Auftragsverarbeitungsvertrag dpa-2026-10-29-v7 Dustless | eenmanszaak | Stelhout 5, 3991 PD Houten, NL | KVK 97524549 | VAT NL005275384B13 Parteien und Geltungsbereich Der im Nachweis genannte Kunde ist Verantwortlicher für Firmen- und Personaldaten; Dustless, Einzelunternehmen, Stelhout 5, 3991 PD Houten, KVK 97524549, contact@dustless.nl, ist Auftragsverarbeiter. Dies gilt auch für kostenlose Tests und solange Daten verarbeitet werden. Für eigene Kontosicherheit, Abrechnung und gesetzliche Unterlagen ist Dustless eigenständig verantwortlich; siehe Datenschutzerklärung. Andere Dienste sind nicht automatisch umfasst. Weisungen und Verantwortung Dustless verarbeitet nur auf dokumentierte Weisung einschließlich zulässiger Einstellungen, außer bei gesetzlicher Pflicht, mit vorheriger Mitteilung soweit erlaubt. Vermutlich rechtswidrige Weisungen werden unverzüglich gemeldet; nur die betroffene Verarbeitung wird ausgesetzt. Der Kunde bestimmt Rechtsgrundlagen, Informationen, Tarifvertrag und Rollen. Eigene DSGVO-, Sicherheits- und Haftungspflichten von Dustless bleiben bestehen. Anlage A — Verarbeitung Zweck und Vorgänge: Speichern, Ordnen, Anzeigen, Ändern, Benachrichtigen, Exportieren und Löschen für gewählte Module. Betroffene: Beschäftigte, Verwaltung, Kunden-/Standortkontakte und Lieferanten. Daten: Arbeitsidentität, Kontakte, Rollen, Vertrags-/Tarifangaben, Planung, Verfügbarkeit, Urlaub ohne medizinische Gründe, Stunden, Bewertungen, Angebote, Standorte, Material, Arbeitsnotizen, zulässige Dokumente und Historie. Keine Krankenakten, BSN, Ausweiskopien, Strafdaten oder besonderen Kategorien eingeben. Keine Werbung, Datenverkäufe oder KI-Modellschulung. Anlage B — Sicherheit und Vertraulichkeit Nur eingewiesene, zur Vertraulichkeit verpflichtete Personen erhalten nötigen Zugriff. Maßnahmen: HTTPS, Mandantentrennung, Serverprüfung, minimale Rechte, Passwort-/Sitzungshashes, MFA mit Authenticator-App (für alle Portalnutzer und Websiteadministratoren verpflichtend, für normale Kundenkonten optional), Validierung, private Downloads, Integritätsprüfungen und konsistente Back-ups. Regelmäßige und anlassbezogene Risikoprüfung. Keine ISO-Zertifizierung, Virengarantie oder Behauptung vollständiger Speicher-/USB-Verschlüsselung. Neue eigene Datenkopien liegen ausschließlich auf einer angeschlossenen, entsperrten Kingston mit geprüfter Verschlüsselung. Der Computer bewahrt nötige technische Wiederherstellungsreferenzen; ältere Kopien sind separat zu prüfen. Privates GitHub enthält nur ausgewählten Quellcode, keine Datenbanken oder Personaldaten. Zugriff und Löschung pro Speicherort sind vor Kundenfreigabe nachzuweisen. Bestehende Hostingvereinbarungen mijn.host B.V., Pietersbergweg 291, 1105 BM Amsterdam, Niederlande; privacy@mijn.host. Grundlage sind die von Dustless angenommenen Auftragsverarbeitungs- und Unterauftragsverarbeitungsverträge vom Oktober 2026 mit Anlagen. Für Kundeninhalte ist Dustless Auftragsverarbeiter und mijn.host Unterauftragsverarbeiter; für eigene Konten- und Steuerverwaltung ist Dustless gesondert verantwortlich. Die Dienstbestätigung vom 29. Oktober 2026 konkretisiert Hosting, SMTP, Wiederherstellung und Support. Die Annahme aktiviert keine Zahlung, kein Abonnement und keine zusätzlichen Module. Anlage C — Unterauftragsverarbeiter und Übermittlung Direkter Unterauftragsverarbeiter: mijn.host B.V. Für h47: Voxility GmbH, Messeturm, Friedrich-Ebert-Anlage 49, 60308 Frankfurt am Main, Deutschland (Hosting in der EU); Leaseweb Netherlands