Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Stand: Oktober 2026 · Version 2026-10-29

zwischen

dem jeweiligen Kundenunternehmen von WorkLogx
– nachfolgend „Verantwortlicher“ oder „Kunde“ –

und

Monadion GmbH
Schönbrunner Straße 181/1
1120 Wien
Österreich

Firmenbuchgericht: Handelsgericht Wien
Firmenbuchnummer: FN 667594g
UID-Nummer: ATU82735426

vertreten durch den Geschäftsführer
Ing. Arapsih Güngör, MSc

E-Mail: [email protected]
Support: [email protected]

– nachfolgend „Auftragsverarbeiter“ oder „Monadion“ –

gemeinsam „Parteien“.

1. Gegenstand des Vertrags

1.1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Monadion im Auftrag des Kunden im Zusammenhang mit der Bereitstellung und Nutzung der Software-as-a-Service-Plattform WorkLogx.

1.2. WorkLogx dient insbesondere der digitalen Unterstützung betrieblicher Prozesse, einschließlich:

Formularerstellung und Formularnutzung,
mobiler Datenerfassung,
Arbeits- und Leistungsdokumentation,
Mitarbeiterverwaltung,
Kunden- und Projektverwaltung,
Abwesenheitsverwaltung,
Einsatz- und Aufgabenplanung,
Prüfung und Freigabe von Einreichungen,
Datei- und Dokumentenverwaltung,
Erstellung von PDF- und Exportdokumenten,
optionalen KI-Funktionen sowie
weiteren vertraglich vereinbarten WorkLogx-Funktionen.

1.3. Dieser AVV ergänzt die zwischen den Parteien bestehenden WorkLogx-AGB, Bestellungen, Angebote oder sonstigen Hauptverträge.

1.4. Im Fall eines Widerspruchs zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich datenschutzrechtlicher Auftragsverarbeitung die Regelungen dieses AVV vor.

2. Rollen der Parteien

2.1. Der Kunde ist hinsichtlich der personenbezogenen Daten, die er oder seine Benutzer innerhalb des eigenen WorkLogx-Mandanten verarbeiten, grundsätzlich Verantwortlicher im Sinne der DSGVO.

2.2. Monadion verarbeitet diese personenbezogenen Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Kunden, soweit nicht eine gesetzliche Verpflichtung eine hiervon abweichende Verarbeitung verlangt.

2.3. Für Verarbeitungen, bei denen Monadion eigene Zwecke verfolgt, insbesondere hinsichtlich eigener Vertragsverwaltung, Abrechnung, Plattform- und Informationssicherheit oder eigener gesetzlicher Pflichten, kann Monadion selbst Verantwortlicher sein. Diese Verarbeitungen fallen nicht unter diesen AVV.

3. Dauer der Verarbeitung

3.1. Die Auftragsverarbeitung beginnt mit der Bereitstellung des WorkLogx-Kundenkontos bzw. mit Beginn der Verarbeitung personenbezogener Kundendaten.

3.2. Sie dauert grundsätzlich für die Laufzeit des WorkLogx-Vertrags.

3.3. Nach Vertragsbeendigung wird dem Kunden grundsätzlich eine Übergangsfrist von 30 Tagen eingeräumt, innerhalb der vorhandene und exportierbare Kundendaten abgerufen werden können.

3.4. Nach Ablauf dieser Frist werden personenbezogene Auftragsdaten nach Maßgabe dieses AVV und der technisch vorgesehenen Löschprozesse gelöscht oder anonymisiert, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

4. Art und Zweck der Verarbeitung

Monadion kann im Rahmen von WorkLogx insbesondere folgende Verarbeitungsvorgänge durchführen:

Erheben,
Erfassen,
Ordnen,
Strukturieren,
Speichern,
Anpassen,
Auslesen,
Abfragen,
Verwenden,
Übermitteln,
Bereitstellen,
Verknüpfen,
Erzeugen von Dokumenten,
temporäre Verarbeitung durch KI-Funktionen,
Einschränken,
Löschen und
Vernichten.

Zweck der Verarbeitung ist ausschließlich die Bereitstellung der vom Kunden beauftragten WorkLogx-Funktionen sowie die hierfür notwendige technische Administration, Sicherheit, Speicherung und Verarbeitung.

