Auftragsverarbeitungsvertrag für Turnoly

Stand: September 2026 · Version: 2026-09

The legally authoritative data processing agreement is currently provided in German only. No English legal version is provided. Publication alone does not conclude an agreement.

1. Vertragsparteien, Geltungsbereich und Abschluss

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten im Auftrag bei der Nutzung des ausschließlich an Geschäftskunden gerichteten B2B-SaaS Turnoly nach Art. 28 DSGVO. Vertragsparteien sind der im zugrunde liegenden Turnoly-Nutzungsvertrag bezeichnete Geschäftskunde als Verantwortlicher und der folgende Anbieter als Auftragsverarbeiter:

Oezer Software
Inhaber: Murat Özer
Pfaffenbrunnenstraße 16c
63456 Hanau
Deutschland
E-Mail: kontakt@turnoly.com

Der Kunde entscheidet über die Zwecke und wesentlichen Inhalte der Verarbeitung seiner Beschäftigten- und Benutzerdaten. Oezer Software verarbeitet diese Daten nach Maßgabe dieses AVV im Auftrag des Kunden (Auftragsdaten). Die Rechte und Pflichten des Kunden als Verantwortlicher bleiben unberührt.

Nicht jede Verarbeitung durch Oezer Software ist Auftragsverarbeitung. Soweit Oezer Software Daten für eigene gesetzliche Pflichten, die Verwaltung des eigenen Vertragsverhältnisses oder eigene Abrechnungszwecke verarbeitet und selbst über Zwecke und Mittel entscheidet, erfolgt dies in eigener datenschutzrechtlicher Verantwortung. Die Abgrenzung richtet sich nach der jeweiligen tatsächlichen Verarbeitung, nicht allein nach der Datenbezeichnung.

Dieser AVV einschließlich seiner Anlagen wird durch eine gesondert dokumentierte Vereinbarung zwischen den Parteien Bestandteil des Turnoly-Nutzungsverhältnisses. Die öffentliche Bereitstellung dieses Textes allein bewirkt keinen Vertragsabschluss. Maßgeblich ist die zwischen den Parteien vereinbarte Fassung; die vorliegende Fassung trägt die Version 2026-09. Die rechtlich maßgebliche Fassung wird in deutscher Sprache bereitgestellt.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der cloudbasierten Turnoly-Software für Schichtplanung, Mitarbeiterverwaltung, Zeiterfassung und Abwesenheitsverwaltung einschließlich der damit verbundenen Verarbeitung von Auftragsdaten.

Die Verarbeitung erfolgt für die Dauer des zugrunde liegenden Nutzungs- und Vertragsverhältnisses einschließlich einer vereinbarten kostenlosen Testphase. Dieser AVV gilt darüber hinaus, soweit für die anschließende weisungsgemäße Vorhaltung, Rückgabe und Löschung von Auftragsdaten erforderlich.

3. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst nach Maßgabe der genutzten Funktionen insbesondere das Erheben und Erfassen, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, Ändern, erforderliche Übermitteln, Bereitstellen zum Export sowie Einschränken und Löschen von Auftragsdaten.

Organisations- und Accountverwaltung, Mitarbeiterverwaltung sowie Benutzer- und Berechtigungsverwaltung.
Authentifizierung autorisierter Benutzer und Verwaltung ihrer Zugänge.
Schichtplanung, Arbeitsbereichsverwaltung und Zuordnung von Beschäftigten.
Zeiterfassung, Zeitkorrekturen, Bestätigungen, Zeitkonten und Auswertungen.
Urlaubs- und Abwesenheitsverwaltung.
Interne Benachrichtigungen und für die Nutzung erforderliche transaktionale Kommunikation.
Technische Bereitstellung, Sicherheit und Missbrauchsschutz im Rahmen der Auftragsverarbeitung.

Die Verarbeitung richtet sich nach dem vereinbarten Leistungsumfang und den dokumentierten Weisungen des Kunden. Eine Nutzung der Auftragsdaten für eigene Marketingzwecke von Oezer Software ist nicht Gegenstand dieses Auftrags.

