Rechtliches
Auftragsbearbeitungsvereinbarung (AVV)
Stand: 19.09.2026 · Version 1.1
1. Parteien und Gegenstand
Diese Auftragsbearbeitungsvereinbarung ergänzt die AGB zwischen Etienne Pascal Wehrle, Sonneggstrasse 2, 8638 Goldingen, Schweiz («Auftragsbearbeiter») und dem die Plattform nutzenden Betrieb («Verantwortlicher»).
Der Auftragsbearbeiter verarbeitet Personendaten ausschliesslich zur Bereitstellung, Wartung, Absicherung und Weiterentwicklung der Rudelplan-Plattform nach dokumentierten Weisungen des Verantwortlichen, soweit gesetzliche Pflichten keine abweichende Verarbeitung verlangen.
2. Art, Zweck und Dauer
Die Verarbeitung umfasst insbesondere Speichern, Abrufen, Übermitteln, Strukturieren, Protokollieren, Sichern und Löschen von Daten zur Verwaltung von Haltern, Tieren, Buchungen, Anwesenheiten, Tagesprotokollen, Rechnungen, Zahlungen, Dokumenten, Einladungen und öffentlichen Anfragen.
Die Dauer richtet sich nach dem Hauptvertrag sowie nach gesetzlichen Aufbewahrungs- und Sicherheitsanforderungen. Nach Vertragsende gelten die Regelungen zu schreibgeschütztem Zugriff, Export, Löschung und Sicherungskopien.
3. Kategorien von Daten und betroffenen Personen
Betroffene Personen können insbesondere Betriebsinhaber, Mitarbeitende, Teammitglieder, Hundehalter, Notfallkontakte und Personen aus öffentlichen Anfragen sein.
Kategorien: Identifikations- und Kontaktdaten, Vertrags- und Kommunikationsdaten, Buchungs- und Anwesenheitsdaten, Rechnungs- und Zahlungsdaten, Dokumentmetadaten, technische Protokolldaten. Angaben zu Allergien, Medikamenten oder Verhalten von Tieren können im betrieblichen Kontext besonders schutzbedürftig sein und werden entsprechend vertraulich behandelt.
4. Pflichten des Verantwortlichen
Der Verantwortliche stellt sicher, dass er die Daten rechtmässig verarbeitet, betroffene Personen informiert, nur erforderliche Daten erfasst und Weisungen nachvollziehbar erteilt. Er bleibt für die inhaltliche Richtigkeit von Daten, Rechnungen, Protokollen und Kommunikation mit Hundehaltern verantwortlich.
5. Pflichten des Auftragsbearbeiters
Der Auftragsbearbeiter verarbeitet Daten nur im vereinbarten Rahmen, verpflichtet berechtigte Personen zur Vertraulichkeit, unterstützt den Verantwortlichen angemessen bei Betroffenenrechten und Datenschutzverletzungen und trifft angemessene technische und organisatorische Massnahmen.
6. Technische und organisatorische Massnahmen (TOMs)
Rudelplan setzt insbesondere rollenbasierte Zugriffe, Mandantentrennung auf Datenebene, Authentifizierung, verschlüsselte Übertragung, Audit-Protokollierung sicherheitsrelevanter Vorgänge, Sicherungskopien und geregelte Berechtigungsvergabe ein. Die produktiven Datenbank- und Dateiablagedaten werden derzeit bei Supabase in Stockholm, Schweden, verarbeitet. Täglich erstellte, verschlüsselte Sicherungen von Datenbank und Dateiablagen werden getrennt im privaten Exoscale-Objektspeicher in Zürich, Schweiz, abgelegt. Die Sicherungen sind mindestens 35 Tage gegen Veränderung geschützt. Die Massnahmen werden fortlaufend am tatsächlichen Produktionsbetrieb überprüft und weiterentwickelt.
7. Unterauftragsbearbeiter
Der Verantwortliche genehmigt folgende Unterauftragsbearbeiter:
- Supabase für Datenbank, Authentifizierung und private Dateiablage; primärer Projektstandort derzeit Stockholm, Schweden;
- Vercel für Hosting und Auslieferung der Webanwendung; Verarbeitung nach dem mit Vercel vereinbarten Leistungsumfang;
- Exoscale für den getrennten, verschlüsselten Backup-Objektspeicher in Zürich, Schweiz;
- GitHub für die automatisierte Ausführung und isolierte Prüfung des Backup-Prozesses. Ein kurzlebiger GitHub-Runner kann das Sicherungsarchiv während der Ausführung verarbeiten; die dafür geltenden Datenübermittlungsgrundlagen werden vor der produktiven Pilotphase abschliessend geprüft;
- Resend für E-Mail-Zustellung, sobald dieser Dienst aktiviert ist;
- Webland für Domainverwaltung und E-Mail-Dienste, sobald diese Dienste eingerichtet sind;
- Stripe für die Zahlungsabwicklung eines kostenpflichtigen Rudelplan-Abonnements. Stripe erhält hierfür nur die erforderlichen Kontaktdaten und Abrechnungsinformationen, nicht die operativen Hundehalter-, Tier- oder Buchungsdaten.
Der Auftragsbearbeiter informiert den Verantwortlichen vor wesentlichen Änderungen in Textform. Der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen innerhalb von 30 Tagen widersprechen; die Parteien suchen dann eine angemessene Lösung.
8. Datenschutzverletzungen und Unterstützung
Der Auftragsbearbeiter informiert den Verantwortlichen ohne unangemessene Verzögerung über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, soweit sie Daten des Verantwortlichen betreffen, und stellt die vernünftigerweise verfügbaren Informationen bereit.
9. Rückgabe und Löschung
Der Verantwortliche kann vor Vertragsende und während der 30-tägigen Exportfrist Daten exportieren. Nach Ablauf der Exportfrist löscht oder anonymisiert der Auftragsbearbeiter operative Betriebsdaten in einem wiederholbaren Löschprozess, sofern keine gesetzlichen Pflichten entgegenstehen und der Betrieb nicht wirksam reaktiviert wurde. Sicherungskopien werden nach ihrem technischen Aufbewahrungszyklus bereinigt und nicht zwangsläufig sofort gelöscht; sie sind derzeit mindestens 35 Tage gegen Veränderung geschützt.
10. Kontrollrechte
Der Verantwortliche darf die Einhaltung dieser Vereinbarung in angemessenem Umfang prüfen oder durch unabhängige Prüfer prüfen lassen, soweit dies den Betrieb und die Sicherheit anderer Kunden nicht unverhältnismässig beeinträchtigt. Geeignete Nachweise, Berichte oder Zertifikate können eine Vor-Ort-Prüfung ersetzen.
11. Schlussbestimmungen
Bei Widersprüchen geht diese AVV datenschutzrechtlichen Regelungen in den AGB vor. Ergänzungen bedürfen der Textform. Es gilt Schweizer Recht. Gerichtsstand ist St. Gallen, soweit zwingendes Recht keinen anderen Gerichtsstand vorsieht.