Auftragsverarbeitungsvertrag (AVV)

Präambel

Zwischen TODO: Verantwortlicher (Stallbetrieb — wird bei Vertragsschluss eingesetzt) — nachfolgend „Verantwortlicher" — und Bärtschi Software, Inhaber Matthias Bärtschi, Lochmattweg 45, 5033 Buchs AG (Betreiberin von EquiManage) — nachfolgend „Auftragsverarbeiter" — wird der nachfolgende Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (nachfolgend „AVV") geschlossen.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand: Bereitstellung und Betrieb der Software „EquiManage" zur Stallverwaltung (Pferdeverwaltung, Pensionsabrechnung, Kalender, Einsteller-Portal, etc.) als Software-as-a-Service.

Dauer: Die Verarbeitung beginnt mit der Bereitstellung des Zugangs zur Software und endet mit der vertraglichen Beendigung der Nutzung gemäss AGB. Nach Vertragsende werden Daten gemäss Ziffer 10 dieses AVV gelöscht.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten für folgende Zwecke:

• Identifikation und Verwaltung von Einstellern, Mitarbeitenden und Geschäftspartnern des Verantwortlichen
• Erstellung und Versendung von Pensionsrechnungen
• Kommunikation zwischen Stallbetrieb und Einstellern (Portal, Push-Notifications, E-Mails)
• Verwaltung von Pferdedaten und Gesundheitshistorien
• Buchhaltung und Finanz-Reporting
• Backup, Wartung und technischer Support

3. Art der Daten und Kategorien betroffener Personen

Datenarten:

• Stammdaten (Name, Adresse, Telefon, E-Mail)
• Vertragsdaten (Pensionsverträge, Rechnungen, Zahlungsangaben)
• Kommunikationsdaten (Portal-Nachrichten, Push-Notifications)
• Zugangsdaten (gehashte Passwörter, OAuth-Tokens via Keycloak)
• Optional: Bilder/Fotos von Personen (Mitarbeiter-Avatare)

Keine besonderen Kategorien nach Art. 9 DSGVO (Gesundheitsdaten betreffen ausschliesslich die Pferde, nicht die natürlichen Personen).

Kategorien betroffener Personen:

• Einsteller und Pferdebesitzer:innen des Verantwortlichen
• Mitarbeitende des Verantwortlichen
• Geschäftspartner (Tierärzte, Hufschmiede, Lieferanten)
• Reitschüler:innen (sofern Lessons-Modul aktiviert)

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

• verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen — nicht zu eigenen Zwecken;
• gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• ergreift alle erforderlichen Massnahmen gemäss Art. 32 DSGVO (siehe Anlage 1 — Technische und organisatorische Massnahmen);
• unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) durch entsprechende technische Schnittstellen (Daten-Export, Account-Löschung gemäss Art. 17/20 DSGVO);
• meldet Datenschutzverletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an den Verantwortlichen;
• stellt nach Beendigung des Auftrags alle personenbezogenen Daten zur Verfügung oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

5. Subunternehmer (Unterauftragsverarbeiter)

Der Auftragsverarbeiter setzt folgende Subunternehmer ein:

Änderungen an dieser Liste werden dem Verantwortlichen mit angemessener Frist (mindestens 30 Tage) angekündigt. Der Verantwortliche kann der Änderung aus berechtigten Gründen widersprechen; in diesem Fall ist der Auftragsverarbeiter berechtigt, den Vertrag mit angemessener Frist zu kündigen.

6. Drittlandübermittlung

Datenverarbeitung erfolgt grundsätzlich innerhalb der EU/EWR. Übermittlungen an Subunternehmer in den USA (Anthropic, Google FCM, Vercel) erfolgen auf Grundlage des EU-US Data Privacy Framework (DPF) oder, sofern erforderlich, der EU-Standard- Vertragsklauseln (SCC).

7. Rechte des Verantwortlichen

Der Verantwortliche ist jederzeit berechtigt, sich von der Einhaltung dieses AVV durch den Auftragsverarbeiter zu überzeugen — durch Einsichtnahme in Dokumentation, schriftliche Auskunftsersuchen oder, nach vorheriger Absprache mit angemessener Frist, durch Audits vor Ort.

8. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anfragen Betroffener gemäss Kapitel III DSGVO. Die Software stellt hierfür Self-Service-Funktionen bereit:

• Datenexport (Art. 20 DSGVO) — verfügbar unter Einstellungen → Datenschutz
• Account-/Tenant-Löschung (Art. 17 DSGVO) — verfügbar unter Einstellungen → Datenschutz
• Berichtigungs- und Löschanforderungen werden binnen 30 Tagen bearbeitet

9. Haftung

Es gelten die Haftungsregelungen der AGB des Auftragsverarbeiters. Davon unberührt bleibt die gesamtschuldnerische Haftung der Parteien gegenüber Betroffenen gemäss Art. 82 DSGVO.

10. Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Auftragsverarbeitung — durch ordentliche Kündigung, ausserordentliche Kündigung oder einvernehmliche Aufhebung — gilt folgendes Verfahren:

1. Der Verantwortliche kann seine Daten innerhalb von 30 Tagen nach Vertragsende per Self-Service-Export herunterladen.
2. Spätestens 30 Tage nach Vertragsende werden alle Daten des Verantwortlichen unwiderruflich gelöscht.
3. Backups werden im Rahmen der regulären 30-Tage-Backup- Rotation überschrieben — spätestens 60 Tage nach Vertragsende sind die Daten auch in Backups vernichtet.
4. Eine schriftliche Löschbestätigung erfolgt auf Anfrage.

Anlage 1 — Technische und organisatorische Massnahmen (TOM)

Im Sinne von Art. 32 DSGVO werden folgende TOM ergriffen:

Vertraulichkeit

• Zutrittskontrolle: Rechenzentrum Hetzner mit 24/7-Bewachung, Videoüberwachung, biometrischer Zugang
• Zugangskontrolle: TLS 1.2+ für alle Verbindungen, OAuth 2.0 / PKCE Authentifizierung via Keycloak
• Zugriffskontrolle: Tenant-Isolation auf Datenbankebene (Postgres Row-Level Security)
• Trennungskontrolle: Logische Trennung pro Mandant durch RLS-Policies
• Pseudonymisierung: User-IDs und Tenant-IDs als UUIDs ohne Rückschluss auf Klardaten

Integrität

• Weitergabekontrolle: Verschlüsselte Übertragung (TLS), keine Klartext-Übermittlung
• Eingabekontrolle: Audit-Log aller schreibenden Operationen auf Datenbankebene

Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: Tägliche automatische Postgres-Backups in geografisch getrenntes Hetzner-Object-Storage, 30 Tage Aufbewahrung
• Wiederherstellbarkeit: Dokumentiertes Restore-Verfahren, regelmässig getestet (siehe docs/BACKUP_TEST_LOG.md)
• Belastbarkeit: Container-Restart-Policies, Watchtower für Auto-Updates

Verfahren regelmässiger Überprüfung

• Datenschutz-Management: jährliche Überprüfung der TOM, Aktualisierung bei wesentlichen Änderungen
• Vorfalls-Management: Dokumentiertes Verfahren für Datenpannen-Meldung an Verantwortlichen
• Auftragskontrolle: Liste der Subunternehmer (Ziffer 5) wird laufend aktualisiert
• Datenschutzfreundliche Voreinstellungen: Default-Sichtbarkeit minimal, Opt-In für externe Kommunikation