Datenschutz
AVV und TOM bereit
Von Grund auf für deutsche Datenschutz-Anforderungen gebaut.
Art. 28
securityDSGVO & Datenschutz
DSGVO-konformeMitarbeiter-App.
Mitarbeiterdaten sind besonders schützenswert. teamly ist von Grund auf für deutsche Datenschutz-Anforderungen gebaut: Server ausschließlich in Deutschland, ISO-27001-zertifizierte Rechenzentren, vollständiger AVV inklusive, Betriebsrat-Vorlage in jedem Onboarding.
Made in GermanyISO-27001-HostingDSGVO
Die drei Bausteine
Was eine Mitarbeiter-App DSGVO-konform macht
01
Rechtsgrundlage
Für die Verarbeitung von Mitarbeiterdaten gilt § 26 BDSG. Die Verarbeitung ist zulässig, wenn sie zur Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Darüber hinaus braucht es eine Betriebsvereinbarung oder ausdrückliche Einwilligung.
02
AVV nach Art. 28 DSGVO
Jede SaaS-Mitarbeiter-App, die personenbezogene Daten verarbeitet, braucht einen vollständigen Auftragsverarbeitungsvertrag mit dem Anbieter. teamly stellt im Onboarding einen unterschriftsreifen Standard-AVV bereit, inklusive technisch-organisatorischer Maßnahmen als Anhang.
03
Technisch-organisatorische Maßnahmen
Verschlüsselung in Übertragung und Speicherung, Zugangs- und Berechtigungskontrolle, Backup-Konzept, Notfallplanung, Awareness-Schulungen. Die Rechenzentren von teamly sind ISO-27001-zertifiziert, und diese Zertifizierung dient als Nachweis aller TOM gegenüber Ihrem Datenschutzbeauftragten.
Art. 28 DSGVO
Was in einen vollständigen AVV gehört
Ein Auftragsverarbeitungsvertrag ist nur dann wirksam, wenn er alle Pflichtbestandteile nach Artikel 28 Absatz 3 DSGVO enthält. Diese Punkte müssen enthalten sein.
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Kategorien betroffener Personen und Daten
- Pflichten und Rechte des Verantwortlichen
- Weisungsgebundenheit des Auftragsverarbeiters
- Vertraulichkeitsverpflichtung der eingesetzten Mitarbeitenden
- Unterstützungspflichten bei der Erfüllung von Betroffenenrechten
- Meldepflicht bei Datenpannen zur Wahrung der 72-Stunden-Frist
- Nachweispflichten und Audit-Rechte des Verantwortlichen
- Regelungen zu Subunternehmern (Sub-Auftragsverarbeitern)
- Löschung oder Rückgabe der Daten nach Vertragsende
Bei teamly ist die Liste der eingesetzten Subdienstleister vollständig transparent: Sie erhalten im Onboarding eine Tabelle mit allen Subunternehmern, deren Aufgabe und deren Sitz. Änderungen an dieser Liste werden vorab angekündigt, nicht nachträglich mitgeteilt.
Hosting
Warum Server in Deutschland strukturell sicherer sind
Hosting in Deutschland bedeutet: deutsches Recht, deutsche Gerichtsbarkeit, kein US CLOUD Act. Für sensible Mitarbeiterdaten ist das der saubere Weg.
verified
teamly
- Server ausschließlich in deutschen Rechenzentren
- Deutsches Recht und deutsche Gerichtsbarkeit
- Keine Subdienstleister außerhalb der EU
- ISO-27001-zertifizierte Rechenzentren
- Standard-AVV ohne Standardvertragsklauseln nötig
warning
US-Anbieter mit EU-Hosting
- Unterliegen dem US CLOUD Act
- Standardvertragsklauseln (SCC) nötig
- Transfer Impact Assessment (TIA) verpflichtend
- Zusätzliche technische Schutzmaßnahmen empfohlen
- Komplexere Risikodokumentation für DSB
Checkliste
Was Sie beim Anbieter prüfen sollten
- Wo stehen die Server? Deutschland, EU oder USA?
- Liegt ein Standard-AVV nach Artikel 28 DSGVO vor?
- Sind die Rechenzentren des Anbieters ISO-27001-zertifiziert?
- Wer sind die Subdienstleister und wo sitzen sie?
- Welche TOM-Liste steht im AVV-Anhang?
- Gibt es eine Vorlage zur Betriebsvereinbarung?
- Wie werden Lesebestätigungen und Auswertungen technisch verhindert (Stichwort: keine Leistungs- und Verhaltenskontrolle)?
- Wie funktioniert die Löschung von Daten nach Vertragsende?
- Welche Verschlüsselung wird bei Speicherung und Übertragung eingesetzt?
