Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO · Stand: 28. September 2026 · Musterfassung 1.1
Wer Takt für seinen Betrieb einsetzt, bleibt für die Daten seiner Beschäftigten und Kunden verantwortlich. Tarev verarbeitet sie in seinem Auftrag. Dieser Vertrag regelt, was das im Einzelnen bedeutet. Er gilt zusätzlich zu den AGB und zur Datenschutzerklärung.
Wenn du eine unterschriebene Fassung brauchst, schreib an support@tarev.de. Du bekommst denselben Text als Dokument mit deinen Firmendaten zurück.
1. Vertragspartner
Auftragsverarbeiter: Tarev Denis Zolotarev Nickel-Hoffmann-Straße 11a 06110 Halle (Saale) Deutschland support@tarev.de Verantwortlicher: der Betrieb, der Takt nutzt, mit den Angaben aus seinem Konto
2. Gegenstand und Dauer
Gegenstand ist der Betrieb der Software Takt als Dienst über das Internet, samt Speicherung und Auswertung der dabei anfallenden Daten. Die Verarbeitung dauert so lange, wie der Nutzungsvertrag läuft. Nach seinem Ende gilt Abschnitt 9.
3. Art der Daten und betroffene Personen
Verarbeitet werden, je nachdem welche Teile genutzt werden:
- Stammdaten von Beschäftigten: Name, Anschrift, Geburtsdatum, Sozialversicherungsnummer, Steuermerkmale, Bankverbindung, Qualifikationen
- Arbeitszeitdaten: Beginn, Ende, Pausen, Abwesenheiten, Zuschläge, bei Nutzung der Stempeluhr mit Standortbezug
- Kunden- und Lieferantendaten: Ansprechpartner, Anschriften, Vorgänge, Rechnungen, Zahlungen
- Inhalte, die Beschäftigte selbst erzeugen: Nachrichten, Notizen, Fotos, Berichte, Unterschriften
- Zugangs- und Protokolldaten, Anmeldungen, Änderungsverläufe
Betroffen sind Beschäftigte des Verantwortlichen, seine Kunden und Ansprechpartner bei Lieferanten, sowie Personen, die über das Kundenportal oder ein öffentliches Formular Kontakt aufnehmen.
Arbeitszeit mit Ortsbezug ist eine Information über das Verhalten namentlich bekannter Personen. Wer die Stempeluhr mit Geofence einsetzt, braucht dafür eine eigene Grundlage, in Betrieben mit Betriebsrat in aller Regel eine Betriebsvereinbarung. Takt stellt die Funktion bereit, die Entscheidung darüber trifft der Verantwortliche.
4. Weisungen
Tarev verarbeitet die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen. Die Einstellungen im Konto und die Nutzung der Funktionen gelten als Weisung. Weitere Weisungen erfolgen in Textform an support@tarev.de.
Hält Tarev eine Weisung für rechtswidrig, wird das mitgeteilt und die Ausführung bis zur Klärung ausgesetzt.
5. Vertraulichkeit
Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugang ist auf das beschränkt, was für Betrieb und Fehlersuche nötig ist, und wird protokolliert.
6. Technische und organisatorische Maßnahmen
Die folgenden Maßnahmen sind eingerichtet. Aufgeführt ist nur, was tatsächlich läuft.
- Trennung der Mandanten: Jede Datenbankabfrage wird um die Kennung des Mandanten ergänzt, und zwar zentral in der Datenzugriffsschicht, nicht in jeder einzelnen Abfrage. Ein Prüflauf hält jedes Datenmodell gegen diese Liste.
- Anmeldung: eigenes Verfahren mit kurzlebigem Zugangsschlüssel und rotierendem Erneuerungsschlüssel, serverseitige Abmeldung, zweiter Faktor über eine Einmalkennzahl, Passwörter mit bcrypt gespeichert.
- Rechte: Systemrollen und feingliedrige Berechtigungen, die pro Endpunkt geprüft werden.
- Übertragung: ausschließlich verschlüsselt über HTTPS.
- Zugangsdaten Dritter, etwa für Postfächer, werden verschlüsselt gespeichert, mit getrennten Schlüsseln je Einsatzzweck.
- Sicherungen: tägliche lokale Datenbank- und Mailsicherungen sowie verschlüsselte externe Kopien. Umfang, technische Rotation und Grenzen sind nachfolgend beschrieben.
