Auftragsbearbeitungsvertrag (AVV)

1 Parteien und Rang

Dieser Vertrag gilt zwischen dem Betrieb, der Tourlio nutzt (nachfolgend «Kunde»), und Tourlio Yükseldi, Brunaustrasse 181, 8951 Fahrweid, Schweiz (nachfolgend «Betreiber»). Der Kunde ist für die Daten seiner Mitarbeitenden Verantwortlicher, der Betreiber ist Auftragsbearbeiter im Sinne von Art. 9 des Datenschutzgesetzes (DSG).

Der Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit ihnen abgeschlossen; eine gesonderte Unterschrift ist nicht nötig.

Wo dieser Vertrag und die AGB dasselbe regeln, geht für die Bearbeitung von Personendaten dieser Vertrag vor. Im Übrigen gelten die AGB.

Die übrigen Bedingungen stehen in den AGB.

2 Gegenstand und Dauer

Gegenstand ist der Betrieb von Tourlio als Anwendung über das Internet — das Admin-Web für die Planung und Abrechnung und die Web-App für die Fahrerinnen und Fahrer — einschliesslich Wartung, Sicherung und Support.

Der Vertrag beginnt mit der Eröffnung eines Testzugangs und läuft, solange ein Testzugang oder ein Abonnement besteht. Er endet erst, wenn die Daten nach Ziffer 13 gelöscht sind. Die Pflicht zur Vertraulichkeit gilt darüber hinaus.

3 Zweck der Bearbeitung

Der Betreiber nutzt die Daten des Kunden nicht für eigene Zwecke. Er verkauft sie nicht, wertet sie nicht für Werbung aus und verwendet sie nicht, um Profile über die Mitarbeitenden des Kunden zu bilden. Eine Übersicht der Bearbeitung steht in Anhang 1.

Er bearbeitet die Daten ausschliesslich, um dem Kunden die Funktionen von Tourlio bereitzustellen. Dazu gehören je nach Nutzung:

• Planung: Touren, Zuteilungen und Dienstpläne erstellen und den Fahrern zeigen.
• Erfassung: Stückzahlen, Belegfotos, Kilometerstände und Bemerkungen der Fahrer entgegennehmen.
• Abwesenheiten: Ferien und Krankheitsausfälle samt Arztzeugnis verwalten.
• Lohn: Monatsabrechnungen, Lohnkonten, Lohnausweise, Jahresmeldungen und den Export für die Treuhandstelle erstellen.
• Fahrzeuge und Ortung: Fahrzeuge verwalten und, wo der Fahrer eingewilligt hat, die Position während eines Einsatzes aufzeichnen und zur Fahrt verdichten.
• Systemmails: Einladungen, Bestätigungen und Passwort-Resets an die Benutzer des Kunden versenden.

4 Betroffene Personen und Daten

Betroffen sind die Mitarbeitenden des Kunden, namentlich Fahrerinnen und Fahrer, Disponentinnen und Disponenten sowie die Personen, die das Konto des Betriebs verwalten.

Der Kunde sorgt dafür, dass er die Daten bearbeiten darf, und informiert seine Mitarbeitenden darüber, dass er Tourlio einsetzt. Die Ortung schaltet nicht der Kunde ein: sie läuft nur, wenn der Fahrer dem Hinweis in der App zugestimmt hat, und er kann sie jederzeit selbst beenden.

Arztzeugnisse sind Gesundheitsdaten und damit besonders schützenswerte Personendaten (Art. 5 lit. c DSG). Der Kunde hinterlegt sie nur, soweit er sie für die Lohnfortzahlung braucht.

Welche Daten der Kunde erfasst, entscheidet er selbst. Die Anwendung ist auf die folgenden Kategorien ausgelegt:

• Konto: Name, E-Mail-Adresse, Rolle, Passwort als Hashwert, Anmeldungen und Fehlversuche.
• Personal: Stammdaten, AHV-Nummer, Ein- und Austrittsdatum, Lohnmodell, Zuschläge und Abzüge.
• Einsatz: Touren, Dienstpläne, Zeiten, Stückzahlen, Belegfotos und Fahrzeugangaben.
• Ortung: Positionspunkte während des Einsatzes und die daraus berechnete Strecke und Dauer.
• Abwesenheit: Zeitraum, Art, Genehmigung und Arztzeugnis.
• Abrechnung: Freigegebene Lohnabrechnungen, Korrekturen und das Protokoll, wer wann was geändert hat.

