Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Parteien

Dieser Vertrag ergänzt die AGB und gilt zwischen dem Kunden als Verantwortlichem und der Loaded AG, Klostergutstrasse 4, 8252 Schlatt TG, Schweiz, UID CHE-413.943.367, MWST-Nr. CHE-413.943.367 MWST, als Auftragsbearbeiterin (Auftragsverarbeiterin nach der DSGVO). Er regelt die Bearbeitung von Personendaten im Auftrag des Kunden nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und, soweit sie anwendbar ist, nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).

Für Daten, die wir als eigene Verantwortliche bearbeiten, gilt dieser Vertrag nicht, sondern die Datenschutzerklärung für die App: das Konto und die Anmeldung, die Abrechnung, der Schutz vor Missbrauch und der Betrieb.

2. Art, Zweck und Dauer der Bearbeitung

Wir bearbeiten die Daten nur, um das Dashboard für den Kunden zu betreiben: die Fragen des Kunden an KI-Dienste stellen, die Antworten speichern und auswerten, die Ergebnisse im Dashboard, über die API und die MCP-Verbindung zeigen und den Zugang der Personen seiner Organisation verwalten.

Die Bearbeitung dauert so lange wie der Vertrag und danach, bis die Daten nach Ziffer 10 gelöscht sind.

3. Daten und betroffene Personen

• Personen der Organisation des Kunden: E-Mail-Adresse (bei der Anmeldung mit Google oder Microsoft auch die Profilangaben des Anbieters, etwa der Name), Rolle, Einladungen, die Anfangszeichen und den Hash ihrer API-Schlüssel, ihre Verbindungen mit Tools und deren Nutzung pro Tag.
• Inhalte des Projekts: Website, Fragen, Marken und Mitbewerber mit Schreibweisen und Websites, Fakten und Massnahmen. Sie enthalten Personendaten, wenn sie Personen nennen, etwa in einem Firmennamen.
• Texte, die das Dashboard liest oder sammelt: Startseite und Impressum der Website des Kunden, öffentliche Websites bei den Massnahmen, die Antworten der KI-Dienste mit ihren Quellen und Suchen. Sie können Namen von Personen enthalten, etwa von Inhabern oder Mitarbeitenden des Kunden oder seiner Mitbewerber.

Besonders schützenswerte Personendaten bearbeitet das Dashboard nicht gezielt. Der Kunde formuliert seine Fragen so, dass sie keine solchen Daten erfragen.

4. Weisungen

Wir bearbeiten die Daten nur nach den Weisungen des Kunden. Diese ergeben sich aus den AGB, diesem Vertrag und den Einstellungen, die der Kunde im Dashboard vornimmt. Weitere Weisungen erteilt der Kunde schriftlich oder per E-Mail. Halten wir eine Weisung für rechtswidrig, sagen wir es dem Kunden.

5. Unsere Pflichten

• Wir verpflichten alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
• Wir unterstützen den Kunden, wenn betroffene Personen ihre Rechte geltend machen, und bei Datenschutz-Folgenabschätzungen, soweit es um unsere Bearbeitung geht.
• Wir melden dem Kunden eine Verletzung der Datensicherheit, die seine Daten betrifft, so rasch wie möglich, mit dem, was wir zu Art, Folgen und Massnahmen wissen.
• Wir geben dem Kunden auf Verlangen die Auskünfte, die er braucht, um die Einhaltung dieses Vertrags zu prüfen. Prüfungen vor Ort stimmen wir mit angemessener Frist ab; ihre Kosten trägt der Kunde.

6. Technische und organisatorische Massnahmen

Wir schützen die Daten nach Art. 8 DSG und Art. 32 DSGVO angemessen. So ist das Dashboard heute gebaut:

