Auftragsbearbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Die Auftragsbearbeiterin stellt der Verantwortlichen die Salon-Software Osalon bereit (Hauptvertrag gemäss AGB). Dabei bearbeitet sie Personendaten im Auftrag der Verantwortlichen.

Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange die Auftragsbearbeiterin Personendaten der Verantwortlichen bearbeitet.

2. Art und Zweck der Bearbeitung

• Terminverwaltung und Online-Buchung, inkl. Warteliste
• Versand von Bestätigungen, Erinnerungen und – auf Anweisung – Marketing-Nachrichten per E-Mail und SMS
• Führen der Kundenkartei (Kontaktdaten, Verlauf, Notizen, Farbrezepturen, Fotos, Formulare)
• Kasse, Belege, Gutscheine, Pakete und Buchhaltungsexporte
• Speicherung, Datensicherung, Support und Fehlerbehebung

3. Betroffene Personen und Datenkategorien

Betroffen sind die Kundinnen und Kunden der Verantwortlichen, deren Mitarbeitende sowie Interessierte, die online buchen.

Bearbeitet werden insbesondere: Name, Kontaktdaten, Geburtstag, Sprache, Termin- und Kaufhistorie, Notizen, Farbrezepturen, Fotos, Einwilligungen, Formularantworten mit Unterschrift und Kommunikationsverlauf.

Besonders schützenswerte Personendaten (z. B. Angaben zu Allergien und Hautreaktionen als Gesundheitsdaten) werden nur bearbeitet, wenn die Verantwortliche sie erfasst. Sie werden verschlüsselt gespeichert und sind nur für berechtigte Rollen sichtbar.

4. Weisungen

Die Auftragsbearbeiterin bearbeitet die Daten nur so, wie es die Verantwortliche selbst tun dürfte, und nur auf deren dokumentierte Weisung. Als Weisung gelten dieser Vertrag, die AGB und die Einstellungen, welche die Verantwortliche in Osalon vornimmt.

Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, informiert sie die Verantwortliche unverzüglich.

5. Vertraulichkeit

Personen, die bei der Auftragsbearbeiterin Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriffe erfolgen nur, soweit dies für Betrieb, Sicherheit oder Support nötig ist.

6. Technische und organisatorische Massnahmen

• Speicherung in Rechenzentren in der Schweiz
• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung besonders schützenswerter Daten
• Strikte Trennung der Daten verschiedener Salons (Mandantentrennung)
• Rollen- und Rechtekonzept, Protokollierung von Änderungen
• Passwörter nur als sicherer Hash gespeichert
• Tägliche Datensicherung an einen zweiten Standort in der Schweiz
• Regelmässige Updates und Überprüfung der Massnahmen

7. Unterauftragsbearbeiter

Die Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen. Die aktuelle Liste ist in Osalon unter Einstellungen › Datenschutz einsehbar. Derzeit:

• Hosting und Datenbank: Infomaniak Network SA, Genf, Schweiz
• Datensicherung: Infomaniak Network SA, Genf, Schweiz (Rechenzentrum in der Schweiz)
• E-Mail-Versand: Infomaniak Network SA, Genf, Schweiz
• SMS-Versand: VADIAN.NET AG (ASPSMS), St. Gallen, Schweiz
• Zahlungsabwicklung (nur Pro und Premium mit integrierten Zahlungen): [Anbieter], Schweiz
• Telefonassistent der Warteliste (nur wenn eingeschaltet): Twilio Inc., USA, mit Standardvertragsklauseln
• KI-Hilfen (optional): Anthropic PBC, USA, mit Standardvertragsklauseln – ohne Kundendaten

8. Bekanntgabe ins Ausland

Personendaten werden grundsätzlich in der Schweiz gespeichert. Eine Bekanntgabe ins Ausland erfolgt nur in Staaten mit angemessenem Datenschutz gemäss Anhang 1 der Datenschutzverordnung oder mit geeigneten Garantien nach Art. 16 nDSG.

9. Unterstützung der Verantwortlichen

Die Auftragsbearbeiterin unterstützt die Verantwortliche bei Begehren betroffener Personen (Auskunft, Herausgabe, Berichtigung, Löschung). Osalon stellt dafür Funktionen bereit, insbesondere den Datenexport und die Anonymisierung einer Kundin oder eines Kunden per Klick.

Sie unterstützt die Verantwortliche zudem bei Datenschutz-Folgenabschätzungen und bei Meldungen an den EDÖB, soweit dies die Bearbeitung durch Osalon betrifft.

10. Verletzungen der Datensicherheit

Die Auftragsbearbeiterin meldet der Verantwortlichen eine Verletzung der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 nDSG), in der Regel innert 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die Folgen und die getroffenen Massnahmen.

11. Rückgabe und Löschung

Nach Ende des Hauptvertrags kann die Verantwortliche ihre Daten während 30 Tagen exportieren. Danach löscht die Auftragsbearbeiterin die Daten, einschliesslich der Kopien in Datensicherungen nach deren Ablauf, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

12. Kontrollrechte

Die Auftragsbearbeiterin erteilt der Verantwortlichen die Auskünfte, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Kontrollen vor Ort sind nach Voranmeldung von mindestens 30 Tagen während der Geschäftszeiten möglich; die Kosten trägt die Verantwortliche.

13. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Es gilt schweizerisches Recht. Gerichtsstand ist Affoltern am Albis.

Dieser Vertrag wird mit der elektronischen Zustimmung bei der Registrierung abgeschlossen. Eine Unterschrift ist nicht erforderlich; die Unterschriftsfelder dienen der Dokumentation, falls die Verantwortliche ein unterzeichnetes Exemplar wünscht.