Auftragsverarbeitungsvertrag (AVV)

Stand: 3. August 2026. Dieser Auftragsverarbeitungsvertrag («AVV») ergänzt die AGB und regelt die Bearbeitung von Personendaten durch BauStern Lisovskyi («Auftragsbearbeiter») im Auftrag des Kunden («Verantwortlicher») gemäss Art. 9 nDSG und – soweit anwendbar – Art. 28 DSGVO. Er gilt mit Abschluss eines Abonnements als vereinbart. Eine unterzeichnete Ausfertigung stellen wir auf Anfrage aus: info@flinko.ch.

1. Rollen der Parteien

Der Kunde ist Verantwortlicher für die Personendaten, die er in Flinko erfasst – insbesondere Daten seiner eigenen Kundschaft und seiner Mitarbeitenden. Der Anbieter bearbeitet diese Daten ausschliesslich im Auftrag und nach Weisung des Kunden. Für die Konto- und Abrechnungsdaten des Kunden selbst (Name, E-Mail, Zahlungsdaten) ist der Anbieter eigener Verantwortlicher; dafür gilt die Datenschutzerklärung, nicht dieser AVV.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der SaaS-Anwendung Flinko. Die Bearbeitung dauert so lange, wie das Abonnement besteht, und endet mit dessen Beendigung nach Massgabe von Ziffer 11.

3. Art und Zweck der Bearbeitung

Speichern, Ordnen, Auslesen, Verändern, Auswerten und Löschen von Personendaten zum Zweck der Verwaltung von Kundschaft, Projekten, Offerten, Rechnungen, Planung, Zeiterfassung, Dokumentation und Kundenkommunikation des Verantwortlichen.

4. Kategorien betroffener Personen und Daten

Betroffene Personen: Kundinnen und Kunden des Verantwortlichen, dessen Mitarbeitende, Kontaktpersonen von Lieferanten und Subunternehmern. Datenkategorien: Stammdaten (Name, Adresse, Telefon, E-Mail), Auftrags- und Projektdaten, Offerten, Rechnungen und Zahlungen, Arbeitszeiten, Fotos und Dokumentation von Baustellen bzw. Terminen, Notizen und Nachrichten. Besondere Personendaten sind nicht vorgesehen; erfasst der Kunde solche dennoch, geschieht dies in seiner Verantwortung.

5. Weisungsbindung

Der Anbieter bearbeitet Personendaten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung und ihrer Funktionen gilt als Weisung. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Verantwortlichen und darf die Ausführung aussetzen.

6. Vertraulichkeit

Alle zur Bearbeitung befugten Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff auf Kundendaten durch den Anbieter erfolgt nur, soweit dies für Betrieb, Support oder Fehlerbehebung erforderlich ist.

7. Technische und organisatorische Massnahmen

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung der Datenbank. • Mandantentrennung auf Datenbankebene (Row-Level-Security): Ein Zugriff über die Grenzen des eigenen Unternehmens hinaus ist technisch unterbunden, nicht bloss in der Oberfläche ausgeblendet. • Rollen- und Rechtekonzept (Inhaber, Administration, Buchhaltung, Mitarbeitende) mit abgestuftem Zugriff. • Passwörter ausschliesslich als Hash; Prüfung gegen bekannte Datenlecks bei der Vergabe; optionale Zwei-Faktor-Authentisierung. • Regelmässige Sicherung der Datenbank durch den Infrastruktur-Dienstleister. • Protokollierung sicherheitsrelevanter Vorgänge. Eine ausführlichere Darstellung findet sich unter flinko.ch/security.

8. Unterauftragsbearbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Beizug folgender Unterauftragsbearbeiter: • Supabase – Datenbank und Authentisierung (Rechenzentrum Frankfurt, EU). • Vercel – Betrieb der Anwendung. • Stripe – Zahlungsabwicklung. • Resend – Versand von System-E-Mails. • Anthropic – KI-Assistent; nur die jeweils gestellte Anfrage, und nur sofern die Funktion genutzt wird. Der Anbieter informiert vorgängig über den Wechsel oder Beizug weiterer Unterauftragsbearbeiter. Der Verantwortliche kann aus wichtigem Grund widersprechen; in diesem Fall steht ihm ein ausserordentliches Kündigungsrecht zu.

9. Bekanntgabe ins Ausland

Die Datenbank wird in Frankfurt (EU) betrieben. Einzelne Unterauftragsbearbeiter haben ihren Sitz in den Vereinigten Staaten. Eine Bekanntgabe dorthin erfolgt gestützt auf die Standardvertragsklauseln bzw. auf einen anerkannten Angemessenheitsbeschluss und beschränkt sich auf die für die jeweilige Funktion erforderlichen Daten.

10. Unterstützung des Verantwortlichen

Der Anbieter unterstützt den Verantwortlichen bei der Wahrung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Herausgabe). Die Anwendung stellt dafür Export- und Löschfunktionen bereit, mit denen der Verantwortliche solche Begehren selbständig und unmittelbar erfüllen kann. Wendet sich eine betroffene Person direkt an den Anbieter, leitet dieser das Begehren an den Verantwortlichen weiter.

11. Meldung von Verletzungen der Datensicherheit

Der Anbieter meldet dem Verantwortlichen eine Verletzung der Datensicherheit unverzüglich nach Kenntnisnahme und stellt die ihm verfügbaren Angaben zur Verfügung, damit der Verantwortliche seinen eigenen Meldepflichten (Art. 24 nDSG bzw. Art. 33 DSGVO) nachkommen kann.

12. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Abonnements kann der Verantwortliche seine Daten exportieren. Danach werden die Daten auf Verlangen gelöscht. Vorbehalten bleiben gesetzliche Aufbewahrungspflichten, insbesondere die zehnjährige Frist für Buchungsbelege nach OR.

13. Nachweise und Überprüfung

Der Anbieter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung. Überprüfungen erfolgen nach vorgängiger Ankündigung, in verhältnismässigem Rahmen und ohne Beeinträchtigung des Betriebs oder der Datensicherheit anderer Mandanten.

14. Haftung, Recht und Gerichtsstand

Im Übrigen gelten die AGB. Es gilt Schweizer Recht; Gerichtsstand ist Zürich, soweit gesetzlich zulässig.