Pilotbetrieb: Kalstro befindet sich in der Erprobung und wird derzeit nicht gewerblich angeboten.
zwischen dem Kundenbetrieb (nachfolgend „Verantwortlicher") — angegeben bei der Registrierung —
und Entwickler, An der Schere 2, 34537 Bad Wildungen (nachfolgend „Auftragsverarbeiter").
Die Zustimmung erfolgt elektronisch bei der Registrierung des Betriebs; der Zeitpunkt wird gespeichert.
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt die Web-Anwendung „Kalstro" zur Arbeitszeiterfassung und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art und Zweck der Verarbeitung, Datenarten, Betroffene
Zweck: Erfassung, Speicherung und Auswertung von Arbeitszeiten, Abwesenheiten und Aufträgen einschließlich Auftragsdokumentation (Auftragszettel, Fotos, Termine)
Datenarten: Stammdaten der Beschäftigten (Name, Login, Funktion, Wochenstunden, Urlaubstage), Zeitdaten (Beginn/Ende/Pausen/Kostenstelle/Notizen), Abwesenheiten, Änderungsprotokolle, Auftrags- und Kundendaten des Verantwortlichen (Kundenname, Anschrift, Telefon, E-Mail, Auftragsbeschreibung), digitale Auftragszettel einschließlich Unterschriften, Fotos und Dateianhänge zu Aufträgen, Termine
Betroffene: Beschäftigte des Verantwortlichen sowie dessen Kunden und Ansprechpartner
3. Pflichten des Auftragsverarbeiters
Verarbeitung nur auf dokumentierte Weisung (die Nutzung der App-Funktionen gilt als Weisung)
Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
Technisch-organisatorische Maßnahmen nach Art. 32 DSGVO — u. a. TLS-Verschlüsselung, serverseitige Mandantentrennung (Row Level Security), Passwort-Hashing, unveränderbare Änderungsprotokolle, Datenbankstandort Frankfurt am Main (Deutschland)
Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23 DSGVO) und Meldepflichten (Art. 33/34 DSGVO)
Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung
Löschung oder Rückgabe aller Daten nach Vertragsende: Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung eine vollständige Datenübergabe bereit. Der Export aus der App enthält die Daten, auf die das jeweilige Konto Zugriff hat; dabei können Tabellen ausgelassen werden. Der Auftragsverarbeiter führt die Löschung nach Vertragsende von Hand durch: 90 Tage nach Übergabe der Daten, spätestens 180 Tage nach Vertragsende. Sicherungskopien laufen nach 90 Tagen aus; fällt die Sicherung längere Zeit aus, bleibt nur die letzte vollständige Sicherung bis zur nächsten erhalten. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt — rechtzeitig exportieren!
4. Unterauftragsverarbeiter
Der Verantwortliche genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter:
Dienstleister
Leistung
Ort
Supabase Pte. Ltd. (Singapur)
Datenbank, Authentifizierung, Dateispeicher
Datenbank in Frankfurt am Main; Übermittlungen an Supabase außerhalb der EU abgesichert über EU-Standardvertragsklauseln (Supabase-DPA, Fassung 1 vom 01.08.2026). Supabase setzt eigene Unterauftragsverarbeiter ein, u. a. Supabase, Inc. (USA) für den Support (Liste: supabase.com/legal/customer-resources/subprocessor-list)
Cloudflare Inc.
Auslieferung der App (CDN)
weltweit, EU-US DPF/SCC
Microsoft Corp. (OneDrive)
Ablage regelmäßiger Sicherungskopien (Zugriff nur Auftragsverarbeiter)
EU/USA, EU-US DPF/SCC
Änderungen werden mit 30 Tagen Vorlauf angekündigt; der Verantwortliche kann aus wichtigem Grund widersprechen.
5. Kontrollrechte
Der Verantwortliche kann sich über die technisch-organisatorischen Maßnahmen durch Einsicht in die aktuelle Verfahrensdokumentation informieren (auf Anfrage); Vor-Ort-Kontrollen sind bei einem reinen Cloud-Dienst durch geeignete Nachweise ersetzt.
6. Haftung, Schlussbestimmungen
Es gilt Art. 82 DSGVO. Nebenabreden bedürfen der Textform. Es gilt deutsches Recht.