Auftragsverarbeitungsvertrag

Die Kundenorganisation nutzt OffiQO zur Verwaltung betrieblicher oder organisatorischer Daten. Dazu gehören je nach Organisationstyp insbesondere Kunden, Kontaktpersonen, Mitglieder, Familien, Gönner, Mitarbeitende, Offerten, Rechnungen, Mahnungen, Mitgliederbeiträge, Zusatzpositionen, Gönneranfragen, Zahlungseingänge, Leistungen, Materialien, Notizen und Dokumente. Soweit diese Inhalte personenbezogene Daten enthalten, bearbeitet OffiQO sie im Auftrag der Kundenorganisation.

Dieser AVV gilt für die Dauer des Nutzungsvertrags. Bei Widersprüchen gehen seine datenschutzrechtlichen Bestimmungen den allgemeinen Vertragsbedingungen vor.

Die Kundenorganisation ist für die von ihr in OffiQO erfassten personenbezogenen Daten verantwortlich. Sie entscheidet über Zwecke und Mittel der Bearbeitung und stellt insbesondere sicher, dass die Daten rechtmässig erhoben, verwendet und in OffiQO gespeichert werden.

OffiQO bearbeitet diese Daten als Auftragsbearbeiter beziehungsweise – soweit die DSGVO anwendbar ist – als Auftragsverarbeiter. Bearbeitungen für eigene Zwecke, insbesondere Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Supportdaten, erfolgen unter eigener Verantwortung und richten sich nach der Datenschutzerklärung.

• Art der Bearbeitung: Erfassen, Ordnen, Speichern, Anzeigen, Abrufen, Ändern, Übermitteln, Exportieren, Sichern, Archivieren und Löschen.
• Zweck: Bereitstellung der Funktionen von OffiQO nach dokumentierter Nutzung und Weisung der Kundenorganisation.
• Dauer: grundsätzlich für die Laufzeit des Nutzungsvertrags zuzüglich erforderlicher Abwicklungs-, Sicherungs- und gesetzlicher Aufbewahrungsfristen.

• Stamm- und Kontaktdaten wie Name, Unternehmen oder Verein, Adresse, E-Mail-Adresse und Telefonnummer.
• Vertrags-, Angebots-, Rechnungs-, Zahlungs-, Leistungs- und Kommunikationsdaten.
• Inhalte von Notizen, Dokumenten und durch die Kundenorganisation hochgeladenen Dateien.
• Technische Zuordnungs-, Protokoll-, Zugriffs- und Nutzungsdaten.
• Betroffene Personen können insbesondere Kunden, Interessenten, Mitglieder und deren Familienangehörige, Gönner, Lieferanten, Mitarbeitende, Kontaktpersonen und sonstige Partner der Kundenorganisation sein.

OffiQO bearbeitet Auftragsdaten nur auf dokumentierte Weisung der Kundenorganisation, soweit keine gesetzliche Pflicht zu einer anderen Bearbeitung besteht. Die vertragsgemässe Nutzung und Konfiguration von OffiQO gilt als Weisung.

Zusätzliche Weisungen können an info@offiqo.app gerichtet werden. Verursachen Weisungen einen nicht vom Nutzungsvertrag umfassten Aufwand, informiert OffiQO vorab über eine mögliche angemessene Vergütung. Hält OffiQO eine Weisung für datenschutzwidrig, wird die Kundenorganisation darauf hingewiesen und die Ausführung darf bis zur Klärung ausgesetzt werden.

• Auftragsdaten werden nur im vereinbarten Umfang und nach dokumentierten Weisungen bearbeitet.
• Personen mit Zugriff auf Auftragsdaten werden zur Vertraulichkeit verpflichtet und erhalten nur die erforderlichen Berechtigungen.
• OffiQO unterstützt die Kundenorganisation im angemessenen und technisch möglichen Umfang bei Betroffenenanfragen, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und behördlichen Anfragen.
• OffiQO stellt die für den Nachweis der Vertragserfüllung erforderlichen Informationen bereit und ermöglicht angemessene Kontrollen nach Ziffer 11.
• OffiQO informiert die Kundenorganisation, wenn eine gesetzliche Pflicht eine Bearbeitung entgegen ihrer Weisung verlangt, soweit eine solche Information gesetzlich zulässig ist.

• Die Kundenorganisation gewährleistet eine gültige Rechtsgrundlage für die Bearbeitung und erfüllt ihre Informationspflichten gegenüber betroffenen Personen.
• Es erfasst keine Daten, deren Bearbeitung mit dem vereinbarten Einsatzzweck von OffiQO unvereinbar oder rechtswidrig ist.
• Es verwaltet Benutzerkonten und Berechtigungen sorgfältig, schützt Zugangsdaten und informiert OffiQO unverzüglich über vermuteten Missbrauch.
• Besonders schützenswerte beziehungsweise besondere Kategorien personenbezogener Daten sollen nur gespeichert werden, wenn dies erforderlich und rechtlich zulässig ist und geeignete zusätzliche Schutzmassnahmen bestehen.
• Die Kundenorganisation beantwortet Betroffenenanfragen und beurteilt Melde-, Informations- und Dokumentationspflichten in eigener Verantwortung.