5. Kategorien betroffener Personen

Je nach Nutzung von WorkLogx können insbesondere personenbezogene Daten folgender Personengruppen verarbeitet werden:

Mitarbeiter des Kunden,
Außendienst- und Servicemitarbeiter,
Benutzer und Administratoren des Kunden,
eingeladene Benutzer,
Kunden des Kunden,
Ansprechpartner bei Kunden oder Geschäftspartnern,
Projektbeteiligte,
Lieferanten und sonstige Geschäftspartner,
Personen, die in Formularen oder Arbeitsdokumentationen genannt werden,
Personen, deren Unterschriften, Fotos oder sonstige Daten dokumentiert werden.

6. Kategorien personenbezogener Daten

Je nach Konfiguration und Nutzung von WorkLogx können insbesondere folgende Daten verarbeitet werden:

6.1 Stamm- und Kontaktdaten

Vor- und Nachname,
E-Mail-Adresse,
Telefonnummer,
Anschrift,
Unternehmenszugehörigkeit,
Benutzerkennung,
Rolle und Berechtigungen.

6.2 Mitarbeiterdaten

Mitarbeiterstammdaten,
Abteilung,
Benutzerstatus,
Aufgaben und Einsätze,
Arbeits- und Projektinformationen,
Abwesenheiten,
betriebliche Notizen.

6.3 Kunden- und Projektdaten

Kundennamen,
Projektdaten,
Auftragsinformationen,
Einsatzorte,
Adressen,
Ansprechpartner.

6.4 Formular- und Dokumentationsdaten

Formularfelder,
Freitext,
Messwerte,
Checklisten,
Arbeitszeiten,
Kilometerangaben,
Kommentare,
Fotos,
Videos,
Dokumente,
PDF-Dateien,
Word-Dateien,
Unterschriften,
Anhänge,
generierte Dokumente.

6.5 Planungsdaten

Aufgaben,
Einsätze,
Zuordnungen,
Mitarbeiterverfügbarkeiten,
Projekt- und Standortinformationen,
Qualifikationen bzw. Skills, soweit vom Kunden erfasst.

6.6 Technische Daten

Benutzer- und Mandantenkennungen,
Zeitstempel,
technische Statusinformationen,
sicherheitsbezogene Auditinformationen,
technische Fehler- und Systeminformationen.

7. Besondere Kategorien personenbezogener Daten

7.1. WorkLogx kann Funktionen enthalten, über die besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO verarbeitet werden können.

Dies betrifft insbesondere:

krankheitsbedingte Abwesenheiten,
vom Kunden hochgeladene medizinische oder gesundheitsbezogene Dokumente,
Freitext- oder Formularinhalte mit Gesundheitsbezug.

7.2. Darüber hinaus können Kunden in frei konfigurierbaren Formularen oder Dateien selbst besondere Kategorien personenbezogener Daten speichern.

7.3. Der Kunde ist als Verantwortlicher dafür verantwortlich, dass für die Verarbeitung solcher Daten eine ausreichende Rechtsgrundlage besteht und dass die Verarbeitung auf das erforderliche Maß beschränkt wird.

7.4. Monadion verarbeitet solche Daten ausschließlich im Rahmen der vom Kunden veranlassten WorkLogx-Nutzung.

8. Weisungsgebundenheit

8.1. Monadion verarbeitet personenbezogene Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden.

8.2. Die Nutzung und Konfiguration von WorkLogx sowie Weisungen, die sich aus dem Hauptvertrag, Bestellungen oder Supportanfragen ergeben, gelten als dokumentierte Weisungen.

8.3. Ist Monadion aufgrund von Unionsrecht oder österreichischem Recht zu einer Verarbeitung verpflichtet, die nicht auf einer Weisung des Kunden beruht, wird der Kunde vor der Verarbeitung hierüber informiert, sofern eine solche Information rechtlich zulässig ist.

8.4. Hält Monadion eine Weisung des Kunden für datenschutzrechtlich unzulässig, wird Monadion den Kunden darauf hinweisen.

9. Vertraulichkeit

9.1. Monadion stellt sicher, dass Personen, die Zugang zu personenbezogenen Kundendaten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

9.2. Zugriffe werden auf Personen beschränkt, die diese für Betrieb, Wartung, Support, Sicherheit oder sonstige vertraglich erforderliche Aufgaben benötigen.

9.3. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Tätigkeit fort.

10. Technische und organisatorische Maßnahmen

10.1. Monadion trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

10.2. Hierzu gehören insbesondere, soweit auf WorkLogx anwendbar:

Zugriff und Authentifizierung

Authentifizierung über Firebase Authentication,
rollen- und berechtigungsbasierte Zugriffskontrolle,
Mehrfaktor-Authentifizierung für besonders berechtigte Rollen,
gesonderte Plattformadministrator-Berechtigungen,
beschränkter administrativer Zugriff.

