Zum Inhalt springen
Passly

Auftragsverarbeitungsvertrag (AVV)

Version 1.10 · Stand: 23. Oktober 2026

Dieser Auftragsverarbeitungsvertrag (AVV) ist Bestandteil der AGB und regelt die Bearbeitung von Personendaten, die der Geschäftskunde als verantwortliche Stelle im Rahmen der Nutzung von Passly durch den Anbieter (Passly) als Auftragsbearbeiter bearbeiten lässt. Massgebend sind das Schweizer Datenschutzgesetz (DSG) und die Datenschutzverordnung (DSV) sowie, soweit im Einzelfall anwendbar, die DSGVO.

Begriffe: «Geschäftskunde» ist der Betrieb, der Passly aufgrund der AGB für sein Treueprogramm nutzt. «Karteninhaber» sind dessen Gäste, also die Personen, die eine digitale Stempelkarte dieses Betriebs im Wallet haben. «Anbieter» ist Passly.

1. Gegenstand, Art & Zweck der Bearbeitung

Gegenstand ist der Betrieb digitaler Stempelkarten für die Karteninhaber des Geschäftskunden: Ausstellung und Aktualisierung der Karten im Wallet, Erfassen von Stempeln und Einlösungen, wiederholtes Erkennen der Karte bei NFC-/Link-Registrierung, Wiederherstellung verlorener Karten, Versand von Push-Benachrichtigungen (Karten-Updates sowie Angebots-Mitteilungen des Geschäftskunden, auf dessen Einrichtung hin auch automatisch ausgelöst durch Stempelstand, Besuchsverlauf oder Geburtsdatum; dazu wertet der Anbieter Abstände und Uhrzeiten der Besuche je Karteninhaber aus und bestimmt daraus Anlass und Versandzeitpunkt; dazu Direktnachrichten des Geschäftskunden an einzelne Karteninhaber), Benachrichtigungen an Geräte des Geschäftskunden, sofern er sie einrichtet, über Ereignisse wie eine neue Stempelkarte oder eine erreichte Belohnung, das Programm «Freunde einladen», sofern der Geschäftskunde es einschaltet (Zuordnung neuer Karten zum Link eines Karteninhabers; Prüfung beim ersten Besuch, ob die eingeladene Person neu ist, durch Abgleich von Name und Geburtsdatum mit früheren Karten, früheren Einladungen und der Geräte-Kennung von Apple Wallet; Gutschrift der Stempel für die einladende und die eingeladene Person nach festen Regeln und der Wahl des Geschäftskunden), Wiedererkennen der Karte über einen Geräteschlüssel (Face ID, Touch ID oder Fingerabdruck), sofern der Karteninhaber ihn einrichtet, Erkennung von Missbrauch sowie aggregierte Auswertungen für den Geschäftskunden, auch zur Kundenbindung (dazu wertet der Anbieter den Besuchsverlauf je Karteninhaber aus, etwa Wiederkehr, Abstände zwischen Besuchen und die Einordnung nach dem eigenen Besuchsrhythmus, und zeigt dem Geschäftskunden davon nur Summen und Anteile ab einer Mindestzahl von Personen). Die Bearbeitung umfasst das Erheben, Speichern, Verändern, Auswerten und Löschen dieser Daten.

2. Datenkategorien & betroffene Personen

Betroffene Personen sind die Karteninhaber des Geschäftskunden. Bearbeitet werden:

Besonders schützenswerte Personendaten werden nicht bearbeitet und dürfen vom Geschäftskunden auch nicht in die Plattform eingebracht werden, insbesondere nicht in Notizen.

3. Dauer

Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Löschung und Vertraulichkeit bestehen darüber hinaus fort.

4. Weisungsgebundenheit

Der Anbieter bearbeitet die Daten ausschliesslich im Rahmen der vertraglich vereinbarten Funktionen und der dokumentierten Weisungen des Geschäftskunden. Er verwendet die Daten der Karteninhaber nicht für eigene Zwecke, ausser für Betrieb, Sicherheit und Support der Plattform nach dem folgenden Absatz, und gibt sie nicht an Dritte weiter, ausgenommen die unten genannten Unterauftragsbearbeiter oder soweit eine gesetzliche Pflicht besteht (darüber informiert er den Geschäftskunden, soweit zulässig). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Geschäftskunden.

