Allgemeine Geschäftsbedingungen für HEXLE LZE (Zeiterfassung/-management) - HEXLE Development & IT Solutions e.U.

Hinweis

Diese AGB für HEXLE LZE ergänzen die Allgemeinen Geschäftsbedingungen (Rahmen-AGB) der HEXLE Development & IT Solutions und gelten ausschließlich für die Nutzung der Software HEXLE LZE (im Folgenden „HEXLE LZE” oder „Software”). Im Falle von Widersprüchen gehen die Regelungen dieser produktspezifischen AGB den Regelungen der Rahmen-AGB vor.

---

1. Leistungsumfang von HEXLE LZE

HEXLE LZE ist eine cloudbasierte Softwarelösung zur digitalen Zeiterfassung und zum Zeitmanagement. Der genaue Leistungsumfang, die verfügbaren Funktionen, Speicherkapazitäten und die Möglichkeiten der Nutzerverwaltung richten sich nach dem vom Kunden gewählten Tarif und den in der jeweiligen Leistungsbeschreibung oder dem individuellen Angebot festgelegten Spezifikationen.

• Funktionen: HEXLE LZE ermöglicht insbesondere die Erfassung von Arbeitszeiten (Kommt/Geht-Zeiten, Pausen), die Zuordnung zu Projekten oder Tätigkeiten, die Verwaltung von Abwesenheiten (Urlaub, Krankheit) sowie die Generierung von Auswertungen und Berichten. Detaillierte Funktionsbeschreibungen sind auf der HEXLE Website (https://lze.hexle.at) oder in der Produktdokumentation zu finden.
• Timesheets und Freigabeworkflow: Erfasste Zeiten können zu Timesheets (Monatsabrechnungen) zusammengefasst werden. Diese durchlaufen einen Statusverlauf vom Entwurf über die Bestätigung durch den Mitarbeiter bis zur Freigabe oder Ablehnung durch den Arbeitgeber, wobei bei einer Ablehnung ein Ablehnungsgrund erfasst werden kann. Timesheets können als PDF exportiert werden. Dabei werden die zum Erstellungszeitpunkt gespeicherten Firmen- und Mitarbeiterstammdaten (Firmenname, UID, Firmenbuchnummer, Personalnummer) als unveränderlicher Snapshot im Dokument festgehalten.
• Tätigkeitsberichte: HEXLE LZE ermöglicht die Erstellung von Leistungs- bzw. Tätigkeitsberichten je Kunde, Projekt und Zeitraum. Diese durchlaufen die Status Bearbeitung, versiegelt und versendet; der Versand an die vom Kunden hinterlegten Empfänger kann per E-Mail über die HEXLE-Plattform erfolgen.
• Stammdaten: Verwaltung von Kunden, Projekten, Leistungen und Mitarbeitern des Kunden.
• Ziele (Goals): Definition von Zielen samt Fortschrittsverlauf. Zielseiten können, sofern der Kunde dies konfiguriert, öffentlich abrufbar bereitgestellt werden; der Kunde entscheidet allein darüber, welche Inhalte er auf diesem Weg veröffentlicht.
• Team-Sync: Wiederkehrende asynchrone Status- bzw. Standup-Berichte je Team.
• Auswertungen und Exporte: Generierung von Auswertungen sowie Export von Daten in den Formaten Excel, CSV und PDF.
• Desktop-Client: Ergänzend zur Weboberfläche wird ein optionaler Desktop-Client für Endgeräte der Mitarbeiter bereitgestellt. Die Einzelheiten zu Funktionsweise, Datenerfassung und Verantwortlichkeiten regelt Abschnitt 7 dieser AGB.
• Speicherkapazitäten: Die zur Verfügung gestellte Speicherkapazität für erfasste Zeiten, Nutzerdaten und Dokumente richtet sich nach dem gebuchten Tarif. Bei Überschreitung der vereinbarten Kapazität kann HEXLE Zusatzkosten gemäß der jeweils gültigen Preisliste verrechnen oder den Kunden zur Reduzierung der Daten auffordern.
• Nutzerverwaltung: Die Anzahl der nutzbaren Accounts und die Hierarchie der Nutzerrechte (z.B. Administrator, Mitarbeiter) hängen vom gewählten Tarif ab. Der Kunde ist für die korrekte Anlage und Verwaltung seiner Nutzeraccounts verantwortlich.

