Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

Persobo – Fassung avv-2026-11, Stand 26.10.2026

Vertragsparteien

Der Betrieb, der auf app.persobo.de einen Personalfragebogen anlegt und diesem Vertrag zustimmt
– im Folgenden Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO) –

und

Kleymann Digital Solutions UG (haftungsbeschränkt), Wendenstraße 459, 20537 Hamburg, vertreten durch die Geschäftsführung, Lennart Kleymann
– im Folgenden Auftragnehmer (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO) –

Präambel

Der Auftragnehmer betreibt unter dem Namen Persobo einen kostenlosen Dienst, mit dem Arbeitgeber Personalfragebögen für neue Beschäftigte digital ausfüllen lassen und an ihre Kanzlei bzw. Lohnabrechnung weitergeben. Die Leistungen ergeben sich aus den Nutzungsbedingungen von Persobo („Hauptvertrag“). Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien bei der Verarbeitung personenbezogener Daten, die der Auftragnehmer dabei im Auftrag des Auftraggebers durchführt.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

(1) Gegenstand ist die Verarbeitung der Angaben in einem Personalfragebogen („Bogen“) einschließlich hochgeladener Dokumente und Unterschriften sowie der Mail-Adressen, an die der Auftraggeber den Bogen über Persobo verschickt.

(2) Art der Verarbeitung: Erheben über Formulare und Uploads, verschlüsseltes Speichern, formale Prüfung (Pflichtfelder, Prüfziffern), Erzeugen einer Gesamtsicht, eines PDF und strukturierter Daten (JSON), Bereitstellen zum Abruf über Links, Versand von Mails mit Links und Bestätigungscodes, Protokollieren von Zugriffen ohne Inhalte, Bereitstellen eines Entwurfs zur Prüfung und Freigabe durch den Auftraggeber, Übermitteln von Rückfragen an die Mitarbeiterin bzw. den Mitarbeiter, Bereitstellen einer Kopie ihres Teils, Erstellen anonymer Nutzungsstatistiken (§ 3 Abs. 11), Löschen.

(3) Zweck: Erfassung der Angaben zu einer neu eingestellten oder einzustellenden Person, damit der Auftraggeber seine Pflichten bei Anmeldung zur Sozialversicherung, Lohnkonto und Lohnabrechnung erfüllen und die Angaben an seine Kanzlei bzw. Lohnabrechnung weitergeben kann.

(4) Art der Daten und Kategorien betroffener Personen: siehe Anlage 1. Darunter sind besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO (Angaben zu einer Schwerbehinderung; Gesundheitsangaben, soweit sie in einem hochgeladenen Rentenbescheid enthalten sind).

(5) Abschluss: Der Vertrag kommt für jeden Bogen gesondert zustande, wenn der Auftraggeber beim Anlegen des Bogens die Zustimmung zur Auftragsverarbeitung erklärt. Der Auftragnehmer speichert Fassung und Zeitpunkt der Zustimmung am Bogen. Der Vertrag liegt in elektronischem Format vor (Art. 28 Abs. 9 DSGVO) und ist unter persobo.de/avv jederzeit abrufbar, speicherbar und druckbar.

(6) Dauer: Der Vertrag gilt, bis alle Daten des Bogens nach § 3 Abs. 9 gelöscht sind. Der Auftraggeber kann ihn jederzeit beenden, indem er den Bogen in der Arbeitgeber-Zentrale löscht.

§ 2 Anwendungsbereich und Verantwortlichkeit

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung allein verantwortlich, insbesondere dafür, dass er die im Bogen abgefragten Angaben erheben und an seine Kanzlei bzw. Lohnabrechnung weitergeben darf.

