Auftragsverarbeitungsvertrag
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen zwischen DCHUB, einem Einzelunternehmen nach schweizerischem Recht, Seestrasse 216, 8810 Horgen, Schweiz („Revnetic“, der „Auftragsverarbeiter“), und der Werkstatt, die ein Revnetic-Konto erstellt (der „Verantwortliche“). Er regelt die Verarbeitung personenbezogener Daten, die der Verantwortliche Revnetic anvertraut, und ist auf die Erfüllung von Art. 28 der EU-Datenschutz-Grundverordnung (DSGVO) sowie des Schweizer Bundesgesetzes über den Datenschutz (revDSG) ausgelegt. Er wird bei der Registrierung elektronisch akzeptiert und ist ohne Unterschrift verbindlich.
1. Gegenstand und Dauer
Gegenstand der Verarbeitung ist die Bereitstellung der Revnetic-Werkstattmanagement-Plattform. Dieser AVV gilt, solange der Verantwortliche ein Revnetic-Konto unterhält, zuzüglich der Aufbewahrungsfrist nach Vertragsende gemäss Abschnitt 10.
2. Art und Zweck der Verarbeitung
Revnetic hostet, speichert, zeigt an, übermittelt und verarbeitet anderweitig personenbezogene Daten, die der Verantwortliche eingibt, ausschliesslich zur Bereitstellung der Funktionen des Dienstes — Kunden- und Fahrzeugdaten, Terminplanung, Offerten und Rechnungsstellung, das Kundenportal, E-Mail-Kommunikation und der KI-Assistent. Revnetic verarbeitet diese Daten nicht für eigene Zwecke und verwendet sie niemals zum Training von KI-Modellen.
3. Arten personenbezogener Daten
Namen; Kontaktdaten (E-Mail, Telefon, Postadresse); Fahrzeugdaten (VIN, Kontrollschild, Marke/Modell, Kilometerstand, Service- und Reparaturhistorie); Termin- und Auftragsdetails; Offert- und Rechnungsdaten; Angaben zu Versicherungsfällen, sofern erfasst; sowie Kommunikationsinhalte mit Zustellungs-Metadaten.
4. Kategorien betroffener Personen
Kunden und Interessenten des Verantwortlichen, deren Kontaktpersonen sowie die eigenen Mitarbeitenden des Verantwortlichen mit Benutzerkonten.
5. Pflichten des Auftragsverarbeiters
Revnetic wird: (a) personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf Übermittlungen, sofern keine gesetzliche Pflicht besteht; (b) sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind; (c) die Sicherheitsmassnahmen nach Abschnitt 6 umsetzen; (d) die Bedingungen für Unterauftragsverarbeiter nach Abschnitt 7 einhalten; (e) den Verantwortlichen gemäss den Abschnitten 8 und 9 unterstützen; (f) Daten gemäss Abschnitt 10 löschen oder zurückgeben; und (g) die zur Nachweisführung erforderlichen Informationen gemäss Abschnitt 11 zur Verfügung stellen.
6. Sicherheitsmassnahmen
Revnetic setzt geeignete technische und organisatorische Massnahmen um, darunter Verschlüsselung bei der Übertragung (TLS), strikte mandantenbezogene Datenisolation, gehashte Zugangsdaten, kurzlebige Zugriffstokens, rollenbasierte Zugriffskontrolle, Mehr-Faktor-Authentifizierung, Audit-Protokollierung administrativer Aktionen und regelmässige Backups.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter: Hetzner (Hosting und Objektspeicher, EU), Cloudflare (DNS, CDN und Netzwerksicherheit), Stripe (Zahlungsabwicklung), Resend (E-Mail-Versand und Empfang eingehender E-Mails), Anthropic (KI-Assistent), Sentry (Fehlerüberwachung) und BetterStack (Verfügbarkeitsüberwachung). Revnetic erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die den Pflichten dieses AVV gleichwertig sind, und haftet vollumfänglich für deren Erfüllung. Revnetic kündigt beabsichtigte Ergänzungen oder Ersetzungen im Voraus an und gibt dem Verantwortlichen die Möglichkeit, aus begründeten Datenschutzgründen zu widersprechen.
8. Unterstützung bei Betroffenenrechten
Unter Berücksichtigung der Art der Verarbeitung unterstützt Revnetic den Verantwortlichen mit geeigneten technischen und organisatorischen Massnahmen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Anfragen, die Revnetic direkt von Endkunden einer Werkstatt erreichen, werden an den Verantwortlichen weitergeleitet. Kontakt: [email protected].
9. Meldung von Datenschutzverletzungen
Revnetic meldet dem Verantwortlichen ohne unangemessene Verzögerung, nachdem es von einer Verletzung des Schutzes personenbezogener Daten des Verantwortlichen Kenntnis erlangt hat, und stellt die Informationen bereit, die der Verantwortliche vernünftigerweise zur Erfüllung seiner eigenen Meldepflichten benötigt.
10. Löschung und Rückgabe von Daten
Der Verantwortliche kann seine Daten jederzeit exportieren, solange das Konto aktiv ist. Nach Vertragsende werden hochgeladene Dateien und Dokumente umgehend gelöscht. Übrige Mandantendaten werden zur Ermöglichung einer Reaktivierung aufbewahrt und auf Verlangen des Verantwortlichen dauerhaft gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. 10 Jahre für Buchhaltungsunterlagen gemäss Art. 958f OR) entgegenstehen.
11. Audits und Informationen
Revnetic stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV vernünftigerweise erforderlich sind, und ermöglicht und unterstützt Audits, einschliesslich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer — höchstens einmal pro Jahr, mit angemessener Vorankündigung, während der Geschäftszeiten und ohne Störung des Betriebs. In erster Linie werden Audit-Anfragen durch schriftliche Informationen und bestehende Dokumentation erfüllt.
12. Internationale Übermittlungen
Personenbezogene Daten werden in der Schweiz oder im EU-/EWR-Raum gehostet. Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten ausserhalb der Schweiz oder des EWR (z. B. in den USA), ist die Übermittlung durch die EU-Standardvertragsklauseln zusammen mit dem vom EDÖB anerkannten Schweizer Addendum geschützt.
13. Schlussbestimmungen
Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen geht dieser AVV in Bezug auf die Verarbeitung personenbezogener Daten vor. Dieser AVV unterliegt schweizerischem Recht; ausschliesslicher Gerichtsstand ist Zürich, Schweiz.