Rechtliches

Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO · Stand: Juli 2026

⚠️ Dieser AVV wird mit der Registrierung bei Nitofi automatisch akzeptiert. Er sollte vor dem produktiven Einsatz von einem Rechtsanwalt geprüft werden.

Parteien

Auftraggeber (Verantwortlicher):
Das Unternehmen, das sich bei Nitofi registriert hat (nachfolgend „Kunde")

Auftragnehmer (Auftragsverarbeiter):
Christopher Lüttgens, handelnd unter dem Markennamen Nitofi
Essenbacher Straße 13d, 91054 Erlangen
E-Mail: info@nitofi.com

Art. 1 – Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der Nitofi-Plattform.

Die Dauer des AVV entspricht der Laufzeit des Hauptvertrags (AGB).

Art. 2 – Art der Daten & Betroffene

Kategorien personenbezogener Daten:

Stammdaten (Name, E-Mail, Telefon, Mitarbeiter-ID)
Arbeitszeitdaten (Ein-/Ausstempelzeiten, Pausen, Überstunden)
Schichtdaten (geplante und tatsächliche Arbeitszeiten)
Urlaubsdaten (Urlaubsanträge, Krankmeldungen, Abwesenheiten)
Vergütungsdaten (Stundenlohn, Monatsgehalt – optional)

Kreis der Betroffenen:

Mitarbeiter des Kunden
Administratoren des Kunden

Zweck der Verarbeitung:

Digitale Schichtplanung, Zeiterfassung und Personalverwaltung im Auftrag des Kunden.

Art. 3 – Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten
Vertraulichkeit der Daten zu gewährleisten
Alle erforderlichen technischen und organisatorischen Maßnahmen (TOM) zu treffen
Keine weiteren Auftragsverarbeiter ohne Genehmigung einzusetzen
Den Auftraggeber bei der Erfüllung von Betroffenenrechten zu unterstützen
Nach Vertragsende alle Daten zu löschen oder zurückzugeben
Dem Auftraggeber alle erforderlichen Informationen zur Verfügung zu stellen

Art. 4 – Technische und organisatorische Maßnahmen (TOM)

Maßnahme	Umsetzung
Verschlüsselung	TLS 1.3 für Datenübertragung, AES-256 für Datenspeicherung
Zugriffskontrolle	Row-Level Security (RLS) in Supabase, rollenbasierter Zugriff
Mandantentrennung	Strikte Datentrennung per organization_id
Authentifizierung	Sichere Passwörter, OAuth 2.0 (Google, Apple)
Serverstandort	EU (Frankfurt, Deutschland)
Backups	Tägliche automatische Backups durch Supabase
Verfügbarkeit	99% Verfügbarkeit angestrebt
Incident Response	Benachrichtigung bei Datenpannen innerhalb 72h

Art. 5 – Unterauftragsverarbeiter

Der Auftraggeber erteilt hiermit die allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:

Anbieter	Sitz	Zweck
Supabase Inc.	USA (EU-Server Frankfurt)	Datenbankhosting, Authentifizierung
Vercel Inc.	USA (EU-Server)	Hosting der Web-Anwendung
Resend Inc.	USA (SCC)	Transaktionale E-Mails
Expo	USA	Mobile App-Framework & Push-Nachrichten

Änderungen der Unterauftragsverarbeiter werden dem Auftraggeber mindestens 14 Tage im Voraus mitgeteilt.

Art. 6 – Betroffenenrechte

Der Auftraggeber bleibt Verantwortlicher für die Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung etc.). Der Auftragnehmer unterstützt den Auftraggeber dabei nach Möglichkeit.

Wenden sich Betroffene direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

Art. 7 – Datenpannen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 72 Stunden, über Datenpannen die personenbezogene Daten des Auftraggebers betreffen.

Die Meldung erfolgt per E-Mail an die bei der Registrierung angegebene Adresse des Kunden.

Art. 8 – Datenlöschung nach Vertragsende

Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Dem Kunden steht es frei, seine Daten vor der Löschung über die Export-Funktion zu sichern.

Art. 9 – Akzeptanz

✅ Durch die Registrierung bei Nitofi und Akzeptanz der AGB wird dieser Auftragsverarbeitungsvertrag automatisch abgeschlossen. Eine separate Unterschrift ist nicht erforderlich.

Bei Fragen zum AVV wenden Sie sich bitte an: info@nitofi.com