(2) Weisungen des Auftraggebers sind
a) dieser Vertrag und der Hauptvertrag,
b) die Aktionen, die der Auftraggeber in der Arbeitgeber-Zentrale auslöst, insbesondere: Bogen anlegen und ausfüllen, Mitarbeiter-Link erzeugen, teilen, per Mail senden, erneuern oder zurückziehen, den ausgefüllten Bogen prüfen, eine Rückfrage an die Mitarbeiterin bzw. den Mitarbeiter stellen, eigene Angaben korrigieren, den Bogen freigeben, ihn an eine Kanzlei-Adresse senden, Ergebnisse herunterladen, den Bogen löschen,
c) die Bereitstellung einer Kopie ihres eigenen Teils (ohne Angaben des Auftraggebers) als PDF an die Mitarbeiterin bzw. den Mitarbeiter nach jeder Unterschrift und, wenn sie es wünscht, deren Versand per Mail an eine von ihr angegebene Adresse, auch für spätere Fassungen nach einer erneuten Unterschrift; die Adresse wird für nichts anderes verwendet,
d) Einzelweisungen in Textform an datenschutz@persobo.de.
Der Auftragnehmer protokolliert die Aktionen nach Buchstaben b und c ohne Inhalte; der Auftraggeber sieht das Protokoll im Verlauf seines Bogens. Einzelweisungen, die der Dienst technisch nicht vorsieht, behandelt der Auftragnehmer als Antrag auf Leistungsänderung; er kann sie ablehnen. Der Auftraggeber kann den Bogen dann löschen.

(3) Weitergabe an die Kanzlei: Auf Weisung des Auftraggebers stellt der Auftragnehmer der vom Auftraggeber angegebenen Kanzlei-Adresse einen Abruf-Link bereit. Die Kanzlei erhält die Daten als Empfängerin des Auftraggebers. Was sie nach dem Abruf verarbeitet, verantwortet sie selbst. Zwischen Kanzlei und Auftragnehmer entsteht durch den Abruf kein Auftragsverhältnis.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten nur im Rahmen dieses Vertrags und der dokumentierten Weisungen des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer. Ist er durch das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Er informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, und darf die Umsetzung bis zur Bestätigung oder Änderung aussetzen.

(3) Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2, die den Anforderungen von Art. 32 DSGVO genügen. Er darf sie durch gleichwertige oder bessere Maßnahmen ersetzen und dokumentiert das; das Schutzniveau der Anlage 2 darf nicht unterschritten werden.

(4) Er nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung, Statistiken mit Personenbezug oder das Training von KI-Modellen. Die Mail-Adressen von Mitarbeitenden und Kanzleien verwendet er nur für Mails zu dem jeweiligen Bogen. Ausgenommen ist die anonyme Nutzungsstatistik nach Abs. 11.

(5) Er gewährleistet, dass alle Personen, die mit den Daten befasst sind, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, auch über das Ende ihrer Tätigkeit hinaus, und die Daten nur nach Weisung verarbeiten. Er verschafft sich Kenntnis von Bogeninhalten nur, soweit es im Einzelfall zur Vertragserfüllung erforderlich ist, etwa zur Fehlerbehebung auf Anfrage des Auftraggebers.

(6) Er unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (§ 5) und bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere durch Bereitstellung dieses Vertrags, der Anlagen, seines Verzeichnisses nach Art. 30 Abs. 2 DSGVO und der Informationen, die für eine Datenschutz-Folgenabschätzung nötig sind.

(7) Er unterrichtet den Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die den Bogen betreffen, per Mail an die am Bogen hinterlegte Adresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Ansprechpartner, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben reicht er nach, sobald sie vorliegen.

(8) Ansprechpartner für Datenschutzfragen ist Lennart Kleymann, datenschutz@persobo.de.

(9) Löschung und Rückgabe: „Rückgabe“ bedeutet, dass der Auftraggeber den abgeschlossenen Bogen in der Arbeitgeber-Zentrale als PDF, als strukturierte Daten (JSON) und mit allen Anlagen herunterladen kann. Der Auftragnehmer löscht die Daten des Bogens ohne gesonderte Weisung (diese Regel ist zugleich die Weisung im Sinne von Art. 28 Abs. 3 S. 2 lit. g DSGVO):
a) bei einem abgeschlossenen Bogen 45 Tage nach dem letzten Abschluss durch die Mitarbeiterin bzw. den Mitarbeiter (nach einer Rückfrage beginnt die Frist mit der erneuten Unterschrift neu),
b) bei einem Bogen, für den ein Mitarbeiter-Link ausgegeben und nicht abgeschlossen wurde, 30 Tage nach Ablauf des zuletzt ausgegebenen Mitarbeiter-Links,
c) bei einem Entwurf ohne Mitarbeiter-Link 30 Tage nach der letzten Änderung des Auftraggebers,
d) sofort, wenn der Auftraggeber den Bogen löscht.
Sieben Tage vor der Löschung eines abgeschlossenen Bogens erinnert der Auftragnehmer den Auftraggeber per Mail. Gelöscht werden Bogenstand, Prüfergebnis, Gesamtsicht, strukturierte Daten, PDF, Kopien für die Mitarbeiterin, Rückfragen, Uploads, Empfänger-Adressen, Links,
Geräte-Bindungen, offene Mail-Aufträge und der Datenschlüssel des Bogens. Datensicherungen werden nicht einzeln bereinigt; sie werden spätestens nach 14 Tagen überschrieben, sodass gelöschte Daten danach auch dort nicht mehr vorhanden sind. Eine Löschung kann nicht rückgängig gemacht werden. Eine gesetzliche Pflicht des Auftragnehmers zur Speicherung der Bogendaten besteht nicht.

