Auftragsverarbeitungsvertrag (AV-Vertrag)

gemäß Art. 28 DSGVO · Fassung 2.2, Stand 01.10.2026

zwischen

dem Kunden, dessen Firmierung, Anschrift und vertretungsberechtigte Person beim Abschluss im Kundenkonto angegeben werden (nachfolgend „Verantwortlicher")

und

Pegasus Copilot, Inhaber Jannis Huhnholz
Rönnkamp 14
22457 Hamburg
E-Mail: support@pegasuscopilot.de
(nachfolgend „Auftragsverarbeiter")

– gemeinsam „Parteien" –

§ 1 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand ist die Bereitstellung und der Betrieb der Software „Pegasus Copilot" (Web-Anwendung unter pegasuscopilot.de sowie die zugehörige Mobile App) zur Dienstplanung, Abwesenheitsverwaltung und Personalorganisation sowie, soweit der Verantwortliche sie nutzt, der Zeiterfassung „Pegasus Timepilot" (Stempelterminals in den Einrichtungen, Web-Portal unter timepilot.pegasuscopilot.de und Zeiterfassungs-App).

Dieser Vertrag ergänzt den Nutzungsvertrag (AGB). Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages. Nach dessen Ende werden die Daten gemäß § 10 gelöscht oder zurückgegeben.

Ort der Verarbeitung: Sämtliche dauerhafte Speicherung erfolgt auf Servern in Deutschland (Anwendungsserver im Rechenzentrum Nürnberg, verschlüsselte Sicherungen im Rechenzentrum Falkenstein). Zu den Ausnahmen bei der Übertragung siehe § 7.1.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

Anlage und Verwaltung von Benutzerkonten und Mitarbeiterstammdaten
Dienst- und Schichtplanung einschließlich Schichttausch und Springerlisten
Verwaltung von Abwesenheiten: Urlaub, Krankmeldung, Homeoffice, Sonderurlaub, Fortbildung, Elternzeit
Genehmigungsabläufe, Benachrichtigungen per E-Mail und Push-Nachricht
Ablage von Dokumenten (Bescheinigungen, Arbeitsunfähigkeitsnachweise, Verträge)
Optional: Erfassung von Vergütungs- und Bankdaten der Beschäftigten für den Lohnexport (SEPA)
Auswertungen und Berichte für die Leitung
Optional: Arbeitszeiterfassung mit Kommen, Gehen und Pausen über Stempelterminals mit Kartenleser in den Einrichtungen, über das Web-Portal oder die Zeiterfassungs-App; Führung von Sollzeiten, Stundenkonten und Korrekturen
Tägliche verschlüsselte Datensicherung zur Wiederherstellung nach Störungen

Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

§ 3 Art der personenbezogenen Daten

Kategorie	Daten	Rechtsgrundlage beim Verantwortlichen
Stammdaten	Name, Rufname, Benutzername, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Profilfoto	Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG
Beschäftigungsdaten	Abteilung, Funktion, Rolle, Arbeitstage, Urlaubskontingent, Resturlaub	Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG
Schicht- und Zeitdaten	Dienstpläne, Schichtzuweisungen, Tauschanfragen, Überstunden	Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG
Abwesenheitsdaten	Urlaubs- und Sonderanträge, Homeoffice, Fortbildung, Elternzeit mit Zeitraum und Status	Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG
Gesundheitsdaten (Art. 9 DSGVO)	Krankmeldungen mit Zeitraum, optional Grund und Arbeitsunfähigkeitsbescheinigung als Foto oder PDF	Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG
Vergütungs- und Bankdaten (optional)	Gehalt, IBAN, BIC, Lohnexport	Art. 6 Abs. 1 lit. b und c DSGVO
Dokumente	Vom Verantwortlichen oder den Beschäftigten hochgeladene Dateien	Art. 6 Abs. 1 lit. b DSGVO
Arbeitszeitdaten (Zeiterfassung, optional)	Kommen- und Gehen-Zeiten, Pausen, geplante Schicht, Stempelweg (Terminal, Web, App), Sollzeiten, Überstunden und Stundenkonto, Korrekturen mit Änderungsprotokoll; dazu Personalnummer, Eintrittsdatum und die Kennung der Stempelkarte (RFID-UID)	Art. 6 Abs. 1 lit. b und c DSGVO, Art. 88 DSGVO i. V. m. § 26 BDSG; Aufzeichnungspflichten u. a. aus § 16 Abs. 2 ArbZG und § 17 MiLoG
Nutzungs- und Protokolldaten	Anmeldezeitpunkte, IP-Adresse, Geräte- und Browserangaben, Audit-Protokoll, Push-Token der Mobile App; bei der Zeiterfassung zusätzlich Terminal-Kennung, IP-Adresse und technisches Protokoll der Stempelterminals	Art. 6 Abs. 1 lit. f DSGVO

