Balerion LogoBalerion
Jetzt starten
← Blog

AV-Vertrag für Dienstplan-Software: Leitfaden für Sicherheitsdienste

AV-Vertrag für Dienstplan-Software: Leitfaden für Sicherheitsdienste

Entwurf einer Titelkarte zu Datenschutz und Dienstplanung

Wenn Ihr Sicherheitsdienst Schichten, Arbeitszeiten, Qualifikationen oder GPS-Check-ins in einer Cloud-Software verwaltet, verarbeitet der Anbieter personenbezogene Daten Ihrer Belegschaft in Ihrem Auftrag. Dafür brauchen Sie einen Auftragsverarbeitungsvertrag (AV-Vertrag oder AVV) nach Art. 28 DSGVO, und zwar bevor die ersten echten Mitarbeiterdaten im System landen. Dieser Leitfaden zeigt, was im Vertrag stehen muss, welche Punkte bei Wachdiensten typischerweise fehlen, wann eine Datenschutz-Folgenabschätzung für Zeiterfassung und Ortung fällig wird und wie Sie einen Anbietervertrag in einer Stunde sauber prüfen.

Balerion
Datenschutz in der Einsatzplanung mitdenken
Balerion unterstützt Sicherheitsdienste mit DSGVO-konformer Dispositionssoftware und Multi-Mandanten-Isolation für die digitale Einsatzplanung sowie GPS-gestützten Check-ins.

TL;DR

  • Ihr Sicherheitsunternehmen ist Verantwortlicher, der Softwareanbieter ist Auftragsverarbeiter. Ohne AV-Vertrag ist der Einsatz einer Cloud-Dienstplanung datenschutzrechtlich nicht zulässig.
  • Der Vertrag darf elektronisch geschlossen werden, muss aber vor Beginn der Verarbeitung wirksam und nachweisbar sein.
  • Für Wachdienste reicht ein allgemeiner Standard-AVV oft nicht: GPS-Check-in, Live-Karte, Wachbuch, §34a-Nachweise und Auftraggeberzugriffe gehören ausdrücklich in die Leistungsbeschreibung.
  • EU-Hosting allein ist kein Nachweis. Entscheidend sind Unterauftragsverarbeiter, Supportzugriffe, Backups und die TOM-Anlage.
  • Bei systematischer Standortverarbeitung von Beschäftigten sollten Sie die Pflicht zur Datenschutz-Folgenabschätzung prüfen und das Ergebnis dokumentieren.

Inhaltsverzeichnis

Warum Ihre Dienstplanung einen AV-Vertrag braucht

Die DSGVO gilt in Deutschland seit dem 25. Mai 2018 unmittelbar, das BDSG ergänzt sie. Art. 28 regelt den Fall, dass ein Dienstleister Daten nicht für eigene Zwecke, sondern nach Ihren Weisungen verarbeitet. Genau das passiert bei Dienstplan-Software: Sie entscheiden, wer wann welches Objekt bewacht, der Anbieter stellt Server, Datenbank und App bereit.

Die Rollen sind damit klar verteilt:

  • Verantwortlicher: Ihr Sicherheitsunternehmen als Arbeitgeber. Sie tragen die Rechenschaftspflicht gegenüber Mitarbeitern und Aufsichtsbehörde.
  • Auftragsverarbeiter: der Softwareanbieter, der Dienstpläne, Zeitbuchungen und Standortdaten hostet und technisch verarbeitet.
  • Unterauftragsverarbeiter: Rechenzentren, E-Mail- oder SMS-Dienste, Kartendienste und Supporttools, die der Anbieter selbst einsetzt.

Dass ein fehlender Vertrag kein Formfehler ohne Folgen ist, zeigt ein frühes Verfahren in Hamburg: Die dortige Aufsicht verhängte gegen ein kleines Unternehmen ein Bußgeld von 5.000 Euro wegen eines fehlenden Auftragsverarbeitungsvertrags. Für einen Wachdienst mit Dutzenden oder Hunderten Beschäftigten ist das Risiko eher größer, weil Arbeitszeit- und Standortdaten besonders nah an der Leistungs- und Verhaltenskontrolle liegen.

Eine kompakte Begriffserklärung finden Sie in unserem Lexikon unter Auftragsverarbeitung (AVV).

Die Pflichtinhalte nach Art. 28 DSGVO

Art. 28 Abs. 3 DSGVO legt fest, was ein AV-Vertrag mindestens regeln muss. Die EU-Kommission hat dazu mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln veröffentlicht, die Sie als Maßstab nutzen können. Für öffentliche Stellen hat der BfDI zudem eine Mustervereinbarung zur Auftragsverarbeitung bereitgestellt, deren Gliederung sich gut als Vergleichsvorlage eignet.