(10) Nach der Löschung verbleiben beim Auftragnehmer nur Daten, die er als eigener Verantwortlicher verarbeitet: das Protokoll ohne Inhalte (Zeitpunkt, Rolle, Bogen-Kennung, Ereignis) für 12 Monate sowie der Kontingent-Eintrag (Betriebsnummer, Jahr, Bogen-Kennung). Die anonymen Nutzungsstatistiken nach Abs. 11 enthalten keine personenbezogenen Daten und bleiben bestehen.

(11) Anonyme Nutzungsstatistik. Der Auftraggeber weist den Auftragnehmer an, aus der Nutzung des Bogens anonyme, zusammengefasste Nutzungsstatistiken zu erstellen, damit der Auftragnehmer erkennt, an welchen Stellen der Bogen schwer verständlich ist oder abgebrochen wird, und ihn verbessern kann. Dabei gilt:
a) Gezählt werden nur Vorgänge je Bildschirm und Feld des Bogens: Aufrufe, Zurückgehen, Überspringen, Dauer bis zum nächsten Schritt, als fehlerhaft gemeldete Eingaben und der Bildschirm, auf dem ein Bogen nicht weitergeführt wurde.
b) Nicht erfasst werden eingegebene Werte, Dateien, Namen, Mail- oder IP-Adressen sowie Kennungen von Bogen, Gerät, Link oder Betrieb. Es werden keine Cookies gesetzt oder ausgelesen und keine Informationen aus dem Endgerät abgerufen, die nicht ohnehin für den Dienst übertragen werden.
c) Die Vorgänge werden im Arbeitsspeicher gezählt und am Ende jedes Kalendertags je Kalenderwoche und je Bildschirm bzw. Feld zu Summen zusammengefasst; gespeichert werden nur diese Summen und die Zahl der verschiedenen Bögen, auf denen sie beruhen. Ausgewertet werden nur Summen, die auf mindestens 3 verschiedenen Bögen beruhen. Felder, deren bloße Nennung eine besondere Kategorie personenbezogener Daten verraten kann, werden nur zusammengefasst gezählt. Die Wochensummen werden nach zwei Jahren gelöscht. Es gibt keine Aufschlüsselung nach Betrieb, Betriebsnummer, Branche, Region oder Beschäftigungsart.
d) Zwischenwerte, die nur für die Berechnung nötig sind (etwa der Zeitpunkt des letzten Bildschirmwechsels eines Bogens), werden nur im Arbeitsspeicher gehalten und gelöscht, sobald der jeweilige Teil des Bogens abgeschlossen ist, der Bogen gelöscht wird oder sieben Tage keine Aktivität stattfindet.
e) Die Statistiken lassen keinen Rückschluss auf einzelne Personen, Bögen oder Betriebe zu und sind keine personenbezogenen Daten. Der Auftragnehmer darf sie zur Verbesserung und Weiterentwicklung von Persobo nutzen und nach Ende dieses Vertrags behalten. Er verknüpft sie nicht mit anderen Daten, um Personen, Bögen oder Betriebe zu bestimmen, und gibt sie nicht in einer Form weiter, die das ermöglichen würde.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber informiert die Mitarbeitenden nach Art. 13 DSGVO über die Verarbeitung. Der Bogen enthält dazu einen Hinweis-Schritt; der Auftraggeber ergänzt ihn bei Bedarf um eigene Angaben (z. B. seine Speicherfristen).

