Datenschutzhinweis Lizenzgeber – Lizenznehmer

1. Parteien

Lizenzgeber (Betreiber der Software, Auftragsverarbeiter):
Firmendaten werden geladen…

Lizenznehmer (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO): das Unternehmen, das einen Lizenzvertrag über stufdispo abgeschlossen hat. Der Lizenznehmer entscheidet allein über Zwecke und Mittel der Verarbeitung der von ihm eingestellten Personal-, Einsatz- und Kundendaten.

2. Rollenverteilung

Der Lizenznehmer ist datenschutzrechtlich Verantwortlicher. Der Lizenzgeber verarbeitet die im System gespeicherten Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) wird auf Anfrage bereitgestellt und ist Bestandteil des Lizenzvertrags.

3. Wo werden die Daten gespeichert?

• Sämtliche Anwendungs- und Datenbankdaten werden auf Servern innerhalb der Europäischen Union gespeichert.
• Datenbank, Datei-Uploads (z. B. Mitarbeiterfotos) und Backups liegen ebenfalls in der EU.
• Die Übertragung erfolgt ausschließlich verschlüsselt über TLS/HTTPS.
• Backups werden verschlüsselt gespeichert und regelmäßig rotiert.
• Eine Datenübermittlung in Drittländer findet nicht statt; sollte sie im Einzelfall erforderlich werden, erfolgt sie nur auf Grundlage der EU-Standardvertragsklauseln und nach vorheriger Information des Lizenznehmers.

4. Was passiert mit den Daten?

• Die Daten werden ausschließlich zur Bereitstellung, Wartung, Fehlerbehebung und Absicherung der Software verarbeitet.
• Ein inhaltlicher Zugriff auf die Personaldaten des Lizenznehmers ist von Seiten des Lizenzgebers nicht möglich. Der Zugriff auf Personaldatensätze ist technisch über Mandantentrennung und Zugriffsregeln (Row Level Security) auf den jeweiligen Lizenznehmer begrenzt.
• Eine Nutzung der Daten zu eigenen Zwecken des Lizenzgebers, zu Werbezwecken, zum Training von KI-Modellen oder eine Weitergabe oder ein Verkauf an Dritte findet nicht statt.
• Statistiken zur Systemauslastung werden ausschließlich aggregiert und ohne Personenbezug erhoben.
• Unterauftragsverarbeiter (Hosting, E-Mail-Versand, Push-Zustellung) werden sorgfältig ausgewählt, vertraglich nach Art. 28 DSGVO verpflichtet und auf Anfrage in einer aktuellen Liste offengelegt.

5. Was passiert nach Kündigung des Vertrages?

• Mit Beendigung des Lizenzvertrags endet die Verarbeitungsbefugnis des Lizenzgebers.
• Der Lizenznehmer kann seine Daten vor Vertragsende über die Exportfunktionen der Software vollständig exportieren (u. a. Personaldaten, Einsätze, Zeiterfassung).
• Nach Vertragsbeendigung werden sämtliche Daten des Lizenznehmers gelöscht. Die Löschung erfolgt spätestens 30 Tage nach Vertragsende; Backups laufen im Rahmen der Backup-Rotation spätestens nach weiteren 60 Tagen aus.
• Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht (insbesondere Rechnungs- und Buchhaltungsdaten nach HGB und AO). Diese werden gesperrt und ausschließlich zur Erfüllung dieser Pflichten aufbewahrt.
• Eine Löschbestätigung wird auf Anfrage in Textform erteilt.

6. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung von Backups.
• Rollen- und Rechtekonzept, Mandantentrennung auf Datenbankebene.
• Protokollierung sicherheitsrelevanter Zugriffe und administrativer Vorgänge.
• Passwort-Hashing nach Stand der Technik, keine Klartextspeicherung von Zugangsdaten.
• Regelmäßige Updates, Abhängigkeits- und Sicherheitsprüfungen.

7. Cookies, externe Dienste und Einwilligung

stufdispo setzt ausschließlich technisch notwendige Cookies bzw. vergleichbare Speichertechniken (Local Storage, Session Storage) ein. Diese dienen der Anmeldung, der Sitzungsverwaltung, der Mandantenauswahl sowie der Sicherheit (z. B. Schutz vor Missbrauch). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b und f DSGVO; eine Einwilligung ist hierfür nicht erforderlich. Tracking-, Analyse- oder Marketing-Cookies sowie Dienste Dritter zu Werbezwecken werden nicht eingesetzt. Die Cookie-Einwilligung für optionale Inhalte wird ausschließlich lokal im Browser der nutzenden Person gespeichert und getrennt von der Zustimmung zu diesem Datenschutzhinweis verwaltet. Cookies können jederzeit über die Browsereinstellungen gelöscht werden; dies kann die Nutzbarkeit der Anwendung einschränken.

• Google Fonts: nicht eingebunden, Schriften werden lokal ausgeliefert.
• Google Analytics, Tag Manager, Ads, reCAPTCHA: nicht eingesetzt.
• Google Maps: nicht eingebettet, nur Verweislinks; Datenübermittlung an Google erst nach Klick.
• OpenStreetMap: Kartenvorschauen nur nach Einwilligung (IP-Übermittlung an die OpenStreetMap Foundation).
• Social Media: keine Plugins oder Pixel; Teilen erfolgt über Gerätefunktionen und einfache Links.
• Google Search Console: nur Domain-Verifizierung und aggregierte Suchstatistiken, keine Cookies.
• Push-Dienste: nur nach Browser-Erlaubnis über den Push-Dienst des Browserherstellers.

8. Meldung von Datenschutzverletzungen

Der Lizenzgeber informiert den Lizenznehmer unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die Daten des Lizenznehmers betrifft (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und Personengruppen, die wahrscheinlichen Folgen sowie ergriffene und vorgeschlagene Gegenmaßnahmen. Der Lizenzgeber unterstützt den Lizenznehmer bei dessen Meldepflicht gegenüber der Aufsichtsbehörde (Art. 33 DSGVO, Frist 72 Stunden) und der Benachrichtigung betroffener Personen (Art. 34 DSGVO). Sicherheitsvorfälle können jederzeit an die oben genannte E-Mail-Adresse des Lizenzgebers gemeldet werden.

9. Rechte des Lizenznehmers

Der Lizenznehmer hat Anspruch auf Auskunft über die Verarbeitung, Unterstützung bei der Erfüllung von Betroffenenrechten, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenportabilität sowie auf Nachweise zur Einhaltung der Pflichten aus Art. 28 DSGVO.

10. Aufsichtsbehörde und Schlichtung

Unbeschadet anderer Rechtsbehelfe besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, insbesondere am Ort des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO).

Hinweis zur Streitbeilegung: Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung bereit. Der Lizenzgeber ist zur Teilnahme an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle weder verpflichtet noch bereit (§ 36 VSBG); dies gilt insbesondere, da Lizenzverträge ausschließlich mit Unternehmern geschlossen werden. Für Streitigkeiten aus dem Lizenzverhältnis wird zunächst eine einvernehmliche Klärung angestrebt.

11. Rechtliche Hinweise

• Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
• Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Lizenzgebers.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
• Im Verhältnis zu diesem Hinweis gehen die Regelungen des Lizenzvertrags und des Auftragsverarbeitungsvertrags im Konfliktfall vor.
• Änderungen dieses Hinweises werden dem Lizenznehmer in Textform mitgeteilt.

Dieser Datenschutzhinweis ist eine Vorlage und ersetzt keine Rechtsberatung. Bitte vor Live-Gang anwaltlich prüfen lassen. Stand: 20.8.2026