Mandantentrennung

organisationsbezogene Zugriffsprüfung,
logische Trennung von Kundendaten,
organisationsbezogene Dateipfade und Speicherzuordnung,
deny-by-default Berechtigungsprüfungen.

Übertragung und Kommunikation

verschlüsselte Übertragung über HTTPS/TLS,
Sicherheitsanforderungen für Webhooks und externe Kommunikation.

Daten und Geheimnisse

Schutz von Zugangsdaten und Secrets,
Verschlüsselung sensibler Integrationstokens,
getrennte Konfiguration von Produktions- und Testumgebungen.

Logging und Nachvollziehbarkeit

sicherheitsbezogene Auditprotokollierung,
Protokollierung relevanter administrativer Aktionen,
Monitoring und Fehleranalyse.

Speicher

organisationsbezogene Speicherquoten,
Zugriffsbeschränkungen,
Lösch- und Retentionmechanismen,
regelmäßige Prüfung der Konsistenz zwischen Datenbank und Objektspeicher.

10.3. Eine nähere Beschreibung der technischen und organisatorischen Maßnahmen befindet sich in Anlage 2.

10.4. Monadion darf technische und organisatorische Maßnahmen weiterentwickeln, sofern das vereinbarte Sicherheitsniveau dadurch nicht abgesenkt wird.

11. Unterauftragsverarbeiter

11.1. Der Kunde erteilt Monadion eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter, soweit diese zur Erbringung von WorkLogx erforderlich sind.

11.2. Die jeweils eingesetzten Unterauftragsverarbeiter werden in der aktuellen öffentlichen Liste unter /subprocessors dokumentiert.

11.3. Monadion informiert Kunden über die geplante Hinzunahme oder Ersetzung eines wesentlichen Unterauftragsverarbeiters.

11.4. Der Kunde kann einer solchen Änderung aus berechtigten datenschutzrechtlichen Gründen innerhalb einer angemessenen Frist widersprechen.

11.5. Monadion verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die hinsichtlich der betreffenden Verarbeitung ein angemessenes Schutzniveau gewährleisten.

11.6. Monadion bleibt gegenüber dem Kunden für die Erfüllung der datenschutzrechtlichen Pflichten der von Monadion eingesetzten Unterauftragsverarbeiter verantwortlich, soweit dies gesetzlich vorgesehen ist.

12. Verzeichnis der Unterauftragsverarbeiter

12.1. Die jeweils aktuellen Unterauftragsverarbeiter für die WorkLogx-Auftragsverarbeitung werden in der öffentlichen Liste unter /subprocessors (bzw. der lokalisierten Marketing-URL) geführt.

12.2. Diese öffentliche Liste bildet in ihrer jeweils gültigen Fassung den gepflegten Registereintrag zu diesem AVV und ist Bestandteil dieses AVV.

12.3. Die Liste unterscheidet insbesondere zwischen:

Unterauftragsverarbeitern nach Art. 28 DSGVO,
weiteren Empfängern bzw. teilweise eigenständig Verantwortlichen (z. B. Zahlungsanbieter, bestimmte Kartendienste) und
Website-/Marketing-Dienstleistern, die nicht allein wegen ihres Einsatzes auf der öffentlichen Marketing-Website Teil der SaaS-Mandantenverarbeitung sind.

12.4. Zahlungsdienstleister wie Stripe sowie Dienste wie Google Places / Google Maps Platform können je nach Zweck ganz oder teilweise als eigenständig Verantwortliche handeln und sind daher nicht pauschal als Unterauftragsverarbeiter dieses AVV auszuweisen.

12.5. Marketing-Tracking-Anbieter (z. B. Tag Manager / Analytics auf der Marketing-Website) gehören nicht allein deshalb zur WorkLogx-Mandanten-AVV-Verarbeitungskette, weil sie auf der öffentlichen Website eingesetzt werden.

13. Internationale Datenübermittlungen

13.1. Soweit Unterauftragsverarbeiter oder deren Konzerngesellschaften personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stellt Monadion sicher, dass die Anforderungen des Kapitels V DSGVO erfüllt werden.

13.2. Hierfür können insbesondere verwendet werden:

Angemessenheitsbeschlüsse der Europäischen Kommission,
geeignete Garantien,
Standardvertragsklauseln der Europäischen Kommission oder
andere gesetzlich vorgesehene Übermittlungsinstrumente.

