PulseDesk
Rechtliches & Richtlinien

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 24. Oktober 2026

Diese Übersetzung dient Ihrer Orientierung. Bei Abweichungen gilt die englische Fassung. English

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden, der PulseDesk nutzt („Kunde“, der Verantwortliche), und der Londonist Yazılım ve Teknolojileri A.Ş. („PulseDesk“, der Auftragsverarbeiter). Er gilt immer dann, wenn PulseDesk über den PulseDesk-Dienst personenbezogene Daten im Auftrag des Kunden verarbeitet. Er wird wirksam, wenn der Kunde die Nutzungsbedingungen akzeptiert, und bedarf keiner gesonderten Unterschrift; ein gegengezeichnetes Exemplar ist auf Anfrage erhältlich.

1. Begriffsbestimmungen

  • Datenschutzgesetze bezeichnet alle für die Verarbeitung geltenden Gesetze über personenbezogene Daten, einschließlich der EU-Datenschutz-Grundverordnung 2016/679 („DSGVO“), der UK GDPR und des Data Protection Act 2018, des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten („KVKK“), des indischen Digital Personal Data Protection Act 2023 sowie sonstiger nationaler Gesetze.
  • Personenbezogene Kundendaten bezeichnet personenbezogene Daten, die PulseDesk bei der Erbringung des Dienstes im Auftrag des Kunden verarbeitet.
  • Unterauftragsverarbeiter bezeichnet einen Dritten, den PulseDesk mit der Verarbeitung personenbezogener Kundendaten beauftragt.
  • Verletzung des Schutzes personenbezogener Daten bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Kundendaten führt.
  • Begriffe wie „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verarbeitung“ haben die Bedeutung, die ihnen in der DSGVO zukommt (bzw. die entsprechenden Begriffe in anderen Datenschutzgesetzen, etwa „für die Datenverarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ im KVKK).

2. Rollen und Anwendungsbereich

  • Der Kunde ist Verantwortlicher und PulseDesk ist Auftragsverarbeiter der personenbezogenen Kundendaten. Ist der Kunde selbst Auftragsverarbeiter für einen anderen Verantwortlichen, ist PulseDesk sein Unterauftragsverarbeiter, und der Kunde bleibt gegenüber diesem Verantwortlichen verantwortlich.
  • Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt.

3. Weisungen des Kunden

  • PulseDesk verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzungsbedingungen, dieser AVV sowie die Konfiguration und Nutzung des Dienstes durch den Kunden (zum Beispiel die von ihm aktivierten Funktionen, seine Aufbewahrungseinstellungen und die von ihm erteilten Berechtigungen) stellen die vollständigen Weisungen des Kunden dar.
  • PulseDesk informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen Datenschutzgesetze verstößt, und kann die Ausführung der Weisung aussetzen, bis sie bestätigt oder geändert wird.
  • Ist PulseDesk gesetzlich verpflichtet, personenbezogene Kundendaten anderweitig zu verarbeiten, informiert PulseDesk den Kunden vorab, sofern das Gesetz dies nicht verbietet.

4. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung verantwortlich. Insbesondere sichert der Kunde zu, dass er

  • über eine gültige Rechtsgrundlage für die Überwachung und die Verarbeitung der Daten seiner Beschäftigten und anderer Nutzer verfügt und jede erforderliche Datenschutz-Folgenabschätzung durchgeführt hat;
  • die betroffenen Personen klar und im Voraus - in seinen eigenen Datenschutzhinweisen - über die mit PulseDesk erhobenen Daten, die Zwecke, die Aufbewahrungsfristen und die Zugriffsberechtigten informiert und alle erforderlichen Einwilligungen bzw. Zustimmungen der Arbeitnehmervertretung eingeholt hat;
  • den Dienst nur auf Geräten nutzt, die ihm gehören oder die er verwalten darf, und ihn im Einklang mit der Richtlinie zur zulässigen Nutzung nicht zur verdeckten Überwachung nutzt;
  • den Dienst verhältnismäßig konfiguriert (zum Beispiel Screenshots, Standort und Meeting-Aufzeichnungen) und seine Berechtigungseinstellungen angemessen hält;
  • sich bei Aufsichtsbehörden registriert oder diese benachrichtigt, wo sein lokales Recht dies verlangt (zum Beispiel die VERBİS-Registrierung nach KVKK).

