Auftragsverarbeitungsvertrag für Dienstplan-Software: Was drinstehen muss

Ein Dienstplan enthält mehr personenbezogene Daten, als der Begriff vermuten lässt: Namen, Kontaktdaten, Qualifikationen, Verfügbarkeiten, Abwesenheiten, Stundenkonten, häufig auch Zeiterfassungsdaten und Lohnbestandteile. Wer diese Daten in einer gehosteten Software verarbeitet, gibt sie nicht weg, sondern lässt sie weisungsgebunden für sich verarbeiten. Genau das ist Auftragsverarbeitung im Sinne von Art. 28 DSGVO.

Die praktische Folge wird oft unterschätzt: Verantwortlicher bleibt der Betrieb. Auskunfts- und Löschverlangen der Beschäftigten richten sich gegen den Arbeitgeber, nicht gegen den Anbieter; die Rechtmäßigkeit der Verarbeitung muss der Arbeitgeber begründen; und die Auswahl eines Dienstleisters, der hinreichende Garantien bietet, ist nach Art. 28 Abs. 1 DSGVO eine eigene Pflicht. Der AV-Vertrag ist deshalb kein Formular, das der Anbieter „mitbringt“, sondern das Dokument, mit dem der Betrieb seine eigene Sorgfalt belegt.

Zwei Sonderfälle sind abzugrenzen. Reine On-Premise-Installationen ohne Fernzugriff des Herstellers begründen keine Auftragsverarbeitung — sobald aber ein Wartungszugang auf Echtdaten besteht, ist wieder einer nötig. Und wo mehrere Konzerngesellschaften dasselbe System nutzen, ist zusätzlich zu klären, wer gegenüber wem Verantwortlicher ist; ein AV-Vertrag ersetzt keine Vereinbarung über gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.

Art. 28 Abs. 3 DSGVO gibt vor, was ein AV-Vertrag mindestens regeln muss. Die folgende Übersicht übersetzt die Norm in prüfbare Punkte — brauchbar als Abgleichsliste gegen das Muster, das der Anbieter vorlegt.

Der Vertrag bedarf der Schriftform, wobei Art. 28 Abs. 9 DSGVO das elektronische Format ausdrücklich zulässt. Ein im Bestellprozess akzeptierter AV-Vertrag genügt dieser Anforderung — er sollte aber revisionssicher abgelegt und im Verzeichnis der Verarbeitungstätigkeiten referenziert sein, sonst ist er im Prüfungsfall nicht auffindbar.

Kaum ein SaaS-Anbieter verarbeitet allein. Hinter einer Dienstplan-Software stehen typischerweise ein Rechenzentrums- oder Cloud-Anbieter, ein E-Mail- und Push-Versanddienst, ein Fehler- und Absturzberichtsdienst, ein Support-Ticketsystem und gelegentlich ein Analysewerkzeug. Jeder dieser Dienste ist ein Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 und 4 DSGVO.

Zulässig ist eine allgemeine schriftliche Genehmigung — aber nur zusammen mit zwei Elementen: einer aktuellen, abrufbaren Liste der eingesetzten Dienste und einer Vorabinformation über Änderungen mit angemessener Frist und Widerspruchsmöglichkeit. Ein Muster, das Änderungen ohne Ankündigung erlaubt, entwertet die Genehmigung praktisch, weil der Verantwortliche seiner Auswahlpflicht nicht mehr nachkommen kann.

Für den Anbietervergleich ist das ein handfestes Unterscheidungsmerkmal: Wer die Liste öffentlich und versioniert führt, hat den Prozess im Griff. Wer sie „auf Anfrage“ zusagt, hat sie erfahrungsgemäß nicht. Die Frage gehört deshalb in den Fragenkatalog an Anbieter, und zwar schriftlich.

Art. 28 Abs. 3 lit. g DSGVO verlangt, dass der Auftragsverarbeiter die Daten nach Abschluss der Leistung nach Wahl des Verantwortlichen löscht oder zurückgibt. Zwei Details entscheiden darüber, ob diese Klausel im Ernstfall trägt.

Erstens muss das Wahlrecht beim Verantwortlichen liegen, nicht beim Anbieter. Muster, in denen der Anbieter „in der Regel löscht“, sind für einen Anbieterwechsel unbrauchbar: Wer kündigt, braucht zuerst einen vollständigen Export und erst danach die Löschung. Wie sich diese Reihenfolge in einen Migrationsfahrplan übersetzt, beschreibt der Beitrag zum Anbieterwechsel; welche Exportformate die Anbieter tatsächlich liefern, steht im Beitrag zu Schnittstellen und Exporten.