4. Datenarten und betroffene Personen

Abhängig von der Konfiguration und den Eingaben des Kunden können insbesondere folgende personenbezogene Daten verarbeitet werden:

Organisationsbezug: Organisations-ID, Unternehmenszuordnung und Einstellungen.
Mitarbeiter- und Benutzerdaten: Vorname, Nachname, Kurzname, Geburtstag, E-Mail-Adresse, Telefonnummern, Anschrift, Freitextnotiz, Sprache, Rollen und Berechtigungen sowie Aktiv-, Archiv- und Loginstatus.
Beschäftigungs- und Planungsdaten: Beschäftigungsart, Arbeitszeitvereinbarungen, Verfügbarkeit, Arbeitsbereiche, Schichtzuordnungen, Datum, Beginn und Ende, Pausen, Kommentare und Wiederholungen.
Zeitdaten: Ein- und Ausstempelzeiten, Pausen, Zeitkorrekturen, Bestätigungsstatus und Zeitkonteninformationen.
Urlaubs- und Abwesenheitsdaten: Urlaubsansprüche, Urlaubstage, Abwesenheitskategorien und -daten, Genehmigungsstatus und Gutschriftenregeln.
Authentifizierungs- und Sicherheitsdaten: Passwort-Hashes, Sitzungs- und Tokeninformationen sowie terminal- und PIN-bezogene Sicherheitsinformationen.
Kommunikationsdaten: interne Benachrichtigungen, E-Mail-Empfänger und notwendige transaktionale Nachrichteninhalte.

Betroffene Personen sind insbesondere Administratoren und Planer des Kunden, Beschäftigte mit oder ohne Benutzerkonto, eingeladene Benutzer sowie deaktivierte, archivierte oder ehemalige Beschäftigte, soweit deren Daten noch zulässig gespeichert werden. Zahlungs- und Kreditkartendaten sind keine hier beschriebenen Turnoly-Mitarbeiterdaten; die Zahlungsabwicklung wird in Anlage 1 gesondert eingeordnet.

5. Krankheit und besondere Kategorien personenbezogener Daten

Turnoly enthält die feste Abwesenheitskategorie „Krank“. Entsprechende Einträge können Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO darstellen. Auch Freitextnotizen, Kommentare und selbst definierte Abwesenheitskategorien können solche Daten enthalten.

Turnoly erfasst derzeit keine Diagnosen, Atteste oder medizinischen Dokumente über dafür vorgesehene strukturierte Felder. Daraus folgt jedoch nicht, dass von Kunden eingegebene Abwesenheits- oder Freitextdaten niemals Gesundheitsdaten enthalten.

Der Kunde ist für eine ausreichende Rechtsgrundlage seiner Verarbeitung, einschließlich der erforderlichen Voraussetzungen nach Art. 9 DSGVO, und für die erforderlichen Informationen an die betroffenen Personen verantwortlich. Er beschränkt Eingaben und Zugriffsberechtigungen auf das für den jeweiligen Zweck Erforderliche. Nicht erforderliche Diagnosen, medizinische Einzelheiten oder andere sensible Angaben sollen insbesondere nicht in Freitextfelder eingetragen werden. Oezer Software berücksichtigt die möglichen besonderen Datenkategorien bei den Schutzmaßnahmen.

6. Dokumentierte Weisungen und Pflichten des Kunden

Oezer Software verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, auch hinsichtlich einer Übermittlung in Drittländer oder an internationale Organisationen. Weisungen können sich aus diesem AVV, dem Hauptvertrag sowie dokumentierten Konfigurationen und Nutzungshandlungen autorisierter Personen in Turnoly ergeben. Ergänzende Weisungen werden in dokumentierbarer Form, beispielsweise per E-Mail, übermittelt.

Ist Oezer Software durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, informiert es den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Hält Oezer Software eine Weisung für datenschutzwidrig, informiert es den Kunden unverzüglich. Die betroffene Verarbeitung kann bis zur rechtmäßigen Klärung ausgesetzt werden; zwingende gesetzliche Pflichten bleiben unberührt.

