Stand 16. Oktober 2026

Auftragsbearbeitungsvertrag

Dieser Vertrag regelt, wie die Vingrad GmbH Personendaten bearbeitet, die Kunden in ihren Managed-Apps-Instanzen speichern. Er gilt nach Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, nach Art. 28 DSGVO, und ist für Unternehmen Bestandteil des Vertrags über Managed Apps.

1. Parteien und Gegenstand

Verantwortlicher ist der Kunde, der Managed Apps bestellt hat („Kunde“). Auftragsbearbeiterin ist die Vingrad GmbH, Bachstrasse 11, 8280 Kreuzlingen, UID CHE-334.348.307 („wir“).

Gegenstand ist der Betrieb der bestellten Anwendungen als eigene Instanzen nach den Allgemeinen Geschäftsbedingungen für Managed Apps. Dabei haben wir Zugriff auf die Daten, die der Kunde und seine Benutzer in den Instanzen speichern. Die Laufzeit entspricht der Laufzeit des Vertrags über Managed Apps.

2. Art, Zweck und betroffene Daten

• Art der Bearbeitung: Speichern, Sichern, Wiederherstellen, Übertragen und Löschen von Daten sowie technischer Zugriff für Betrieb, Updates und Fehlerbehebung.
• Zweck: Bereitstellung und Betrieb der Anwendungen für den Kunden. Eine Bearbeitung für eigene Zwecke findet nicht statt.
• Datenkategorien: was der Kunde in der jeweiligen Anwendung speichert — typischerweise Benutzerkonten (Name, E-Mail-Adresse, Anmeldedaten), Inhalte wie Dateien, Dokumente, Nachrichten, Quellcode und Wiki-Seiten sowie technische Protokolle der Instanz.
• Betroffene Personen: Benutzer der Instanz (z. B. Mitarbeitende des Kunden) und Personen, deren Daten in den Inhalten vorkommen (z. B. Kunden und Geschäftspartner des Kunden).
• Besonders schützenswerte Personendaten bearbeiten wir nur, wenn der Kunde sie selbst in einer Instanz speichert. Er stellt sicher, dass die vereinbarten Massnahmen dafür ausreichen.

3. Weisungen

Wir bearbeiten die Daten nur nach dokumentierten Weisungen des Kunden. Die Weisungen sind in diesem Vertrag und den AGB festgelegt; weitere erteilt der Kunde schriftlich oder per E-Mail. Verstösst eine Weisung nach unserer Ansicht gegen Datenschutzrecht, weisen wir den Kunden unverzüglich darauf hin.

Ist eine Bearbeitung gesetzlich vorgeschrieben, teilen wir das dem Kunden vorher mit, soweit das Gesetz es nicht verbietet.

4. Ort der Bearbeitung

Die Instanzen und ihre Backups liegen auf Servern in der Schweiz. Eine Bekanntgabe ins Ausland findet nur im Rahmen der in Ziffer 7 genannten Unterauftragsbearbeiter statt oder wenn der Kunde es anweist.

5. Vertraulichkeit

Zugriff auf die Daten haben nur Personen, die wir für den Betrieb brauchen und die zur Vertraulichkeit verpflichtet sind. Zurzeit ist das allein Vladimir Vinogradov. Kommt jemand hinzu, verpflichten wir ihn vorher schriftlich zur Vertraulichkeit.

6. Technische und organisatorische Massnahmen

Wir treffen Massnahmen, die dem Risiko angemessen sind, und passen sie dem Stand der Technik an, ohne das Schutzniveau zu senken:

• Trennung: Jede Anwendung läuft als eigene Instanz mit eigener Datenbank, getrennt von anderen Kunden.
• Zugang: Administrativer Zugang nur mit persönlichen Schlüsseln und nur für die Personen nach Ziffer 5; Server in einem abgeschotteten Netzsegment hinter einer Firewall.
• Übertragung: Verbindungen zu den Instanzen sind verschlüsselt (TLS).
• Verfügbarkeit: regelmässige Backups, verschlüsselt gespeichert; Wiederherstellung wird regelmässig geprüft; Überwachung mit Alarmierung.
• Integrität: Sicherheitsupdates von Betriebssystem und Anwendungen werden zeitnah eingespielt.
• Belastbarkeit und Prüfung: Wir überprüfen die Massnahmen mindestens einmal im Jahr und nach jedem Sicherheitsvorfall.

7. Unterauftragsbearbeiter

Der Kunde genehmigt die folgenden Unterauftragsbearbeiter:

• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg — Versand von E-Mails, die die Anwendungen verschicken (z. B. Einladungen, Benachrichtigungen), über das Rechenzentrum in Zürich (Schweiz).

Für Server und Speicherung setzen wir zurzeit keine Unterauftragsbearbeiter ein. Neue oder geänderte Unterauftragsbearbeiter teilen wir mindestens 30 Tage vorher per E-Mail mit; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und, wenn wir keine Lösung finden, den Vertrag auf diesen Zeitpunkt kündigen. Unterauftragsbearbeiter verpflichten wir vertraglich auf dasselbe Schutzniveau wie in diesem Vertrag.

8. Unterstützung des Kunden

Wir unterstützen den Kunden mit den Mitteln der Anwendungen und, wo nötig, durch eigene Handlungen dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Herausgabe). Wenden sich Betroffene direkt an uns, leiten wir die Anfrage an den Kunden weiter.

Auf Anfrage unterstützen wir den Kunden bei Datenschutz-Folgenabschätzungen und bei Pflichten gegenüber Aufsichtsbehörden. Aufwand, der über das Übliche hinausgeht, rechnen wir nach Absprache ab.

9. Verletzungen der Datensicherheit

Erfahren wir von einer Verletzung der Datensicherheit, die Daten des Kunden betrifft, melden wir sie dem Kunden unverzüglich, spätestens innert 48 Stunden, per E-Mail und Telefon. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, voraussichtliche Folgen und ergriffene Massnahmen; fehlende Angaben reichen wir nach.

10. Rückgabe und Löschung

Nach Vertragsende geben wir dem Kunden seine Daten als vollständigen Export heraus und löschen die Instanz 30 Tage danach. Backups mit diesen Daten laufen innert 30 weiteren Tagen aus. Eine längere Aufbewahrung erfolgt nur, wenn das Gesetz sie verlangt; dann sperren wir die Daten für jede andere Verwendung.

11. Nachweise und Kontrollen

Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen, und beantworten seine Fragen dazu schriftlich. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist während der Geschäftszeiten möglich, höchstens einmal im Jahr, sofern kein Anlass besteht; die Kosten trägt der Kunde.

12. Schlussbestimmungen

Für die Haftung gelten die AGB für Managed Apps. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz von Personendaten geht. Es gilt schweizerisches Recht; Gerichtsstand ist Kreuzlingen, soweit nicht zwingendes Recht etwas anderes vorschreibt.