Auftragsverarbeitung
Vereinbarung
Diese Vereinbarung zur Auftragsverarbeitung wird zwischen der Bucher & Ambühl GmbH ("Verarbeiter") und dem Kunden ("Verantwortlicher") geschlossen. Sie regelt die Verarbeitung personenbezogener Daten durch den Verarbeiter im Auftrag des Verantwortlichen.
1. Geltungsbereich
Der Verarbeiter erbringt Infrastruktur-, Hosting- und Automatisierungsdienstleistungen. Der Verantwortliche bestimmt Zweck und Mittel der Datenverarbeitung. Diese Vereinbarung gilt für alle personenbezogenen Daten, die der Verarbeiter im Zusammenhang mit den Dienstleistungen verarbeitet.
2. Datenkategorien
- Kontaktdaten der Kunden des Verantwortlichen (Name, E-Mail, Telefon, Adresse)
- Geschäftsdaten (Rechnungen, Buchungssätze, Kundenverwaltung)
- Dokumente in der Cloud-Storage des Verantwortlichen
- Website-Analysen (anonymisiert)
3. Zweckbindung
Der Verarbeiter verarbeitet Daten ausschliesslich zur Erbringung der vereinbarten Dienstleistungen. Eine Verarbeitung für andere Zwecke, einschliesslich eigener kommerzieller Zwecke, findet nicht statt.
4. Isolation
Jeder Kunde erhält einen dedizierten virtuellen Server (VPS). Daten werden nicht zwischen Kunden geteilt. Datenbanken, Cloud-Storage und Anwendungen sind isoliert. Kein Kunde kann auf die Daten eines anderen zugreifen.
5. Sicherheitsmassnahmen
- TLS-Verschlüsselung für alle Daten bei der Übertragung (HTTPS)
- Firewall (UFW) und Intrusion Prevention (Fail2Ban)
- Tägliche verschlüsselte Backups ausser Haus (30 Tage Aufbewahrung)
- SSH nur mit Keys, keine Passwort-Authentifizierung
- Zugriff beschränkt auf autorisierte Personen (2 Personen)
- Zugriffsprotokollierung und Audit-Trail
- Festplattenverschlüsselung (LUKS) auf Anfrage
6. Auftragsverarbeiter
- Hostinger (EU): VPS-Hosting
- Infomaniak (CH): E-Mail, DNS, Backup-Storage
- OpenRouter: KI-Modell-API (optional, pro Kunde)
7. Datenstandort
Alle Daten liegen auf Servern in der Europäischen Union (VPS) und in der Schweiz (E-Mail, DNS, Backups). Keine Daten werden in die USA oder andere nicht angemessene Rechtsräume übertragen oder dort gespeichert.
8. Datenlöschung
Nach Vertragsende löscht der Verarbeiter alle Kundendaten aus den Produktionssystemen innerhalb von 30 Tagen. Backups mit Kundendaten werden innerhalb von 30 Tagen nach der Löschung der Produktionsdaten entfernt. Frühere Löschung kann jederzeit verlangt werden.
9. Auditrechte
Der Verantwortliche kann die Einhaltung dieser Vereinbarung einmal pro Kalenderjahr prüfen lassen, nach 14-tägiger Ankündigung. Der Verarbeiter gewährt Zugang zu relevanter Dokumentation und System-Logs.
10. Meldung von Datenschutzvorfällen
Der Verarbeiter meldet Datenschutzvorfälle innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält Art des Vorfalls, betroffene Daten und getroffene Massnahmen.
11. Anwendbares Recht
Diese Vereinbarung unterliegt Schweizer Recht, insbesondere dem revidierten Datenschutzgesetz (DSG, in Kraft seit 1. September 2023). Gerichtsstand ist Zürich, Schweiz.
Kontakt
Version
← Zurück zur Startseite
Version 1.1, September 2026