Auftragsverarbeitungsvertrag

Stand: August 2026

Dieser Vertrag regelt die Bearbeitung von Personendaten, die wir im Auftrag unserer Kunden vornehmen. Er ergänzt die Allgemeinen Geschäftsbedingungen und gilt mit der Eröffnung eines Kontos als vereinbart.

Parteien und Rollen

Verantwortlicher ist der Kunde, also der Betrieb, der Offertli nutzt. Auftragsbearbeiter ist Mirostudio, Andrii Yermakov, Bergstrasse 23, 8105 Regensdorf, Schweiz.

Der Kunde bestimmt Zweck und Mittel der Bearbeitung der Daten seiner eigenen Kunden und ist dafür verantwortlich, dass er diese Daten erheben und uns zur Bearbeitung übergeben darf. Für die Konto- und Abrechnungsdaten des Kunden sind wir selbst verantwortliche Stelle; dafür gilt die Datenschutzerklärung.

Gegenstand und Dauer

Gegenstand ist die Bearbeitung von Personendaten, soweit sie für die in den AGB beschriebenen Leistungen nötig ist: Speichern, Anzeigen, Ändern, Erzeugen von Dokumenten, Versenden per E-Mail, Bereitstellen im Kundenportal und Auswerten für KI-Entwürfe.

Der Vertrag beginnt mit der Eröffnung des Kontos und dauert so lange, wie wir Daten im Auftrag des Kunden bearbeiten.

Betroffene Personen und Datenkategorien

Betroffen sind die Kunden und Interessenten des Kunden samt ihren Ansprechpersonen sowie die Mitarbeitenden des Kunden, die Zugang zur Anwendung haben. Bearbeitet werden:

• Kontakt- und Stammdaten: Name, Firma, Adresse, E-Mail, Telefonnummer.
• Auftrags- und Vertragsdaten: Anfragen, Offerten, Positionen, Mengen, Preise, Rechnungen, Zahlungsstände, Mahnungen, Notizen im CRM.
• Fotos von Objekten und Sprachaufnahmen samt dem daraus erkannten Text, soweit der Kunde sie hochlädt.
• Zugangs- und Protokolldaten der Mitarbeitenden des Kunden: E-Mail-Adresse, Rolle, Zeitpunkt von Zugriffen.

Besonders schützenswerte Personendaten sind nicht Gegenstand dieses Auftrags. Der Kunde erfasst solche Daten in Offertli nicht.

Pflichten des Auftragsbearbeiters

• Wir bearbeiten die Daten nur zur Erbringung der Leistungen und nach den Weisungen des Kunden. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen die Ausführung aussetzen.
• Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet; die Pflicht gilt über das Ende ihrer Tätigkeit hinaus.
• Wir bearbeiten die Daten nicht für eigene Zwecke, geben sie ausserhalb der genannten Unterauftragsbearbeiter nicht weiter und verwenden sie nicht zum Trainieren eigener Modelle.
• Erfahren wir von einer Verletzung der Datensicherheit, die Daten des Kunden betrifft, melden wir das ohne unnötigen Verzug mit den uns bekannten Angaben zu Art, Umfang und getroffenen Massnahmen. Die Meldung an die Aufsichtsbehörde und an betroffene Personen nimmt der Kunde vor.
• Wir unterstützen den Kunden bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde, soweit uns die nötigen Angaben vorliegen.

Unterauftragsbearbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsbearbeiter zu:

• Vercel Inc., USA: Hosting der Anwendung, Ausführung in Dublin, Irland.
• Supabase Inc., USA: Datenbank, Anmeldung und Dateiablage in der Region eu-west-1 in Irland.
• Sprachmodelle für die Entwurfsgenerierung: gpt-5.4-mini von OpenAI und claude-sonnet-4-6 von Anthropic, angesprochen über eine bei Hugging Face betriebene Schnittstelle. Übermittelt werden Beschreibungstext und Fotos zum Auftrag. Der Bearbeitungsort der Modelle ist uns nicht bekannt; es ist mit einer Bearbeitung ausserhalb der Schweiz und der EU zu rechnen.
• ElevenLabs Inc., USA: Umwandlung von Sprachaufnahmen in Text.
• Resend Inc., USA, und Hostpoint AG, Schweiz: Versand der E-Mails samt angehängten PDF-Dokumenten.
• Stripe Inc., USA und Irland: Abwicklung des Abonnements des Kunden. Daten der Endkunden des Kunden erhält Stripe nicht.

