Vertrag zur Auftragsverarbeitung

Verantwortlicher ist der Kunde, der Levero smart nutzt (im Folgenden „Kunde“). Auftragsverarbeiter ist Ing. Karl Prokupek (Levero Software), Lindenhofstraße 10, 3830 Waidhofen an der Thaya, Österreich (im Folgenden „wir“).

1. Gegenstand und Dauer

1.1. Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, soweit das für den Betrieb von Levero smart und die damit verbundenen Leistungen nötig ist: Bereitstellung der Anwendung, Speicherung und Sicherung der Daten, Support, Einrichtung, Schulung, Datenübernahme und Schnittstellen.

1.2. Dieser Vertrag gilt für die Dauer des Vertrags über Levero smart und darüber hinaus, solange wir Daten des Kunden gespeichert haben (Punkt 10).

2. Art der Daten und betroffene Personen

2.1. Betroffen sind vor allem Mitarbeiter und Benutzer des Kunden sowie Kunden und Ansprechpartner des Kunden.

2.2. Verarbeitet werden – je nach gebuchten Modulen und Nutzung – insbesondere:

• Mitarbeiter-Stammdaten, z. B. Name, Personalnummer, Kontaktdaten, Eintritts- und Austrittsdatum, Arbeitszeitmodell, Urlaubsanspruch, Kennungen von RFID-Chips
• Arbeitszeiten, Pausen, Zulagen, Diäten und Abwesenheiten (z. B. Urlaub, Zeitausgleich, Krankenstand)
• Fahrten: Datum, Kilometerstände, Route, Zweck, Fahrzeug, Fotos von Kilometerzählern
• Aufträge, Einsätze, Lieferscheine samt Unterschriften sowie Name, Adresse und Kontaktdaten der Kunden des Kunden
• Benutzerkonten und Protokolle, z. B. Anmeldename, E-Mail-Adresse, Kennung des Microsoft-Kontos, Zeitpunkte von Anmeldungen und Änderungen

2.3. Angaben zum Krankenstand können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Der Kunde erfasst nur, was er für die Arbeitszeitaufzeichnung und Lohnverrechnung braucht, etwa die Abwesenheit selbst, aber keine Diagnosen.

3. Weisungen

3.1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten der Vertrag über Levero smart, die Nutzung der Anwendung durch den Kunden und seine Benutzer sowie Anweisungen per E-Mail.

3.2. Ist eine Weisung aus unserer Sicht rechtswidrig, weisen wir den Kunden unverzüglich darauf hin.

3.3. Eine Verarbeitung für eigene Zwecke findet nicht statt, außer wir sind gesetzlich dazu verpflichtet; darüber informieren wir den Kunden, soweit das erlaubt ist.

4. Vertraulichkeit

Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus (§ 6 Datenschutzgesetz).

5. Sicherheit der Verarbeitung

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Ort der Verarbeitung

Wir verarbeiten die Daten auf eigenen Servern im Waldviertel (Österreich). Eine Verarbeitung außerhalb der EU erfolgt nur durch die in der Liste der Unterauftragsverarbeiter genannten Dienstleister und nur mit geeigneten Garantien nach Art. 44 ff. DSGVO.

7. Unterauftragsverarbeiter

7.1. Der Kunde genehmigt die in der Liste der Unterauftragsverarbeiter genannten Dienstleister.

7.2. Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir den Kunden mindestens vier Wochen vorher per E-Mail. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine einvernehmliche Lösung, kann der Kunde den Vertrag über Levero smart zum Zeitpunkt der Änderung kündigen, auch während einer Vertragsbindung.

7.3. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich zu einem gleichwertigen Datenschutz.

8. Unterstützung des Kunden

8.1. Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Viele davon kann der Kunde direkt in Levero smart erledigen. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an den Kunden weiter.

8.2. Wir unterstützen den Kunden außerdem bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Behörde, soweit es um unsere Verarbeitung geht.

8.3. Unterstützung, die über das Übliche hinausgeht und nicht durch einen Fehler unsererseits veranlasst ist, können wir nach Aufwand verrechnen.

9. Verletzungen des Schutzes personenbezogener Daten

Werden uns Verletzungen des Schutzes personenbezogener Daten bekannt, die Daten des Kunden betreffen, informieren wir den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, mit den uns bekannten Informationen nach Art. 33 Abs. 3 DSGVO. Wir ergreifen unverzüglich Maßnahmen, um die Folgen zu begrenzen.

10. Rückgabe und Löschung

Nach Vertragsende speichern wir die Daten noch drei Monate und stellen sie dem Kunden in dieser Zeit auf Wunsch in einem gängigen Format zur Verfügung. Danach löschen wir sie, einschließlich der Datensicherungen im Rahmen der üblichen Sicherungszyklen. Verlangt der Kunde eine sofortige Löschung, löschen wir die Daten früher. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Nachweise und Kontrollen

11.1. Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.

11.2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf nach Anmeldung mit angemessener Frist, in der Regel zwei Wochen, während unserer Geschäftszeiten kontrollieren, ob wir diesen Vertrag einhalten. Kontrollen, die über eine Kontrolle pro Jahr hinausgehen und nicht durch einen Anlass begründet sind, können wir nach Aufwand verrechnen.

12. Schlussbestimmungen

12.1. Für die Haftung gelten Art. 82 DSGVO und ergänzend die Bestimmungen der AGB.

12.2. Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor.

12.3. Es gilt österreichisches Recht; Gerichtsstand ist das für Waidhofen an der Thaya sachlich zuständige Gericht.

Anlage: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Die Server stehen in abgeschlossenen Räumen im Waldviertel, zu denen nur berechtigte Personen Zutritt haben.
• Zugang: Anmeldung nur mit persönlichem Konto, optional mit Microsoft-Konto des Kunden; administrative Zugänge zu den Servern nur für berechtigte Personen.
• Zugriff: Rollen und Berechtigungen in Levero smart, die der Kunde selbst festlegt; Trennung der Daten verschiedener Kunden (Mandantentrennung).
• Verschlüsselung: Übertragung zwischen Browser bzw. App und Server ausschließlich verschlüsselt (HTTPS/TLS).

Integrität

• Eingabekontrolle: Änderungen, etwa an Fahrten, werden protokolliert – nachvollziehbar, wer wann was geändert hat.
• KI-Funktionen: Ergebnisse werden vor dem Speichern angezeigt und erst nach Bestätigung durch den Benutzer übernommen.

Verfügbarkeit und Belastbarkeit

• Datensicherung dreimal täglich; tägliche Übertragung an einen zweiten Standort, ebenfalls im Waldviertel
• Zugesagte Verfügbarkeit von 99 % im Kalendermonat (siehe AGB Punkt 4)
• Erfassung von Arbeitszeiten und Fahrten sowie Einsatzplanung am Handy auch bei Verbindungsausfall

Organisation

• Verpflichtung aller Mitarbeiter auf Vertraulichkeit
• Datenschutzgerechte Vernichtung von Papierdokumenten und Ausdrucken
• Regelmäßige Aktualisierung von Betriebssystem und Software

Fassung vom Oktober 2026