Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Auftragsverarbeitungsvertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter (altovate GmbH, nachfolgend „Auftragnehmer") im Auftrag des Kunden (nachfolgend „Auftraggeber") im Rahmen der Nutzung der SaaS-Plattform HolidayFlow.

Die Verarbeitung beginnt mit der Registrierung des Auftraggebers und endet mit der vollständigen Löschung aller Daten nach Beendigung des Vertragsverhältnisses, spätestens 90 Tage nach Vertragsende, sofern keine gesetzlichen Aufbewahrungspflichten dem entgegenstehen.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zu folgenden Zwecken:

• Digitale Personalplanung und Mitarbeiterverwaltung
• Urlaubs- und Abwesenheitsverwaltung
• Verwaltung und Dokumentation von Krankmeldungen
• Arbeitszeiterfassung
• Reisekostenabrechnung
• Steuer- und DATEV-Export
• Versand von Einladungs- und Benachrichtigungs-E-Mails
• Bereitstellung von Kalenderübersichten und Auswertungen

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Mitarbeiterstammdaten (Name, E-Mail, Beschäftigungsdaten, Vertragsart)
• Urlaubs- und Abwesenheitsdaten (Ansprüche, Anträge, Resturlaub)
• Krankmeldungsdaten (Zeitraum, Status – keine medizinischen Diagnosen)
• Arbeitszeitdaten (Arbeitszeiten, Pausen, Überstunden)
• Reisekostendaten (Reisezweck, Fahrtstrecken, Belege, Verpflegungspauschalen)
• Kommunikationsdaten (E-Mail-Adressen für Einladungen)
• Nutzungsdaten (Zugriffszeitpunkte, aufgerufene Funktionen)

§ 4 Kreis der Betroffenen

Die personenbezogenen Daten folgender Kategorien betroffener Personen werden verarbeitet:

• Mitarbeiterinnen und Mitarbeiter des Auftraggebers
• Nutzer der Plattform (Administratoren, Manager, Mitarbeiter)

§ 5 Weisungsgebundenheit

Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Plattformfunktionen durch den Auftraggeber stellt eine solche Weisung dar.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, wird er den Auftraggeber unverzüglich darauf hinweisen.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer gewährleistet folgende technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten:

Vertraulichkeit

• Verschlüsselung aller Datenübertragungen mittels SSL/TLS
• Verschlüsselung ruhender Daten (Encryption at Rest)
• Rollenbasierte Zugriffskontrolle (Row Level Security)
• Mehrstufiges Authentifizierungssystem

Integrität

• Eingabevalidierung und Protokollierung von Datenänderungen
• Trennung von Mandantendaten auf Datenbankebene (Multi-Tenant-Isolation)

Verfügbarkeit

• Hosting in der EU (AWS Region eu-central-1, Frankfurt)
• Regelmäßige automatische Backups
• Monitoring und Incident-Response-Prozesse

Belastbarkeit

• Skalierbare Infrastruktur
• Automatische Wiederherstellungsmechanismen

§ 7 Subdienstleister

Der Auftragnehmer setzt folgende Subdienstleister ein:

Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen bei Subdienstleistern. Der Auftraggeber kann Änderungen innerhalb von 14 Tagen widersprechen.

§ 8 Pflichten des Auftragnehmers

• Verarbeitung ausschließlich im Rahmen der Weisungen des Auftraggebers
• Sicherstellung der Vertraulichkeit bei allen mit der Verarbeitung befassten Personen
• Unterstützung bei der Wahrnehmung von Betroffenenrechten
• Unverzügliche Information über Datenschutzverletzungen
• Löschung oder Rückgabe aller Daten nach Vertragsende
• Ermöglichung und Unterstützung von Audits und Inspektionen

§ 9 Rechte des Auftraggebers

• Weisungsrecht hinsichtlich Art und Umfang der Verarbeitung
• Recht auf Information über eingesetzte Subdienstleister
• Recht auf Audit (nach Vereinbarung)
• Jederzeitiger Datenexport über die Plattformfunktionen
• Recht auf Löschung nach Vertragsende

§ 10 Laufzeit und Kündigung

Dieser AVV gilt für die Dauer des zwischen Auftraggeber und Auftragnehmer bestehenden Nutzungsvertrags für HolidayFlow. Er endet automatisch mit Beendigung des Hauptvertrags.

Die Pflichten des Auftragnehmers aus diesem AVV – insbesondere zur Datenlöschung – bestehen über das Vertragsende hinaus fort, bis sie vollständig erfüllt sind.

§ 11 Kontakt

Bei Fragen zu diesem AVV oder zur Datenverarbeitung:
altovate GmbH
Max-Planck-Str. 6
54439 Saarburg
E-Mail: support@holidayflow.io

Stand: Februar 2026