Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO · Vorlage, Stand: 15. Oktober 2026 · wird bei der Registrierung abgeschlossen

Verantwortlicher („Kunde“): das Unternehmen, das bei Minijob-Stundenzettel nach § 17 MiLoG ein Konto anlegt.
Auftragsverarbeiter („Anbieter“): WS West Solar UG (haftungsbeschränkt), Marke WestLabs AI, Am Krieler Dom 4, 50935 Köln, vertreten durch den Geschäftsführer Thomas Kappauf.

§ 1 Gegenstand und Dauer

(1) Der Anbieter stellt dem Kunden die Software Minijob-Stundenzettel nach § 17 MiLoG zur Aufzeichnung von Arbeitszeiten bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. (2) Die Vereinbarung gilt für die Dauer des Nutzungsvertrags einschließlich Testzeitraum und endet mit der Löschung der Daten nach § 9.

§ 2 Art, Zweck, Daten und Betroffene

Zweck	Aufzeichnung von Beginn, Ende, Pausen und Dauer der Arbeitszeit, Änderungsprotokoll, Erstellung von Stundenzetteln und Exporten, Hinweise zu Fristen sowie Pausen- und Höchstarbeitszeiten
Art der Verarbeitung	Erheben, Speichern, Ordnen, Anzeigen, Exportieren, Löschen
Datenarten	Name oder Kürzel der Beschäftigten, Beschäftigungsart, optional Stundenlohn, Zeiteinträge mit Erfassungszeitpunkt, Änderungsprotokoll, Eintragslink (als Hash); Name und E-Mail-Adresse der Nutzer des Kunden
Betroffene	Beschäftigte des Kunden; Nutzer des Kunden (Inhaber, Verwaltung)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Standort-, Geräte-, Aktivitäts- oder Leistungsdaten erhebt Minijob-Stundenzettel nach § 17 MiLoG nicht.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; dann teilt er dem Kunden diese Pflicht vorher mit, sofern das Recht dies nicht verbietet. (2) Weisungen sind die Nutzung der Funktionen von Minijob-Stundenzettel nach § 17 MiLoG und Weisungen in Textform an Venture16@westlabsai.com. (3) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin.

§ 4 Vertraulichkeit

Personen, die beim Anbieter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

§ 5 Sicherheit der Verarbeitung

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 (Technische und organisatorische Maßnahmen und Löschkonzept) beschrieben sind. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage 2, Abschnitt 3 genannten Unterauftragsverarbeiter. (2) Über beabsichtigte Änderungen informiert der Anbieter den Kunden mindestens 30 Tage vorher in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann fristlos kündigen. (3) Der Anbieter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind. Mit ALL-INKL besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. (4) Zahlungsdienstleister (Stripe) und Werkzeuge zur Bearbeitung von E-Mails erhalten keine Zeiterfassungsdaten der Beschäftigten und sind keine Unterauftragsverarbeiter im Sinne dieser Vereinbarung.

§ 7 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO); Anfragen von Betroffenen, die ihn erreichen, leitet er unverzüglich an den Kunden weiter. (2) Er unterstützt den Kunden bei den Pflichten nach Art. 32–36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen. (3) Verletzungen des Schutzes personenbezogener Daten meldet er dem Kunden unverzüglich, nachdem sie ihm bekannt geworden sind, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 8 Nachweise und Überprüfungen

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten Prüfer nach rechtzeitiger Anmeldung, in der Regel durch schriftliche Auskunft und Vorlage dieser Unterlagen.

§ 9 Löschung und Rückgabe

Nach Ende des Vertrags kann der Kunde 30 Tage lang alle Daten exportieren (PDF, CSV). Danach löscht der Anbieter alle Daten des Kunden einschließlich Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht; Sicherungen werden nach dem Löschkonzept überschrieben.

§ 10 Schlussbestimmungen

Bei Widersprüchen geht diese Vereinbarung den sonstigen Vertragsbedingungen in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Anlage 1: Angaben nach § 2 (oben) · Anlage 2: Technische und organisatorische Maßnahmen, Löschkonzept, Unterauftragsverarbeiter