Auftragsverarbeitungsvertrag

Version 2026-10-20 · Letzte Aktualisierung: 20. Oktober 2026 · Übersetzung zur Information: Massgebend ist allein die französische Fassung.

1. Gegenstand und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag (nachfolgend «AVV») ist integrierender Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) des Dienstes SosJack (conditions.html), angeboten von SAI ERP Sàrl (nachfolgend «Anbieterin»). Er gilt, soweit die Anbieterin im Rahmen des Dienstes Personendaten im Auftrag des Kunden bearbeitet.

Mit der Annahme der AGB gilt auch dieser AVV als angenommen. Eine separate Unterzeichnung ist nicht erforderlich. Bei ausgehandelten Verträgen wird dieser AVV als Anhang zur Offerte übernommen und mit ihr unterzeichnet.

Die Datenschutzerklärung dient der Information; bei Abweichungen geht dieser AVV vor. Bei Abweichungen in Bezug auf den Datenschutz geht dieser AVV auch den AGB vor.

2. Rollen der Parteien

Der Kunde handelt als Verantwortlicher im Sinne der DSGVO und als Verantwortlicher im Sinne des revDSG. Die Anbieterin handelt als Auftragsverarbeiter im Sinne der DSGVO und als Auftragsbearbeiter im Sinne des revDSG.

Die Anbieterin bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Kunden, wie sie sich aus den AGB und der Nutzung des Dienstes ergibt.

3. Gegenstand, Dauer, Art und Zweck der Bearbeitung

Gegenstand: die für die Erbringung des Dienstes erforderliche Bearbeitung von Personendaten. Dauer: die Dauer des Abonnements des Kunden. Art und Zweck: Mobilisierung des Aushilfen-Pools, Versand von Nachrichten (E-Mail, SMS, WhatsApp, Push-Benachrichtigung), Verwaltung der Antworten, der stufenweisen Erweiterung, des Verlaufs und der Statistiken.

Die Pool-Rangliste und der Zuverlässigkeitswert dienen ausschliesslich dazu, die Reihenfolge festzulegen, in der die Aushilfen angefragt werden. Die Bestätigung einer Vertretung beruht stets auf einem menschlichen Entscheid des Kunden, und der Dienst trifft keine automatisierte Einzelentscheidung im Sinne von Art. 21 revDSG, Art. 22 DSGVO und der entsprechenden Bestimmungen der für den Kunden geltenden Datenschutzregelung. Die Statistiken und der Zuverlässigkeitswert sind für die Organisation der Vertretungen konzipiert und nicht zur Überwachung des Verhaltens der Arbeitnehmerinnen und Arbeitnehmer; der Kunde bleibt für ihre Verwendung im Hinblick auf Art. 26 ArGV 3 verantwortlich.

4. Kategorien von Daten und betroffenen Personen

Betroffene Personen: die im Pool des Kunden erfassten Aushilfen sowie die Benutzer des Kunden auf zwei Stufen: Admins und Personen mit der Rolle Einsatzplanung.

Bearbeitete Daten: Identität und Kontaktangaben (Name, Vorname, E-Mail-Adresse, Mobilnummer), bevorzugter Kontaktkanal, Einwilligung und Abbestellung, Zugehörigkeit zu einem Prioritätskreis, Etiketten, Verfügbarkeiten und Abwesenheiten, Antworten auf Anfragen, Verlauf der Anfragen und der Vertretungen, geleistete Stunden, Arbeitsverträge für den Einsatz und Nachweise ihrer Unterzeichnung (gezeichnete Unterschrift, Datum und Uhrzeit, IP-Adresse und Browser, Bestätigung mit einem per SMS erhaltenen Code, Hashwert des unterzeichneten Dokuments); bei den Benutzern Kontokennungen und Anmeldeprotokolle.

Der Dienst dient nicht der Bearbeitung besonders schützenswerter Personendaten im Sinne von Art. 5 lit. c revDSG oder besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Der Kunde verzichtet darauf, solche Daten zu importieren.

Aufbewahrungsdauer: Der Verlauf der Anfragen, der Antworten und der Erfassungen nach dem Einsatz sowie die Gründe für die Entfernung aus dem Pool werden während der gesamten Vertragsdauer aufbewahrt. Der Kunde kann jederzeit die Löschung der Daten einer Aushilfe verlangen; diese werden dann innerhalb von dreissig (30) Tagen anonymisiert. Nach Vertragsende bleiben die Daten während dreissig (30) Tagen exportierbar und werden danach durch Anonymisierung gelöscht, mit Ausnahme der unterzeichneten Arbeitsverträge für den Einsatz und der Rechnungen, die aufgrund der gesetzlichen Aufbewahrungspflichten zehn (10) Jahre aufbewahrt werden (Art. 958f OR). Die Anmeldeprotokolle werden zwölf (12) Monate aufbewahrt.

