Auftragsbearbeitungsvertrag (AVV) für Vacanzo

zwischen der Kundin (Verantwortliche) und der DAI Group GmbH, Sihlbruggstrasse 109, 6340 Baar, UID CHE-153.907.488 (Auftragsbearbeiterin, nachfolgend «Anbieterin»)

Entwurf zur anwaltlichen Prüfung · Stand 14. Oktober 2026 · Fassung 0.5a · mit den Änderungen der anwaltlichen Prüfung vom 2./4. Oktober 2026 und den Antworten vom 12. Oktober 2026 · Bestandteil der AGB Vacanzo

1 Gegenstand und Rollen

1.1 Die Kundin nutzt Vacanzo zur Verwaltung von Ferien, Abwesenheiten und, sofern gebucht, Arbeitszeiten ihrer Mitarbeitenden. Dabei bearbeitet die Anbieterin Personendaten im Auftrag der Kundin.

1.2 Die Kundin ist Verantwortliche, die Anbieterin Auftragsbearbeiterin im Sinne von Art. 9 des Bundesgesetzes über den Datenschutz (DSG). Gegenstand, Art, Zweck, Datenkategorien und betroffene Personen sind in Anhang 1 beschrieben.

Für Kundinnen mit Sitz im Europäischen Wirtschaftsraum sowie in allen Fällen, in denen auf die Auftragsverarbeitung die Datenschutz-Grundverordnung anwendbar ist, gelten die Kundin zusätzlich als Verantwortliche und die Anbieterin als Auftragsverarbeiterin im Sinne von Art. 4 Nr. 7 und 8 sowie Art. 28 DSGVO. Die zwingenden Anforderungen der DSGVO ergänzen diesen Vertrag und gehen bei einem Widerspruch vor.

1.3 Für Personendaten, die die Anbieterin zu eigenen Zwecken bearbeitet (Vertrags- und Abrechnungsdaten der Kundin, Kontaktdaten der Administratorinnen, technische Protokolle des Dienstes), ist sie selbst Verantwortliche; hierfür gilt die Datenschutzerklärung von Vacanzo.

2 Weisungen

2.1 Die Anbieterin bearbeitet die Daten ausschliesslich nach dokumentierten Weisungen der Kundin. Weisungen sind dieser Vertrag, die AGB, die von der Kundin in der Anwendung vorgenommenen Einstellungen und Handlungen sowie schriftliche Anordnungen der Administratorinnen der Kundin.

2.2 Die Anbieterin bearbeitet die Daten nicht zu eigenen Zwecken und gibt sie nicht an Dritte weiter, ausser dies ist in diesem Vertrag vorgesehen (Unterauftragsbearbeiterinnen nach Ziff. 6, Vergleichswerte nach Ziff. 11 nur mit Zustimmung) oder gesetzlich vorgeschrieben. Im letzten Fall informiert sie die Kundin vorgängig, soweit zulässig.

2.3 Hält die Anbieterin eine Weisung für rechtswidrig, teilt sie dies der Kundin unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

3 Vertraulichkeit

Die Anbieterin verpflichtet alle Personen, die Zugang zu Personendaten der Kundin erhalten könnten, schriftlich zur Vertraulichkeit. Die Verpflichtung gilt über das Ende des Arbeits- oder Auftragsverhältnisses hinaus.

4 Zugriffsbegrenzung durch Bauweise

4.1 Vacanzo ist so gebaut, dass die Anbieterin Mitarbeitendendaten der Kundin nicht einsehen kann. Die Plattformverwaltung verbindet sich mit einer Datenbankrolle, die auf die Tabellen mit Mitarbeitendendaten keine Berechtigung hat; jede Kundin ist zudem durch Zeilenfilter auf Datenbankebene (Row Level Security) von jeder anderen getrennt.

