Vertrag über die Auftragsbearbeitung

nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG) · Bestandteil der AGB Schweiz von OraPoint · Fassung vom 19. Oktober 2026

Kunden mit Sitz in Deutschland oder der EU: Vertrag zur Auftragsverarbeitung (DSGVO)

Worum geht es? Der Kunde (Arbeitgeber) entscheidet, welche Daten seiner Mitarbeitenden er in OraPoint erfasst. Done IT stellt dafür nur die Technik bereit und darf mit den Daten nichts anderes tun, als was der Kunde will und dieser Vertrag erlaubt – genau so, wie es Art. 9 DSG verlangt: Die Auftragsbearbeiterin darf die Daten nur so bearbeiten, wie der Kunde es selbst tun dürfte.

1. Gegenstand und Dauer

1. Die Auftragsbearbeiterin bearbeitet Personendaten im Auftrag der Verantwortlichen, um ihr OraPoint als Online-Dienst bereitzustellen: Speicherung (Hosting), Betrieb, Datensicherung, Wiederherstellung, Fehlerbehebung und Support.
2. Der Vertrag gilt, solange die Auftragsbearbeiterin Personendaten für die Verantwortliche bearbeitet – also ab der Gratiszeit über die gesamte Dauer des Nutzungsvertrags bis zur vollständigen Löschung nach Ziffer 12. Er endet nicht vorher durch eine Kündigung des Nutzungsvertrags.

2. Art, Zweck, Daten, Betroffene

3. Bearbeitung nur nach Weisung

1. Die Auftragsbearbeiterin bearbeitet die Daten nur so, wie die Verantwortliche es selbst tun dürfte, und ausschliesslich nach deren dokumentierten Weisungen – auch in Bezug auf eine Bekanntgabe ins Ausland –, es sei denn, sie ist gesetzlich zu einer Bearbeitung verpflichtet; in diesem Fall teilt sie der Verantwortlichen diese Pflicht vorher mit, soweit das Gesetz dies nicht verbietet.
2. Die Weisungen sind abschliessend festgelegt in diesem Vertrag, in den AGB und in der Nutzung der Funktionen von OraPoint durch die Verantwortliche und ihre Nutzer (z. B. Erfassen, Ändern, Löschen, Exportieren). Weitere Weisungen erteilt das Firmenkonto bzw. eine dort als Inhaber oder Verwaltung angegebene Person in Textform (auch per E-Mail) an info@orapoint.ch. Mündliche Weisungen bestätigt die Verantwortliche umgehend in Textform.
3. Hält die Auftragsbearbeiterin eine Weisung für datenschutzwidrig, teilt sie dies der Verantwortlichen umgehend mit und darf die Ausführung aussetzen, bis die Verantwortliche sie bestätigt oder ändert.
4. Die Auftragsbearbeiterin bearbeitet die Daten nicht für eigene Zwecke, nicht für Werbung, nicht zum Training von KI-Systemen und gibt sie nicht an Dritte bekannt, ausser nach Ziffer 6 und 11. Für Betreuung und Abrechnung sieht sie nur Kennzahlen (z. B. Anzahl aktiver Konten) und die Kontodaten der Nutzer (Name, Benutzername, E-Mail, Rolle, Team, Status, letzte Anmeldung); jeder solche Abruf wird protokolliert. Arbeitszeiten, Standorte, Abwesenheiten, Dienstpläne, Aufgaben und Fotos sieht sie in der Anwendung nicht.

4. Vertraulichkeit

1. Die Auftragsbearbeiterin stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Verschwiegenheit verpflichtet sind. Derzeit hat ausschliesslich der Inhaber Edon Shkodra Zugang. Zieht er weitere Personen bei, verpflichtet er sie vorher in Textform und schult sie im Datenschutz.
2. Die Auftragsbearbeiterin greift auf einzelne Daten der Verantwortlichen in der Datenbank nur zu, soweit es für Betrieb, Datensicherung, Wiederherstellung oder eine von der Verantwortlichen gewünschte Fehlerbehebung zwingend nötig ist, und nur im dafür nötigen Umfang.

5. Datensicherheit

1. Die Auftragsbearbeiterin gewährleistet eine dem Risiko angemessene Datensicherheit (Art. 8 DSG, Art. 1–6 DSV) mit den in Anhang 1 beschriebenen Massnahmen. Anhang 1 ist Bestandteil dieses Vertrags.
2. Sie darf die Massnahmen an den Stand der Technik anpassen, wenn das Schutzniveau dadurch nicht sinkt. Wesentliche Änderungen dokumentiert sie und teilt sie der Verantwortlichen auf Anfrage mit.