5. Pflichten der Anbieterin

Die Anbieterin verpflichtet sich:

• Daten ausschliesslich auf dokumentierte Weisung des Kunden zu bearbeiten;
• sicherzustellen, dass die zur Bearbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
• die in Abschnitt 9 beschriebenen technischen und organisatorischen Massnahmen umzusetzen;
• den Kunden nach Möglichkeit bei der Beantwortung von Begehren betroffener Personen auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Widerspruch) zu unterstützen;
• den Kunden in Bezug auf die Sicherheit, die Meldung von Verletzungen der Datensicherheit und gegebenenfalls die Datenschutz-Folgenabschätzung zu unterstützen;
• dem Kunden jede Verletzung der Datensicherheit innerhalb der in Abschnitt 10 vorgesehenen Frist zu melden;
• bei Vertragsende die Daten gemäss Abschnitt 11 zurückzugeben oder zu löschen.

6. Pflichten des Kunden

Der Kunde gewährleistet, dass der Import der Daten seiner Aushilfen und deren Anfrage auf einer Rechtsgrundlage im Sinne der für ihn geltenden Datenschutzregelung beruhen (für ein öffentliches Organ eine gesetzliche Grundlage oder die Erfüllung einer gesetzlichen Aufgabe; für einen privaten Verantwortlichen namentlich die Einwilligung oder ein überwiegendes Interesse). Er informiert die betroffenen Personen über die Bearbeitung ihrer Daten und über die verwendeten Kanäle und bearbeitet Begehren um Abbestellung und Löschung. Der Kunde ist für die Rechtmässigkeit der Daten verantwortlich, die er in den Dienst importiert.

7. Unterauftragsverarbeiter

Der Kunde genehmigt den Beizug von Unterauftragsverarbeitern für die Erbringung des Dienstes. Zum Zeitpunkt dieser Version sind dies:

• Hetzner Online GmbH, Deutschland: Hosting der Anwendung und der Daten;
• Twilio Inc., USA: Zustellung der SMS und WhatsApp-Nachrichten;
• WhatsApp Ireland Ltd. und Meta Platforms, Inc., Irland und USA: WhatsApp-Infrastruktur, über welche die von Twilio übermittelten WhatsApp-Nachrichten zugestellt werden;
• Mailgun, Teil der Sinch-Gruppe, Region Europäische Union: Zustellung der transaktionalen E-Mails;
• Stripe Payments Europe, Limited, Irland: Zahlungsabwicklung, PCI-DSS-konform. Die Anbieterin speichert keine Daten von Zahlungskarten. Stripe handelt teils als Auftragsverarbeiter in unserem Auftrag und teils als unabhängiger Verantwortlicher, namentlich für die Ausführung der Zahlungen und die Betrugsbekämpfung.

Die Anbieterin stellt sicher, dass jeder Unterauftragsverarbeiter an Datenschutzpflichten gebunden ist, die denjenigen dieses AVV gleichwertig sind, sei es durch einen mit ihm abgeschlossenen Unterauftragsverarbeitungsvertrag oder durch die Zustimmung zu dessen eigenen Bedingungen für die Datenbearbeitung.

Die Anbieterin informiert den Kunden über jede beabsichtigte Änderung mindestens dreissig (30) Tage vor deren Wirksamwerden. Schreibt ein Unterauftragsverarbeiter der Anbieterin eine kürzere Frist vor, leitet die Anbieterin die Information innerhalb von fünf (5) Werktagen weiter, nachdem sie selbst davon Kenntnis erhalten hat: Die Vorankündigungsfrist, die dem Kunden in diesem Fall zusteht, entspricht der längsten Frist, über welche die Anbieterin selbst verfügt.

Der Kunde kann der Änderung aus einem berechtigten Grund innerhalb von dreissig (30) Tagen nach der Mitteilung widersprechen. Kann der Widerspruch nicht ausgeräumt werden und ist der betreffende Unterauftragsverarbeiter für die Erbringung des Dienstes erforderlich, kann der Kunde den betroffenen Teil des Dienstes kostenlos mit Wirkung auf das Datum der Änderung kündigen.

8. Übermittlung von Daten ins Ausland

Das Hosting befindet sich in Deutschland, einem Land, das anerkanntermassen einen angemessenen Schutz von Personendaten bietet. Nach der in Abschnitt 7 angekündigten Migration wird es sich in der Schweiz befinden.

An der Zustellung der SMS und WhatsApp-Nachrichten ist Twilio Inc. in den USA beteiligt, bei WhatsApp zudem die Infrastruktur von WhatsApp Ireland Ltd. und Meta Platforms, Inc. in Irland und den USA. Twilio Inc. und Meta Platforms, Inc. sind unter dem Swiss-U.S. Data Privacy Framework zertifiziert.

An der Zustellung der transaktionalen E-Mails ist Mailgun beteiligt, dessen Bearbeitungsinfrastruktur in der Region Europäische Union konfiguriert ist, und an der Zahlungsabwicklung Stripe Payments Europe, Limited in Irland: Diese Bearbeitungen finden innerhalb des Europäischen Wirtschaftsraums statt. Jeder Zugriff aus einem Drittstaat bleibt durch geeignete Garantien abgesichert, namentlich durch die Standardvertragsklauseln des betreffenden Dienstleisters.