5 Weisungen

Der Betreiber bearbeitet die Daten nur nach den Weisungen des Kunden. Als Weisung gelten dieser Vertrag, die AGB und alles, was der Kunde in der Anwendung selbst einstellt und auslöst — eine Freigabe, einen Export, eine Einladung.

Weitere Weisungen erteilt der Kunde per E-Mail an info@tourlio.ch. Gehen sie über den vereinbarten Leistungsumfang hinaus, sagt der Betreiber vorher, ob und zu welchen Kosten er sie ausführt.

Hält der Betreiber eine Weisung für unzulässig, teilt er das dem Kunden mit und darf sie aussetzen, bis der Kunde sie bestätigt oder ändert.

6 Vertraulichkeit und Zugriff

Der Betreiber behandelt die Daten des Kunden vertraulich. Zieht er Hilfspersonen bei, verpflichtet er sie vorher schriftlich zur Verschwiegenheit, auch über das Ende ihrer Tätigkeit hinaus.

Auf den Inhalt der Daten — Löhne, Belegfotos, Arztzeugnisse — greift der Betreiber nur zu, wenn es für den Betrieb, die Behebung einer Störung oder eine Supportanfrage des Kunden nötig ist, und nur so weit wie dafür erforderlich.

7 Datensicherheit

Der Betreiber trifft die technischen und organisatorischen Massnahmen, die Art. 8 DSG und die Datenschutzverordnung für Daten dieser Art verlangen. Sie sind in Anhang 2 beschrieben.

Der Betreiber darf die Massnahmen dem Stand der Technik anpassen. Er ersetzt eine Massnahme nur durch eine, die mindestens gleich wirksam ist.

Einen Überblick über die Sicherheit der Anwendung gibt die Seite Über uns.

8 Unterauftragsbearbeiter

Der Kunde ist einverstanden, dass der Betreiber die in Anhang 3 genannten Dienstleister beizieht. Der Betreiber verpflichtet sie auf dieselben Pflichten, die dieser Vertrag ihm selbst auferlegt, und steht für sie ein wie für sich selbst.

Einen weiteren Dienstleister zieht der Betreiber nur bei, nachdem er den Kunden mindestens 30 Tage vorher per E-Mail an die Adresse des Inhabers und in der Anwendung darüber unterrichtet hat. Das gilt auch, wenn er einen bestehenden ersetzt.

Die Mitteilung ist eine Änderung der Bedingungen nach Ziffer 9 der AGB. Der Kunde kann ihr widersprechen; Folgen und Rückerstattung richten sich nach dieser Ziffer.

9 Ort der Bearbeitung

Die Daten werden in der Schweiz gespeichert und bearbeitet, die Sicherungen eingeschlossen. Eine Bekanntgabe ins Ausland findet nicht statt.

Soll sich das je ändern, gilt Ziffer 8, und der Betreiber gibt Daten nur in einen Staat bekannt, der die Voraussetzungen von Art. 16 und 17 DSG erfüllt.

10 Rechte der betroffenen Personen

Verlangt ein Mitarbeiter des Kunden Auskunft, Berichtigung, Löschung oder die Herausgabe seiner Daten, ist der Kunde dafür zuständig. Die Anwendung hilft ihm dabei: Angaben lassen sich jederzeit berichtigen, und Abrechnungen, Lohnkonten und Exporte stehen zum Herunterladen bereit.

Mitarbeitende werden während der Vertragsdauer deaktiviert und nicht gelöscht, weil freigegebene Abrechnungen unverändert bleiben müssen. Muss der Kunde einzelne Daten löschen, die er in der Anwendung nicht selbst entfernen kann, unterstützt ihn der Betreiber auf Anfrage.

