Auftragsbearbeitungsvertrag

1. Parteien und Rollen

Verantwortlicher: der Betrieb, der das Website-Abo abgeschlossen hat («Kunde», «Sie»). Sie entscheiden, wozu und wie die Daten Ihrer Kundschaft bearbeitet werden.

Auftragsbearbeiter: Nordwestseiten, Seth Schmutz, Hauptstrasse 71, 4493 Wenslingen («wir»). Wir bearbeiten die Daten nur in Ihrem Auftrag und nach Ihren Weisungen.

Für unsere eigenen Kundendaten — Ihre Kontaktdaten, Rechnungen, Support-Verlauf — sind wir selbst Verantwortlicher. Das regelt unsere Datenschutzerklärung, nicht dieser Vertrag.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb Ihrer Website mit Kontaktformular und — falls gebucht — des Kundenportals mit Terminbuchung. Dabei speichern und übermitteln wir Personendaten Ihrer Kundschaft.

Der Vertrag beginnt mit dem Abo und endet mit ihm. Die Pflichten zu Vertraulichkeit, Löschung und Rückgabe gelten darüber hinaus (Ziffern 5 und 10).

3. Art der Daten und betroffene Personen

Wir bearbeiten folgende Datenkategorien:

• Kontaktanfragen: Name, E-Mail-Adresse, Telefonnummer (optional), Nachricht, Zeitpunkt der Anfrage
• Terminbuchungen (Kundenportal): Name, E-Mail-Adresse, Telefonnummer, Termin (Datum, Zeit, Leistung, Standort), Bemerkung, Status (gebucht oder storniert), Storno-Link
• Zugänge zum Kundenportal: E-Mail-Adresse, Anmeldezeitpunkte, Rolle
• Technische Daten: IP-Adresse und Browserangaben in den Server-Protokollen der Auslieferung (kurzfristig)
• Von Ihnen hochgeladene Dateien, sofern sie Personendaten enthalten, zum Beispiel Team-Fotos

Betroffene Personen: Ihre Kundinnen und Kunden, Interessenten, die Sie über die Website kontaktieren, sowie Ihre Mitarbeitenden, soweit sie auf der Website erscheinen oder das Portal nutzen.

Besonders schützenswerte Personendaten, etwa Gesundheitsdaten, sind nicht vorgesehen. Macht Ihre Kundschaft im Nachrichtenfeld trotzdem solche Angaben, bearbeiten wir sie mit derselben Sorgfalt. Sie sorgen dafür, dass Ihre Datenschutzerklärung das abdeckt.

4. Weisungen

Wir bearbeiten die Daten nur so, wie es für den Betrieb der Website und des Portals nötig ist und wie Sie es anordnen. Ihre Weisungen ergeben sich aus den AGB, aus diesem Vertrag und aus den Einstellungen, die Sie im Portal vornehmen.

Zusätzliche Weisungen geben Sie per E-Mail. Verursacht eine Weisung Mehraufwand, sagen wir das vorher.

Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit und dürfen sie bis zur Klärung aussetzen.

Wir nutzen die Daten nicht für eigene Zwecke, nicht für Werbung und geben sie nicht an Dritte weiter — ausser an die Unterauftragnehmer in Ziffer 7.

5. Vertraulichkeit

Wir behandeln alle Daten vertraulich. Zugang hat nur, wer ihn für den Betrieb braucht. Zurzeit ist das der Inhaber persönlich; setzen wir Hilfspersonen ein, verpflichten wir sie schriftlich zur Vertraulichkeit.

Die Vertraulichkeit gilt auch nach dem Ende des Vertrags.

Verlangt eine Behörde Daten von uns, informieren wir Sie, sofern das erlaubt ist, und geben nur heraus, wozu wir gesetzlich verpflichtet sind.

6. Sicherheit

Wir schützen die Daten mit folgenden technischen und organisatorischen Massnahmen:

• Verschlüsselung bei der Übertragung (TLS/HTTPS auf allen Websites, im Portal und zwischen unseren Systemen) und bei der Speicherung (verschlüsselte Datenträger bei Datenbank und Dateispeicher)
• Zugriffskontrolle je Betrieb: Die Datenbank trennt die Daten jedes Betriebs über Berechtigungsregeln auf Zeilenebene (Row Level Security). Ein Zugang sieht nur die Daten des eigenen Betriebs.
• Zwei-Faktor-Authentisierung für unsere Betreiber-Zugänge zu Datenbank, Hosting, Mailversand und Zahlungsdienst; Anmeldung im Portal mit Passwort und zusätzlichem Code
• Ereignisprotokoll: Wichtige Aktionen — Anmeldungen, Änderungen an Betrieben, Mailversand — werden mit Zeitpunkt und Urheber festgehalten
• Backups: tägliche Sicherungen der Datenbank durch den Datenbankanbieter, Aufbewahrung mindestens sieben Tage, Wiederherstellung auf Anfrage
• Trennung von Test- und Produktivsystemen; Schlüssel und Passwörter nur in geschützten Umgebungsvariablen, nie im Programmcode
• Regelmässige Sicherheits-Updates der eingesetzten Software; automatische Prüfung der Abhängigkeiten auf bekannte Schwachstellen
• Datensparsamkeit: keine Tracking-Cookies, keine Werbenetzwerke, keine Analysedienste Dritter auf den Websites

Wir passen die Massnahmen dem Stand der Technik an. Das Schutzniveau senken wir dabei nicht.

