Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag («AVV») ist Bestandteil der AGB und gilt zwischen der Kundin oder dem Kunden («Verantwortliche») und Moritz Stangwald («Auftragsbearbeiterin»). Er wird mit Annahme der AGB abgeschlossen. Ein unterzeichnetes Exemplar stellen wir auf Anfrage an hallo@kmu-nity.ch zur Verfügung; diese Seite lässt sich als PDF drucken.

1. Gegenstand und Dauer

Gegenstand ist die Bearbeitung von Personendaten, die die Verantwortliche in der KMUnity-App erfasst, importiert oder aus dem Leadfinder in ihr CRM übernimmt («Kundendaten»). Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich der Fristen für Rückgabe und Löschung nach Ziffer 10.

2. Art und Zweck der Bearbeitung

Speicherung, Anzeige, Strukturierung, Durchsuchung, Export und Löschung von Kundendaten zum Zweck der Kundenverwaltung und Vertriebsorganisation der Verantwortlichen. Die Auftragsbearbeiterin bearbeitet Kundendaten ausschliesslich im Rahmen der Bereitstellung der Plattform.

3. Kategorien betroffener Personen

Kontaktpersonen bei Firmen, mit denen die Verantwortliche in Geschäftsbeziehung steht oder eine solche anbahnt; Mitarbeitende der Verantwortlichen (Mitglieder des Workspaces); Inhaberinnen und Inhaber von Einzelfirmen.

4. Datenkategorien

Name, Anrede, Position, geschäftliche Kontaktdaten (E-Mail, Telefon, Adresse), Sprache, Einwilligungsstatus für Marketing, Notizen und Aktivitäten, Aufgaben, Verkaufschancen, hochgeladene Dateien, eigene Felder und Tags. Keine besonders schützenswerten Personendaten, sofern die Verantwortliche sie nicht selbst erfasst; die Verantwortliche verpflichtet sich, solche Daten nur zu erfassen, wenn sie dazu berechtigt ist.

5. Weisungsgebundenheit

Die Auftragsbearbeiterin bearbeitet Kundendaten nur auf dokumentierte Weisung der Verantwortlichen. Die Nutzung der Plattform durch die Verantwortliche gilt als Weisung. Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, informiert sie die Verantwortliche. Eine Bearbeitung ausserhalb der Weisung erfolgt nur, wenn gesetzliche Pflichten dies verlangen; die Verantwortliche wird dann, soweit zulässig, informiert.

6. Vertraulichkeit

Alle Personen, die bei der Auftragsbearbeiterin Zugang zu Kundendaten haben, sind zur Vertraulichkeit verpflichtet. Zugriffe auf Kundendaten durch Mitarbeitende der Auftragsbearbeiterin erfolgen nur lesend, nur für Support auf Anfrage, Sicherheit oder gesetzliche Pflichten, und werden protokolliert.

7. Technische und organisatorische Massnahmen (TOM)

Die Auftragsbearbeiterin trifft angemessene Massnahmen nach Art. 8 DSG. Aktueller Stand:

• Zugriffskontrolle: Row Level Security in der Datenbank, Trennung pro Workspace; Rollen (Inhaber, Admin, Mitglied, Nur-Lesen); Zwei-Faktor-Authentifizierung verfügbar und für Administratoren der Plattform Pflicht.
• Verschlüsselung: TLS für alle Verbindungen; Verschlüsselung gespeicherter Daten durch die Infrastrukturanbieter.
• Protokollierung: Audit-Log sicherheitsrelevanter Aktionen, Login-Verlauf, Protokollierung administrativer Zugriffe.
• Verfügbarkeit: Tägliche Backups durch den Datenbankanbieter; Export-Funktion für die Verantwortliche.
• Trennung: Produktions- und Entwicklungsumgebungen getrennt; Testkonten nie in Produktion.
• Minimierung: Service-Schlüssel nur serverseitig; Prinzip der minimalen Rechte; Rate-Limits.
• Organisation: Schulung der Beteiligten, Prozess für Datensicherheitsverletzungen, Prüfung der Massnahmen mindestens jährlich.

Details auf der Seite Sicherheit. Die Auftragsbearbeiterin darf die Massnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

8. Unterauftragsbearbeiter

Die Verantwortliche genehmigt die in der Datenschutzerklärung, Ziffer 7, aufgeführten Unterauftragsbearbeiter (insbesondere Supabase, Netlify, Google, sowie nach Aktivierung Zoho und Stripe). Die Auftragsbearbeiterin verpflichtet Unterauftragsbearbeiter vertraglich auf ein vergleichbares Datenschutzniveau. Änderungen kündigt sie mindestens 30 Tage im Voraus auf der Seite Sicherheit und per E-Mail an; die Verantwortliche kann innert dieser Frist aus wichtigem Grund widersprechen und den Vertrag kündigen.

Bei Übermittlungen ins Ausland gelten die Garantien nach Ziffer 8 der Datenschutzerklärung (Angemessenheitsbeschluss, Standardvertragsklauseln).

9. Unterstützung der Verantwortlichen

Die Auftragsbearbeiterin unterstützt die Verantwortliche mit angemessenen Mitteln bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe), insbesondere durch Export- und Löschfunktionen in der App, sowie bei Datenschutz-Folgenabschätzungen, soweit erforderlich.

10. Rückgabe und Löschung

Nach Vertragsende kann die Verantwortliche ihre Kundendaten während einer Frist von 14 Tagen exportieren. Danach löscht die Auftragsbearbeiterin die Kundendaten innert 30 Tagen, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Backups werden spätestens nach 30 Tagen überschrieben.

11. Meldung von Datensicherheitsverletzungen

Die Auftragsbearbeiterin meldet der Verantwortlichen Verletzungen der Datensicherheit, die Kundendaten betreffen, unverzüglich nach Kenntnis, mit allen verfügbaren Informationen zu Art, Umfang, Folgen und getroffenen Massnahmen, damit die Verantwortliche ihre Meldepflichten gegenüber dem EDÖB beziehungsweise den Aufsichtsbehörden erfüllen kann.

12. Kontrollrechte

Die Verantwortliche kann einmal jährlich, mit angemessener Vorankündigung, Nachweise über die Einhaltung dieses AVV verlangen. Die Auftragsbearbeiterin stellt dazu Dokumentationen, Zertifikate ihrer Infrastrukturanbieter und Auskünfte bereit. Vor-Ort-Prüfungen sind in Abstimmung möglich, soweit sie den Betrieb nicht unverhältnismässig beeinträchtigen.

13. Haftung und Schlussbestimmungen

Es gelten die Haftungsregeln der AGB. Bei Widersprüchen zwischen AGB und AVV geht der AVV in Datenschutzfragen vor. Es gilt Schweizer Recht; Gerichtsstand ist Thun.

14. Stand

Version 0.1, Stand 11.10.2026 (provisorisch).