Wendet sich eine betroffene Person direkt an den Betreiber, leitet er die Anfrage an den Kunden weiter und beantwortet sie nicht selbst.

11 Verletzungen der Datensicherheit

Stellt der Betreiber eine Verletzung der Datensicherheit fest, die Daten des Kunden betrifft, meldet er sie dem Kunden so rasch als möglich, spätestens innert 48 Stunden, per E-Mail an die Adresse des Inhabers (Art. 24 Abs. 3 DSG).

Die Meldung sagt, soweit bekannt, was geschehen ist, welche Daten und wie viele Personen betroffen sind, welche Folgen zu erwarten sind und was der Betreiber dagegen unternommen hat. Was bei der ersten Meldung noch nicht bekannt ist, reicht er nach.

Ob die Verletzung dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu melden ist und ob die Mitarbeitenden zu informieren sind, entscheidet der Kunde. Der Betreiber liefert ihm dafür die nötigen Angaben.

12 Unterstützung und Kontrolle

Der Betreiber unterstützt den Kunden bei dessen Pflichten aus dem DSG, soweit sie die Anwendung betreffen, insbesondere bei einer Datenschutz-Folgenabschätzung. Er gibt ihm dafür die nötigen Auskünfte.

Die Einhaltung dieses Vertrags weist der Betreiber zunächst mit der Beschreibung in Anhang 2 und mit schriftlichen Auskünften nach. Reicht das nicht, kann der Kunde die Einhaltung selbst prüfen oder durch eine zur Verschwiegenheit verpflichtete Fachperson prüfen lassen. Er meldet die Prüfung mindestens 30 Tage vorher an.

Eine Prüfung pro Kalenderjahr ist kostenlos; weitere kann der Betreiber nach Aufwand verrechnen, ausser ein konkreter Anlass rechtfertigt sie. Daten anderer Kunden werden bei einer Prüfung nicht offengelegt.

13 Rückgabe und Löschung

Während der Vertragsdauer kann der Kunde jederzeit ein vollständiges Archiv seiner Daten laden. Das ist zugleich die Rückgabe der Daten; einer besonderen Aufforderung bedarf es nicht.

Nach dem Vertragsende bleibt das Archiv 90 Tage abrufbar, mit Hinweisen 30, 7 und 1 Tag vor Ablauf. Am 91. Tag löscht der Betreiber sämtliche Daten des Betriebs, einschliesslich Belegfotos und Arztzeugnissen. Aus den Sicherungen verschwinden sie mit deren Ablauf, spätestens 31 Tage nach der Löschung.

Nicht gelöscht werden die Angaben zum Abonnement und die Rechnungen an den Kunden. Sie sind keine Daten der Mitarbeitenden, sondern die eigenen Geschäftsunterlagen des Betreibers. Auf Wunsch bestätigt der Betreiber die Löschung schriftlich.

Die Fristen im Einzelnen regelt Ziffer 6 der AGB.

14 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Ziffer 8 der AGB. Zwingende gesetzliche Haftung bleibt vorbehalten.

Der Kunde steht dafür ein, dass er die Daten, die er in Tourlio erfasst, rechtmässig bearbeitet. Machen Dritte gegen den Betreiber Ansprüche geltend, weil der Kunde dies nicht getan oder eine unzulässige Weisung erteilt hat, hält der Kunde den Betreiber schadlos.

Änderungen dieses Vertrags teilt der Betreiber wie Änderungen der AGB mit (Ziffer 9 der AGB). Für anwendbares Recht und Gerichtsstand gilt Ziffer 10 der AGB.

Fragen zu diesem Vertrag und zum Datenschutz: info@tourlio.ch, oder per Post an Tourlio Yükseldi, Brunaustrasse 181, 8951 Fahrweid.

