Anhang 1 der AGB: Auftragsbearbeitung

Fassung 1.1 vom 27. Oktober 2026

Dieser Anhang regelt, wie wir, die PopSoda DC GmbH, Personendaten in deinem Auftrag bearbeiten (Art. 9 des Bundesgesetzes über den Datenschutz, DSG). Er gilt mit deiner Zustimmung zu den AGB. In Fragen des Datenschutzes geht er den AGB vor.

1. Gegenstand und Dauer

1.1 Wir stellen dir Puntelo nach den AGB bereit und bearbeiten dabei Personendaten in deinem Auftrag. Für diese Daten bist du Verantwortlicher, wir sind Auftragsbearbeiterin.

1.2 Dieser Anhang gilt, solange der Vertrag läuft, und darüber hinaus, bis wir alle Personendaten nach Ziffer 12 gelöscht haben.

2. Zweck

Wir bearbeiten die Daten nur, um Puntelo für dich zu betreiben:

• Online-Buchung über das Buchungsfenster und die Buchungsseite, Terminverwaltung im Kalender;
• Nachrichten an deine Kunden (Bestätigung, Erinnerung, Änderung, Absage, Bestätigungscode) per E-Mail und SMS;
• Kundenkartei mit Notizen, Import bisheriger Daten, Export und Datenauszüge, Statistik für deinen Betrieb;
• Speichern, Sichern und Wiederherstellen, Schutz vor Missbrauch, Behebung von Störungen und Unterstützung auf deine Anfrage.

3. Daten und betroffene Personen

3.1 Deine Kunden (Personen, die bei dir buchen oder die du erfasst oder importierst): Name, E-Mail-Adresse, Telefonnummer, Sprache, frühere Kundennummer, Termine (Dienstleistung, Person, Zeitpunkt, Status, Herkunft), Bemerkungen zum Termin, Notizen und Schlagworte, Einwilligungen für Werbung mit Verlauf, Zustellstatus von Nachrichten; beim Buchen kurzzeitig technische Angaben zum Schutz vor Missbrauch.

3.2 Personen deines Betriebs, die Termine ausführen: Name, Arbeitszeiten, Abwesenheiten, Zuordnung zu Terminen.

3.3 Aus einem Termin oder einer Notiz kann sich ein Gesundheitsbezug ergeben, zum Beispiel bei Massage oder Therapie. Solche Daten können besonders schützenswert sein. Welche Daten du erfasst, entscheidest du; Notizen und Bemerkungen schützen wir in jedem Fall nach Anlage A.

4. Ort der Bearbeitung

4.1 Wir speichern die Daten in der Schweiz, in Rechenzentren in Genf. Eine verschlüsselte Kopie der Sicherungen bewahren wir in der Schweiz auf.

4.2 Für den Versand von Nachrichten geben wir die nötigen Daten an Unterauftragsbearbeiter nach Anhang 2 weiter: E-Mails gehen aus der Schweiz, SMS aus Irland. Bei Abklärungen zu Missbrauch und im Support kann der SMS-Anbieter aus den USA zugreifen.

4.3 Für Entwicklung, Betrieb, Fehlersuche und Unterstützung setzen wir einen KI-Assistenten ein (Anhang 2). Er erhält Personendaten nur, soweit die jeweilige Aufgabe es verlangt; dabei können sie in die USA gehen.

4.4 Unsere Mitarbeitenden greifen nur aus der Schweiz oder aus einem Staat mit angemessenem Datenschutz nach Anhang 1 der Datenschutzverordnung (DSV) auf die Daten zu.

5. Weisungen

5.1 Wir bearbeiten die Daten nur nach deinen Weisungen. Weisungen sind die AGB mit diesem Anhang, die Einstellungen, die du in Puntelo wählst, und schriftliche Weisungen deiner Administratoren; eine E-Mail genügt. Dazu gehört die Erlaubnis für den Zugriff durch unseren Support (Ziffer 6.5).

5.2 Halten wir eine Weisung für rechtswidrig, sagen wir es dir sofort und dürfen sie bis zur Klärung aufschieben.

5.3 Verlangt eine Behörde Daten deines Betriebs, informieren wir dich vorher, soweit das Gesetz es erlaubt, und geben nur heraus, wozu wir verpflichtet sind.

6. Unsere Pflichten

6.1 Wir bearbeiten die Daten nicht für eigene Zwecke. Ausgenommen sind Auswertungen in zusammengefasster Form ohne Personendaten deiner Kunden, um Puntelo zu verbessern, und das Erkennen von Missbrauch. Dafür gibst du uns mit diesem Anhang die Erlaubnis.

6.2 Vertraulichkeit: Zugriff erhalten nur Personen, die ihn für ihre Aufgabe brauchen. Wir verpflichten sie schriftlich zur Verschwiegenheit, auch über das Ende ihrer Tätigkeit hinaus. Untersteht dein Betrieb einem Berufsgeheimnis, wahren wir es als deine Hilfsperson.

6.3 Datensicherheit: Wir treffen die technischen und organisatorischen Massnahmen nach Anlage A und halten sie auf dem Stand der Technik. Wir dürfen Massnahmen ändern, wenn das Schutzniveau nicht sinkt.