§ 4 Kreis der Betroffenen

Beschäftigte des Verantwortlichen einschließlich Auszubildender, FSJ-Kräfte und Aushilfen
Leitungskräfte und Trägervertretung des Verantwortlichen
Sonstige Personen, deren Daten der Verantwortliche in der Software erfasst (z. B. Vertretungskräfte)

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO). Er verpflichtet sich,

alle mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO); derzeit hat ausschließlich der Inhaber Zugriff auf die Systeme,
die in § 6 beschriebenen technischen und organisatorischen Maßnahmen einzuhalten und fortzuentwickeln (Art. 32 DSGVO),
Unterauftragnehmer nur nach Maßgabe von § 7 einzusetzen (Art. 28 Abs. 2 und 4 DSGVO),
den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 22 DSGVO) mit den in der Software vorhandenen Export- und Löschfunktionen zu unterstützen,
den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Datenschutz-Folgenabschätzungen,
Verletzungen des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform zu melden (Art. 33 Abs. 2 DSGVO),
nach Ende der Leistung alle Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (Art. 28 Abs. 3 lit. g DSGVO),
alle zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen zu ermöglichen (Art. 28 Abs. 3 lit. h DSGVO).

5.1 Weisungen

Weisungen erfolgen in Textform an support@pegasuscopilot.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

§ 6 Technische und organisatorische Maßnahmen

6.1 Vertraulichkeit

Zutrittskontrolle: Betrieb auf einem dedizierten Server der netcup GmbH im Rechenzentrum Nürnberg; Zutritt nur für autorisiertes Personal des Hosters, Videoüberwachung, Chipkarten- und Transpondersysteme, Alarmanlage. Informationssicherheitsmanagement des Hosters nach ISO 27001 zertifiziert.
Zugangskontrolle: Server-Zugang ausschließlich per SSH mit Schlüssel, Passwort-Anmeldung abgeschaltet; Datenbank nur lokal erreichbar; Web-Anmeldung mit individuellen Benutzerkonten, Passwort-Hashing (bcrypt), erzwungener Passwortwechsel bei Erstanmeldung, Passwortregeln, Sperre nach Fehlversuchen, optionale Zwei-Faktor-Authentifizierung, Bestätigung neuer Anmeldeorte per Code.
Zugriffskontrolle: Rollen- und Rechtekonzept (Mitarbeiter, Leitung, Träger) mit einzeln steuerbaren Berechtigungen; Beschäftigte sehen nur eigene Daten; Krankmeldungen und Dokumente nur für berechtigte Rollen.
Trennungskontrolle: Strikte Mandantentrennung auf Datenbankebene; jede Abfrage ist an die Firma des angemeldeten Nutzers gebunden. Getrennte Test- und Produktivumgebung.
Pseudonymisierung und Verschlüsselung: Arbeitsunfähigkeitsnachweise, Krankheitsgründe, Vergütungs- und Bankdaten sowie hochgeladene Dokumente werden anwendungsseitig mit AES-256-GCM verschlüsselt. Die Schlüssel sind an die Anmeldedaten der berechtigten Personen gebunden; ein Zugriff auf Datenbank oder Sicherung allein macht diese Inhalte nicht lesbar. Zwei-Faktor-Geheimnisse und Wiederherstellungs-Token werden verschlüsselt bzw. gehasht abgelegt.

