Auftragsverarbeitungsvertrag
Fassung 1.0
Dieser Vertrag regelt, wie Mechli die Personendaten bearbeitet, die eine Garage in Mechli erfasst. Er ist Teil der AGB; die Garage nimmt ihn mit der Registrierung an.
1. Parteien und Gegenstand
Verantwortliche ist die Garage, Auftragsbearbeiterin ist die ToastCode KLG, Bärenlochweg 2, 9465 Salez («Mechli»). Mechli stellt der Garage die Software Mechli bereit und bearbeitet dabei Personendaten in ihrem Auftrag.
Der Vertrag regelt die Bearbeitung durch Dritte nach Art. 9 des Datenschutzgesetzes (DSG) und, für Garagen im EWR wie in Liechtenstein, nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).
2. Daten und betroffene Personen
Mechli bearbeitet nur, was die Garage und ihre Leute in Mechli erfassen. Besonders schützenswerte Personendaten sind nicht vorgesehen.
| Betroffene | Daten |
|---|---|
| Kunden der Garage | Name, Firma, Adresse, Land, Telefon, E-Mail, Kundennummer |
| Fahrzeuge der Kunden | Kontrollschild, Marke, Modell, Farbe, Fahrgestellnummer, Typengenehmigung, Erstzulassung, km-Stand |
| Aufträge (Arbeitskarten) | Kundenwunsch, Arbeiten, Teile, Bemerkungen, Termine, Fotos und Dokumente, Unterschrift des Kunden |
| Mitarbeitende der Garage | Name, Kürzel, Farbe, Profilfoto, Rolle, Benutzername, E-Mail, Arbeitszeiten mit Korrekturen und Grund, Anmeldungen mit Gerät |
Die Garage ist dafür verantwortlich, dass sie diese Daten bearbeiten darf und ihre Kunden und Mitarbeitenden informiert. Die Angaben zur Lizenz, zu Rechnungen und zur Preisanfrage bearbeitet Mechli als eigene Verantwortliche (Datenschutzerklärung).
3. Zweck und Dauer
Mechli bearbeitet die Daten nur, um der Garage die Software bereitzustellen: speichern, anzeigen, suchen, auswerten und exportieren, E-Mails mit Links versenden, Fehler beheben und die Sicherheit gewährleisten. Mechli nutzt die Daten nicht für eigene Zwecke und nicht für Werbung.
Der Vertrag gilt, solange die Garage Mechli nutzt. Karten und Zeiten bleiben so lange gespeichert; das deckt die Aufbewahrungsfrist von 10 Jahren für Geschäftsunterlagen (Art. 958f OR).
4. Pflichten von Mechli
- Weisungen: Mechli bearbeitet die Daten nur nach den Weisungen der Garage: diesem Vertrag, der Nutzung der Software und schriftlichen Weisungen. Hält Mechli eine Weisung für rechtswidrig, informiert Mechli die Garage sofort.
- Vertraulichkeit: Wer bei Mechli Zugang zu den Daten hat, ist zur Verschwiegenheit verpflichtet und greift nur zu, wenn Betrieb, Support oder Sicherheit es erfordern.
- Sicherheit: Mechli schützt die Daten mit den Massnahmen in Abschnitt 6 und passt sie dem Stand der Technik an.
- Ort: Mechli speichert die Daten in der Schweiz (Zürich). Eine Bearbeitung im Ausland erfolgt nur nach Abschnitt 5.
- Unterstützung: Mechli unterstützt die Garage bei Anfragen betroffener Personen, bei Meldungen an die Aufsicht und, falls nötig, bei einer Datenschutz-Folgenabschätzung.
- Vorfälle: Wird die Sicherheit der Daten verletzt, informiert Mechli die Garage unverzüglich, spätestens 48 Stunden nachdem Mechli davon erfahren hat. So kann die Garage ihre eigene Meldepflicht erfüllen (DSG Art. 24, DSGVO Art. 33).
