Auftragsverarbeitungsvertrag

1. Parteien und Vertrag

• Anbieter: RRYME LTD, 128 City Road, London, EC1V 2NX, United Kingdom, Company Number 17017522, eingetragen in England und Wales. Kontakt für diesen DPA: privacy@absenca.com.
• Kunde: die Organisation, die die Nutzungsbedingungen akzeptiert, wie in ihrem Absenca-Konto erfasst. Ihre Admins sind ihre Ansprechpersonen für diesen DPA.
• Vertrag: die Nutzungsbedingungen von Absenca, wie vom Kunden akzeptiert.

2. Beschreibung der Verarbeitung

• Gegenstand und Art: Hosting und Betrieb von Absenca, einem Dienst zur Verwaltung von Urlaub und Abwesenheiten. Dazu gehören das Speichern von Datensätzen, die Berechnung von Salden und Ansprüchen, die Weiterleitung von Anträgen zur Genehmigung, das Senden von Benachrichtigungen, die Synchronisierung mit vom Kunden verbundenen Kalender- und Messaging-Werkzeugen, die Erstellung von Berichten und der Support.
• Zweck: Bereitstellung des Dienstes nach dem Vertrag, gemäß den Weisungen des Kunden durch seine Nutzung und Konfiguration von Absenca.
• Dauer: die Laufzeit des Vertrags, zuzüglich der Abrufzeit nach seinem Ende (mindestens 30 Tage) und der Zeit bis zum Ablauf der Datenbank-Backups (bis zu 30 Tage).
• Häufigkeit: fortlaufend.
• Betroffene Personen: Beschäftigte, Führungskräfte und Administratoren des Kunden sowie weitere Personen, die der Kunde einlädt oder importiert.
• Personenbezogene Daten: Identitäts- und Kontaktdaten (Name, E-Mail-Adresse, Personalnummer); Arbeitsangaben (Standort, Abteilung, Rolle, Vorgesetzte, Eintrittsdatum, Land, Arbeitszeitmodell); Abwesenheitsdaten (Anträge, Daten, Abwesenheitsarten, Salden, Ansprüche, Anpassungen, Genehmigungen, Freitext-Begründungen und Prüfnotizen); Anhänge zu Abwesenheitsanträgen; Kennungen aus verbundenen Werkzeugen (Benutzer-IDs von Slack, Microsoft Teams, Google und Microsoft 365 sowie Kalendertermine); und Audit-Log-Einträge.
• Besondere Kategorien personenbezogener Daten: Gesundheitsdaten, wenn der Kunde Krankheitsabwesenheiten erfasst, wenn jemand in einer Begründung oder Notiz über Gesundheit schreibt oder wenn eine Krankmeldung angehängt wird. Abschnitt 3 nennt die zusätzlichen Schutzmaßnahmen.

3. Zusätzliche Schutzmaßnahmen für Gesundheitsdaten

• Private Abwesenheitsarten: Der Kunde kann eine Abwesenheitsart als privat markieren. Kolleginnen und Kollegen sehen dann im Kalender und in den Teamansichten der App „Abwesend“ statt der Abwesenheitsart. Kanal-Zusammenfassungen, Kalender-Feeds, geteilte Teamkalender, geplante Berichte und Abwesenheitsnotizen zeigen die Abwesenheitsart vorerst noch.
• Krankmeldungen: Anhänge können nur die betroffene Person und die Personen öffnen, die den Antrag prüfen, über In-App-Links, die nach 15 Minuten ablaufen. Datenexporte, die ein Admin anfordert, enthalten Links darauf, die 7 Tage gültig sind.
• Keine Diagnosen: Die Nutzungsbedingungen verbieten die Eingabe medizinischer Diagnosen oder detaillierter medizinischer Angaben, und die App bittet die Nutzer, dies zu unterlassen.
• Voreinstellungen: Aus den Vorlagen von Absenca erstellte Abwesenheitsarten zählen nicht zum Bradford-Faktor, und die Vorlage für Krankheitsabwesenheit verlangt keinen Anhang, sofern der Kunde dies nicht ändert.
• Der Kunde bleibt dafür verantwortlich, über eine Rechtsgrundlage und eine Bedingung für die Verarbeitung von Gesundheitsdaten zu verfügen, etwa Artikel 9 Absatz 2 Buchstabe b DSGVO in Verbindung mit nationalem Arbeitsrecht.

4. Weisungen des Kunden

Der Vertrag, dieser DPA sowie die Nutzung und Konfiguration von Absenca durch den Kunden sind die vollständigen Weisungen des Kunden. Der Anbieter informiert den Kunden, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.

5. Sicherheitsmaßnahmen

Der Anbieter unterhält die folgenden technischen und organisatorischen Maßnahmen. Unsere Sicherheitsseite beschreibt sie ausführlicher.

