Auftrags­verarbeitungs­vertrag

Worum es geht

Auf Ihrer Website können Menschen Anfragen senden und Termine buchen. Dabei entstehen personenbezogene Daten. Diese Daten gehören Ihnen: Sie entscheiden, was damit geschieht. Wir verarbeiten sie nur in Ihrem Auftrag. Dieser Vertrag hält fest, wie wir das tun. Er gilt zusammen mit unseren AGB, sobald Ihr Abonnement beginnt.

Sie sind verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Schweizer Datenschutzgesetzes. Closelift c/o T. Lutz, Färberstrasse 17, 4057 Basel, Schweiz, ist Auftragsverarbeiter.

Welche Daten wir für Sie verarbeiten

Anfragen über Ihr Kontaktformular: Name, Telefonnummer, E-Mail-Adresse, Nachricht und was die anfragende Person sonst freiwillig angibt.

Terminbuchungen und Terminanfragen: Name, Telefonnummer, E-Mail-Adresse, gewünschte Leistung, Datum und Uhrzeit, Nachricht.

Inhalte Ihrer Website, soweit sie Personen nennen: etwa Kundenstimmen mit Namen oder die Namen Ihres Teams, die Sie dort veröffentlicht haben.

Besuche Ihrer Website, für die Besucherstatistik in Ihrem Kundenkonto: Tag, aufgerufene Seite, Herkunft (etwa eine Suchmaschine, nie die vollständige Adresse der verweisenden Seite) und ein Kurzwert, den wir aus IP-Adresse und Browserkennung bilden, um die Besucher eines Tages zu unterscheiden. Sein Schlüssel wechselt täglich und wird nicht aufbewahrt; IP-Adresse und Browserkennung speichern wir nicht. Besucher, deren Browser ein Widerspruchssignal sendet (Global Privacy Control oder Do Not Track), zählen wir nicht.

Betroffen sind damit vor allem Ihre Kundinnen und Kunden, Interessenten, die Besucher Ihrer Website und Ihr Team.

Wofür wir sie verarbeiten

Ausschliesslich dafür, Ihre Website zu betreiben: Anfragen und Buchungen entgegennehmen, sie Ihnen zustellen, Bestätigungen und Absagen versenden und die Daten für Sie bereithalten. Dazu gehört, in Ihrem Namen E-Mails an die Person zu senden, die einen Termin gebucht hat, etwa Bestätigungen, Absagen und Erinnerungen, und Ihnen in Ihrem Kundenkonto zu zeigen, wie viele Menschen Ihre Website besuchen und woher sie kommen.

Wir verarbeiten diese Daten nur auf Ihre dokumentierte Weisung, auch was Übermittlungen ins Ausland betrifft. Dieser Vertrag mit den unten genannten Unterauftragsverarbeitern ist eine solche Weisung. Wenn wir eine Weisung für rechtswidrig halten, sagen wir Ihnen das und dürfen die Umsetzung aussetzen. Wir nutzen die Daten nicht für eigene Zwecke, geben sie nicht weiter und verkaufen sie nicht.

Wie lange

Anfragen und Buchungen bewahren wir 24 Monate nach dem Termin beziehungsweise nach Eingang auf, damit Sie nachsehen können, wer sich bei Ihnen gemeldet hat. Danach löschen wir sie automatisch. Wünschen Sie eine frühere Löschung, genügt eine Nachricht. Die Besucherstatistik löschen wir nach 13 Monaten.

Von allen Daten legen wir täglich eine Sicherung an und bewahren sie 90 Tage auf. Ein gelöschter Eintrag ist in diesen Sicherungen bis zu deren Ablauf noch enthalten. Wir verwenden sie nur, um Daten nach einem Fehler wiederherzustellen.

Endet Ihr Abonnement, löschen wir die Daten 30 Tage danach. Auf Wunsch geben wir Ihnen Ihre Anfragen und Buchungen vorher als Datei heraus. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Wer sonst daran arbeitet

Wir setzen Unterauftragsverarbeiter ein. Sie stimmen ihrem Einsatz zu:

Cloudflare, Inc. (USA): Betrieb der Website, Speicherung der Anfragen, der Buchungen und der Besucherstatistik, Versand der Benachrichtigungen. Buchungen aus der Online-Terminvergabe speichert Cloudflare in Rechenzentren in der EU. Alle übrigen Daten liegen in Cloudflares weltweitem Netz und können auch ausserhalb Europas verarbeitet werden. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag; für Übermittlungen in die USA gelten die Standardvertragsklauseln der EU-Kommission.

Resend (USA): nur als Ersatzweg, falls wir den E-Mail-Versand von Cloudflare dorthin umstellen müssen. Im Normalbetrieb erhält Resend keine Daten. Ebenfalls mit Auftragsverarbeitungsvertrag und Standardvertragsklauseln.

