Auftragsbearbeitungsvertrag (AVV)

Dieser Auftragsbearbeitungsvertrag (nachfolgend «AVV») konkretisiert die datenschutzrechtlichen Pflichten zwischen der Kundin als Verantwortlicher und der Tailored Intelligence GmbH, Reistelstrasse 294, 5728 Gontenschwil, UID CHE-348.980.291 (nachfolgend «Auftragsbearbeiterin» oder «wir») für die Bearbeitung von Personendaten im Rahmen der Nutzung von Trophy.

Der AVV gilt nach Art. 9 revDSG und — für betroffene Personen in der EU oder im EWR — nach Art. 28 DSGVO. Er ist gemäss Ziffer 19.2 der Allgemeinen Geschäftsbedingungen integrierender Bestandteil des Vertrags zwischen den Parteien und bedarf keiner separaten Unterzeichnung. Auf Wunsch stellen wir zusätzlich ein unterschriebenes Exemplar aus.

1 · Gegenstand, Art und Zweck der Bearbeitung

1.1 Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich zur Erbringung der Leistungen gemäss den Allgemeinen Geschäftsbedingungen, insbesondere zum Betrieb der Trophy-Plattform, zur Anbindung an das Google Business Profile der Verantwortlichen, zur Produktion und Verknüpfung der Bewertungs-Medien sowie zu den im gebuchten Paket enthaltenen Marketing-Leistungen.

1.2 Art der Bearbeitung: insbesondere Erheben, Speichern, Hosten, Organisieren, Auslesen, Bekanntgeben innerhalb des Systems und an die in Anhang B genannten Unterauftragsbearbeiter, Sichern und Löschen.

1.3 Die Auftragsbearbeiterin nutzt die Daten nicht für eigene Zwecke. Eine Nutzung zu Trainingszwecken für Modelle der künstlichen Intelligenz findet nicht statt und wird gegenüber den in Anhang B genannten Anbietern vertraglich ausgeschlossen.

2 · Dauer

Die Bearbeitung erfolgt für die Dauer des Hauptvertrags. Pflichten, die ihrer Natur nach fortwirken — insbesondere Löschung und Rückgabe sowie Vertraulichkeit — gelten darüber hinaus.

3 · Betroffene Personen und Datenkategorien

3.1 Betroffene Personen: Mitarbeitende der Verantwortlichen, Inhaber:innen und weitere Nutzer:innen des Kundenkontos, Gäste der Verantwortlichen, die eine Bewertung abgeben oder Feedback hinterlassen, sowie bei gebuchten Website-Leistungen die Besucher:innen der Website der Verantwortlichen.

3.2 Kategorien von Personendaten:

• Mitarbeitende: Vorname und gegebenenfalls Nachname, persönliche Kennung des zugeordneten Tags oder der Karte, Scan- und Bewertungsaktivität, Team-Rang, Statistiken und Auszeichnungen
• Konto-Nutzer:innen: Name, E-Mail-Adresse, Rollenzuweisung, Login- und Protokolldaten
• Gäste: Inhalte öffentlich zugänglicher Google-Bewertungen (bei Google angezeigter Name, Bewertungstext, Sternebewertung, Zeitpunkt), Antworten der Verantwortlichen sowie gegebenenfalls Inhalte privat übermittelten Feedbacks
• Technische Daten: IP-Adressen und Zugriffsprotokolle im Rahmen der Missbrauchsabwehr und Zugriffsbegrenzung, gekürzt oder pseudonymisiert, soweit technisch möglich
• Bei Website-Leistungen zusätzlich: Nutzungsdaten der Besucher:innen der Kundenwebsite im Umfang der dort eingesetzten und eingewilligten Werkzeuge

3.3 Besondere Kategorien von Personendaten sind nicht Gegenstand der Bearbeitung. Die Verantwortliche stellt sicher, dass solche Daten nicht über Trophy übermittelt werden.

