Anhang 1 zu den AGB: Auftragsbearbeitungsvertrag (AVV)
zwischen dem Kunden (nachfolgend «Verantwortlicher») und der einfachen Gesellschaft Trackable, Leon Dübendorfer und Emil Gentsch, Riedstrasse 9, 8272 Ermatingen (nachfolgend «Auftragsbearbeiterin»).
Dieser Anhang konkretisiert Ziff. 13 der AGB und erfüllt die Anforderungen von Art. 9 revDSG sowie — soweit anwendbar — Art. 28 DSGVO.
Stand: August 2026 · Version 2026-08
1. Gegenstand und Weisungsbindung
Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich zur Erbringung der in den AGB beschriebenen Leistungen und nur auf dokumentierte Weisung des Verantwortlichen. Die AGB und dieser Anhang stellen die vollständige Weisung dar; weitergehende Einzelweisungen sind in Textform zu erteilen.
Die Auftragsbearbeiterin informiert den Verantwortlichen, wenn eine Weisung nach ihrer Auffassung gegen anwendbares Datenschutzrecht verstösst. Sie darf die Ausführung in diesem Fall bis zur Klärung aussetzen.
Die Auftragsbearbeiterin verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung, Weiterverkauf oder das Training von KI-Modellen.
2. Art, Zweck und Dauer der Bearbeitung
Zweck: Betrieb einer webbasierten Plattform zur Aufgaben- und Mängelverwaltung auf Baustellen, einschliesslich Speicherung, Anzeige, Übermittlung von Benachrichtigungen und Zustellung von Magic Links.
Dauer: für die Dauer des Hauptvertrags und darüber hinaus, soweit die Bearbeitung zur Vertragsabwicklung, zur Ausführung dokumentierter Weisungen oder aufgrund gesetzlicher Pflichten erforderlich ist. Im Übrigen gilt Ziff. 14 der AGB.
3. Kategorien betroffener Personen und Daten
Betroffene Personen
- Mitarbeitende des Verantwortlichen (Bauleiter, Büropersonal) mit Zugang zur Plattform
- Handwerker und Mitarbeitende von Subunternehmern, die über Magic Link eingeladen werden
- Weitere Personen, die der Verantwortliche in Aufgaben, Kommentaren oder Dateien erwähnt
Datenkategorien
- Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Firmenzugehörigkeit
- Nutzungsdaten: Zugriffszeitpunkte, Statusänderungen, Zuweisungen, Kommentare
- Inhaltsdaten: Projekt- und Aufgabenbeschreibungen, Fotos, hochgeladene Dateien
Die Plattform ist nicht für die Bearbeitung besonders schützenswerter Personendaten ausgelegt. Der Verantwortliche verpflichtet sich, keine besonders schützenswerten Personendaten im Sinne von Art. 5 lit. c revDSG (bzw. Art. 9 DSGVO) in die Plattform einzugeben — insbesondere keine Gesundheitsdaten, keine Angaben über Massnahmen der sozialen Hilfe und keine Daten über strafrechtliche Verfolgungen. Werden solche Daten entgegen dieser Vorgabe eingegeben, informiert der Verantwortliche die Auftragsbearbeiterin unverzüglich und erteilt die für den rechtskonformen Umgang erforderlichen Weisungen.
4. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmässigkeit der Datenbearbeitung verantwortlich. Er sichert insbesondere zu:
- dass er berechtigt ist, die Kontaktdaten der eingeladenen Handwerker zu erfassen und zum Zweck der Zusammenarbeit auf der Plattform zu verwenden;
- dass er die betroffenen Personen entsprechend Art. 19 revDSG (bzw. Art. 13/14 DSGVO) über die Bearbeitung informiert hat — namentlich darüber, dass ihre Kontaktdaten an Trackable als Auftragsbearbeiterin und an die in Ziff. 7 genannten Unterauftragsbearbeiter übermittelt werden können;
- dass er Auskunfts-, Berichtigungs- und Löschbegehren der betroffenen Personen selbst beantwortet.
