Auftragsbearbeitungsvertrag (AVV)

1. Parteien und Zustandekommen

Dieser Auftragsbearbeitungsvertrag («AVV») wird geschlossen zwischen dem Nutzer von HandwerkerPro (nachfolgend «Verantwortlicher») und Nico Ritsche, Haselstrasse 5, 8280 Kreuzlingen, Schweiz (nachfolgend «Auftragsbearbeiter» oder «Anbieter»).

Der AVV ist integrierender Bestandteil der AGB. Er kommt mit der Registrierung und der Annahme der AGB zustande; ein separater Vertragsschluss ist nicht erforderlich. Er gilt für die gesamte Dauer der Nutzung von HandwerkerPro.

2. Rollenverteilung

Die Rollen unterscheiden sich danach, um wessen Daten es geht:

• Daten des Nutzers selbst (Konto-, Vertrags- und Abrechnungsdaten): Hier ist der Anbieter Verantwortlicher. Massgebend ist die Datenschutzerklärung, nicht dieser AVV.
• Daten, die der Nutzer in der Anwendung erfasst — insbesondere die Daten seiner eigenen Kundschaft: Hier ist der Nutzer Verantwortlicher und der Anbieter bearbeitet diese Daten ausschliesslich in dessen Auftrag. Für diese Daten gilt der vorliegende AVV.

3. Gegenstand, Art und Zweck der Bearbeitung

Gegenstand ist die Bereitstellung und der Betrieb der Software-as-a-Service-Plattform HandwerkerPro gemäss Ziffer 2 der AGB. Die Bearbeitung umfasst das Speichern, Ordnen, Auslesen, Verändern, Übermitteln und Löschen der vom Verantwortlichen erfassten Daten, soweit dies zur Erbringung der vereinbarten Leistungen erforderlich ist — namentlich Terminbuchung, Kundenverwaltung, Offerten- und Rechnungsstellung sowie der Versand von Benachrichtigungen an die vom Verantwortlichen bezeichneten Empfänger.

Eine Bearbeitung zu eigenen Zwecken des Anbieters — insbesondere zu Werbe-, Analyse- oder Trainingszwecken oder zur Erstellung von Auswertungen über einzelne Betriebe — findet nicht statt.

4. Kategorien von Daten und betroffenen Personen

Betroffene Personen: Kundinnen und Kunden des Verantwortlichen, Ansprechpersonen bei diesen Kunden sowie Mitarbeitende des Verantwortlichen, die er in der Anwendung erfasst.

Datenkategorien: Kontakt- und Adressdaten, Termin- und Auftragsdaten, Offerten-, Rechnungs- und Zahlungsdaten, Notizen und Dateianhänge zu Aufträgen sowie Kommunikationsdaten aus dem Versand von Benachrichtigungen.

Die Anwendung ist nicht für die Bearbeitung besonders schützenswerter Personendaten im Sinne von Art. 5 lit. c DSG bestimmt. Erfasst der Verantwortliche solche Daten dennoch — etwa in Freitextfeldern —, geschieht dies in seiner alleinigen Verantwortung.

5. Weisungsgebundenheit

Der Anbieter bearbeitet die Daten nur so, wie der Verantwortliche sie selbst bearbeiten dürfte, und nur im Rahmen der Weisungen des Verantwortlichen. Als Weisung gelten dieser AVV, die AGB sowie die Nutzung der Funktionen der Anwendung durch den Verantwortlichen. Einzelweisungen sind in Textform an datenschutz@handwerkerpro.ch zu richten.

Der Anbieter informiert den Verantwortlichen, wenn eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstösst. Eine Bearbeitung aufgrund gesetzlicher Verpflichtung bleibt vorbehalten; der Anbieter informiert den Verantwortlichen in diesem Fall vorgängig, sofern das Gesetz dies nicht verbietet.

6. Vertraulichkeit

Der Anbieter behandelt die Daten vertraulich. Personen, die zur Bearbeitung berechtigt sind, werden zur Vertraulichkeit verpflichtet; diese Pflicht besteht auch nach Beendigung ihrer Tätigkeit fort. Zugriff erhalten nur Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen.

7. Technische und organisatorische Massnahmen

Der Anbieter trifft angemessene technische und organisatorische Massnahmen zum Schutz der Daten, insbesondere:

• Verschlüsselte Übertragung sämtlicher Daten (TLS)
• Datenbankverbindungen ausschliesslich über gegenseitig authentisierte TLS-Verbindungen (Client-Zertifikat); Zugriff nur von freigegebenen Systemen
• Passwörter werden ausschliesslich als Hash (bcrypt) gespeichert
• Mandantentrennung: Jeder Datensatz ist einem Konto zugeordnet, und jeder Zugriff wird serverseitig gegen das angemeldete Konto geprüft
• Rollenbasierte Berechtigungen für Mitarbeitende des Verantwortlichen
• Mehrmals tägliche verschlüsselte Sicherungen, aufbewahrt in Rechenzentren in Deutschland
• Betrieb ausschliesslich in Rechenzentren in der EU bzw. der Schweiz (siehe Ziffer 9)
• Protokollierung von Fehlern und sicherheitsrelevanten Ereignissen

Der Anbieter darf die Massnahmen weiterentwickeln, sofern das Schutzniveau dadurch nicht unterschritten wird.