• Speicherort: Die Datenbank, die Anmeldung und die Dateien liegen bei Supabase in der Region Zürich. Die Anwendung läuft bei Vercel in der Region Frankfurt. Alle Verbindungen sind verschlüsselt (HTTPS).
• Trennung der Kunden: Jede Tabelle ist durch Zeilensicherheit (Row Level Security) geschützt. Eine Person sieht nur die Daten der Organisationen, denen sie angehört; automatische Tests prüfen das für jede Tabelle.
• Rollen: Inhaber, Admin, Mitglied und Nur lesen haben nur die Rechte, die sie brauchen. Was eine Person im Dashboard liest oder ändert, liest und ändert der Server mit deren Rechten. Mit weiteren Rechten arbeitet der Server nur für den Betrieb: das Erheben der Antworten, Importe und geplante Aufgaben.
• Anmeldung: Passwörter verwaltet Supabase Auth; wir sehen sie nicht. Sitzungen liegen in Cookies, die nur der Server lesen kann. Die Registrierung schützt Cloudflare Turnstile.
• Schlüssel und Tokens: API-Schlüssel, Einladungslinks und Tokens der Verbindungen speichern wir nur als SHA-256-Hash. Ein Schlüssel wird einmal angezeigt, lässt sich jederzeit widerrufen und funktioniert nicht mehr, sobald seine Person die Organisation verlässt. Verbindungen nutzen OAuth 2.1 mit PKCE; ein Zugangstoken gilt eine Stunde, ein Erneuerungstoken 30 Tage und wird bei jedem Gebrauch ersetzt.
• Missbrauch: Anmeldung, Registrierung und Schnittstellen sind pro Zeitfenster begrenzt, je nach Fall pro Minute, pro Viertelstunde oder pro Stunde. IP-Adressen und E-Mail-Adressen halten wir dafür nur als pseudonymisierten Kennwert (HMAC) fest und löschen ihn bei der nächsten Bereinigung, sobald er älter als einen Tag ist.
• Protokolle: Fehler speichern wir ohne E-Mail-Adressen, Schlüssel und Tokens. Seitenaufrufe zählen wir mit einem kurzen Hash der Person statt ihrer Kennung, ohne IP-Adresse, und löschen sie nach 30 Tagen. Das Dashboard lädt keine Werbe- oder Analyseskripte.
• Rohe Antworten der Anbieter liegen in einem privaten Dateispeicher. Löscht der Inhaber die Organisation, löschen wir ihre Zeilen und ihre Dateien.
• Betrieb: Eine Prüfung alle fünf Minuten meldet Ausfälle. Änderungen am Code gehen durch automatische Tests; Testumgebungen enthalten keine Daten von Kunden. Zugangsdaten zu Diensten liegen nie im Code.

Wir passen die Massnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

7. Subprozessoren

Der Kunde erlaubt uns, die Dienstleister in der Liste der Subprozessoren beizuziehen. Wir verpflichten sie vertraglich auf einen Datenschutz, der diesem Vertrag entspricht.

Einen neuen oder ersetzten Subprozessor kündigen wir mindestens 30 Tage im Voraus per E-Mail an den Inhaber und auf der Liste an. Der Kunde kann aus wichtigem Grund widersprechen; finden wir keine Lösung, kann er den Vertrag auf den Wechsel hin kündigen.

Die KI-Dienste selbst (ChatGPT, Gemini, Google AI Overview, AI Mode, Perplexity) erhalten über unsere Datenanbieter nur den Wortlaut der Fragen mit Land und Sprache, keine Angaben zu den Personen des Kunden.

8. Bekanntgabe ins Ausland

Einige Subprozessoren haben ihren Sitz in den USA oder bearbeiten Daten dort. Wir geben Daten ins Ausland nur bekannt, wenn das Land einen angemessenen Schutz bietet oder geeignete Garantien bestehen: für die USA das Swiss-U.S. Data Privacy Framework oder das EU-U.S. Data Privacy Framework, wo der Dienstleister zertifiziert ist, sonst die Standardvertragsklauseln der Europäischen Kommission mit den Anpassungen für die Schweiz (Art. 16 f. DSG, Art. 44 ff. DSGVO).

9. Rechte der betroffenen Personen

Der Kunde beantwortet Anfragen betroffener Personen. Vieles kann er im Dashboard selbst erledigen: Personen aus dem Team entfernen, Fragen und Marken archivieren, Daten herunterladen, die Organisation löschen. Wendet sich eine betroffene Person an uns, leiten wir sie an den Kunden weiter.

10. Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit als CSV, über die API und die MCP-Verbindung herunterladen. Löscht der Inhaber die Organisation, löschen wir ihre Daten in der Datenbank sofort und ihre Dateien im Dateispeicher; was der Dateispeicher nicht sofort annimmt, löschen wir nachträglich.

Nach dem Ende des Vertrags bleiben die Daten gespeichert, bis der Inhaber die Organisation löscht oder die Löschung von uns verlangt. Eine Löschung auf Verlangen bestätigen wir schriftlich. Daten, die wir als eigene Verantwortliche aufbewahren müssen, etwa Belege der Buchhaltung, bleiben nach der Datenschutzerklärung erhalten.

11. Haftung und Schlussbestimmungen

Für die Haftung gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um Personendaten geht. Es gelten Schweizer Recht und der Gerichtsstand der AGB, soweit die DSGVO nicht zwingend etwas anderes vorsieht.

Fragen zu diesem Vertrag beantworten wir unter bw@anewera.ch.