Zweitens kollidiert die Löschpflicht mit gesetzlichen Aufbewahrungspflichten. Arbeitszeitnachweise sind nach § 16 Abs. 2 ArbZG und § 17 MiLoG mindestens zwei Jahre aufzubewahren, Lohnunterlagen nach steuer- und sozialversicherungsrechtlichen Vorgaben deutlich länger. Diese Pflichten treffen den Arbeitgeber, nicht den Anbieter. Der saubere Weg ist deshalb: vollständiger Export in die eigene Verantwortung, revisionssichere Archivierung dort, anschließend dokumentierte Löschung beim Anbieter. Ein Vertrag, der die Daten beim Anbieter „bis zum Ablauf der Fristen“ belässt, verlagert die Nachweispflicht an eine Stelle, die man nach der Kündigung nicht mehr kontrolliert.

Die Anlage mit den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO ist der Teil, der am häufigsten aus Schlagworten besteht. „Verschlüsselung nach Stand der Technik“ ist keine überprüfbare Aussage. Brauchbar wird die Anlage erst, wenn sie sechs Fragen beantwortet: Wie werden Daten bei der Übertragung und im Speicher verschlüsselt? Wie ist der Zugriff der Anbieter-Mitarbeitenden auf Kundendaten geregelt und protokolliert? Gibt es Mehr-Faktor-Authentisierung, mindestens für administrative Zugänge? Wie oft wird gesichert, wie lange werden Sicherungen vorgehalten, und wann wurde die Wiederherstellung zuletzt getestet? Wie werden Mandanten voneinander getrennt? Und innerhalb welcher Frist meldet der Anbieter eine Verletzung des Schutzes personenbezogener Daten an den Kunden?

Die letzte Frage ist die praktisch wichtigste. Der Verantwortliche muss eine meldepflichtige Datenpanne nach Art. 33 DSGVO binnen 72 Stunden bei der Aufsichtsbehörde anzeigen — diese Frist läuft ab dem Zeitpunkt, zu dem er Kenntnis erlangt. Ein AV-Vertrag ohne konkrete Meldefrist des Anbieters macht diese 72 Stunden zu einem Versprechen ohne Unterbau. Eine Zusage von 24 bis 48 Stunden ist branchenüblich und verhandelbar.

Zertifikate ersetzen die Anlage nicht, ergänzen sie aber sinnvoll. Ein aktuelles ISO-27001-Zertifikat oder ein testierter Prüfbericht macht das Kontrollrecht aus Art. 28 Abs. 3 lit. h praktikabel, weil eine Vor-Ort-Prüfung bei einem Cloud-Anbieter für die meisten Betriebe ohnehin nicht realistisch ist. Wichtig ist, den Geltungsbereich zu prüfen: Ein Zertifikat, das nur das Rechenzentrum des Hosters abdeckt, sagt über die Anwendung wenig aus.

Der AV-Vertrag ist notwendig, aber nicht hinreichend. Vier weitere Punkte gehören zur Einführung einer Dienstplan-Software dazu:

Das Verarbeitungsverzeichnis nach Art. 30 DSGVO ist um die neue Verarbeitungstätigkeit zu ergänzen — mit Zweck, Datenkategorien, Empfängern, Fristen und einem Verweis auf den AV-Vertrag.

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist zu prüfen, sobald das System über die reine Planung hinausgeht. Bei umfangreicher Zeiterfassung mit Auswertungsmöglichkeiten, Standortbezug oder biometrischen Verfahren spricht vieles dafür; die Muss-Liste der deutschen Aufsichtsbehörden ist der richtige Ausgangspunkt.

Die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG greift, weil ein Dienstplan- und Zeitsystem objektiv zur Überwachung von Verhalten und Leistung geeignet ist. Die Betriebsvereinbarung und der AV-Vertrag regeln unterschiedliche Dinge und ersetzen einander nicht; eine Muster-Gliederung für die BV steht im Beitrag zur Betriebsvereinbarung zur Dienstplan-Software.

Die Information der Beschäftigten nach Art. 13 DSGVO ist zu aktualisieren, sobald ein neues System zum Einsatz kommt — inklusive Empfängerkategorien und Speicherdauer.

Für den Anbietervergleich lässt sich daraus eine kurze Vorprüfung ableiten, die vor jeder Produktdemo Bestand hat: Liegt ein AV-Vertrag als Dokument vor, ohne dass man danach fragen muss? Ist die Liste der Unterauftragsverarbeiter öffentlich? Steht der Verarbeitungsort samt Support-Zugriff schriftlich fest? Enthält die TOM-Anlage eine Meldefrist? Vier Fragen, vier belastbare Antworten — oder ein Anbieter, der in der engeren Auswahl nichts verloren hat. Wie sich das in den Gesamtprozess einordnet, zeigt die Seite zu den Anforderungen; die Einordnung der Anbieter selbst steht im Vergleich.