2. Nutzungsbedingungen

2.1 Pflichten des Kunden

Der Kunde verpflichtet sich, HEXLE LZE ausschließlich bestimmungsgemäß und im Einklang mit den geltenden Gesetzen und diesen AGB zu nutzen. Insbesondere ist der Kunde verantwortlich für:

• Die rechtmäßige Erfassung und Verarbeitung von Arbeitszeiten seiner Mitarbeiter gemäß den gesetzlichen Bestimmungen (z.B. Arbeitszeitgesetz, Kollektivverträge). HEXLE übernimmt keine Gewähr für die rechtliche Korrektheit der vom Kunden mit HEXLE LZE erfassten oder verarbeiteten Daten.
• Die Bereitstellung korrekter und vollständiger Daten bei der Registrierung und während der Nutzung der Software.
• Die Verhinderung missbräuchlicher Nutzung von HEXLE LZE, insbesondere das Hochladen oder Speichern von rechtswidrigen Inhalten, das Ausführen von schädlichem Code oder das Stören des Betriebs der Software.
• Die Einhaltung der Kompatibilitätsanforderungen für die Nutzung von HEXLE LZE (z.B. Browserversionen, Internetverbindung). HEXLE übernimmt keine Verantwortung für Nutzungseinschränkungen, die auf einer Nichterfüllung dieser Anforderungen seitens des Kunden beruhen.

2.2 Zugangsdaten

Der Kunde ist verpflichtet, seine Zugangsdaten (Benutzernamen, Passwörter) geheim zu halten und vor dem unberechtigten Zugriff Dritter zu schützen. Er ist für alle Aktivitäten verantwortlich, die unter seinen Zugangsdaten erfolgen. Bei Verlust oder unbefugter Nutzung der Zugangsdaten hat der Kunde HEXLE unverzüglich zu informieren.

2.3 Umgang mit personenbezogenen Daten der Mitarbeiter

Der Kunde ist alleiniger Verantwortlicher im Sinne der DSGVO für die personenbezogenen Daten seiner Mitarbeiter, die über HEXLE LZE erfasst werden. HEXLE agiert in diesem Verhältnis als Auftragsverarbeiter. Der Kunde stellt sicher, dass die Erfassung und Verarbeitung von Arbeitszeiten seiner Mitarbeiter im Einklang mit den geltenden arbeitsrechtlichen Bestimmungen (insbesondere AZG, ArbVG) erfolgt. Insbesondere ist der Kunde verantwortlich für die Einholung einer allfälligen Zustimmung des Betriebsrats gemäß § 96 Abs. 1 Z 3 bzw. § 96a ArbVG, sofern ein solcher eingerichtet ist. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist verpflichtend (siehe Abschnitt 12 dieser AGB). Setzt der Kunde den in Abschnitt 7 beschriebenen Desktop-Client ein, gelten ergänzend die dort geregelten Pflichten.

3. Service Level Agreements (SLA)

HEXLE ist bestrebt, eine hohe Verfügbarkeit und Performance von HEXLE LZE sicherzustellen. Die nachfolgenden Regelungen definieren die vereinbarten Service Level:

• Verfügbarkeit (Uptime): HEXLE gewährleistet eine durchschnittliche jährliche Verfügbarkeit der HEXLE LZE-Dienste von 99,0%. Ausgenommen hiervon sind geplante Wartungsfenster, die dem Kunden frühzeitig mitgeteilt werden, sowie Ausfälle, die außerhalb des Verantwortungsbereichs von HEXLE liegen (z.B. höhere Gewalt, Störungen des öffentlichen Internets, Handlungen Dritter).
• Support-Zeiten: Der Kundensupport ist werktags (Montag bis Freitag, ausgenommen österreichische Feiertage) von 08:00 Uhr bis 18:00 Uhr MESZ/MEZ erreichbar.
• Reaktionszeiten bei Störungen:
  • Kritische Störungen (Produktionseinstellung, Kernfunktionen nicht nutzbar): Reaktion innerhalb von 2 Stunden während der Support-Zeiten.
  • Wesentliche Störungen (Einschränkung der Nutzung, aber Kernfunktionen verfügbar): Reaktion innerhalb von 4 Stunden während der Support-Zeiten.
  • Geringfügige Störungen (Kosmetische Fehler, kleine Funktionsfehler): Reaktion innerhalb von 12 Stunden während der Support-Zeiten.
  • Lösungszeit: HEXLE wird sich bemühen, Störungen schnellstmöglich zu beheben. Es kann jedoch keine bestimmte Lösungszeit garantiert werden, da diese von der Art und Komplexität der Störung abhängt.