4.2 Was die Anbieterin sieht: Firmenname, Adresse, Kanton, Tarif, Anzahl Personen je Stichtag, Zeitpunkt der letzten Aktivität, sowie Name und E-Mail-Adresse der Administratorinnen. Nicht mehr.

4.3 Es besteht kein Supportzugang der Anbieterin zu Kundendaten. Support erfolgt in Anwesenheit der Kundin per Bildschirmfreigabe aus deren eigenem Konto.

4.4 Notfallverfahren bei Verlust aller Administratorinnen (AGB Ziff. 8.4). Auf Weisung einer vertretungsberechtigten Person der Kundin weist die Anbieterin einer bereits bestehenden Person dieser Kundin die Administratorrolle zu. Die Anbieterin prüft die Vertretungsberechtigung anhand des Handelsregisters, protokolliert Gesuch, Entscheid und ausführende Person im Prüfprotokoll (Ziff. 9) und benachrichtigt alle aktiven Personen der Kundin per E-Mail. Die Anbieterin erfährt dabei nur, ob eine eingegebene E-Mail-Adresse zu dieser Kundin gehört.

5 Technische und organisatorische Massnahmen

Die Anbieterin trifft die in Anhang 2 beschriebenen Massnahmen. Sie darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen werden in Anhang 2 nachgeführt und den Administratorinnen mitgeteilt.

6 Unterauftragsbearbeiterinnen

6.1 Die Kundin ermächtigt die Anbieterin, die in Anhang 3 aufgeführten Unterauftragsbearbeiterinnen einzusetzen.

6.2 Die Anbieterin schliesst mit jeder Unterauftragsbearbeiterin einen Vertrag, der ihr im Wesentlichen die gleichen Pflichten auferlegt wie dieser Vertrag der Anbieterin. Die Anbieterin haftet der Kundin gegenüber für die Unterauftragsbearbeiterinnen wie für eigenes Handeln.

6.3 Beabsichtigt die Anbieterin, eine Unterauftragsbearbeiterin hinzuzufügen oder zu ersetzen, teilt sie dies den Administratorinnen mindestens 30 Tage im Voraus per E-Mail mit. Die Kundin kann aus sachlichen Gründen innert dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann die Kundin den Vertrag auf den Zeitpunkt des Wechsels kündigen; bis dahin bleibt die bisherige Bearbeitung bestehen.

6.4 Eigene Beauftragte der Kundin sind keine Unterauftragsbearbeiterinnen der Anbieterin. Räumt die Kundin einer externen Person (etwa ihrer Treuhänderin) einen Gastsitz ein (AGB Ziff. 7), übt sie damit ein eigenes Recht als Verantwortliche aus; diese Person ist ihre Auftragsbearbeiterin, mit der die Kundin selbst eine Vereinbarung trifft. Gastsitze sind zwingend befristet; die Anbieterin stellt sicher, dass keiner ohne Enddatum eingerichtet werden kann.

6.5 Verbindet die Kundin ihren eigenen Slack-Arbeitsbereich oder ihren eigenen Identitätsanbieter (Google Workspace, Microsoft Entra ID), sind dies Dienste der Kundin; die Anbieterin übermittelt Daten dorthin auf deren Weisung.

7 Datenstandort

7.1 Die produktiven Daten werden in der Schweiz gespeichert (Google Cloud, Region Zürich, europe-west6); dies gilt auch für automatische Sicherungen und die tägliche logische Sicherungskopie. Eine organisationsweite Richtlinie beschränkt die zulässigen Standorte auf europe-west6 und die EU.

7.2 Ausnahmen mit Standort ausserhalb der Schweiz sind in Anhang 3 je Unterauftragsbearbeiterin ausgewiesen. Bekanntgaben ins Ausland erfolgen nur auf einer gesetzlich zulässigen Grundlage.

