Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Gegenstand

1.1 Dieser Auftragsverarbeitungsvertrag (nachfolgend «AVV») wird geschlossen zwischen dem registrierten Geschäftskunden der Plattform offertensystem.com (nachfolgend «Verantwortlicher») und der Majahe GmbH (i.Gr.), Südstrasse 11, CH-8180 Bülach, Schweiz (nachfolgend «Auftragsverarbeiterin»).

1.2 Der AVV regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin im Auftrag des Verantwortlichen im Rahmen der Nutzung der SaaS-Plattform «Offertensystem».

1.3 Der AVV tritt mit der Registrierung auf der Plattform in Kraft und gilt für die gesamte Dauer der Geschäftsbeziehung.

2. Gegenstand und Dauer der Verarbeitung

2.1 Die Auftragsverarbeiterin verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung der CRM- und Offerten-Plattform, insbesondere: Erstellung, Verwaltung und Versand von Offerten, Quittungen und Rechnungen; Lead-Erfassung und -Verwaltung; Terminplanung und Kalenderführung; Kundenkommunikation per E-Mail, WhatsApp und Push-Benachrichtigung; Dokumentenerstellung (PDF) und Kunden-Uploads; Review Booster und Mängelprotokoll.

2.2 Die Dauer der Verarbeitung entspricht der Laufzeit des Abonnements. Nach Beendigung gelten die Löschfristen gemäss Ziffer 8.

3. Art und Zweck der Verarbeitung

3.1 Die Auftragsverarbeiterin verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich primär aus den Nutzungsbedingungen (AGB), der Datenschutzerklärung und den konkreten Nutzungshandlungen des Verantwortlichen auf der Plattform.

3.2 Die Auftragsverarbeiterin verarbeitet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, es sei denn, dies ist zur Vertragserfüllung erforderlich oder gesetzlich vorgeschrieben.

4. Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

Kontaktdaten der Endkunden: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Adressen (Herkunft/Ziel bei Umzügen).

Projektdaten: Volumenberechnungen, Flächenangaben, Inventarlisten, Kalkulationen, Checklisten, Mängelprotokolle.

Kommunikationsdaten: E-Mail-Metadaten erkannter Leads (Absender, Betreff, Datum), versendete Offerten und Bestätigungen.

Dateien: Fotos, Videos und Dokumente, die von Endkunden hochgeladen werden.

Bewertungsdaten: Bewertungstexte und IP-Adressen (Review Booster, Missbrauchsschutz).

5. Kategorien betroffener Personen

Betroffene Personen sind die Endkunden des Verantwortlichen — natürliche Personen, die Dienstleistungen beim Verantwortlichen anfragen, Offerten erhalten, Termine buchen oder Bewertungen abgeben.

6. Pflichten der Auftragsverarbeiterin

6.1 Die Auftragsverarbeiterin gewährleistet, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind.

6.2 Die Auftragsverarbeiterin trifft geeignete technische und organisatorische Massnahmen gemäss Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Massnahmen sind in den Technisch-Organisatorischen Massnahmen (TOMs) dokumentiert und Bestandteil dieses AVV (Anlage 1).

6.3 Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäss Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

6.4 Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 15–22 DSGVO).

7. Unterauftragsverarbeiter

7.1 Die Auftragsverarbeiterin setzt folgende Unterauftragsverarbeiter ein:

Hostpoint AG (Schweiz) — Hosting und Serverinfrastruktur, Speicherung aller Plattformdaten.

Stripe / PayPal (USA/EU) — Zahlungsabwicklung für Abonnements (kein Zugriff auf Endkundendaten).

Google LLC / Microsoft Corp. (USA) — OAuth-basierte E-Mail-Integration, nur bei aktiver Verbindung durch den Verantwortlichen.

OneSignal (USA) — Push-Benachrichtigungen (nur anonyme Subscription-IDs).

DeepL SE (EU) — Automatische Textübersetzung (nur Premium, nur bei Nutzung).

Google LLC (USA) — Google Analytics 4 und Google Tag Manager für Website-Analyse (nur mit Einwilligung der Besucher), Google Search Console für Suchmaschinen-Analyse, Google Translate via GTranslate für Frontend-Übersetzung.

Automattic Inc. (USA) — Jetpack für WooCommerce Mobile App (Bestellverwaltung).

7.2 Die Auftragsverarbeiterin informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann innerhalb von 14 Tagen Einspruch erheben.

8. Löschung und Rückgabe von Daten

8.1 Nach Beendigung des Abonnements stellt die Auftragsverarbeiterin die Daten 30 Tage lang zum Export bereit. Auf Wunsch des Verantwortlichen werden die Daten in einem maschinenlesbaren Format (CSV, JSON) exportiert.

8.2 Nach Ablauf der 30-tägigen Export-Frist werden alle personenbezogenen Daten des Verantwortlichen unwiderruflich gelöscht, einschliesslich: Offerten, Kundendaten, Uploads, OAuth-Tokens, Kalendereinträge, Checklisten, Mängelprotokolle und Webhook-Konfigurationen.

8.3 Daten, die aufgrund gesetzlicher Aufbewahrungspflichten gespeichert werden müssen, werden bis zum Ablauf der Frist aufbewahrt und anschliessend gelöscht.

9. Datenschutzverletzungen

9.1 Die Auftragsverarbeiterin benachrichtigt den Verantwortlichen unverzüglich (und spätestens innerhalb von 48 Stunden) über jede Verletzung des Schutzes personenbezogener Daten.

9.2 Die Benachrichtigung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und Personenkreise, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Massnahmen.

10. Kontroll- und Prüfrechte

10.1 Der Verantwortliche hat das Recht, die Einhaltung dieses AVV und der TOMs zu überprüfen. Die Auftragsverarbeiterin stellt alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung.

10.2 Überprüfungen vor Ort sind mit einer angemessenen Vorankündigungsfrist von mindestens 14 Werktagen durchzuführen und dürfen den Geschäftsbetrieb nicht unverhältnismässig stören.

11. Datenübermittlung in Drittländer

11.1 Die Verarbeitung erfolgt grundsätzlich in der Schweiz (Hostpoint AG). Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU.

11.2 Datenübermittlungen in die USA (Google, Microsoft, Stripe, PayPal, OneSignal) erfolgen auf Grundlage des EU-U.S. Data Privacy Framework und/oder Standardvertragsklauseln (SCC).

11.3 Der Verantwortliche willigt mit der Aktivierung der jeweiligen Integration (OAuth-Verbindung, Push-Benachrichtigungen) in die Datenübermittlung ein.

12. Laufzeit und Kündigung

12.1 Dieser AVV gilt für die Dauer des Abonnements und endet automatisch mit dessen Beendigung.

12.2 Die Verpflichtungen aus diesem AVV bestehen fort, solange die Auftragsverarbeiterin personenbezogene Daten des Verantwortlichen verarbeitet oder speichert.

13. Anwendbares Recht

Es gilt Schweizer Recht. Soweit auf die Verarbeitung die DSGVO anwendbar ist, gelten ergänzend die Bestimmungen der DSGVO. Gerichtsstand ist Bülach (ZH), Schweiz.

Majahe GmbH (i.Gr.) — Südstrasse 11 — CH-8180 Bülach — www.offertensystem.com — Stand: April 2026