Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt, wie SkriDoc Personendaten im Auftrag seiner Kundinnen und Kunden bearbeitet. Er ist Bestandteil der AGB und auf die Datenschutzerklärung abgestimmt.

Auf Anfrage an support@skridoc.ch senden wir Ihnen diesen Vertrag als PDF zur Unterschrift.

Dieser Vertrag wird geschlossen zwischen

• SkriDoc, Inhaberin Annemarie Rodano (Einzelunternehmen), c/o SEBONA Treuhand Böhner, Hohstrasse 1, 8302 Kloten, Schweiz (nachfolgend «SkriDoc» oder «Auftragsbearbeiter») und
• der Kundin oder dem Kunden, die oder der SkriDoc gemäss den AGB nutzt (nachfolgend «Kunde» oder «Verantwortlicher»).

Der Vertrag ist Bestandteil der AGB und gilt mit deren Annahme. Er gilt für alle Tarife, in denen der Kunde Personendaten Dritter in SkriDoc bearbeitet, insbesondere für den Business-Tarif mit Team, Checklisten und Kenntnisnahmen. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

Kontakt für alle Datenschutzfragen: support@skridoc.ch.

Gegenstand: SkriDoc stellt dem Kunden eine webbasierte Plattform bereit, um Anleitungen und Dokumentationen zu erstellen, freizugeben, per QR-Code bereitzustellen und zu exportieren sowie Checklisten durchführen und Kenntnisnahmen bestätigen zu lassen. SkriDoc bearbeitet Personendaten nur, um diese Leistung zu erbringen.

Dauer: Der Vertrag läuft so lange wie der Hauptvertrag. Er gilt darüber hinaus, solange SkriDoc noch Personendaten des Kunden bearbeitet, etwa in Datensicherungen.

Art der Bearbeitung: Speichern, Anzeigen, Bearbeiten, Exportieren (PDF, Word, ZIP), Freigeben per Link und QR-Code, Versand von Systemmitteilungen, Sichern und Löschen. Auf ausdrückliche Auslösung durch den Nutzer zudem Textverarbeitung durch KI (Korrigieren, Umschreiben, Übersetzen, Struktur erkennen).

Betroffene Personen:

• Mitarbeitende, Lernende und Teammitglieder des Kunden
• externe Personen ohne SkriDoc-Konto, die Checklisten ausfüllen, etwa Reinigungs- oder Wartungsfirmen
• Kunden, Partner und Lieferanten des Kunden sowie deren Mitarbeitende
• weitere Personen, die in Dokumentationen oder auf Screenshots erscheinen

Die Bearbeitung besonders schützenswerter Personendaten ist nicht vorgesehen. Gibt der Kunde solche Daten ein, stellt er die Rechtmässigkeit selbst sicher.

Dieser Vertrag erfüllt die Anforderungen an eine Auftragsbearbeitung nach Art. 9 des Schweizer Datenschutzgesetzes (revDSG). Untersteht der Kunde oder eine von ihm bearbeitete Person der EU-Datenschutz-Grundverordnung, erfüllt der Vertrag zusätzlich Art. 28 DSGVO. Die Begriffe «Bearbeitung» (DSG) und «Verarbeitung» (DSGVO) sind in diesem Vertrag gleichbedeutend.

4.1 SkriDoc bearbeitet Personendaten nur nach diesem Vertrag und den dokumentierten Weisungen des Kunden. Die Nutzung der Funktionen der Plattform durch den Kunden gilt als Weisung.

4.2 Weitere Weisungen erteilt der Kunde per E-Mail an support@skridoc.ch.

4.3 Ist SkriDoc gesetzlich zu einer anderen Bearbeitung verpflichtet, informiert SkriDoc den Kunden vorher, sofern das Gesetz dies nicht verbietet.

4.4 Hält SkriDoc eine Weisung für rechtswidrig, teilt SkriDoc dies dem Kunden unverzüglich mit und darf sie bis zur Klärung aussetzen.