(2) Er gibt die Mail-Adressen von Mitarbeitenden und Kanzlei sorgfältig ein, hält Links und Codes geheim und verantwortet die Folgen einer falschen Adresse.

(3) Er lädt den Bogen innerhalb der Löschfrist herunter bzw. lässt ihn von seiner Kanzlei abrufen und erfüllt seine Aufbewahrungspflichten selbst. Persobo ist kein Archiv.

(4) Er informiert den Auftragnehmer unverzüglich und vollständig, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Anfragen betroffener Personen

(1) Der Auftraggeber kann den abgeschlossenen Bogen in der Zentrale vollständig einsehen, herunterladen und löschen. Damit kann er Anträge auf Auskunft, Kopie, Datenübertragbarkeit und Löschung selbst erfüllen.

(2) Wendet sich eine betroffene Person mit einem Antrag nach Art. 15 bis 21 DSGVO an den Auftragnehmer, verweist er sie an den Auftraggeber und leitet den Antrag an diesen weiter, soweit er ihn dem Bogen zuordnen kann. Er unterstützt den Auftraggeber bei der Erfüllung im erforderlichen Umfang.

§ 6 Nachweismöglichkeiten und Kontrollrechte

(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten nach, vorrangig durch diesen Vertrag, Anlage 2, sein Verzeichnis nach Art. 30 Abs. 2 DSGVO und auf Anfrage weitere Auskünfte und Selbstprüfungen.

(2) Der Auftraggeber kann die Einhaltung selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer überprüfen, auch durch Inspektionen. Inspektionen sind mit angemessener Vorankündigung, in der Regel 14 Tage, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Auftraggebern durchzuführen. Steht der Prüfer im Wettbewerb mit dem Auftragnehmer, kann dieser ihn ablehnen. Anlassbezogene Prüfungen bleiben unberührt. Jede Partei trägt ihre Kosten selbst.

§ 7 Weitere Auftragsverarbeiter (Unterauftragsverarbeiter)

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die in Anlage 3 genannten gelten als genehmigt.

(2) Vor der Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters informiert der Auftragnehmer mindestens 30 Tage vorher per Mail an die Adressen aller laufenden Bögen und auf persobo.de/unterauftragsverarbeiter. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich keine Einigung finden, kann er den Bogen löschen. Ohne Widerspruch gilt die Änderung als genehmigt.

(3) Der Auftragnehmer legt jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag vorsieht, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein weiterer Auftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung (Art. 28 Abs. 4 DSGVO).

§ 8 Übermittlung in Drittländer

(1) Der Auftragnehmer und die weiteren Auftragsverarbeiter nach Anlage 3 verarbeiten die Daten in der EU bzw. im EWR. Beim Mail-Versand über Microsoft (Anlage 3, Nr. 2) liegen gespeicherte Daten in der Datenregion Deutschland; eine Durchleitung durch andere Regionen und ein Zugriff durch die Muttergesellschaft Microsoft Corporation (USA) sind nicht ausgeschlossen. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Betroffen sind nur die Angaben nach Abs. 3.

(2) Soll sich das ändern, informiert der Auftragnehmer den Auftraggeber vorher nach § 7 Abs. 2 und nennt das Drittland und die Grundlage nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss oder geeignete Garantien). Ohne eine solche Grundlage findet keine Übermittlung statt.

(3) Mails enthalten keine Angaben aus dem Bogen und keine Anhänge, sondern nur Betriebsname, Link und gegebenenfalls einen Code.
## § 9 Haftung

(1) Gegenüber betroffenen Personen haften Auftraggeber und Auftragnehmer nach Art. 82 DSGVO.

(2) Im Verhältnis der Parteien gilt die Haftungsregelung des Hauptvertrags (Nutzungsbedingungen, § 8) auch für die Auftragsverarbeitung.

§ 10 Informationspflichten, Form, Rechtswahl

(1) Werden die Daten beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert er den Auftraggeber unverzüglich und weist die Beteiligten darauf hin, dass die Daten dem Auftraggeber als Verantwortlichem zustehen.

(2) Änderungen dieses Vertrags bedürfen einer neuen Fassung, der der Auftraggeber beim Anlegen eines Bogens zustimmt. Für bestehende Bögen bleibt die Fassung maßgeblich, der zugestimmt wurde.