6. Beizug Dritter

1. Die Verantwortliche genehmigt den Beizug der in Anhang 2 genannten Dritten (vorgängige Genehmigung nach Art. 9 Abs. 3 DSG).
2. Über jeden beabsichtigten Beizug oder Wechsel eines Dritten informiert die Auftragsbearbeiterin mindestens vier Wochen im Voraus in Textform. Die Verantwortliche kann innert dieser Frist aus sachlichem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, kann sie den Nutzungsvertrag auf den Zeitpunkt der Änderung ohne weitere Kosten kündigen.
3. Die Auftragsbearbeiterin verpflichtet jeden beigezogenen Dritten vertraglich auf gleichwertige Datenschutzpflichten wie in diesem Vertrag. Sie steht gegenüber der Verantwortlichen dafür ein, dass der Dritte diese Pflichten einhält.
4. Kein Beizug im Sinne dieser Ziffer sind Nebenleistungen, bei denen der Dritte keinen Zugriff auf die Daten der Verantwortlichen hat (z. B. Telekommunikation, Post, Reinigung).

7. Ort der Bearbeitung und Bekanntgabe ins Ausland

Die Daten der Verantwortlichen werden ausschliesslich in Deutschland bzw. in Mitgliedstaaten der EU oder des EWR bearbeitet und gesichert (Rechenzentren der IONOS SE in der EU; zweite Sicherungskopie in Deutschland). Diese Staaten gewährleisten nach Anhang 1 der Datenschutzverordnung (DSV) einen angemessenen Datenschutz; die Bekanntgabe ist nach Art. 16 Abs. 1 DSG zulässig. Eine Bearbeitung in anderen Staaten erfolgt nur nach vorgängiger Zustimmung der Verantwortlichen in Textform und nur unter Einhaltung von Art. 16 und 17 DSG. Ein Zugriff aus anderen Staaten zur Fernwartung findet nicht statt.

8. Rechte der betroffenen Personen

1. Die Auftragsbearbeiterin unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Massnahmen bei der Erfüllung der Rechte der betroffenen Personen, insbesondere Auskunft (Art. 25 DSG), Herausgabe oder Übertragung (Art. 28 DSG), Berichtigung und Löschung (Art. 32 DSG).
2. Auskunft, Berichtigung, Löschung und Export kann die Verantwortliche weitgehend selbst in OraPoint vornehmen (Personenansicht, Korrektur mit Protokoll, Gesamtexport). Wo das nicht möglich ist, führt die Auftragsbearbeiterin die Massnahme auf Weisung der Verantwortlichen innert 5 Werktagen aus.
3. Wendet sich eine betroffene Person direkt an die Auftragsbearbeiterin, leitet diese das Begehren innert 2 Werktagen an die Verantwortliche weiter und teilt der Person mit, dass sie es weitergeleitet hat. Sie beantwortet es nicht selbst inhaltlich, es sei denn, die Verantwortliche weist sie dazu an.

9. Weitere Unterstützung

Die Auftragsbearbeiterin unterstützt die Verantwortliche unter Berücksichtigung der Art der Bearbeitung und der ihr verfügbaren Informationen bei der Datensicherheit, bei einer Datenschutz-Folgenabschätzung (Art. 22 DSG, z. B. wegen der Standorterfassung oder der Krankmeldungen), bei einer allfälligen Konsultation des EDÖB (Art. 23 DSG) und beim Führen des Verzeichnisses der Bearbeitungstätigkeiten (Art. 12 DSG). Sie stellt dafür auf Anfrage eine Beschreibung der Bearbeitung und der Massnahmen zur Verfügung.

10. Verletzungen der Datensicherheit

1. Die Auftragsbearbeiterin meldet der Verantwortlichen jede Verletzung der Datensicherheit, die Daten der Verantwortlichen betrifft (z. B. unbefugter Zugriff, Verlust, unbefugte Änderung), so rasch als möglich, spätestens innert 48 Stunden, nachdem sie ihr bekannt geworden ist (Art. 24 Abs. 3 DSG), an die im Firmenkonto hinterlegte E-Mail-Adresse und als Mitteilung in der App.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, Zeitpunkt und Dauer, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen sowie eine Ansprechperson (vgl. Art. 15 DSV). Was noch nicht bekannt ist, liefert die Auftragsbearbeiterin ohne unangemessene Verzögerung nach.
3. Die Auftragsbearbeiterin ergreift umgehend die nötigen Massnahmen, um die Verletzung zu beenden und ihre Folgen zu mindern, und dokumentiert den Vorfall. Die Meldung an den EDÖB und die Information der Betroffenen (Art. 24 DSG) nimmt die Verantwortliche vor; die Auftragsbearbeiterin unterstützt sie dabei.

