Vereinbarung zur Auftragsbearbeitung von Schichtly

1. Vertragsparteien und Geltungsbereich

Auftragsbearbeiter ist:

Stefan Messmer
Bahnhofstrasse 30c
9214 Kradolf
Schweiz
E-Mail: info@schichtly.ch

Nachfolgend «Schichtly» oder «Auftragsbearbeiter».

Auftraggeber ist der Inhaber des Schichtly-Kontos oder die von ihm wirksam vertretene Organisation. Wer Schichtly für eine Organisation einrichtet oder nutzt, bestätigt, zum Abschluss dieser AVV und zur Erteilung von Weisungen berechtigt zu sein.

Diese AVV gilt nur für Bearbeitungen, bei denen der Auftraggeber datenschutzrechtlich verantwortlich ist und Schichtly Personendaten in seinem Auftrag bearbeitet. Für Kontoverwaltung, Vertrag, Abrechnung, Sicherheit, Missbrauchsabwehr und eigene gesetzliche Pflichten handelt Schichtly in eigener Verantwortung gemäss der Datenschutzerklärung.

2. Gegenstand und Dauer

Gegenstand ist die technische Bereitstellung von Schichtly zur Erstellung, Verwaltung, Einlesung, Anzeige und kontrollierten Freigabe von Schicht- und Terminplänen sowie zur Verwaltung von Empfängerzugängen.

Die Auftragsbearbeitung beginnt, sobald der Auftraggeber entsprechende Personendaten in Schichtly eingibt, importiert, abruft oder freigibt. Sie dauert bis zur Löschung der betreffenden Daten oder bis zum Ende des Vertragsverhältnisses. Gesetzlich erforderliche Aufbewahrung sowie die in der Datenschutzerklärung beschriebenen begrenzten Sicherungs- und Löschfristen bleiben vorbehalten.

Nach einer ausdrücklich bestätigten Planleerung kann genau der zuletzt entfernte Terminbestand während höchstens sieben Tagen authentifiziert verschlüsselt für eine vom Auftraggeber ausgelöste Wiederherstellung als privater Entwurf bereitgehalten werden. Wiederherstellung, Ersetzung, Fristablauf sowie Plan- oder Kontolöschung beenden diese Bereithaltung.

3. Art und Zweck der Bearbeitung

Schichtly kann im Auftrag insbesondere folgende Bearbeitungen durchführen:

• Erfassen, strukturieren, speichern, verschlüsseln und anzeigen von Plan- und Termindaten;
• Einlesen und vorübergehendes serverseitiges Verarbeiten von CSV-, XLSX- und ICS-Inhalten sowie des auf dem Endgerät erkannten Textes aus PDF-, PNG- und JPEG-Dateien;
• lokales Erkennen von PDF-, Datei- und Bildinhalten im Browser auf dem Endgerät, wobei Originaldatei, Dateiname und gerenderte PDF-Arbeitsbilder das Gerät nicht verlassen;
• Erstellen und Ausliefern kontrollierter Browser- und ICS-Freigaben;
• Verwalten freiwilliger Gerätebindungen und Zustellen neutraler Web-Push-Mitteilungen nach einer tatsächlich ausgeführten Veröffentlichung;
• Verwalten von Empfängerlisten, Empfängerbezeichnungen und persönlichen Zugängen;
• Sichern, Wiederherstellen, Sperren, Berichtigen, Exportieren und Löschen nach Weisung und Vertragsvorgabe;
• technische Sicherheits-, Verfügbarkeits- und Missbrauchskontrollen.

Die im Auftrag bearbeiteten Daten werden nicht für Werbung, Profiling, den Verkauf von Personendaten oder eigene inhaltliche Zwecke von Schichtly verwendet. Hochgeladene Inhalte werden nicht an einen externen KI- oder OCR-Dienst übermittelt.

4. Kategorien betroffener Personen

Abhängig von der Nutzung des Auftraggebers können insbesondere folgende Personen betroffen sein:

• Mitarbeitende und Bewerbende;
• Mitglieder, freiwillig Tätige und Funktionsträger;
• Kursteilnehmende und Lehrpersonen;
• Veranstaltungsbeteiligte;
• Schicht-, Termin- und Freigabeempfänger;
• weitere Personen, die der Auftraggeber zulässigerweise in einem Plan oder Import erfasst.