- Gibt es einen benannten Datenschutzbeauftragten und einen Ansprechpartner für Datenpannen?
Löschkonzept
Wann Mitarbeiterdaten wieder gelöscht werden
Ein Löschkonzept legt für jede Datenkategorie fest, wie lange sie aufbewahrt und wann sie gelöscht wird. Ohne dieses Konzept werden Daten meist unbegrenzt vorgehalten, was gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1e DSGVO) verstößt.
| Datenkategorie | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Laufendes Beschäftigungsverhältnis | Solange erforderlich | § 26 BDSG |
| Lohn- und Gehaltsunterlagen | 6 bis 10 Jahre nach Beendigung | § 257 HGB, § 147 AO |
| Bewerberdaten (nicht eingestellt) | i. d. R. 6 Monate | § 15 AGG (Beweislast) |
| Nachrichten- und Nutzungsdaten der App | Kurze, definierte Fristen | Löschkonzept teamly |
| Zeiterfassungsdaten | 2 Jahre | § 16 Abs. 2 ArbZG |
teamly setzt diese Fristen über automatisierte Löschroutinen technisch durch, statt sich auf manuelles Aussortieren zu verlassen. Jede automatisierte Löschung wird in einem Löschprotokoll mit Zeitstempel festgehalten, sodass der Nachweis gegenüber Ihrem Datenschutzbeauftragten jederzeit vorliegt.
Löschkonzept
Termin für ein ErstgesprächJede Löschung wird protokolliert, jede Frist ist hinterlegt.
teamly setzt Aufbewahrungsfristen technisch durch und dokumentiert jede automatisierte Löschung im Löschprotokoll. So bleibt der Nachweis gegenüber Ihrem Datenschutzbeauftragten immer aktuell.
Art. 15 bis 22 DSGVO
Die Rechte Ihrer Mitarbeitenden
Jede Person, deren Daten verarbeitet werden, hat gegenüber dem Arbeitgeber sechs zentrale Rechte. teamly unterstützt die Erfüllung dieser Rechte mit strukturierten, dokumentierten Prozessen.
fact_check
Auskunftsrecht
Art. 15 DSGVOMitarbeitende können jederzeit erfragen, welche Daten zu ihrer Person verarbeitet werden. teamly unterstützt mit einem strukturierten Datenexport statt manueller Recherche.
edit_note
Recht auf Berichtigung
Art. 16 DSGVOFehlerhafte oder veraltete Daten müssen korrigiert werden. Mitarbeitende pflegen ihre Stammdaten teilweise selbst im Profil.
delete_forever
Recht auf Löschung
Art. 17 DSGVODas „Recht auf Vergessenwerden": Nach Fristablauf oder auf Antrag werden Daten gelöscht, dokumentiert über das Löschprotokoll.
block
Recht auf Einschränkung
Art. 18 DSGVOStatt Löschung kann in Streitfällen ein Sperrvermerk gesetzt werden. Die Daten bleiben erhalten, aber gesperrt für weitere Verarbeitung.
download
Recht auf Datenübertragbarkeit
Art. 20 DSGVOMitarbeitende können ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern, etwa bei einem Arbeitgeberwechsel.
front_hand
Widerspruchsrecht
Art. 21 DSGVOGegen bestimmte Verarbeitungen kann widersprochen werden. teamly dokumentiert den Bearbeitungsprozess jedes Widerspruchs nachvollziehbar.
Art. 32 DSGVO
Technisch-organisatorische Maßnahmen im Detail
Acht klassische TOM-Kategorien, jeweils mit einer Beispielmaßnahme bei teamly. Die ISO-27001-Zertifizierung unserer Rechenzentren dient dabei als externer Nachweis gegenüber Ihrem Datenschutzbeauftragten.
Zutrittskontrolle
Physischer Zugang zu den Rechenzentren wird durch biometrische Kontrollen und Videoüberwachung beschränkt.
Zugangskontrolle
Mehr-Faktor-Authentifizierung und strenge Passwortrichtlinien verhindern unbefugte Systemnutzung.
Zugriffskontrolle
Ein Rollen-Rechte-Modell stellt sicher, dass jede Person nur die Daten sieht, die sie für ihre Aufgabe benötigt.
Weitergabekontrolle
Alle Daten werden während der Übertragung durchgängig TLS-verschlüsselt, auch zwischen App und Server.
Eingabekontrolle
Audit-Logs mit Zeitstempel dokumentieren, wer wann welche Daten eingegeben oder geändert hat.
Auftragskontrolle
Die Weisungsgebundenheit von Sub-Auftragsverarbeitern ist vertraglich im AVV geregelt und in der Subdienstleister-Tabelle transparent.