Soweit die DSGVO anwendbar ist, kann eine Übermittlung personenbezogener Daten aus dem EWR in die Schweiz auf einen geltenden Angemessenheitsbeschluss gestützt werden. Für Weiterübermittlungen in andere Drittstaaten werden, soweit erforderlich, ein Angemessenheitsbeschluss, ein anwendbarer Angemessenheitsmechanismus wie ein Data Privacy Framework oder geeignete Garantien, insbesondere Standardvertragsklauseln, verwendet.

8 Unterstützung der Kundin

8.1 Die Anbieterin unterstützt die Kundin bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe). Da die Kundin über alle Funktionen dazu selbst verfügt, besteht die Unterstützung in erster Linie in der Bereitstellung dieser Funktionen und des Exports (Ziff. 10.1).

8.2 Die Anbieterin unterstützt die Kundin, soweit ihr möglich, bei der Einhaltung der Pflichten zur Datensicherheit, zur Datenschutz-Folgenabschätzung und zur Meldung von Verletzungen der Datensicherheit.

8.3 Meldung von Verletzungen der Datensicherheit. Die Anbieterin meldet der Kundin jede Verletzung der Datensicherheit, die Personendaten der Kundin betrifft, unverzüglich, und soweit möglich, spätestens 48 Stunden nach Kenntnis, an die E-Mail-Adressen der Administratorinnen, mit den ihr bekannten Angaben zu Art, Umfang, Folgen und getroffenen Massnahmen. Die Meldung an den EDÖB und die Information der betroffenen Personen nach Art. 24 DSG obliegen der Kundin.

Soweit die DSGVO anwendbar ist, unterstützt die Anbieterin die Kundin insbesondere bei der Erfüllung ihrer Pflichten nach Art. 33 und 34 DSGVO.

9 Protokoll

9.1 Die Anbieterin führt ein Prüfprotokoll über Handlungen, die den Zugang zu einem Kundenkonto betreffen (Erstellung des Kontos, Einladungen, Rollenänderungen, das Notfallverfahren nach Ziff. 4.4, Datenimport, Aussetzung, Löschung). Einträge der Anbieterin sind für die Kundin einsehbar.

9.2 Das Protokoll wird für die Dauer des Vertrags und danach bis zur Löschung nach Ziff. 10 aufbewahrt.

10 Rückgabe und Löschung

10.1 Export. Die Kundin kann jederzeit einen vollständigen Export ihrer Daten in einem maschinenlesbaren Format verlangen; die Anbieterin stellt ihn innert 10 Arbeitstagen bereit. Der gleiche Export dient als Herausgabe nach Art. 28 DSG und als Übergabe bei Vertragsende. Ein vor Ablauf der Exportfrist verlangter Export hemmt die Löschung bis zur Bereitstellung des Exports.

10.2 Nach Vertragsende bleiben die Daten 30 Tage im Zustand «nur lesen» für den Export (AGB Ziff. 9.3). Anschliessend löscht die Anbieterin alle Daten der Kundin aus dem Produktivsystem sofort und aus allen Sicherungskopien innert weiterer sieben Tage, da keine Sicherungskopie länger aufbewahrt wird. Die Löschung wird auf Verlangen schriftlich bestätigt.

Für Bearbeitungen im Anwendungsbereich der DSGVO gilt ergänzend: Nach Beendigung der Auftragsverarbeitung gibt die Anbieterin nach Wahl der Kundin die personenbezogenen Daten zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Kundin kann ihre Wahl innerhalb der vertraglichen Exportfrist ausüben. Ohne abweichende Weisung gilt nach Ablauf der Exportfrist die im Vertrag vorgesehene Löschung.

10.3 Nicht abgeschlossene Testphase: Daten einer Kundin, die nach Ablauf der 60-tägigen Testphase kein Abonnement abschliesst, werden 30 Tage nach deren Ende gelöscht (AGB Ziff. 3.2).

10.4 Gesetzliche Aufbewahrungspflichten für die Daten treffen die Kundin als Arbeitgeberin. Die Anbieterin behält nach der Löschung nur, was sie selbst aufbewahren muss (Rechnungen, Vertragsunterlagen, Prüfprotokoll-Einträge über den Vertragsschluss und die Löschung).