5. Kategorien von Personendaten

Je nach Nutzung können insbesondere folgende Daten bearbeitet werden:

• Namen, Kürzel, Pseudonyme und Empfängerbezeichnungen;
• Schicht-, Termin-, Zeit-, Pausen-, Zuordnungs- und Verfügbarkeitsangaben;
• Team-, Kurs-, Veranstaltungs-, Orts- und Tätigkeitsangaben;
• freigegebene Beschreibungen und sonstige vom Auftraggeber eingegebene Inhalte;
• Inhalte und Metadaten bestätigter Datei- und Kalenderimporte;
• Listen-, Plan- und Zugangskennungen sowie Zeitpunkte eines Zugriffs;
• technische Push-Endpunkte, öffentliche Geräte- und Authentifizierungsschlüssel sowie zufällige Kanalbezüge, wenn eine betroffene Person Web-Push freiwillig aktiviert;
• technische Daten, soweit sie für sicheren Betrieb, Fehlerbehebung und Missbrauchsabwehr erforderlich sind.

Schichtly ist nicht für besonders schützenswerte Personendaten, Berufsgeheimnisse, Gesundheitsdaten, private Adressen, private Telefonnummern oder vergleichbar sensible Inhalte vorgesehen. Der Auftraggeber erfasst solche Daten nicht, sofern ihre Bearbeitung nicht vorab ausdrücklich vereinbart, rechtlich zulässig und technisch freigegeben wurde.

6. Weisungen des Auftraggebers

Die ursprünglichen Weisungen ergeben sich aus dieser AVV, den AGB, der Datenschutzerklärung und der bestimmungsgemässen Nutzung der von Schichtly bereitgestellten Funktionen.

Weitere Weisungen können über die vorgesehenen Einstellungen und Funktionen oder in Textform an die Kontaktadresse von Schichtly erteilt werden. Weisungen müssen rechtmässig, eindeutig und auf die vereinbarte Leistung bezogen sein. Schichtly informiert den Auftraggeber, wenn eine Weisung nach eigener Einschätzung gegen anwendbares Datenschutzrecht verstösst, und darf ihre Ausführung bis zur Klärung aussetzen.

Änderungen des Leistungsumfangs oder unverhältnismässiger Zusatzaufwand können einer gesonderten Vereinbarung bedürfen.

7. Pflichten des Auftraggebers

Der Auftraggeber:

• bleibt für Rechtmässigkeit, Zweck, Transparenz, Richtigkeit und Verhältnismässigkeit der von ihm bestimmten Bearbeitung verantwortlich;
• stellt sicher, dass er die Daten bearbeiten und Schichtly zur Bearbeitung anweisen darf;
• informiert betroffene Personen, soweit dies gesetzlich erforderlich ist;
• verwendet angemessene Inhalte und vermeidet unnötige oder besonders sensible Angaben;
• schützt sein Konto und seine Passkeys vor unbefugter Nutzung;
• prüft importierte und automatisiert erkannte Inhalte vor der Speicherung oder Veröffentlichung;
• meldet unrichtige Daten, unbefugte Zugriffe und Datenschutzvorfälle ohne unnötige Verzögerung;
• erfüllt Anfragen betroffener Personen und behördliche Pflichten, soweit er hierfür verantwortlich ist.

8. Pflichten von Schichtly

Schichtly:

• bearbeitet die anvertrauten Personendaten nur nach dokumentierten Weisungen und für die vereinbarten Zwecke;
• stellt sicher, dass zur Bearbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
• trifft angemessene technische und organisatorische Sicherheitsmassnahmen;
• unterstützt den Auftraggeber im vereinbarten und zumutbaren Umfang bei Betroffenenanfragen, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und Behördenkontakten;
• führt erforderliche Nachweise und stellt angemessene Informationen zur Einhaltung dieser AVV bereit;
• berichtigt, sperrt, exportiert oder löscht Daten entsprechend den vorhandenen Funktionen und rechtmässigen Weisungen;
• informiert den Auftraggeber vor einer gesetzlich erzwungenen Bearbeitung ausserhalb seiner Weisungen, sofern eine solche Information rechtlich zulässig ist;
• verwendet Unterauftragsbearbeiter nur nach Ziffer 14 dieser AVV.