4. Lizenzbedingungen

HEXLE räumt dem Kunden ein nicht-ausschließliches, nicht übertragbares und zeitlich auf die Vertragslaufzeit beschränktes Recht zur Nutzung von HEXLE LZE im Rahmen des gebuchten Tarifs und dieser AGB ein. Jegliche darüberhinausgehende Nutzung, insbesondere die Vervielfältigung, Verbreitung, öffentliche Zugänglichmachung oder Bearbeitung der Software, ist untersagt. Das Reverse Engineering oder die Dekompilierung der Software ist nicht gestattet.

5. Datenverarbeitung

HEXLE ist sich der Sensibilität der über HEXLE LZE erfassten Daten bewusst. Die Speicherung und Verarbeitung der Daten erfolgt auf Servern in Österreich oder der Europäischen Union unter Einhaltung der Vorschriften der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG).

• Verantwortlichkeit: Der Kunde ist der Verantwortliche im Sinne der DSGVO für die über HEXLE LZE erfassten personenbezogenen Daten seiner Mitarbeiter. HEXLE agiert als Auftragsverarbeiter.
• Auftragsverarbeitungsvertrag (AVV): Für die Verarbeitung personenbezogener Daten im Auftrag des Kunden wird ein gesonderter Auftragsverarbeitungsvertrag (AVV) zwischen HEXLE und dem Kunden abgeschlossen. Dieser AVV ist integraler Bestandteil des Vertrages über die Nutzung von HEXLE LZE und detailliert die Pflichten und Verantwortlichkeiten beider Parteien hinsichtlich des Datenschutzes (siehe Abschnitt 12 dieser AGB).
• Verarbeitung: HEXLE verarbeitet die eingegebenen Daten ausschließlich im Rahmen der Leistungserbringung und nach Weisung des Kunden gemäß dem abgeschlossenen AVV.
• Protokolldaten: Die Plattform protokolliert serverseitig Anmeldeereignisse, sicherheitsrelevante System- und Schnittstellenzugriffe sowie Änderungen an Datensätzen (Änderungshistorie). Näheres regelt Abschnitt 9 dieser AGB.
• Timesheet-Snapshots: Bei der Erstellung von Timesheets und den daraus erzeugten PDF-Dokumenten werden die zu diesem Zeitpunkt gespeicherten Firmen- und Mitarbeiterstammdaten (Firmenname, UID, Firmenbuchnummer, Personalnummer) als Snapshot im jeweiligen Dokument festgehalten. Diese Snapshots bleiben aus Gründen der Nachvollziehbarkeit und Beweissicherung unverändert, auch wenn die zugrundeliegenden Stammdaten später geändert werden.
• Anonymisierung beim Offboarding: HEXLE LZE stellt eine Funktion bereit, mit der die Identität eines Nutzers beim Ausscheiden (Offboarding) anonymisiert werden kann, während die für den Kunden erforderlichen Zeit- und Abrechnungsdaten in anonymisierter Form erhalten bleiben. Ob und wann diese Funktion eingesetzt wird, entscheidet der Kunde unter Beachtung der für ihn geltenden gesetzlichen Aufbewahrungs- und Löschpflichten. Die Anonymisierung kann nicht rückgängig gemacht werden.
• Datensicherung: HEXLE implementiert angemessene technische und organisatorische Maßnahmen zum Schutz der Daten vor Verlust, Zerstörung, unberechtigtem Zugriff oder Missbrauch. Regelmäßige Datensicherungen werden durchgeführt, um die Wiederherstellbarkeit der Daten im Falle eines technischen Fehlers zu gewährleisten. Die genauen Sicherungsintervalle und -maßnahmen sind im AVV detailliert beschrieben.

