Auftragsverarbeitungsvertrag

Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und savkovic animation, Inhaber Igor Savkovic, Bettenstrasse 12, 9445 Rebstein, Schweiz (Auftragsverarbeiter, nachfolgend „Entgeltklar“). Diese Vereinbarung wird mit Abschluss des Abonnements Vertragsbestandteil; eine unterschriftsfertige Fassung mit Ihren Unternehmensdaten steht im Kundenkonto zum Download bereit.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung pseudonymisierter Beschäftigtendaten zur Durchführung von Stellenbewertung, Entgeltanalyse, Berichterstellung und Auskunftsbearbeitung. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

• Zweck: Erfüllung der Pflichten aus der Richtlinie (EU) 2023/970 und nationalen Umsetzungsgesetzen.
• Datenkategorien: Pseudonym-Code, Geschlecht, Stellenbezeichnung, Abteilung, Standort, Führungsstufe, Pensum, Grund- und variables Entgelt, Eintrittsdatum, Geburtsjahr. Keine Namen, Personalnummern, Kontaktdaten oder besonderen Kategorien nach Art. 9 DSGVO, mit Ausnahme der Angabe „divers“ beim Geschlecht.
• Betroffene: Beschäftigte des Kunden.

3. Weisungen

Entgeltklar verarbeitet die Daten ausschliesslich im Rahmen der Funktionen der Software und nach dokumentierten Weisungen des Kunden. Weisungen erteilt der Kunde über die Software oder in Textform.

4. Technische und organisatorische Massnahmen

• Pseudonymisierung im Browser des Kunden vor jeder Übertragung
• Verschlüsselung bei Übertragung (TLS 1.2+) und Speicherung (AES-256)
• Hosting in Frankfurt am Main (AWS eu-central-1, ISO 27001), keine Datenhaltung in Drittländern
• Mandantentrennung auf Datenbankebene (Row Level Security), rollenbasierte Zugriffe, Betriebsrats-Rolle ohne Einzelwerte
• Protokollierung aller Zugriffe und Änderungen (Audit-Log, 12 Monate)
• Tägliche verschlüsselte Sicherungen, Wiederherstellung innerhalb von 24 Stunden
• Zugriff des Auftragsverarbeiters auf Kundendaten nur zur Störungsbehebung, protokolliert
• Löschkonzept: automatische Löschung 30 Tage nach Vertragsende, auf Weisung sofort

5. Unterauftragsverarbeiter

Der Kunde genehmigt die auf der Seite „Datenschutz und Sicherheit“ aufgeführten Unterauftragsverarbeiter (Supabase, Vercel, KI-Anbieter Anthropic oder OpenAI, Stripe, Resend). Änderungen werden 30 Tage vorab per E-Mail angekündigt; der Kunde kann widersprechen und in diesem Fall kündigen.

6. Unterstützung, Meldepflichten

Entgeltklar unterstützt den Kunden bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden. Verletzungen des Schutzes personenbezogener Daten werden dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, gemeldet.

7. Kontrollrechte

Der Kunde kann die Einhaltung dieser Vereinbarung durch Einsicht in Nachweise (Zertifikate der Rechenzentren, TOM-Beschreibung, Audit-Log) und nach Ankündigung durch Prüfungen kontrollieren.

8. Löschung und Rückgabe

Nach Vertragsende kann der Kunde alle Daten 30 Tage lang als Excel exportieren. Danach werden sie einschliesslich Sicherungen innerhalb von weiteren 30 Tagen gelöscht. Die Löschung wird auf Wunsch bestätigt.

Stand: September 2026