11 Vergleichswerte (Benchmark) – nur mit Zustimmung

11.1 Die Kundin kann in der Verwaltungskonsole zustimmen, dass die Anbieterin anonymisierte, aggregierte Kennzahlen ihres Kontos (etwa Abwesenheitsquoten, Ferienbezug, Überzeitverteilung) zu Vergleichswerten zusammenfasst, die Kundinnen mit derselben Zustimmung nach Branche und Grössenklasse angezeigt werden. Die Zustimmung ist freiwillig, standardmässig nicht erteilt und jederzeit widerrufbar; sie wird nie durch die Anbieterin gesetzt.

11.2 Nicht in Vergleichswerte einbezogen werden insbesondere Namen, Geburtsdaten, Freitexte, Kunden- und Projektnamen sowie Angaben zu Krankheit, Unfall oder sonstige besondere Kategorien personenbezogener Daten.

Ein mandantenübergreifender Vergleichswert wird nur gebildet, wenn mindestens fünf Kundinnen und fünfzig Personen zu der jeweiligen Auswertung beitragen und nach den Umständen keine vernünftigerweise mögliche Rückschliessbarkeit auf eine einzelne Person oder Kundin besteht.

11.3 Nach Widerruf fliessen keine neuen Daten der Kundin ein; bereits gebildete Vergleichswerte enthalten keine der Kundin zurechenbaren Daten und werden nicht zurückgerechnet.

12 Kontrolle

12.1 Die Anbieterin stellt der Kundin auf Verlangen einmal jährlich eine Beschreibung der Massnahmen nach Anhang 2 und die Ergebnisse ihrer eigenen Überprüfungen (insbesondere der täglichen Wiederherstellungsprobe der Sicherungen) zur Verfügung.

12.2 Die Kundin kann darüber hinaus mit einer Ankündigung von 30 Tagen, höchstens einmal jährlich und auf eigene Kosten, eine Überprüfung durch eine unabhängige, zur Vertraulichkeit verpflichtete Fachperson verlangen. Die Überprüfung erfolgt vorzugsweise durch Vorführung per Bildschirmfreigabe.

13 Dauer und Schlussbestimmungen

13.1 Dieser Vertrag gilt, solange die Anbieterin Personendaten der Kundin bearbeitet, und endet mit der Löschung nach Ziff. 10.

13.2 Es gilt schweizerisches Recht; Gerichtsstand ist Zug. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor.

Anhang 1 · Gegenstand der Bearbeitung

Zweck: Verwaltung von Ferienguthaben, Abwesenheiten (Ferien, unbezahlt, Krankheit/Unfall, Militär-, Zivil- und Zivilschutzdienst, Arbeit an freien Tagen) und, sofern gebucht, Arbeitszeiten und Überzeit der Mitarbeitenden der Kundin; Benachrichtigungen an Mitarbeitende und Administratorinnen; Berichte für die Kundin.

Betroffene Personen: Mitarbeitende der Kundin (aktive und ausgetretene), Administratorinnen, Gastpersonen (Treuhand, Beraterinnen).

Datenkategorien:

• Personalien: Name, E-Mail-Adresse, Sprache, Geburtsdatum (für die gesetzliche Ferienberechnung).
• Anstellung: Beschäftigungsgrad und dessen Verlauf, freie Wochentage, Eintritt, Kündigungstermin, Freistellung, Dienstpflicht.
• Abwesenheiten: Art, Zeitraum, Status, Entscheid und entscheidende Person, Begründungen (bei Krankheit und Dienst ohne Begründung).
• Arbeitszeit: Stunden je Tag und Projekt mit Beschreibung, Überzeitwochen und deren Entscheide, Wochenfreigaben.
• Kunden und Projekte der Kundin (Namen, Sprache, Abrechenbarkeit).
• Zugangsdaten: Kennung des Identitätsanbieters (kein Passwort), Rollen, Sitze und deren Laufzeit, Benachrichtigungseinstellungen.
• Prüfprotokoll.