6. Preise

Die Preise für die Nutzung von HEXLE LZE richten sich nach dem vom Kunden gewählten Tarifmodell. Die jeweils gültigen Preise sind in der aktuellen Preisliste auf der HEXLE Website (https://lze.hexle.at) oder im individuellen Angebot aufgeführt. Alle Preise verstehen sich in Euro (€) und, soweit nicht anders angegeben, zuzüglich der gesetzlichen Umsatzsteuer. Abweichungen von den allgemeinen Regelungen zu Preisen und Zahlung in den Rahmen-AGB sind gesondert in der Leistungsbeschreibung oder dem individuellen Angebot zu regeln.

7. HEXLE LZE Desktop-Client

Ergänzend zur Weboberfläche stellt HEXLE einen optionalen Desktop-Client („HEXLE LZE Desktop-Client”) bereit, der auf dem Endgerät des Mitarbeiters installiert wird (Schwerpunkt Windows). Der Einsatz des Desktop-Clients ist nicht Voraussetzung für die Nutzung von HEXLE LZE und erfolgt ausschließlich auf Entscheidung des Kunden.

7.1 Funktion und Datenerfassung

Der Desktop-Client unterstützt den Mitarbeiter bei der Zeiterfassung, indem er auf dem Endgerät in einstellbaren Intervallen Aktivitätsdaten erfasst. Erfasst werden insbesondere:

• der Name des jeweils aktiven Fensters sowie die Bezeichnung des zugehörigen Prozesses (Anwendung),
• Zeiten der Inaktivität (Idle/AFK),
• optional, sofern vom Nutzer aktiviert, Angaben zur Git-Aktivität (Repository, Branch, Commits).

Ausdrücklich nicht erfasst werden Tastatureingaben, Inhalte der Zwischenablage sowie Bildschirmfotos (Screenshots). Bei der Ermittlung von Inaktivitätszeiten wird ausschließlich der Zeitpunkt der letzten Eingabe ausgelesen, nie die Eingabe selbst oder deren Inhalt.

Der Desktop-Client verwendet keine Standort- oder GPS-Erfassung, keine RFID- oder NFC-Stempelfunktion und kein Stempeln mittels Kamera oder Foto.

Es wird darauf hingewiesen, dass Fenstertitel ihrerseits sensible Inhalte enthalten können (z.B. Kunden-, Datei- oder Betreffnamen). Genau aus diesem Grund verbleiben diese Daten gemäß Abschnitt 7.2 auf dem Endgerät.

7.2 Lokale Verarbeitung

Sämtliche vom Desktop-Client erfassten Rohdaten werden ausschließlich lokal in einer Datenbank auf dem Endgerät des Mitarbeiters gespeichert. Eine automatische Übermittlung dieser Rohdaten an HEXLE findet nicht statt.

Aus den lokal gespeicherten Daten erzeugt der Desktop-Client anhand vom Nutzer konfigurierbarer Regeln Buchungsvorschläge. Erst wenn der Mitarbeiter einen solchen Vorschlag ausdrücklich übernimmt, wird daraus ein regulärer Zeiteintrag (Zeitraum, Projekt, Beschreibung) erzeugt und an die HEXLE-Plattform übertragen. Die zugrundeliegenden Rohdaten werden dabei nicht übertragen.

Die Buchungsvorschläge werden lokal und rein regelbasiert erzeugt. Es kommt dabei kein Verfahren der künstlichen Intelligenz und kein Sprachmodell (LLM) zum Einsatz; eine Übermittlung der Aktivitätsdaten an Dritte findet nicht statt. Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO ist mit den Buchungsvorschlägen nicht verbunden, da die Übernahme eines Vorschlags stets eine ausdrückliche Handlung des Mitarbeiters voraussetzt.

7.3 Kontrolle durch den Mitarbeiter

Der Desktop-Client sieht Steuerungsmöglichkeiten für den Mitarbeiter vor. Dieser kann insbesondere:

• die Erfassung in den Status aktiv, pausiert, privat oder gestoppt versetzen,
• einen Privatmodus mit Zeitgrenze aktivieren, während dessen keine Aktivitätsdaten erfasst werden,
• Ausschlusslisten für einzelne Prozesse sowie für Muster von Fenstertiteln konfigurieren, sodass die betreffenden Aktivitäten von der Erfassung ausgenommen sind,
• sämtliche lokal gespeicherten Daten vollständig löschen.