• Verschlüsselung bei der Übertragung (TLS, mit HSTS) und im Ruhezustand durch den Hosting-Anbieter. Tokens verbundener Werkzeuge werden zusätzlich von der Anwendung verschlüsselt.
• Rollenbasierter Zugriff mit vier Rollen (Admin, Standort-Admin, Manager, Mitarbeitende), beschränkt auf Standorte und Abteilungen.
• Anmeldung mit verifizierten E-Mail-Adressen; Passwörter werden nur als gesalzene Einweg-Hashes gespeichert, neue und geänderte Passwörter mit PBKDF2-SHA256.
• Die Mitarbeitenden des Anbieters nutzen ein separates Admin-System. Ihre Änderungen und ihr Zugriff auf Abwesenheitsdaten der Kunden werden protokolliert.
• Anhänge werden nur über signierte Links bereitgestellt: In-App-Links laufen nach 15 Minuten ab, und Datenexporte, die ein Admin anfordert, enthalten Links, die 7 Tage gültig sind.
• Eingabevalidierung, Signaturprüfung eingehender Webhooks, Sicherheits-Header und Ratenbegrenzung.
• Ein Anwendungsprotokoll, das 30 Tage aufbewahrt wird, und ein Audit-Log der Admin-Aktionen für den Kunden.
• Zeitpunktgenaue Wiederherstellung der Datenbank für bis zu 30 Tage.
• Getrennte Entwicklungs- und Produktionsumgebungen; die Entwicklung nutzt fiktive Daten; Änderungen an Produktionsdaten erfolgen über geprüfte, automatisierte Deployments.
• Ein schriftlich festgelegter Prozess zur Reaktion auf Datenschutzverletzungen.
• Mitarbeitende, die von außerhalb des Vereinigten Königreichs arbeiten, greifen nur über Cloud-Systeme auf personenbezogene Daten zu und speichern sie nie auf eigenen Geräten.

6. Unterauftragsverarbeiter

Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Datum dieser Version genehmigten Unterauftragsverarbeiter sind in Anhang 1 und auf unserer Seite der Unterauftragsverarbeiter aufgeführt.

Der Anbieter kündigt das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens 10 Werktage im Voraus per E-Mail an die Admins des Kunden und auf dieser Seite an. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen, wie in den Standard Terms beschrieben.

7. Sicherheitsvorfälle

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in jedem Fall innerhalb von 72 Stunden nach Kenntnisnahme, per E-Mail an die Admins des Kunden, mit den Informationen, die der Kunde zur Erfüllung seiner eigenen Pflichten benötigt.

8. Internationale Übermittlungen

• Der Anbieter ist im Vereinigten Königreich niedergelassen. Übermittlungen aus dem EWR und der Schweiz an den Anbieter stützen sich auf die Angemessenheit des Vereinigten Königreichs: den Beschluss der Europäischen Kommission, erneuert im Dezember 2025, und die Anerkennung des Vereinigten Königreichs durch die Schweiz.
• Rückfalllösung: Läuft der EU-Angemessenheitsbeschluss für das Vereinigte Königreich aus, wird er aufgehoben oder für ungültig erklärt, gelten ab diesem Zeitpunkt automatisch die EU-Standardvertragsklauseln (Modul Zwei, oder Modul Drei, wenn der Kunde selbst Auftragsverarbeiter ist), wie in den Standard Terms einbezogen, für Übermittlungen vom Kunden an den Anbieter, mit Irland als maßgeblichem Mitgliedstaat. Dasselbe gilt mit den Schweizer Anpassungen der Standard Terms für Übermittlungen aus der Schweiz.
• Weiterübermittlungen an Unterauftragsverarbeiter außerhalb des Vereinigten Königreichs und des EWR sind abgedeckt durch: UK: DPF UK Extension und/oder UK Addendum · EU: SCCs und/oder DPF. Soweit das UK Addendum gilt, werden seine Tabellen mit den Angaben dieses Deckblatts ausgefüllt.
• Mitarbeitende des Anbieters können als dessen eigenes Personal auch von außerhalb des Vereinigten Königreichs, etwa aus dem Kosovo, auf personenbezogene Daten zugreifen, ausschließlich über Cloud-Systeme.
• Hosting: Absenca wird im globalen Netzwerk von Cloudflare gehostet; bestimmte Regionen werden nicht garantiert.

9. Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit exportieren, wie in den Ausstiegsbestimmungen der Nutzungsbedingungen beschrieben. Nach Ende des Vertrags bewahrt der Anbieter die Daten des Kunden mindestens 30 Tage auf, damit der Kunde sie abrufen kann, sofern der Kunde sie nicht früher löscht, und löscht sie dann aus dem laufenden Dienst. Backups laufen innerhalb von 30 weiteren Tagen ab, sofern das Gesetz den Anbieter nicht zur Aufbewahrung eines Teils der Daten verpflichtet.

10. Audits und Unterstützung

Der Anbieter stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses DPA erforderlich sind, einschließlich seiner technischen und organisatorischen Maßnahmen, und beantwortet angemessene Sicherheitsfragebögen. Audits richten sich nach den Standard Terms. Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen und bei Datenschutz-Folgenabschätzungen, soweit der Dienst dies ermöglicht.

11. Anwendbares Recht und Gerichtsstand

Dieser DPA unterliegt dem Recht von England und Wales, und die Gerichte von England und Wales sind ausschließlich zuständig, außer die Standardvertragsklauseln oder das UK Addendum verlangen, soweit sie gelten, etwas anderes.

12. Sprache und Lizenz

Dieses Deckblatt wird auf Englisch und Deutsch veröffentlicht. Bei Abweichungen geht die englische Fassung vor.

Die Common Paper DPA Standard Terms Version 1.1 werden von Common Paper veröffentlicht und stehen unter der Lizenz CC BY 4.0. Dieses Deckblatt wurde von RRYME LTD verfasst.

Anhang 1: Genehmigte Unterauftragsverarbeiter

Zum Datum dieser Version: