Auftragsverarbeitungsvertrag (AVV)

Anhang zu den AGB von Lubai

1. Parteien und Rollen#

1.1 Der Kunde ist Verantwortlicher für die Verarbeitung der Personendaten, die über seine Webseite und seine Automationen anfallen.

1.2 Marco Lutz, Handelsname Lubai, Via Giuseppe Sirtori 10, 20129 Milano (MI), Italien, Partita IVA IT14640610961 («Lubai»), ist Auftragsverarbeiter.

2. Gegenstand und Dauer#

2.1 Dieser AVV regelt die Verarbeitung von Personendaten durch Lubai im Auftrag des Kunden, wenn Lubai die Webseite und die Automationen des Kunden erstellt, hostet oder betreut.

2.2 Der AVV ist Teil der AGB (Klausel 11.2) und gilt so lange wie der Vertrag, danach bis zur Löschung oder Rückgabe der Daten (Abschnitt 10). Er stützt sich auf Art. 28 DSGVO und, soweit anwendbar, auf das Schweizer Datenschutzgesetz.

3. Art der Daten und betroffene Personen#

3.1 Verarbeitet werden können: Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer), Termin- und Buchungsdaten, Bestelldaten bei Vorbestellungen, Kommunikationsdaten (z. B. Bestätigungs- und Erinnerungsnachrichten, Nachrichten im Chatbot, Anrufe beim KI-Telefon), Organisationsdaten und Daten der Mitarbeitenden des Kunden mit Zugang.

3.2 Betroffen sind Besucherinnen und Besucher der Webseite, Anfragende, Kundschaft und Interessenten des Kunden sowie dessen Mitarbeitende.

3.3 Der Kunde erfasst über die Webseite keine besonderen Kategorien von Personendaten (z. B. Gesundheitsdaten), es sei denn, Lubai hat dem vorher schriftlich zugestimmt.

4. Pflichten von Lubai#

4.1 Lubai verarbeitet die Personendaten nur auf dokumentierte Weisung des Kunden. Der Vertrag und seine Anhänge sind die Weisung. Hält Lubai eine Weisung für rechtswidrig, teilt sie dies dem Kunden unverzüglich mit.

4.2 Lubai verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Die Pflicht gilt auch nach Ende des Vertrags weiter.

4.3 Lubai trifft angemessene technische und organisatorische Massnahmen nach Art. 32 DSGVO (Einzelheiten in Abschnitt 6).

4.4 Lubai unterstützt den Kunden im Rahmen des Zumutbaren bei Anfragen betroffener Personen (Abschnitt 7), bei der Meldung von Datenpannen (Abschnitt 8) und bei Datenschutz-Folgenabschätzungen. Aufwand über eine Stunde pro Fall wird nach dem Stundensatz laut Angebot verrechnet, sonst nach dem auf der Webseite genannten Stundensatz von Pflege Basis.

4.5 Lubai verwendet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, ausser an die Unterauftragsverarbeiter nach Abschnitt 5.

5. Unterauftragsverarbeiter#

5.1 Der Kunde stimmt zu, dass Lubai Unterauftragsverarbeiter einsetzt, soweit sie für die vereinbarten Leistungen nötig sind. Das sind je nach Leistung: Infomaniak (Hosting und E-Mail, Schweiz), Cal.com (Terminbuchung), Stripe (Zahlungen), WhatsApp/Meta (WhatsApp-Kommunikation), Anthropic (KI-Funktionen), Google (Kalender-Integration) und GoHighLevel (Chatbot). Eingesetzt wird nur, was für den Kunden tatsächlich gebucht ist.

5.2 Lubai schliesst mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV. Lubai bleibt dem Kunden gegenüber im Rahmen der AGB für dessen Einhaltung verantwortlich.

5.3 Die aktuelle Liste erhält der Kunde auf Anfrage.

5.4 Will Lubai einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert sie den Kunden mindestens 14 Tage vorher in Textform. Der Kunde kann aus datenschutzrechtlichen Gründen innert dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den betroffenen Teil des Vertrags mit Wirkung zum Ende des laufenden Monats kündigen. Die Raten der Monatsoption (AGB 5.2) bleiben davon unberührt.

6. Sicherheit und Massnahmen#

6.1 Lubai trifft mindestens diese Massnahmen:
a) Die Webseite wird verschlüsselt übertragen (HTTPS/SSL).
b) Der Admin- und Hosting-Zugang ist nur für Lubai möglich, mit persönlichem Login und, wo verfügbar, Zwei-Faktor-Authentifizierung.
c) Lubai erstellt regelmässig Sicherungskopien (Backups).
d) Lubai hält Software und Systeme durch regelmässige Updates aktuell.
e) Zugriff auf die Daten haben nur Personen, die ihn für die Leistung brauchen.

6.2 Das Hosting erfolgt bei Infomaniak in der Schweiz.

6.3 Werden Personendaten in ein Land ausserhalb des EWR und der Schweiz übermittelt (z. B. an Anbieter in den USA), geschieht das nur auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln.