Pflichtinhalt Worauf Sie als Sicherheitsdienst achten
Gegenstand und Dauer Gilt der AVV für die gesamte Vertragslaufzeit inklusive Testphase und Auslaufphase?
Art und Zweck der Verarbeitung Sind Dienstplanung, Zeiterfassung, GPS-Check-in, Wachbuch und Ersatzsuche einzeln genannt?
Art der Daten Stammdaten, Kontaktdaten, Arbeitszeiten, Abwesenheiten, Qualifikationen, Standortdaten, Fotos aus Wachbuch-Einträgen
Kategorien Betroffener Eigene Mitarbeiter, Subunternehmer-Personal, Ansprechpartner beim Auftraggeber, ggf. Besucher im Wachbuch
Weisungsgebundenheit Verarbeitung nur nach dokumentierter Weisung, keine eigene Auswertung durch den Anbieter
Vertraulichkeit Verpflichtung aller Personen beim Anbieter, die Zugriff haben
Technische und organisatorische Maßnahmen Konkrete TOM-Anlage statt Allgemeinplätzen: Verschlüsselung, Rollen, Mandantentrennung, Backups
Unterauftragsverarbeiter Vollständige Liste mit Sitz und Zweck, Informations- und Widerspruchsrecht bei Änderungen
Unterstützung bei Betroffenenrechten Export für Auskunftsersuchen, Berichtigung und Löschung einzelner Mitarbeiter
Meldung von Datenpannen Unverzügliche Information, damit Sie die 72-Stunden-Frist gegenüber der Aufsicht halten können
Kontrollrechte Nachweise, Zertifikate oder Audits, die Sie tatsächlich einsehen dürfen
Rückgabe und Löschung Export in nutzbarem Format und belegte Löschung nach Vertragsende

Welche Daten ein Wachdienst-Dienstplan wirklich verarbeitet

Viele AV-Verträge von Planungstools sind für Büros mit Gleitzeit geschrieben. Ein Sicherheitsdienst verarbeitet deutlich mehr, und alles, was nicht in der Leistungsbeschreibung steht, ist vertraglich nicht sauber abgedeckt. Gehen Sie Ihre Funktionen einzeln durch:

  • Dienst- und Schichtplan: Namen, Einsatzorte, Schichtzeiten, Tausch- und Ersatzanfragen. Details zum Aufbau beschreibt unser Lexikonartikel Dienstplan im Sicherheitsdienst.
  • Qualifikationen: §34a-Sachkunde oder Unterrichtung, Ersthelfer, Brandschutz, Sprachkenntnisse, Ablaufdaten von Nachweisen.
  • Zeiterfassung: Kommen, Gehen, Pausen, Überstunden. Die Datenschutzaufsicht Rheinland-Pfalz betont auf ihrer Themenseite zur Zeiterfassung die Zweckbindung dieser Daten und verweist auf den BAG-Beschluss vom 13.09.2022 zur Pflicht, ein Arbeitszeiterfassungssystem einzuführen.
  • GPS-Check-in und Live-Karte: Sobald eine Koordinate einem Diensthandy oder der App einer bestimmten Person zugeordnet ist, wird sie zum personenbezogenen Datum. Regeln Sie, ob Standorte nur beim Check-in oder laufend erfasst werden und wie lange sie gespeichert bleiben.
  • Digitales Wachbuch und Wächterkontrolle: Rundgänge, Vorkommnisse, Fotos, Namen von Besuchern oder Beteiligten.
  • Auftraggeberzugriff: Wenn Ihr Kunde Schichten in Echtzeit sieht, ist das eine Weitergabe von Beschäftigtendaten an einen Dritten. Klären Sie, welche Felder er sieht (etwa Besetzung ja, Privatnummer nein) und auf welcher Rechtsgrundlage.
  • Exporte: Lohnabrechnung, Stundennachweise für Kunden, Berichte. Jeder Export ist ein Datenfluss, der in Ihrem Verzeichnis der Verarbeitungstätigkeiten auftauchen sollte.

Arbeitszeitdaten dürfen nicht beliebig für andere Zwecke weiterverwendet werden. Wer GPS-Daten aus dem Check-in später zur Leistungsbewertung heranziehen will, braucht dafür eine eigene Grundlage, oft eine Betriebsvereinbarung.

