zuletzt aktualisiert 21. Oktober 2026 · Human Forward LTD · hello@humanforward.io · Schweiz

Auftragsverarbeitungsvertrag

Mit KI übersetzt und von uns geprüft. Wenn Sie einen Fehler bemerken, schreiben Sie uns an hello@humanforward.io. Die englische Fassung ist massgeblich. Englische Fassung lesen →

Dieser Auftragsverarbeitungsvertrag (Data Processing Agreement, AVV) ist Bestandteil der Nutzungsbedingungen für Apps und KI-Tools sowie jedes Angebots, Bestellformulars oder Mandatsschreibens, auf dessen Grundlage Human Forward LTD Leistungen für einen Kunden erbringt (zusammen die Vereinbarung). Er gilt immer dann, wenn wir bei der Erbringung der Leistungen personenbezogene Daten in Ihrem Auftrag verarbeiten. Er ist von uns vorab unterzeichnet: Mit der Annahme der Vereinbarung nehmen Sie diesen AVV an, und eine gesonderte Unterschrift ist nicht erforderlich. Wenn Sie eine gegengezeichnete Ausfertigung benötigen, schreiben Sie an hello@humanforward.io.

Stehen dieser AVV und die Vereinbarung in Bezug auf den Datenschutz im Widerspruch, gilt dieser AVV. Stehen dieser AVV und die Standardvertragsklauseln oder das UK Addendum im Widerspruch, gelten diese.

1. Wer was tut

Sie sind der Verantwortliche (controller) (oder, nach US-Recht, das Unternehmen (business)) für die personenbezogenen Daten, die wir für Sie verarbeiten, und wir sind Ihr Auftragsverarbeiter (processor) (oder Dienstleister (service provider)). Dies umfasst die personenbezogenen Daten in Ihrem Shop, auf Ihrer Website, in Ihren Konten, in Ihrer Community und alles, was Sie uns für Beratungsleistungen übergeben. In Anlage 1 werden diese als Personenbezogene Kundendaten (Customer Personal Data) bezeichnet
Für bestimmte Daten sind wir selbst Verantwortlicher: Ihre Kontodaten, Abrechnung, unsere Website, unser Marketing, unsere eigenen Geschäftsunterlagen sowie Daten, die wir aus öffentlichen Quellen über Ihren Shop oder Ihre Website erheben, um die Leistungen zu erbringen. Hierfür gilt unsere Datenschutzerklärung, nicht dieser AVV
Soweit Sie eine Community auf unserer Plattform betreiben, sind Sie der Verantwortliche für die Daten Ihrer Mitglieder, und wir sind Ihr Auftragsverarbeiter. Soweit Sie Zahlungen über Stripe Connect annehmen, ist Stripe eigenständiger Verantwortlicher für Kartendaten
Jede Partei hält die für sie geltenden Datenschutzgesetze ein

2. Begriffsbestimmungen

Datenschutzgesetze bezeichnet alle Gesetze, die für die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung gelten, einschliesslich der UK-DSGVO und des Data Protection Act 2018 (britisches Datenschutzgesetz), der EU-DSGVO (Verordnung (EU) 2016/679), der ePrivacy-Vorschriften, des Schweizer Bundesgesetzes über den Datenschutz und der US-Datenschutzgesetze der Bundesstaaten
US-Datenschutzgesetze der Bundesstaaten bezeichnet den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung sowie die vergleichbaren Gesetze von Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Delaware, New Jersey, New Hampshire, Iowa, Nebraska, Tennessee, Minnesota, Maryland, Indiana, Kentucky, Rhode Island und jedes anderen US-Bundesstaates, jeweils in der geltenden Fassung
SCCs bezeichnet die EU-Standardvertragsklauseln, die durch den Durchführungsbeschluss (EU) 2021/914 der Kommission angenommen wurden. UK Addendum bezeichnet das International Data Transfer Addendum des britischen Information Commissioner zu den SCCs, Version B1.0. IDTA bezeichnet das UK International Data Transfer Agreement (internationales Datenübermittlungsabkommen des Vereinigten Königreichs)
Beschränkte Übermittlung (Restricted Transfer) bezeichnet eine Übermittlung personenbezogener Daten in ein Land, für das das Vereinigte Königreich, die EU oder die Schweiz (je nach Anwendbarkeit) kein angemessenes Schutzniveau festgestellt hat, wenn die Übermittlung ohne eine Garantie rechtswidrig wäre
Unterauftragsverarbeiter (sub processor) bezeichnet einen Dritten, den wir mit der Verarbeitung Personenbezogener Kundendaten in Ihrem Auftrag beauftragen
Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person, Verletzung des Schutzes personenbezogener Daten, Unternehmen (business), Dienstleister (service provider), Verkauf (sell) und Weitergabe (share) haben die in den Datenschutzgesetzen festgelegten Bedeutungen