4.5 SkriDoc nutzt die Daten des Kunden nicht für eigene Zwecke. SkriDoc wertet Inhalte nicht aus, verkauft sie nicht, erstellt keine Profile und nutzt sie nicht für das Training von KI-Modellen.

4.6 SkriDoc trennt die Daten jedes Kunden und jedes Teams logisch von den Daten anderer Kunden.

4.7 Berichtigung, Löschung und Export kann der Kunde direkt in der Plattform selbst vornehmen. Wo das nicht möglich ist, erledigt SkriDoc dies auf Verlangen des Kunden.

SkriDoc verpflichtet alle Personen, die Zugang zu Kundendaten haben, zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus. Derzeit hat ausschliesslich die Betreiberin von SkriDoc Zugriff auf die Systeme, abgesichert über SSH-Schlüssel.

Als Betreiberin hat SkriDoc administrativen Zugang zur Datenbank und damit grundsätzlich Einsicht in gespeicherte Inhalte. SkriDoc nutzt diesen Zugang nur für Betrieb, Wartung, Fehlerbehebung und Support, im erforderlichen Umfang und anlassbezogen, in der Regel auf Anfrage oder mit Kenntnis des Kunden.

SkriDoc trifft Massnahmen nach Art. 8 revDSG und Art. 32 DSGVO, die dem Risiko der Bearbeitung angemessen sind. Sie schützen Vertraulichkeit, Integrität und Verfügbarkeit der Daten. Die Massnahmen sind in Anhang A beschrieben.

SkriDoc darf die Massnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen werden dokumentiert und dem Kunden auf Anfrage mitgeteilt.

7.1 Der Kunde erteilt eine allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen. Die bei Vertragsschluss eingesetzten sind in der Tabelle unten aufgeführt und gelten als genehmigt.

7.2 SkriDoc informiert den Kunden mindestens 30 Tage vor dem Beizug oder Wechsel eines Unterauftragsbearbeiters per E-Mail.

7.3 Der Kunde kann innert 14 Tagen nach der Information aus wichtigem Grund widersprechen. Hält SkriDoc am Wechsel fest, darf der Kunde den Vertrag auf den Zeitpunkt des Wechsels ausserordentlich kündigen; im Voraus bezahlte Beträge für die Restlaufzeit werden anteilig erstattet.

7.4 SkriDoc verpflichtet jeden Unterauftragsbearbeiter vertraglich auf ein gleichwertiges Datenschutzniveau und haftet gegenüber dem Kunden für dessen Pflichterfüllung.

7.5 Stripe wickelt Zahlungen und Abonnements ab. Dabei bearbeitet Stripe nur die Abrechnungsdaten des Kunden selbst, für die SkriDoc verantwortlich ist (Datenschutzerklärung Ziff. 6), und keine Inhalte oder Daten von Teammitgliedern und Dritten. Stripe ist deshalb kein Unterauftragsbearbeiter im Sinne dieses Vertrags.

Kontodaten, Inhalte, Dateien, Datensicherungen und die KI-Verarbeitung liegen bei Infomaniak in der Schweiz. Für Kunden aus der EU ist das zulässig, weil die EU-Kommission der Schweiz ein angemessenes Datenschutzniveau anerkennt.

Ins Ausland gelangen nur die Daten für den E-Mail-Versand über Resend (USA): E-Mail-Adresse, Name und Inhalt der Systemmitteilung. Inhalte von Dokumentationen werden nicht übermittelt. Grundlage ist das Swiss-U.S. bzw. EU-U.S. Data Privacy Framework, soweit Resend danach zertifiziert ist, im Übrigen die Standardvertragsklauseln der EU-Kommission mit Schweizer Anpassung (Art. 16 Abs. 2 revDSG, Art. 46 DSGVO).

