Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen:

und

gemeinsam die „Parteien“.

Dieser Vertrag regelt die Bearbeitung personenbezogener Daten durch den Auftragsbearbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der Software Salon-OS. Er ergänzt den Hauptvertrag (AGB bzw. Nutzungsvertrag).

Der Vertrag gilt für die gesamte Dauer der Nutzung von Salon-OS. Er endet automatisch mit Beendigung des Hauptvertrages.

Salon-OS verarbeitet personenbezogene Daten insbesondere für:

• Kundenverwaltung
• Terminverwaltung
• Online-Buchungen
• Mitarbeiterverwaltung
• Rechnungen
• Benachrichtigungen
• E-Mail-Kommunikation
• Website-Formulare
• Statistiken

Je nach Nutzung können insbesondere folgende Daten verarbeitet werden:

4.1 Kundendaten

• Vorname
• Nachname
• Telefonnummer
• E-Mail-Adresse
• Adresse
• Geburtsdatum
• Notizen
• Termine
• Dienstleistungen
• Mitarbeiterzuordnungen

4.2 Mitarbeiterdaten

• Name
• E-Mail
• Rolle
• Arbeitszeiten
• Berechtigungen

4.3 Systemdaten

• IP-Adresse
• Browser
• Geräteinformationen
• Login-Zeitpunkte
• Protokolldaten

• Kunden des Salons
• Mitarbeitende
• Administratoren
• Website-Besucher
• Interessenten

Der Auftragsbearbeiter verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Gesetzliche Verpflichtungen zur Datenverarbeitung bleiben vorbehalten; in diesem Fall informiert der Auftragsbearbeiter den Verantwortlichen vor der Verarbeitung, sofern das Gesetz dies nicht verbietet.

Ist der Auftragsbearbeiter der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

Weisungen erfolgen grundsätzlich über die Konfigurationsmöglichkeiten der Plattform, in Textform an privacy@salon-os.app oder über den Support.

Der Auftragsbearbeiter verpflichtet sich, alle personenbezogenen Daten vertraulich zu behandeln. Sämtliche Mitarbeitenden und beauftragten Personen sind auf Vertraulichkeit verpflichtet.

Der Auftragsbearbeiter setzt angemessene technische und organisatorische Massnahmen ein. Hierzu gehören insbesondere:

8.1 Zugriffsschutz

• Passwortschutz
• Rollenverwaltung
• Mehrstufige Berechtigungen
• sichere Authentifizierung

8.2 Netzwerksicherheit

• TLS-Verschlüsselung
• HTTPS
• Firewalls
• DDoS-Schutz
• Cloudflare-Sicherheitsfunktionen

8.3 Datensicherheit

• Verschlüsselte Datenübertragung
• Sichere Speicherung
• Regelmässige Updates
• Zugriffsbeschränkungen
• Protokollierung sicherheitsrelevanter Ereignisse

8.4 Organisation

• Berechtigungskonzepte
• Need-to-know-Prinzip
• Dokumentierte Prozesse
• Regelmässige Überprüfung der Sicherheitsmassnahmen

Die vollständige Beschreibung findest du unter Technische & organisatorische Massnahmen.

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsbearbeitern. Derzeit werden eingesetzt:

Der Auftragsbearbeiter informiert den Verantwortlichen mindestens dreissig (30) Tage vor dem Hinzuziehen oder dem Austausch eines Unterauftragsbearbeiters (Aktualisierung der Subprozessorenliste und Benachrichtigung per E-Mail oder in der Plattform).

Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus sachlich begründeten datenschutzrechtlichen Gründen in Textform widersprechen. Kann keine einvernehmliche Lösung gefunden werden, steht dem Verantwortlichen ein ausserordentliches Kündigungsrecht auf den Zeitpunkt des Wirksamwerdens der Änderung zu.

