Passly

Auftragsverarbeitungsvertrag (AVV)

Version 1.3 · Stand: 11. August 2026

Dieser Auftragsverarbeitungsvertrag (AVV) ist Bestandteil der AGB und regelt die Bearbeitung von Personendaten, die der Kunde als verantwortliche Stelle im Rahmen der Nutzung von Passly durch den Anbieter (Passly) als Auftragsbearbeiter bearbeiten lässt. Massgebend sind das Schweizer Datenschutzgesetz (DSG) und die Datenschutzverordnung (DSV) sowie, soweit im Einzelfall anwendbar, die DSGVO.

1. Gegenstand, Art & Zweck der Bearbeitung

Gegenstand ist der Betrieb digitaler Stempelkarten für die Endkunden des Kunden: Ausstellung und Aktualisierung der Karten im Wallet, Erfassen von Stempeln und Einlösungen, wiederholtes Erkennen der Karte bei NFC-/Link-Registrierung, Wiederherstellung verlorener Karten, Versand von Push-Benachrichtigungen (Karten-Updates und Angebots-Mitteilungen des Kunden) sowie aggregierte Auswertungen für den Kunden. Die Bearbeitung umfasst das Erheben, Speichern, Verändern, Auswerten und Löschen dieser Daten.

2. Datenkategorien & betroffene Personen

Betroffene Personen sind die Endkunden (Karteninhaber) des Kunden. Bearbeitet werden:

Besonders schützenswerte Personendaten werden nicht bearbeitet und dürfen vom Kunden auch nicht in die Plattform eingebracht werden.

3. Dauer

Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Löschung und Vertraulichkeit bestehen darüber hinaus fort.

4. Weisungsgebundenheit

Der Anbieter bearbeitet die Daten ausschliesslich im Rahmen der vertraglich vereinbarten Funktionen und der dokumentierten Weisungen des Kunden. Er verwendet die Endkundendaten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, ausgenommen die unten genannten Unterauftragsbearbeiter oder soweit eine gesetzliche Pflicht besteht (darüber informiert er den Kunden, soweit zulässig). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden.

Der Kunde bleibt verantwortlich für die rechtmässige Erhebung, Nutzung und Kommunikation gegenüber seinen Endkunden sowie dafür, dass eine ausreichende Rechtsgrundlage für die Bearbeitung der Daten besteht.

5. Vertraulichkeit

Der Anbieter stellt sicher, dass alle mit der Bearbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind und Zugriff nur erhalten, soweit dies für ihre Aufgaben erforderlich ist.

6. Technische & organisatorische Massnahmen (TOM)

Der Anbieter trifft insbesondere folgende Massnahmen (Art. 8 DSG, Art. 1 bis 6 DSV):

Die beschriebenen technischen und organisatorischen Massnahmen stellen den aktuellen Sicherheitsstandard des Anbieters dar und können aufgrund technischer Entwicklungen angepasst werden, sofern das angemessene Datenschutzniveau erhalten bleibt. Eine absolute Sicherheit gegen sämtliche Risiken kann nicht garantiert werden.

7. Unterauftragsbearbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsbearbeiter:

Der Anbieter verpflichtet Unterauftragsbearbeiter auf ein vergleichbares Datenschutzniveau. Über beabsichtigte Änderungen am Kreis der Unterauftragsbearbeiter informiert der Anbieter den Kunden vorgängig in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Anbieter sucht in diesem Fall gemeinsam mit dem Kunden nach einer Lösung.

Bekanntgabe ins Ausland: Die Kerndaten werden in der EU gespeichert. Übermittlungen in die USA (Apple, Google, Vercel, Resend) stützen sich auf das Data Privacy Framework Schweiz/USA oder auf die vom EDÖB anerkannten Standardvertragsklauseln.

8. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden angemessen bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe) sowie bei der Einhaltung der Pflichten zur Datensicherheit und zu Meldungen von Datenschutzverletzungen. Die Löschung einzelner Endkunden ist als Funktion im Dashboard verfügbar: Die Personendaten werden dabei gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen, und die Karte wird im Wallet als ungültig markiert. In technischen Sicherungskopien werden die Daten im Rahmen der regulären Backup-Zyklen überschrieben.

9. Meldung von Datenschutzverletzungen

Der Anbieter informiert den Kunden unverzüglich, sobald ihm eine Verletzung der Datensicherheit bei den im Auftrag bearbeiteten Personendaten bekannt wird, und stellt ihm die für eine allfällige Meldung an den EDÖB bzw. an betroffene Personen erforderlichen Informationen zur Verfügung.

10. Löschung & Rückgabe

Nach Beendigung des Hauptvertrags löscht der Anbieter die im Auftrag bearbeiteten Personendaten innert 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch stellt er dem Kunden vorher einen Export der Daten in einem gängigen Format zur Verfügung.

11. Nachweis & Kontrolle

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung (insbesondere zu TOM und Unterauftragsbearbeitern). Weitergehende Kontrollen erfolgen nach vorheriger Abstimmung und in einer Form, die den Betrieb nicht unverhältnismässig beeinträchtigt.

12. Kontakt

Datenschutzanfragen richtest du an team@getpassly.ch.