6.2 Integrität

Weitergabekontrolle: Ausschließlich verschlüsselte Übertragung (TLS 1.2 oder höher, HSTS); E-Mail-Versand über einen eigenen Mailserver mit SPF, DKIM und DMARC.
Eingabekontrolle: Audit-Protokoll aller sicherheitsrelevanten Vorgänge (Anmeldungen, Änderungen an Benutzern und Rechten, Genehmigungen, Löschungen, Zugriffe auf Gesundheitsdaten) mit Zeitstempel und Nutzerkennung.

6.3 Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle: Rechenzentrum mit unterbrechungsfreier Stromversorgung, Notstrom, Brandschutz und Klimatisierung; Web Application Firewall und DDoS-Schutz über Cloudflare; Sicherheitsupdates werden zeitnah eingespielt.
Wiederherstellbarkeit: Tägliche Sicherung der Datenbanken und der Dokumente; zusätzlich zur Sicherung auf dem Server wird jede Nacht eine Kopie außer Haus auf einen Speicher der Hetzner Online GmbH in Deutschland übertragen. Diese Kopie wird vor der Übertragung verschlüsselt (AES-256); der Schlüssel liegt ausschließlich beim Auftragsverarbeiter. Sicherungsstände werden 30 Tage vorgehalten und danach in den regelmäßigen, mindestens wöchentlichen Bereinigungsläufen endgültig entfernt, spätestens sechs Wochen nach ihrer Erstellung. Die Wiederherstellung wird bei Änderungen an der Infrastruktur geprüft.

6.4 Verfahren zur regelmäßigen Überprüfung

Automatisierte Testreihen vor jeder Auslieferung, darunter Prüfungen der Mandantentrennung und der Verschlüsselung
Regelmäßige Sicherheitstests der Web-Anwendung (Injection, Rechteausweitung, Session-Handling)
Überwachung der Server- und Anwendungsprotokolle; Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

6.5 Besondere Maßnahmen für Gesundheitsdaten (Art. 9 DSGVO)

Krankmeldungen und Nachweise sind nur für die betroffene Person selbst und für berechtigte Leitungsrollen einsehbar
Inhalte von Krankmeldungen und Nachweisen werden verschlüsselt gespeichert und nie in E-Mails oder Push-Nachrichten übertragen; Benachrichtigungen enthalten lediglich den Hinweis, dass ein Vorgang vorliegt
Jeder Zugriff auf Gesundheitsdaten wird protokolliert
Der Verantwortliche bestimmt in den Einstellungen die Aufbewahrungsdauer; danach werden die Nachweise automatisch gelöscht

§ 7 Unterauftragnehmer

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragnehmer (Art. 28 Abs. 2 DSGVO):