B.V., Hessenbergweg 95, 1101 CX Amsterdam (Back-ups in den Niederlanden). Anwendung, Datenbank, SMTP und Sicherheit betreibt mijn.host ohne zusätzlichen externen SMTP-Anbieter. KI-Ticketsupport: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco CA 94104, USA (Claude), und Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland (Gemini); US-Übermittlung nach SCC und Artikel 10 der Hostingverträge. Tickets, Kontakte und nötiger bereinigter technischer Kontext können verarbeitet werden; keine Personalakten, Datenbankkopien, Geheimnisse oder Loginlinks übermitteln. Keine EWR-only- oder ZDR-Garantie für den Supportfluss. Identität, Aufgaben und Kontakt: https://mijn.host/trust/subverwerkers und privacy@mijn.host. Andere gelistete Hosting-, Microsoft365- oder Domainanbieter erhalten nicht automatisch Portalinhalte. Dustless informiert Kunden direkt vor neuen oder ersetzten Unterauftragsverarbeitern mit echter Widerspruchs-, Alternativ- oder Beendigungsmöglichkeit vor Einsatz. Der Host meldet mindestens 14 Tage vorher im Kontrollpanel; Dustless prüft täglich und leitet unverzüglich weiter. Volle 14 Tage für Kunden werden nicht garantiert. Gewählter Google/Microsoft-Login und Stripe-Zahlungen haben eigene zweckgebundene Rollen. Unterstützung, Vorfälle und Prüfung Dustless unterstützt Betroffenenrechte, Sicherheit, DSFA und Behördenkonsultation entsprechend Verarbeitung und Wissen. Direkte Anfragen werden unverzüglich weitergeleitet, nicht eigenständig entschieden. Verletzungen werden ohne unangemessene Verzögerung, möglichst innerhalb 24 Stunden ab Kenntnis, gemeldet und ergänzt. Der Kunde prüft die gesetzliche 72-Stunden-Meldung. Dustless liefert Nachweise und ermöglicht notwendige Kundenaudits/Inspektionen bei Schutz anderer Kunden und Sicherheit. Fristen/Kosten dürfen gesetzliche Rechte oder dringende Prüfungen nicht blockieren. Anlage D — Wechsel und Export Nur die Haupt-Firmenverwaltung kann vollständigen Export oder Beendigung mit erneuter Identitätsprüfung anfragen. Falls nicht erreichbar: contact@dustless.nl mit Vertretungsprüfung. Kein neuer Vertrag als Voraussetzung bestehender Rechte. Anbieterwechsel/eigene Infrastruktur: keine zusätzliche Wechselfrist, Übergang unverzüglich binnen 30 Kalendertagen ab Anfrage, mit Kontinuität, angemessener Hilfe und Sicherheit. Nur gesetzlich zulässige technische Ausnahmen werden rechtzeitig begründet; Verlängerung auf Kundenwunsch möglich. Danach mindestens 30 Kalendertage nur zum Abruf. Keine Export-/Wechselgebühr. Normale Kündigung und verbleibende Zahlungspflichten sind getrennt, zwingendes Recht geht vor. Exportformat und Abgrenzung Exportformat: privates TAR.GZ mit UTF-8 JSON/NDJSON (ein JSON-Objekt je Zeile), Feldbeschreibung, Beziehungen, Zeit-/Datumskonventionen und Originaldateien mit Name, Typ und SHA256-Manifest. Nur Haupt-Firmenverwaltung mit Identitätsprüfung. Eigene Daten und relevante Historie vorhandener Module; keine anderen Firmen, Privatadressen, Warenkörbe, Passwort-Hashes, Sitzungen, Token, OAuth/MFA-Geheimnisse oder Zahlungslinks. Übermittelte Bewerberkontakte bleiben im eigenen Vorgang. Externe Akteure werden nicht mit Privatprofilen ergänzt. Unsichere Beziehungen, beschädigte Dateien oder ungeprüfte Struktur stoppen den Export. Grenze 512 MiB, 250.000 Datensätze oder 20.000 Dateien; größere Übergabe via contact@dustless.nl ohne Kürzung. Stunden-CSV separat. Kein garantierter Direktimport bei jedem Anbieter. Gespeicherte Datei vor Abschlussbestätigung prüfen. Rückgabe, Löschung