Der Auftragsbearbeiter verpflichtet jeden Unterauftragsbearbeiter vertraglich auf Datenschutzpflichten, welche den Pflichten aus diesem Vertrag im Wesentlichen entsprechen, und haftet für deren Einhaltung wie für eigenes Handeln.

Der Auftragsbearbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei:

• Auskunftsersuchen
• Löschanfragen
• Berichtigungen
• Einschränkungen
• Datenschutzverletzungen
• Datenschutz-Folgenabschätzungen

soweit dies technisch möglich und wirtschaftlich zumutbar ist.

Der Auftragsbearbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit diese den Verantwortlichen betrifft. Damit wird dem Verantwortlichen die Einhaltung seiner eigenen Meldefristen (72 Stunden gemäss Art. 33 DSGVO bzw. „so rasch als möglich“ gemäss Art. 24 DSG) ermöglicht. Die Mitteilung enthält, soweit bekannt:

• Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
• betroffene Daten
• mögliche Auswirkungen
• bereits ergriffene Massnahmen
• empfohlene Gegenmassnahmen
• Kontaktstelle für Rückfragen

Meldungen erfolgen an die im Konto hinterlegte Kontaktadresse des Verantwortlichen. Der Auftragsbearbeiter dokumentiert Vorfälle und stellt dem Verantwortlichen die zur Erfüllung seiner Melde- und Dokumentationspflichten erforderlichen Informationen bereit.

Der Verantwortliche ist berechtigt, sich über die Einhaltung dieses Vertrages zu informieren. Kontrollen erfolgen nach angemessener Vorankündigung und dürfen den Geschäftsbetrieb nicht unverhältnismässig beeinträchtigen.

Der Auftragsbearbeiter kann geeignete Nachweise (z. B. Zertifizierungen oder Auditberichte) als Ersatz für Vor-Ort-Kontrollen bereitstellen, sofern diese den Nachweis der Einhaltung angemessen ermöglichen.

Nach Beendigung des Hauptvertrages hat der Verantwortliche die Wahl, ob die personenbezogenen Daten zurückgegeben (exportiert) oder gelöscht werden. Die Wahl ist innerhalb von dreissig (30) Tagen nach Vertragsende in Textform mitzuteilen.

Der Export erfolgt im Rahmen der vorhandenen Exportfunktionen in einem gängigen, maschinenlesbaren Format. Trifft der Verantwortliche innerhalb der Frist keine Wahl, werden die Daten nach Ablauf dieser 30 Tage gelöscht.

Von der Löschung ausgenommen sind Daten, für welche eine gesetzliche Aufbewahrungspflicht besteht; diese werden gesperrt und ausschliesslich zu diesem Zweck aufbewahrt. Backups werden im Rahmen der regulären Rotation (in der Regel innerhalb von 14 Tagen) überschrieben. Die Löschung wird auf Verlangen in Textform bestätigt.

Die Haftung richtet sich nach dem Hauptvertrag sowie den gesetzlichen Bestimmungen. Jede Partei haftet für Verstösse gegen die für sie geltenden datenschutzrechtlichen Pflichten.

Änderungen dieses Vertrages bedürfen der Textform.

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt ausschliesslich Schweizer Recht. Gerichtsstand ist Basel, soweit gesetzlich zulässig.

• TLS-Verschlüsselung aller Datenübertragungen
• Verschlüsselte Speicherung sensibler Daten, soweit technisch vorgesehen
• Sichere Passwort-Hashes
• Rollen- und Berechtigungskonzept
• Multi-Tenant-Datentrennung
• Regelmässige Sicherheitsupdates
• Firewall- und DDoS-Schutz
• Zugriffskontrollen für Administratoren
• Protokollierung sicherheitsrelevanter Ereignisse
• Datensicherungen gemäss internen Prozessen
• Wiederherstellungsverfahren für den Notfall
• Datenschutz durch Technikgestaltung (Privacy by Design)
• Datenschutzfreundliche Voreinstellungen (Privacy by Default)