1. Parteien

Verantwortlicher: Kunde laut Hauptvertrag (AGB).
Auftragsverarbeiter: SwissZar LLC, 30 N Gould St Ste N, Sheridan, Wyoming 82801, USA, Registrierungsnummer 36-5093237, E-Mail support@digiplexx.com.

Dieses DPA ist Bestandteil der AGB und konkretisiert die datenschutzrechtlichen Pflichten nach Art. 28 DSGVO. Für Verarbeitungen, die SwissZar LLC als eigener Verantwortlicher durchführt (insbesondere Konto-, Vertrags- und Abrechnungsdaten), gilt die Datenschutzerklärung.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung der SaaS-Anwendung ScafLog. Die Dauer entspricht der Vertragslaufzeit gemäß AGB.

3. Art, Umfang, Zweck

Verarbeitet werden insbesondere Stamm-, Konto-, Baustellen-, Prüf-, Mängel-, Foto-, Signatur-, Kommunikations- und Audit-Daten zur Erbringung der vertraglich vereinbarten Leistungen.

4. Kategorien betroffener Personen

Mitarbeitende und Verantwortliche des Kunden (Nutzer der Software)
Ansprechpartner auf Baustellen, Subunternehmer und Auftraggeber des Kunden

5. Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
Verpflichtung der zur Verarbeitung befugten Personen zur Vertraulichkeit.
Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe Anlage TOM).
Unterstützung des Verantwortlichen bei Betroffenenrechten und Pflichten nach Art. 32–36 DSGVO im zumutbaren Rahmen.
Meldung von Datenschutzverletzungen unverzüglich nach Kenntniserlangung.
Nach Vertragsende Löschung oder Rückgabe der Daten gemäß Wahl des Verantwortlichen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Supabase – Datenbank, Authentifizierung, Datei-Speicher, Protokolle (Hosting EU, AWS eu-west-1)
Lovable – Hosting-, Build- und Deployment-Plattform sowie Infrastruktur für den Versand von Transaktions-E-Mails
Cloudflare – Edge-Auslieferung, Angriffs- und Überlastschutz
Digistore24 – Verkauf, Zahlungsabwicklung, Rechnungsstellung (Verarbeitung von Bestell- und Käuferdaten)

Eine aktuelle Liste wird auf Anfrage zur Verfügung gestellt. Änderungen werden mit einer Vorlaufzeit von mindestens 30 Tagen angekündigt; der Verantwortliche kann aus wichtigem Grund widersprechen.

7. Drittlandtransfers

Soweit personenbezogene Daten in Drittländer übermittelt werden, erfolgt dies auf Basis der EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) und ergänzender Schutzmaßnahmen (z. B. Verschlüsselung, Zugriffskontrollen). Eine Risikoanalyse (TIA) wird vorgehalten.

8. Kontroll- und Auditrechte

Der Verantwortliche ist berechtigt, sich von der Einhaltung der Pflichten zu überzeugen. Audits erfolgen nach angemessener Vorankündigung in zumutbarem Umfang, in der Regel durch Vorlage aktueller Zertifizierungen, Penetrationstest-Berichte oder TOM-Dokumentation. Vor-Ort-Audits werden auf Vorabstimmung durchgeführt; Aufwände, die über das Übliche hinausgehen, werden dem Verantwortlichen in Rechnung gestellt.

Anlage: Technische und organisatorische Maßnahmen (TOM)

Transportverschlüsselung (TLS 1.2+), Verschlüsselung ruhender Daten (AES-256).
Rollenbasierte Zugriffskontrolle, Need-to-know-Prinzip, Mehrfaktor-Authentifizierung für administrative Zugriffe.
Zentrales Logging und Monitoring; manipulationsgesicherte Audit-Trails.
Tägliche Backups, geprüfte Wiederherstellungsverfahren.
Trennung von Test-, Staging- und Produktionsumgebung.
Patch-Management, Schwachstellenscans, kontinuierliche Sicherheitsupdates.
Schulung und Vertraulichkeitsverpflichtung der Mitarbeitenden.
Incident-Response-Prozess, Verfahren zur Meldung von Datenschutzverletzungen.

Data Processing Addendum (Auftragsverarbeitung, Art. 28 DSGVO)