Unternehmen	Leistung und betroffene Daten	Sitz	Garantie
netcup GmbH Emmy-Noether-Str. 10 76131 Karlsruhe	Hosting des Anwendungsservers und der Datenbank. Sämtliche in § 3 genannten Daten. Rechenzentrum Nürnberg.	Deutschland	Auftragsverarbeitungsvertrag vom 11.09.2026 (DSGVO-414337-20260911-91629), in dem die Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO ausgewiesen ist; ISO 27001 und ISO 27701 zertifiziert. Eigene weitere Auftragsverarbeiter des Hosters: Anexia Cloud Solutions GmbH (Karlsruhe, Deutschland; Klagenfurt, Österreich) und Anexia Holding GmbH (Klagenfurt, Österreich) für Infrastruktur und Personal.
24fire GmbH Kronenstraße 4 68723 Schwetzingen	Betrieb des Mailservers mail.pegasuscopilot.de, über den sämtliche Benachrichtigungen des Systems versendet werden, sowie die Registrierung der Domain pegasuscopilot.de. Verarbeitet werden die E-Mail-Adresse der Empfängerin sowie Betreff und Text der Benachrichtigung (ohne Gesundheitsdaten, siehe § 6.5).	Deutschland	Auftragsverarbeitungsvertrag vom 22.08.2026.
Hetzner Online GmbH Industriestr. 25 91710 Gunzenhausen	Speicherplatz für die nächtliche Datensicherung (Rechenzentrum Falkenstein). Sämtliche in § 3 genannten Daten, jedoch ausschließlich als vor der Übertragung verschlüsselte Sicherung; der Schlüssel liegt nicht bei Hetzner, Inhalte sind für Hetzner nicht lesbar. Aufbewahrung siehe § 6.3.	Deutschland	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Rechenzentren nach ISO/IEC 27001 zertifiziert.
Cloudflare, Inc. 101 Townsend Street San Francisco, CA 94107, USA	DNS, Zwischenspeicherung statischer Dateien, Web Application Firewall und DDoS-Schutz für pegasuscopilot.de. Verkehrsdaten (IP-Adresse, Kopfzeilen) sowie transient durchgeleitete Inhalte; keine dauerhafte Speicherung von Inhaltsdaten.	USA, Verarbeitung vorrangig in EU-Rechenzentren	Cloudflare Data Processing Addendum mit EU-Standardvertragsklauseln; Zertifizierung nach dem EU-US Data Privacy Framework.
650 Industries, Inc. (Expo) USA	Zustellung von Push-Nachrichten an die Mobile App über Apple Push Notification Service bzw. Google Firebase Cloud Messaging. Übertragen werden Push-Token des Geräts, Titel und Kurztext der Nachricht (ohne Gesundheitsdaten, siehe § 6.5). Nur, wenn die betroffene Person Push-Nachrichten in der App aktiviert.	USA	EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Push-Nachrichten sind abschaltbar.
Apple Inc. One Apple Park Way Cupertino, CA 95014, USA	Letzte Zustellstufe der Push-Nachrichten auf Geräten mit iOS (Apple Push Notification Service, APNs), bei der Zeiterfassungs-App auch direkt ohne Expo. Übertragen werden das gerätebezogene Push-Token sowie Titel und Kurztext der Nachricht (ohne Gesundheitsdaten, siehe § 6.5); APNs speichert eine Nachricht nur bis zur Zustellung. Nur, wenn die betroffene Person Push-Nachrichten in der App aktiviert.	USA	EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) als Bestandteil des Apple Developer Program License Agreement; Push-Nachrichten sind abschaltbar.
Functional Software, Inc. (Sentry) 45 Fremont Street San Francisco, CA 94105, USA	Optionale Fehlerdiagnose der Mobile App. Übertragen werden technische Angaben zum Absturz (Gerätemodell, Betriebssystemfassung, Programmablauf) und die interne Benutzerkennung; keine Inhalts- und keine Gesundheitsdaten. Wird nur verarbeitet, wenn die Diagnose in der App-Konfiguration hinterlegt ist — ohne hinterlegte Kennung findet keine Übertragung statt.	USA	Sentry Data Processing Addendum mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); abschaltbar.
Mollie B.V. Keizersgracht 126 1015 CW Amsterdam	Zahlungsabwicklung des Abonnements (SEPA-Lastschrift). Betrifft ausschließlich die Vertragsdaten des Verantwortlichen, keine Beschäftigtendaten.	Niederlande	Auftragsverarbeitung nach den Mollie-Nutzungsbedingungen; beaufsichtigtes Zahlungsinstitut.

Änderungen an dieser Liste teilt der Auftragsverarbeiter dem Verantwortlichen mindestens 14 Tage vor dem Einsatz in Textform mit. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, können beide Parteien den Nutzungsvertrag außerordentlich kündigen. Der Auftragsverarbeiter überbindet seine Pflichten aus diesem Vertrag vollständig auf jeden Unterauftragnehmer.

