Auftragsverarbeitungsvertrag (AVV)
zwischen dem Kunden von Easly (Verantwortlicher, nachfolgend «Kunde») und IT Services Schneeberger, Kaffeestrasse 6a, 8180 Bülach (Auftragsbearbeiter, nachfolgend «Anbieter»). Der Vertrag wird bei der Bestellung durch Bestätigung abgeschlossen und ergänzt die Nutzungsbedingungen. Er erfüllt die Anforderungen von Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und – soweit anwendbar – Art. 28 DSGVO.
1. Gegenstand, Dauer, Zweck
Der Anbieter bearbeitet Personendaten im Auftrag des Kunden, um ihm Easly bereitzustellen (Hosting, Betrieb, Sicherung, Wartung und – auf Freigabe des Kunden – Support). Der Vertrag gilt für die Dauer des Abonnements und bis zur vollständigen Löschung der Daten.
2. Art der Daten und betroffene Personen
- Kunden und Kontakte des Kunden: Namen, Adressen, E-Mail-Adressen, Telefonnummern, Offerten, Rechnungen, Zahlungs- und Mahninformationen, Korrespondenz.
- Lieferanten: Belege, Beträge, Kontaktdaten.
- Mitarbeitende des Kunden: Personalien, AHV-Nummer, Lohn- und Vertragsdaten, Personaldokumente (teilweise besonders schützenswerte Personendaten).
- Benutzer der Instanz: Anmeldedaten, Protokolle.
3. Weisungen
Der Anbieter bearbeitet die Daten nur so, wie es der Kunde selbst dürfte, und ausschliesslich gemäss diesem Vertrag und den dokumentierten Weisungen des Kunden. Die Bedienung der Anwendung durch den Kunden gilt als Weisung. Der Anbieter informiert den Kunden, wenn er eine Weisung für rechtswidrig hält.
4. Vertraulichkeit
Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Auf die Inhalte einer Instanz greift er nur mit einer vom Kunden in der Anwendung erzeugten, zeitlich begrenzten Freigabe zu; jede Aktion wird protokolliert und ist für den Kunden einsehbar. Ausnahmen gelten nur zur Abwehr einer unmittelbaren Gefahr für den Betrieb oder aufgrund einer gesetzlichen Pflicht; der Kunde wird darüber informiert.
5. Technische und organisatorische Massnahmen
- Betrieb auf Servern des Anbieters in der Schweiz; jede Instanz mit eigener Anwendung, eigener Datenbank und eigenem Speicher.
- Verschlüsselung der Datenbanken auf dem Datenträger, Verschlüsselung der gespeicherten Dokumente und besonders schützenswerter Felder (z. B. AHV-Nummer) mit einem Schlüssel je Instanz; Übertragung ausschliesslich verschlüsselt (HTTPS/TLS).
- Anmeldung mit Passwort und zweitem Faktor (Passkey oder Authenticator-App), Sperre bei wiederholten Fehlversuchen, Protokollierung von Anmeldungen.
- Tägliche, verschlüsselte Sicherungen; Wiederherstellungsschlüssel ausserhalb der Server aufbewahrt.
- Zugriff auf die Server nur für den Anbieter, mit Schlüssel-Anmeldung; regelmässige Sicherheitsaktualisierungen.
- Laufende Überwachung der Verfügbarkeit.
6. Unterauftragsbearbeiter und Drittdienste
Für Betrieb, Speicherung und Sicherung der Daten des Kunden setzt der Anbieter keine Unterauftragsbearbeiter ein; die Instanzen laufen auf eigenen Servern des Anbieters in der Schweiz.
Einzelne Komfortfunktionen der Anwendung rufen – jeweils ausgelöst durch eine Eingabe des Kunden – öffentliche Dienste Dritter auf: die Adresssuche bei OpenStreetMap Nominatim (übermittelt wird die eingegebene Adresse), die Distanzberechnung bei OSRM/Project OSRM (übermittelt werden Koordinaten) und der Wechselkurs-Dienst Frankfurter (keine Personendaten). Diese Dienste erhalten keine weiteren Daten der Instanz.
Will der Anbieter künftig Unterauftragsbearbeiter beiziehen, informiert er den Kunden mindestens 30 Tage im Voraus; der Kunde kann widersprechen und den Vertrag in diesem Fall auf den Wechsel hin kündigen. Dienste, die der Kunde selbst mit eigenen Zugängen anbindet (z. B. Microsoft 365 oder ein anderer E-Mail-Anbieter, Anthropic, Schweizerische Post), sind keine Unterauftragsbearbeiter des Anbieters; dafür ist der Kunde verantwortlich. Die Zahlungsabwicklung des Abonnements über PayPal betrifft nur die Daten des Kunden selbst.
7. Unterstützung des Kunden
Der Anbieter unterstützt den Kunden mit geeigneten Mitteln bei der Erfüllung von Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen sowie bei Datenschutz-Folgenabschätzungen. Die meisten Begehren kann der Kunde direkt in der Anwendung erfüllen (Bearbeiten, Löschen, Export).
8. Verletzungen der Datensicherheit
Der Anbieter meldet dem Kunden eine Verletzung der Datensicherheit, die dessen Daten betrifft, so rasch wie möglich, spätestens innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang, Folgen und getroffenen Massnahmen.
9. Rückgabe und Löschung
Nach Vertragsende kann der Kunde seine Daten während 30 Tagen exportieren. Danach löscht der Anbieter die Instanz und alle Daten; Sicherungen werden spätestens nach weiteren 90 Tagen überschrieben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
10. Kontrolle
Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Kontrollen vor Ort sind nach vorheriger Absprache möglich; der Aufwand dafür kann verrechnet werden.
11. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz von Personendaten geht. Es gilt schweizerisches Recht; Gerichtsstand ist Bülach (ZH).
Stand: Oktober 2026, Version 1.0