Steht die Umwandlung von Sprache in Text auf dem Server nicht zur Verfügung, greift die Anwendung auf die Spracherkennung des Browsers zurück. Die Aufnahme geht dabei direkt vom Gerät an Google (Chrome, Edge) oder an Apple (Safari), ohne über unsere Server zu laufen. Diese Bearbeitung erfolgt nicht in unserem Auftrag.

Wir verpflichten Unterauftragsbearbeiter auf einen Datenschutzstandard, der diesem Vertrag entspricht. Neue oder ausgetauschte Unterauftragsbearbeiter kündigen wir mindestens 30 Tage im Voraus per E-Mail an. Der Kunde kann innert dieser Frist aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag auf den Zeitpunkt der Änderung kündigen.

Bekanntgaben in Staaten ohne anerkannten angemessenen Datenschutz, namentlich in die Vereinigten Staaten, stützen wir auf die Standardvertragsklauseln der Europäischen Kommission mit den für das Schweizer Recht nötigen Anpassungen.

Sicherheitsmassnahmen

Wir treffen folgende Massnahmen: Übertragung ausschliesslich über TLS; Trennung der Daten je Betrieb durch Zugriffsregeln in der Datenbank, sodass ein Konto nur die eigenen Daten sieht; Speicherung von Passwörtern als Hash; Beschränkung des Zugangs zu den Produktivsystemen auf Personen, die ihn zur Erbringung der Leistung brauchen; Protokollierung von Zugriffen; regelmässige Sicherungen der Datenbank durch den Hoster.

Firmenlogos liegen bewusst in einem öffentlich lesbaren Bereich der Dateiablage, damit PDF-Dokumente und das Kundenportal sie ohne Anmeldung anzeigen können. Wer die Adresse einer Logodatei kennt, kann sie abrufen. Fotos und Sprachaufnahmen liegen in einem geschützten Bereich. Der Kunde lädt als Logo keine Datei hoch, die Personendaten enthält.

Eine Zertifizierung nach ISO 27001 oder einem vergleichbaren Standard besteht nicht. Zusicherungen zu Verfügbarkeit oder Wiederherstellungszeiten geben wir keine.

Rechte betroffener Personen

Wendet sich eine betroffene Person direkt an uns, leiten wir das Anliegen an den Kunden weiter und beantworten es nicht selbst. Bei Auskunft, Berichtigung, Löschung und Herausgabe von Daten unterstützen wir den Kunden mit den Mitteln der Anwendung; dafür stehen die Bearbeitungsfunktionen und der CSV-Export zur Verfügung.

Löschung und Rückgabe

Nach Beendigung des Vertrags stellen wir dem Kunden während 30 Tagen den Export seiner Daten zur Verfügung. Danach löschen wir die im Auftrag bearbeiteten Daten einschliesslich Fotos und Sprachaufnahmen. Sicherungskopien werden im Rahmen ihres Aufbewahrungszyklus überschrieben.

Daten, die wir aufgrund gesetzlicher Vorschriften aufbewahren müssen, bleiben bis zum Ablauf der Frist gespeichert und werden nur zu diesem Zweck bearbeitet.

Kontrollrechte

Der Kunde kann die Einhaltung dieses Vertrags überprüfen. Wir erteilen dazu schriftlich Auskunft und stellen vorhandene Nachweise zur Verfügung. Genügt das nicht, kann der Kunde nach einer Ankündigung von mindestens 30 Tagen während der ordentlichen Arbeitszeit eine Prüfung durchführen oder durch eine unabhängige, zur Verschwiegenheit verpflichtete Fachperson durchführen lassen, die nicht mit uns in Konkurrenz steht. Den Aufwand einer solchen Prüfung trägt der Kunde, ausser es zeigt sich eine wesentliche Verletzung dieses Vertrags.

Haftung

Für die Haftung gelten die Bestimmungen der Allgemeinen Geschäftsbedingungen.

Anwendbares Recht und Gerichtsstand

Es gilt schweizerisches Recht unter Ausschluss des CISG. Ausschliesslicher Gerichtsstand ist Zürich, Schweiz.

Kontakt

Fragen zu diesem Vertrag: info@offertli.ch.