Jede andere Übermittlung in einen Staat ohne angemessenes Datenschutzniveau ist durch geeignete Garantien abgesichert, namentlich durch eine solche Zertifizierung oder durch Standardvertragsklauseln, gemäss revDSG und DSGVO.

9. Sicherheit

Die Anbieterin setzt folgende technische und organisatorische Massnahmen um:

• Verschlüsselung der Kommunikation mit TLS 1.2 oder höher;
• Speicherung der Passwörter in gehashter Form;
• Trennung der Daten nach Organisation;
• rollenbasierte Verwaltung der Zugriffe;
• regelmässige verschlüsselte Sicherungen;
• Hosting bei einem Dienstleister, der vertraglichen Sicherheitspflichten unterliegt.

10. Verletzungen der Datensicherheit

Bei einer Verletzung der Datensicherheit informiert die Anbieterin den Kunden innerhalb von achtundvierzig (48) Stunden, nachdem sie davon Kenntnis erhalten hat, und übermittelt ihm die zweckdienlichen Informationen, damit er seine eigenen Pflichten erfüllen kann, namentlich die Meldung an die zuständige Aufsichtsbehörde so rasch als möglich (Art. 24 revDSG) und, sofern die DSGVO anwendbar ist, innerhalb der in deren Art. 33 vorgesehenen Frist von 72 Stunden.

11. Umgang mit den Daten bei Vertragsende

Bei Vertragsende wählt der Kunde zwischen der Rückgabe und der Löschung seiner Daten. Er kann sie während der Vertragsdauer und während dreissig (30) Tagen nach Vertragsende jederzeit selbst in einem gängigen und verwertbaren Format exportieren. Umfasst sein Plan keine Exporte, kann er unter der in Abschnitt 16 genannten Adresse eine Kopie verlangen.

Nach Ablauf dieser Frist werden die Daten des Kunden gelöscht, vorbehaltlich der gesetzlichen Aufbewahrungsfristen, namentlich für Rechnungsdaten. Die Löschung erfasst die verschlüsselten Sicherungen nach Ablauf ihres Rotationszyklus.

12. Audit

Die Anbieterin stellt dem Kunden auf angemessene Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der in diesem AVV vorgesehenen Pflichten erforderlich sind. Die Anbieterin ermöglicht Audits, einschliesslich Inspektionen, durch den Kunden oder durch eine von ihm beauftragte Prüferin oder einen von ihm beauftragten Prüfer und wirkt daran mit.

Diese Audits finden höchstens einmal pro Kalenderjahr statt, ausser bei einem nachgewiesenen Sicherheitsvorfall, mit einer schriftlichen Vorankündigung von dreissig (30) Tagen, während der Geschäftszeiten, ohne Störung des Betriebs des Dienstes, unter Verpflichtung zur Vertraulichkeit und auf Kosten des Kunden. Die Anbieterin kann diesen Audits nachkommen, indem sie die Auditberichte und die geltenden Zertifizierungen ihrer Unterauftragsverarbeiter vorlegt.

13. Eigene Datenschutzregelungen des Kunden

Untersteht der Kunde einer eigenen Datenschutzregelung, namentlich als kantonales oder kommunales öffentliches Organ oder aufgrund einer branchenspezifischen Regulierung, befolgt die Anbieterin die dokumentierten Weisungen des Kunden im Rahmen dieser Regelung. Die sich daraus ergebenden besonderen Anforderungen sind Gegenstand einer separaten, von den Parteien unterzeichneten Vereinbarung.

14. Änderung dieses Vertrags

Dieser AVV ist versioniert. Jede wesentliche Änderung wird dem Kunden mindestens dreissig (30) Tage vor ihrem Inkrafttreten per E-Mail oder durch einen Hinweis im Dienst angekündigt. Die geltende Fassung ist diejenige, die unter der Adresse sosjack.com/dpa.html veröffentlicht ist.

15. Anwendbares Recht und Gerichtsstand

Dieser AVV untersteht dem schweizerischen Recht unter Ausschluss der Kollisionsnormen. Für alle Streitigkeiten sind ausschliesslich die ordentlichen Gerichte des Bezirks Martigny zuständig; vorbehalten bleiben die Beschwerde an das Schweizerische Bundesgericht und die zwingenden Zuständigkeitsvorschriften.

16. Kontakt

Alle Fragen zu diesem AVV, alle Begehren betroffener Personen auf Ausübung ihrer Rechte und alle Meldungen nach Abschnitt 10 sind an SAI ERP Sàrl, Av. de la Gare 2, Postfach 916, 1920 Martigny, oder per E-Mail an admin@sosjack.com zu richten.

Die Anbieterin hat keine Datenschutzberaterin und keinen Datenschutzberater bezeichnet, da dies angesichts der Art und des Umfangs ihrer Datenbearbeitungen nicht erforderlich ist.