(3) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragnehmers.

Anlagen
Anlage 1: Art der Daten und Kategorien betroffener Personen
Anlage 2: Technische und organisatorische Maßnahmen (siehe unten) Anlage 3: Weitere Auftragsverarbeiter (siehe unten)

Anlage 1: Art der Daten und Kategorien betroffener Personen

Betroffene Personen

• Beschäftigte und Bewerber:innen, die den Bogen ausfüllen,
• deren Kinder und gegebenenfalls ein abweichender Kontoinhaber, soweit der Bogen danach fragt,
• Personen beim Auftraggeber, die den Bogen ausfüllen oder unterschreiben,
• Ansprechpersonen der Kanzlei, an die der Auftraggeber den Bogen schickt.

Art der Daten (welche Angaben im Einzelfall erhoben werden, hängt von der Beschäftigungsart ab)

Anlage 2 zum AVV: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Persobo – Fassung tom-2026-11, Stand 26.10.2026

1. Vertraulichkeit

1.1 Verschlüsselung

• Jeder Bogen hat einen eigenen, zufällig erzeugten 256-Bit-Datenschlüssel. Er wird nur mit einem Hauptschlüssel verschlüsselt („verpackt“) gespeichert.
• Mit dem Datenschlüssel sind nach AES-256-GCM verschlüsselt: der Bogenstand mit allen Angaben, Prüfergebnis, Gesamtsicht, strukturierte Daten, PDF, hochgeladene Dateien, Dateinamen sowie die Mail-Adressen von Mitarbeiter:in und Kanzlei. Jede Verschlüsselung nutzt eine neue Zufallszahl (Nonce) und ist an Art und Kennung des Objekts gebunden, sodass ein verschlüsselter Block nicht unter fremder Kennung eingespielt werden kann.
• Mail-Aufträge (Empfänger, Link, Inhalt) liegen bis zum Versand verschlüsselt vor; nach dem Versand oder einem endgültigen Fehlschlag wird der Inhalt gelöscht.
• Unverschlüsselt gespeichert sind: Mail-Adresse, Betriebsname und Betriebsnummer des Auftraggebers, Zustand und Zeitpunkte des Bogens, Dateityp, Dateigröße und Prüfsumme hochgeladener Dateien, Protokolleinträge ohne Inhalte.
• Haupt- und Link-Schlüssel werden nicht in der Datenbank gespeichert; der Server startet ohne sie nicht.

1.2 Zugangskontrolle zu Bögen

• Kein Konto, kein Passwort: Zugang nur über persönliche Links. Es gibt drei getrennte Link-Arten (Arbeitgeber, Mitarbeiter:in, Kanzlei); ein Link der einen Art öffnet keine Funktionen einer anderen.
• Links enthalten 256 Bit Zufall. Auf dem Server liegt nur ein Hashwert (SHA-256). Der geheime Teil steht hinter dem # der Adresse; Browser übertragen ihn nicht an Server, er erscheint daher nicht in Server-Protokollen und wird nicht als Herkunftsadresse an andere Seiten weitergegeben. Ein Link wird erst nach Klick auf „Bogen öffnen“ eingelöst, damit Mail-Scanner und Vorschauen ihn nicht verbrauchen.
• Bindung an Geräte über ein Cookie mit 256 Bit Zufall (nicht für Skripte lesbar, nur über HTTPS, SameSite=Lax, Laufzeit 60 Tage), auf dem Server nur als Hashwert. Welche Bögen ein Gerät öffnen darf, steht nur auf dem Server.
• Mitarbeiter-Link: gilt nur auf dem Gerät, auf dem er zuerst geöffnet wurde.
• Arbeitgeber- und Kanzlei-Link: jedes weitere Gerät braucht einen 6-stelligen Code, der an die hinterlegte Adresse geht; höchstens 5 Geräte je Link. Codes gelten 10 Minuten, sind nur als HMAC gespeichert, erlauben 5 Versuche; höchstens 3 Codes je Stunde und Link, danach ist der Link 60 Minuten gesperrt.
• Links laufen nach 30 Tagen ab, Arbeitgeber- und Kanzlei-Link nie später als die Löschung des Bogens. Ein erneuerter Link macht den alten sofort ungültig.
• Ein Mitarbeiter-Link wird erst ausgegeben, wenn der Auftraggeber seine Mail-Adresse bestätigt hat.
• Unbekannte Geräte und fremde Bogen-Kennungen erhalten die Antwort „nicht gefunden“; die Funktion „Link verloren?“ antwortet immer gleich, ob es Bögen zur Adresse gibt oder nicht.