Form, Zeitpunkt und Unterschrift

Art. 28 Abs. 9 DSGVO verlangt die Schriftform, lässt aber ausdrücklich ein elektronisches Format zu. Eine Unterschrift mit Kugelschreiber ist also nicht nötig. Üblich sind drei Wege:

  1. Online-Abschluss im Kundenkonto: Sie akzeptieren den AVV per Klick, der Anbieter protokolliert Datum, Nutzer und Version.
  2. PDF mit elektronischer Signatur: sinnvoll, wenn Sie Änderungen verhandeln.
  3. AVV als Anlage zu den Nutzungsbedingungen: zulässig, solange er klar als Vereinbarung nach Art. 28 erkennbar ist und Sie ihn speichern können.

Entscheidend ist der Zeitpunkt. Der Vertrag muss wirksam sein, bevor echte Mitarbeiterdaten verarbeitet werden. Das betrifft auch die kostenlose Testphase: Wer zum Testen den kompletten Personalstamm importiert, verarbeitet bereits im Auftrag. Testen Sie entweder mit Dummy-Daten oder schließen Sie den AVV vor dem Import ab. Legen Sie die akzeptierte Fassung samt Anlagen in Ihrer Datenschutzdokumentation ab, damit Sie sie bei einer Anfrage der Aufsicht vorlegen können.

EU-Hosting, Unterauftragnehmer und Supportzugriffe

„Server in Deutschland“ steht auf fast jeder Produktseite. Für die Rechenschaftspflicht reicht das nicht. Der BfDI hebt in seinem 30. Tätigkeitsbericht hervor, dass Verantwortliche nachvollziehen können müssen, zu welchen Zwecken welche Daten verarbeitet werden und welche Unterauftragnehmer beteiligt sind. Prüfen Sie deshalb:

  • Unterauftragsverarbeiter: Wer hostet, wer verschickt Push-Nachrichten und SMS, wer liefert Kartenmaterial für die Live-Ansicht, welches Ticketsystem nutzt der Support?
  • Drittlandbezug: Hat einer dieser Dienste eine Muttergesellschaft außerhalb der EU oder Zugriff aus einem Drittland? Dann muss der AVV die Garantien nach Kapitel V DSGVO benennen.
  • Supportzugriff: Darf der Support in Ihren Mandanten schauen? Nur nach Freigabe, protokolliert und zeitlich begrenzt ist der Standard, den Sie verlangen sollten.
  • Backups: Wo liegen sie, wie lange, und werden sie nach Vertragsende ebenfalls gelöscht?
  • Mandantentrennung: Bei Cloud-Software teilen sich viele Sicherheitsfirmen dieselbe Infrastruktur. Die TOM-Anlage sollte erklären, wie Daten verschiedener Kunden logisch oder technisch getrennt werden.

Datenschutz-Folgenabschätzung für Zeiterfassung und GPS

Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist Ihre Aufgabe als Verantwortlicher, nicht die des Anbieters. Der Anbieter muss Sie laut AVV aber dabei unterstützen, etwa mit Informationen zu Datenflüssen und Sicherheitsmaßnahmen.

Ob eine DSFA nötig ist, hängt davon ab, wie Sie die Software einsetzen. Eine reine Kommen-Gehen-Buchung am Objekt ist anders zu bewerten als eine laufende Standortverfolgung während der gesamten Schicht. Die deutschen Aufsichtsbehörden führen eine Liste von Verarbeitungen, für die eine DSFA in der Regel verpflichtend ist; umfangreiche Überwachung und Ortung von Beschäftigten gehört nach gängiger Auslegung zu den kritischen Fällen. Eine pragmatische Einordnung für den Wachdienst:

Einsatzszenario Einschätzung
Zeitbuchung in der App ohne Standort DSFA meist nicht erforderlich, Schwellwertprüfung dokumentieren
GPS nur im Moment des Check-ins am Objekt Schwellwertprüfung mit Begründung, häufig vertretbar ohne volle DSFA
Live-Karte mit laufender Ortung während der Schicht DSFA sorgfältig prüfen, Betriebsrat einbinden
Standortdaten werden dem Auftraggeber angezeigt oder ausgewertet DSFA dringend prüfen, Zweck und Sichtbarkeit eng begrenzen

Diese Tabelle ersetzt keine Einzelfallprüfung. Bei laufender Ortung oder einer Auswertung von Bewegungsdaten sprechen Sie vor dem Rollout mit Ihrem Datenschutzbeauftragten und, falls vorhanden, mit dem Betriebsrat. Bei öffentlichen Arbeitgebern gelten eigene Regeln; der Landesbeauftragte in Niedersachsen hat dazu etwa FAQ zur Verarbeitung von Arbeitszeiterfassungsdaten durch öffentliche Stellen veröffentlicht.