Anhang 1 — Übersicht der Bearbeitung

• Gegenstand: Betrieb der Software Tourlio für die Tourenplanung und Lohnabrechnung von Kurier- und Transportbetrieben.
• Dauer: Laufzeit von Testzugang und Abonnement, danach bis zur Löschung nach Ziffer 13.
• Art: Erfassen, Speichern, Berechnen, Anzeigen, Exportieren, Sichern und Löschen.
• Zweck: Planung, Erfassung, Abwesenheiten, Lohnabrechnung, Fahrzeuge und Ortung (Ziffer 3).
• Betroffene: Mitarbeitende des Kunden: Fahrerinnen und Fahrer, Disposition, Administration.
• Daten: Konto-, Personal-, Einsatz-, Ortungs-, Abwesenheits- und Abrechnungsdaten; Arztzeugnisse als besonders schützenswerte Personendaten.
• Ort: Schweiz.

Anhang 2 — Technische und organisatorische Massnahmen

Der Stand der Anwendung, wie er heute gebaut ist:

• Rechenzentrum: Server, Datenbank und Dateiablage stehen bei Infomaniak Network SA in der Schweiz. Zutritt und physischer Schutz liegen beim Hosting-Anbieter.
• Anmeldung: Persönliche Konten; Passwörter nur als Argon2id-Hash. Nach fünf Fehlversuchen innert 15 Minuten wird das Konto für 15 Minuten gesperrt, Anmeldung und Passwort-Reset sind in der Häufigkeit begrenzt. Einladungs- und Reset-Links sind einmalig verwendbar und laufen ab.
• Mandantentrennung: Jede Abfrage ist an den Betrieb des angemeldeten Benutzers gebunden. Ohne gültigen Betrieb liefert sie nichts; die Trennung ist zentral erzwungen und durch automatisierte Tests abgesichert.
• Rollen: Ein Fahrer sieht nur seinen eigenen Plan, seine eigene Erfassung und seine eigenen Abrechnungen. Belegfotos und Arztzeugnisse liegen ausserhalb der Datenbank und sind nur über geprüfte Zugänge des eigenen Betriebs erreichbar, Arztzeugnisse nur für dessen Administration.
• Übertragung: Ausschliesslich verschlüsselt über TLS, mit HSTS. Das Admin-Web sendet eine strenge Content-Security-Policy und lässt sich nicht in fremde Seiten einbetten.
• Nachvollziehbarkeit: Korrekturen an erfassten Zahlen werden mit Zeitpunkt und Urheber protokolliert. Eine freigegebene Abrechnung wird unveränderlich festgeschrieben.
• Sicherung: Täglich eine vollständige Sicherung von Datenbank und Dateiablage, verschlüsselt kopiert nach Swiss Backup in der Schweiz und 31 Tage aufbewahrt. Der Schlüssel liegt nicht auf dem Server. Die Wiederherstellung ist geprobt.
• Datensparsamkeit: Ortung nur während eines Einsatzes und nur mit Einwilligung des Fahrers; die einzelnen Positionspunkte werden nach 90 Tagen gelöscht, es bleibt die verdichtete Fahrt.
• Betrieb: Die Anwendung läuft mit eingeschränkten Rechten; Betriebssystem und Komponenten werden laufend aktualisiert. Zugangsdaten stehen nicht im Quellcode.
• Organisation: Vertraulichkeitspflicht für Hilfspersonen, vertragliche Verpflichtung der Unterauftragsbearbeiter und ein festes Vorgehen bei Verletzungen der Datensicherheit (Ziffer 11).

Anhang 3 — Unterauftragsbearbeiter

Diese Dienstleister bearbeiten Daten des Kunden im Auftrag des Betreibers:

• Hosting von Anwendung, Datenbank, Dateiablage und Sicherungen: Infomaniak Network SA, Genf; Bearbeitung in der Schweiz.
• Versand der Systemmails: Infomaniak Network SA (Mailhosting, Schweiz)
• Kein Unterauftragsbearbeiter: Zahlungsabwicklung: PostFinance Checkout (PostFinance AG) wickelt die Abonnementsgebühren ab. Sie bearbeitet die Rechnungs- und Zahlungsangaben des Kunden, nicht die Daten seiner Mitarbeitenden; Kartendaten sieht und speichert Tourlio nie.