Stand: Juli 2026
Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Abs. 3 DSGVO
zwischen dem jeweiligen Mandanten der Empelio-Plattform als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO
– nachfolgend „Verantwortlicher“ –
und der
Empelio GmbH
Wilkeplatz 9
59581 Warstein
E-Mail: info@empelio.de
als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO
– nachfolgend „Auftragsverarbeiter“ –
1. Gegenstand und Dauer der Verarbeitung
(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus Anlass der Nutzung der Empelio-Plattform gemäß den Allgemeinen Geschäftsbedingungen der Empelio GmbH (nachfolgend „Hauptvertrag“), Teil A Ziffer 11.
(2) Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb und die technische Verwaltung der Empelio-Plattform zur digitalen Abbildung von Personal-, Zeiterfassungs-, Schulungs-, Kommunikations- und Recruiting-Prozessen im Auftrag des Verantwortlichen.
(3) Die Dauer dieser Verarbeitung entspricht der Laufzeit des Hauptvertrags. Mit Beendigung des Hauptvertrags endet auch dieser AVV, unbeschadet der in Ziffer 11 geregelten Lösch- und Rückgabepflichten.
2. Art und Zweck der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt zu dem Zweck, dem Verantwortlichen die Funktionen der Empelio-Plattform bereitzustellen, insbesondere:
• Verwaltung digitaler Personalakten und Mitarbeiterstammdaten
• Zeiterfassung, Abwesenheits- und Urlaubsverwaltung
• Bereitstellung von Kursen, Schulungsinhalten und Zertifikaten
• interne Kommunikation, News und Mitarbeiterportale
• Bewerbermanagement und Recruiting-Prozesse, soweit vom Verantwortlichen gebucht
• Erstellung, Verwaltung und Auswertung von Marketing- und Recruiting-Funnels, soweit vom Verantwortlichen gebucht
• technischer Betrieb, Hosting, Datensicherung und Absicherung der Plattform
3. Art der personenbezogenen Daten und Kategorien betroffener Personen
Art der Daten: Stammdaten (Name, Kontaktdaten, Unternehmenszugehörigkeit), Zugangsdaten, Nutzungs- und Kommunikationsdaten, dienstliche Dokumente (u. a. Personalakten, Nachweise, Zeugnisse, Zertifikate, Bewerbungsunterlagen) sowie technische Systemdaten (IP-Adresse, Zeitstempel, Logs) gemäß Ziffer 4 der Datenschutzerklärung der Empelio GmbH.
Kategorien betroffener Personen: Beschäftigte des Verantwortlichen sowie, soweit das Recruiting-Modul genutzt wird, Bewerberinnen und Bewerber. Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO durch die Plattform selbst ist nicht vorgesehen; erfolgt sie dennoch durch eigene Eintragungen des Verantwortlichen, obliegt die Rechtmäßigkeit dieser Verarbeitung allein dem Verantwortlichen.
4. Weisungsgebundenheit
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist.
(2) Der Hauptvertrag sowie die im Rahmen der Plattform vom Verantwortlichen vorgenommenen Konfigurationen (z. B. Anlage von Nutzerkonten, Rollen, Inhalten) gelten als dokumentierte Weisung. Weitergehende Weisungen sind in Textform zu erteilen.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
5. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugriff auf personenbezogene Daten auf das für die jeweilige Aufgabe erforderliche Maß beschränkt ist (Need-to-know-Prinzip).
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft die in Anlage 1 zu diesem AVV beschriebenen technischen und organisatorischen Maßnahmen, insbesondere:
• AES-256-Verschlüsselung von Daten at rest und in transit (TLS)
• Hosting ausschließlich in Rechenzentren innerhalb der Europäischen Union
• tägliche automatisierte Datensicherung mit 30-tägiger Versionshistorie
• rollenbasierte Zugriffskontrolle und Mehr-Faktor-Authentifizierung
• lückenlose Audit-Trails aller Datenzugriffe
Der Auftragsverarbeiter ist berechtigt, die technischen und organisatorischen Maßnahmen anzupassen, sofern das ursprüngliche Schutzniveau nicht unterschritten wird.
7. Unterauftragsverhältnisse
(1) Der Auftragsverarbeiter betreibt die Plattform vollständig auf eigener, selbst verwalteter Infrastruktur (europäisches Kubernetes-Cluster, eigener Mailserver, eigener Objektspeicher) und setzt zum Zeitpunkt des Vertragsschlusses keine Unterauftragsverarbeiter ein, die Zugriff auf personenbezogene Daten des Verantwortlichen erhalten.
(2) Beabsichtigt der Auftragsverarbeiter, künftig Unterauftragsverarbeiter einzusetzen, informiert er den Verantwortlichen vorab in Textform. Der Verantwortliche kann der Beauftragung eines konkreten Unterauftragsverarbeiters innerhalb von 14 Tagen aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen.
(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter im Wege eines Vertrags zu den in diesem AVV vereinbarten Datenschutzpflichten.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung von dessen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
9. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt ihn bei der Erfüllung von dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.
10. Kontrollrechte des Verantwortlichen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt zu diesen bei. Vor-Ort-Prüfungen sind mit angemessener Frist (mindestens zwei Wochen) anzukündigen und auf die zur Kontrolle erforderlichen Bereiche zu beschränken.
11. Löschung und Rückgabe von Daten nach Auftragsende
Nach Beendigung des Hauptvertrags kann der Verantwortliche gemäß Teil A Ziffer 12 des Hauptvertrags bis zu 30 Tage nach Vertragsende einen vollständigen Datenexport anfordern. Nach Ablauf dieser Frist und etwaiger gesetzlicher Aufbewahrungsfristen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen, sofern nicht eine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
12. Haftung
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie ergänzend nach Teil A Ziffer 10 des Hauptvertrags.
13. Schlussbestimmungen
(1) Dieser AVV wird Bestandteil des Hauptvertrags. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor.
(2) Es gilt das Recht der Bundesrepublik Deutschland.
(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Anlage 1 – Technische und organisatorische Maßnahmen im Detail
Verweis auf Ziffer 6 dieses AVV sowie Ziffer 8 der Datenschutzerklärung der Empelio GmbH in der jeweils aktuellen Fassung, abrufbar unter empelio.de/privacy-policy/.