13.3. Auf Anfrage stellt Monadion dem Kunden angemessene Informationen über die verwendeten Übermittlungsmechanismen bereit.

14. Unterstützung bei Betroffenenrechten

14.1. Monadion unterstützt den Kunden im Rahmen der technischen Möglichkeiten und unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung von Anfragen betroffener Personen.

Dies betrifft insbesondere Anfragen auf:

Auskunft,
Berichtigung,
Löschung,
Einschränkung,
Datenübertragbarkeit,
Widerspruch.

14.2. Erhält Monadion eine Anfrage einer betroffenen Person, die erkennbar Daten eines Kundenmandanten betrifft, wird Monadion die Anfrage grundsätzlich an den betreffenden Kunden verweisen oder weiterleiten, soweit dies zulässig und erforderlich ist.

14.3. Monadion beantwortet solche Anfragen nicht eigenständig im Namen des Kunden, sofern keine entsprechende Weisung vorliegt.

15. Unterstützung bei Datenschutzpflichten

Monadion unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen insbesondere bei:

Sicherheit der Verarbeitung,
Meldung von Datenschutzverletzungen,
Benachrichtigung betroffener Personen,
Datenschutz-Folgenabschätzungen und
Konsultationen mit Aufsichtsbehörden,

soweit die betreffenden Sachverhalte die Auftragsverarbeitung durch WorkLogx betreffen.

16. Datenschutzverletzungen

16.1. Monadion informiert den Kunden unverzüglich, nachdem Monadion eine Verletzung des Schutzes personenbezogener Kundendaten festgestellt hat.

16.2. Die Mitteilung enthält, soweit verfügbar und für den Kunden erforderlich, insbesondere Informationen über:

Art des Vorfalls,
betroffene Daten bzw. Systeme,
betroffene Kategorien von Personen,
erkennbare oder mögliche Auswirkungen,
bereits ergriffene oder geplante Gegenmaßnahmen.

16.3. Informationen können schrittweise nachgereicht werden, soweit sie zum Zeitpunkt der ersten Meldung noch nicht vollständig vorliegen.

16.4. Die gesetzlichen Meldepflichten des Kunden als Verantwortlicher bleiben unberührt.

17. Löschen und Rückgabe von Daten

17.1. Nach Beendigung des Hauptvertrags kann der Kunde seine verfügbaren Daten innerhalb der vereinbarten Übergangsfrist von grundsätzlich 30 Tagen exportieren.

17.2. Nach Ablauf dieser Frist wird Monadion personenbezogene Auftragsdaten nach Maßgabe der technisch vorgesehenen Löschprozesse löschen oder anonymisieren, soweit keine andere dokumentierte Weisung vorliegt.

17.3. Gelöschte Dateien können aufgrund technischer Lösch- und Retentionprozesse noch für einen begrenzten Zeitraum im Objektspeicher vorhanden sein.

17.4. Technisch gelöschte Speicherobjekte werden derzeit grundsätzlich innerhalb einer Retentionfrist von bis zu 30 Tagen endgültig entfernt.

17.5. Temporäre Exportdateien werden grundsätzlich nach 7 Tagen zur Löschung vorgesehen.

17.6. Daten, zu deren Aufbewahrung Monadion gesetzlich verpflichtet ist oder die Monadion für eigene gesetzliche Zwecke speichern muss, können von der Löschung ausgenommen sein. Solche Daten werden für andere Zwecke gesperrt bzw. nur im gesetzlich zulässigen Umfang verarbeitet.

17.7. Daten in Sicherungskopien werden entsprechend der für die Produktionsumgebung dokumentierten Backup-Retention gelöscht bzw. überschrieben.

Hinweis (CURRENT): Eine produktive Backup-Retention ist im Repository / in diesem Audit nicht als eingerichtet belegt. Maßgeblich sind TOM §10 und docs/legal/BACKUP_CURRENT_VS_RECOMMENDED.md. Bis zur dokumentierten Einrichtung bleibt die konkrete Backup-Retention offen.

18. Datenexport

18.1. WorkLogx stellt für bestimmte Daten Exportfunktionen bereit.

18.2. Der Kunde ist dafür verantwortlich, erforderliche Exporte rechtzeitig vor Vertragsende durchzuführen.

18.3. Monadion unterstützt den Kunden im angemessenen Umfang bei einer technisch erforderlichen Datenrückgabe, soweit dies über die Standardfunktionen hinaus notwendig und zumutbar ist.

