Auftragsverarbeitungsvertrag (AVV)
Version 1.3 · Stand: 11. August 2026
Dieser Auftragsverarbeitungsvertrag (AVV) ist Bestandteil der AGB und regelt die Bearbeitung von Personendaten, die der Kunde als verantwortliche Stelle im Rahmen der Nutzung von Passly durch den Anbieter (Passly) als Auftragsbearbeiter bearbeiten lässt. Massgebend sind das Schweizer Datenschutzgesetz (DSG) und die Datenschutzverordnung (DSV) sowie, soweit im Einzelfall anwendbar, die DSGVO.
1. Gegenstand, Art & Zweck der Bearbeitung
Gegenstand ist der Betrieb digitaler Stempelkarten für die Endkunden des Kunden: Ausstellung und Aktualisierung der Karten im Wallet, Erfassen von Stempeln und Einlösungen, wiederholtes Erkennen der Karte bei NFC-/Link-Registrierung, Wiederherstellung verlorener Karten, Versand von Push-Benachrichtigungen (Karten-Updates und Angebots-Mitteilungen des Kunden) sowie aggregierte Auswertungen für den Kunden. Die Bearbeitung umfasst das Erheben, Speichern, Verändern, Auswerten und Löschen dieser Daten.
2. Datenkategorien & betroffene Personen
Betroffene Personen sind die Endkunden (Karteninhaber) des Kunden. Bearbeitet werden:
- Identifikationsdaten zur Identifikation und Kartenwiederherstellung (z. B. Vorname, Nachname und optional weitere Identifikationsmerkmale wie Geburtsdatum)
- Stempel- und Einlösedaten (Anzahl, Zeitpunkte, Programm)
- Geräte-Push-Token und Kartennummer (Zustellung von Wallet-Updates)
Besonders schützenswerte Personendaten werden nicht bearbeitet und dürfen vom Kunden auch nicht in die Plattform eingebracht werden.
3. Dauer
Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Löschung und Vertraulichkeit bestehen darüber hinaus fort.
4. Weisungsgebundenheit
Der Anbieter bearbeitet die Daten ausschliesslich im Rahmen der vertraglich vereinbarten Funktionen und der dokumentierten Weisungen des Kunden. Er verwendet die Endkundendaten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, ausgenommen die unten genannten Unterauftragsbearbeiter oder soweit eine gesetzliche Pflicht besteht (darüber informiert er den Kunden, soweit zulässig). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden.
Der Kunde bleibt verantwortlich für die rechtmässige Erhebung, Nutzung und Kommunikation gegenüber seinen Endkunden sowie dafür, dass eine ausreichende Rechtsgrundlage für die Bearbeitung der Daten besteht.
5. Vertraulichkeit
Der Anbieter stellt sicher, dass alle mit der Bearbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind und Zugriff nur erhalten, soweit dies für ihre Aufgaben erforderlich ist.
6. Technische & organisatorische Massnahmen (TOM)
Der Anbieter trifft insbesondere folgende Massnahmen (Art. 8 DSG, Art. 1 bis 6 DSV):
- Verschlüsselung sämtlicher Verbindungen (TLS/HTTPS)
- Zugriffsbeschränkung über Authentifizierung, Rollen (RBAC) und Row Level Security auf Datenbankebene
- Autorisierungsprüfung auf jeder Schnittstelle; Mandantentrennung nach Betrieb
- Rate Limiting und weitere Schutzmechanismen an der API
- kryptografische Verifikation von NFC-Registrierungen (Schutz vor Kopien und Replay)
- Protokollierung sicherheitsrelevanter und administrativer Aktionen (Audit-Log)
- regelmässige Backups; Zugangsdaten und Zertifikate werden ausschliesslich in gesicherten Umgebungsvariablen verwaltet
Die beschriebenen technischen und organisatorischen Massnahmen stellen den aktuellen Sicherheitsstandard des Anbieters dar und können aufgrund technischer Entwicklungen angepasst werden, sofern das angemessene Datenschutzniveau erhalten bleibt. Eine absolute Sicherheit gegen sämtliche Risiken kann nicht garantiert werden.
7. Unterauftragsbearbeiter
Der Kunde genehmigt den Einsatz folgender Unterauftragsbearbeiter:
- Supabase: Datenbank, Authentifizierung & Datei-Speicher (Rechenzentrum in der EU)
- Railway: Hosting der Backend-Infrastruktur (EU)
- Vercel: Hosting der Web-Anwendung (USA/EU)
- Apple: Apple Wallet & Push-Benachrichtigungen via APNs (USA)
- Google: Google Wallet, Speicherung und Aktualisierung der Stempelkarte auf Android-Geräten (USA)
- Resend: E-Mail-Versand für Konto-Mitteilungen (USA)
- Sentry: Erfassung technischer Fehlermeldungen zum Betrieb der Anwendung (Rechenzentrum in der EU)
Der Anbieter verpflichtet Unterauftragsbearbeiter auf ein vergleichbares Datenschutzniveau. Über beabsichtigte Änderungen am Kreis der Unterauftragsbearbeiter informiert der Anbieter den Kunden vorgängig in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Anbieter sucht in diesem Fall gemeinsam mit dem Kunden nach einer Lösung.
Bekanntgabe ins Ausland: Die Kerndaten werden in der EU gespeichert. Übermittlungen in die USA (Apple, Google, Vercel, Resend) stützen sich auf das Data Privacy Framework Schweiz/USA oder auf die vom EDÖB anerkannten Standardvertragsklauseln.
8. Unterstützung des Kunden
Der Anbieter unterstützt den Kunden angemessen bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe) sowie bei der Einhaltung der Pflichten zur Datensicherheit und zu Meldungen von Datenschutzverletzungen. Die Löschung einzelner Endkunden ist als Funktion im Dashboard verfügbar: Die Personendaten werden dabei gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen, und die Karte wird im Wallet als ungültig markiert. In technischen Sicherungskopien werden die Daten im Rahmen der regulären Backup-Zyklen überschrieben.
9. Meldung von Datenschutzverletzungen
Der Anbieter informiert den Kunden unverzüglich, sobald ihm eine Verletzung der Datensicherheit bei den im Auftrag bearbeiteten Personendaten bekannt wird, und stellt ihm die für eine allfällige Meldung an den EDÖB bzw. an betroffene Personen erforderlichen Informationen zur Verfügung.
10. Löschung & Rückgabe
Nach Beendigung des Hauptvertrags löscht der Anbieter die im Auftrag bearbeiteten Personendaten innert 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch stellt er dem Kunden vorher einen Export der Daten in einem gängigen Format zur Verfügung.
11. Nachweis & Kontrolle
Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung (insbesondere zu TOM und Unterauftragsbearbeitern). Weitergehende Kontrollen erfolgen nach vorheriger Abstimmung und in einer Form, die den Betrieb nicht unverhältnismässig beeinträchtigt.
12. Kontakt
Datenschutzanfragen richtest du an team@getpassly.ch.