Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · Bestandteil der AGB Deutschland von OraPoint · Fassung vom 19. Oktober 2026

Kunden mit Sitz in der Schweiz oder in Liechtenstein: Vertrag über die Auftragsbearbeitung (DSG)

Worum geht es? Der Kunde (Arbeitgeber) entscheidet, welche Daten seiner Beschäftigten er in OraPoint erfasst. Done IT stellt dafür nur die Technik bereit und darf mit den Daten nichts anderes tun, als was der Kunde will und dieser Vertrag erlaubt. Dieser Vertrag legt das verbindlich fest – so, wie es Art. 28 DSGVO vorschreibt.

1. Gegenstand und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um ihm OraPoint als Online-Dienst bereitzustellen: Speicherung (Hosting), Betrieb, Datensicherung, Wiederherstellung, Fehlerbehebung und Support.
2. Der Vertrag gilt, solange der Auftragnehmer personenbezogene Daten für den Auftraggeber verarbeitet – also ab der Gratiszeit über die gesamte Laufzeit des Nutzungsvertrags bis zur vollständigen Löschung nach Ziffer 12. Er endet nicht vorher durch eine Kündigung des Nutzungsvertrags.

2. Art, Zweck, Daten, Betroffene

3. Weisungen

1. Der Auftragnehmer verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers – auch in Bezug auf die Übermittlung in Drittländer –, es sei denn, er ist durch das Recht der EU oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen sind abschliessend festgelegt in diesem Vertrag, in den AGB und in der Nutzung der Funktionen von OraPoint durch den Auftraggeber und seine Nutzer (z. B. Anlegen, Ändern, Löschen, Exportieren). Weitere Weisungen erteilt das Firmenkonto bzw. eine dort als Inhaber oder Verwaltung angegebene Person in Textform an info@orapoint.ch. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstösst, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
4. Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke, nicht für Werbung, nicht zum Training von KI-Systemen und gibt sie nicht an Dritte weiter, ausser nach Ziffer 6 und 11. Für Betreuung und Abrechnung sieht er nur Kennzahlen (z. B. Anzahl aktiver Konten) und die Kontodaten der Nutzer (Name, Benutzername, E-Mail, Rolle, Team, Status, letzte Anmeldung); jeder solche Abruf wird protokolliert. Arbeitszeiten, Standorte, Abwesenheiten, Dienstpläne, Aufgaben und Fotos sieht er in der Anwendung nicht.

4. Vertraulichkeit

1. Der Auftragnehmer gewährleistet, dass sich alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Derzeit hat ausschliesslich der Inhaber Edon Shkodra Zugang. Zieht er weitere Personen hinzu, verpflichtet er sie vorher in Textform und schult sie im Datenschutz.
2. Der Auftragnehmer greift auf einzelne Daten des Auftraggebers in der Datenbank nur zu, soweit es für Betrieb, Datensicherung, Wiederherstellung oder eine vom Auftraggeber gewünschte Fehlerbehebung zwingend erforderlich ist, und nur im dafür nötigen Umfang.

5. Sicherheit der Verarbeitung

1. Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Massnahmen nach Art. 32 DSGVO. Sie sind Bestandteil dieses Vertrags.
2. Der Auftragnehmer darf die Massnahmen an den Stand der Technik anpassen, wenn das Schutzniveau dadurch nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

6. Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus sachlichem datenschutzrechtlichem Grund in Textform widersprechen. Können die Parteien sich nicht einigen, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung ohne weitere Kosten kündigen.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Massnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.
4. Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen der Dritte keinen Zugriff auf die Daten des Auftraggebers hat (z. B. Telekommunikation, Post, Reinigung).

7. Ort der Verarbeitung

Die Daten des Auftraggebers werden ausschliesslich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet und gesichert (Rechenzentren der IONOS SE in der EU; zweite Sicherungskopie in Deutschland). Eine Verarbeitung in einem Drittland erfolgt nur nach vorheriger Zustimmung des Auftraggebers in Textform und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Ein Zugriff aus einem Drittland zur Fernwartung findet nicht statt.

8. Rechte der betroffenen Personen

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Massnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12–22 DSGVO (Art. 28 Abs. 3 lit. e DSGVO).
2. Auskunft, Berichtigung, Löschung und Export kann der Auftraggeber weitgehend selbst in OraPoint vornehmen (Personenansicht, Korrektur mit Protokoll, Gesamtexport). Wo das nicht möglich ist, führt der Auftragnehmer die Massnahme auf Weisung des Auftraggebers innerhalb von 5 Werktagen aus.
3. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser das Anliegen innerhalb von 2 Werktagen an den Auftraggeber weiter und teilt der Person mit, dass er es weitergeleitet hat. Er beantwortet es nicht selbst inhaltlich, es sei denn, der Auftraggeber weist ihn dazu an.

9. Weitere Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung (z. B. wegen der Standorterfassung oder der Krankmeldungen) und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO). Er stellt dafür auf Anfrage eine Beschreibung der Verarbeitung und der Massnahmen zur Verfügung.

10. Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten des Auftraggebers (z. B. unbefugter Zugriff, Verlust, unbefugte Änderung) unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, an die im Firmenkonto hinterlegte E-Mail-Adresse und als Mitteilung in der App.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen sowie einen Ansprechpartner (Art. 33 Abs. 3 DSGVO). Was noch nicht bekannt ist, liefert der Auftragnehmer ohne unangemessene Verzögerung nach.
3. Der Auftragnehmer ergreift unverzüglich die erforderlichen Massnahmen, um die Verletzung zu beenden und ihre Folgen zu mindern, und dokumentiert den Vorfall. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen (Art. 33, 34 DSGVO) nimmt der Auftraggeber vor; der Auftragnehmer unterstützt ihn dabei.

11. Anfragen von Behörden

1. Verlangt eine Behörde oder ein Gericht vom Auftragnehmer Daten des Auftraggebers, gibt der Auftragnehmer Daten nur heraus, wenn er gesetzlich dazu verpflichtet ist und eine schriftliche, rechtlich begründete Anordnung vorliegt. Er prüft die Anordnung, legt soweit sinnvoll Rechtsmittel ein und gibt nur die Daten heraus, die von der Anordnung genau erfasst sind.
2. Er informiert den Auftraggeber unverzüglich vor der Herausgabe, damit dieser selbst reagieren kann, es sei denn, das Gesetz oder die Anordnung verbietet dies ausdrücklich. Ersucht eine Behörde eines Drittlands um Daten, verweist er sie auf den Weg der Rechtshilfe.

12. Löschung und Rückgabe

1. Nach Ende des Nutzungsvertrags kann der Auftraggeber 30 Tage lang mit dem Firmenkonto auf alle Daten zugreifen und sie vollständig exportieren (Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO). Der Export ist kostenlos.
2. Danach löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von weiteren 30 Tagen aus dem laufenden System, sofern nicht nach dem Recht der EU oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Er bestätigt die Löschung auf Anfrage in Textform.
3. In Datensicherungen bleiben die Daten technisch bedingt erhalten, bis die jeweilige Sicherung nach dem Plan in Anlage 1 überschrieben wird (spätestens nach 12 Monaten). Bis dahin sind sie gesperrt; sie werden nicht verwendet, ausser zur Wiederherstellung nach einem Schaden.
4. Die Pflicht des Auftraggebers, Unterlagen nach Arbeits-, Steuer- oder Sozialversicherungsrecht aufzubewahren, erfüllt er selbst durch rechtzeitigen Export.

13. Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO), insbesondere eine aktuelle Fassung der Anlage 1 und die Nachweise der Unterauftragsverarbeiter (z. B. ISO-27001-Zertifikat von IONOS).
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragnehmers ist, kann die Einhaltung nach Anmeldung mit einer Frist von mindestens 14 Tagen während der Geschäftszeiten und ohne vermeidbare Störung des Betriebs überprüfen, in der Regel höchstens einmal im Kalenderjahr; aus besonderem Anlass (z. B. nach einer Verletzung nach Ziffer 10) jederzeit. Rechenzentren der Unterauftragsverarbeiter werden durch deren Nachweise geprüft.
3. Die Kosten einer Kontrolle trägt der Auftraggeber, es sei denn, sie ergibt einen nicht nur unerheblichen Verstoss des Auftragnehmers.

14. Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Zulässigkeit der Verarbeitung und die Wahrung der Rechte der Betroffenen verantwortlich (Art. 24 DSGVO), insbesondere für die Information der Beschäftigten (Art. 13 DSGVO), eine etwa erforderliche Datenschutz-Folgenabschätzung und die Beteiligung des Betriebsrats.
2. Er informiert den Auftragnehmer unverzüglich, wenn er bei der Nutzung Fehler oder Unregelmässigkeiten im Hinblick auf den Datenschutz feststellt.

15. Haftung, Vergütung, Schlussbestimmungen

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt Art. 82 Abs. 5 DSGVO; im Übrigen gelten die Haftungsregeln der AGB (§ 17).
2. Unterstützungsleistungen nach den Ziffern 8, 9, 10 und 13.1 sind mit der Vergütung nach den AGB abgegolten. Für Unterstützung, die über das übliche Mass hinausgeht und nicht durch einen Verstoss des Auftragnehmers veranlasst ist, kann der Auftragnehmer nach vorheriger Ankündigung einen angemessenen Aufwandsersatz verlangen.
3. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB und allen anderen Vereinbarungen vor.
4. Änderungen dieses Vertrags bedürfen der Textform; für Änderungen durch den Auftragnehmer gilt das Verfahren nach § 19 der AGB, für Unterauftragsverarbeiter Ziffer 6.
5. Es gilt deutsches Recht. Für den Gerichtsstand gilt § 20 Abs. 4 der AGB. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam; an ihre Stelle tritt die Regelung, die den Anforderungen von Art. 28 DSGVO entspricht.

Anlage 1 – Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Anlage 2 – Unterauftragsverarbeiter

Fassung vom 19. Oktober 2026 · Anbieterangaben: Impressum