Verfügbarkeitskontrolle
Redundante Backups und ein Notfallwiederherstellungsplan schützen vor Datenverlust durch Ausfälle.
Trennungskontrolle
Daten verschiedener Kundenunternehmen werden logisch getrennt verarbeitet und gespeichert.
Persönliche Beratung
Termin für ein ErstgesprächLassen Sie Ihren AVV-Entwurf von unserem Team prüfen
30 Minuten, konkret für Ihr Unternehmen: Wir zeigen Ihnen AVV, TOM-Anhang und Betriebsvereinbarungs-Vorlage live in der Demo, ohne Vertriebsdruck.
Das Risiko
Was eine nicht DSGVO-konforme Mitarbeiter-App kostet
Diese vier Risiken unterschätzen Unternehmen regelmäßig, bis es zu spät ist.
gavel
Bußgelder bis 20 Millionen Euro
Bei DSGVO-Verstößen drohen Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Ein unsauberer App-Anbieter wird schnell teuer.
report_problem
Abmahnungen durch Mitarbeitende
Mitarbeitende können bei Datenschutzverstößen Schadenersatz nach Artikel 82 DSGVO geltend machen. Jeder Verstoß wird zum Präzedenzfall im eigenen Betrieb.
trending_down
Reputationsschaden
Ein bekanntgewordener Datenschutzvorfall bei Mitarbeiterdaten beschädigt das Vertrauen der Belegschaft und wirkt sich direkt auf Recruiting und Employer Branding aus.
balance
Betriebsratsklage bei fehlender Mitbestimmung
Ohne Betriebsvereinbarung nach § 87 Absatz 1 Nummer 6 BetrVG kann der Betriebsrat die Nutzung der App per einstweiliger Verfügung stoppen lassen.
Was teamly liefert
Vier Bausteine, die diese Risiken auflösen
Konkret, unterschriftsreif und ohne Extra-Aufwand für Ihre IT.
description
Unterschriftsreifer Standard-AVV
teamly liefert im Onboarding einen vollständigen AVV nach Artikel 28 DSGVO inklusive TOM-Anhang und Subdienstleister-Tabelle.
shield_lock
ISO-27001-zertifizierte Rechenzentren
Alle Daten liegen ausschließlich in deutschen Rechenzentren, ohne Subdienstleister außerhalb der EU.
auto_delete
Automatisierte Löschroutinen
Definierte Aufbewahrungsfristen werden technisch durchgesetzt, jede Löschung wird im Löschprotokoll dokumentiert.
groups
Betriebsvereinbarungs-Vorlage inklusive
Fertige Vorlage für die Mitbestimmung nach § 87 BetrVG, abgestimmt mit dem Betriebsrat vor dem Rollout.
Vertiefen Sie das Thema
DSGVODie EU-Datenschutz-Grundverordnung im Überblick.AVV nach Art. 28 DSGVOAuftragsverarbeitungsvertrag verstehen und prüfen.ISO 27001Internationale Norm für Informationssicherheit.BSI C5Deutscher Prüfstandard für Cloud-Dienste.BetriebsratMitbestimmung bei der Einführung einer Mitarbeiter-App.BetriebsvereinbarungInhalte und Vorlage für die Einführung.
FAQ
Häufige Fragen zu DSGVO und Mitarbeiter-App
Was Geschäftsführung, IT-Leitung und Datenschutzbeauftragte am häufigsten fragen.
Was macht eine Mitarbeiter-App DSGVO-konform?
Drei Bausteine müssen stimmen: eine zulässige Rechtsgrundlage (meist § 26 BDSG oder eine Betriebsvereinbarung), ein vollständiger Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO mit dem Anbieter und technisch-organisatorische Maßnahmen wie Verschlüsselung, Zugangskontrolle und Backup. teamly liefert alle drei Bausteine standardmäßig mit.
Reicht ein Hosting in der EU oder muss es Deutschland sein?
Rechtlich reicht EU-Hosting für die meisten Fälle. Hosting in Deutschland ist die sicherste Variante, weil deutsche Rechenzentren ausschließlich deutschem Recht und deutscher Gerichtsbarkeit unterliegen. teamly hostet ausschließlich in deutschen Rechenzentren, ohne Subdienstleister außerhalb der EU.
Was ist mit US-Anbietern, die EU-Hosting anbieten?
US-Anbieter unterliegen auch bei EU-Hosting dem US CLOUD Act. US-Behörden können theoretisch auch auf Daten in EU-Rechenzentren zugreifen. Praktisch wird das mit Standardvertragsklauseln (SCC) und Transfer Impact Assessment (TIA) abgefedert, ist aber strukturell nicht so sauber wie ein deutscher Anbieter. Für sensible Mitarbeiterdaten ist teamly die strukturell sicherere Wahl.