11. Anfragen von Behörden

1. Verlangt eine Behörde oder ein Gericht von der Auftragsbearbeiterin Daten der Verantwortlichen, gibt sie Daten nur heraus, wenn sie gesetzlich dazu verpflichtet ist und eine schriftliche, rechtlich begründete Anordnung vorliegt. Sie prüft die Anordnung, ergreift soweit sinnvoll Rechtsmittel und gibt nur die Daten heraus, die von der Anordnung genau erfasst sind.
2. Sie informiert die Verantwortliche umgehend vor der Herausgabe, damit diese selbst reagieren kann, es sei denn, das Gesetz oder die Anordnung verbietet dies ausdrücklich. Schweizer und andere ausländische Behörden verweist sie auf den Weg der internationalen Rechtshilfe.

12. Löschung und Rückgabe

1. Nach Ende des Nutzungsvertrags kann die Verantwortliche 30 Tage lang mit dem Firmenkonto auf alle Daten zugreifen und sie vollständig exportieren (Rückgabe). Der Export ist kostenlos.
2. Danach löscht die Auftragsbearbeiterin alle Daten der Verantwortlichen innert weiteren 30 Tagen aus dem laufenden System, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Sie bestätigt die Löschung auf Anfrage in Textform.
3. In Datensicherungen bleiben die Daten technisch bedingt erhalten, bis die jeweilige Sicherung nach dem Plan in Anhang 1 überschrieben wird (spätestens nach 12 Monaten). Bis dahin sind sie gesperrt; sie werden nicht verwendet, ausser zur Wiederherstellung nach einem Schaden.
4. Arbeitszeitnachweise muss die Verantwortliche mindestens fünf Jahre aufbewahren (Art. 73 Abs. 2 ArGV 1). Diese Pflicht erfüllt sie selbst durch rechtzeitigen Export.

13. Nachweise und Kontrollen

1. Die Auftragsbearbeiterin stellt der Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, insbesondere eine aktuelle Fassung des Anhangs 1 und die Nachweise der beigezogenen Dritten (z. B. ISO-27001-Zertifikat von IONOS).
2. Die Verantwortliche oder eine von ihr beauftragte, zur Verschwiegenheit verpflichtete Prüferin, die keine Wettbewerberin der Auftragsbearbeiterin ist, kann die Einhaltung nach Anmeldung mit einer Frist von mindestens 14 Tagen während der Geschäftszeiten und ohne vermeidbare Störung des Betriebs überprüfen, in der Regel höchstens einmal im Kalenderjahr; aus besonderem Anlass (z. B. nach einer Verletzung nach Ziffer 10) jederzeit. Rechenzentren beigezogener Dritter werden durch deren Nachweise geprüft.
3. Die Kosten einer Kontrolle trägt die Verantwortliche, es sei denn, sie ergibt einen nicht nur unerheblichen Verstoss der Auftragsbearbeiterin.

14. Pflichten der Verantwortlichen

1. Die Verantwortliche ist für die Rechtmässigkeit der Bearbeitung und die Wahrung der Rechte der Betroffenen verantwortlich, insbesondere für die Information der Mitarbeitenden (Art. 19 DSG), die Einhaltung von Art. 328b OR und Art. 26 ArGV 3, eine allfällige Datenschutz-Folgenabschätzung und die Mitwirkung der Arbeitnehmenden.
2. Sie informiert die Auftragsbearbeiterin umgehend, wenn sie bei der Nutzung Fehler oder Unregelmässigkeiten im Hinblick auf den Datenschutz feststellt.

15. Haftung, Vergütung, Schlussbestimmungen

1. Für die Haftung gelten die Bestimmungen der AGB (Ziff. 17); zwingende gesetzliche Haftungsbestimmungen bleiben vorbehalten.
2. Unterstützungsleistungen nach den Ziffern 8, 9, 10 und 13.1 sind mit der Vergütung nach den AGB abgegolten. Für Unterstützung, die über das übliche Mass hinausgeht und nicht durch einen Verstoss der Auftragsbearbeiterin veranlasst ist, kann diese nach vorgängiger Ankündigung einen angemessenen Aufwandersatz verlangen.
3. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB und allen anderen Vereinbarungen vor.
4. Änderungen dieses Vertrags bedürfen der Textform; für Änderungen durch die Auftragsbearbeiterin gilt das Verfahren nach Ziff. 19 der AGB, für beigezogene Dritte Ziffer 6.
5. Für anwendbares Recht und Gerichtsstand gilt Ziff. 20 der AGB. Die Pflichten nach dem Schweizer Datenschutzgesetz gelten unabhängig davon. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen gültig; an ihre Stelle tritt die Regelung, die den Anforderungen von Art. 9 DSG entspricht.

Anhang 1 – Massnahmen zur Datensicherheit (Art. 8 DSG, Art. 1–6 DSV)

Anhang 2 – Beigezogene Dritte

Fassung vom 19. Oktober 2026 · Anbieterangaben: Impressum