Der konkrete Umfang der dem Mitarbeiter zur Verfügung stehenden Einstellungen kann von der Konfiguration durch den Kunden und der eingesetzten Programmversion abhängen.

7.4 Pflichten des Kunden (Arbeitgeber)

Über den Einsatz des Desktop-Clients, dessen Verteilung an Mitarbeiter und dessen Konfiguration entscheidet allein der Kunde. Der Kunde ist für die Zulässigkeit dieses Einsatzes in seinem Betrieb allein verantwortlich. Er hat insbesondere sicherzustellen:

• das Vorliegen der arbeitsrechtlichen Voraussetzungen, namentlich einer allfällig erforderlichen Zustimmung des Betriebsrats gemäß § 96 Abs. 1 Z 3 bzw. § 96a ArbVG bzw. – sofern kein Betriebsrat eingerichtet ist – der Zustimmung der betroffenen Mitarbeiter,
• die Wahrung der Menschenwürde der betroffenen Mitarbeiter,
• die Information der betroffenen Mitarbeiter über Art, Umfang und Zweck der Datenverarbeitung gemäß Art. 13 DSGVO,
• das Vorliegen einer tragfähigen Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO, für den Beschäftigungskontext iVm Art. 88 DSGVO und § 12 DSG),
• die Prüfung, ob für den beabsichtigten Einsatz eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich ist, und gegebenenfalls deren Durchführung.

HEXLE stellt ausschließlich die technische Funktion bereit. HEXLE erteilt keine arbeits-, datenschutz- oder sonstige Rechtsberatung und übernimmt keine Gewähr dafür, dass der Einsatz oder eine bestimmte Konfiguration des Desktop-Clients im konkreten Betrieb des Kunden zulässig ist. Der Kunde stellt HEXLE von Ansprüchen Dritter, insbesondere betroffener Mitarbeiter, frei, die auf einem Einsatz des Desktop-Clients ohne die erforderlichen Voraussetzungen beruhen.

7.5 Abgrenzung zur Auftragsverarbeitung

Da die vom Desktop-Client lokal erfassten Rohdaten das Endgerät des Mitarbeiters nicht verlassen und HEXLE zu keinem Zeitpunkt Zugriff auf sie hat, sind diese Daten nicht Gegenstand der Auftragsverarbeitung durch HEXLE. Gegenstand der Auftragsverarbeitung gemäß Abschnitt 12 dieser AGB sind ausschließlich jene Zeiteinträge, die der Mitarbeiter aus einem Buchungsvorschlag übernimmt und die dadurch an die HEXLE-Plattform übermittelt werden. Für die lokal auf dem Endgerät verbleibenden Daten ist der Kunde als Verantwortlicher im Rahmen seiner eigenen betrieblichen IT allein zuständig.

8. Konformitätsprüfung und Auswertungen

HEXLE LZE kann erfasste Zeiten auf Tages- und Timesheet-Ebene mit einer Konformitätskennzeichnung („Compliance-Flag”) versehen und dabei auf Auffälligkeiten – etwa hinsichtlich Pausen oder Ruhezeiten – hinweisen.

Diese Kennzeichnung ist ein reines Hinweis- und Unterstützungswerkzeug zur Sichtprüfung der erfassten Zeiten durch den Kunden. Sie ersetzt weder die arbeitszeitrechtliche Prüfung durch den Kunden noch eine Rechts-, Steuer- oder Lohnverrechnungsberatung.

HEXLE übernimmt keine Gewähr für die Vollständigkeit oder Richtigkeit der ausgegebenen Hinweise und keine Gewähr dafür, dass die erfassten oder freigegebenen Zeiten den Bestimmungen des Arbeitszeitgesetzes (AZG), des Arbeitsruhegesetzes (ARG) oder anwendbarer Kollektivverträge entsprechen. Die Beurteilung und Einhaltung dieser Bestimmungen obliegt allein dem Kunden. Gleiches gilt für Auswertungen, Berichte und Exporte, die auf den vom Kunden bzw. dessen Mitarbeitern erfassten Daten beruhen.