Zugriff des Anbieters: Der Anbieter sieht die Daten der Karteninhaber in seinem Administrationsbereich mit Namen, auch betriebsübergreifend, etwa als Übersicht der Karteninhaber mit den meisten Stempeln. Er nutzt diesen Zugriff ausschliesslich, um Anfragen von Geschäftskunden und Karteninhabern zuzuordnen und zu lösen, Fehler zu beheben, ungewöhnliche Stempelmuster und Missbrauch zu erkennen und die Funktion der Plattform zu prüfen. Die Übersicht ist nur dem Anbieter zugänglich, wird nicht an Dritte oder andere Geschäftskunden weitergegeben und nicht für Werbung verwendet.

Der Geschäftskunde bleibt verantwortlich für die rechtmässige Erhebung, Nutzung und Kommunikation gegenüber seinen Karteninhabern sowie dafür, dass eine ausreichende Rechtsgrundlage für die Bearbeitung der Daten besteht.

5. Vertraulichkeit

Der Anbieter stellt sicher, dass alle mit der Bearbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind und Zugriff nur erhalten, soweit dies für ihre Aufgaben erforderlich ist.

6. Technische & organisatorische Massnahmen (TOM)

Der Anbieter trifft insbesondere folgende Massnahmen (Art. 8 DSG, Art. 1 bis 6 DSV):

Die beschriebenen technischen und organisatorischen Massnahmen stellen den aktuellen Sicherheitsstandard des Anbieters dar und können aufgrund technischer Entwicklungen angepasst werden, sofern das angemessene Datenschutzniveau erhalten bleibt. Eine absolute Sicherheit gegen sämtliche Risiken kann nicht garantiert werden.

7. Unterauftragsbearbeiter

Der Geschäftskunde genehmigt den Einsatz folgender Unterauftragsbearbeiter:

Der Anbieter verpflichtet Unterauftragsbearbeiter auf ein vergleichbares Datenschutzniveau. Über beabsichtigte Änderungen am Kreis der Unterauftragsbearbeiter informiert der Anbieter den Geschäftskunden mindestens 30 Tage vorher in Textform; der Geschäftskunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Anbieter sucht in diesem Fall gemeinsam mit dem Geschäftskunden nach einer Lösung. Gelingt das nicht, kann der Geschäftskunde den Vertrag auf den Zeitpunkt der Änderung kündigen; bereits bezahlte Entgelte für die Zeit danach erhält er anteilig zurück.

Bekanntgabe ins Ausland: Die Kerndaten werden in der EU gespeichert. Übermittlungen in die USA (Apple, Google, Vercel, Resend, GitHub, Push-Dienste der Browser) stützen sich auf das Data Privacy Framework Schweiz/USA, soweit der Empfänger zertifiziert ist, sonst auf die vom EDÖB anerkannten Standardvertragsklauseln (Art. 16 DSG).

8. Unterstützung des Geschäftskunden

Der Anbieter unterstützt den Geschäftskunden angemessen bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe) sowie bei der Einhaltung der Pflichten zur Datensicherheit und zu Meldungen von Datenschutzverletzungen. Die Löschung einzelner Karteninhaber ist als Funktion im Dashboard verfügbar: Die Personendaten werden dabei gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen, und die Karte wird im Wallet als ungültig markiert. Aus den Sicherungskopien verschwinden die Daten spätestens nach 90 Tagen.

9. Meldung von Datenschutzverletzungen

Der Anbieter informiert den Geschäftskunden so rasch wie möglich, spätestens 48 Stunden nachdem ihm eine Verletzung der Datensicherheit bei den im Auftrag bearbeiteten Personendaten bekannt wird, und stellt ihm die für eine allfällige Meldung an den EDÖB bzw. an betroffene Personen erforderlichen Informationen zur Verfügung.

10. Löschung & Rückgabe

Nach Beendigung des Hauptvertrags löscht der Anbieter die im Auftrag bearbeiteten Personendaten innert 30 Tagen, aus den Sicherungskopien spätestens nach 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch stellt er dem Geschäftskunden vorher einen Export der Daten in einem gängigen Format (CSV) zur Verfügung und bestätigt die Löschung in Textform.

11. Nachweis & Kontrolle

Der Anbieter stellt dem Geschäftskunden auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung (insbesondere zu TOM und Unterauftragsbearbeitern). Weitergehende Kontrollen erfolgen nach vorheriger Abstimmung und in einer Form, die den Betrieb nicht unverhältnismässig beeinträchtigt.

12. Kontakt

Datenschutzanfragen richtest du an team@getpassly.ch.