Anthropic, PBC (USA): Wenn Sie Ihre Website über den KI-Assistenten ändern, erhält Anthropic Ihren Änderungswunsch und die aktuellen Texte Ihrer Website, damit die Änderung formuliert werden kann. Anfragen und Buchungen gelangen nie dorthin. Ändern Sie Ihre Website über die Formulare im Kundenkonto, ist Anthropic nicht beteiligt.

GitHub, Inc. (USA): bewahrt die Quelldateien Ihrer Website in einem privaten Repository auf, damit jede Fassung nachvollziehbar und wiederherstellbar ist, führt die Änderungen an Ihrer Website aus und wandelt Videos, die Sie hochladen, in ein Format um, das alle Browser abspielen. Auch dort liegen nur die Inhalte Ihrer Website, keine Anfragen und Buchungen.

Blacksmith Software, Inc. (USA): stellt die Rechner, auf denen GitHub die Änderungen an Ihrer Website ausführt und Ihre Videos umwandelt. Verarbeitet werden dabei die Inhalte Ihrer Website; ein Video liegt dort nur, solange es umgewandelt wird. Die Rechner halten ausserdem den Zugang, mit dem die geänderte Website veröffentlicht wird.

Hetzner Online GmbH (Deutschland): bewahrt eine Kopie unserer täglichen Sicherungen und der Fotos und Videos, die Sie für Ihre Website hochgeladen haben, in Rechenzentren in Deutschland auf. Die Kopie läuft über einen Rechner, den GitHub bereitstellt; dort wird sie nur durchgereicht, nicht gespeichert. Gelöschte Fotos und Videos entfernen wir dort nach 90 Tagen. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag.

Mit Anthropic, GitHub und Blacksmith besteht ein Auftragsverarbeitungsvertrag oder eine gleichwertige Vereinbarung; für Übermittlungen in die USA gelten die Zertifizierung nach dem EU-US- und dem Swiss-US Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission.

Wenn wir einen weiteren Unterauftragsverarbeiter einsetzen oder wechseln wollen, informieren wir Sie mindestens vier Wochen vorher. Sie können widersprechen; in diesem Fall können Sie ausserordentlich kündigen.

Nicht Teil dieses Vertrags: Zahlungen laufen über Stripe. Dort sind wir selbst verantwortlich, nicht Ihr Auftragsverarbeiter.

Wie wir die Daten schützen

Übertragung nur verschlüsselt (TLS). Cloudflare speichert die Daten verschlüsselt.

Zugriff nur für Personen, die ihn für ihre Arbeit brauchen. Öffnen wir für den Support Ihr Kundenkonto, dann mit Angabe des Grundes, für höchstens 45 Minuten und zunächst nur lesend. Jeden solchen Zugriff sehen Sie in den Einstellungen Ihres Kundenkontos; das Protokoll bewahren wir 24 Monate auf.

Sie erreichen Ihre Anfragen und Buchungen über Ihr Kundenkonto, mit Anmeldung per Einmal-Code an Ihre E-Mail-Adresse. Neue Anfragen und Buchungen senden wir Ihnen zusätzlich per E-Mail an die Adresse, die Sie bestätigt haben. Solange keine Adresse bestätigt ist, gehen sie an uns, damit nichts verloren geht.

Trennung der Daten verschiedener Kunden durch getrennte Kennungen je Website.

Löschfristen sind technisch hinterlegt und laufen automatisch ab.

Wir passen diese Massnahmen an den Stand der Technik an; das Schutzniveau senken wir dabei nicht.

Wenn etwas passiert

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir Sie unverzüglich und unterstützen Sie bei Ihren Meldepflichten.

Wenn jemand seine Rechte geltend macht

Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an Sie weiter und antworten nicht selbst.

Wir unterstützen Sie dabei, Auskunft zu erteilen, Daten zu berichtigen, zu löschen oder herauszugeben. Für Anfragen in üblichem Umfang berechnen wir dafür nichts.

Wir unterstützen Sie auch bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde.

Kontrolle

Sie dürfen prüfen, ob wir diesen Vertrag einhalten. Wir geben Ihnen dazu die nötigen Auskünfte. Eine Prüfung vor Ort kündigen Sie bitte mit angemessener Frist an und führen sie so durch, dass der Betrieb nicht gestört wird.

Vertraulichkeit

Alle Personen, die für uns Zugang zu diesen Daten haben, sind zur Vertraulichkeit verpflichtet. Diese Pflicht gilt auch nach Ende der Zusammenarbeit weiter.

Sprache

Für Verträge, die auf Englisch geschlossen werden, gilt die englische Fassung dieses Vertrags, für Verträge, die auf Deutsch geschlossen werden, die deutsche Fassung.