Vertrag zur Auftragsverarbeitung

Die Angaben des Anbieters werden zurzeit vervollständigt.

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen. Er gilt zwischen dem Kunden (Unternehmen, Verantwortlicher) und dem Anbieter (Auftragsverarbeiter) und regelt die Bearbeitung von Personendaten nach Art. 28 DSGVO und Art. 9 des Schweizer DSG.

Auftragsverarbeiter:

DEMO
[Strasse]
[PLZ Ort]
Deutschland
E-Mail: tomasz@benert.pl

1. Gegenstand und Dauer

Der Anbieter stellt dem Kunden die Anwendung bereit und speichert dafür die Daten, die der Kunde erfasst. Der Vertrag gilt, solange der Anbieter Daten des Kunden bearbeitet.

2. Art und Zweck der Bearbeitung

Speichern, Anzeigen, Auswerten, Übersetzen, Versenden (E-Mail im Auftrag des Kunden), Exportieren und Löschen von Daten zur Planung von Reinigungseinsätzen, Zeiterfassung, Rechnungsstellung, Verwaltung von Gefahrstoffen und Unterweisungen sowie Ablage von Dokumenten.

3. Betroffene Personen und Datenarten

Mitarbeitende des Kunden: Name, Telefon, Sprache, Pensum, Kostensatz, Ein- und Austritt, Notizen; Einsätze, Check-ins mit Zeitpunkt und Gerät, Arbeitszeiten; Abwesenheiten (Ferien, Krankheit ohne Angabe einer Diagnose); Teilnahme an Unterweisungen; Zugänge mit Name und E-Mail.
Kunden des Kunden und deren Ansprechpersonen: Firma, Adresse, Name, Funktion, Telefon, E-Mail; Objekte mit Adresse, Hinweisen und Zugangsangaben (Alarmcodes verschlüsselt); Verträge, Offerten, Rechnungen und Mahnungen; Berichte und Fotos aus Qualitätskontrollen.
Personen, die am Objekt etwas melden: Inhalt der Meldung, freiwillig Name sowie Telefon oder E-Mail (Formular «Etwas melden» über den QR-Code am Objekt, ohne Anmeldung). Erledigte Meldungen werden nach 12 Monaten gelöscht.
Weitere Personen: Personen, die in hochgeladenen Dokumenten oder freien Texten genannt werden.

Angaben zu Krankheitsabwesenheiten gehören zu den besonders schützenswerten Daten. Der Kunde erfasst sie nur, soweit dies für die Einsatzplanung nötig ist.

4. Weisungen

Der Anbieter bearbeitet die Daten nur nach dokumentierter Weisung des Kunden. Als Weisung gelten diese Bedingungen und die Bedienung der Anwendung durch den Kunden. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden mit. Eine Bearbeitung für eigene Zwecke findet nicht statt. Ist der Anbieter gesetzlich zu einer Bearbeitung verpflichtet, teilt er dies dem Kunden vorher mit, soweit das Gesetz es nicht verbietet.

5. Vertraulichkeit

Personen, die beim Anbieter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Anbieter greift auf Inhalte des Kunden nur zu, soweit dies für den Betrieb der Anwendung, die Fehlerbehebung oder auf Wunsch des Kunden nötig ist.

6. Technische und organisatorische Massnahmen

Verschlüsselung: Übertragung ausschliesslich über HTTPS; Passwörter nur als Hashwert, Alarmcodes verschlüsselt gespeichert.
Zugriffskontrolle: Rollen (Inhaber, Büro, Mitarbeitende) mit abgestuften Rechten; strikte Trennung der Unternehmen, jede Datenbankabfrage ist auf das eigene Unternehmen beschränkt.
Anmeldung: Sperre nach wiederholten Fehlversuchen, sichere Sitzungs-Cookies, Geräte der Mitarbeiter-App nur über einen einmaligen Einrichtungscode.
Schutz der Anwendung: Schutz gegen gefälschte Formularanfragen, strikte Inhaltsrichtlinie gegen eingeschleuste Skripte, hochgeladene Dateien ausserhalb des öffentlichen Verzeichnisses und nur nach Rechteprüfung abrufbar.
Datensparsamkeit: IP-Adressen werden nicht gespeichert, nur als Hashwert für die Missbrauchsabwehr; kurzlebige Daten werden automatisch gelöscht.
Nachvollziehbarkeit: Änderungsprotokoll mit Zeitpunkt und handelndem Zugang.
Verfügbarkeit: Rechenzentrum und tägliche Datensicherung durch den Hosting-Anbieter; Export aller Daten durch den Kunden jederzeit möglich.

Der Anbieter darf die Massnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde ist mit folgenden Unterauftragsverarbeitern einverstanden:

Hosting und E-Mail-Versand: [Hosting-Anbieter]

Neue oder ersetzte Unterauftragsverarbeiter kündigt der Anbieter mindestens einen Monat im Voraus per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag auf den Zeitpunkt des Wechsels kündigen. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf die gleichen Datenschutzpflichten. Daten werden nur in der Schweiz oder im Europäischen Wirtschaftsraum bearbeitet.

8. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe). Die meisten Anfragen kann der Kunde direkt in der Anwendung erledigen: Daten bearbeiten oder löschen und den Gesamtexport herunterladen. Der Anbieter unterstützt ausserdem bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden, soweit ihm die nötigen Informationen vorliegen.

9. Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung der Datensicherheit, die dessen Daten betrifft, unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, mit den verfügbaren Angaben zu Art, Umfang und ergriffenen Massnahmen.

10. Rückgabe und Löschung

Nach Vertragsende stellt der Anbieter dem Kunden auf Wunsch einen vollständigen Export bereit und löscht die Daten innerhalb von 90 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen des Hosting-Anbieters werden im Rahmen ihres üblichen Zyklus überschrieben.

11. Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind. Prüfungen vor Ort sind nach rechtzeitiger Anmeldung während der Geschäftszeiten möglich; der Aufwand dafür kann in Rechnung gestellt werden.

12. Haftung und Vorrang

Für die Haftung gelten die Nutzungsbedingungen, soweit das Gesetz nichts anderes zwingend vorschreibt. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den Nutzungsbedingungen vor.