Auftragsbearbeitungsvertrag (AVV)

Version 1.0 · Stand: 2026-09-06

Dieser Vertrag regelt die Bearbeitung von Personendaten, die der Kunde (Verantwortlicher) in der Anwendung erfasst und die Stevalux (Auftragsbearbeiter) in seinem Auftrag bearbeitet. Er ergänzt die Allgemeinen Geschäftsbedingungen.

Er gilt nach Art. 9 revDSG und — soweit auf den Verantwortlichen anwendbar — Art. 28 DSGVO. Er ist Bestandteil des Hauptvertrags (AGB) und geht in datenschutzrechtlichen Fragen dessen Regelungen vor. Auftragsbearbeiter ist die Rajic Marketingzone (Stevalux), Inhaber Dragomir Rajic, Kanzleistrasse 102, 8004 Zürich, Schweiz; Verantwortlicher ist der Kunde, der den Dienst nutzt.

§ 1 Begriffe, Rollen und Abgrenzung der Doppelrolle

1.1 Die Begriffe „Personendaten“, „Bearbeitung“, „Verantwortlicher“, „Auftragsbearbeiter“, „betroffene Person“ und „Bekanntgabe“ verstehen sich im Sinne des revDSG (bzw. DSGVO, soweit anwendbar).

1.2 Wichtige Abgrenzung (Doppelrolle von Stevalux):

• Für die vom Verantwortlichen erfassten Endkunden- und Bauherren-Daten und Dokumenteninhalte handelt Stevalux als Auftragsbearbeiter im Auftrag des Verantwortlichen. Nur diese Bearbeitung ist Gegenstand dieses AVV.
• Für die Konto- und Betriebsdaten des Verantwortlichen selbst (z. B. Login, Firmenstammdaten, Abrechnung) ist Stevalux eigene verantwortliche Stelle; dafür gilt die Datenschutzerklärung, nicht dieser AVV.

§ 2 Gegenstand und Dauer

2.1 Gegenstand: Bereitstellung des SaaS „Stevalux Offerten-Tool“ gemäss Hauptvertrag; dabei bearbeitet der Auftragsbearbeiter Personendaten ausschliesslich im Auftrag und nach Weisung des Verantwortlichen.

2.2 Dauer: Dieser AVV gilt für die Laufzeit des Hauptvertrags und endet automatisch mit dessen Beendigung; Pflichten, die ihrer Natur nach fortbestehen (Vertraulichkeit, Löschung), bleiben darüber hinaus bestehen.

§ 3 Art und Zweck der Bearbeitung

Die Bearbeitung erfolgt ausschliesslich zur Erbringung der vertraglichen Leistungen, insbesondere: Erstellung und Verwaltung von Offerten, Auftragsbestätigungen und Rechnungen (inkl. QR-Rechnung), Versand dieser Dokumente per E-Mail, Online-Annahme durch Endkunden sowie KI-gestützte Analyse hochgeladener Ausschreibungen und Baustellen-Erfassungen. Eine Bearbeitung zu eigenen Zwecken des Auftragsbearbeiters findet nicht statt.

§ 4 Kategorien der Daten und der betroffenen Personen

4.1 Datenarten und Betroffenenkategorien ergeben sich aus Anlage A.

4.2 Der Verantwortliche stellt sicher, dass er zur Bearbeitung und Bekanntgabe der von ihm erfassten Daten berechtigt ist.

4.3 Besondere Personendaten: Hochgeladene Ausschreibungen und Fotos können unbeabsichtigt besondere Personendaten (Art. 5 lit. c revDSG) enthalten. Der Verantwortliche vermeidet dies soweit möglich.

§ 5 Weisungsrecht

5.1 Der Auftragsbearbeiter bearbeitet Personendaten nur im Rahmen des Hauptvertrags und der dokumentierten Weisungen des Verantwortlichen. Die bestimmungsgemässe Nutzung der Software durch den Verantwortlichen gilt als solche Weisung.

5.2 Über die bestimmungsgemässe Nutzung hinausgehende Einzelweisungen erfolgen in Textform (E-Mail genügt) und werden von beiden Parteien dokumentiert. Weisungen, die über die vertragliche Leistung hinausgehen, gelten als Antrag auf Leistungsänderung.

5.3 Hält der Auftragsbearbeiter eine Weisung für datenschutzrechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen; offensichtlich rechtswidrige Weisungen darf er ablehnen.

§ 6 Pflichten des Auftragsbearbeiters

6.1 Vertraulichkeit: Der Auftragsbearbeiter verpflichtet die zur Bearbeitung befugten Personen zur Vertraulichkeit; die Verpflichtung besteht über das Vertragsende hinaus.

6.2 Kein KI-Training / Zero Data Retention: Der Auftragsbearbeiter stellt vertraglich und — soweit vom Anbieter angeboten — technisch sicher, dass über die Programmierschnittstelle an die KI-Dienstleister (insb. AWS, Modell Claude über Amazon Bedrock) übermittelte Inhalte nicht zum Training der KI verwendet werden. Der Auftragsbearbeiter schliesst mit diesen Dienstleistern eigene Auftragsbearbeitungs- bzw. DPA-Verträge ab und strebt „Zero Data Retention“ an.

6.3 Verzeichnis: Der Auftragsbearbeiter führt ein Verzeichnis der im Auftrag durchgeführten Bearbeitungstätigkeiten (Art. 12 revDSG / Art. 30 Abs. 2 DSGVO) und stellt es auf Anfrage bereit.

6.4 Der Auftragsbearbeiter unterrichtet den Verantwortlichen unverzüglich, wenn dessen Daten durch Pfändung, Beschlagnahme, Insolvenzverfahren oder Massnahmen Dritter gefährdet werden.

§ 7 Technische und organisatorische Massnahmen (TOM)

7.1 Der Auftragsbearbeiter trifft angemessene Massnahmen der Datensicherheit nach Art. 8 revDSG (Art. 1–3 VDSG) bzw. Art. 32 DSGVO; die konkreten Massnahmen ergeben sich aus Anlage C.

7.2 Änderungen der Massnahmen bleiben zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 8 Unterauftragsbearbeiter (Sub-Prozessoren)

8.1 Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage B aufgeführten Unterauftragsbearbeiter.

8.2 Der Auftragsbearbeiter verpflichtet Unterauftragsbearbeiter vertraglich auf ein gleichwertiges Datenschutzniveau (Weitergabe der Pflichten aus diesem AVV, inkl. Prüf- und Kontrollrechte) und wählt sie sorgfältig aus.

8.3 Wechsel und Neuaufnahme teilt der Auftragsbearbeiter dem Verantwortlichen rechtzeitig (in der Regel 30 Tage) vorab mit. Der Verantwortliche kann bei wichtigen datenschutzrechtlichen Gründen innert 14 Tagen widersprechen; wird keine Einigung erzielt, besteht ein Sonderkündigungsrecht.

8.4 Reine Nebenleistungen (z. B. Telekommunikation, Post) gelten nicht als Unterauftragsverhältnis.

§ 9 Bekanntgabe ins Ausland (Drittland-Übermittlung)

9.1 Einzelne Unterauftragsbearbeiter bearbeiten Daten in den USA (insb. Voyage AI und Google (Gmail)). Die Übermittlung erfolgt auf Grundlage geeigneter Garantien: Standardvertragsklauseln in der für die Schweiz angepassten Fassung (FDPIC-Addendum) und/oder Zertifizierung unter dem Swiss–U.S. Data Privacy Framework.

9.2 Backup-Pfad: Das tägliche Backup wird auf einem Schweizer Server (Infomaniak) erzeugt und dort unmittelbar GPG-verschlüsselt (Schlüssel nur beim Auftragsbearbeiter); gespeichert werden ausschliesslich verschlüsselte Kopien (Cloudflare R2, EU-Jurisdiktion, sowie eine lokale Kopie auf dem Schweizer Server). Ein unverschlüsselter Zustand ausserhalb der Schweiz besteht nicht.

§ 10 Unterstützung des Verantwortlichen

Der Auftragsbearbeiter unterstützt den Verantwortlichen mit angemessenen technischen und organisatorischen Massnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung u. a.; Art. 25 ff. revDSG / Art. 12–22 DSGVO), bei der Datensicherheit sowie bei allfälligen Datenschutz-Folgenabschätzungen.

§ 11 Meldung von Verletzungen der Datensicherheit

11.1 Der Auftragsbearbeiter meldet dem Verantwortlichen unverzüglich (in Textform) jede festgestellte oder vermutete Verletzung der Sicherheit von dessen Personendaten. Die Meldung enthält mindestens: (a) Art der Verletzung, soweit möglich Kategorien und Zahl der Betroffenen und Datensätze; (b) ergriffene bzw. vorgeschlagene Massnahmen zur Behebung und Schadensminderung.

11.2 Der Auftragsbearbeiter unterstützt den Verantwortlichen bei dessen allfälliger Meldepflicht gegenüber dem EDÖB (Art. 24 revDSG) bzw. der zuständigen Aufsichtsbehörde.

§ 12 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs- oder Löschbegehren direkt an den Auftragsbearbeiter, so reagiert dieser nicht selbständig, sondern verweist die Person an den Verantwortlichen und informiert diesen unverzüglich.

§ 13 Kontroll- und Nachweisrechte des Verantwortlichen

13.1 Der Auftragsbearbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung (z. B. Auskünfte, Zertifikate, Testate, Berichte).

13.2 Der Verantwortliche kann die Massnahmen nach rechtzeitiger Ankündigung zu üblichen Geschäftszeiten selbst oder durch einen sachkundigen, nicht im Wettbewerb stehenden Dritten prüfen; Kontrollen erfolgen nur im erforderlichen Umfang und ohne unverhältnismässige Betriebsstörung.

§ 14 Löschung und Rückgabe nach Vertragsende

14.1 Nach Beendigung des Hauptvertrags stellt der Auftragsbearbeiter dem Verantwortlichen dessen Daten für 30 Tage zum Export bzw. zur Rückgabe bereit (übliches Format, z. B. CSV/PDF).

14.2 Danach löscht er die Daten aus der aktiven Datenbank; in verschlüsselten Sicherungskopien werden sie nach den Lebenszyklus-Regeln spätestens nach 90 Tagen endgültig gelöscht (konsistent mit AGB Ziff. 12.3 und Datenschutzerklärung Ziff. 14/15).

14.3 Auf Verlangen weist der Auftragsbearbeiter die ordnungsgemässe Löschung nach. Eine gesetzliche Aufbewahrungspflicht (z. B. OR) bleibt vorbehalten.

§ 15 Haftung

15.1 Im Innenverhältnis gilt die Haftungsregelung des Hauptvertrags bzw. der AGB (insb. Cap und Ausschlüsse) auch für diesen AVV, soweit gesetzlich zulässig (Art. 100/101 OR — keine Wegbedingung für Vorsatz und grobe Fahrlässigkeit).

15.2 Für Schäden betroffener Personen aus unzulässiger Bearbeitung im Rahmen der Auftragsbearbeitung gilt die gesetzliche Rollenverteilung; die Parteien stellen sich frei, soweit sie nachweisen, für den schädigenden Umstand nicht verantwortlich zu sein.

§ 16 Schlussbestimmungen

16.1 Ein Zurückbehaltungsrecht an den verarbeiteten Daten und Datenträgern ist ausgeschlossen.

16.2 Änderungen bedürfen der Textform; Vorrang individueller Abreden bleibt unberührt.

16.3 Salvatorische Klausel: Die Unwirksamkeit einzelner Bestimmungen berührt den übrigen Vertrag nicht.

16.4 Anwendbares Recht: Schweizer Recht. Gerichtsstand: Zürich (konsistent mit AGB Ziff. 14).

16.5 Bei Widersprüchen gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV dem Hauptvertrag vor.

Annahme (Onboarding)

Dieser AVV wird zusammen mit den AGB akzeptiert: im Regelfall per Pflicht-Checkbox bei der Konto-Aktivierung (Einladungs-Link), protokolliert mit AVV-/AGB-Version, Benutzerkonto und Zeitstempel; bei Sonderabschlüssen alternativ über das unterzeichnete Auftragsformular.

Anlage A — Datenarten und Betroffenenkategorien

Datenarten:

• Kundenstamm- und Kontaktdaten (Name, Ansprechperson, Adresse, E-Mail, Telefon, UID)
• Vertrags- und Abrechnungsdaten (Positionen, Mengen, Preise, Status, Annahme- und Beweisprotokoll)
• Dokumenteninhalte (hochgeladene PDFs und Bilder von Ausschreibungen; Baustellen-Notizen und -Fotos) — können Personendaten Dritter enthalten

Betroffenenkategorien: Endkunden und Bauherren des Verantwortlichen, deren Ansprechpersonen, Geschäftspartner sowie Mitarbeitende des Verantwortlichen.

Abgrenzung: Die Login- und Kontodaten der Mitarbeitenden des Verantwortlichen (E-Mail, Rolle, Einladungs-Status) sind Kontodaten — dafür ist Stevalux gemäss § 1.2 Verantwortlicher, nicht Auftragsbearbeiter; sie gehören nicht zu den Datenarten dieses AVV. Mitarbeitende erscheinen hier nur, soweit sie in Dokumenteninhalten vorkommen.

Anlage B — Genehmigte Unterauftragsbearbeiter

Hinweis Stripe: Die Zahlungsabwicklung des Abos läuft über Stripe. Stripe bearbeitet ausschliesslich Konto- und Abrechnungsdaten des Verantwortlichen — dafür ist Stevalux gemäss § 1.2 selbst Verantwortlicher — und ist deshalb bewusst nicht in dieser Liste aufgeführt; der Ausweis erfolgt in der Datenschutzerklärung.

Anlage C — Technische und organisatorische Massnahmen

• Übertragung: durchgängige TLS-Verschlüsselung.
• Mandantentrennung: eine gemeinsame Datenbank für alle Kunden; der Zugriff ist je Betrieb durch Row Level Security strikt getrennt — auf allen Tabellen erzwungen und durch automatisierte Tests mit echten Mandanten-Zugängen abgesichert. Dateien liegen in privaten, zugriffsgeschützten Containern mit betriebsbezogenen Zugriffsregeln.
• Speicherort: Datenbank in der Schweiz (Zürich).
• Backups: täglich, erzeugt auf einem Schweizer Server (Infomaniak) und dort vor der Ablage GPG-verschlüsselt; Aufbewahrung Cloudflare R2 (EU-Jurisdiktion, Löschung nach 90 Tagen) und verschlüsselte 30-Tage-Kopie auf dem Schweizer Server; Schlüssel nur beim Auftragsbearbeiter (§ 9.2).
• Fehler-Monitoring mit PII-Scrubbing (E-Mail, IBAN und Links werden vor Versand entfernt oder maskiert).
• Zugriff: Need-to-know-Berechtigungsmanagement beim Auftragsbearbeiter.

Anlage D — Datenschutz-Kontakt

Datenschutz-Kontakt Auftragsbearbeiter: info@stevalux.com