Auftragsbearbeitungsvertrag (AVV)
Version 2026-09-23 · Art. 9 nDSG · Entwurf zur Annahme im Produkt · keine Rechtsberatung · Anwaltsprüfung empfohlen
1. Parteien und Rollen
Der Shop (Verantwortlicher) entscheidet über Zweck und Mittel der Bearbeitung von Kundendaten im Zusammenhang mit Terminen und der Shop-Website. Terminum (Auftragsbearbeiter) stellt Hosting, Online-Buchung und technische Infrastruktur bereit und verarbeitet Personendaten nur im Auftrag und nach Weisung des Shops.
2. Gegenstand / Dauer
Bearbeitung von Buchungs-, Kunden-, Mitarbeiter- und Website-Daten, soweit für die Vertragsleistung erforderlich. Dauer: während der Nutzung von Terminum durch den Shop und bis zur Löschung/Anonymisierung nach Vertragsende bzw. Weisung.
3. Weisungen
Terminum setzt dokumentierte Weisungen des Shops um — insbesondere über Produktfunktionen (z. B. Anonymisierung unter Einstellungen → Rechtliches) und Support-Anfragen zum Thema Datenschutz. Unrechtmässige Weisungen kann Terminum ablehnen. Mündliche Weisungen werden nur umgesetzt, wenn sie dokumentiert nachgezogen werden.
4. Unterauftragsbearbeiter
Der Shop willigt in die Nutzung folgender Unterauftragsbearbeiter ein (aktueller Stand; wesentliche Änderungen werden angemessen kommuniziert):
- Vercel Inc. — Hosting, Edge/Serverless, CDN, Domains (EU/US (je nach Deployment-Region; Standard oft EU Frankfurt / US))
- Supabase (Postgres + Storage) — Datenbank und Dateispeicher (Bilder) (Projektregion (in der Regel EU; im Supabase-Dashboard prüfen))
- Stripe — Abo-Zahlungen der Shops; optional Connect-Auszahlungen und Endkunden-Zahlungen (EU/US (Stripe))
- Resend — Transaktionale E-Mails (Bestätigung, Erinnerung, System) (US/EU)
- Twilio — SMS-Benachrichtigungen (sofern Shop aktiviert) (US/EU)
- Meta (WhatsApp Business Cloud API) — WhatsApp-Benachrichtigungen (sofern Shop aktiviert) (US/EU (Meta))
- Upstash — Rate-Limiting / Redis (Schutz der APIs) (EU/US (je nach Upstash-Region))
- OpenRouter — KI-Hilfen (Website-Builder-Text, Analytics-Insights), sofern genutzt (US/EU (Modell-Anbieter hinter OpenRouter))
- Google Analytics 4 — Optionale Web-Analyse auf Shop-Websites (nur mit Einwilligung) (US/EU (Google))
5. Sicherheit (TOMs)
Terminum trifft angemessene technische und organisatorische Massnahmen: Zugangskontrolle, Verschlüsselung in Transit, rollenbasierte Dashboard-Zugriffe, mandantenfähige Datentrennung (shopId), Geheimnisverwaltung, Logging mit Redaktion wo vorgesehen. Details können als Anhang nachgereicht / mit dem Anwalt finalisiert werden.
6. Unterstützung bei Betroffenenrechten
Terminum unterstützt den Shop bei Auskunft, Berichtigung und Löschung (Produktfunktionen und Support). Endkund:innen wenden sich primär an den Shop.
7. Datensicherheitsverletzungen
Terminum meldet dem Shop eine Verletzung der Datensicherheit so rasch wie möglich, damit der Shop seinen Pflichten (inkl. Meldung an den EDÖB bei hohem Risiko) nachkommen kann.
8. Löschung und Vertragsende
Auf Weisung des Shops anonymisiert oder löscht Terminum Personendaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach Workspace-Löschung werden Shop-Daten gemäss Produktprozessen gelöscht oder anonymisiert, soweit technisch und rechtlich möglich. Backups können verzögert nachlaufen.
9. Bekanntgabe ins Ausland
Unterauftragsbearbeiter können Daten ausserhalb der Schweiz bearbeiten. Der Shop nimmt dies zur Kenntnis; Terminum stützt sich auf vertragliche Garantien der Anbieter. Siehe auch Datenschutzerklärung.
10. Annahme
Shop-Betreiber:innen akzeptieren diesen AVV (Version 2026-09-23) im Dashboard unter Einstellungen → Rechtliches zusammen mit Impressum und Datenschutzerklärung des Shops.