6.4 Lubai darf die Massnahmen dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

7. Rechte der betroffenen Personen#

7.1 Wendet sich eine betroffene Person direkt an Lubai, etwa mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit, leitet Lubai die Anfrage innert 5 Werktagen an den Kunden weiter. Lubai beantwortet sie nicht selbst in der Sache, ausser auf Weisung des Kunden.

7.2 Lubai unterstützt den Kunden technisch bei der Erfüllung solcher Anfragen, etwa indem sie Daten heraussucht, exportiert, berichtigt oder löscht (Klausel 4.4).

7.3 Der Kunde bleibt dafür verantwortlich, die betroffene Person innert der gesetzlichen Fristen zu beantworten.

8. Datenpannen#

8.1 Wird Lubai eine Verletzung des Schutzes von Personendaten bekannt (Datenpanne), meldet sie dies dem Kunden ohne unnötige Verzögerung, möglichst innert 48 Stunden nach Bekanntwerden.

8.2 Die Meldung enthält, soweit bekannt: die Art der Panne, die betroffenen Daten und die ungefähre Zahl der betroffenen Personen, die möglichen Folgen sowie die ergriffenen und vorgeschlagenen Massnahmen. Fehlende Angaben liefert Lubai nach.

8.3 Lubai ergreift unverzüglich Massnahmen, um die Panne zu beheben und den Schaden zu begrenzen.

8.4 Die Meldung an Aufsichtsbehörden und betroffene Personen ist Sache des Kunden. Lubai unterstützt ihn dabei (Klausel 4.4). Lubai meldet nicht selbst an Behörden oder Betroffene, ausser sie ist dazu gesetzlich verpflichtet.

9. Weisungen des Kunden#

9.1 Weisungen erteilt der Kunde in Textform, z. B. per E-Mail. Mündliche Weisungen bestätigt er unverzüglich in Textform.

9.2 Weisungsberechtigt sind die Personen, die der Kunde Lubai benannt hat. Hat der Kunde niemanden benannt, ist es die Person, die den Vertrag für ihn abgeschlossen hat.

9.3 Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt Lubai als Änderung nach den AGB und rechnet den Mehraufwand zum Stundensatz laut Angebot ab, sonst zum auf der Webseite genannten Stundensatz von Pflege Basis. Lubai führt keine Weisung aus, die gegen das Gesetz verstösst (Klausel 4.1).

10. Löschung und Rückgabe#

10.1 Nach Vertragsende übergibt Lubai dem Kunden auf Wunsch seine Daten in einem gängigen Format. Sie bleiben dafür 30 Tage zum Abruf bereit (AGB 6.6).

10.2 Danach löscht Lubai die Personendaten des Kunden. Sicherungskopien werden im üblichen Rhythmus überschrieben.

10.3 Auf Verlangen bestätigt Lubai die Löschung in Textform.

10.4 Gesetzliche Aufbewahrungspflichten bleiben unberührt. Muss Lubai Daten länger aufbewahren, sperrt sie diese und nutzt sie nur dafür.

11. Prüfungen#

11.1 Lubai stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die er braucht, um die Einhaltung dieses AVV nachzuweisen.

11.2 Der Kunde kann die Einhaltung selbst oder durch eine zur Verschwiegenheit verpflichtete Person prüfen. Er kündigt die Prüfung mindestens 30 Tage vorher in Textform an. Sie findet zu üblichen Geschäftszeiten statt, in der Regel höchstens einmal pro Jahr und so, dass der Betrieb von Lubai nicht unverhältnismässig gestört wird. Nach einer Datenpanne oder auf Verlangen einer Behörde ist auch eine zusätzliche Prüfung möglich.

11.3 Die Prüfung erfolgt in erster Linie schriftlich oder per Video. Daten anderer Kunden und Geschäftsgeheimnisse von Lubai sind ausgenommen.

11.4 Der Kunde trägt die Kosten der Prüfung. Aufwand von Lubai über eine Stunde wird nach dem Stundensatz laut Angebot verrechnet, sonst nach dem auf der Webseite genannten Stundensatz von Pflege Basis.

12. Konten und Zugänge des Kunden; Annahme#

12.1 Stellt der Kunde Lubai Zugänge zu seinen eigenen Konten bei Dritten bereit (z. B. Domain, Stripe, Cal.com, Google, GoHighLevel), nutzt Lubai sie nur für die vereinbarten Leistungen.

12.2 Für Konten, die auf den Namen des Kunden laufen (AGB 6.4), bleibt der Kunde Vertragspartner des Anbieters und ist für Gebühren und Nutzungsbedingungen verantwortlich.

12.3 Lubai bewahrt Zugangsdaten sicher auf und gibt sie nicht weiter. Nach Vertragsende löscht oder übergibt Lubai sie, und der Kunde ändert seine Passwörter.

12.4 Dieser AVV kommt mit der Annahme der AGB zustande. Eine digitale Annahme genügt, z. B. per Online-Bestellung oder E-Mail. Eine Unterschrift ist nicht nötig.