Vereinbarung zur Auftragsbearbeitung

Savic Enterprise · Inhaber Stefan Savic · Bernstrasse 161c · 4852 Rothrist · Version 1.0 · Stand: 21. September 2026

Diese Vereinbarung ist ein Anhang zu den AGB. Sie gilt, soweit ich für dich als Kundin oder Kunde Personendaten bearbeite, und regelt, wie ich dabei mit diesen Daten umgehe. Sie richtet sich nach Art. 9 des Schweizer Datenschutzgesetzes (DSG).

1. Rollen

1.1 Für die Personendaten auf deiner Website, zum Beispiel Formularanfragen deiner Besucherinnen und Besucher, bist du verantwortlich. Ich bearbeite diese Daten als Auftragsbearbeiter nur in deinem Auftrag und nach deinen Weisungen.

1.2 Für meine eigenen Kunden-, Vertrags- und Rechnungsdaten bin ich selbst verantwortlich. Dafür gilt meine Datenschutzerklärung.

2. Gegenstand, Dauer und Umfang

2.1 Gegenstand ist die Bearbeitung von Personendaten im Rahmen der vereinbarten Leistungen, insbesondere Hosting, Betreuung und Wartung deiner Website (Care-Paket), Backups, DNS-Verwaltung und Support.

2.2 Die Vereinbarung gilt, solange ich für dich Leistungen erbringe, bei denen ich Zugriff auf Personendaten habe, und darüber hinaus, bis die Daten nach Ziffer 9 übergeben oder gelöscht sind.

2.3 Betroffen sind insbesondere:

Personen: Besucherinnen und Besucher deiner Website, Personen, die deine Formulare nutzen, sowie Personen mit einem Benutzerkonto auf deiner Website
Daten: Kontaktdaten und Inhalte aus Formularanfragen, technische Daten wie IP-Adressen und Server-Logfiles, Benutzerkonten sowie Inhalte deiner Website, soweit sie Personendaten enthalten
Zweck: Betrieb, Sicherheit, Wartung und Wiederherstellung deiner Website

3. Weisungen

3.1 Ich bearbeite die Daten nur so, wie es für die vereinbarten Leistungen nötig ist, und nach deinen Weisungen. Die AGB, die Offerte und diese Vereinbarung sind deine grundlegenden Weisungen. Weitere Weisungen erteilst du per E-Mail.

3.2 Halte ich eine Weisung für rechtswidrig, teile ich dir das mit. Ich bearbeite die Daten nicht für eigene Zwecke.

3.3 Muss ich Daten aufgrund einer gesetzlichen Pflicht herausgeben, informiere ich dich vorher, soweit das erlaubt ist.

4. Vertraulichkeit

Ich behandle die Daten vertraulich, auch nach Vertragsende. Als Einzelunternehmen bearbeite ich die Daten grundsätzlich selbst. Setze ich weitere Personen ein, verpflichte ich sie ebenfalls zur Vertraulichkeit.

5. Technische und organisatorische Massnahmen

Ich schütze die Daten mit angemessenen Massnahmen, insbesondere:

Zwei-Faktor-Authentifizierung für wichtige Konten
eine Firewall (Wordfence), die direkt auf dem Server der Website läuft
Schutz vor Brute-Force-Angriffen: fehlgeschlagene Anmeldeversuche werden begrenzt und gesperrt
verschlüsselte Übertragung (HTTPS mit TLS)
tägliche Backups, die 7 Tage aufbewahrt werden
Zugriffsbeschränkung auf die Daten, die für die jeweilige Aufgabe nötig sind
regelmässige Sicherheitsupdates
Schutz vor Angriffen, Spam und schädlichen Bots über Cloudflare

Ich passe die Massnahmen an, wenn sich der Stand der Technik oder die Risiken ändern, ohne das Schutzniveau zu senken.