Betroffenenrechte: SkriDoc unterstützt den Kunden dabei, Anfragen betroffener Personen zu beantworten, etwa auf Auskunft, Berichtigung, Löschung oder Datenherausgabe (Art. 25–29 revDSG, Art. 12–22 DSGVO). Wendet sich eine betroffene Person direkt an SkriDoc, etwa eine Person, die eine Checkliste ausgefüllt hat, leitet SkriDoc die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, ausser der Kunde stimmt zu.

Datenschutzverletzungen: Erfährt SkriDoc von einer Verletzung der Datensicherheit, die Daten des Kunden betrifft, informiert SkriDoc den Kunden unverzüglich, spätestens innert 48 Stunden. Die Meldung enthält, soweit bekannt:

• Art der Verletzung und betroffene Datenkategorien
• ungefähre Zahl der betroffenen Personen und Datensätze
• wahrscheinliche Folgen
• ergriffene und vorgeschlagene Gegenmassnahmen

Damit kann der Kunde seine eigenen Meldepflichten erfüllen: in der Schweiz so rasch als möglich an den EDÖB (Art. 24 revDSG), in der EU innert 72 Stunden an die Aufsichtsbehörde (Art. 33 DSGVO).

Weitere Unterstützung: SkriDoc unterstützt den Kunden im zumutbaren Umfang bei Datenschutz-Folgenabschätzungen und bei Prüfungen durch Aufsichtsbehörden.

Kontrollrechte: Der Kunde darf die Einhaltung dieses Vertrags prüfen. SkriDoc stellt dazu in erster Linie Unterlagen bereit, etwa die Massnahmen nach Anhang A und die Datenschutzbestimmungen der Unterauftragsbearbeiter. Prüfungen vor Ort sind mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten und höchstens einmal jährlich möglich, ausser bei konkretem Verdacht auf einen Verstoss. Prüfpersonen, die mit SkriDoc im Wettbewerb stehen, kann SkriDoc ablehnen. Die Kosten der Prüfung trägt der Kunde.

Export und Löschung: Der Kunde kann seine Inhalte jederzeit selbst exportieren (PDF, im entsprechenden Tarif Word, gesamthaft als ZIP) und sein Konto selbst löschen. Mit der Löschung des Kontos bzw. der Auflösung des Teams werden die Daten aus den aktiven Systemen gelöscht. In den Datensicherungen bei Infomaniak (Swiss Backup) bleiben sie höchstens 30 Tage bestehen und werden danach automatisch entfernt. Das Aktivitätsprotokoll wird nach 12 Monaten, Server-Logs nach rund 14 Tagen automatisch gelöscht. Gesetzliche Aufbewahrungspflichten, etwa für Abrechnungsdaten, bleiben vorbehalten. Auf Wunsch bestätigt SkriDoc die Löschung per E-Mail.

Kündigung aus wichtigem Grund: Verstösst SkriDoc schwerwiegend gegen diesen Vertrag oder das Datenschutzrecht, kann der Kunde den Hauptvertrag fristlos kündigen.

Haftung: Es gelten die Haftungsregeln der AGB (Ziff. 13). Zwingende gesetzliche Haftungsbestimmungen, insbesondere Art. 82 DSGVO, bleiben vorbehalten.

Änderungen: SkriDoc kann diesen Vertrag anpassen, wenn Gesetzesänderungen, neue Funktionen oder neue Unterauftragsbearbeiter dies erfordern. Es gilt das Verfahren nach Ziff. 14 der AGB mit 30 Tagen Vorankündigung und Widerspruchsrecht.

Anwendbares Recht und Gerichtsstand: Es gilt schweizerisches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Dielsdorf, Schweiz. Zwingende Bestimmungen der DSGVO bleiben vorbehalten.

Salvatorische Klausel: Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag gültig. An ihre Stelle tritt eine wirksame Regelung, die ihrem Zweck möglichst nahekommt.