7. Unterauftragnehmer

Für den Betrieb setzen wir folgende Unterauftragnehmer ein. Sie stimmen dem mit Abschluss dieses Vertrags zu:

Mit jedem Unterauftragnehmer besteht ein Vertrag zur Auftragsbearbeitung mit gleichwertigen Pflichten (Data Processing Agreement).

Die Daten Ihrer Kundschaft liegen in der Datenbank in Zürich. Bei der Auslieferung über Vercel werden Anfragen über dessen weltweites Netz geleitet; dabei können IP-Adressen und die Inhalte einer Formular-Übermittlung kurzzeitig ausserhalb der Schweiz verarbeitet werden. Für die USA stützen wir uns auf die Standardvertragsklauseln von Vercel und auf das Swiss-U.S. Data Privacy Framework, soweit Vercel darunter zertifiziert ist.

Wechseln wir einen Unterauftragnehmer oder kommt einer dazu, informieren wir Sie mindestens 30 Tage vorher per E-Mail. Haben Sie einen sachlichen Grund dagegen, können Sie widersprechen. Finden wir dann keine Lösung, können Sie den Vertrag auf den Zeitpunkt des Wechsels kündigen.

8. Unterstützung bei Betroffenenrechten

Anfragen betroffener Personen — Auskunft, Berichtigung, Löschung, Datenherausgabe — richten sich an Sie als Verantwortlichen. Erreicht uns eine solche Anfrage, leiten wir sie an Sie weiter.

Wir unterstützen Sie dabei: Wir suchen die Daten einer Person heraus, exportieren, berichtigen oder löschen sie auf Ihre Weisung — in der Regel innert fünf Arbeitstagen, damit Sie die gesetzliche Frist von 30 Tagen einhalten können.

Dieser Aufwand ist im Abo inbegriffen, solange er im üblichen Rahmen bleibt.

9. Meldung von Datensicherheitsverletzungen

Stellen wir fest, dass Daten Ihrer Kundschaft unbefugt eingesehen, verändert, verloren oder gelöscht wurden, melden wir Ihnen das so schnell wie möglich — spätestens innert 72 Stunden, nachdem wir davon erfahren haben.

Die Meldung enthält, was wir wissen: Art des Vorfalls, betroffene Daten und Personen (soweit bekannt), mögliche Folgen, bereits ergriffene und geplante Massnahmen. Was wir noch nicht wissen, liefern wir nach.

Ob und wie Sie den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die betroffenen Personen informieren, entscheiden Sie. Wir helfen Ihnen mit den nötigen Angaben.

10. Löschung und Rückgabe

Nach Vertragsende geben wir Ihnen auf Wunsch alle Daten Ihrer Kundschaft in einem gängigen Format heraus (siehe AGB, Ziffer 13).

90 Tage nach Vertragsende löschen wir die Daten vollständig, inklusive Backups im üblichen Zyklus des Anbieters. Auf Ihre Weisung löschen wir früher.

Ausgenommen sind Daten, die wir gesetzlich aufbewahren müssen. Diese sperren wir und löschen sie nach Ablauf der Frist.

Auf Wunsch bestätigen wir die Löschung schriftlich.

11. Nachweise

Auf Anfrage geben wir Ihnen Auskunft über unsere Massnahmen nach Ziffer 6 und stellen Ihnen Zertifikate und Berichte unserer Unterauftragnehmer zur Verfügung, soweit sie uns vorliegen (zum Beispiel SOC-2-Berichte von Supabase und Vercel).

Sie können einmal jährlich oder bei konkretem Anlass eine Prüfung verlangen. Sie erfolgt nach Absprache, in der Regel schriftlich per Fragebogen. Aufwand über den üblichen Rahmen hinaus verrechnen wir nach Absprache.

12. Dauer und Beendigung

Dieser Vertrag gilt, solange das Website-Abo läuft. Er endet automatisch mit dem Abo.

Nach dem Ende gelten weiter: Vertraulichkeit (Ziffer 5) sowie Löschung und Rückgabe (Ziffer 10).

Bei Widersprüchen zwischen AGB und ADV geht in Datenschutzfragen der ADV vor.

Es gilt Schweizer Recht; der Gerichtsstand richtet sich nach den AGB (Ziffer 15).