Gegenstand und Einbezug
Diese Auftragsbearbeitungsvereinbarung (AVV) regelt die Bearbeitung von Personendaten durch Edin Zolj, handelnd unter GAV-Rapport, im Auftrag des Kunden. Sie ist Bestandteil des Vertrags über die Nutzung von GAV-Rapport, soweit der Kunde Personendaten von Mitarbeitenden oder anderen Personen in der App bearbeiten lässt.
Die AVV konkretisiert die Auftragsbearbeitung nach Art. 9 des Schweizer Datenschutzgesetzes (DSG). Sie ergänzt die Nutzungsbedingungen und die Datenschutzerklärung des Dokumentsets 2026-09-02-v1.
Parteien und Rollen
Auftraggeber ist der im Kundenkonto oder in der Bestellung bezeichnete Betrieb. Er entscheidet über Zweck und wesentliche Mittel der Bearbeitung seiner Mitarbeiter-, Baustellen-, Arbeitszeit- und Rapportdaten und ist dafür datenschutzrechtlich Verantwortlicher.
Auftragsbearbeiter ist Edin Zolj, handelnd unter GAV-Rapport, Bellerivestrasse 24, 8008 Zürich, Schweiz. GAV-Rapport bearbeitet die überlassenen Personendaten nur zur Erbringung der vereinbarten Leistungen und nach dokumentierten Weisungen des Kunden.
Dauer der Bearbeitung
Die Auftragsbearbeitung beginnt mit der Bereitstellung oder Nutzung des Kundenkontos und dauert grundsätzlich für die Laufzeit des Vertrags. Die Bearbeitung nach Vertragsende richtet sich nach dem Abschnitt «Rückgabe, Export und Löschung» dieser AVV.
Art und Zweck der Bearbeitung
Die Bearbeitung umfasst, soweit für die Nutzung erforderlich, das Erfassen, Speichern, Strukturieren, Anzeigen, Berechnen, Abgleichen, Korrigieren, Exportieren, Übermitteln, Einschränken, Anonymisieren und Löschen von Daten. Sie dient insbesondere der Nutzer- und Rollenverwaltung, der Erfassung von Reise-, Arbeits- und Pausenzeiten, der Baustellenzuordnung, der Korrektur und Freigabe von Rapporten, der Erstellung von Auswertungen und Exporten sowie dem Support und der Sicherheit des Dienstes.
Kategorien von Personendaten und betroffenen Personen
Bearbeitet werden können insbesondere:
- Identitäts-, Kontakt-, Rollen- und Kontodaten.
- Personal- und Anstellungsdaten wie Adresse, Geburtsdatum, Eintritt, Austritt, Pensum, Arbeitstage, Sollzeit, Ferienanspruch und optional die AHV-Nummer.
- Baustellen-, Einsatzort-, Zeit-, Pausen-, Abwesenheits-, Korrektur-, Freigabe- und Exportdaten.
- Standort-Pings beim Knopfdruck, sofern die Funktion aktiviert und genutzt wird.
- Support-, Protokoll- und Sicherheitsdaten im Zusammenhang mit der App-Nutzung.
Betroffene Personen sind insbesondere Inhaberinnen und Inhaber, Geschäftsführende, Büro- und Administrationspersonen, Mitarbeitende, Lernende sowie weitere vom Kunden autorisierte Nutzerinnen und Nutzer.
Weisungen des Kunden
Die Nutzung der App, die Konfiguration des Betriebs, erteilte Rollen und schriftliche Supportanfragen gelten als dokumentierte Weisungen. Zusätzliche Weisungen sind an support@gav-rapport.ch zu richten. Verursacht eine zusätzliche Weisung erheblichen Aufwand oder eine Änderung der vereinbarten Leistung, stimmen die Parteien Vorgehen, Kosten und Umsetzbarkeit vorgängig ab.
Hält GAV-Rapport eine Weisung für datenschutzrechtlich unzulässig, wird der Kunde darauf hingewiesen. Die Ausführung kann bis zur Klärung ausgesetzt werden, soweit dies zum Schutz der Daten erforderlich ist.
Pflichten von GAV-Rapport
GAV-Rapport bearbeitet die Daten nur im vereinbarten Umfang, stellt sicher, dass berechtigte Personen zur Vertraulichkeit verpflichtet sind, trifft angemessene technische und organisatorische Massnahmen und unterstützt den Kunden im zumutbaren Umfang bei der Erfüllung datenschutzrechtlicher Pflichten.
GAV-Rapport verwendet die im Auftrag bearbeiteten Mitarbeiter- und Rapportdaten nicht für eigene Werbezwecke und verkauft sie nicht.
Datensicherheit
GAV-Rapport trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie von Art, Umfang, Umständen und Risiken der Bearbeitung angemessene technische und organisatorische Massnahmen. Dazu gehören insbesondere Zugriffskontrollen, rollenbasierte Berechtigungen, Transportverschlüsselung, getrennte Mandantenbezüge, Protokollierung sicherheitsrelevanter Vorgänge, soweit im jeweiligen Dienst technisch vorgesehen Datensicherungen und Verfahren zur Behandlung von Sicherheitsvorfällen.
Ein absoluter Schutz kann bei internetbasierten Diensten nicht zugesichert werden. Schutzmassnahmen werden risikoorientiert überprüft und bei Bedarf weiterentwickelt.
