Auftragsverarbeitungsvertrag (AVV)

Auftraggeber (Verantwortlicher): Das jeweilige Unternehmen (Salon, Coiffeur, Studio), das Velora nutzt und hiernach als „Auftraggeber" bezeichnet wird.

Auftragnehmer (Auftragsverarbeiter):
Velora
Jakob-Oesch-Str. 1
9453 Eichberg, Schweiz
E-Mail: support@velora-termine.com
(nachfolgend „Velora")

Dieser AVV regelt die Auftragsverarbeitung personenbezogener Daten durch Velora im Rahmen der Bereitstellung der SaaS-Buchungssoftware „Velora" (nachfolgend „Dienst").

Der AVV gilt für die gesamte Laufzeit des Hauptvertrags (Abonnementvertrag) und endet automatisch mit dessen Beendigung.

Art der Daten: Name, E-Mail-Adresse, Telefonnummer, Termindaten, Notizen zu Kunden.

Kategorien betroffener Personen: Kunden des Auftraggebers (Endkunden, die über die Buchungsseite Termine buchen).

Zweck der Verarbeitung: Verwaltung von Terminen, Benachrichtigungen, Kundenprofilen und Betrieb der Buchungssoftware im Auftrag des Auftraggebers.

Velora verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten;
• Vertraulichkeit der verarbeiteten Daten sicherzustellen und alle Mitarbeitenden zur Vertraulichkeit zu verpflichten;
• geeignete technische und organisatorische Massnahmen (TOMs) gemäss Art. 32 DSGVO umzusetzen (TLS-Verschlüsselung, Zugangskontrollen, regelmässige Backups);
• weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nur mit schriftlicher Genehmigung des Auftraggebers einzusetzen;
• den Auftraggeber bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung) zu unterstützen;
• alle Daten nach Vertragsende zu löschen oder zurückzugeben.

Der Auftraggeber erteilt hiermit die allgemeine Genehmigung für den Einsatz folgender Unterauftragsverarbeiter:

SCCs = EU-Standardvertragsklauseln gemäss Durchführungsbeschluss (EU) 2021/914.

• Verschlüsselung: TLS 1.2+ für alle Datenübertragungen; Daten at rest AES-256.
• Zugangskontrollen: Rollenbasiertes Zugriffsmodel; Authentifizierung erforderlich.
• Backups: Automatische tägliche Datensicherungen auf redundanter Infrastruktur.
• Löschkonzept: Automatische Anonymisierung von Kundendaten nach konfigurierbarer Aufbewahrungsfrist (Standard: 365 Tage nach letztem Termin).
• Auditprotokoll: Protokollierung kritischer Änderungen in der Plattform.
• Patchmanagement: Regelmässige Sicherheitsupdates der Plattformkomponenten.

Der Auftraggeber verpflichtet sich:

• eine eigene Datenschutzerklärung für seine Endkunden bereitzustellen und diese auf der Buchungsseite einzubinden;
• Velora unverzüglich zu informieren, wenn er Fehler oder Unregelmässigkeiten in der Datenverarbeitung feststellt;
• nur Daten zu erheben und zu verarbeiten, für die er eine gültige Rechtsgrundlage besitzt.

Velora meldet festgestellte Datenschutzverletzungen dem Auftraggeber unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden, an die im Konto hinterlegte E-Mail-Adresse. Der Auftraggeber ist für die Meldung an die zuständige Aufsichtsbehörde verantwortlich.

Velora unterstützt den Auftraggeber auf Anfrage bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung, Datenübertragbarkeit). Anfragen direkt an Velora werden an den Auftraggeber weitergeleitet. Endkunden können Löschanfragen direkt über die Buchungsseite stellen (Datenlöschungslink).

Nach Beendigung des Abonnements werden alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen unwiderruflich gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber kann vor Kündigung einen Datenexport (CSV) über die Einstellungsseite herunterladen.

Die Haftung richtet sich nach den allgemeinen Geschäftsbedingungen von Velora sowie den geltenden gesetzlichen Bestimmungen. Velora haftet für Schäden, die durch nachweislich fehlerhafte Auftragsverarbeitung entstanden sind, im Rahmen der gesetzlichen Vorschriften.

Dieser AVV unterliegt dem Schweizer Recht (OR, revDSG) sowie, soweit EU-Bürger betroffen sind, der DSGVO. Gerichtsstand ist Eichberg, Schweiz.