Der Kunde stellt rechtmäßige Weisungen sicher, verwaltet die Berechtigungen seiner Benutzer und teilt die zur Auftragsdurchführung erforderlichen Informationen mit. Er bleibt für die Rechtmäßigkeit der von ihm bestimmten Zwecke, Daten und Verarbeitungen verantwortlich. Dies entbindet Oezer Software nicht von seinen eigenen gesetzlichen und vertraglichen Pflichten.

7. Vertraulichkeit und Sicherheit

Oezer Software gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff wird auf die für die jeweilige Aufgabe erforderlichen Personen und Daten begrenzt.

Oezer Software trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Anlage 2 beschreibt die zugrunde gelegten technischen Maßnahmen und die organisatorischen Verpflichtungen dieses AVV.

Die Maßnahmen können unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für betroffene Personen fortentwickelt werden. Das erforderliche Schutzniveau darf dabei nicht unangemessen abgesenkt werden. Relevante Änderungen werden dokumentiert und dem Kunden auf Anfrage erläutert.

8. Betroffenenrechte und Unterstützung

Oezer Software unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen nach Kapitel III DSGVO, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie bei weiteren einschlägigen Betroffenenrechten.

Gehen Anfragen zu Auftragsdaten unmittelbar bei Oezer Software ein, werden sie unverzüglich an den Kunden weitergeleitet. Oezer Software entscheidet darüber nicht eigenmächtig inhaltlich, sondern handelt nach Weisung des Kunden, soweit keine gesetzliche Verpflichtung zu anderem Vorgehen besteht.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt Oezer Software den Kunden außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsmaßnahmen, Meldungen und Benachrichtigungen über Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen der Aufsichtsbehörde. Damit wird keine Garantie übernommen, dass der Kunde sämtliche eigenen Datenschutzpflichten erfüllt.

9. Verletzungen des Schutzes personenbezogener Daten

Oezer Software informiert den Kunden ohne unangemessene Verzögerung, sobald ihm eine Verletzung des Schutzes von Auftragsdaten bekannt wird. Die Information ist nicht davon abhängig, dass Oezer Software bereits die abschließende Risikobewertung des Kunden kennt.

Soweit verfügbar, umfasst die Mitteilung die Art der Verletzung, die Kategorien und ungefähre Zahl betroffener Personen und Datensätze, eine Kontaktmöglichkeit für weitere Informationen, die wahrscheinlichen Folgen sowie ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Minderung nachteiliger Auswirkungen. Noch fehlende Informationen werden ohne unangemessene weitere Verzögerung schrittweise ergänzt.

Oezer Software trifft angemessene Maßnahmen zur Eingrenzung und Aufklärung des Vorfalls und unterstützt den Kunden mit verfügbaren Informationen bei seinen Pflichten nach Art. 33 und 34 DSGVO. Die Entscheidung über die vom Kunden zu veranlassenden Meldungen und Benachrichtigungen verbleibt beim Kunden, soweit das Gesetz nichts anderes bestimmt.

10. Weitere Auftragsverarbeiter

Der Kunde erteilt die allgemeine schriftliche Genehmigung zum Einsatz weiterer Auftragsverarbeiter für die in diesem AVV beschriebenen Leistungen. Die bei Abschluss zugrunde gelegten Dienstleister und deren Funktionen sind in Anlage 1 aufgeführt; die dort gesondert eingeordnete Zahlungsabwicklung ist nicht pauschal Auftragsverarbeitung von Beschäftigtendaten.

Oezer Software informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter angemessen im Voraus. Der Kunde erhält vor dem Einsatz eine angemessene Gelegenheit, aus begründeten datenschutzrechtlichen Gründen zu widersprechen.

Bei einem begründeten Widerspruch prüfen die Parteien geeignete Schutzmaßnahmen oder eine zumutbare Alternative. Kann der Widerspruch nicht ausgeräumt werden, wird vor der betroffenen Änderung eine rechtmäßige Lösung für die betroffene Leistung vereinbart. Die Genehmigung darf nicht so gehandhabt werden, dass das Widerspruchsrecht wirkungslos wird.