5. Pflichten von PulseDesk

PulseDesk wird

  • personenbezogene Kundendaten nur für die in Anlage 1 festgelegten Zwecke und niemals für eigenes Marketing, eigene Werbung oder eigenes Profiling verarbeiten und sie nicht verkaufen;
  • sicherstellen, dass seine Mitarbeitenden mit Zugriff auf personenbezogene Kundendaten zur Vertraulichkeit verpflichtet sind und nur darauf zugreifen, soweit dies zur Erbringung oder Unterstützung des Dienstes erforderlich ist;
  • die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen umsetzen und aufrechterhalten, die aktualisiert werden dürfen, solange das Gesamtschutzniveau nicht gesenkt wird;
  • den Kunden unter Berücksichtigung der Art der Verarbeitung bei Anfragen betroffener Personen, bei der Sicherheit, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörden unterstützen.

6. Anfragen betroffener Personen

Der Dienst ermöglicht es dem Kunden, die Daten seiner Nutzer einzusehen, zu exportieren und zu löschen. Erhält PulseDesk direkt von einer betroffenen Person eine Anfrage zu personenbezogenen Kundendaten, leitet PulseDesk diese unverzüglich an den Kunden weiter und antwortet nicht selbst, außer um zu bestätigen, dass die Anfrage weitergeleitet wurde, es sei denn, der Kunde gestattet etwas anderes.

7. Unterauftragsverarbeiter

  • Der Kunde erteilt PulseDesk eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste ist auf unserer Seite Unterauftragsverarbeiter veröffentlicht.
  • PulseDesk erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die kein geringeres Schutzniveau bieten als dieser AVV, und bleibt für deren Erfüllung verantwortlich.
  • PulseDesk kündigt einen neuen Unterauftragsverarbeiter mindestens 30 Tage im Voraus an, indem PulseDesk die Liste aktualisiert und die Inhaber der Organisationen benachrichtigt. Der Kunde kann innerhalb von 15 Tagen nach der Mitteilung aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Die Parteien erörtern den Einspruch nach Treu und Glauben; kann er nicht ausgeräumt werden, kann der Kunde den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen und erhält eine Erstattung der vorausbezahlten Gebühren für den verbleibenden Zeitraum.

8. Internationale Datenübermittlungen

Personenbezogene Kundendaten werden im Vereinigten Königreich gehostet. PulseDesk und seine Unterauftragsverarbeiter dürfen sie in anderen Ländern verarbeiten, die auf der Seite Unterauftragsverarbeiter aufgeführt sind. Für jede Übermittlung, die nach den Datenschutzgesetzen Garantien erfordert, setzt PulseDesk einen geeigneten Übermittlungsmechanismus ein, etwa die EU-Standardvertragsklauseln (Modul zwei oder drei, je nach Anwendbarkeit), das UK International Data Transfer Addendum und, für Übermittlungen, die dem KVKK unterliegen, die nach Art. 9 KVKK vorgeschriebenen Standardverträge und Meldungen, erforderlichenfalls zusammen mit ergänzenden Maßnahmen.

9. Verletzungen des Schutzes personenbezogener Daten

PulseDesk benachrichtigt den Kunden unverzüglich, in jedem Fall aber innerhalb von 48 Stunden, nachdem PulseDesk eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Die Benachrichtigung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen können schrittweise bereitgestellt werden. PulseDesk ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und zu beheben. Der Kunde ist dafür verantwortlich, Aufsichtsbehörden und betroffene Personen zu benachrichtigen, soweit dies erforderlich ist (zum Beispiel innerhalb von 72 Stunden nach DSGVO und KVKK). Eine Benachrichtigung stellt kein Schuldeingeständnis dar.