19. Kontroll- und Nachweisrechte

19.1. Monadion stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der Verpflichtungen aus Art. 28 DSGVO nachzuweisen.

19.2. Nachweise können insbesondere erbracht werden durch:

technische Dokumentation,
Sicherheitsinformationen,
TOM-Beschreibungen,
Auditberichte,
Zertifikate oder
vergleichbare Unterlagen.

19.3. Reichen die bereitgestellten Nachweise aus berechtigten Gründen nicht aus, kann der Kunde nach angemessener Vorankündigung eine weitergehende Prüfung verlangen.

19.4. Prüfungen sind so durchzuführen, dass:

der laufende Betrieb möglichst wenig beeinträchtigt wird,
Vertraulichkeit und Sicherheit anderer Kunden gewahrt bleiben,
keine Daten anderer Mandanten offengelegt werden und
keine unverhältnismäßige Belastung entsteht.

19.5. Kosten außergewöhnlicher oder vom Kunden veranlasster Vor-Ort-Prüfungen können dem Kunden in angemessenem Umfang verrechnet werden, sofern die Prüfung keinen erheblichen Verstoß von Monadion ergibt.

20. Pflichten des Kunden

20.1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten innerhalb seines WorkLogx-Mandanten verantwortlich.

20.2. Der Kunde gewährleistet insbesondere:

das Vorliegen einer geeigneten Rechtsgrundlage,
die Erfüllung erforderlicher Informationspflichten,
die rechtmäßige Verarbeitung von Mitarbeiterdaten,
die rechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten,
eine angemessene Konfiguration von Benutzerrechten,
die Beschränkung der Datenerhebung auf erforderliche Inhalte.

20.3. Der Kunde darf Monadion keine Weisung erteilen, deren Durchführung offensichtlich gegen geltendes Datenschutzrecht verstößt.

21. Verarbeitung durch KI-Funktionen

21.1. Soweit der Kunde KI-Funktionen von WorkLogx verwendet, können ausgewählte Kundendaten zur Bearbeitung an den jeweils eingesetzten KI-Dienstleister übermittelt werden.

21.2. Dies kann abhängig von der Funktion insbesondere betreffen:

Formularbeschreibungen,
Formularfelder,
Dokumente,
Audioaufnahmen,
Feldwerte,
Projektinformationen,
Kundennamen,
Mitarbeiterinformationen,
Planungsinformationen.

21.3. KI-Funktionen werden grundsätzlich nur verwendet, wenn sie vom Kunden bzw. einem berechtigten Benutzer aktiviert oder aufgerufen werden und die entsprechende Funktion im WorkLogx-Tarif verfügbar ist.

21.4. Monadion konfiguriert KI-Schnittstellen, soweit technisch unterstützt, datenschutzorientiert und beschränkt die Übermittlung auf die für die jeweilige Funktion erforderlichen Daten.

21.5. Die Verarbeitung durch einen externen KI-Anbieter wird in der Unterauftragsverarbeiterliste ausgewiesen.

22. Weisungen und Ansprechpartner

22.1. Weisungen des Kunden können über:

die WorkLogx-Konfiguration,
die Benutzeroberfläche,
dokumentierte Supportanfragen oder
andere vereinbarte Kommunikationswege

erteilt werden.

22.2. Datenschutzbezogene Kontaktadresse von Monadion:

[email protected]

22.3. Allgemeine Supportanfragen:

[email protected]

23. Änderungen dieses AVV

23.1. Monadion kann diesen AVV anpassen, wenn dies aufgrund:

gesetzlicher Änderungen,
regulatorischer Anforderungen,
technischer Änderungen,
Änderungen der Unterauftragsverarbeiter oder
Weiterentwicklungen von WorkLogx

erforderlich ist.

23.2. Wesentliche Änderungen werden Kunden rechtzeitig mitgeteilt.

23.3. Änderungen dürfen das nach der DSGVO erforderliche Schutzniveau nicht unangemessen reduzieren.

24. Haftung

Für die Haftung der Parteien gelten die gesetzlichen Regelungen sowie die im Hauptvertrag bzw. in den WorkLogx-AGB vereinbarten Haftungsbestimmungen, soweit diese datenschutzrechtlich zulässig sind.

25. Schlussbestimmungen

25.1. Dieser AVV ist Bestandteil des WorkLogx-Vertrags.

25.2. Soweit gesetzlich zulässig, gilt österreichisches Recht.

25.3. Änderungen und Ergänzungen dieses AVV können elektronisch vereinbart werden.

