Auftragsverarbeitungsvertrag (AVV)
Version 2027-01, gültig ab 20. Oktober 2026 — Art. 28 DSGVO und Bundesgesetz über den Datenschutz der Schweiz (DSG)
Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen. Er gilt für die personenbezogenen Daten, die der Kunde (der Verantwortliche) in seinem Fluidify-Bereich speichert und die von 7th World Ltd (dem Auftragsverarbeiter) verarbeitet werden.
1. Gegenstand und Dauer
Der Auftragsverarbeiter hostet und verarbeitet die Daten des Kunden ausschließlich, um den in den Allgemeinen Geschäftsbedingungen beschriebenen Dienst zu erbringen, für die Dauer des Abonnements und bis zu der in Ziffer 9 vorgesehenen Löschung.
2. Art der Daten und betroffene Personen
| Betroffene Personen | Daten |
|---|---|
| Kunden und Interessenten des Kunden sowie deren Kontaktpersonen | Identität, Kontaktdaten, Adressen der Standorte, Korrespondenz, Angebote, Rechnungen, Zahlungen |
| Mitarbeitende und Benutzer des Kunden | Identität, E-Mail, Telefon, Rolle, Zeiterfassungen und Stundenzettel, Befähigungen, Unterschriften, bei Einsätzen aufgenommene Fotos |
| Unterzeichner der Berichte | Name, Funktion, Unterschrift |
Der Dienst ist nicht für besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO ausgelegt; der Kunde sieht davon ab, solche Daten zu speichern.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, die durch die Allgemeinen Geschäftsbedingungen, diesen Vertrag und die Nutzung des Dienstes erteilt wird. Er informiert den Kunden, wenn eine Weisung seiner Ansicht nach gegen Rechtsvorschriften verstößt.
4. Vertraulichkeit
Die zum Zugriff auf die Daten befugten Personen (Betreiber von 7th World Ltd) unterliegen einer Vertraulichkeitspflicht. Ihre Zugriffe sind auf die Erfordernisse von Support und Betrieb beschränkt und werden protokolliert.
5. Sicherheit
Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:
- einen eigenen virtuellen Server pro Kunde, ohne gemeinsam genutzte Datenbank;
- die Verschlüsselung der Übertragungen (HTTPS) und der Sicherungen;
- eine Anmeldung per Einmalcode, zeitlich begrenzte und widerrufbare Sitzungen, rollenbasierte Rechte und ein Änderungsprotokoll;
- tägliche Sicherungen auf einen separaten Server, der nur Ergänzungen annimmt, sowie getestete Wiederherstellungen;
- das Einspielen von Sicherheitskorrekturen und Updates mit automatischer Rückkehr zur Vorversion.
6. Weitere Auftragsverarbeiter
Der Kunde genehmigt den Einsatz der folgenden weiteren Auftragsverarbeiter:
| Auftragsverarbeiter | Aufgabe | Standort |
|---|---|---|
| Contabo GmbH | Hosting der Server und der Sicherungen | Deutschland (EU) |
| Gandi SAS | Versand der E-Mails des Dienstes | Frankreich (EU) |
Der Auftragsverarbeiter informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über jede Hinzufügung oder Ersetzung; der Kunde kann dem widersprechen, indem er kostenfrei kündigt.
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Kunden bei der Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen (insbesondere durch die Export- und Änderungsfunktionen des Dienstes), bei der Durchführung einer Datenschutz-Folgenabschätzung, sofern erforderlich, und bei der Einhaltung seiner Sicherheitspflichten.
8. Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch 48 Stunden, nachdem sie ihm bekannt geworden ist, mit den verfügbaren Informationen, damit der Kunde die Aufsichtsbehörde benachrichtigen kann.
9. Vertragsende
Am Ende des Abonnements verfügt der Kunde über 15 Tage Lesezugriff, um seine Daten zu exportieren. Danach wird der Server gelöscht; die verschlüsselten Sicherungen werden spätestens 12 Monate nach der Schließung gelöscht.
10. Audit
Der Auftragsverarbeiter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Ein Audit kann einmal pro Jahr mit einer Vorankündigung von 30 Tagen auf Kosten des Kunden verlangt werden.
11. Übermittlungen
Die Daten werden in der Europäischen Union gehostet. 7th World Ltd ist im Vereinigten Königreich niedergelassen, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht; Zugriffe aus dem Vereinigten Königreich sind durch diesen Beschluss geregelt. Es finden keine weiteren Übermittlungen außerhalb der Europäischen Union statt.