Auftragsverarbeitungsvertrag (AVV)

Fassung vom 10.08.2026 · nach revDSG Art. 9

Warum es diesen Vertrag braucht: Sobald ein Betrieb die Software nutzt, werden dessen Kundendaten — Namen, Telefonnummern, Anfragen, Offerten, Gesprächsnotizen — auf den Systemen der Anbieterin bearbeitet, und zwar in seinem Auftrag. Für diese Konstellation verlangt das revidierte Datenschutzgesetz eine schriftliche Vereinbarung. Fehlt sie, haftet im Streitfall zuerst der Betrieb — und danach kommt er zur Anbieterin.

1. Parteien

2. Gegenstand und Dauer

Die Auftragnehmerin stellt dem Auftraggeber eine über den Browser nutzbare Software zur Verfügung. Je nach gebuchten Modulen umfasst sie: Aufmass- und Offertrechner, Kunden- und Aufgabenverwaltung, Verarbeitung ein- und ausgehender E-Mails, Offerten- und Rechnungserstellung, Erfassung verpasster Anrufe mit automatischer Antwort per SMS oder WhatsApp, Betrieb einer Website sowie wiederkehrende Auswertungen. Diese Vereinbarung gilt für die Dauer des Abonnements und endet mit diesem.

3. Art, Zweck und Kategorien der Bearbeitung

• Zweck: Erfassen und Beantworten von Anfragen, Kalkulieren und Versenden von Offerten und Rechnungen, Pflege der Kundenbeziehung, Auswertung der eigenen Geschäftstätigkeit des Auftraggebers.
• Betroffene Personen: Kundinnen und Kunden, Interessentinnen und Interessenten, Anrufende sowie Mitarbeitende des Auftraggebers.
• Datenkategorien: Name und Kontaktangaben, Adresse des Objekts, Inhalt von E-Mails und Nachrichten, Telefonnummer sowie Zeitpunkt und Dauer von Anrufen, Notizen, Aufmass- und Objektangaben, Offerten, Rechnungen und Zahlungsstände.
• Besondere Kategorien: grundsätzlich keine. Werden Gespräche aufgezeichnet oder freie Notizen erfasst, kann der Inhalt beliebige Angaben enthalten — dafür gilt Ziffer 9.

4. Weisungsgebundenheit

Die Auftragnehmerin bearbeitet die Daten ausschliesslich nach Weisung des Auftraggebers und nicht für eigene Zwecke — insbesondere nicht für eigene Werbung, nicht zur Weitergabe an Dritte und nicht zum Trainieren von KI-Modellen. Hält sie eine Weisung für rechtswidrig, teilt sie dies mit und darf deren Ausführung aussetzen.

5. Personen mit Zugriff

Zugriff auf die Daten des Auftraggebers haben nur Personen, die zur Vertraulichkeit verpflichtet sind, und nur soweit es für Betrieb, Unterstützung und Fehlersuche nötig ist. Ein Zugriff zu Support-Zwecken erfolgt nur auf Anfrage des Auftraggebers oder zur Behebung einer Störung.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Dienstleister zu:

Wird ein Modul nicht gebucht, wird der zugehörige Dienstleister nicht eingesetzt und erhält keine Daten. Bei Anbietern ausserhalb der Schweiz und des EWR stützt sich die Bekanntgabe auf die Standardvertragsklauseln oder eine andere zulässige Grundlage nach Art. 16 f. revDSG. Neue Unterauftragsverarbeiter werden vorgängig mitgeteilt; der Auftraggeber kann innert 30 Tagen widersprechen und in diesem Fall auf denselben Zeitpunkt kündigen.

7. Datensicherheit

• Zugang nur über persönliches Passwort; Sperre nach wiederholten Fehlversuchen.
• Getrennte Datenhaltung: eine eigene Datenbankdatei je Kundenfirma, kein gegenseitiger Zugriff.
• Verschlüsselte Ablage von Zugangsdaten und Schlüsseln.
• Übertragung ausschliesslich über TLS.
• Datensparsamkeit: keine Speicherung von Angaben, die für den Zweck nicht nötig sind.
• Regelmässige Sicherungen; Wiederherstellung auf Verlangen.

Grenze, ehrlich benannt: Die Verschlüsselung schützt gegen ein verlorenes Backup oder eine offene Datei, nicht gegen einen übernommenen Server — dort liegt der Schlüssel ebenfalls.

8. Auskunft, Berichtigung, Löschung

Verlangt eine betroffene Person Auskunft, Berichtigung, Herausgabe oder Löschung, unterstützt die Auftragnehmerin den Auftraggeber unverzüglich und unentgeltlich. Wendet sich die Person direkt an die Auftragnehmerin, leitet diese das Gesuch weiter und beantwortet es nicht selbst. Nach Vertragsende werden die Daten auf Verlangen maschinenlesbar herausgegeben und anschliessend innert [90] Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

9. Gesprächsaufzeichnung

Werden Gespräche aufgezeichnet oder mitgehört, ist der Auftraggeber dafür verantwortlich, dass jede Gesprächspartei vorgängig informiert wird und zustimmen kann. Heimliches Aufzeichnen ist nach Art. 179^ter StGB strafbar. Die Software gibt die Ansage zwingend aus; sie darf nicht umgangen werden. Aufzeichnungen werden nach der beim Auftraggeber eingestellten Frist automatisch gelöscht.

10. Meldung von Verletzungen der Datensicherheit

Die Auftragnehmerin meldet dem Auftraggeber jede Verletzung der Datensicherheit unverzüglich, spätestens innert 24 Stunden nach Kenntnis, mit allen Angaben, die dieser für seine Meldung an den EDÖB (Art. 24 revDSG) benötigt, und unterstützt ihn bei der Aufarbeitung.

11. Kontrolle

Der Auftraggeber darf die Einhaltung dieser Vereinbarung überprüfen — nach Voranmeldung, während der üblichen Arbeitszeit und ohne Beeinträchtigung des Betriebs, höchstens einmal jährlich, sofern kein besonderer Anlass besteht.

12. Haftung und Schlussbestimmungen

Es gilt schweizerisches Recht; Gerichtsstand ist Zürich. Änderungen bedürfen der Schriftform. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Datenschutzfragen vor. Im Übrigen gelten die Haftungsbestimmungen der AGB.

Unterschriften

Ort, Datum: ______________________________

Auftraggeber: ______________________________    Auftragnehmerin: ______________________________