6.4 Wir führen ein Verzeichnis der Bearbeitungen, die wir in deinem Auftrag ausführen.

6.5 Zugriff durch unseren Support: Auf die Daten deines Betriebs greifen im Support nur benannte Personen von PopSoda zu, mit persönlichem Konto und zweitem Faktor, und nur für den Support und die Einrichtung. Sie tun das, solange du es nach Ziffer 12.2 der AGB erlaubst, oder ohne Erlaubnis in einem Notfall, mit Grund und höchstens eine Stunde; einen Notfall melden wir deinen Administratoren sofort per E-Mail. Im Support haben sie die Rechte eines Administrators, sehen aber keine Notizen und Bemerkungen zum Termin, exportieren keine Daten und anonymisieren oder löschen keine Kunden. Jeder Zugriff steht mit Person, Beginn, Ende und allen Änderungen im Protokoll deines Betriebs unter Zugriff durch Puntelo.

7. Unterauftragsbearbeiter

7.1 Du genehmigst die Unterauftragsbearbeiter in Anhang 2 und die weiteren Unterauftragsbearbeiter, die diese nach ihren in Anhang 2 genannten Listen einsetzen. Wir verpflichten jeden Unterauftragsbearbeiter vertraglich auf einen gleichwertigen Datenschutz und bleiben dir für ihn verantwortlich.

7.2 Einen neuen oder zusätzlichen Unterauftragsbearbeiter kündigen wir dir mindestens 30 Tage im Voraus per E-Mail an. Du kannst innert 14 Tagen aus Gründen des Datenschutzes widersprechen. Finden wir keine Lösung, kannst du den Vertrag auf den Zeitpunkt des Wechsels kündigen; im Voraus bezahlte Beträge erstatten wir anteilig.

7.3 In einen Staat ohne angemessenen Datenschutz nach Anhang 1 DSV geben wir Daten nur mit Garantien nach Art. 16 Abs. 2 DSG bekannt, zum Beispiel mit Standardvertragsklauseln.

8. Rechte der betroffenen Personen

8.1 Puntelo bietet dir Funktionen, um Auskunft zu erteilen (Datenauszug je Kunde), Daten zu berichtigen, zu löschen oder zu anonymisieren, Einwilligungen festzuhalten und alle Daten herauszugeben.

8.2 Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage innert 5 Arbeitstagen an dich weiter und beantworten sie nicht selbst. Wo die Funktionen nicht reichen, unterstützen wir dich innert 5 Arbeitstagen.

8.3 Wir unterstützen dich auch bei einer Datenschutz-Folgenabschätzung und einer Konsultation des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) mit den Angaben, über die wir verfügen.

9. Verletzungen der Datensicherheit

9.1 Wir melden dir eine Verletzung der Datensicherheit, die deine Daten betrifft, ohne Verzug, in der Regel innert 24 Stunden, nachdem wir davon erfahren haben.

9.2 Die Meldung nennt, soweit bekannt: Art der Verletzung, Zeitpunkt und Dauer, Kategorien und ungefähre Zahl der betroffenen Daten und Personen, mögliche Folgen, getroffene und vorgeschlagene Massnahmen und eine Kontaktperson. Was noch nicht bekannt ist, reichen wir nach.

9.3 Die Meldung an den EDÖB und die Information der betroffenen Personen sind deine Sache; wir unterstützen dich dabei und dokumentieren jede Verletzung.

10. Kontrolle

10.1 Auf Anfrage geben wir dir die Unterlagen, die die Einhaltung dieses Anhangs belegen, insbesondere die aktuelle Fassung der Anlage A, Zusammenfassungen unserer Sicherheitsprüfungen und die Nachweise der Unterauftragsbearbeiter.

10.2 Reichen die Unterlagen nicht, kannst du die Einhaltung selbst oder durch eine zur Verschwiegenheit verpflichtete, unabhängige Fachperson prüfen: nach Anmeldung mindestens 30 Tage im Voraus, während der Geschäftszeiten, ohne Zugriff auf Daten anderer Betriebe, höchstens einmal im Jahr und nach einer Verletzung der Datensicherheit zusätzlich. Die Kosten trägst du, ausser die Prüfung deckt eine wesentliche Verletzung dieses Anhangs auf.

11. Haftung

Es gilt Ziffer 15 der AGB.

12. Rückgabe und Löschung

12.1 Du kannst deine Daten während der Laufzeit jederzeit herunterladen und nach dem Ende des Vertrags oder der Testphase noch 90 Tage. Auf Wunsch erstellen wir die Dateien für dich.

12.2 Danach löschen wir alle Personendaten deines Betriebs innert 30 Tagen aus Puntelo. In den Sicherungen laufen sie mit deren Aufbewahrungsfrist aus, spätestens 12 Monate nach der Löschung. Bis dahin bleiben sie verschlüsselt und werden nur für eine Wiederherstellung verwendet.

12.3 Auf Verlangen bestätigen wir dir die Löschung per E-Mail.

12.4 Aufbewahrungspflichten, die dich selbst treffen, erfüllst du mit den heruntergeladenen Daten.

13. Schlussbestimmungen

13.1 Ist dein Betrieb der Datenschutz-Grundverordnung der EU unterstellt, sind die Bestimmungen so auszulegen, dass sie Art. 28 DSGVO genügen.

13.2 Für Änderungen dieses Anhangs gilt Ziffer 17 der AGB, für Änderungen der Anlage A Ziffer 6.3, für Anhang 2 Ziffer 7.2.

Anlage A: Technische und organisatorische Massnahmen

Gegliedert nach den Schutzzielen von Art. 3 DSV.

Diese Fassung bleibt unverändert unter /agb/auftragsbearbeitung/1.1 abrufbar. Prüfsumme (SHA-256): 112e4fe26cf39e6238a1bf0d97491dd9190080ac8ea14571337a7bf288615323