9. Protokollierung (Audit-Log)

Zur Nachvollziehbarkeit und zur Sicherheit des Betriebs protokolliert die Plattform serverseitig insbesondere Anmeldeereignisse, sicherheitsrelevante System- und Schnittstellenzugriffe sowie Änderungen an Datensätzen (Änderungshistorie). Diese Protokolle können im Rahmen der vorgesehenen Funktionen eingesehen und exportiert werden.

Die Protokolle dienen der Sicherheit, der Fehleranalyse, der Erfüllung von Rechenschaftspflichten und der Nachvollziehbarkeit von Änderungen. Sie dürfen vom Kunden nicht zur verhaltens- oder leistungsbezogenen Kontrolle seiner Mitarbeiter zweckentfremdet werden.

Eine solche Verwendung läge allein in der Verantwortung des Kunden und bedürfte einer eigenen arbeitsrechtlichen und datenschutzrechtlichen Grundlage, insbesondere einer allfällig erforderlichen Zustimmung gemäß § 96 Abs. 1 Z 3 bzw. § 96a ArbVG sowie der Information der betroffenen Mitarbeiter. HEXLE übernimmt hierfür keine Verantwortung.

10. Gewährleistung

Gegenüber Verbrauchern gelten die gesetzlichen Gewährleistungsbestimmungen des Verbrauchergewährleistungsgesetzes (VGG) für digitale Leistungen. Die Gewährleistungsfrist beträgt 2 Jahre. Innerhalb von zwei Jahren ab Bereitstellung wird vermutet, dass ein Mangel bereits bei Bereitstellung vorhanden war (Beweislastumkehr gemäß § 11 VGG).

HEXLE ist verpflichtet, notwendige Aktualisierungen (insbesondere Sicherheitsupdates) für HEXLE LZE für den gesetzlich vorgesehenen Zeitraum bereitzustellen (§§ 6, 7 VGG).

Der Verbraucher hat bei Mängeln zunächst das Wahlrecht zwischen Verbesserung und Herstellung des vertragsgemäßen Zustands. Ist dies unmöglich oder für HEXLE mit unverhältnismäßigem Aufwand verbunden, kann der Verbraucher Preisminderung verlangen oder vom Vertrag zurücktreten (§§ 12–15 VGG).

Gegenüber Unternehmern wird die Beweislastumkehr des § 924 ABGB ausgeschlossen.

11. Wechsel von Datenverarbeitungsdiensten (Data Act)

Für den Wechsel zu einem anderen Datenverarbeitungsdienst sowie für die damit verbundenen Rechte und Pflichten (insbesondere Kündigungs- und Übergangsfristen, Unterstützung beim Wechsel sowie Export der Daten des Kunden) gelten die Regelungen in Abschnitt 13 der Rahmen-AGB ergänzend.

---

12. Auftragsverarbeitungsvertrag (AVV) für HEXLE LZE

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

12.1 Gegenstand, Dauer und Leistungsumfang des Auftrags

1. Gegenstand: Die vorliegende Vereinbarung regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Erbringung der Dienstleistung HEXLE LZE (Zeiterfassung/-management) durch den Auftragnehmer (HEXLE) für den Auftraggeber. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich nach dokumentierter Weisung des Auftraggebers.
2. Leistungsumfang: Die Verarbeitung umfasst alle Tätigkeiten, die zur Bereitstellung, Wartung und Pflege der Softwarelösung HEXLE LZE zur digitalen Zeiterfassung und zum Zeitmanagement des Auftraggebers notwendig sind.
3. Dauer: Diese Vereinbarung tritt mit Vertragsabschluss in Kraft und endet automatisch mit Beendigung der Leistungsvereinbarung (Hauptvertrag) über die Nutzung von HEXLE LZE.