Muss der Betriebsrat einer DSGVO-konformen Mitarbeiter-App zustimmen?
In Betrieben mit Betriebsrat ja. Nach § 87 Absatz 1 Nummer 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. teamly stellt für diesen Prozess eine Vorlage zur Betriebsvereinbarung bereit.
Welche Strafen drohen bei DSGVO-Verstößen?
Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. In Deutschland wurden bereits sechsstellige Bußgelder gegen Arbeitgeber verhängt, die Mitarbeiterdaten unsauber verarbeitet haben. Ein sauberer Vertragsrahmen mit teamly ist günstiger als jedes Bußgeldverfahren.
Wie verträgt sich BYOD mit der DSGVO?
Bring-Your-Own-Device ist DSGVO-rechtlich heikel, weil dienstliche und private Daten gemischt werden. teamly trennt das technisch durch eine separate App mit eigenem Datencontainer und eigenem Login. Mitarbeiterdaten bleiben strikt vom restlichen Smartphone getrennt.
Was steht in einem typischen AVV mit teamly?
Gegenstand und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten, technisch-organisatorische Maßnahmen (TOM) als Anhang, Subdienstleister-Liste, Löschpflichten nach Vertragsende, Pflichten zur Mitteilung bei Datenpannen. teamly stellt einen unterschriftsreifen Standard-AVV im Onboarding bereit.
Wie lange dürfen Mitarbeiterdaten gespeichert werden?
Das hängt von der Datenkategorie ab. Lohn- und Gehaltsunterlagen müssen nach § 257 HGB und § 147 AO 6 bis 10 Jahre aufbewahrt werden, auch nach Vertragsende. Bewerberdaten abgelehnter Kandidaten werden in der Regel nach 6 Monaten gelöscht. Nachrichten- und Nutzungsdaten der App haben deutlich kürzere Fristen. teamly setzt alle Fristen über automatisierte Löschroutinen technisch durch.
Wie läuft ein Auskunftsersuchen eines Mitarbeitenden praktisch ab?
Mitarbeitende haben nach Artikel 15 DSGVO das Recht, Auskunft über alle zu ihrer Person gespeicherten Daten zu erhalten. Die Antwort muss innerhalb eines Monats erfolgen. teamly unterstützt mit einem strukturierten Datenexport, sodass die HR-Abteilung das Ersuchen ohne manuellen Rechercheaufwand beantworten kann.
Ist für die Einführung einer Mitarbeiter-App eine Datenschutz-Folgenabschätzung (DSFA) nötig?
Eine DSFA nach Artikel 35 DSGVO ist Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Mitarbeitenden mit sich bringt, etwa bei umfangreicher Leistungs- oder Verhaltenskontrolle. Eine Kommunikations- und Organisations-App wie teamly ohne Leistungs- und Verhaltenskontrolle erreicht dieses Risikoniveau in der Regel nicht. Im Zweifel empfiehlt sich die Abstimmung mit dem Datenschutzbeauftragten.
Was ist der Unterschied zwischen Auftragsverarbeiter und gemeinsam Verantwortlichen?
Ein Auftragsverarbeiter verarbeitet Daten ausschließlich nach Weisung des Verantwortlichen und trifft keine eigenen Entscheidungen über Zweck und Mittel der Verarbeitung. teamly ist in dieser Konstellation Auftragsverarbeiter, das Unternehmen bleibt datenschutzrechtlich Verantwortlicher. Gemeinsam Verantwortliche legen Zwecke und Mittel dagegen gemeinsam fest, das kommt bei einer Mitarbeiter-App normalerweise nicht vor.
Was ist bei einer Datenpanne zu tun?
Meldepflichtige Datenpannen müssen der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden, sofern ein Risiko für die Rechte der Betroffenen besteht. Der AVV mit teamly regelt eine unverzügliche Meldepflicht des Anbieters an das Unternehmen, damit die 72-Stunden-Frist eingehalten werden kann.
Welche Rolle spielt der Datenschutzbeauftragte bei der Einführung?
Der Datenschutzbeauftragte sollte bereits vor der Einführung eingebunden werden, um Rechtsgrundlage, AVV und TOM zu prüfen. teamly stellt AVV, TOM-Liste und den ISO-27001-Nachweis der Rechenzentren so bereit, dass der Datenschutzbeauftragte den Prozess ohne zusätzliche Rückfragen freigeben kann.
Persönlich. Direkt. Ohne Skript.
Passt teamly zu Ihrem Betrieb?
30 Minuten, Ihre Branche, Ihre echten Fragen. Alexander, Maximilian oder Michael hören erst zu. Passt es, folgt die Demo mit allen Entscheidern.
schedule30-Minuten-TerminblockKein VertriebsdruckverifiedMade in Germany