Unterauftragsbearbeiter
Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der nachfolgend beschriebenen Unterauftragsbearbeiter, soweit sie bei der Leistungserbringung Auftragsdaten bearbeiten:
- Convex: Backend, Datenbank, Dateispeicherung und serverseitige Funktionen.
- WorkOS: Authentifizierung und Verwaltung von Nutzeridentitäten.
- Vercel: Hosting, Auslieferung der Anwendung und technische Betriebsdaten.
- Resend: Versand transaktionaler E-Mails, Einladungen und vom Kunden ausgelöster Nachrichten oder Exporte.
GAV-Rapport verpflichtet Unterauftragsbearbeiter vertraglich zu angemessenen Datenschutz- und Sicherheitsanforderungen. Wesentliche Änderungen dieser Liste werden über die aktuelle AVV oder auf geeignetem elektronischem Weg angekündigt. Der Kunde kann aus begründeten datenschutzrechtlichen Gründen widersprechen; die Parteien suchen dann eine zumutbare Lösung.
Stripe bearbeitet Zahlungsdaten und Google bearbeitet Daten zur Werbemessung grundsätzlich in eigener Verantwortung nach den jeweiligen Bedingungen. Diese Bearbeitungen sind in der Datenschutzerklärung beschrieben und nicht Gegenstand der Auftragsbearbeitung von Mitarbeiter- und Rapportdaten.
Bearbeitung im Ausland
Unterauftragsbearbeiter können Personendaten in der Schweiz, der EU, dem EWR, den USA oder weiteren Ländern bearbeiten. Bei einer Bekanntgabe in Staaten ohne angemessenes Datenschutzniveau stellt GAV-Rapport, soweit erforderlich, geeignete Garantien sicher, insbesondere anerkannte Standardvertragsklauseln mit notwendigen Ergänzungen, oder stützt sich auf eine gesetzliche Ausnahme.
Verletzungen der Datensicherheit
GAV-Rapport informiert den Kunden unverzüglich, sobald eine Verletzung der Datensicherheit bekannt wird, die voraussichtlich Auftragsdaten des Kunden betrifft. Die Mitteilung enthält die verfügbaren Informationen, die der Kunde zur Beurteilung eigener Melde- und Informationspflichten benötigt. GAV-Rapport unterstützt die Untersuchung und angemessene Abhilfemassnahmen im zumutbaren Umfang.
Rechte betroffener Personen
Der Kunde bleibt für die Bearbeitung von Begehren betroffener Personen verantwortlich. Er kann GAV-Rapport anweisen, ihn bei Auskunft, Berichtigung, Herausgabe, Einschränkung oder Löschung zu unterstützen. Geht ein Begehren direkt bei GAV-Rapport ein und betrifft es Auftragsdaten, wird es grundsätzlich an den Kunden weitergeleitet, sofern keine gesetzliche Pflicht zu einem anderen Vorgehen besteht.
Nachweise und Kontrollen
GAV-Rapport stellt dem Kunden auf begründete Anfrage geeignete Informationen zur Verfügung, soweit diese zum Nachweis der Einhaltung dieser AVV erforderlich sind und keine Sicherheits-, Geheimhaltungs- oder Rechte Dritter entgegenstehen. Weitergehende Kontrollen werden vorgängig abgestimmt und so durchgeführt, dass Sicherheit und Betrieb anderer Kunden nicht beeinträchtigt werden.
Rückgabe, Export und Löschung
Während des aktiven Vertrags kann der Kunde die im Dienst verfügbaren, bis dahin freigegebenen Jahresstände über die vorgesehenen Exportfunktionen herunterladen.
Nach dem wirksamen Vertragsende hält GAV-Rapport operative Rapport-, Arbeitszeit- und zugehörige Stammdaten während 60 Kalendertagen ausschliesslich für einen Export auf Anfrage durch eine berechtigte Person bereit. Nach Ablauf dieser Frist werden sie nach einem dokumentierten manuellen Verfahren gelöscht oder anonymisiert.
Gesetzlich erforderliche Vertrags-, Abrechnungs-, Zahlungs-, Zustimmungs- und Sicherheitsnachweise sowie Daten zur Geltendmachung oder Abwehr von Ansprüchen können zweckgebunden länger aufbewahrt werden. Der Kunde ist für den rechtzeitigen Export und seine eigene gesetzliche oder vertragliche Archivierung verantwortlich.
Pflichten des Kunden
Der Kunde stellt sicher, dass die Bearbeitung rechtmässig ist, seine Weisungen zulässig sind und betroffene Personen transparent informiert werden. Er verwaltet Berechtigungen sorgfältig, schützt Zugangsdaten, prüft erfasste Daten und Exporte und erfüllt seine Pflichten gegenüber Mitarbeitenden, Behörden und Kontrollorganen. Besondere gesetzliche oder vertragliche Geheimhaltungspflichten teilt er GAV-Rapport vor der Bearbeitung mit.
Rangfolge und Änderungen
Bei Widersprüchen zu den Nutzungsbedingungen geht diese AVV für Fragen der Auftragsbearbeitung vor. Änderungen erhalten einen neuen Versionsstand und werden nicht rückwirkend in die unveränderliche Archivfassung dieses Dokumentsets eingearbeitet. Wesentliche Änderungen werden bestehenden Kunden angemessen kommuniziert.