Auftragsbearbeitungsvertrag (AVV)

1. Parteien, Gegenstand und Dauer

Der Mandant ist für die von ihm bestimmten Zwecke und Mittel der Bearbeitung von Mitarbeiter-, Kunden-, Einsatz-, Zeit-, Lohn-, Dokument-, Standort-, Geräte- und Lagerdaten verantwortlich. Auftrion bearbeitet diese Daten als Auftragsbearbeiter zur Bereitstellung, Wartung, Sicherung, Unterstützung und Weiterentwicklung der vertraglich vereinbarten SaaS-Funktionen. Die Bearbeitung dauert grundsätzlich für die Laufzeit des SaaS-Vertrags und die vereinbarte Rückgabe- beziehungsweise Löschfrist.

2. Dokumentierte Weisungen

Auftrion bearbeitet Mandantendaten nur aufgrund des Vertrags, der durch den Mandanten vorgenommenen Konfiguration und dokumentierter Supportanweisungen. Erkennt Auftrion eine offensichtlich rechtswidrige Weisung, wird der Mandant darauf hingewiesen und die Ausführung darf bis zur Klärung ausgesetzt werden.

3. Datenarten und betroffene Personen

Bearbeitet werden können Stamm- und Kontaktdaten, Benutzer- und Berechtigungsdaten, Kunden- und Objektdaten, Arbeitszeiten, Einsatz- und Routendaten, freiwillig oder betrieblich konfigurierte Standortdaten, Bilder, Checklisten, Gesundheitsnachweise, Lohn- und Vertragsdaten, Rechnungs- und Zahlungsdaten, Geräte- und Lagerzuordnungen sowie Protokoll- und Sicherheitsdaten. Betroffene Personen sind insbesondere Mitarbeitende, Bewerbende, Kunden, Kontaktpersonen, Lieferanten und Benutzer des Mandanten.

4. Vertraulichkeit und Zugriff

Personen mit Zugriff auf Mandantendaten werden auf Vertraulichkeit verpflichtet und erhalten nur die für ihre Aufgabe erforderlichen Berechtigungen. Administrative Zugriffe des Anbieters sind auf Support, Sicherheit und Systembetrieb zu beschränken, mit starker Authentisierung zu schützen und nachvollziehbar zu protokollieren.

5. Technische und organisatorische Massnahmen

Die Massnahmen umfassen insbesondere verschlüsselte Übertragung, sichere Passwortspeicherung, Zwei-Faktor-Authentisierung für privilegierte Zugänge, Mandantentrennung, rollenbasierte Zugriffe, geschützte Dateispeicherung, Protokollierung, Backups, Wiederherstellungsverfahren, Aktualisierungs- und Schwachstellenmanagement sowie Verfahren für Sicherheitsvorfälle. Die konkrete TOM-Liste ist als Anlage beziehungsweise in der aktuellen Sicherheitsdokumentation zu führen.

6. Unterauftragsbearbeiter

Unterauftragsbearbeiter dürfen nur für klar bezeichnete Leistungen eingesetzt werden. Der Mandant erteilt eine allgemeine Genehmigung unter der Voraussetzung, dass er über wesentliche Änderungen vorgängig informiert wird und aus sachlichem Datenschutzgrund widersprechen kann. Auftrion verpflichtet Unterauftragnehmer mindestens zu gleichwertigen Datenschutz- und Sicherheitsanforderungen.

7. Bekanntgaben ins Ausland

Bekanntgaben in Staaten ohne angemessenes Datenschutzniveau erfolgen nur mit zulässiger Garantie, insbesondere anerkannten Standarddatenschutzklauseln und gegebenenfalls ergänzenden Schutzmassnahmen. Tatsächliche Datenstandorte und Übermittlungen sind in der Datenschutzinformation und Unterauftragnehmerliste offenzulegen.

8. Sicherheitsverletzungen

Auftrion informiert den Mandanten ohne unangemessene Verzögerung über bestätigte Verletzungen der Datensicherheit, soweit Mandantendaten betroffen sind. Die Meldung enthält die verfügbaren Angaben zu Art, Umfang, Folgen und getroffenen oder geplanten Massnahmen. Der Mandant bleibt für die Prüfung eigener Melde- und Informationspflichten verantwortlich.

9. Betroffenenrechte und Behörden

Auftrion unterstützt den Mandanten im angemessenen Umfang bei Auskunft, Berichtigung, Herausgabe, Löschung, Einschränkung und Widersprüchen sowie bei Anfragen von Aufsichtsbehörden. Direkte Anfragen betroffener Personen zu Mandantendaten werden grundsätzlich an den Mandanten weitergeleitet.

10. Prüf- und Nachweispflichten

Auftrion stellt auf Anfrage angemessene Nachweise über die vereinbarten Schutzmassnahmen bereit. Prüfungen sind mit angemessener Vorankündigung, unter Wahrung der Sicherheit anderer Mandanten und ohne unverhältnismässige Betriebsbeeinträchtigung durchzuführen. Vertrauliche Informationen dürfen nur für den Prüfzweck verwendet werden.

11. Rückgabe, Export und Löschung

Der Mandant kann seine Daten vor Vertragsende über bereitgestellte Exportfunktionen sichern. Nach Vertragsende werden Mandantendaten gemäss Vertrag zurückgegeben oder gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Sicherungsfristen entgegenstehen. Sicherungskopien werden nach dem regulären Backup-Zyklus überschrieben und bis dahin geschützt.

12. Verantwortlichkeiten

Der Mandant bleibt verantwortlich für Rechtmässigkeit, Transparenz, Datenminimierung, Rollenvergabe, Aufbewahrungsfristen und die Konfiguration besonders eingriffsintensiver Funktionen wie Standortdiensten. Auftrion bleibt für die Sicherheit und vertragsgemässe Bearbeitung im eigenen Verantwortungsbereich verantwortlich. Ein pauschaler AGB-Satz hebt diese gesetzlichen Verantwortlichkeiten nicht auf.

13. Nachweisprotokolle

Auftrion darf für den Nachweis der Annahme dieses AVV die Benutzer- und Mandantenzuordnung, Dokumentversion und Inhalts-Hash, Zeitpunkt, IP-Adresse, Browserangaben, Anmeldemethode und technische Request-ID protokollieren. Diese Nachweise werden zweckgebunden, zugriffsbeschränkt und nach Ablauf der erforderlichen Nachweis- und Aufbewahrungsfrist gelöscht oder anonymisiert.

14. Rangfolge und Änderungen

Bei Widersprüchen gehen dieser AVV und zwingendes Datenschutzrecht den allgemeinen Bestimmungen vor. Wesentliche Änderungen an Bearbeitungszwecken, Unterauftragnehmern oder Sicherheitsmassnahmen werden versioniert veröffentlicht und, soweit erforderlich, erneut bestätigt.