10. Audits

PulseDesk stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, einschließlich der Beantwortung von Sicherheitsfragebögen. Reicht dies nicht aus oder verlangt eine Aufsichtsbehörde dies, kann der Kunde die Einhaltung durch PulseDesk einmal in jedem Zeitraum von 12 Monaten mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen während der üblichen Geschäftszeiten, auf Kosten des Kunden und unter angemessener Vertraulichkeit prüfen, entweder selbst oder durch einen unabhängigen Prüfer, der kein Wettbewerber von PulseDesk ist. Audits dürfen die Sicherheit der Daten anderer Kunden nicht beeinträchtigen.

11. Rückgabe und Löschung

Während des Abonnements kann der Kunde personenbezogene Kundendaten über den Dienst exportieren und löschen. Nach der Beendigung hat der Kunde 30 Tage Zeit, seine Daten zu exportieren. Danach löscht PulseDesk die personenbezogenen Kundendaten innerhalb weiterer 30 Tage aus den Live-Systemen und innerhalb von 90 Tagen aus den Backups, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht; in diesem Fall behandelt PulseDesk die Daten vertraulich und verarbeitet sie nur für diesen Zweck.

12. Haftung und Laufzeit

Die Haftungsbeschränkungen der Nutzungsbedingungen gelten auch für diesen AVV, soweit die Datenschutzgesetze dies zulassen. Dieser AVV gilt, solange PulseDesk personenbezogene Kundendaten verarbeitet. Steht dieser AVV im Widerspruch zu den Nutzungsbedingungen, hat dieser AVV in Datenschutzfragen Vorrang. Er unterliegt demselben Recht und demselben Gerichtsstand wie die Nutzungsbedingungen, sofern die Datenschutzgesetze oder die Übermittlungsklauseln nichts anderes verlangen.

Anlage 1 - Einzelheiten der Verarbeitung

Zweck: Bereitstellung des PulseDesk-Dienstes für den Kunden: automatische Zeit- und Aktivitätserfassung, Produktivitäts- und Anwesenheitsanalysen, Screenshots (sofern aktiviert), Offline-Zeit, Projekte, Arbeitszeitmodelle und Dienstplan, Urlaubs- und Abwesenheitsverwaltung, gesetzliche Feiertage, Chat, Anrufe und Meetings (einschließlich Aufzeichnungen, Transkripten und KI-Zusammenfassungen, sofern genutzt), Dokumente und Drive, Ankündigungen, Berichte, Benachrichtigungen, die KI-Assistentin Lucy, Support und Sicherheit.

Art der Verarbeitung: Erhebung über die Desktop-Anwendung und das Dashboard, Speicherung, Organisation, Analyse, Anzeige für berechtigte Nutzer, Übermittlung, Export und Löschung.

Dauer: für die Laufzeit des Abonnements und bis zur Löschung gemäß Abschnitt 11.

Betroffene Personen: Beschäftigte, Auftragnehmer, Führungskräfte und Administratoren des Kunden, die PulseDesk nutzen; von Nutzern eingeladene Meeting-Gäste; Personen, die in vom Kunden hochgeladenen Inhalten erwähnt werden.

Kategorien personenbezogener Daten:

  • Identitäts- und Kontaktdaten: Name, geschäftliche E-Mail-Adresse, Telefon, Stellenbezeichnung, Abteilung, Führungskraft, Profilfoto, Sprache und Zeitzone;
  • Kontodaten: Passwort-Hash, Rollen und Berechtigungen, Anmelde- und Geräteinformationen, Version der Desktop-Anwendung;
  • Arbeitsaktivitätsdaten: Arbeitszeiten, Arbeitsbeginn und -ende, aktive Anwendungen und Fenstertitel, Website-Adressen, Leerlauf-, Abwesenheits- und private Zeit, Einträge zu Offline-Zeit, Produktivitätseinstufungen;
  • Screenshots des Bildschirms, sofern der Kunde sie aktiviert;
  • Ungefährer Standort (IP-basiert oder Gerätestandort), sofern der Kunde ihn aktiviert;
  • Planungsdaten: Arbeitszeitmodelle, Dienstplan, Urlaubsanträge und Urlaubskonten, gesetzliche Feiertage und Abwesenheitsgründe;
  • Personaldaten, die der Kunde zu erfassen beschließt, etwa Eintrittsdatum, Geburtsdatum, Arbeitsland, Stundensatz und Dokumente;
  • Kommunikationsdaten: Chatnachrichten und Dateien, Anruf- und Meetingverlauf, Aufzeichnungen, Transkripte und Zusammenfassungen, Ankündigungen;
  • Assistentendaten: an Lucy gestellte Fragen und die erzeugten Antworten;
  • Technische Daten: IP-Adressen, Protokolle und Manipulationsereignisse der Desktop-Anwendung.

Besondere Kategorien: PulseDesk ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt. Abwesenheitsgründe, Personaldokumente oder vom Kunden eingegebene Nachrichten können jedoch solche Daten enthalten (zum Beispiel Gesundheitsinformationen im Zusammenhang mit Krankheitsabwesenheiten). Der Kunde entscheidet, ob er solche Daten erfasst, und ist für das Vorliegen einer Rechtsgrundlage verantwortlich.

Anlage 2 - Technische und organisatorische Maßnahmen

  • Verschlüsselung bei der Übertragung: Alle Verbindungen zum Dashboard, zur API und zur Desktop-Anwendung nutzen HTTPS/TLS.
  • Zugriffskontrolle: rollenbasierte Berechtigungen, die bei jeder Anfrage serverseitig durchgesetzt werden; strikte Trennung der Daten jedes Kunden; sensible Ansichten (Screenshots, Personalakten, Standort) sind auf berechtigte Rollen beschränkt.
  • Authentifizierung: Passwörter werden mit einem starken Einweg-Hash-Algorithmus gespeichert; signierte, ablaufende Sitzungstoken; Einmal-Übergabecodes für die Desktop-Anwendung.
  • Geschützte Dateien: Screenshots und andere sensible Dateien sind nicht öffentlich zugänglich und werden über kurzlebige signierte Links bereitgestellt; Screenshots werden entsprechend der Aufbewahrungseinstellung des Kunden gelöscht.
  • Infrastruktur: Hosting in einem professionellen Rechenzentrum in London, Vereinigtes Königreich; Datenbankzugriff auf authentifizierte Dienstkonten beschränkt; administrativer Zugriff auf berechtigtes Personal beschränkt.
  • Backups: regelmäßige Datenbank-Backups, getrennt gespeichert, um eine Wiederherstellung zu ermöglichen.
  • Personal: Vertraulichkeitsverpflichtungen; Zugriff nach dem Need-to-know-Prinzip; minimale Rechte (Least Privilege) für administrativen Zugriff.
  • Integrität der Desktop-Anwendung: automatische Updates; Erkennung und Protokollierung von Versuchen, die Anwendung zu schließen oder zu deinstallieren, mit Meldung an die Administratoren des Kunden.
  • KI-Funktionen: An den KI-Anbieter werden nur Daten gesendet, auf die der anfragende Nutzer zugreifen darf; der Anbieter verwendet sie nicht zum Training; die Nutzung wird protokolliert, ohne Gesprächsinhalte auf unseren Servern zu speichern.
  • Vorfallmanagement: Verfahren zur Erkennung, Untersuchung, Eindämmung und Meldung von Verletzungen des Schutzes personenbezogener Daten.

Anlage 3 - Unterauftragsverarbeiter

Die genehmigten Unterauftragsverarbeiter sind auf unserer Seite Unterauftragsverarbeiter aufgeführt.