9. Vertraulichkeit und Zugriff

Zugriff auf anvertraute Personendaten erhalten nur Personen und Systeme, die ihn für Betrieb, Sicherheit, Support oder die Ausführung einer dokumentierten Weisung benötigen. Berechtigungen werden nach Aufgabe und Erforderlichkeit beschränkt.

Administrativer Zugriff dient nicht der inhaltlichen Kontrolle der Pläne. Der administrative Leitstand ist darauf ausgelegt, keine Kalender- oder Mailinhalte, geheimen Tokens oder Passkey-Geheimnisse anzuzeigen.

Vertraulichkeitspflichten gelten über das Ende der jeweiligen Tätigkeit und des Vertragsverhältnisses hinaus.

10. Technische und organisatorische Massnahmen

Schichtly setzt risikogerechte Massnahmen ein und überprüft sie entsprechend der technischen Entwicklung. Dazu gehören insbesondere:

• ausschliessliche Kontoanmeldung mit Passkeys und Benutzerverifikation;
• rollen-, konto- und planbezogene Zugriffskontrollen sowie serverseitige Berechtigungsprüfungen;
• verschlüsselte Übertragung über TLS;
• authentifizierte Verschlüsselung geeigneter gespeicherter Daten und getrennte Schlüssel für bestimmte Such- und Sicherheitswerte;
• Schutz von Freigaben und Empfängerzugängen durch zufällige, begrenzte oder widerrufbare Werte;
• Schutz vor typischen Webangriffen, Missbrauch und übermässigen Anfragen;
• eingeschränkte Dateiarten, Dateigrössen und Verarbeitungswege;
• Minimierung und zeitliche Begrenzung von Protokoll-, Sitzungs-, Import- und Warteschlangendaten;
• getrennte Mandanten- und Planbindung in Anwendung und Datenbank;
• verschlüsselte Sicherungskopien, dokumentierte Wiederherstellung und erneute Anwendung bestätigter Löschungen;
• restriktive Produktionskonfiguration, minimale Schreibrechte und regelmässige Sicherheitsprüfungen.

Weitere Einzelheiten können einem berechtigten Auftraggeber vertraulich bereitgestellt werden, soweit dadurch keine Sicherheitsinteressen von Schichtly oder anderen Kunden beeinträchtigt werden.

11. Unterstützung bei Rechten betroffener Personen

Erhält Schichtly eine Anfrage, die erkennbar Daten im Verantwortungsbereich des Auftraggebers betrifft, leitet Schichtly sie an den Auftraggeber weiter oder verweist die betroffene Person an ihn. Schichtly beantwortet eine solche Anfrage nicht eigenständig, ausser der Auftraggeber hat dies angewiesen oder eine gesetzliche Pflicht verlangt es.

Schichtly unterstützt den Auftraggeber mit den vorhandenen Funktionen und angemessenen zusätzlichen Informationen bei Auskunft, Berichtigung, Herausgabe, Einschränkung und Löschung. Der Auftraggeber bleibt für die inhaltliche Prüfung und fristgerechte Antwort verantwortlich.

12. Datenschutzverletzungen

Schichtly informiert den Auftraggeber ohne unangemessene Verzögerung, nachdem Schichtly eine Verletzung der Sicherheit anvertrauter Personendaten festgestellt hat.

Die Mitteilung enthält nach Verfügbarkeit die Art des Vorfalls, betroffene Daten- und Personenkategorien, den ungefähren Umfang, wahrscheinliche Folgen, getroffene oder vorgeschlagene Massnahmen und eine Kontaktmöglichkeit. Noch nicht verfügbare Angaben können schrittweise ergänzt werden.

Der Auftraggeber entscheidet in seinem Verantwortungsbereich über Meldungen an Behörden und betroffene Personen. Schichtly unterstützt ihn im gesetzlich erforderlichen und zumutbaren Umfang.

13. Löschung und Rückgabe

Während des Vertrags kann der Auftraggeber Daten mit den vorgesehenen Funktionen berichtigen, exportieren, freigeben, widerrufen und löschen.