Die Auftragsbearbeiterin stellt dem Verantwortlichen auf Wunsch einen Textbaustein zur Verfügung, mit dem er seine Handwerker informieren kann.
5. Vertraulichkeit
Die Auftragsbearbeiterin verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Diese Pflicht besteht über das Ende der Tätigkeit hinaus fort.
6. Technische und organisatorische Massnahmen
Die Auftragsbearbeiterin trifft angemessene Massnahmen zur Datensicherheit (Art. 8 revDSG, Art. 32 DSGVO), insbesondere:
- Verschlüsselung sämtlicher Übertragungen mit TLS/HTTPS
- Speicherung von Passwörtern ausschliesslich als kryptografische Hashes
- personalisierte Magic Links; der Besitz des Links ermöglicht den Zugang, während serverseitige Berechtigungsprüfungen den Zugriff auf die jeweils zugewiesenen Inhalte begrenzen
- Mandantentrennung: die Daten jedes Kunden sind logisch von denen anderer Kunden getrennt
- rollenbasierte Zugriffskontrolle; Zugriff durch die Gesellschafter nur, soweit zur Leistungserbringung, Fehlerbehebung oder Support erforderlich
- Protokollierung sicherheitsrelevanter Vorgänge und Beschränkung von Protokollinhalten auf den für Betrieb, Sicherheit und Fehlerbehebung erforderlichen Umfang
- Einsatz von Infrastruktur in der Schweiz und im Europäischen Wirtschaftsraum entsprechend der nachstehenden Übersicht
Der aktuelle Stand der Massnahmen wird auf Verlangen in Textform bestätigt.
7. Unterauftragsbearbeiter
Der Verantwortliche stimmt dem Beizug der folgenden Unterauftragsbearbeiter zu:
| Unterauftragsbearbeiter | Sitz | Leistung | Datenstandort |
|---|---|---|---|
| Google Cloud EMEA Limited | Dublin, Irland | Backend-Betrieb, Dateispeicher, zeitgesteuerte Aufgaben, technische Protokolle und Geheimnisverwaltung | Backend: Belgien; Dateispeicher: Schweiz; weitere technische Bearbeitung nach den Google-Cloud-Vertragsunterlagen |
| Infomaniak Network SA | Genf, Schweiz | Produktivdatenbank und E-Mail-Versand | Schweiz |
| Vercel Inc. | USA | Hosting und Auslieferung des App-Frontends | EU / USA / globales CDN |
| Upstash, Inc. | USA | Redis-Cache, Rate Limiting und kurzzeitige technische Zustände | Deutschland / EU; administrative Bearbeitung nach den Vertragsunterlagen |
| Ably Realtime Ltd | Vereinigtes Königreich | Echtzeit-Signale für Benachrichtigungen, Chat und Statusaktualisierungen | EU; administrative Bearbeitung nach den Vertragsunterlagen |
| BudgetSMS B.V. | Niederlande | Versand von SMS-Benachrichtigungen und Zugangslinks | Niederlande |
Die primäre Produktivdatenbank und der Dateispeicher befinden sich in der Schweiz. API-Anfragen werden über das Backend in Belgien verarbeitet. Je nach genutzter Funktion können Kontaktdaten, technische Metadaten und Echtzeit- oder Benachrichtigungssignale durch die oben genannten Anbieter ausserhalb der Schweiz bearbeitet werden. Nicht jeder Unterauftragsbearbeiter erhält sämtliche Datenkategorien; der Zugriff ist auf die jeweilige Leistung beschränkt.
Die Auftragsbearbeiterin informiert den Verantwortlichen mindestens 30 Tage im Voraus über den Wechsel oder die Hinzunahme eines Unterauftragsbearbeiters. Der Verantwortliche kann innert 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag auf den Zeitpunkt der Änderung kündigen und erhält den Preis für die nicht genutzte Restlaufzeit anteilig zurückerstattet.
Die Auftragsbearbeiterin verpflichtet jeden Unterauftragsbearbeiter vertraglich auf mindestens gleichwertige Pflichten und haftet für dessen Verhalten wie für eigenes.