Wie mobile Zeiterfassung im Objektschutz praktisch aussieht, zeigt unsere Lösungsseite zur mobilen Zeiterfassung für Sicherheitsdienste.

Was der Dienstplan rechtlich außerdem erfüllen muss

Der AV-Vertrag regelt den Datenschutz, nicht die Planung selbst. Für den Dienstplan gelten in Deutschland vor allem das Arbeitszeitgesetz, Tarifverträge, Arbeitsverträge und Betriebsvereinbarungen. Nach § 3 ArbZG darf die werktägliche Arbeitszeit acht Stunden nicht überschreiten und nur auf bis zu zehn Stunden verlängert werden, wenn innerhalb von sechs Kalendermonaten oder 24 Wochen im Durchschnitt acht Stunden werktäglich eingehalten werden. Das Arbeitszeitgesetz regelt zudem Pausen, Ruhezeiten, Nachtarbeit sowie Sonn- und Feiertagsbeschäftigung und lässt Abweichungen per Tarifvertrag zu.

Acht Stunden Regel und Zehnstunden-Ausnahme nach ArbZG

Im Wachdienst mit langen Nachtschichten ist besonders die Ruhezeit ein Dauerthema; mehr dazu in unserem Ratgeber zu 11 Stunden Ruhezeit im Wachdienst und im Lexikoneintrag zum Arbeitszeitgesetz. Eine automatische ArbZG-Prüfung in der Software hilft, ersetzt aber nicht den Blick in Ihren Tarifvertrag.

Wer darf den Dienstplan einsehen? Mitarbeiter sehen ihre eigenen Einsätze und, soweit für Tausch und Vertretung nötig, die Besetzung ihres Objekts. Disponenten und Objektleiter sehen ihren Bereich. Ein Betriebsrat hat bei Beginn und Ende der Arbeitszeit und bei technischen Einrichtungen zur Verhaltens- und Leistungskontrolle Mitbestimmungsrechte. Der BfDI versteht Beschäftigtendatenschutz als organisationsweite Aufgabe, das gilt auch für Ihr Rollenmodell. Wie sich Rollen und Rechte in Balerion abbilden lassen, beschreibt unser Handbuch zu Team und Rollen.

AV-Vertrag prüfen: acht Schritte

  1. Verarbeitungen auflisten: Schreiben Sie auf, welche Funktionen Sie nutzen werden: Dienstplan, Zeiterfassung, GPS, Wachbuch, Schichtbörse, Kundenportal, Exporte.
  2. Leistungsbeschreibung abgleichen: Jede Funktion aus Schritt 1 muss im AVV oder seiner Anlage auftauchen.
  3. Datenkategorien und Betroffene prüfen: Fehlen Subunternehmer-Personal, Auftraggeber-Ansprechpartner oder Besucher im Wachbuch?
  4. TOM-Anlage lesen: Verschlüsselung, Zugriffskonzept, Mandantentrennung, Protokollierung, Backup und Wiederherstellung konkret beschrieben?
  5. Unterauftragnehmerliste anfordern: mit Firmensitz, Verarbeitungsort und Zweck, plus Verfahren bei Änderungen.
  6. Lösch- und Exportregeln klären: Speicherfristen für Standortdaten, Löschung ausgeschiedener Mitarbeiter, Exportformat bei Kündigung.
  7. Datenpannen-Prozess festhalten: Meldefrist des Anbieters, Kontaktweg, Inhalt der Meldung.
  8. Abschluss dokumentieren: Version, Datum und Anlagen ablegen, Eintrag im Verzeichnis der Verarbeitungstätigkeiten ergänzen, DSFA-Schwellwertprüfung beifügen.

Stellen Sie diese Fragen jedem Anbieter, uns eingeschlossen. Wer Systeme für Sicherheitsdienste grundsätzlich vergleichen möchte, findet Kriterien in unserem Überblick Software für Sicherheitsdienste: Vergleich und Auswahl 2026.

Unsere Sicht: Datenschutz beginnt beim Produkt, nicht beim Vertrag

Wir sehen in Gesprächen mit Sicherheitsfirmen immer wieder dasselbe Muster: Der AV-Vertrag wird am Ende eines Auswahlprozesses angefordert, kurz überflogen und abgelegt. Dabei entscheidet sich die Datenschutzqualität viel früher, nämlich daran, wie die Software gebaut ist.

