 ergreift angemessene Maßnahmen zur Eindämmung, Untersuchung und Behebung.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung für die unten genannten Unterauftragsverarbeiter. Super44 verpflichtet sie zu im Wesentlichen gleichwertigem Datenschutz und bleibt für ihre Leistung verantwortlich. Über neue oder ersetzte Unterauftragsverarbeiter, die Kundendaten verarbeiten, informiert Super44 mit angemessener Vorlaufzeit. Der Verantwortliche kann aus nachvollziehbaren Datenschutzgründen widersprechen; die Parteien suchen nach einer wirtschaftlich zumutbaren Alternative. Ist keine verfügbar, kann jede Partei den betroffenen Dienst beenden.

• Amazon Web Services EMEA SARL / einschlägige AWS-Unternehmen — EU-primäre Infrastruktur, Datenbanken, Objektspeicher und Zustelldienste; die Verarbeitung mit Anthropic Claude über Amazon Bedrock nutzt EU- und konfigurierte globale regionsübergreifende Inferenzprofile und kann eine abgesicherte Verarbeitung außerhalb des EWR oder des Vereinigten Königreichs umfassen; primäre Anwendungsregion eu-central-1 (Frankfurt).
• Clerk — Authentifizierung und Verwaltung von Nutzerkonten.
• Upstash — in der EU gehosteter Vektorspeicher zum Speichern und Abrufen von Gesprächsinhalten.
• Langfuse — gefilterte Beobachtungsdaten zu KI-Anfragen, -Antworten und -Abläufen.
• Vercel — Hosting und Auslieferung der Webanwendungen sowie Anfrageprotokolle.
• Expo — Infrastruktur für Mobile-App-Updates und Push-Mitteilungen.
• Sentry — Fehler- und Leistungsdiagnosen für Anwendungen.
• PostHog EU Cloud — Produktanalyse und betriebliche Produkt-Ereignisse.
• Better Stack — Protokolle, Verfügbarkeit und Betriebsmonitoring.
• Slack — begrenzte Support- und Betriebsmitteilungen einschließlich Funktionsaktivierungen und unterstützter Wechsel der Personalquelle.
• Twilio und Meta Platforms Ireland — optionale WhatsApp-Nachrichtenübertragung, Webhooks und Zustellverarbeitung.
• Google — nur für vom Verantwortlichen aktivierte Google-OAuth-, Unternehmensprofil- oder Gmail-Integrationen.

7. Internationale Übermittlungen

Kerndaten des Dienstes werden überwiegend im EWR verarbeitet. Für beschränkte Übermittlungen aus dem Vereinigten Königreich in den EWR stützen sich die Parteien auf die jeweils geltenden britischen Angemessenheitsvorschriften für den EWR.

Der konfigurierte globale regionsübergreifende Inferenzbetrieb von Amazon Bedrock sowie künftige Übermittlungen durch Super44 oder einen Unterauftragsverarbeiter können eine Verarbeitung außerhalb des EWR oder des Vereinigten Königreichs umfassen. Ist eine Übermittlung nicht durch einen Angemessenheitsbeschluss oder entsprechende Vorschriften gedeckt, verwenden die Parteien die einschlägigen EU-Standardvertragsklauseln, das UK International Data Transfer Agreement oder UK Addendum oder einen anderen rechtmäßigen Mechanismus, gegebenenfalls ergänzt durch zusätzliche Schutzmaßnahmen. Dieser AVV bezieht diese Garantien ein, soweit sie für die Übermittlung erforderlich sind.

8. Betroffenenrechte und Unterstützung

Super44 leitet direkt eingehende Betroffenenanfragen unverzüglich weiter, soweit der Verantwortliche erkennbar ist, und beantwortet sie inhaltlich nur auf dessen Weisung oder wenn gesetzlich erforderlich. Produktfunktionen und angemessener Support helfen beim Zugriff, bei Berichtigung, Export, Einschränkung oder Löschung. Für außergewöhnliche Unterstützung außerhalb der Standardfunktionen kann Super44 angemessene vereinbarte Kosten berechnen.

9. Nachweise und Prüfungen

Super44 stellt angemessen erforderliche Informationen zum Compliance-Nachweis bereit. Der Verantwortliche soll zunächst aktuelle Sicherheitsunterlagen, Zertifizierungen und schriftliche Antworten nutzen. Reichen diese nicht aus, kann er einmal jährlich sowie zusätzlich nach einer relevanten Datenschutzverletzung oder Behördenanfrage mit angemessener Vorankündigung während der Geschäftszeiten prüfen; Vertraulichkeit und Schutz anderer Kunden sind einzuhalten. Der Verantwortliche trägt die Kosten, sofern die Prüfung keinen wesentlichen Verstoß von Super44 feststellt.

10. Rückgabe, Löschung und Aufbewahrung

Während der Vertragslaufzeit kann der Verantwortliche verfügbare Export- und Löschfunktionen nutzen. Bei Vertragsende oder gültiger Weisung löscht Super44 Kundendaten innerhalb der in der Datenschutzerklärung genannten Fristen oder gibt sie zurück, ausgenommen gesetzlich erforderliche Aufbewahrung. Personenbezogene Daten in Backups sind von der normalen Nutzung isoliert und verfallen innerhalb des angegebenen Backup-Zyklus. Gesetzliche Unterlagen des Verantwortlichen bleiben dessen Verantwortung.

11. Vorrang, Haftung und Änderungen

Widerspricht dieser AVV den Nutzungsbedingungen hinsichtlich der Auftragsverarbeitung personenbezogener Daten, geht dieser AVV vor. Die Haftungsregeln der Nutzungsbedingungen gelten soweit datenschutzrechtlich zulässig. Änderungen folgen den Nutzungsbedingungen; eine zur Wahrung rechtlicher Compliance erforderliche Änderung kann mit Mitteilung wirksam werden. Eine wesentliche Verringerung des Schutzes erfordert die Zustimmung des Verantwortlichen oder einen rechtmäßigen Ersatzmechanismus.

12. Kontakt

Datenschutzfragen, Unterstützung bei Betroffenenrechten, Prüfungsanfragen und Vorfallkontakte gehen an hello@super44.ai. Die Postanschrift der Super44 GmbH lautet Rheinwerkallee 6, 53227 Bonn, Deutschland.