Vertrag zur Auftragsverarbeitung
gemäß Art. 28 DSGVO · Bestandteil des Lizenzvertrags über TOTUM SUITE · Version recht-2026-10d
zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und TOTUM SUITE, Straßäckerweg 38, 88471 Laupheim (Auftragsverarbeiter, „Auftragnehmer“).
§ 1 Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich zur Bereitstellung von TOTUM SUITE nach dem Lizenzvertrag. Die Dauer entspricht der Laufzeit des Lizenzvertrags.
§ 2 Art und Zweck, Datenarten, Betroffene
| Zweck | Projekt- und Auftragsverwaltung, Zeiterfassung, Tages- und Regieberichte, Material, Kalender, interne Kommunikation, Ausbildungsnachweise, Urlaubs- und Krankmeldungen, Kundenportal |
|---|---|
| Datenarten | Stammdaten (Name, Kontakt), Arbeits- und Ausbildungszeiten, Standort beim Ein-/Ausstempeln (nur mit Einwilligung der Beschäftigten), Berichte, Fotos und Dokumente, Chat-Nachrichten, Abwesenheiten einschließlich Krankmeldungen (Gesundheitsdaten nach Art. 9 DSGVO, nur Zeitraum bzw. AU-Bescheinigung), Kunden- und Projektdaten, Unterschriften |
| Betroffene | Beschäftigte und Auszubildende des Auftraggebers, dessen Kunden und Ansprechpartner |
§ 3 Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; die Weisungen sind durch den Lizenzvertrag und die Bedienung der Software durch den Auftraggeber festgelegt. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
§ 4 Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
§ 5 Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (TLS/HTTPS), Speicherung in Rechenzentren in Deutschland bzw. der EU
- Rollen- und Rechtekonzept, in der Datenbank erzwungen (Zeilensicherheit); jeder Benutzer sieht nur, was er sehen darf
- Lückenloses Änderungsprotokoll (2 Jahre), nicht manipulierbar
- Tägliche Datensicherung mit getrennter Aufbewahrung, Wiederherstellungstest
- Server-Härtung: Firewall, Anmeldung nur per Schlüssel, automatische Sicherheitsupdates, Sperre bei Angriffsversuchen
- Getrennte Datenbank je Kunde (Mandantentrennung)
- Automatische Abmeldung nach Inaktivität, private Dateispeicher mit zeitlich begrenzten Links
§ 6 Unterauftragsverarbeiter
Der Auftraggeber genehmigt folgende Unterauftragsverarbeiter:
| Unternehmen | Leistung | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Server, Rechenzentrum | Deutschland |
| Supabase Inc. (Infrastruktur Amazon Web Services) | Datenbank für Cloud-Instanzen | EU, Region eu-central-1 Frankfurt |
| Resend Inc. | Versand von System-E-Mails | USA (EU-US Data Privacy Framework / Standardvertragsklauseln) |
Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens vier Wochen vorher; der Auftraggeber kann aus wichtigem Grund widersprechen.
§ 7 Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export), bei Datenschutz-Folgenabschätzungen und bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO.
§ 8 Meldung von Verletzungen
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
§ 9 Löschung und Rückgabe
Nach Vertragsende stellt der Auftragnehmer die Daten 30 Tage zum Export bereit und löscht sie anschließend einschließlich der Sicherungen im regulären Löschzyklus, soweit keine gesetzliche Pflicht zur Speicherung besteht.
§ 10 Nachweise und Kontrollen
Der Auftragnehmer stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung.
§ 11 Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Lizenzvertrags.
Kontakt Datenschutz beim Auftragnehmer: datenschutz@totum-pm.de
© 2026 TOTUM SUITE · Alle Rechte vorbehalten · TOTUM SUITE™ ist eine beim Deutschen Patent- und Markenamt angemeldete Marke (Aktenzeichen 30 2026 257 814.4). Software und Inhalte sind urheberrechtlich geschützt (§§ 2, 69a ff. UrhG).