- Nachvollziehbarkeit: Änderungsprotokoll für die wesentlichen Vorgänge sowie Überwachung des Betriebs. Sicherungsfehler werden im Betriebsstatus und in Protokollen ausgewiesen. Ein automatischer Nachrichtenversand für diese Sicherungen ist derzeit nicht aktiviert.
Externe Sicherungen: Zusätzlich zum Primärbetrieb bei Hetzner werden Datenbank, hochgeladene Dateien, Betriebskonfiguration und Mailarchive täglich extern gesichert. Die Sicherungen werden vor der Übertragung verschlüsselt und in Cloudflare R2 mit EU Jurisdiktion gespeichert.
Technische Rotation: Für lokale Datenbank- und Mailsicherungen sind 14 Tage für Tageskopien, 56 Tage für Wochenkopien und 372 Tage für Monatskopien eingestellt. Die Entfernung erfolgt im jeweiligen Sicherungslauf, wenn die Altersgrenze überschritten ist. Externe Tagesarchive der Datenbank, Dateien und Mail werden mit einer Altersgrenze von 90 Tagen rotiert. Für externe Wochen- und Monatsarchive ist derzeit keine automatische Rotation eingerichtet. Eine vollständige automatische Löschung sämtlicher Sicherungskopien zu einem festen Zeitpunkt ist damit noch nicht nachgewiesen.
Wiederherstellung: Eine wöchentliche Probe lädt eine externe Datenbanksicherung herunter, entschlüsselt sie und importiert sie in eine isolierte Testdatenbank. Dateiarchive werden durch Rücklesen und Vergleich geprüft. Dies ist keine vollständige Wiederherstellung aller Dienste auf einem Ersatzserver.
Grenzen: Die verschlüsselten Sicherungen sind kein unveränderlicher Archivspeicher. Gesetzliche und vertragliche Aufbewahrungspflichten sowie Löschanweisungen müssen je Datenkategorie gesondert berücksichtigt werden. Die technische Rotation ersetzt dieses Aufbewahrungs- und Löschkonzept nicht.
Offen und deshalb hier genannt statt verschwiegen: eine Verschlüsselung der Datenträger im Ruhezustand über das hinaus, was der Betreiber der Server bereitstellt, ist nicht eingerichtet. Die oben beschriebene Verschlüsselung externer Sicherungskopien ist davon zu unterscheiden.
7. Unterauftragnehmer
Der Verantwortliche stimmt der Beauftragung der unten genannten Unterauftragnehmer zu. Ein Wechsel oder ein neuer Unterauftragnehmer wird mindestens vier Wochen vorher angekündigt. Widerspricht der Verantwortliche aus einem wichtigen datenschutzrechtlichen Grund, darf er den Nutzungsvertrag zum Zeitpunkt der Umstellung kündigen.
Mit jedem Unterauftragnehmer besteht ein Vertrag mit den Pflichten aus Art. 28 Abs. 3 DSGVO.
Immer im Einsatz
| Anbieter | Zweck | Daten |
|---|---|---|
Hetzner Online GmbH Gunzenhausen, Deutschland | Server, Datenbank, Dateiablage, Sicherungen | alle Daten, die in Takt gespeichert werden |
OpenStreetMap Foundation Cambridge, Vereinigtes Königreich Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission | Adresssuche und Umrechnung von Koordinaten in Adressen | die eingegebene Adresse oder die Koordinaten, ohne Kontobezug |
Open-Meteo Zürich, Schweiz Schweiz, Angemessenheitsbeschluss der EU-Kommission | Wetter am Bauvorhaben für das Bautagebuch | Koordinaten der Baustelle, keine Personennamen |
Europäische Zentralbank Frankfurt am Main, Deutschland | Tageskurse für Fremdwährungen | keine, es werden nur Kurse abgeholt |
Cloudflare, Inc. San Francisco, Vereinigte Staaten Standardvertragsklauseln und EU-US Data Privacy Framework | Verschlüsselte externe Sicherungen in R2 mit EU Jurisdiktion; bei der Anmeldung Prüfung auf menschliche Bedienung | Verschlüsselte Datenbank, Uploads, Betriebskonfiguration und Mailarchive; bei der Anmeldeprüfung IP-Adresse und ein Kennzeichen des Browsers |
Nur bei Nutzung der jeweiligen Funktion
| Anbieter | Zweck | Daten |
|---|---|---|