8. Zugriff durch den Anbieter (Support und Qualitätssicherung)

Zur Behebung von Störungen, zur Bearbeitung von Support-Anfragen und zur Sicherstellung der korrekten Funktionsweise kann der Anbieter auf das Konto des Verantwortlichen und die darin enthaltenen Daten zugreifen. Dazu gehört eine Support-Ansicht, mit der die Anwendung so dargestellt wird, wie sie sich dem Verantwortlichen zeigt.

Für diesen Zugriff gilt:

• Er erfolgt ausschliesslich zu den genannten Zwecken und nur, soweit das Anliegen nicht anders geklärt werden kann.
• Er ist auf Personen beschränkt, die administrative Rechte besitzen, und wird mit Zeitpunkt, zugreifender Person und betroffenem Konto protokolliert.
• Eine Support-Sitzung ist zeitlich befristet und endet automatisch.
• Eine Auswertung der Daten zu anderen Zwecken — etwa zu Markt-, Preis- oder Wettbewerbsanalysen — findet nicht statt.

Der Verantwortliche kann jederzeit Auskunft darüber verlangen, ob und wann auf sein Konto zugegriffen wurde.

9. Unterauftragsbearbeiter

Der Verantwortliche stimmt dem Beizug der in Ziffer 6 der Datenschutzerklärung aufgeführten Unterauftragsbearbeiter zu. Diese Liste ist Bestandteil dieses AVV und wird dort aktuell gehalten.

Der Anbieter verpflichtet jeden Unterauftragsbearbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht, und bleibt gegenüber dem Verantwortlichen für dessen Leistungen verantwortlich. Erfolgt eine Bearbeitung ausserhalb der Schweiz oder des EWR, stützt sie sich auf einen anerkannten Angemessenheitsbeschluss oder auf Standardvertragsklauseln.

Einen Wechsel oder die Aufnahme eines weiteren Unterauftragsbearbeiters teilt der Anbieter mindestens 30 Tage im Voraus per E-Mail mit. Der Verantwortliche kann innert dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag auf den Zeitpunkt der Änderung kündigen.

10. Unterstützung des Verantwortlichen

Der Anbieter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Herausgabebegehren betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Meldungen an Behörden. Wendet sich eine betroffene Person direkt an den Anbieter, leitet dieser das Begehren an den Verantwortlichen weiter und beantwortet es nicht selbst.

11. Verletzungen der Datensicherheit

Stellt der Anbieter eine Verletzung der Datensicherheit fest, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, informiert er den Verantwortlichen ohne unangemessene Verzögerung, in der Regel innert 48 Stunden ab Kenntnis. Die Meldung beschreibt Art und Umfang des Vorfalls, die voraussichtlichen Folgen und die getroffenen oder vorgeschlagenen Massnahmen. Die Meldepflichten des Verantwortlichen gegenüber dem EDÖB bzw. einer Aufsichtsbehörde bleiben bei ihm.

12. Löschung und Rückgabe

Der Verantwortliche kann seine Daten während der Vertragsdauer jederzeit über die Exportfunktionen der Anwendung beziehen. Nach Beendigung des Vertrags oder auf Weisung löscht der Anbieter die Daten aus der laufenden Datenbank.

Aus den verschlüsselten Sicherungskopien verschwinden die Daten nicht sofort: Sicherungen werden gestaffelt bis zu zwölf Monate aufbewahrt, und eine Löschung wirkt sich dort erst aus, wenn die betreffende Sicherung abläuft. Sicherungen werden ausschliesslich zur Wiederherstellung nach einem Datenverlust verwendet. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.

13. Nachweise und Überprüfung

Der Anbieter weist die Einhaltung dieses AVV auf Anfrage in geeigneter Form nach, insbesondere durch Auskunft über die getroffenen technischen und organisatorischen Massnahmen. Reicht dies im Einzelfall nicht aus, ermöglicht der Anbieter eine Überprüfung nach vorgängiger Ankündigung von mindestens 30 Tagen, während der ordentlichen Geschäftszeiten, höchstens einmal jährlich und ohne Beeinträchtigung des Betriebs. Prüfende Personen sind zur Vertraulichkeit zu verpflichten.

14. Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV für die Bearbeitung von Daten im Auftrag vor. Im Übrigen gelten die AGB, insbesondere zu Haftung, anwendbarem Recht und Gerichtsstand. Änderungen dieses AVV werden dem Verantwortlichen per E-Mail mitgeteilt.