Oezer Software verpflichtet weitere Auftragsverarbeiter vertraglich zu denselben für deren Verarbeitung relevanten Datenschutzpflichten, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen. Oezer Software bleibt dem Kunden gegenüber für die Erfüllung der Datenschutzpflichten dieser weiteren Auftragsverarbeiter verantwortlich.

11. Internationale Verarbeitung und Drittlandtransfers

Die eingesetzten Dienstleister können personenbezogene Daten auch außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeiten. Ein Standort der primären Datenbank oder einer Serverfunktion bedeutet nicht, dass sämtliche zugehörigen Verarbeitungen ausschließlich in Deutschland erfolgen.

Übermittlungen von Auftragsdaten in Drittländer erfolgen nur im Rahmen der dokumentierten Weisungen und unter Einhaltung der Voraussetzungen des Kapitels V DSGVO. Soweit erforderlich, setzt Oezer Software geeignete Transfermechanismen ein, etwa einen für die konkrete Übermittlung anwendbaren Angemessenheitsbeschluss oder Standardvertragsklauseln, ergänzt um erforderliche zusätzliche Schutzmaßnahmen.

Der jeweils rechtlich geeignete Mechanismus richtet sich nach der konkreten Übermittlung und den anwendbaren Vertragsunterlagen. Ein bestimmter Mechanismus wird nicht unabhängig von seiner fortdauernden Anwendbarkeit garantiert. Oezer Software stellt dem Kunden auf Anfrage die erforderlichen Informationen zur Beurteilung der Übermittlungen zur Verfügung.

12. Rückgabe, Vorhaltung und Löschung

Nach Abschluss der Verarbeitungsleistungen werden Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht; vorhandene Kopien werden gelöscht, sofern das Recht der Union oder eines Mitgliedstaats keine weitere Speicherung verlangt. Eine Rückgabe, beispielsweise über einen technisch verfügbaren Export, ersetzt nicht die anschließende Löschung der bei Oezer Software und seinen weiteren Auftragsverarbeitern verbleibenden Auftragsdaten. Der Kunde kann eine entsprechende dokumentierte Weisung an kontakt@turnoly.com richten.

Soweit keine abweichende rechtmäßige Weisung vorliegt, umfasst der Auftrag folgende mit dem Nutzungsverhältnis vereinbarte Nachlaufregelung:

Testphase ohne anschließendes Abonnement: Nach Ende der 30-tägigen kostenlosen Testphase wird der Zugang grundsätzlich eingeschränkt bzw. lesend. Die Organisation und zugehörigen Kundendaten werden grundsätzlich noch 90 Tage ab Ende der Testphase vorgehalten.
Beendetes kostenpflichtiges Abonnement: Die reguläre Nutzung bleibt grundsätzlich bis zum Ende des bezahlten Abrechnungszeitraums bestehen. Danach wird der Zugang grundsätzlich eingeschränkt bzw. lesend. Die Daten werden grundsätzlich noch 90 Tage ab dem wirksamen Vertragsende, also dem Ende des letzten Abrechnungszeitraums, vorgehalten.
Die Nachlaufzeit dient der weisungsgemäßen Sicherung bzw. Rückgabe verfügbarer Daten und einer möglichen Reaktivierung. Vor endgültiger Löschung ist eine Reaktivierung durch ein neues gültiges Abonnement grundsätzlich möglich, soweit Konto und Daten noch vorhanden sind.
Nach Ablauf der Vorhaltezeit werden die Organisation und zugehörigen Auftragsdaten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine abweichende Weisung des Kunden zur früheren Rückgabe oder Löschung bleibt möglich.
Eine bloße Zahlungsstörung oder ein Zahlungsrückstand löst nicht allein den für ein reguläres Test- oder Vertragsende beschriebenen 90-Tage-Löschlauf aus.