1.3 Trennung nach Rollen

• Mitarbeitende sehen nur die Angaben des Arbeitgebers, die die Bogen-Definition für sie vorsieht, nie die Gesamtsicht, die strukturierten Daten oder das PDF.
• Der Arbeitgeber sieht die Angaben der Mitarbeiterin bzw. des Mitarbeiters erst nach deren Abschluss.
• Hochgeladene Dateien sind nur für die Rolle und den Bogen abrufbar, zu denen sie gehören; Verweise auf fremde Dateien werden abgelehnt.
• Der Arbeitgeber kann die Angaben der Mitarbeiterin bzw. des Mitarbeiters nicht ändern, nur eine Rückfrage stellen. Die Rückfrage ist mit dem Schlüssel des Bogens verschlüsselt, nur für die Mitarbeiterin sichtbar, steht nicht im Verlauf und in keiner Mail und wird mit ihrer nächsten Unterschrift gelöscht.
• Die Kanzlei erhält den Bogen erst nach der Freigabe durch den Arbeitgeber; vorher gibt es nur ein Entwurfs-PDF mit Wasserzeichen für den Arbeitgeber.
• Freigegebene Bögen lassen sich nicht mehr ändern.
• Mails enthalten keine Angaben aus dem Bogen und keine Anhänge, sondern nur Betriebsname, Link und gegebenenfalls einen Code oder den Fingerabdruck (SHA-256) der Kopie. Sie enthalten keine Zählpixel und keine umgeleiteten Links; Bilder und Schriften kommen vom eigenen Server.

2. Integrität

• Authentische Verschlüsselung (AES-GCM): veränderte Daten lassen sich nicht entschlüsseln.
• Uploads: Dateityp wird aus dem Inhalt bestimmt, nicht aus Name oder Angabe des Browsers; erlaubt sind PDF, JPEG, PNG, WebP und HEIC bis 20 MB. Dateinamen werden bereinigt. Jede Datei erhält eine SHA-256-Prüfsumme, die beim Verweis im Bogen abgeglichen wird.
• Der Server prüft den ganzen Bogen beim Abschluss erneut, statt sich auf die Prüfung im Browser zu verlassen.
• Gleichzeitige Änderungen am selben Bogen werden nacheinander verarbeitet (Sperre in der Datenbank).
• Schutz gegen Anfragen fremder Websites: ändernde Anfragen mit fremder Herkunft (Origin) werden abgewiesen.
• Sicherheits-Header: X-Content-Type-Options: nosniff, Referrer-Policy: no-referrer, im Echtbetrieb HSTS.
• Begrenzung jeder Anfrage auf 1 MB (Uploads 20 MB) und 30 Sekunden.
• Mails gehen verschlüsselt (STARTTLS, Standardeinstellung, oder TLS) an den Mail-Dienst; im Echtbetrieb startet der Server nicht ohne konfigurierten Mail-Server.

3. Verfügbarkeit und Belastbarkeit

• Drosseln gegen Missbrauch je Herkunft: 10 fehlgeschlagene Link-Einlösungen je Minute, 20 neue Bögen je 24 Stunden, 10 Anfragen „Link verloren?“ je Stunde, 120 Feldprüfungen je Minute.
• Fachliche Höchstmengen: 5 Bögen je Betriebsnummer und Kalenderjahr, höchstens 10 offene Entwürfe je Betriebsnummer, je Bogen höchstens 5 Mails an Mitarbeitende und 5 an Kanzleien pro Tag, höchstens 3 Zugangs-Mails je Stunde, höchstens 3 Bestätigungsmails je Adresse und Stunde für Warteliste und Kanzlei-Informationen.
• Mail-Versand über eine Warteschlange in der Datenbank: Fachänderung und Mail-Auftrag werden gemeinsam gespeichert, fehlgeschlagene Mails nach 1, 5, 30, 120 und 360 Minuten erneut versucht.
• Der Server startet nur, wenn die gespeicherten Bogen-Definitionen zu ihrer Prüfsumme passen; Datenbankänderungen laufen beim Start automatisch und versioniert.