Bei einer bestätigten vollständigen Kontolöschung werden löschbare Primärdaten spätestens innerhalb von 30 Tagen entfernt. Technische Restkopien können aufgrund rollierender Sicherungen im ungünstigsten Fall bis spätestens 60 Tage nach der ursprünglichen Löschanforderung bestehen. Bestätigte Löschungen werden vor einer Wiederfreigabe wiederhergestellter Systeme erneut angewendet.

Nach Ende der Auftragsbearbeitung löscht oder gibt Schichtly anvertraute Daten nach Wahl des Auftraggebers zurück, soweit dies mit den angebotenen Exportfunktionen möglich ist und keine gesetzliche Pflicht oder ein dokumentierter Rechtsanspruch eine getrennte, zweckgebundene Aufbewahrung verlangt.

Bereits von berechtigten Empfängern heruntergeladene Kalenderkopien können technisch nicht zurückgerufen werden. Der Auftraggeber berücksichtigt dies vor einer Freigabe.

14. Unterauftragsbearbeiter und Bearbeitungsorte

Der Auftraggeber erteilt Schichtly die allgemeine Genehmigung, die nachfolgend genannten Unterauftragsbearbeiter einzusetzen:

• hosttech GmbH, Seestrasse 15a, 8805 Richterswil, Schweiz – Webhosting, Datenbank- und Dateispeicherung, technische Sicherungskopien, integrierter Mailserver und hostingbezogener Support; Bearbeitungs- und Datenstandort Schweiz.

Schichtly informiert den Auftraggeber vor der Hinzuziehung oder Ersetzung eines Unterauftragsbearbeiters. Der Auftraggeber kann aus sachlichen datenschutzrechtlichen Gründen widersprechen. Können die Parteien keine angemessene Lösung finden, kann die betroffene Leistung beendet werden.

Schichtly verpflichtet Unterauftragsbearbeiter vertraglich zu einem dieser AVV entsprechenden Datenschutzniveau. Eine Bearbeitung ausserhalb der Schweiz erfolgt nur unter Einhaltung der anwendbaren Regeln zur Datenbekanntgabe ins Ausland und wird in der Unterauftragsbearbeiterliste ausgewiesen.

Unser Hostinganbieter hosttech kann für einzelne technische oder betriebliche Leistungen weitere Unterauftragsbearbeiter einsetzen. Die aktuelle Unterauftragsbearbeiterliste wird von hosttech bereitgestellt und kann unter postfach@hosttech.ch angefordert werden. Änderungen dieser Liste richten sich nach den vertraglichen und datenschutzrechtlichen Regelungen von hosttech.

Stripe wird für die von Schichtly in eigener Verantwortung durchgeführte Vertrags- und Zahlungsabwicklung eingesetzt und erhält nicht allein aufgrund dieser AVV Zugriff auf Schicht-, Kalender-, Empfänger- oder Importinhalte.

15. Nachweise und Kontrollen

Schichtly stellt dem Auftraggeber auf begründete Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieser AVV nachzuweisen. Bestehende Prüfberichte, technische Beschreibungen und andere geeignete Nachweise sind vorrangig zu verwenden.

Reichen diese Informationen begründet nicht aus, kann der Auftraggeber nach angemessener Vorankündigung höchstens einmal jährlich sowie zusätzlich nach einem erheblichen Datenschutzvorfall eine verhältnismässige Kontrolle durchführen oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen.

Kontrollen dürfen Sicherheit, Betrieb, Geheimnisse und Rechte anderer Kunden nicht beeinträchtigen. Vom Auftraggeber veranlasster zusätzlicher Aufwand kann nach vorheriger Mitteilung verrechnet werden, soweit die Kontrolle keinen erheblichen Verstoss von Schichtly bestätigt.

16. Rangfolge, Haftung und Änderungen

Bei Widersprüchen über die Auftragsbearbeitung geht diese AVV den AGB vor. Im Übrigen gelten die AGB, insbesondere deren Haftungsregelungen.

Schichtly kann diese AVV aus sachlichen Gründen anpassen. Wesentliche nachteilige Änderungen und Änderungen bei Unterauftragsbearbeitern werden vor ihrem Wirksamwerden mitgeteilt; zwingende gesetzliche oder dringende sicherheitsbezogene Änderungen können früher gelten.

Es gilt Schweizer Recht. Zwingende Rechte, Zuständigkeiten und Schutzvorschriften nach dem anwendbaren Datenschutzrecht bleiben vorbehalten.