Die Löschung muss nicht in jeder technischen Kopie zur selben Sekunde erfolgen. Soweit Auftragsdaten vorübergehend noch in Sicherungskopien oder technischen Providerlogs enthalten sind, werden diese gegen weitere reguläre Nutzung geschützt und im Rahmen der einschlägigen Löschzyklen entfernt, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sie dürfen bis dahin nur für erforderliche Schutz- und Wiederherstellungsmaßnahmen oder zwingende gesetzliche Zwecke verarbeitet werden. Bei einer Wiederherstellung werden bereits veranlasste Löschungen erneut berücksichtigt. Die Pflichten von Oezer Software erstrecken sich auch auf seine weiteren Auftragsverarbeiter.

Vom Kunden selbst heruntergeladene Daten und bereits im Postfach des Empfängers zugestellte E-Mails befinden sich dagegen nicht mehr allein im Verfügungsbereich von Oezer Software. Für eigene rechtmäßig aufzubewahrende Vertrags- und Abrechnungsunterlagen sowie Verarbeitungen des Zahlungsdienstleisters in eigener Verantwortung gelten die jeweils einschlägigen gesetzlichen Pflichten. Dies begründet keine allgemeine Ausnahme von der Löschung der Auftragsdaten.

13. Informationen, Kontrollen und Inspektionen

Oezer Software stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei.

Kontrollen werden, soweit möglich, mit angemessener Vorankündigung während üblicher Geschäftszeiten durchgeführt. Bei dringendem Anlass kann eine kürzere oder entfallende Vorankündigung erforderlich sein. Umfang und Durchführung berücksichtigen den Prüfzweck, Vertraulichkeit, die Sicherheit und Daten anderer Kunden sowie die Vermeidung unnötiger Betriebsbeeinträchtigungen.

Vorhandene geeignete Dokumentationen, Prüfberichte und Zertifizierungen können zunächst zur Nachweisführung herangezogen werden. Daraus folgt weder die Behauptung einer tatsächlich vorhandenen Zertifizierung noch ein Ausschluss weiter erforderlicher Prüfungen oder gesetzlicher Kontrollrechte. Weisungen, die nach Einschätzung von Oezer Software gegen Datenschutzrecht verstoßen, werden dem Kunden unverzüglich angezeigt.

14. Verhältnis zum Hauptvertrag und Haftung

Dieser AVV und seine Anlagen konkretisieren die Datenschutzpflichten der Parteien. Bei Widersprüchen zu anderen Vereinbarungen geht dieser AVV hinsichtlich der Auftragsverarbeitung vor. Im Übrigen bleiben die zulässigen Vereinbarungen des Hauptvertrags und der AGB sowie die gesetzlichen Vorschriften anwendbar.

Es wird keine eigenständige umfassende Haftungsordnung eingeführt. Gesetzliche Haftungsansprüche, insbesondere nach Art. 82 DSGVO, und zwingende Rechte betroffener Personen bleiben unberührt.

Weitere Informationen zur Verarbeitung in eigener Verantwortung enthält die separate Datenschutzerklärung. Sie ersetzt diesen AVV nicht.

Allgemeine Geschäftsbedingungen

Datenschutzerklärung

Impressum

Anlage 1 – Dienstleister und Verarbeitungsrahmen

Diese Anlage beschreibt den für die Produktion zugrunde gelegten Dienstleistereinsatz. Die jeweilige vertragsschließende Anbieterentität, weitere Unterauftragnehmer und anwendbare Transferregelungen richten sich nach den tatsächlich geltenden Anbieter-Vertragsunterlagen. Oezer Software muss die für den Einsatz erforderlichen Datenschutzvereinbarungen und Garantien sicherstellen; die bloße Nennung hier ersetzt diese nicht.

A. IONOS – Hosting-Infrastruktur

Dienstleister: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Funktion: Bereitstellung des virtuellen Servers für die öffentliche Website, die Turnoly-SaaS-Anwendung und die primäre PostgreSQL-Anwendungsdatenbank. Der Server wird von Oezer Software über Coolify mit Docker und Traefik betrieben. Dabei werden die für den Betrieb erforderlichen Anwendungs-, Beschäftigten-, Datenbank-, Verbindungs- und Protokolldaten verarbeitet.