4 · Weisungsgebundenheit

4.1 Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung der Verantwortlichen, sofern nicht eine Rechtspflicht sie zu anderem verpflichtet. In diesem Fall informiert sie die Verantwortliche vorab, soweit dies rechtlich zulässig ist.

4.2 Der Hauptvertrag samt Paketbeschreibung sowie die Konfiguration, welche die Verantwortliche im Dashboard vornimmt, gelten als dokumentierte Weisung. Weitergehende Weisungen erfolgen in Textform.

4.3 Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, informiert sie die Verantwortliche und kann deren Ausführung bis zur Klärung aussetzen.

5 · Vertraulichkeit

Die Auftragsbearbeiterin verpflichtet die mit der Bearbeitung befassten Personen zur Vertraulichkeit und gewährt Zugriff nur, soweit dies für die Aufgabenerfüllung erforderlich ist (Need-to-know). Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

6 · Technische und organisatorische Massnahmen

Die Auftragsbearbeiterin trifft angemessene technische und organisatorische Massnahmen zum Schutz der Daten gemäss Anhang A und passt diese dem Stand der Technik an. Die Massnahmen können weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

7 · Unterauftragsbearbeiter

7.1 Die Verantwortliche genehmigt den Beizug der in Anhang B aufgeführten Unterauftragsbearbeiter.

7.2 Die Auftragsbearbeiterin verpflichtet Unterauftragsbearbeiter vertraglich auf gleichwertige Datenschutzpflichten.

7.3 Änderungen. Beabsichtigte Änderungen — Aufnahme eines neuen oder Austausch eines bestehenden Unterauftragsbearbeiters — teilt die Auftragsbearbeiterin der Verantwortlichen mindestens 30 Tage im Voraus per E-Mail mit. Die Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich der Widerspruch nicht mit vertretbarem Aufwand auflösen, steht der Verantwortlichen ein ausserordentliches Kündigungsrecht auf den Zeitpunkt der Änderung zu.

8 · Unterstützung der Verantwortlichen

8.1 Die Auftragsbearbeiterin unterstützt die Verantwortliche mit geeigneten Massnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wendet sich eine betroffene Person direkt an die Auftragsbearbeiterin, leitet diese das Anliegen unverzüglich an die Verantwortliche weiter.

8.2 Die Auftragsbearbeiterin unterstützt bei der Sicherheit der Bearbeitung, bei der Meldung von Datenschutzverletzungen sowie bei allfälligen Datenschutz-Folgenabschätzungen.

9 · Datenschutzverletzungen

9.1 Die Auftragsbearbeiterin meldet der Verantwortlichen Verletzungen des Schutzes von Personendaten unverzüglich, spätestens jedoch 48 Stunden nach Kenntnis, und stellt die zur Beurteilung nötigen Informationen bereit.

9.2 Die Melde- und Informationspflichten gegenüber Behörden und betroffenen Personen trägt die Verantwortliche (Art. 24 revDSG / Art. 33–34 DSGVO).

10 · Internationale Bekanntgabe

10.1 Die Bearbeitung erfolgt in der Schweiz und in der EU beziehungsweise bei den in Anhang B genannten Anbietern.

10.2 Soweit Daten an Anbieter in Drittländern ohne angemessenes Schutzniveau bekanntgegeben werden, stützt sich die Auftragsbearbeiterin auf geeignete Garantien, insbesondere die Standardvertragsklauseln der Europäischen Kommission mit dem vom EDÖB anerkannten Schweizer Zusatz.

11 · Nachweise und Überprüfung

11.1 Die Auftragsbearbeiterin stellt der Verantwortlichen die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung.

11.2 Die Verantwortliche kann angemessene Überprüfungen durchführen oder durch eine zur Verschwiegenheit verpflichtete Drittperson durchführen lassen. Überprüfungen werden mit einer Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne unverhältnismässige Betriebsstörung durchgeführt.

12 · Löschung und Rückgabe

12.1 Nach Beendigung der Bearbeitung gibt die Auftragsbearbeiterin die Personendaten nach Wahl der Verantwortlichen in einem gängigen Format zurück oder löscht sie.

