Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch Material Concierge (Bureau Kersten, «Auftragsverarbeiter») im Auftrag des Kunden («Verantwortlicher»). Er gilt ergänzend zu den AGB und wird mit deren Annahme wirksam. Massgebend sind das Schweizer Datenschutzgesetz (DSG) sowie, soweit anwendbar, Art. 28 DSGVO.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung der Plattform bereitstellt (z. B. Kontaktdaten von Mitarbeitenden, Projekt- und Materialdaten). Die Verarbeitung erfolgt ausschliesslich zur Erbringung der vertraglich vereinbarten Leistung und für die Dauer des Abonnements.

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
• Vertraulichkeit der zur Verarbeitung befugten Personen
• Angemessene technische und organisatorische Massnahmen (§ 3)
• Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten
• Keine Nutzung der Daten zum Training von KI-Modellen

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung
• Mandantentrennung auf Datenbankebene (Row Level Security): jedes Büro sieht ausschliesslich seine eigenen Daten
• Zugriff nur für berechtigte Personen, Passwort-Authentifizierung
• Hosting der Kerndaten auf Servern in der EU

Der Verantwortliche genehmigt den Einsatz folgender Sub-Auftragsverarbeiter:

• Supabase – Datenbank und Hosting (EU)
• Anthropic – KI-Bildanalyse (USA)
• Stripe – Zahlungsabwicklung (EU/USA)
• Netlify – Web-Hosting (USA)
• Resend – E-Mail-Versand (USA)

Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln (SCC). Der Auftragsverarbeiter informiert über beabsichtigte Änderungen; der Verantwortliche kann begründet widersprechen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung) und meldet ihm Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnisnahme.

Nach Beendigung des Vertrags werden die personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann seine Daten jederzeit vollständig exportieren (kein Lock-in).

Der Verantwortliche kann sich von der Einhaltung dieses AVV überzeugen. Der Auftragsverarbeiter stellt auf Anfrage die erforderlichen Informationen bereit.

Es gelten die Haftungsregelungen der AGB. Dieser AVV unterliegt Schweizer Recht; Gerichtsstand ist Zürich.