Auftragsbearbeitungsvertrag

Dieser Vertrag nach Art. 9 des Datenschutzgesetzes (DSG) ist Teil der AGB. Er regelt, wie Bretscher Digital, David Bretscher, Wylerstrasse 115, 3014 Bern, Schweiz (nachfolgend «ich», Auftragsbearbeiter) Personendaten im Auftrag der Kundin (Verantwortliche) bearbeitet.

1. Gegenstand und Dauer

Ich bearbeite Personendaten ausschliesslich, um Saldato für die Kundin bereitzustellen: speichern, anzeigen, berechnen, buchen, versenden und exportieren. Der Vertrag gilt, solange die Kundin Saldato nutzt, und danach bis zur Löschung der Daten.

2. Betroffene Personen und Datenkategorien

• Kunden und Lieferanten der Kundin: Namen, Adressen, Kontaktangaben, Rechnungen, Zahlungen, Bestellungen aus verbundenen Shops.
• Mitarbeitende der Kundin: Personalien, AHV-Nummer, Anstellung, Lohn, Bankverbindung, Kinder und Zulagen, Angaben für die Quellensteuer; bei Kirchensteuer im Tarif auch die Konfession (besonders schützenswert).
• Benutzerinnen und Benutzer: E-Mail-Adresse, Rolle, Protokoll der Änderungen.
• Weitere Personen, soweit sie in Belegen, Kontoauszügen oder E-Mails vorkommen.

3. Weisungen

Ich bearbeite die Daten nur nach den Weisungen der Kundin. Diese ergeben sich aus den AGB und aus der Nutzung von Saldato (zum Beispiel Erfassen, Versenden, Exportieren, Löschen). Hielte ich eine Weisung für rechtswidrig, teile ich das der Kundin mit. Ich nutze die Daten nie für eigene Zwecke, verkaufe sie nicht und verwende sie nicht für Werbung.

4. Vertraulichkeit

Alle Personen, die für mich Zugang zu Daten haben könnten, sind zur Verschwiegenheit verpflichtet. Zugriff auf Kundendaten erfolgt nur, wenn es für Betrieb oder Support nötig ist.

5. Datensicherheit

• Speicherung von Datenbank und Dateien in einem Rechenzentrum in Zürich; verschlüsselte Übertragung.
• Strikte Trennung der Firmen in der Datenbank; jede Abfrage prüft die Berechtigung.
• Rollen mit abgestuften Rechten; Lohnabrechnungen und Personaldaten (auch im Änderungsprotokoll) nur für Inhaber, Verwaltung und Treuhand; Lohnzahlungen in der Buchhaltung ohne Namen.
• Belege nie öffentlich abrufbar; Zugangsschlüssel zu verbundenen Diensten nur für den Server lesbar.
• Unveränderliche Buchungen und lückenloses Änderungsprotokoll.
• Anmeldung mit einmaligem Code per E-Mail, ohne Passwort; Einladungen gelten nur für bestätigte E-Mail-Adressen.
• Begrenzungen für KI-Anfragen und E-Mail-Versand pro Firma und Tag gegen Missbrauch.

6. Unterauftragsbearbeiter

Die Kundin ist einverstanden, dass ich folgende Dienstleister beiziehe:

• Supabase Inc. (USA), Datenbank, Dateien und Anmeldung, Speicherort Zürich
• Vercel Inc. (USA), Hosting, Verarbeitung in Frankfurt
• Resend Inc. (USA), E-Mail-Versand und -Empfang
• Anthropic PBC (USA), Lesen von Belegen und Assistent (keine Verwendung für Training)
• Shopify (Kanada/Irland), nur wenn die Kundin einen Shop verbindet

Ich verpflichte sie zu gleichwertigem Datenschutz. Übermittlungen in die USA sind durch Standardvertragsklauseln bzw. das Swiss-U.S. Data Privacy Framework abgesichert. Neue Unterauftragsbearbeiter kündige ich mindestens 30 Tage im Voraus an; die Kundin kann aus wichtigem Grund widersprechen und den Vertrag auf diesen Zeitpunkt kündigen.

7. Unterstützung der Kundin

Ich unterstütze die Kundin dabei, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe) zu beantworten, soweit sie dies nicht selbst in Saldato erledigen kann. Erreicht mich eine solche Anfrage direkt, leite ich sie an die Kundin weiter.

8. Verletzung der Datensicherheit

Stelle ich eine Verletzung der Datensicherheit fest, die Daten der Kundin betrifft, informiere ich sie so rasch wie möglich und unterstütze sie bei einer allfälligen Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Art. 24 DSG) und an die betroffenen Personen.

9. Ende der Bearbeitung

Nach Vertragsende kann die Kundin ihre Daten während 90 Tagen exportieren. Danach lösche ich sie endgültig, auch aus Sicherungskopien im üblichen Rhythmus, ausser eine gesetzliche Pflicht verlangt eine längere Aufbewahrung.

10. Kontrolle

Auf Anfrage gebe ich der Kundin die Auskünfte, die sie zum Nachweis der Einhaltung dieses Vertrags braucht. Kontakt: kontakt@bretscher.digital