7.1 Übermittlung in Drittstaaten

Die dauerhafte Speicherung aller Daten erfolgt in Deutschland. Eine Übermittlung in Drittstaaten findet nur bei Cloudflare (Durchleitung des Web-Verkehrs), bei Expo und Apple (Push-Zustellung an die Mobile App) sowie bei Sentry (optionale Fehlerdiagnose der Mobile App) statt und stützt sich auf die in § 7 genannten Garantien nach Art. 45 und 46 DSGVO. Die drei zuletzt genannten Übermittlungen setzen voraus, dass die Mobile App oder die Zeiterfassungs-App eingesetzt und die jeweilige Funktion aktiviert ist; ohne sie verlassen die Daten Deutschland nicht. Weitere Drittstaatenübermittlungen erfolgen nur mit vorheriger Zustimmung des Verantwortlichen.

§ 8 Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte allein verantwortlich. Er stellt insbesondere sicher, dass

die Verarbeitung von Gesundheitsdaten seiner Beschäftigten auf einer tragfähigen Rechtsgrundlage beruht und die Beschäftigten nach Art. 13 DSGVO informiert sind,
Zugangsdaten vertraulich behandelt und Berechtigungen in der Software auf das Erforderliche beschränkt werden,
ausscheidende Beschäftigte zeitnah deaktiviert oder gelöscht werden,
Fehler oder Unregelmäßigkeiten in der Verarbeitung dem Auftragsverarbeiter unverzüglich mitgeteilt werden.

§ 9 Kontrollrechte

Der Verantwortliche kann die Einhaltung dieses Vertrages überprüfen durch Auskünfte des Auftragsverarbeiters, Einsicht in Prüfberichte und Zertifikate der Unterauftragnehmer sowie nach Abstimmung mit einer Frist von 14 Tagen durch eine Kontrolle vor Ort oder per Videokonferenz. Der Auftragsverarbeiter wirkt an Kontrollen mit. Kontrollen erfolgen nicht häufiger als einmal jährlich, sofern kein konkreter Anlass besteht.

§ 10 Löschung und Rückgabe nach Vertragsende

Der Verantwortliche kann seine Daten jederzeit selbst in gängigen Formaten (CSV, PDF) exportieren.
Nach Vertragsende werden alle Daten des Verantwortlichen innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch erhält der Verantwortliche vorher einen vollständigen Export über einen gesicherten Downloadbereich.
Sicherungskopien werden spätestens sechs Wochen nach der Löschung überschrieben (siehe § 6.3).
Die Löschung wird auf Verlangen in Textform bestätigt.

§ 11 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Innenverhältnis haftet der Auftragsverarbeiter nur für Schäden, die durch eine nicht ordnungsgemäße Erfüllung der ihm nach der DSGVO und diesem Vertrag obliegenden Pflichten oder durch ein Handeln außerhalb oder entgegen den Weisungen des Verantwortlichen verursacht wurden.

§ 12 Ansprechpartner

Für Datenschutzfragen benennt der Auftragsverarbeiter: Jannis Huhnholz, support@pegasuscopilot.de. Der Verantwortliche benennt beim Abschluss im Kundenkonto einen Ansprechpartner und, soweit bestellt, seine Datenschutzbeauftragte oder seinen Datenschutzbeauftragten.

§ 13 Schlussbestimmungen

Dieser Vertrag wird in Textform (§ 126b BGB) geschlossen, indem die vertretungsberechtigte Person des Verantwortlichen ihn im Kundenkonto von Pegasus Copilot bestätigt. Die Ausfertigung enthält Vertragsnummer, Zeitpunkt, bestätigende Person und eine Prüfsumme des Vertragstextes und wird beiden Parteien zur Verfügung gestellt.

Bei Änderungen dieses Vertrages legt der Auftragsverarbeiter die neue Fassung im Kundenkonto zur erneuten Bestätigung vor; bis dahin gilt die zuletzt bestätigte Fassung weiter. Änderungen und Ergänzungen bedürfen der Textform.

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in datenschutzrechtlichen Fragen vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.