12.2 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten

1. Zweck: Erfassung, Verwaltung, Speicherung und Auswertung von Personendaten der Mitarbeiter und Zeiterfassungsdaten zur Erfüllung von:
   • Zeiterfassung (Kommt/Geht-Zeiten, Pausen, Projektzuordnung),
   • Abwesenheitsverwaltung (Urlaub, Krankheit),
   • Erstellung, Bestätigung und Freigabe von Timesheets (Monatsabrechnungen) einschließlich PDF-Erstellung,
   • Erstellung, Versiegelung und Versand von Tätigkeits- bzw. Leistungsberichten,
   • Auswertungen, Berichte und Exporte (Excel, CSV, PDF),
   • Protokollierung von Anmeldeereignissen, Systemzugriffen und Änderungen an Datensätzen zu Zwecken der Sicherheit und Nachvollziehbarkeit,
   • Support und Wartung (Der Auftragsverarbeiter darf zur Bearbeitung von Supportfällen Einsicht in personenbezogene Daten nehmen, sofern dies zur Behebung technischer Probleme erforderlich ist).
2. Kategorien betroffener Personen:
   • Mitarbeiter des Auftraggebers.
   • Gegebenenfalls: Externe Mitarbeiter, Freelancer des Auftraggebers.
3. Kategorien personenbezogener Daten:
   • Identifikationsdaten: Name, Kontaktdaten (E-Mail), Benutzerkennung, Personalnummer.
   • Zeiterfassungsdaten: Arbeitszeiten, Pausenzeiten, Projektzuordnungen, Abwesenheiten (Krankenstände). (Hinweis: Informationen über Krankenstände können als Gesundheitsdaten nach Art. 9 DSGVO gelten. Der Auftraggeber ist für das Vorliegen einer Rechtsgrundlage gemäß Art. 9 Abs. 2 DSGVO verantwortlich. HEXLE stellt durch besondere technische und organisatorische Maßnahmen ein angemessenes Schutzniveau für diese Datenkategorie sicher.)
   • Timesheet- und Freigabedaten: Timesheets samt Status (Entwurf, vom Mitarbeiter bestätigt, vom Arbeitgeber freigegeben oder abgelehnt), Zeitpunkt von Bestätigung und Freigabe, Ablehnungsgründe sowie die in den erzeugten Dokumenten festgehaltenen Firmen- und Mitarbeiter-Snapshots (Firmenname, UID, Firmenbuchnummer, Personalnummer).
   • Tätigkeits- bzw. Leistungsberichte: Berichtsinhalte je Kunde, Projekt und Zeitraum, Berichtsstatus sowie Angaben zum Versand (Empfänger, Versandzeitpunkt).
   • Protokoll- und Anmeldedaten: Anmeldeereignisse, Zeitstempel, technische Zugriffsdaten (z.B. IP-Adresse, Browser-/Gerätekennung), Schnittstellenzugriffe sowie Änderungshistorien an Datensätzen einschließlich der auslösenden Benutzerkennung.
   • Organisationsdaten: Details über das Unternehmen des Auftraggebers (Name, Abteilungen, Standorte etc.).
4. Klarstellung zum Desktop-Client: Die vom HEXLE LZE Desktop-Client lokal auf dem Endgerät des Mitarbeiters erfassten Aktivitätsdaten (insbesondere Fenster- und Prozessnamen, Inaktivitätszeiten sowie allfällige Git-Aktivitätsdaten) sind nicht Gegenstand dieser Auftragsverarbeitung, solange sie nicht vom Mitarbeiter als Zeiteintrag übernommen und dadurch an die Plattform übermittelt werden. Gegenstand der Auftragsverarbeitung sind ausschließlich die übermittelten Zeiteinträge (Zeitraum, Projekt, Beschreibung). Näheres regelt Abschnitt 7.5 dieser AGB.

12.3 Pflichten und Weisungsrecht des Auftraggebers (Verantwortlicher)

Der Auftraggeber ist für die Einhaltung der gesetzlichen Bestimmungen der DSGVO, insbesondere hinsichtlich der Rechtmäßigkeit der Verarbeitung (z.B. Vorliegen einer Rechtsgrundlage gemäß Art. 6 DSGVO) und der Wahrung der Rechte der betroffenen Personen, verantwortlich. Er hat insbesondere:

1. Die Überprüfung der Rechtmäßigkeit der Verarbeitung, inkl. Informationspflichten (Art. 12 ff. DSGVO) sicherzustellen.
2. Alle Weisungen zu erteilen und zu dokumentieren.
3. Den Auftragnehmer unverzüglich bei Fehlern oder Unregelmäßigkeiten zu informieren.

