gem. Art. 28 DSGVO für die SaaS-Plattform SL-UP Urlaubsplaner
Version 1.0 – Stand: März 2026zwischen dem Kunden der SaaS-Plattform SL-UP (nachfolgend „Auftraggeber") und
Software und Büroservice Christine Schremmer
Odenwaldring 13, 63500 Seligenstadt
E-Mail: info@sl-up.com
(nachfolgend „Auftragsverarbeiter")
Gegenstand dieses Auftragsverarbeitungsvertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform SL-UP zur Abwesenheitsverwaltung, Schichtplanung und Zeiterfassung.
Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages über die Nutzung von SL-UP. Dieser AVV endet automatisch mit Beendigung des Hauptvertrages.
Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der Erbringung der vertraglich vereinbarten SaaS-Leistungen, insbesondere:
Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:
Von der Verarbeitung betroffen sind folgende Kategorien von Personen:
Der Auftragsverarbeiter verpflichtet sich zu folgenden Maßnahmen:
Der Auftraggeber erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern gem. Art. 28 Abs. 2 DSGVO. Folgende Unterauftragsverarbeiter werden derzeit eingesetzt:
Über beabsichtigte Änderungen bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern wird der Auftraggeber mindestens 14 Tage vorab per E-Mail informiert. Der Auftraggeber hat das Recht, gegen solche Änderungen innerhalb von 14 Tagen nach Mitteilung schriftlich Einspruch zu erheben. Wird kein Einspruch erhoben, gilt die Zustimmung als erteilt. Im Fall eines berechtigten Einspruchs, dem der Auftragsverarbeiter nicht abhelfen kann, steht dem Auftraggeber ein außerordentliches Kündigungsrecht zu.
Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten wie in diesem AVV festgelegt. Sub-AV-Verträge werden dem Auftraggeber auf Anfrage zugänglich gemacht (Art. 28 Abs. 2 Satz 2 DSGVO).
Für den Fall, dass Unterauftragsverarbeiter in Drittländern außerhalb des EWR tätig sind, werden geeignete Garantien nach Art. 44 ff. DSGVO sichergestellt (EU-US DPF und/oder EU-Standardvertragsklauseln gem. Durchführungsbeschluss 2021/914/EU). Die vollständige Sub-AV-Liste mit Garantien ist im Trust-Center einsehbar.
Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gem. Art. 32 DSGVO implementiert. Das vollständige TOM-Dokument ist einsehbar unter: sl-up.com/tom.php (auf Anfrage auch als PDF erhältlich unter info@sl-up.com).
Physischer Schutz durch Hosting bei Hetzner Online GmbH in ISO 27001 zertifizierten Rechenzentren in Deutschland mit Zutrittskontrollsystemen, Videoüberwachung und Sicherheitspersonal.
Schutz vor unbefugter Systemnutzung durch individuelle Benutzerkonten mit Passwortschutz, optionale Zwei-Faktor-Authentifizierung (2FA), automatisches Session-Management mit Timeout und Sperrung nach fehlgeschlagenen Anmeldeversuchen.
Sicherstellung, dass Berechtigte nur auf die ihrer Berechtigung unterliegenden Daten zugreifen können, durch rollenbasierte Berechtigungen (Superadmin, Admin, Manager, Mitarbeiter), strenge Mandantentrennung und Prinzip der minimalen Rechte.
Schutz bei Datenübertragung durch TLS-Verschlüsselung aller Verbindungen (HTTPS), verschlüsselte API-Kommunikation und sichere Zahlungsabwicklung über Stripe.
Nachvollziehbarkeit von Dateneingaben durch Audit-Log mit Protokollierung von Änderungen, Zeitstempel bei allen Datenoperationen und CSRF-Token-Schutz bei allen Schreiboperationen.
Schutz gegen zufällige Zerstörung oder Verlust durch tägliche automatisierte Backups, Monitoring der Systemverfügbarkeit und angestrebte Verfügbarkeit von 99 % im monatlichen Durchschnitt.
Getrennte Verarbeitung von Daten verschiedener Auftraggeber durch konsequente Mandantentrennung per tenant_id auf Datenbankebene, isolierte Datenbereiche pro Mandant und keine mandantenübergreifende Dateneinsicht.
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, damit der Auftraggeber die gesetzliche Meldefrist von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) einhalten kann.
Die Meldung enthält mindestens:
Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Einhaltung der Pflichten gem. Art. 32 bis 36 DSGVO, insbesondere bei:
Hinweis zur Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Der Auftraggeber ist als Verantwortlicher verpflichtet, für Verarbeitungen mit voraussichtlich hohem Risiko (insb. Gesundheitsdaten via Kranken-Absencen, AU-/Krankheitsnachweise, Abwesenheitsanhänge, Zeiterfassung und Beschäftigtendaten) eine DSFA zu prüfen bzw. durchzuführen. Der Auftragsverarbeiter stellt ein DSFA-Muster für SL-UP-Kunden aktiv im Onboarding sowie jederzeit unter info@sl-up.com bereit (Art. 28 Abs. 3 lit. f DSGVO). Die TOM-Dokumentation und eine Liste der verarbeiteten Datenkategorien stehen im TOM-Dokument zur Verfügung.
Der Auftraggeber hat das Recht, die Einhaltung dieses AVV durch Audits oder Inspektionen (auch durch beauftragte Dritte) zu überprüfen. Der Auftragsverarbeiter stellt hierfür die erforderlichen Informationen bereit und gewährt angemessenen Zugang. Audits sind mit angemessener Vorlaufzeit anzukündigen.
Dieser Auftragsverarbeitungsvertrag tritt mit Abschluss des Hauptvertrages in Kraft und endet automatisch mit dessen Beendigung.
Bei Beendigung des Hauptvertrages wird der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers entweder zurückgeben oder datenschutzkonform löschen. Die Löschung bzw. Rückgabe erfolgt innerhalb von 30 Tagen nach Vertragsende.
Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Verlangen schriftlich.
Bestehende gesetzliche Aufbewahrungspflichten (z. B. § 147 AO für Rechnungsdaten) bleiben hiervon unberührt.
Für Auftraggeber mit Sitz in der Schweiz gilt dieser Vertrag ergänzend als Auftragsbearbeitungsvertrag im Sinne des Schweizer Datenschutzgesetzes (nDSG, in Kraft seit 01.09.2023). Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der einschlägigen Bestimmungen des nDSG, insbesondere zur Unterstützung bei der Erfüllung von Betroffenenrechten nach Art. 25 und 32 nDSG sowie zur Meldung von Datenschutzverletzungen. Zuständige Aufsichtsbehörde für Auftraggeber in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB, www.edoeb.admin.ch).
Dieser AVV wird durch die Nutzung der SaaS-Plattform SL-UP in Verbindung mit der Zustimmung zu den Allgemeinen Geschäftsbedingungen geschlossen. Er gilt als angenommen mit Beginn der Nutzung der Plattform.
Auftragsverarbeiter:
Software und Büroservice Christine Schremmer
Odenwaldring 13, 63500 Seligenstadt
E-Mail: info@sl-up.com
Stand: Mai 2026 | Bei Fragen: info@sl-up.com
von den Entwicklern des SL-Urlaubsplaners