6. Unterauftragsbearbeiter

6.1 Du erteilst mir die allgemeine Genehmigung, für die Leistungen Unterauftragsbearbeiter aus folgenden Kategorien einzusetzen:

Hosting, Server und Backups
Netzwerk-, Sicherheits- und DNS-Dienste
Sicherheits- und Spamschutzdienste für Website und Formulare
E-Mail-Dienste
technische Hilfsdienste wie die Bildoptimierung

6.2 Ich wähle Unterauftragsbearbeiter sorgfältig aus und verpflichte sie vertraglich auf einen gleichwertigen Datenschutz. Werden Daten in einen Staat ohne angemessenen Datenschutz bekanntgegeben, stütze ich mich auf anerkannte Garantien nach Art. 16 DSG, etwa das Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln.

6.3 Eine aktuelle Liste der eingesetzten Unterauftragsbearbeiter erhältst du auf Anfrage. Über neue oder ersetzte Unterauftragsbearbeiter informiere ich dich vorab per E-Mail. Du kannst der Änderung aus wichtigem Grund widersprechen. Finden wir keine Lösung, kannst du die betroffene Leistung auf das Inkrafttreten der Änderung kündigen; für Kündigung und Rückerstattung gilt AGB Ziffer 17.2 sinngemäss.

7. Verletzungen der Datensicherheit

Stelle ich eine Verletzung der Datensicherheit fest, die deine Daten betrifft, melde ich sie dir so rasch wie möglich per E-Mail. Ich teile dir mit, was passiert ist, welche Daten betroffen sein können und welche Massnahmen ich ergriffen habe. Ich unterstütze dich bei allfälligen Meldungen an den EDÖB oder an betroffene Personen (Art. 24 DSG).

8. Unterstützung

8.1 Ich unterstütze dich, soweit möglich, bei Anfragen betroffener Personen, etwa zu Auskunft, Berichtigung oder Löschung, bei Datenschutz-Folgenabschätzungen und bei Anfragen von Behörden.

8.2 Erreicht mich eine Anfrage einer betroffenen Person direkt, leite ich sie an dich weiter.

8.3 Unterstützung, die über den üblichen Rahmen hinausgeht, verrechne ich nach Aufwand gemäss AGB Ziffer 8.5.

9. Übergabe und Löschung

9.1 Während eines laufenden Vertrags lösche ich keine Daten deiner Website, auch nicht bei einer Abschaltung wegen Zahlungsverzug.

9.2 Bei Vertragsende erhältst du auf Wunsch ein bereinigtes Backup deiner Website und den Export deiner DNS-Zone gemäss AGB Ziffer 11 und Kündigung & Übergabe.

9.3 Vor der Löschung informiere ich dich schriftlich und weise dich auf die Möglichkeit der Übergabe hin. 30 Tage nach dem Enddatum lösche ich alle Daten deiner Website, auch in meinen Backups, und bestätige dir die Löschung schriftlich. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.

10. Kontrolle

Auf Anfrage gebe ich dir die Informationen, die du brauchst, um die Einhaltung dieser Vereinbarung zu prüfen, zum Beispiel eine Beschreibung der Massnahmen nach Ziffer 5. Überprüfungen sind nach vorheriger Absprache in angemessenem Umfang und während der Geschäftszeiten möglich. Den Aufwand dafür verrechne ich nach AGB Ziffer 8.5.

11. Schlussbestimmungen

11.1 Für die Haftung gilt AGB Ziffer 16.

11.2 Diese Vereinbarung ist Teil des Vertrags. Bei Widersprüchen geht sie in Fragen des Datenschutzes den AGB vor.

11.3 Für Änderungen dieser Vereinbarung gilt AGB Ziffer 17 sinngemäss.

12. Hinweis zur DSGVO

Gilt für deine Datenbearbeitung die Datenschutz-Grundverordnung der EU (DSGVO), soll diese Vereinbarung zugleich die Anforderungen von Art. 28 DSGVO erfüllen. Die Verweise auf das DSG gelten dann sinngemäss für die entsprechenden Bestimmungen der DSGVO. Meldungen nach Ziffer 7 richten sich in diesem Fall an die zuständige Aufsichtsbehörde in der EU.

Savic Enterprise · Einzelunternehmen · UID CHE-354.616.712 · Anhang zu den AGB · Version 1.0 · Stand: 21. September 2026