OpenFreeMap (Hyperknot Software Kft.) Ungarn Der Anbieter kann laut seiner Datenschutzerklärung Cloudflare als CDN verwenden. | Optionale Umgebungskarte in der Takt Geofence Ansicht, nur nach ausdrücklichem Laden und wenn kein eigener Kartendienst eingerichtet ist | IP Adresse, Browserinformationen und angeforderter Kartenausschnitt; keine Namen oder Zeitbuchungen |
Stripe Payments Europe Ltd. Dublin, Irland | Zahlungen, Abrechnung der Nutzung, Auszahlungen im Marktbereich | Name, E-Mail, Rechnungsanschrift, Betrag, Zahlungsdaten |
Resend, Inc. San Francisco, Vereinigte Staaten Standardvertragsklauseln und EU-US Data Privacy Framework | Versand der Systemmails | Empfängeradresse, Anrede, Inhalt der Mail |
Functional Software, Inc. (Sentry) San Francisco, Vereinigte Staaten Standardvertragsklauseln und EU-US Data Privacy Framework | Meldung technischer Fehler | Fehlerverlauf, Browser und Serverumgebung, aufgerufener Pfad; Bildschirmaufzeichnungen sind maskiert |
Mindee SAS Paris, Frankreich | Texterkennung auf hochgeladenen Belegen | das Belegbild mit allem, was darauf steht |
Anthropic PBC San Francisco, Vereinigte Staaten Standardvertragsklauseln | Antworten der Assistenten | der Text der Frage und die Daten, die zur Beantwortung mitgegeben werden |
DeepL SE Köln, Deutschland | Übersetzung von Oberflächen- und Seitentexten | der zu übersetzende Text |
Google Ireland Ltd. Dublin, Irland | Anmeldung mit Google, Zustellung der Mitteilungen auf das Gerät | bei der Anmeldung E-Mail und Name; bei Mitteilungen der Text und die Kennung des Geräts |
GoCardless Ltd. London, Vereinigtes Königreich Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission | Abruf von Kontoumsätzen in der Finanz-App Halt | IBAN, Name des Kontoinhabers, Umsätze mit Empfänger und Zweck |
fiskaly GmbH Wien, Österreich | Signatur der Kassenvorgänge nach Kassensicherungsverordnung | Belegnummer, Betrag, Steuersatz, Buchungstext |
Nur wenn du selbst Zugangsdaten hinterlegst
| Anbieter | Zweck | Daten |
|---|---|---|
Microsoft Ireland Operations Ltd. Dublin, Irland | Abgleich mit dem Kalender in Microsoft 365 | Termine mit Betreff und Zeitraum, Abwesenheiten, E-Mail-Adresse |
Slack Technologies und Discord Inc. Vereinigte Staaten Standardvertragsklauseln | Benachrichtigungen in den eigenen Kanal | Titel und Text des Ereignisses, oft mit Kunden- oder Vorgangsnamen |
Deutsche Post DHL Group Bonn, Deutschland | Versandaufträge und Sendungsverfolgung | Name, Anschrift, E-Mail und Telefon des Empfängers, Paketdaten |
8. Unterstützung des Verantwortlichen
Tarev unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit. Auskunft und Export der eigenen Daten stehen im Konto zur Verfügung; darüber hinaus hilft Tarev auf Anfrage.
Eine Verletzung des Schutzes personenbezogener Daten wird dem Verantwortlichen unverzüglich gemeldet, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den bis dahin bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.
9. Löschung und Rückgabe
Nach Ende des Nutzungsvertrags werden die Daten auf Wunsch herausgegeben und danach gelöscht. Ohne anderslautende Weisung erfolgt die Löschung 30 Tage nach Vertragsende. Aufbewahrungspflichten bleiben unberührt. Abschnitt 6 beschreibt die technische Rotation der Sicherungen und ihre noch offenen Grenzen. Die vollständige Umsetzung einer Löschanweisung muss auch Sicherungskopien und eine mögliche Wiederherstellung berücksichtigen und gesondert nachgewiesen werden.
10. Nachweise
Tarev weist die Einhaltung dieser Pflichten auf Anfrage nach, durch Auskunft und durch die Angaben in Abschnitt 6. Der Verantwortliche darf sich vor Ort überzeugen, nach Ankündigung und ohne den Betrieb zu stören.
11. Ort der Verarbeitung
Der Primärbetrieb findet in Deutschland statt. Verschlüsselte externe Sicherungen werden in Cloudflare R2 mit EU Jurisdiktion gespeichert. Einzelne weitere Unterauftragnehmer verarbeiten Daten in anderen Staaten; wo das der Fall ist, steht die Grundlage der Übermittlung in der Liste in Abschnitt 7.