4. Datenminimierung, Löschung und Protokollierung

• Betreffzeilen enthalten weder Betriebsnamen noch Codes noch Daten, weil der Mail-Dienst Betreffs in seinen Versandprotokollen aufbewahrt; ein Test prüft alle Betreffzeilen.

• Persobo ist kein Archiv. Löschfristen: abgeschlossene Bögen 45 Tage nach Abschluss; Bögen mit nicht abgeschlossenem Mitarbeiter-Link 30 Tage nach dessen Ablauf; Entwürfe 30 Tage nach der letzten Änderung. Sieben Tage vor der Löschung eines abgeschlossenen Bogens geht eine Erinnerung an den Auftraggeber.
• Ein automatischer Löschlauf läuft stündlich. Er löscht den Bogen mit allen zugehörigen Daten und dem verpackten Datenschlüssel aus der Datenbank und danach die hochgeladenen Dateien des Bogens.
• Der Auftraggeber kann einen Bogen jederzeit selbst löschen.
• Datensicherungen werden nicht einzeln bereinigt. Da der verpackte Datenschlüssel mit dem Bogen gesichert wird, sind gelöschte Bögen in den Sicherungen noch höchstens 14 Tage vorhanden (Abschnitt 6), lesbar nur mit dem getrennt verwahrten Hauptschlüssel.
• Technische Daten: Bestätigungscodes werden einen Tag nach Ablauf gelöscht, Geräte nach 90 Tagen ohne Nutzung, Mail-Aufträge nach Versand ohne Inhalt und nach 30 Tagen ganz.
• Protokoll: Zeitpunkt, Rolle, Bogen-Kennung und Ereignis (z. B. „Link geöffnet“, „an Kanzlei gesendet“, „Datei hochgeladen“ mit Typ und Größe), ohne Namen, Adressen oder Inhalte; Löschung nach 12 Monaten.
• Server-Protokolle der Anwendung enthalten Methode, Pfad und eine Anfrage-Kennung, aber keine Anfrageinhalte, keine Cookies und keine Zugangs-Header. Die Anwendung protokolliert keine IP-Adressen; für die Drosseln hält sie IP-Adressen nur im Arbeitsspeicher.

5. Überprüfung, Bewertung und Evaluierung

• Vor jedem neuen Stand läuft eine automatische Prüfung: Formatierung, statische Analyse ohne Warnungen, alle automatischen Tests (darunter Tests zur Rollentrennung, zum Missbrauch von Links und Codes und zur Löschung) sowie eine Prüfung der Abhängigkeiten auf bekannte Sicherheitslücken und Lizenzen.
• Ein Ende-zu-Ende-Test spielt den gesamten Ablauf (Arbeitgeber, Mitarbeiter:in, Kanzlei) einschließlich Mailversand an einen Testserver durch.
• Diese Maßnahmen werden bei jeder wesentlichen Änderung und mindestens jährlich überprüft.

