Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO · Stand: 5. September 2026 · Version 1.0
Wer Takt für seinen Betrieb einsetzt, bleibt für die Daten seiner Beschäftigten und Kunden verantwortlich. Tarev verarbeitet sie in seinem Auftrag. Dieser Vertrag regelt, was das im Einzelnen bedeutet. Er gilt zusätzlich zu den AGB und zur Datenschutzerklärung.
Wenn du eine unterschriebene Fassung brauchst, schreib an support@tarev.de. Du bekommst denselben Text als Dokument mit deinen Firmendaten zurück.
1. Vertragspartner
Auftragsverarbeiter: Tarev Denis Zolotarev Nickel-Hoffmann-Straße 11a 06110 Halle (Saale) Deutschland support@tarev.de Verantwortlicher: der Betrieb, der Takt nutzt, mit den Angaben aus seinem Konto
2. Gegenstand und Dauer
Gegenstand ist der Betrieb der Software Takt als Dienst über das Internet, samt Speicherung und Auswertung der dabei anfallenden Daten. Die Verarbeitung dauert so lange, wie der Nutzungsvertrag läuft. Nach seinem Ende gilt Abschnitt 9.
3. Art der Daten und betroffene Personen
Verarbeitet werden, je nachdem welche Teile genutzt werden:
- Stammdaten von Beschäftigten: Name, Anschrift, Geburtsdatum, Sozialversicherungsnummer, Steuermerkmale, Bankverbindung, Qualifikationen
- Arbeitszeitdaten: Beginn, Ende, Pausen, Abwesenheiten, Zuschläge, bei Nutzung der Stempeluhr mit Standortbezug
- Kunden- und Lieferantendaten: Ansprechpartner, Anschriften, Vorgänge, Rechnungen, Zahlungen
- Inhalte, die Beschäftigte selbst erzeugen: Nachrichten, Notizen, Fotos, Berichte, Unterschriften
- Zugangs- und Protokolldaten, Anmeldungen, Änderungsverläufe
Betroffen sind Beschäftigte des Verantwortlichen, seine Kunden und Ansprechpartner bei Lieferanten, sowie Personen, die über das Kundenportal oder ein öffentliches Formular Kontakt aufnehmen.
Arbeitszeit mit Ortsbezug ist eine Information über das Verhalten namentlich bekannter Personen. Wer die Stempeluhr mit Geofence einsetzt, braucht dafür eine eigene Grundlage, in Betrieben mit Betriebsrat in aller Regel eine Betriebsvereinbarung. Takt stellt die Funktion bereit, die Entscheidung darüber trifft der Verantwortliche.
4. Weisungen
Tarev verarbeitet die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen. Die Einstellungen im Konto und die Nutzung der Funktionen gelten als Weisung. Weitere Weisungen erfolgen in Textform an support@tarev.de.
Hält Tarev eine Weisung für rechtswidrig, wird das mitgeteilt und die Ausführung bis zur Klärung ausgesetzt.
5. Vertraulichkeit
Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugang ist auf das beschränkt, was für Betrieb und Fehlersuche nötig ist, und wird protokolliert.
6. Technische und organisatorische Maßnahmen
Die folgenden Maßnahmen sind eingerichtet. Aufgeführt ist nur, was tatsächlich läuft.
- Trennung der Mandanten: Jede Datenbankabfrage wird um die Kennung des Mandanten ergänzt, und zwar zentral in der Datenzugriffsschicht, nicht in jeder einzelnen Abfrage. Ein Prüflauf hält jedes Datenmodell gegen diese Liste.
- Anmeldung: eigenes Verfahren mit kurzlebigem Zugangsschlüssel und rotierendem Erneuerungsschlüssel, serverseitige Abmeldung, zweiter Faktor über eine Einmalkennzahl, Passwörter mit bcrypt gespeichert.
- Rechte: Systemrollen und feingliedrige Berechtigungen, die pro Endpunkt geprüft werden.
- Übertragung: ausschließlich verschlüsselt über HTTPS.
- Zugangsdaten Dritter, etwa für Postfächer, werden verschlüsselt gespeichert, mit getrennten Schlüsseln je Einsatzzweck.
- Sicherungen: täglicher Auszug der Datenbank mit Aufbewahrung über 14 Tage, 8 Wochen und 12 Monate, dazu Sicherungen der virtuellen Maschine in einer anderen Region. Wöchentlich läuft eine Rückspielprobe, die prüft, ob die Sicherung wirklich brauchbar ist.
- Nachvollziehbarkeit: Änderungsprotokoll für die wesentlichen Vorgänge, Überwachung des Betriebs mit Benachrichtigung bei Ausfällen.
Offen und deshalb hier genannt statt verschwiegen: eine Verschlüsselung der Datenträger im Ruhezustand über das hinaus, was der Betreiber der Server bereitstellt, ist nicht eingerichtet. Ebenso fehlt bislang eine Sicherung außerhalb des Rechenzentrums des Betreibers.
7. Unterauftragnehmer
Der Verantwortliche stimmt der Beauftragung der unten genannten Unterauftragnehmer zu. Ein Wechsel oder ein neuer Unterauftragnehmer wird mindestens vier Wochen vorher angekündigt. Widerspricht der Verantwortliche aus einem wichtigen datenschutzrechtlichen Grund, darf er den Nutzungsvertrag zum Zeitpunkt der Umstellung kündigen.
