nach Art. 28 DSGVO · Version 1.1 · Stand 15. August 2026
| Verantwortlicher | Das Unternehmen, das ein MaiWork-Firmenkonto registriert hat (nachfolgend „Auftraggeber") |
|---|---|
| Auftragsverarbeiter |
Mai Media, Inhaber Laurin-Valentin Anton Maier Odilienweg 5, 66663 Merzig, Deutschland E-Mail: kontakt@maimedia.eu · Telefon: +49 176 61322573 |
Der Auftraggeber bleibt für die Verarbeitung der Beschäftigtendaten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er entscheidet allein über Zwecke und Mittel und ist für die Zulässigkeit der Verarbeitung verantwortlich, insbesondere für eine tragfähige Rechtsgrundlage für die Erfassung von Arbeitszeiten seiner Beschäftigten.
Gegenstand ist die Bereitstellung der Software MaiWork zur Arbeitszeiterfassung, zur Verwaltung von Beschäftigten, zur Ablage von Firmenwissen sowie – bei gebuchtem Zusatz – eines Assistenten, der Fragen aus dem hinterlegten Firmenwissen beantwortet.
Der Vertrag beginnt mit der Registrierung und läuft, solange das Firmenkonto besteht. Er endet automatisch mit dessen Beendigung.
| Kategorien betroffener Personen | Beschäftigte des Auftraggebers, einschließlich seiner Administratoren |
|---|---|
| Datenarten |
Name, E-Mail-Adresse, Rolle (Administrator oder Mitarbeiter),
Passwort ausschließlich als Hashwert Arbeitszeiten mit Beginn und Ende; die Zuordnung eines Zeiteintrags zu einem vom Auftraggeber angelegten Arbeitsort und die Angabe, ob dieser Ort von Hand gewählt oder vorgeschlagen wurde Änderungen an Zeiteinträgen mit altem und neuem Wert, Zeitpunkt und ändernder Person Vom Auftraggeber eingestellte Inhalte im Firmenwissen, einschließlich hochgeladener Dokumente, des daraus ausgelesenen Textes und der Angabe, wer sie hochgeladen hat Bei gebuchtem KI-Zusatz zusätzlich: Zeitpunkt einer Anfrage, anfragende Person und Verbrauchszahlen. Frage und Antwort werden nicht gespeichert. |
| Standortdaten |
Die Standortermittlung findet ausschließlich auf dem Gerät
statt, und nur in dem Moment, in dem ein Beschäftigter die Zeiterfassung
startet oder beendet. Die ermittelte Position wird dort mit den Arbeitsorten
des Auftraggebers verglichen und anschließend verworfen. An den
Auftragsverarbeiter wird keine Position übermittelt, sondern
allenfalls die Kennung des gewählten Arbeitsorts. Im Hintergrund wird der
Standort nie abgerufen; ein Bewegungsprofil entsteht nicht. Koordinaten werden nur dann gespeichert, wenn ein Administrator einen Arbeitsort anlegt und dessen Position übernimmt. Sie beschreiben dann diesen Ort und keine Person. |
| Besondere Kategorien | Es werden keine Daten nach Art. 9 DSGVO verarbeitet. Der Auftraggeber stellt sicher, dass weder in den Textbeiträgen noch in den hochgeladenen Dokumenten des Firmenwissens Gesundheits- oder vergleichbar sensible Daten enthalten sind. Das gilt besonders bei gebuchtem KI-Zusatz, weil das Firmenwissen dann zur Beantwortung übermittelt wird (§ 7). |
Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gilt auch die vertragsgemäße Nutzung der Software. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter ist ein Einzelunternehmen ohne Beschäftigte; Zugriff hat allein der Inhaber.
Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie auf dem Stand der Technik.
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen Angaben, die dieser für seine Meldung nach Art. 33 DSGVO benötigt.
Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Konsultationen (Art. 32–36 DSGVO). Wenden sich Beschäftigte unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage weiter und beantwortet sie nicht selbst.
Der Auftraggeber ist verantwortlich für die Rechtmäßigkeit der Verarbeitung, für die Information seiner Beschäftigten nach Art. 13 DSGVO und – soweit ein Betriebsrat besteht – für dessen Beteiligung nach § 87 Abs. 1 Nr. 6 BetrVG. Er verwaltet die Zugänge seiner Beschäftigten eigenständig und deaktiviert sie beim Ausscheiden.
Der Auftraggeber stimmt dem Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter zu. Weitere oder andere Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist widersprechen; im Fall eines sachlich begründeten Widerspruchs darf er den Vertrag ohne Einhaltung einer Frist kündigen.
Mit jedem Unterauftragsverarbeiter bestehen Verpflichtungen, die den hier vereinbarten mindestens gleichwertig sind.
Die Speicherung und die reguläre Verarbeitung finden ausschließlich in Deutschland statt.
Eine Ausnahme besteht nur, wenn der Auftraggeber den KI-Assistenten hinzubucht. In diesem Fall werden die jeweilige Frage und der Inhalt des Firmenwissens — einschließlich des aus hochgeladenen Dokumenten ausgelesenen Textes — zur Beantwortung an Anthropic PBC in den Vereinigten Staaten übermittelt. Nicht übermittelt werden Namen von Beschäftigten, Arbeitszeiten und Arbeitsorte. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), die Bestandteil des mit Anthropic geschlossenen Auftragsverarbeitungsvertrags sind. Die Verarbeitung wird technisch auf Infrastruktur in den Vereinigten Staaten festgelegt; Ein- und Ausgaben werden dort innerhalb von 30 Tagen gelöscht und nicht zum Training von Modellen verwendet.
Ohne gebuchten KI-Zusatz findet keine Übermittlung in ein Drittland statt.
Nach Beendigung des Vertrags werden die Daten des Auftraggebers gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Verlangen erhält der Auftraggeber sie zuvor in einem gängigen Format (CSV). Das Verlangen ist innerhalb von 30 Tagen nach Vertragsende zu stellen; danach erfolgt die Löschung.
Zu beachten: Arbeitszeitnachweise unterliegen beim Auftraggeber eigenen Aufbewahrungspflichten. Er ist gehalten, benötigte Auswertungen vor der Löschung zu exportieren.
Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch die Beschreibung in Anlage 2. Der Auftraggeber ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung zu überzeugen; die Kontrolle hat den laufenden Betrieb möglichst wenig zu stören.
Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Änderungen bedürfen der Textform; eine geänderte Fassung wird mindestens 30 Tage vor Wirksamwerden angekündigt.
| Unternehmen | Leistung | Ort |
|---|---|---|
| netcup GmbH Daimlerstraße 25, 76185 Karlsruhe |
Betrieb des Servers, auf dem Anwendung und Datenbank laufen | Deutschland |
| Anthropic PBC San Francisco, Kalifornien |
Beantwortung von Fragen aus dem Firmenwissen — ausschließlich bei gebuchtem KI-Zusatz | USA, auf Grundlage der Standardvertragsklauseln |
Die Benachrichtigung über neue Anfragen läuft über einen eigenen Dienst auf demselben Server; ein Dritter ist daran nicht beteiligt. Die Zahlungsabwicklung über Stripe betrifft ausschließlich die Vertrags- und Zahlungsdaten des Auftraggebers selbst, nicht die Daten seiner Beschäftigten, und ist deshalb nicht Gegenstand dieses Vertrags.
Beschreibt den tatsächlichen Stand vom 15. August 2026.
Fragen zu diesem Vertrag: kontakt@maimedia.eu · Datenschutzerklärung