6. Server, Rechenzentrum, Datensicherung

• Rechenzentrum: Hetzner Online GmbH, Hetzner Cloud, Standort Nürnberg, Deutschland. Hetzner betreibt ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheits-Managementsystem für seine Rechenzentren in Nürnberg, Falkenstein und Helsinki; Zutritts- und Zugangskontrolle zum Rechenzentrum nach den technischen und organisatorischen Maßnahmen von Hetzner.
• Eigener Server nur für Persobo in einem eigenen Hetzner-Projekt; keine Daten anderer Kunden auf diesem Server.
• Verbindungen zur Website und App nur verschlüsselt über HTTPS (TLS, auch HTTP/3), mit HSTS; Zertifikate automatisch erneuert (Caddy).
• Netz: Firewall auf dem Server (ufw) und im Hetzner-Projekt; offen sind nur SSH, HTTP (Weiterleitung auf HTTPS) und HTTPS. Die Datenbank hat keinen Netzwerkport und ist nur über einen lokalen Socket erreichbar, ohne Passwort, nur für den Systembenutzer der Anwendung. Anwendung und App lauschen nur lokal hinter dem Webserver.
• Server-Zugang nur per SSH-Schlüssel (Passwort-Anmeldung abgeschaltet), höchstens drei Versuche, Sperre bei wiederholten Fehlversuchen (fail2ban). Der Benutzer für Auslieferungen darf mit erhöhten Rechten nur das Umschalten von Versionen und das Einspielen von Schlüsseln ausführen.
• Härtung der Dienste: eigene Systembenutzer je Dienst, Dateisystem schreibgeschützt bis auf das Datenverzeichnis, keine Rechteausweitung. Sicherheitsupdates des Betriebssystems und der Pakete werden automatisch eingespielt.
• Protokolle: Der Webserver speichert Zugriffe mit gekürzter IP-Adresse (IPv4 auf /24, IPv6 auf /48), ohne Abfrageparameter, Referrer, Cookies und Zugangs-Header, und löscht sie nach 14 Tagen. Die Datenbank protokolliert keine Abfrageparameter.
• Datensicherung: täglich und vor jeder neuen Version der Anwendung; Datenbank und hochgeladene Dateien werden mit restic verschlüsselt (AES-256) in ein eigenes Unterkonto einer Hetzner Storage Box im Rechenzentrum Falkenstein (Deutschland) gesichert, also an einem anderen Standort als der Server in Nürnberg. Das Unterkonto sieht nur den Persobo-Ordner; ohne das Passwort der Datensicherung sind die Daten dort nicht lesbar. Sicherungen werden nach 10 Tagen gelöscht, wobei auch teilweise genutzte Speicherblöcke neu geschrieben werden, damit keine Reste gelöschter Daten bleiben. Keine Sicherung ist damit älter als 14 Tage. Snapshots der Storage Box sind vorbereitet, aber noch nicht eingeschaltet. Es gibt keine Kopie auf Wechseldatenträgern. Die Sicherungen werden täglich stichprobenartig auf Lesbarkeit geprüft, die Wiederherstellung wird wöchentlich automatisch getestet.
• Schlüssel: Der Hauptschlüssel, der Link-Schlüssel und das Passwort der Datensicherung werden nicht mitgesichert, sondern getrennt verwahrt (Passwort-Manager und Offline-Kopie).
• Überwachung: Erreichbarkeit, Dienste, Mail-Warteschlange, Fehlerquote, Speicherplatz und Alter der Datensicherung werden laufend geprüft; Alarme gehen an den Betreiber. Messdaten gehen über eine gegenseitig authentifizierte, verschlüsselte Verbindung an einen eigenen Überwachungsserver des Auftragnehmers. Alarme und Messdaten enthalten keine Angaben aus dem Bogen.

7. Organisation

• Zugriff auf Server, Datenbank, Datensicherungen und Schlüssel hat nur die Geschäftsführung.
• Erhalten weitere Personen Zugriff, werden sie vorher schriftlich auf Vertraulichkeit verpflichtet.
• Auf Bogeninhalte wird nur im Einzelfall und auf Anfrage des Auftraggebers zugegriffen, etwa zur Fehlerbehebung.
• Datenschutzverletzungen werden dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, gemeldet.
• Weitere Auftragsverarbeiter werden sorgfältig ausgewählt und vertraglich gebunden (Anlage 3).

Anlage 3 zum AVV: Weitere Auftragsverarbeiter

Persobo – Fassung uav-2026-11, Stand 26.10.2026

Der Auftraggeber genehmigt die folgenden weiteren Auftragsverarbeiter (§ 7 AVV).

Keine weiteren Auftragsverarbeiter sind:

• die Benachrichtigungen an den Betreiber (ntfy), die Betriebsüberwachung (OpenTelemetry, Erreichbarkeitsprüfung) und die Website-Statistik (Umami): Sie laufen als eigene Dienste der Kleymann Digital Solutions UG auf dem Überwachungsserver aus Nr. 1 und erhalten keine Angaben aus dem Bogen und keine Mail-Adressen,
• Schriften und Bilder: Auslieferung vom eigenen Server, kein Content-Delivery-Netz.

Änderungen kündigen wir mindestens 30 Tage vorher per Mail an die Adressen aller laufenden Bögen und auf dieser Seite an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen (§ 7 AVV).