12.4 Pflichten des Auftragnehmers (Auftragsverarbeiter)

Der Auftragnehmer verpflichtet sich insbesondere:

1. Verarbeitung nur auf Weisung: Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten, es sei denn, eine gesetzliche Verpflichtung zwingt ihn dazu (Art. 28 Abs. 3 lit. a DSGVO).
2. Informationspflicht bei rechtswidrigen Weisungen: Den Auftraggeber unverzüglich zu informieren, falls eine Weisung nach Auffassung des Auftragnehmers gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
3. Vertraulichkeit: Sicherzustellen, dass zur Verarbeitung der Daten befugte Personen zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
4. Sicherheit der Verarbeitung (TOMs): Geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zu treffen. Die konkreten Maßnahmen sind unter TOM (Technische und organisatorische Maßnahmen) detailliert festgehalten (z.B. Verschlüsselung, Zugangskontrolle, Pseudonymisierung).
5. Unterauftragsverhältnisse (Subunternehmer):
   • Der Auftragnehmer ist berechtigt, die unter Genehmigte Unterauftragsverarbeiter gelisteten Unternehmen, insbesondere für Hosting- und Wartungsleistungen, als Subunternehmer (weitere Auftragsverarbeiter) hinzuzuziehen. Die Beauftragung dieser gelisteten Unternehmen gilt mit Abschluss dieses Vertrages als genehmigt.
   • Der Auftragnehmer hat Subunternehmer vertraglich zur Einhaltung der gleichen Datenschutzpflichten zu verpflichten, die zwischen dem Auftraggeber und dem Auftragnehmer gelten (Art. 28 Abs. 4 DSGVO).
   • Beabsichtigt der Auftragnehmer, einen neuen Subunternehmer hinzuzuziehen oder einen bestehenden zu ersetzen, muss er dies dem Auftraggeber 14 Tage vor der beabsichtigten Hinzuziehung schriftlich oder in Textform anzeigen. Der Auftraggeber hat das Recht, innerhalb dieser Frist begründeten Einspruch zu erheben (Art. 28 Abs. 2 DSGVO). Erhebt der Auftraggeber begründeten Einspruch, wird HEXLE den betreffenden Unterauftragsverarbeiter nicht einsetzen. Können sich die Parteien nicht auf eine alternative Lösung einigen, steht dem Auftraggeber ein Sonderkündigungsrecht für den betroffenen Dienst zu.
   • Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Bestimmungen dieses Vertrages durch seine Subunternehmer.
6. Unterstützungspflichten:
   • Unterstützung des Auftraggebers bei der Beantwortung von Anträgen Betroffener (Art. 12-22 DSGVO).
   • Unterstützung bei der Einhaltung der Pflichten gem. Art. 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
7. Meldepflicht bei Datenschutzverletzungen: Unverzügliche Meldung, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, von Verletzungen des Schutzes personenbezogener Daten des Auftraggebers an diesen (Art. 33, 34 DSGVO).
8. Löschung und Rückgabe: Nach Beendigung des Vertrages die Daten innerhalb von 90 Tagen nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
9. Drittlandtransfer: Eine Verarbeitung personenbezogener Daten in Drittländern außerhalb der EU/des EWR erfolgt nur, sofern die Voraussetzungen der Art. 44–49 DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln). Die aktuell genehmigten Unterauftragsverarbeiter und deren Drittlandsgarantien sind unter Genehmigte Unterauftragsverarbeiter einsehbar.

12.5 Kontrollrechte des Auftraggebers

1. Kontrollrecht: Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung und der getroffenen TOMs in angemessenem Umfang zu überprüfen, etwa durch Audits oder die Einsichtnahme in Nachweise des Auftragnehmers (Art. 28 Abs. 3 lit. h DSGVO).
2. Nachweispflicht: Der Auftragnehmer verpflichtet sich, dem Auftraggeber alle zur Einhaltung seiner Pflichten notwendigen Informationen zur Verfügung zu stellen und Nachweise zu erbringen.

12.6 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Jede Partei haftet gegenüber betroffenen Personen für den gesamten Schaden, der durch eine nicht DSGVO-konforme Verarbeitung verursacht wurde (Art. 82 Abs. 2 DSGVO). Im Innenverhältnis trägt jede Partei den Anteil am Schaden, der ihrem Verschulden entspricht. Der Auftragnehmer haftet insbesondere für Schäden, die aus einer Verarbeitung resultieren, die nicht den Weisungen des Auftraggebers oder seinen eigenen Pflichten aus der DSGVO entspricht.

---

Stand: September 2026