und Aufbewahrung Der Kunde wählt Rückgabe mit Löschung oder Löschung ohne Rückgabe und darf dies bis zur Ausführung ändern. Nach der Abruffrist werden operative Kundendaten und Kopien unverzüglich gelöscht; bei Wechsel mindestens 30 Kalendertage Abruf. Keine allgemeine gesetzliche Pflicht für weitere 90 Tage Personalakten/Back-ups, keine unbegrenzte Speicherung. Nur konkret gesetzlich erforderliche Unterlagen getrennt mit Zugriffsbeschränkung, Rechtsgrund und Enddatum. Eigene steuerliche Basisunterlagen von Dustless meist sieben Jahre, gesetzliche Ausnahmen länger; nicht alle Kundenpersonaldaten. Kunde bleibt für eigene Aufbewahrung und rechtzeitigen Export verantwortlich. Geteilte Logins/andere Dienste bleiben unberührt. Back-ups und Ausführungsnachweis Dustless löscht je Speicherort und verhindert mit einem unabhängigen Löschregister die Wiederaktivierung nach Wiederherstellung. Hostingkopien laufen durch Rotation aus: für Hosting Starter sind 30 Tage aktive Aufbewahrung bestätigt; für weitere Wiederherstellungskopien/Archive gelten vertraglich höchstens 90 Tage, sofern nicht kürzer festgelegt. Keine sofortige gezielte Löschung aus bestehenden Anbietersnapshots wird versprochen. Restkopien bleiben gesperrt und dienen nicht dem normalen Betrieb; vor Freigabe nach Wiederherstellung gilt das aktuelle Löschregister. Je Beendigung werden Inventar, Übergabe/Kundenprüfung, Abruffrist, gesetzliche Ausnahmen/Enddaten, Löschung je Ort, Restkopien und erwartete Rotation dokumentiert. Sperren oder operative Löschung beweisen keine vollständige Kopienlöschung. Abschluss nur mit geeigneten Nachweisen; der Vertrag startet selbst keine Lösch- oder Back-up-Aufgabe. Vorrang und Änderungen Vertrag/Anlagen gehen widersprechenden Datenschutzklauseln vor. Niederländischer Text maßgeblich, zwingendes NL-/EU-Recht bleibt. Keine rückwirkende Änderung: neue Version, gesondertes Einverständnis mit Firma, Sprache, Zeit und Integritätsnachweis. Keine erfundene frühere Zustimmung. Rückgabe/Löschung, Vertraulichkeit und Kontrolle gelten bis Abschluss. Ausführung und Status Der Ablauf erfasst Empfang und Übertragungsabschluss getrennt. Bei einem Wechsel beginnt die Abruffrist von mindestens 30 Kalendertagen erst nach bestätigtem Abschluss; danach dienen die Daten nur dem Abruf. Die ausdrückliche Löschung ohne Rückgabe ist eine andere Anweisung ohne erfundenen Empfangsnachweis. Die Haupt-Firmenverwaltung bestätigt die endgültige Löschung erneut mit Passwort und Zwei-Faktor-Prüfung. Gelöscht wird nur der eigene betriebliche Kontext. Aboende und konkrete Steuerabwicklung werden getrennt geprüft; offene Forderungen rechtfertigen keine pauschale Aufbewahrung von Personalakten. Eigene Steuergrundlagen folgen dem geprüften tatsächlichen Beginn und normalerweise sieben Jahren; besondere längere gesetzliche Fristen erfordern eigene Prüfung. Fristablauf erfordert Prüfung und Abwicklung statt unbegrenzter Verlängerung. Persönliche Konten und andere Dienste werden nicht automatisch gelöscht. Ein separat gesichertes Register enthält nur notwendige Referenzen, Prüfsummen, Daten und Kopienstatus, keine Personalunterlagen. Es bleibt nötig, solange Wiederherstellungen gelöschte Daten reaktivieren könnten; danach ist auch dieser Nachweis zu löschen oder zu anonymisieren, sofern keine konkrete eigene Rechtsgrundlage weiteres Aufbewahren verlangt. Betriebliche Löschung beweist keine vollständige Back-up-Löschung. Der Abschluss bleibt offen, bis alle Speicherorte nachweislich geprüft sind.