OffiQO setzt risikogerechte technische und organisatorische Massnahmen ein. Dazu gehören insbesondere verschlüsselte Datenübertragung, Authentifizierung, rollenbasierte Berechtigungen, Mandantentrennung, Zugriffsbeschränkungen, Protokollierung sicherheitsrelevanter Vorgänge, Datensicherungen, Aktualisierung eingesetzter Systeme und Verfahren zur Wiederherstellung beziehungsweise Behandlung von Sicherheitsvorfällen.

Die Massnahmen dürfen entsprechend der technischen Entwicklung angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Sicherheitsdetails, deren Veröffentlichung den Schutz beeinträchtigen könnte, werden nur berechtigten Kunden oder Behörden in geeigneter vertraulicher Form offengelegt.

Die Kundenorganisation erteilt OffiQO eine allgemeine Genehmigung zum Einsatz der unten genannten Unterauftragsverarbeiter. OffiQO verpflichtet diese vertraglich zu angemessenen Datenschutz- und Sicherheitsanforderungen.

Über die Aufnahme oder Ersetzung eines Unterauftragsverarbeiters wird die Kundenorganisation in geeigneter Form informiert. Sie kann aus sachlich begründeten Datenschutzgründen innerhalb von 14 Tagen widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Dienst nach den vertraglichen Bestimmungen beendet werden.

• Supabase, Inc. – Datenbank, Authentifizierung, serverseitige Funktionen und Dateispeicherung – Verarbeitung je nach gewählter Projektregion und Unterauftragnehmern in der EU/EWR und gegebenenfalls in Drittländern.
• Vercel Inc. – Hosting, Auslieferung und technische Protokolle der Webanwendung – EU/EWR, USA und gegebenenfalls weitere Standorte der Unterauftragnehmer.
• Google LLC – Google Maps Platform und Places für die Adresssuche – EU/EWR, USA und gegebenenfalls weitere Standorte.
• Namecheap, Inc. (Private Email/SMTP) – Versand und Speicherung notwendiger Einladungs-, Passwort- und Systemnachrichten – USA und gegebenenfalls weitere Standorte eingesetzter Unterauftragnehmer.

Daten können in der Schweiz, der EU beziehungsweise dem EWR, den USA und an weiteren Standorten genehmigter Unterauftragsverarbeiter bearbeitet werden. OffiQO stellt sicher, dass die Voraussetzungen des anwendbaren Datenschutzrechts erfüllt werden.

Bei Übermittlungen in Staaten ohne anerkannt angemessenes Datenschutzniveau werden geeignete Garantien eingesetzt, insbesondere anerkannte Standardvertragsklauseln und erforderlichenfalls zusätzliche Schutzmassnahmen. Gesetzlich vorgesehene Ausnahmen bleiben vorbehalten.

OffiQO stellt auf Anfrage angemessene Informationen zum Nachweis der Einhaltung dieses AVV bereit. Kontrollen sind grundsätzlich zunächst anhand vorhandener Dokumentationen und Auskünfte durchzuführen.

Weitergehende Prüfungen müssen rechtzeitig angekündigt, auf das erforderliche Mass beschränkt und so durchgeführt werden, dass Sicherheit, Vertraulichkeit, andere Kunden und der Geschäftsbetrieb nicht beeinträchtigt werden. Die Kundenorganisation trägt die Kosten einer von ihr veranlassten Prüfung, ausser die Prüfung ergibt einen wesentlichen von OffiQO zu vertretenden Verstoss.

OffiQO informiert die Kundenorganisation unverzüglich, nachdem eine Verletzung der Sicherheit von Auftragsdaten bekannt geworden ist. Die Mitteilung enthält die verfügbaren Informationen, welche die Kundenorganisation zur Beurteilung und Erfüllung ihrer gesetzlichen Pflichten benötigt.

OffiQO ergreift angemessene Massnahmen zur Begrenzung und Behebung des Vorfalls. Die Entscheidung über eine Meldung an Behörden oder betroffene Personen obliegt der Kundenorganisation, soweit OffiQO nicht selbst gesetzlich zur Meldung verpflichtet ist.

Nach Beendigung des Nutzungsvertrags kann die Kundenorganisation ihre Daten innerhalb der angebotenen technischen und vertraglichen Möglichkeiten exportieren. Anschliessend löscht oder anonymisiert OffiQO die Auftragsdaten nach Ablauf angemessener Abwicklungs- und Sicherungsfristen, sofern keine gesetzliche Aufbewahrungspflicht oder ein anderer zulässiger Grund entgegensteht.

Daten in Sicherungskopien werden nach dem üblichen Sicherungs- und Rotationszyklus überschrieben beziehungsweise gelöscht und bis dahin gegen eine produktive Weiterverarbeitung geschützt.

Für die Haftung gelten die zwingenden gesetzlichen Vorschriften und ergänzend die Haftungsregelungen des Nutzungsvertrags beziehungsweise der AGB. Änderungen dieses AVV werden versioniert und der Kundenorganisation mitgeteilt, soweit sie deren Rechte oder Pflichten wesentlich betreffen.

Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam. Anwendbares Recht und Gerichtsstand richten sich vorbehaltlich zwingender Datenschutzvorschriften nach dem Nutzungsvertrag beziehungsweise den AGB.

Dieser AVV wird elektronisch abgeschlossen. Die Kundenorganisation nimmt die Version 2026-09-01 durch ausdrückliche Bestätigung bei der Registrierung, Aktivierung oder nach einer späteren Aufforderung an. OffiQO protokolliert die Kundenorganisation, den bestätigenden Benutzer, die Version und den Zeitpunkt der Annahme.