Der produktive IONOS-VPS befindet sich nach der Betreiberkonfiguration in Spanien innerhalb der Europäischen Union. Auf ihm laufen Website und Anwendung sowie PostgreSQL 17 in der privaten Coolify-Infrastruktur; der PostgreSQL-Port ist nicht öffentlich erreichbar. Diese Standortangabe bezieht sich auf den konfigurierten produktiven Server und ist keine weitergehende Garantie für sämtliche Support-, Vertrags-, Abrechnungs- oder Sicherungsverarbeitungen von IONOS. Maßgeblich sind die tatsächlich vereinbarten IONOS-Vertrags- und Datenschutzunterlagen.

B. Resend – transaktionaler E-Mail-Versand

Funktion: Versand erforderlicher transaktionaler E-Mails. Verarbeitet werden hierfür insbesondere Name, E-Mail-Adresse, Unternehmensbezug und notwendiger Nachrichteninhalt einschließlich Aktivierungs- und Resetlinks sowie gegebenenfalls Abrechnungskommunikation. Nach dem derzeit zugrunde gelegten Funktionsstand werden keine vollständigen Schichtpläne, Krankheitszeiträume, Diagnosen oder Krankheitsdokumente über Resend versandt.

Resend wird von Plus Five Five, Inc. bereitgestellt und kann Daten insbesondere in den USA speichern und verarbeiten. Der Einsatz erfolgt unter der einschlägigen Resend-Datenschutzvereinbarung und den für die konkrete Übermittlung jeweils anwendbaren Transfermechanismen. Nicht jeder Versand dient der Auftragsverarbeitung; eigene Abrechnungskommunikation ist nach ihrem tatsächlichen Zweck gesondert einzuordnen.

Für transaktionale Nachrichten werden nur die für den jeweiligen Versand erforderlichen Daten übermittelt. Die E-Mail-Zustellung kann weitere Anbieter im Übertragungsweg und das vom Empfänger verwendete E-Mail-System einbeziehen.

C. ALL-INKL – Domains, DNS und geschäftliche E-Mail

Funktion: Verwaltung der Domains und DNS-Einträge sowie Bereitstellung der normalen geschäftlichen E-Mail-Postfächer von Oezer Software durch ALL-INKL.COM – Neue Medien Münnich. Dabei können insbesondere Domain- und DNS-Daten sowie Absender-, Empfänger-, Header- und Inhaltsdaten geschäftlicher E-Mail-Kommunikation verarbeitet werden. ALL-INKL hostet nicht die Turnoly-Anwendung oder deren PostgreSQL-Datenbank und versendet nicht die automatisierten transaktionalen Anwendungs-E-Mails.

Soweit Kundendaten im Rahmen geschäftlicher E-Mail-Kommunikation im Auftrag verarbeitet werden, wird ALL-INKL entsprechend der tatsächlichen Leistung und den geltenden Vertragsunterlagen einbezogen. Domain- und DNS-Verwaltung allein führt nicht automatisch zur Verarbeitung der in Turnoly gespeicherten Beschäftigtendaten.

D. Stripe – gesonderter Zahlungs- und Abrechnungsdienstleister

Stripe ist nicht pauschal weiterer Auftragsverarbeiter für sämtliche Turnoly-Beschäftigtendaten. Im Rahmen der Abrechnung erhält Stripe insbesondere Unternehmens- und Administrator-Abrechnungsinformationen, E-Mail-Adresse, Organisations-ID als Metadatum sowie Tarif- und Abonnementinformationen. Zahlungsinformationen werden unmittelbar über Stripe Checkout bzw. das Customer Portal verarbeitet. Turnoly speichert keine vollständigen Kartennummern, CVC oder IBAN.

Je nach konkreter Verarbeitung handelt Stripe in eigener Verantwortung oder als Auftragsverarbeiter. Maßgeblich sind die Stripe-Vertragsunterlagen und die tatsächlichen Verarbeitungszwecke. Nach dem derzeit zugrunde gelegten Funktionsstand werden keine Beschäftigten-Schicht- oder Krankheitsdaten an Stripe übermittelt. Für internationale Übermittlungen gelten die jeweils erforderlichen Datenschutz- und Transferregelungen.

