Vereinbarung zur Auftragsverarbeitung

Stand: Oktober 2026

Diese Vereinbarung gilt, sobald sie im Angebot oder Vertrag ausdrücklich einbezogen ist. Sie regelt, wie wir Personendaten bearbeiten, die Sie und Ihr Team in einem Werkzeug erfassen, das wir für Sie betreiben. Sie ergänzt die Allgemeinen Geschäftsbedingungen und beruht auf Art. 28 der Datenschutz-Grundverordnung (DSGVO) und Art. 9 des Schweizer Datenschutzgesetzes (DSG).

1. Parteien

Auftraggeber ist das Unternehmen, das im Angebot genannt ist («Sie»). Sie sind für die Daten verantwortlich.
Auftragnehmer ist Frederick Vincent Louis Hinsch (Einzelunternehmen), cutinhalf, Unterdorf 9, 6403 Küssnacht am Rigi, Schweiz («wir»). Kontakt für Datenschutzfragen: team@cutinhalf.de.

2. Gegenstand und Dauer

Wir betreiben das vereinbarte Werkzeug auf einem Server in der EU und bearbeiten dabei die Daten, die Sie darin erfassen. Art und Umfang der Daten stehen in Anhang 1. Die Vereinbarung gilt, solange wir das Werkzeug für Sie betreiben, und endet mit dem Hauptvertrag.

3. Ihre Weisungen

Wir bearbeiten die Daten nur nach Ihren dokumentierten Weisungen. Der Vertrag, die Einrichtung des Werkzeugs und Ihre Anfragen per E-Mail sind solche Weisungen. Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen und führen sie nicht aus, bis Sie sie bestätigt oder geändert haben. Verpflichtet uns ein Gesetz der EU, eines Mitgliedstaats oder der Schweiz zu einer anderen Bearbeitung, teilen wir Ihnen das vorher mit, sofern das Gesetz die Mitteilung nicht verbietet. Für die Rechtmässigkeit der Datenerfassung, die Information Ihrer Kundinnen, Kunden und Mitarbeitenden und die Erfüllung von Aufbewahrungspflichten sind Sie verantwortlich.

4. Vertraulichkeit

Wir haben Zugriff auf Ihre Daten nur, soweit es für Betrieb, Fehlerbehebung und Datensicherung nötig ist. Wir lesen Ihre Inhalte nicht ohne Anlass. Wer in unserem Auftrag Zugriff hat, ist zur Vertraulichkeit verpflichtet, auch nach Vertragsende.

5. Sicherheit

Wir treffen die technischen und organisatorischen Massnahmen aus Anhang 2 und passen sie an, wenn sich der Stand der Technik ändert. Das Schutzniveau sinkt dabei nicht.

6. Weitere Auftragsverarbeiter

Sie stimmen dem Einsatz der Dienstleister aus Anhang 3 zu. Wollen wir einen weiteren einsetzen oder einen ersetzen, informieren wir Sie mindestens 30 Tage vorher per E-Mail. Sie können innert dieser Frist aus wichtigem Grund widersprechen. Können wir uns nicht einigen, dürfen beide Seiten den Vertrag auf das Ende des Monats kündigen, ohne dass dafür Kosten entstehen, die über die bis dahin erbrachten Leistungen hinausgehen. Mit jedem Dienstleister besteht ein Vertrag, der ihn zu mindestens gleichen Datenschutzpflichten verpflichtet. Wir haften Ihnen für ihn wie für uns.

7. Betroffene Personen und Verletzungen

Wendet sich eine betroffene Person direkt an uns, verweisen wir sie an Sie und geben ohne Ihre Weisung keine Auskunft. Wir helfen Ihnen im Rahmen des Zumutbaren bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit, etwa mit einem Export. Bemerken wir eine Verletzung der Datensicherheit, die Ihre Daten betrifft, melden wir sie Ihnen unverzüglich, spätestens innert 48 Stunden nach Kenntnis, mit allem, was wir über Art, Umfang und Gegenmassnahmen wissen. Die Meldung an die Aufsichtsbehörde und an Betroffene bleibt Ihre Aufgabe. Ebenso unterstützen wir Sie mit den Angaben, die wir haben, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO), soweit sie das Werkzeug betreffen.

8. Daten im Ausland

Wir speichern Ihre Daten auf Servern in der EU. Unser Sitz ist in der Schweiz; die EU-Kommission hat für die Schweiz einen Angemessenheitsbeschluss erlassen. Eine Übermittlung in weitere Länder findet nur statt, wenn Sie schriftlich zustimmen oder die gesetzlichen Voraussetzungen erfüllt sind.

9. Nachweis und Kontrolle

Wir geben Ihnen die Auskünfte, die Sie zum Nachweis dieser Pflichten brauchen. Eine Prüfung vor Ort oder per Fragebogen kündigen Sie 14 Tage vorher an, sie findet zu üblichen Geschäftszeiten statt und stört den Betrieb nicht unnötig. Die Kosten unseres Aufwands tragen Sie, wenn die Prüfung nicht wegen eines Verstosses von uns nötig wurde.

10. Vertragsende, Rückgabe und Löschung

Bis zum Vertragsende können Sie Ihre Daten jederzeit selbst herunterladen: im Werkzeug unter «Mein Konto» (nur für Administratoren) als ZIP mit Tabellen, Dokumenten als PDF und den Rohdaten. Wenn Sie Hilfe brauchen, liefern wir den Export innert 14 Tagen. Nach Vertragsende löschen wir Ihre Daten auf dem Server innert 30 Tagen. Die täglichen Sicherungen laufen danach innert weiterer 30 Tage ab, die Monatssicherungen löschen wir mit dem Server. Eine Bestätigung der Löschung erhalten Sie auf Wunsch.

Wichtig: Die Sicherungen dienen dem Schutz vor Datenverlust, nicht der Archivierung. Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen und Belege, erfüllen Sie mit dem Export, den Sie vor Vertragsende abholen. Wir empfehlen, ihn auch während der Laufzeit mindestens einmal im Jahr zu ziehen und bei sich abzulegen.

11. Haftung und Recht

Es gelten die Haftungsregeln und die Bestimmung zu Recht und Gerichtsstand der AGB, soweit zwingendes Recht nichts anderes vorschreibt. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung vor, soweit es um Personendaten geht.

Anhang 1: Daten und betroffene Personen

Zweck: Betrieb des vereinbarten Werkzeugs für Ihren Betrieb. Betroffene Personen: Ihre Kundinnen und Kunden, Interessenten, Lieferanten, Mitarbeitenden und die Personen, die sich im Werkzeug anmelden. Besondere Kategorien von Personendaten (etwa Gesundheitsdaten) sind nicht vorgesehen; bitte erfassen Sie solche nicht in Freitextfeldern oder auf Belegen, ohne sich vorher mit uns abzusprechen.

Anhang 2: Technische und organisatorische Massnahmen

Anhang 3: Weitere Auftragsverarbeiter

Zertifikate stellt Let’s Encrypt aus; dabei werden nur die Adresse Ihrer Instanz, aber keine Daten aus dem Werkzeug übermittelt.