8. Bekanntgabe ins Ausland
Bearbeitungen ausserhalb der Schweiz erfolgen in Staaten mit einem vom Bundesrat anerkannten angemessenen Datenschutzniveau oder gestützt auf geeignete Garantien. Dazu gehören insbesondere an das schweizerische Recht angepasste Standardvertragsklauseln und, bei entsprechend zertifizierten US-Unternehmen, das Swiss-U.S. Data Privacy Framework. Soweit erforderlich, trifft die Auftragsbearbeiterin zusätzliche technische und organisatorische Massnahmen.
Aktuelle Bearbeitungsorte ergeben sich aus Ziff. 7 und den jeweils geltenden Vertrags- und Unterauftragsbearbeiterinformationen der eingesetzten Anbieter. Die Auftragsbearbeiterin informiert den Verantwortlichen nach Massgabe von Ziff. 7 über wesentliche Änderungen.
9. Unterstützung des Verantwortlichen
Die Auftragsbearbeiterin unterstützt den Verantwortlichen im erforderlichen Umfang:
- bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe);
- bei der Gewährleistung der Datensicherheit;
- bei allfälligen Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde.
Aufwand, der über einfache Auskünfte hinausgeht, wird nach Aufwand verrechnet, sofern der Verantwortliche vorgängig informiert wurde.
10. Meldung von Verletzungen der Datensicherheit
Die Auftragsbearbeiterin meldet dem Verantwortlichen jede Verletzung der Datensicherheit, die dessen Daten betrifft, unverzüglich, spätestens innert 48 Stunden nach Kenntnisnahme. Die Meldung enthält, soweit bekannt: Art und Zeitpunkt des Vorfalls, betroffene Datenkategorien, ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen und getroffene Massnahmen.
Die Meldung an den EDÖB nach Art. 24 revDSG bzw. an die zuständige Aufsichtsbehörde obliegt dem Verantwortlichen.
11. Kontrollrechte
Die Auftragsbearbeiterin weist die Einhaltung dieses Anhangs auf Verlangen in Textform nach. Der Verantwortliche kann höchstens einmal jährlich sowie bei konkretem Anlass eine Überprüfung verlangen; sie erfolgt vorrangig durch Selbstauskunft oder Nachweise. Eine Vor-Ort-Prüfung ist mit 30 Tagen Vorankündigung, während der Geschäftszeiten und unter Wahrung der Geschäftsgeheimnisse Dritter zulässig.
12. Rückgabe und Löschung
Nach Beendigung des Hauptvertrags gibt die Auftragsbearbeiterin die Daten nach dokumentierter Weisung und im Rahmen der verfügbaren technischen Möglichkeiten heraus oder löscht beziehungsweise anonymisiert sie, sobald sie für die Vertragsabwicklung und die Erfüllung gesetzlicher Pflichten nicht mehr erforderlich sind. Für Sicherungs- und Protokollsysteme gelten die jeweiligen Lösch- und Überschreibzyklen. Auf Verlangen bestätigt die Auftragsbearbeiterin die erfolgte Löschung in Textform, soweit dies mit verhältnismässigem Aufwand möglich ist.
Vorbehalten bleiben gesetzliche Aufbewahrungspflichten, insbesondere Art. 958f OR für Buchungsbelege. Solche Daten werden von der weiteren Bearbeitung ausgenommen und nur zur Erfüllung der Aufbewahrungspflicht gespeichert.
13. Haftung und Schlussbestimmungen
Für die Haftung gilt Ziff. 12 der AGB. Zwingende datenschutzrechtliche Haftungs- und Sanktionsnormen bleiben vorbehalten.
Bei Widersprüchen zwischen diesem Anhang und den AGB geht dieser Anhang für Fragen der Datenbearbeitung vor.
Es gilt schweizerisches Recht; Gerichtsstand ist Kreuzlingen (Ziff. 18 der AGB).
Stand: August 2026 · Version 2026-08