Anlage 2 – Technische und organisatorische Maßnahmen

Die folgenden technischen Maßnahmen beschreiben den zugrunde gelegten geprüften Implementierungsstand. Die anschließend genannten organisatorischen Maßnahmen sind Verpflichtungen dieses AVV und keine Behauptung bereits nachgewiesener Zertifizierungen oder bestimmter interner Organisationsstrukturen.

A. Authentifizierung und Zugangsschutz

Passwörter und Terminal-PIN werden mittels gesalzenem scrypt-Hashing geschützt.
Sitzungs-IDs und Credential-Tokens werden kryptografisch zufällig erzeugt.
Session-Cookies sind HMAC-signiert; Authentifizierungs-Cookies verwenden HttpOnly und SameSite=Lax sowie Secure in der Produktionsumgebung.
Sitzungen werden serverseitig validiert, rotiert und bei Passwortänderung widerrufen.
Aktivierungs- und Reset-Tokens sind zweckgebunden und zeitlich begrenzt.
Terminal-PIN-Eingaben unterliegen Versuchslimits und Sperrzeiten.

B. Berechtigungen und Organisationstrennung

Rollen und Berechtigungen werden serverseitig geprüft.
Mandanten- und Organisationszuordnung begrenzen Zugriffe auf die jeweilige Organisation.
Zugriffe auf Ressourcen werden gegen die zugehörige Organisation geprüft.

C. Integrität und technische Schnittstellen

Datenbankzugriffe erfolgen über Prisma und parametrisierte Zugriffe; Datenbank-Constraints und Transaktionen unterstützen die Integrität. PostgreSQL 17 läuft innerhalb der privaten Coolify-Infrastruktur, ohne öffentlich erreichbaren PostgreSQL-Port.
Stripe-Webhooks werden anhand ihrer Signatur überprüft.
Geplante Serveraufgaben verwenden eine Authentifizierung, die bei fehlender oder ungültiger Autorisierung den Zugriff verweigert.
In den geprüften E-Mail-Templates wird HTML-Escaping eingesetzt.
Die Produktions-URLs verwenden HTTPS.

D. Organisatorische Verpflichtungen

Oezer Software beschränkt berechtigte Zugriffe auf den erforderlichen Umfang und verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit, soweit diese nicht bereits einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen.
Weisungen, relevante Sicherheitsmaßnahmen und deren Änderungen werden in einem der Verarbeitung angemessenen Umfang dokumentiert.
Erkannte Sicherheitsvorfälle werden angemessen behandelt; Informations- und Unterstützungspflichten nach diesem AVV werden erfüllt.
Beim Einsatz weiterer Auftragsverarbeiter werden die erforderlichen Datenschutzvereinbarungen, Schutzmaßnahmen und Transfergarantien sichergestellt.
Die Wirksamkeit der Schutzmaßnahmen wird risikogerecht regelmäßig überprüft, bewertet und erforderlichenfalls angepasst; Verfügbarkeit und Wiederherstellbarkeit werden im Rahmen der nach Art. 32 DSGVO erforderlichen Maßnahmen berücksichtigt.
Rückgabe, eingeschränkte Vorhaltung und Löschung von Auftragsdaten werden einschließlich erforderlicher Abstimmung mit weiteren Auftragsverarbeitern nach Abschnitt 12 umgesetzt.

Die Maßnahmen begründen keine absolute Sicherheit gegen Datenverlust, kein bestimmtes Verfügbarkeitsniveau und keine festen Wiederherstellungszeiten. Es wird weder eine vollständige eigene Verschlüsselung aller gespeicherten Daten durch Turnoly noch eine eigene ISO-Zertifizierung oder ausschließlich deutsche Verarbeitung zugesichert. Die risikogerechte Pflicht zu geeigneten Maßnahmen nach Art. 32 DSGVO bleibt uneingeschränkt bestehen.