Mit jedem Unterauftragnehmer besteht ein Vertrag mit den Pflichten aus Art. 28 Abs. 3 DSGVO.
Immer im Einsatz
| Anbieter | Zweck | Daten |
|---|---|---|
Hetzner Online GmbH Gunzenhausen, Deutschland | Server, Datenbank, Dateiablage, Sicherungen | alle Daten, die in Takt gespeichert werden |
OpenStreetMap Foundation Cambridge, Vereinigtes Königreich Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission | Adresssuche und Umrechnung von Koordinaten in Adressen | die eingegebene Adresse oder die Koordinaten, ohne Kontobezug |
Open-Meteo Zürich, Schweiz Schweiz, Angemessenheitsbeschluss der EU-Kommission | Wetter am Bauvorhaben für das Bautagebuch | Koordinaten der Baustelle, keine Personennamen |
Europäische Zentralbank Frankfurt am Main, Deutschland | Tageskurse für Fremdwährungen | keine, es werden nur Kurse abgeholt |
Nur bei Nutzung der jeweiligen Funktion
| Anbieter | Zweck | Daten |
|---|---|---|
Stripe Payments Europe Ltd. Dublin, Irland | Zahlungen, Abrechnung der Nutzung, Auszahlungen im Marktbereich | Name, E-Mail, Rechnungsanschrift, Betrag, Zahlungsdaten |
Resend, Inc. San Francisco, Vereinigte Staaten Standardvertragsklauseln und EU-US Data Privacy Framework | Versand der Systemmails | Empfängeradresse, Anrede, Inhalt der Mail |
Functional Software, Inc. (Sentry) San Francisco, Vereinigte Staaten Standardvertragsklauseln und EU-US Data Privacy Framework | Meldung technischer Fehler | Fehlerverlauf, Browser und Serverumgebung, aufgerufener Pfad; Bildschirmaufzeichnungen sind maskiert |
Mindee SAS Paris, Frankreich | Texterkennung auf hochgeladenen Belegen | das Belegbild mit allem, was darauf steht |
Anthropic PBC San Francisco, Vereinigte Staaten Standardvertragsklauseln | Antworten der Assistenten | der Text der Frage und die Daten, die zur Beantwortung mitgegeben werden |
DeepL SE Köln, Deutschland | Übersetzung von Oberflächen- und Seitentexten | der zu übersetzende Text |
Cloudflare, Inc. San Francisco, Vereinigte Staaten Standardvertragsklauseln und EU-US Data Privacy Framework | Prüfung bei der Anmeldung, ob ein Mensch davor sitzt | IP-Adresse und ein Kennzeichen des Browsers |
Google Ireland Ltd. Dublin, Irland | Anmeldung mit Google, Zustellung der Mitteilungen auf das Gerät | bei der Anmeldung E-Mail und Name; bei Mitteilungen der Text und die Kennung des Geräts |
GoCardless Ltd. London, Vereinigtes Königreich Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission | Abruf von Kontoumsätzen in der Finanz-App Halt | IBAN, Name des Kontoinhabers, Umsätze mit Empfänger und Zweck |
fiskaly GmbH Wien, Österreich | Signatur der Kassenvorgänge nach Kassensicherungsverordnung | Belegnummer, Betrag, Steuersatz, Buchungstext |
Nur wenn du selbst Zugangsdaten hinterlegst
| Anbieter | Zweck | Daten |
|---|---|---|
Microsoft Ireland Operations Ltd. Dublin, Irland | Abgleich mit dem Kalender in Microsoft 365 | Termine mit Betreff und Zeitraum, Abwesenheiten, E-Mail-Adresse |
Slack Technologies und Discord Inc. Vereinigte Staaten Standardvertragsklauseln | Benachrichtigungen in den eigenen Kanal | Titel und Text des Ereignisses, oft mit Kunden- oder Vorgangsnamen |
Deutsche Post DHL Group Bonn, Deutschland | Versandaufträge und Sendungsverfolgung | Name, Anschrift, E-Mail und Telefon des Empfängers, Paketdaten |
8. Unterstützung des Verantwortlichen
Tarev unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit. Auskunft und Export der eigenen Daten stehen im Konto zur Verfügung; darüber hinaus hilft Tarev auf Anfrage.
Eine Verletzung des Schutzes personenbezogener Daten wird dem Verantwortlichen unverzüglich gemeldet, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den bis dahin bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.
9. Löschung und Rückgabe
Nach Ende des Nutzungsvertrags werden die Daten auf Wunsch herausgegeben und danach gelöscht. Ohne anderslautende Weisung erfolgt die Löschung 30 Tage nach Vertragsende. Sicherungen laufen nach den in Abschnitt 6 genannten Fristen aus. Aufbewahrungspflichten bleiben unberührt.
10. Nachweise
Tarev weist die Einhaltung dieser Pflichten auf Anfrage nach, durch Auskunft und durch die Angaben in Abschnitt 6. Der Verantwortliche darf sich vor Ort überzeugen, nach Ankündigung und ohne den Betrieb zu stören.
11. Ort der Verarbeitung
Die Verarbeitung findet in Deutschland statt. Einzelne Unterauftragnehmer verarbeiten Daten in anderen Staaten; wo das der Fall ist, steht die Grundlage der Übermittlung in der Liste in Abschnitt 7.