Auftragsbearbeitungsvertrag (AVV)
Stand: Juni 2026
Vereinbarung über die Auftragsbearbeitung zwischen dem nutzenden Betrieb (gemäss Registrierung, «Verantwortlicher») und der kreativ&co GmbH, Poststrasse 122, 7050 Arosa, UID CHE-426.720.569 («Auftragsbearbeiterin»). Grundlage: Art. 9 revDSG, Art. 28 DSGVO.
1. Gegenstand und Dauer
Die Auftragsbearbeiterin betreibt für den Verantwortlichen die Software «Elektro App» (SaaS) und bearbeitet dabei in dessen Auftrag Personendaten. Die Vereinbarung gilt für die Dauer des Nutzungsvertrags.
2. Art und Zweck der Bearbeitung
Speicherung, Strukturierung und Bereitstellung von Mitarbeiterdaten (Kontakt-, ggf. Lohn-/Pensumsdaten), Kundendaten (Kontakte, Adressen), Projekt-, Zeiterfassungs-, Rapport-, Offerten- und Rechnungsdaten. Betroffene: Mitarbeitende und Endkunden des Verantwortlichen. Optionale KI-Funktionen verarbeiten zusätzlich Sprachaufnahmen und Dokumente — nur nach Einwilligung.
3. Weisungen
Die Bearbeitung erfolgt ausschliesslich vertragsgemäss und nach dokumentierten Weisungen des Verantwortlichen (in der Regel: Konfiguration in der App). Hält die Auftragsbearbeiterin eine Weisung für datenschutzwidrig, informiert sie den Verantwortlichen.
4. Vertraulichkeit
Alle mit der Bearbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet.
5. Sicherheit der Bearbeitung (TOMs)
Angemessene technische und organisatorische Massnahmen, insbesondere: TLS-Verschlüsselung, mandantengetrennte Datenhaltung (Row Level Security), rollenbasierte Zugriffe, Beschränkung sensibler Mitarbeiterfelder auf Administratoren, tägliche Backups, Zugriffs- und Änderungsprotokolle, Security-Header, Rate-Limits.
6. Unterauftragsbearbeiter
Der Verantwortliche genehmigt: Supabase (DB/Auth/Storage, EU Frankfurt), Vercel (Hosting), Resend (E-Mail) sowie — nur bei aktivierten KI-Funktionen — OpenAI, Google, Anthropic. Transfers in die USA stützen sich auf EU-Standardvertragsklauseln bzw. das Swiss-U.S. Data Privacy Framework. Über geplante Änderungen wird vorab informiert (Widerspruchs- und Kündigungsrecht).
7. Unterstützung des Verantwortlichen
Unterstützung bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Herausgabe — weitgehend als Self-Service: Konto-Löschung, Datenexporte) und bei Meldepflichten.
8. Meldung von Verletzungen
Verletzungen der Datensicherheit werden dem Verantwortlichen unverzüglich gemeldet.
9. Löschung und Rückgabe
Bei Vertragsende kann der Verantwortliche sämtliche Daten selbst exportieren (Einstellungen → Daten). Nach Vertragsende werden die Daten innert 90 Tagen gelöscht, vorbehältlich gesetzlicher Aufbewahrungspflichten.
10. Nachweis und Kontrolle
Die Auftragsbearbeiterin stellt auf Anfrage die zum Nachweis der Pflichten erforderlichen Informationen bereit (Bearbeitungsverzeichnis, DPA-Nachweise der Unterauftragsbearbeiter).
11. Anwendbares Recht / Gerichtsstand
Schweizer Recht. Gerichtsstand ist der Sitz der Auftragsbearbeiterin.