12.2 Die Löschung aus den operativen Systemen erfolgt innerhalb von 30 Tagen nach Vertragsende, aus den Backups im Rahmen der ordentlichen Backup-Rotation, längstens jedoch innerhalb von 90 Tagen. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.

13 · Haftung

Die Haftung richtet sich nach den anwendbaren Datenschutzbestimmungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis trägt diejenige Partei die Verantwortung, die den Verstoss verursacht hat. Die Haftungsbeschränkungen des Hauptvertrags gelten ergänzend, soweit datenschutzrechtlich zulässig.

14 · Schlussbestimmungen

14.1 Bei Widersprüchen geht dieser AVV in datenschutzrechtlichen Fragen dem Hauptvertrag vor; im Übrigen gilt der Hauptvertrag.

14.2 Änderungen dieses AVV werden der Verantwortlichen mit einer Vorankündigung von mindestens 30 Tagen mitgeteilt. Ziffer 7.3 bleibt vorbehalten.

14.3 Es gilt schweizerisches Recht. Gerichtsstand ist Aarau, Schweiz.

14.4 Massgeblich ist die deutsche Fassung dieses AVV; Übersetzungen dienen der Information.

Anhang A · Technische und organisatorische Massnahmen

• Rollenbasiertes Zugriffs- und Berechtigungskonzept; Mehr-Faktor-Authentisierung für administrative Zugänge
• Verschlüsselung der Übertragung durchgehend über TLS; Verschlüsselung gespeicherter Daten, soweit technisch sinnvoll
• Regelmässige, gesicherte Backups mit getesteter Wiederherstellung
• Protokollierung sicherheitsrelevanter Zugriffe; Trennung von Test- und Produktivumgebung
• Laufende Aktualisierung und Härtung der Systeme; Monitoring der Infrastruktur
• Zugriffsbegrenzung und Missbrauchsabwehr auf Anwendungsebene
• Datenminimierung und Pseudonymisierung, wo zweckmässig; dokumentiertes Löschkonzept
• Verpflichtung aller mit der Bearbeitung befassten Personen auf Vertraulichkeit

Anhang B · Genehmigte Unterauftragsbearbeiter

Stand dieser Liste: 21. August 2026. Änderungen werden gemäss Ziffer 7.3 angekündigt.

• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern — Hosting der Trophy-Plattform und der Datenbank auf dediziertem Server; Rechenzentrum in der EU
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland — Google-Business-Profile-API zum Abruf von Bewertungen und zur Veröffentlichung von Antworten
• OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland — Erzeugung von Antwortvorschlägen auf Bewertungen, Auswertungen und Textvorschlägen. Hierbei werden Bewertungstexte übermittelt. Eine Nutzung der Daten zu Trainingszwecken ist vertraglich ausgeschlossen.
• Resend, Inc., 2261 Market Street, San Francisco, CA 94114, USA — Versand transaktionaler E-Mails (Einladungen, Benachrichtigungen); Übermittlung gestützt auf Standardvertragsklauseln
• Upstash, Inc., 2261 Market Street, San Francisco, CA 94114, USA — Redis-Dienst zur Zugriffsbegrenzung und Sitzungsverwaltung; Verarbeitung in der EU-Region
• Google Ireland Limited (Google Workspace), Dublin, Irland — geschäftliche E-Mail-Korrespondenz im Rahmen des Supports
• WhatsApp Ireland Limited, Dublin, Irland — sowie Swisscom AG, Schweiz — Support-Kommunikation in den höheren Paketen
• bexio AG, Alter Postplatz 2, 6300 Zug, Schweiz — Rechnungsstellung und Buchhaltung

Bei gebuchten Werbe- oder Website-Leistungen kommen die dafür eingesetzten Dienste von Google Ireland Limited (Google Ads, Google Analytics) hinzu. Der Einsatz von Analytics auf der Website der Verantwortlichen setzt eine Einwilligung der Besucher:innen voraus, für die die Verantwortliche einsteht.