Ein AVV kann nur festschreiben, was das System technisch leistet. Wenn die Dienstplanung keine saubere Mandantentrennung hat, hilft der schönste Vertragstext wenig. Wenn Standortdaten nicht getrennt von Zeitbuchungen gesteuert werden können, bleibt nur die Wahl zwischen ganz oder gar nicht. Deshalb haben wir bei Balerion Multi-Mandanten-Isolation, Ende-zu-Ende-Verschlüsselung und EU-Hosting von Anfang an als Grundlage gesetzt und nicht als Zusatz.

Genauso wichtig ist uns, dass Datenschutz und Arbeitsrecht im Alltag zusammenpassen. Eine ArbZG-Prüfung beim Planen, ein §34a-Qualifikationsmanagement und ein digitales Wachbuch in einem System bedeuten weniger Exporte, weniger Excel-Listen auf privaten Laptops und weniger Kopien von Personaldaten. Jede Insellösung, die Sie einsparen, ist ein Unterauftragsverhältnis weniger, das Sie prüfen müssen.

Unser Rat: Prüfen Sie den AVV ernsthaft, aber prüfen Sie zuerst, ob die Software Ihre Datenschutzentscheidungen überhaupt technisch umsetzen kann.

- Sebastian

Dienstplanung, die Sie datenschutzrechtlich erklären können

Balerion ist eine cloudbasierte Dispositionssoftware speziell für Sicherheitsdienste: Drag-and-Drop-Planung mit automatischer Konflikterkennung, Schichtbörse, GPS-gestützter Check-in per Mitarbeiter-App, Live-Kartenansicht, Zeiterfassung, Qualifikationsmatrix und automatische Ersatzsuche bei Ausfällen mit John AI. Die Datenverarbeitung ist DSGVO-konform ausgelegt, mit EU-Hosting und Multi-Mandanten-Isolation. Die Einführung dauert nach unserer Erfahrung rund fünf Minuten, und Sie können Balerion zunächst kostenlos testen. Mehr zur Planung erfahren Sie unter Einsatzplanung und Disposition für Sicherheitsdienste, oder Sie starten direkt auf balerion.app mit der Dispositionssoftware für Sicherheitsdienste.

Häufige Fragen

Was beinhaltet ein AV-Vertrag für Dienstplan-Software?

Mindestens Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien Betroffener, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regeln für Unterauftragsverarbeiter, Kontrollrechte, Unterstützung bei Betroffenenrechten und Datenpannen sowie Rückgabe oder Löschung nach Vertragsende. Für Sicherheitsdienste sollten zusätzlich Zeiterfassung, GPS-Check-in, Wachbuch und Auftraggeberzugriffe ausdrücklich genannt sein.

Muss ein AV-Vertrag unterschrieben werden?

Eine handschriftliche Unterschrift ist nicht nötig, die DSGVO lässt ein elektronisches Format zu. Ein Online-Abschluss im Kundenkonto oder eine elektronische Signatur genügt, solange der Abschluss nachweisbar ist. Wichtig ist, dass der Vertrag vor der ersten Verarbeitung echter Mitarbeiterdaten gilt.

Brauche ich für die Zeiterfassung eine Datenschutz-Folgenabschätzung?

Für eine einfache Kommen-Gehen-Buchung meist nicht, eine dokumentierte Schwellwertprüfung ist trotzdem sinnvoll. Werden Standorte während der gesamten Schicht erfasst oder ausgewertet, sollten Sie die DSFA-Pflicht gemeinsam mit Ihrem Datenschutzbeauftragten genau prüfen. Die DSFA erstellen Sie als Arbeitgeber, der Anbieter liefert die nötigen Informationen zu.

Wer darf den Dienstplan einsehen?

Mitarbeiter sehen ihre eigenen Einsätze und die Informationen, die sie für Tausch und Vertretung brauchen. Disponenten und Objektleiter sehen ihren Verantwortungsbereich, Auftraggeber nur die vereinbarten Angaben zur Besetzung. Ein Rollen- und Rechtekonzept in der Software setzt diese Grenzen technisch um.

Reicht es, wenn der Anbieter in der EU hostet?

Nein. EU-Hosting ist ein guter Ausgangspunkt, aber Unterauftragsverarbeiter, Supportzugriffe, Backups und mögliche Zugriffe aus Drittländern müssen ebenfalls im AVV und seinen Anlagen geregelt sein. Erst diese Transparenz macht Ihre Rechenschaftspflicht erfüllbar.

Quellen

Empfehlungen