Auftragsverarbeitungsvertrag (AVV)
Stand: 10. Juli 2026
Dieser Auftragsverarbeitungsvertrag («AVV») ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen zwischen Vollmer LABS, Habshagstrasse 15, 4153 Reinach, Schweiz («Auftragsbearbeiterin») und dem Kunden («Verantwortlicher»). Er konkretisiert die Pflichten der Parteien bei der Bearbeitung von Personendaten im Auftrag gemäss Art. 9 des Schweizer Datenschutzgesetzes (DSG); die Regelung orientiert sich zusätzlich an Art. 28 DSGVO.
1. Gegenstand, Art und Zweck der Bearbeitung
Die Auftragsbearbeiterin bearbeitet Personendaten, die der Verantwortliche im SaaS-Dienst «Jeffri» erfasst oder über angebundene Systeme einspeist, ausschliesslich zur Erbringung der vertraglichen Leistungen: Speicherung und Verwaltung von Projekt-, Bestell- und Montagedaten, Prüfung und Abgleich von Dokumenten (einschliesslich KI-gestützter Auswertung), Kommunikation sowie betriebswirtschaftliche Auswertungen.
Kategorien betroffener Personen
- Endkundinnen und Endkunden des Verantwortlichen,
- Mitarbeitende und Beauftragte des Verantwortlichen,
- Kontaktpersonen von Lieferanten, Handwerkern und weiteren Geschäftspartnern.
Kategorien von Personendaten
- Stamm- und Kontaktdaten (Namen, Adressen, E-Mail, Telefon),
- Vertrags- und Projektdaten (Offerten, Bestellungen, Rechnungen, Termine),
- Dokumente, Pläne, Fotos und Kommunikationsinhalte,
- Protokolldaten der Nutzung.
Besonders schützenswerte Personendaten sind für den Dienst nicht vorgesehen; der Verantwortliche erfasst solche Daten nicht.
2. Weisungsrecht
Die Auftragsbearbeiterin bearbeitet Personendaten nur auf dokumentierte Weisung des Verantwortlichen — Weisungen ergeben sich in erster Linie aus der Nutzung des Dienstes (Konfiguration, Freigaben) sowie aus den AGB. Hält die Auftragsbearbeiterin eine Weisung für datenschutzwidrig, informiert sie den Verantwortlichen unverzüglich.
3. Vertraulichkeit
Die Auftragsbearbeiterin stellt sicher, dass die mit der Bearbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind und Personendaten nur bearbeiten, soweit dies zur Leistungserbringung erforderlich ist.
4. Technische und organisatorische Massnahmen (TOM)
- Verschlüsselung der Datenübertragung (TLS) und der gespeicherten Daten,
- strikte Mandantentrennung auf Datenbankebene (Row Level Security) — jeder Mandant sieht ausschliesslich seine eigenen Daten,
- rollenbasierte Zugriffskontrolle und Zwei-Faktor-Authentifizierung,
- unveränderliches Audit-Protokoll über Freigaben und sicherheitsrelevante Aktionen,
- Freigabeprinzip: geld- und vertragsrelevante Aktionen erfordern eine menschliche Bestätigung durch berechtigte Personen des Verantwortlichen,
- regelmässige Datensicherungen und dokumentierte Wiederherstellungspfade,
- Minimalprinzip bei Zugriffen der Auftragsbearbeiterin (Support nur bei Bedarf).
Die Auftragsbearbeiterin darf die TOM weiterentwickeln, sofern das Schutzniveau insgesamt nicht unterschritten wird.
5. Subauftragsbearbeiter
Der Verantwortliche genehmigt die in der Datenschutzerklärung, Ziffer 7 aufgeführten Subprozessoren. Die Auftragsbearbeiterin verpflichtet ihre Subauftragsbearbeiter auf im Wesentlichen gleichwertige Datenschutzpflichten. Über den Beizug neuer oder den Ersatz bestehender Subauftragsbearbeiter informiert sie den Verantwortlichen mindestens 30 Tage im Voraus; der Verantwortliche kann aus datenschutzrechtlich begründetem Anlass widersprechen. Führt der Widerspruch zu keiner einvernehmlichen Lösung, steht beiden Parteien ein Kündigungsrecht auf den Zeitpunkt des Beizugs zu.
Systeme, die der Verantwortliche selbst anbindet (z. B. Microsoft 365, Planungs- und Buchhaltungssoftware, Lieferanten), sind keine Subauftragsbearbeiter der Auftragsbearbeiterin; massgebend ist das Vertragsverhältnis des Verantwortlichen mit dem jeweiligen Anbieter.
6. Bekanntgabe ins Ausland
Die produktive Datenhaltung erfolgt in der Schweiz. Soweit Subauftragsbearbeiter Personendaten im Ausland bearbeiten, stellt die Auftragsbearbeiterin geeignete Garantien sicher (insbesondere Standarddatenschutzklauseln bzw. Swiss–U.S. Data Privacy Framework), vgl. Datenschutzerklärung Ziffer 8.
7. Unterstützung des Verantwortlichen
Die Auftragsbearbeiterin unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe) sowie bei der Einhaltung der Pflichten zur Datensicherheit. Begehren betroffener Personen, die direkt bei der Auftragsbearbeiterin eingehen, leitet sie unverzüglich an den Verantwortlichen weiter.
8. Meldung von Verletzungen der Datensicherheit
Die Auftragsbearbeiterin meldet dem Verantwortlichen Verletzungen der Datensicherheit, die dessen Personendaten betreffen, unverzüglich nach Kenntnisnahme und stellt die für die Beurteilung und allfällige Meldungen an den EDÖB oder betroffene Personen erforderlichen Informationen zur Verfügung.
9. Nachweis und Audit
Die Auftragsbearbeiterin weist die Einhaltung dieses AVV auf Anfrage durch geeignete Dokumentation nach. Genügt dies im Einzelfall begründetermassen nicht, kann der Verantwortliche höchstens einmal jährlich — nach Voranmeldung, während der Geschäftszeiten und auf eigene Kosten — eine Überprüfung durchführen oder durch eine zur Vertraulichkeit verpflichtete Fachperson durchführen lassen.
10. Löschung und Rückgabe
Nach Beendigung des Vertragsverhältnisses stellt die Auftragsbearbeiterin dem Verantwortlichen dessen Daten auf Verlangen in einem gängigen Format zur Verfügung und löscht sie anschliessend innert angemessener Frist, soweit keine gesetzlichen Aufbewahrungspflichten (insbesondere Art. 958f OR, GeBüV) entgegenstehen. Für Daten, die aufgrund solcher Pflichten aufbewahrt werden, gelten die Pflichten dieses AVV bis zur Löschung fort.
11. Dauer und Schlussbestimmungen
Dieser AVV gilt für die Dauer des Hauptvertrags. Bei Widersprüchen zwischen diesem AVV und den AGB geht in datenschutzrechtlichen Fragen der AVV vor. Es gelten anwendbares Recht und Gerichtsstand gemäss den AGB.