25.4. Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt.

Anlage 1 – Beschreibung der Verarbeitung

A. Gegenstand

Bereitstellung und Betrieb der B2B-SaaS-Plattform WorkLogx einschließlich Web-Anwendung, Mobile-App, Backend, Datenbank, Dateiablage und optionaler Zusatzdienste.

B. Dauer

Für die Dauer des WorkLogx-Vertrags zuzüglich vereinbarter Übergangs-, Export-, Lösch- und gesetzlicher Aufbewahrungsfristen.

C. Art der Verarbeitung

Erfassung, Speicherung, Organisation, Anzeige, Änderung, Übermittlung, Dokumentenerstellung, Analyse, optionale KI-Verarbeitung, Export und Löschung.

D. Zwecke

Bereitstellung digitaler Formulare,
Arbeitsdokumentation,
Mitarbeiter- und Einsatzverwaltung,
Kunden- und Projektverwaltung,
Abwesenheitsverwaltung,
Planung,
Dokumentenverwaltung,
Prüfung und Freigabe,
Auswertungen,
optionale KI-Unterstützung,
sichere Speicherung und Bereitstellung.

E. Kategorien betroffener Personen

Mitarbeiter,
Benutzer,
Administratoren,
Kunden und Ansprechpartner des Kunden,
Projektbeteiligte,
Lieferanten,
sonstige Personen, deren Daten vom Kunden in WorkLogx verarbeitet werden.

F. Datenarten

Stamm- und Kontaktdaten,
Benutzer- und Berechtigungsdaten,
Beschäftigten- und Organisationsdaten,
Arbeits- und Projektdaten,
Formular- und Einreichungsdaten,
Kunden- und Projektdaten,
Planungsdaten,
Dateien, Bilder, Videos und Dokumente,
Unterschriften,
Abwesenheitsdaten,
gegebenenfalls Gesundheitsdaten,
technische und sicherheitsbezogene Daten.

Anlage 2 – Technische und organisatorische Maßnahmen

Die detaillierte und gepflegte Beschreibung der technischen und organisatorischen Maßnahmen für WorkLogx ist im Dokument Technische und organisatorische Maßnahmen (TOM) – WorkLogx unter /tom veröffentlicht.

Dieses Dokument bildet in seiner jeweils gültigen Fassung Anlage 2 zu diesem AVV. Eine verkürzte Doppelbeschreibung wird hier nicht fortgeschrieben, um Abweichungen zu vermeiden.

Zusammengefasst umfassen die Maßnahmen insbesondere (Details und Nachweisstatus siehe /tom):

Authentifizierung über Firebase sowie MFA für besonders berechtigte Rollen / Platform Admin,
rollen- und berechtigungsbasierte Zugriffskontrolle mit Deny-by-default,
Mandantentrennung einschließlich organisationsbezogener Storage-Pfade,
Transportverschlüsselung für öffentliche Endpunkte (HTTPS),
Schutz von Secrets über Umgebungsvariablen und Verschlüsselung sensibler Integrationstokens,
Audit- und Fehlerprotokollierung,
Speicherquoten, Soft-Delete/Purge, Export-Ablauf und Storage-Reconciliation,
datenschutzorientierte optionale KI-Nutzung,
Trennung von TEST- und Produktionsumgebungen.

Backup / Wiederherstellung: Der aktuelle Backup-Status und die empfohlene Policy sind in TOM §10 sowie in docs/legal/BACKUP_CURRENT_VS_RECOMMENDED.md dokumentiert. Eine konkrete Backup-Retention ist erst nach produktiver Einrichtung als Ist-Zustand auszuweisen.

Anlage 3 – Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter und weiteren Dienstleister wird unter /subprocessors veröffentlicht und bildet in ihrer jeweils gültigen Fassung einen Bestandteil dieses AVV.

Die öffentliche Liste enthält insbesondere:

Art.-28-Unterauftragsverarbeiter für die SaaS-Mandantenverarbeitung,
gesondert ausgewiesene Empfänger / eigenständig Verantwortliche sowie
Website-/Marketing-Dienstleister, soweit produktiv relevant.

Maßgeblich ist stets die zum jeweiligen Zeitpunkt veröffentlichte Fassung unter /subprocessors. Eine starre Anbieterkopie in dieser Anlage wird nicht fortgeschrieben, um Widersprüche zur gepflegten öffentlichen Liste zu vermeiden.

Stand: Oktober 2026 · Version 2026-10-29