Vertrag zur Auftragsbearbeitung
Stand: [Datum]
Dieser Vertrag ergänzt die AGB von Rapportstift. Er regelt, wie [Firmenname, Rechtsform, Adresse, UID] («Auftragsbearbeiter») Personendaten im Auftrag des Betriebs, der Rapportstift nutzt («Verantwortlicher»), bearbeitet (Art. 9 DSG). Er gilt ab der Registrierung des Betriebs.
1. Gegenstand und Dauer
Der Auftragsbearbeiter speichert und verarbeitet die Rapporte des Verantwortlichen, um ihm die App Rapportstift bereitzustellen. Der Vertrag dauert, solange der Betrieb Rapportstift nutzt, und bis zur Löschung der Daten nach Vertragsende.
2. Art der Daten und betroffene Personen
- Kunden des Betriebs: Name, Adresse, E-Mail, UID, Unterschrift als Bild, Name der unterschreibenden Person, Zeitpunkt.
- Mitarbeitende des Betriebs: Name, E-Mail, Kürzel, Rolle, Arbeitszeiten.
- Inhalte: ausgeführte Arbeiten, Material, Fotos vom Einsatzort (können Personen oder Räume zeigen).
Besonders schützenswerte Personendaten sind nicht vorgesehen. Der Verantwortliche erfasst solche nur, wenn es für den Rapport nötig ist.
3. Pflichten des Auftragsbearbeiters
- Er bearbeitet die Daten nur so, wie es der Verantwortliche selbst dürfte, und nur nach dessen Weisungen (Nutzung der App, AGB, schriftliche Weisungen).
- Er verpflichtet alle Personen mit Zugriff zur Vertraulichkeit.
- Er trifft angemessene technische und organisatorische Massnahmen zur Datensicherheit (Art. 8 DSG), siehe Ziffer 6.
- Er unterstützt den Verantwortlichen bei Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen.
- Er meldet dem Verantwortlichen eine Verletzung der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 DSG) mit den Angaben, die dieser für eine allfällige Meldung an den EDÖB braucht.
- Er gibt dem Verantwortlichen auf Anfrage die Angaben, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.
4. Pflichten des Verantwortlichen
Der Verantwortliche sorgt dafür, dass er die Daten rechtmässig erfasst, seine Kunden über die Bearbeitung informiert (zum Beispiel in seiner eigenen Datenschutzerklärung) und nur Mitarbeitende einlädt, die Zugriff brauchen.
5. Unterauftragsbearbeiter
Der Verantwortliche ist mit den folgenden Unterauftragsbearbeitern einverstanden. Über neue oder ersetzte informiert der Auftragsbearbeiter mindestens [30] Tage vorher per E-Mail; der Verantwortliche kann aus wichtigem Grund widersprechen und auf den Zeitpunkt des Wechsels kündigen.
| Unterauftragsbearbeiter | Leistung | Ort |
|---|---|---|
| Supabase Inc., USA | Datenbank, Anmeldung, Speicher für Unterschriften und Fotos | Speicherung in Zürich (eu-central-2) |
| Vercel Inc., USA | Auslieferung der App, Serverfunktionen (keine dauerhafte Speicherung von Rapporten) | Frankfurt (DE) |
| Infomaniak Network SA, Schweiz | Versand der Anmelde-E-Mails | Schweiz |
Bei Unternehmen in den USA stützt sich die Bekanntgabe auf [Swiss-U.S. Data Privacy Framework / Standardvertragsklauseln] (Art. 16 DSG). Die Spracherkennung beim Diktieren läuft über den Browser des Geräts (Apple oder Google) und ist eine Funktion des Geräts, die der Verantwortliche abschalten kann, indem seine Mitarbeitenden sie nicht nutzen.
6. Massnahmen zur Datensicherheit
- Verschlüsselte Übertragung (HTTPS) und verschlüsselte Speicherung beim Hoster.
- Trennung der Daten nach Betrieb und Rolle in der Datenbank (Row Level Security); Mitarbeitende sehen nur, was ihre Rolle erlaubt.
- Unterschriften und Fotos in privaten Speichern; Zugriff nur für berechtigte Mitglieder des Betriebs.
- Unterschriebene Rapporte sind gegen nachträgliche Änderung gesperrt.
- Anmeldung ohne Passwort über einmalige Codes per E-Mail.
- [Backups: Häufigkeit und Aufbewahrung gemäss Plan des Hosters einsetzen.]
7. Ende der Bearbeitung
Nach Vertragsende stellt der Auftragsbearbeiter die Daten während [30] Tagen zum Export bereit (CSV und PDF) und löscht sie danach, auch in den Speichern der Unterauftragsbearbeiter, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Backups werden im regulären Zyklus überschrieben.
8. Schluss
Es gilt Schweizer Recht. Gerichtsstand ist [Sitz des Anbieters]. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um Datenschutz geht.