5. Unterauftragsbearbeiter
Die Garage erlaubt Mechli, für diese Leistungen Unternehmen beizuziehen. Mechli verpflichtet sie vertraglich auf dieselben Datenschutzpflichten. Welche Unternehmen es sind, sagt Mechli der Garage auf Anfrage an info@••••••.ch.
| Leistung | Ort der Daten | Daten |
|---|---|---|
| Rechenzentrum: Server, Datenbank, Dateien, Sicherungen, Protokolle | gespeichert in Zürich, Schweiz | alle Daten in Mechli |
| Netzwerk: Domain mechli.ch, verschlüsselte Verbindung, Schutz vor Angriffen, Weiterleitung nach Zürich | durchgeleitet über das nächste Rechenzentrum, meist Zürich; nichts gespeichert | IP-Adresse und Inhalte während der Übertragung |
| E-Mail-Versand: die E-Mails von Mechli | Schweiz | Name, E-Mail-Adresse, Inhalt der E-Mail |
Einige dieser Unternehmen haben ihren Sitz in der EU oder in den USA und können von dort auf Daten zugreifen, etwa für den Support. Mechli stützt das auf die Angemessenheit des Datenschutzes in der EU, auf das Swiss-U.S. Data Privacy Framework oder auf Standardvertragsklauseln.
Wer «Mit Google anmelden» wählt, meldet sich bei Google an. Mechli erhält nur Googles Bestätigung und gibt Google keine Daten der Garage.
Einen neuen Unterauftragsbearbeiter kündigt Mechli mindestens 30 Tage im Voraus an. Die Garage kann aus wichtigem Grund widersprechen; finden die Parteien keine Lösung, kann sie auf diesen Zeitpunkt kündigen.
6. Technische und organisatorische Massnahmen
| Bereich | Massnahme |
|---|---|
| Speicherort | Datenbank, Dateien, Sicherungen und Protokolle in einem Rechenzentrum in Zürich |
| Verschlüsselung | Verbindungen nur verschlüsselt (HTTPS, mindestens TLS 1.2); gespeicherte Daten verschlüsselt |
| Trennung der Garagen | Jede Garage sieht nur ihre eigenen Daten; jede Anfrage prüft die Garage und die Rolle der Person |
| Zugang | Persönliches Konto für jede Person; Rollen Admin, Büro und Mechaniker; Passwörter und PINs nur als Hash (argon2id); Anmeldeversuche begrenzt |
| Werkstatt-Geräte | Nur eingerichtete Geräte; persönliche PIN, gesperrt nach 5 falschen Eingaben; das Gerät sperrt sich nach wenigen Minuten ohne Berührung |
| Server | Nur die Dienste von Mechli erreichen die Datenbank, mit ihrer eigenen Identität statt einem Passwort; die Schnittstelle ist aus dem Internet nicht erreichbar |
| Sicherungen | Täglich, 14 Wochen aufbewahrt, dazu jeder Zeitpunkt der letzten 7 Tage |
| Nachvollziehbarkeit | Verlauf jeder Karte; Korrekturen von Zeiten mit Grund, Person und Zeitpunkt; Liste der Anmeldungen jeder Person |
| Entwicklung | Jede Änderung wird geprüft und automatisch getestet, bevor sie live geht |
7. Rechte der Garage
- Auskunft und Kontrolle: Mechli gibt der Garage auf Anfrage Auskunft über die Massnahmen nach Abschnitt 6 und legt Nachweise vor. Kontrollen vor Ort sind nach Anmeldung mit 30 Tagen Vorlauf möglich; die Kosten trägt die Garage, ausser die Kontrolle zeigt einen Verstoss von Mechli.
- Anfragen betroffener Personen: Erreicht eine Anfrage Mechli, leitet Mechli sie an die Garage weiter. Die Garage beantwortet sie mit den Funktionen in Mechli: Daten ansehen und berichtigen, als Excel exportieren und Kunden anonymisieren.
- Anonymisieren: Auf der Seite eines Kunden löscht der Admin Name, Adresse, Telefon, E-Mail und Kundennummer sowie Kontrollschilder und Fahrgestellnummern seiner Autos, auch auf den Karten. Arbeiten, Teile und Zeiten bleiben für die Aufbewahrung.
8. Ende des Vertrags
Vor dem Ende exportiert die Garage ihre Daten; Mechli hilft auf Anfrage. Danach löscht Mechli alle Daten der Garage innert 30 Tagen, soweit kein Gesetz die Aufbewahrung verlangt, und bestätigt die Löschung schriftlich. Daten in den Sicherungen verfallen spätestens nach 14 Wochen.