Besonders schützenswerte Personendaten / besondere Kategorien: Angaben, wonach eine Person wegen Krankheit oder Unfall abwesend ist, einschliesslich des entsprechenden Zeitraums, gelten nach Schweizer DSG als besonders schützenswerte Personendaten. Soweit die DSGVO anwendbar ist, werden solche Angaben vorsorglich als Gesundheitsdaten im Sinne von Art. 4 Nr. 15 und Art. 9 DSGVO behandelt, auch wenn keine Diagnose oder medizinische Begründung erfasst wird.

Bearbeitung: Speicherung, Berechnung (Guthaben, Sollstunden, Saldi), Anzeige, Benachrichtigung, Export, Löschung.

Anhang 2 · Technische und organisatorische Massnahmen

• Mandantentrennung: Jede Kundin unter eigener Adresse; jede Zeile trägt die Kennung der Kundin; Zeilenfilter auf Datenbankebene (Row Level Security) und ein zweiter Filter in der Anwendung; Tests, die absichtlich versuchen, über die Grenze zu lesen, laufen bei jeder Änderung.
• Rollen: Drei Datenbankrollen (Schema-Migration, Anwendung, Plattformverwaltung); die Plattformverwaltung hat auf Mitarbeitendentabellen keine Berechtigung.
• Authentisierung: Externer Identitätsanbieter (OpenID Connect); Vacanzo speichert keine Passwörter; Zwei-Faktor beim Identitätsanbieter; die Plattformverwaltung ist zusätzlich durch Google Identity-Aware Proxy geschützt.
• Verschlüsselung: Transport ausschliesslich über TLS; Speicherung verschlüsselt (Google Cloud Standard); Geheimnisse in Google Secret Manager, auf die Region Zürich beschränkt.
• Netzwerk: Die Datenbank hat keine öffentliche Adresse und ist nur aus dem privaten Netz des Dienstes erreichbar; Web Application Firewall (Cloud Armor) vor dem Dienst.
• Sicherung und Wiederherstellung: Automatische Sicherung täglich (7 Stände) und Wiederherstellung auf den Zeitpunkt (7 Tage); tägliche logische Sicherungskopie in ein separates Projekt (7 Tage); tägliche Wiederherstellungsprobe der Sicherungskopie mit Vergleich gegen das Produktivsystem und Alarm bei Abweichung.
• Protokollierung: Zugriffs- und Anwendungsprotokolle ohne Personendaten (Einmalcodes und Anfragen an Sprachmodelle gelangen nicht ins Protokoll); Prüfprotokoll für Handlungen am Kundenkonto.
• Überwachung: Erreichbarkeitsprüfung und Alarme (Ausfall, Fehlerrate, gescheiterte Sicherung, gescheiterte Wiederherstellungsprobe, gescheiterter Tageslauf).
• Entwicklung: Änderungen nur über geprüfte, automatisch getestete und signierte Beiträge; Abhängigkeiten werden überwacht.
• Auskunftsverweigerung nach aussen: Ob eine Kundin existiert, ist von aussen nicht feststellbar (keine Zertifikate je Kundin, gleiche Antwort für bestehende und nicht bestehende Adressen).
• Organisation: Zugang zu Produktivsystemen nur für benannte Personen der Anbieterin mit Zwei-Faktor; keine Kopien von Kundendaten auf Arbeitsplatzrechnern; Datenimporte über einen protokollierten Dienstauftrag.

Anhang 3 · Unterauftragsbearbeiterinnen

Nicht Unterauftragsbearbeiterinnen, weil Dienste der Kundin: Slack (von der Kundin angebundener Arbeitsbereich), Google Workspace / Microsoft Entra ID als Identitätsanbieter der Kundin, Gastpersonen (Treuhand).