3. Ihre Pflichten

Sie sind für die personenbezogenen Daten verantwortlich, die Sie in die Leistungen einbringen, und für das, was Sie uns damit zu tun auftragen. Sie gewährleisten und verpflichten sich, dass:

Sie über eine Rechtsgrundlage für die Verarbeitung verfügen, den betroffenen Personen jede gesetzlich vorgeschriebene Information erteilt haben und jede erforderliche Einwilligung eingeholt haben, einschliesslich für die Verarbeitung der Daten durch uns, für die Verarbeitung durch unsere Unterauftragsverarbeiter und für jede Beschränkte Übermittlung, die mit den Leistungen verbunden ist
Ihre Weisungen an uns rechtmässig sind und Sie uns nichts auftragen werden, was eine der Parteien in Verstoss gegen die Datenschutzgesetze bringen würde
Sie uns keine besonderen Kategorien personenbezogener Daten oder sensiblen Daten (Gesundheit, biometrische, genetische Daten, rassische oder ethnische Herkunft, politische, religiöse Daten, Sexualleben oder sexuelle Orientierung, strafrechtliche Daten, genaue Geolokalisierung, Zugangsdaten zu Finanzkonten, Kinderdaten, staatliche Kennungen) übergeben oder uns deren Erhebung gestatten werden, sofern wir dies nicht schriftlich vereinbart haben und die Vereinbarung dies vorsieht. Die Leistungen sind nicht für solche Daten ausgelegt
Sie uns nur die personenbezogenen Daten übergeben, die die Leistungen benötigen, diese richtig halten und eigene Kopien und Sicherungen aufbewahren
Soweit unsere Agenten in von Ihnen verbundenen Konten handeln, Sie der Verantwortliche für alles in diesen Konten sind und für die Rechtmässigkeit dessen verantwortlich sind, wozu die Agenten eingestellt sind
Sie gegenüber betroffenen Personen, Aufsichtsbehörden und Dritten in Bezug auf die Verarbeitung antworten und jede Beschwerde über Ihre Nutzung der Leistungen bearbeiten werden
Sie uns von allen Bussgeldern, Ansprüchen, Verlusten oder Kosten freistellen, die uns entstehen, weil Sie gegen diesen Abschnitt oder die Datenschutzgesetze verstossen haben

4. Unsere Pflichten

Wir werden:

Weisungen. Personenbezogene Kundendaten nur auf Ihre dokumentierten Weisungen verarbeiten, nämlich die Vereinbarung, diesen AVV, Ihre Konfiguration der Leistungen und jede schriftliche Weisung, die Sie uns erteilen, es sei denn, das Gesetz verlangt etwas anderes; in diesem Fall informieren wir Sie vorab, sofern das Gesetz dies nicht verbietet. Wir informieren Sie, wenn wir der Ansicht sind, dass eine Weisung gegen die Datenschutzgesetze verstösst, und wir können die Ausführung dieser Weisung bis zur Klärung aussetzen. Eine Weisung ausserhalb der Vereinbarung ist eine Änderung, die wir berechnen oder ablehnen können
Vertraulichkeit. Sicherstellen, dass jede von uns zur Verarbeitung der Daten befugte Person zur Vertraulichkeit verpflichtet ist
Sicherheit. Die technischen und organisatorischen Massnahmen in Anlage 2 umsetzen, sie fortlaufend überprüfen und sie an veränderte Technologie und Risiken anpassen. Wir können sie ändern, jedoch nicht so, dass das Gesamtschutzniveau während der Laufzeit der Vereinbarung gesenkt wird
Unterauftragsverarbeiter. Diese nur gemäss Abschnitt 5 beauftragen
Unterstützung. Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen Sie bei Anfragen betroffener Personen (Abschnitt 7), bei Ihren Sicherheitspflichten, bei Meldungen von Verletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen einer Aufsichtsbehörde unterstützen, soweit Sie dies nicht selbst über die Leistungen erledigen können. Für Unterstützung, die über das hinausgeht, was die Leistungen bereits bieten, können wir unsere Sätze berechnen
Löschung und Rückgabe. Die Daten am Ende der Vereinbarung gemäss Abschnitt 9 behandeln
Informationen und Prüfungen. Die Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und Prüfungen gemäss Abschnitt 8 ermöglichen

Wir sind nicht verantwortlich für das, was eine KI-Engine, eine Suchmaschine oder ein sonstiger Dritter, den wir nicht als Unterauftragsverarbeiter beauftragen, sagt, tut oder speichert. Wird einer Engine in der Findability-App eine Frage zu Ihrem Shop gestellt, werden öffentliche Shop-Inhalte an diese Engine gesendet; die Engine ist für diesen Zweck nicht unser Unterauftragsverarbeiter, und es gelten ihre eigenen Bedingungen.

5. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste befindet sich in Anlage 3 und unter humanforward.io/dpa
Wir kündigen einen neuen oder ersetzenden Unterauftragsverarbeiter mit einer Frist von mindestens 30 Tagen an, indem wir diese Seite aktualisieren und eine E-Mail an die in Ihrem Konto hinterlegte Adresse senden. Sie können innerhalb dieser 30 Tage aus angemessenen, dokumentierten Datenschutzgründen schriftlich Einspruch erheben. Wir werden dann versuchen, den Einspruch zu klären. Gelingt uns dies nicht, können Sie die betroffene Leistung durch schriftliche Mitteilung vor Wirksamwerden der Änderung kündigen, mit anteiliger Erstattung aller im Voraus gezahlten Gebühren für den Zeitraum nach der Kündigung. Dies ist Ihr einziger Rechtsbehelf. Erheben Sie innerhalb von 30 Tagen keinen Einspruch, gilt der Unterauftragsverarbeiter als genehmigt
Wir schliessen mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag mit Datenschutzpflichten, die nicht weniger schützend sind als dieser AVV, und wir bleiben Ihnen gegenüber für deren Leistung verantwortlich
Ist ein Ersatz im Notfall erforderlich, um die Leistungen funktionsfähig oder sicher zu halten, können wir den Ersatz zunächst beauftragen und Sie unverzüglich danach informieren; Ihr Einspruchsrecht wie oben bleibt bestehen

6. Internationale Datenübermittlungen

Wir haben unseren Sitz im Vereinigten Königreich. Unsere Infrastruktur und die meisten Unterauftragsverarbeiter befinden sich in den Vereinigten Staaten, einige an anderen Orten. Sie ermächtigen uns, Beschränkte Übermittlungen Personenbezogener Kundendaten an die in Anlage 3 genannten Standorte vorzunehmen, vorbehaltlich des Folgenden, das nur insoweit gilt, als tatsächlich eine Beschränkte Übermittlung erfolgt:

Aus dem Vereinigten Königreich. Soweit die UK Extension zum EU-US Data Privacy Framework oder ein anderer Angemessenheitsbeschluss die Übermittlung nicht abdeckt, gilt das UK Addendum zu den SCCs, wobei die SCCs wie nachstehend ausgefüllt sind und das Addendum wie folgt ausgefüllt ist: Tabelle 1 Parteien wie in der Vereinbarung; Tabelle 2 die SCCs wie in diesem Abschnitt ausgefüllt; Tabelle 3 die Anlagen zu diesem AVV; Tabelle 4 jede Partei kann das Addendum beenden, wie dessen Abschnitt 19 es erlaubt
Aus dem EWR. Soweit das EU-US Data Privacy Framework oder ein anderer Angemessenheitsbeschluss die Übermittlung nicht abdeckt, werden die SCCs mit den folgenden Festlegungen in diesen AVV einbezogen: Modul Zwei (Verantwortlicher an Auftragsverarbeiter), soweit Sie Verantwortlicher sind, und Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter), soweit Sie Auftragsverarbeiter sind; Klausel 7 (Kopplungsklausel) findet keine Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung) mit der 30-Tage-Frist aus Abschnitt 5; die optionale Formulierung in Klausel 11 findet keine Anwendung; Klausel 13 und Anhang I.C: die Aufsichtsbehörde des EWR-Mitgliedstaats, in dem Sie niedergelassen sind, oder, soweit Sie nicht im EWR niedergelassen sind, die irische Data Protection Commission; Klausel 17 Option 1: das Recht Irlands; Klausel 18: die Gerichte Irlands. Anhang I der SCCs ist Anlage 1 dieses AVV, Anhang II ist Anlage 2, Anhang III ist Anlage 3
Aus der Schweiz. Die SCCs wie vorstehend, mit der Massgabe, dass der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte die zuständige Behörde ist, Verweise auf die DSGVO als Verweise auf das Schweizer DSG zu lesen sind und betroffene Personen in der Schweiz ihre Rechte in der Schweiz durchsetzen können
Soweit wir unter einem Data Privacy Framework zertifiziert sind oder ein anderer gültiger Mechanismus verfügbar wird, können wir uns stattdessen darauf stützen und werden Sie darüber informieren
Wird eine der vorstehenden Garantien für ungültig erklärt oder ersetzt, werden wir innerhalb angemessener Zeit einen Ersatz einrichten, und Sie werden mitwirken, einschliesslich durch Unterzeichnung aller erforderlichen Dokumente
Wir informieren Sie, wenn wir eine rechtsverbindliche Anfrage einer Behörde nach Personenbezogenen Kundendaten erhalten, sofern das Gesetz dies nicht verbietet, und wir werden Anfragen anfechten, die wir berechtigterweise für rechtswidrig halten

7. Anfragen betroffener Personen

Wendet sich eine betroffene Person wegen Personenbezogener Kundendaten an uns, werden wir sie, soweit wir Sie identifizieren können, an Sie verweisen und Sie informieren, und wir werden nicht selbst antworten, es sei denn, Sie bitten uns darum oder das Gesetz verlangt es. Sie werden die eigenen Funktionen der Leistungen nutzen, um Daten zu exportieren, zu berichtigen oder zu löschen, soweit solche vorhanden sind. Soweit nicht, unterstützen wir Sie zu unseren Sätzen innerhalb angemessener Zeit.

8. Prüfungen

Wir führen Aufzeichnungen über unsere Verarbeitung und Sicherheit. Auf schriftliche Anfrage, höchstens einmal in einem Zeitraum von 12 Monaten, stellen wir diese zusammen mit allen Berichten oder Zertifizierungen Dritter, die wir für die von uns genutzte Infrastruktur halten, zur Verfügung und beantworten angemessene schriftliche Fragen. In den meisten Fällen genügt dies Ihrem Prüfungsrecht
Soweit die Datenschutzgesetze Ihnen ein Prüfungsrecht einräumen, dem ein Bericht nicht genügt, oder eine Aufsichtsbehörde dies verlangt, können Sie (oder ein von Ihnen benannter unabhängiger Prüfer, der nicht unser Wettbewerber ist und unsere Vertraulichkeitsbedingungen unterzeichnet) unsere Einhaltung dieses AVV prüfen: einmal in einem Zeitraum von 12 Monaten, sofern nicht eine Aufsichtsbehörde mehr verlangt oder eine Verletzung eingetreten ist; mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen; während der Geschäftszeiten; für höchstens zwei Geschäftstage; ohne Störung der Leistungen; und auf Ihre Kosten, einschliesslich unseres Zeitaufwands zu unseren Sätzen. Die Prüfung erstreckt sich nur auf unsere Verarbeitung Ihrer Daten, nicht auf die Daten anderer Kunden, unsere anderen Kunden, unseren Quellcode, unsere Prompts oder die Räumlichkeiten unserer Unterauftragsverarbeiter
Sie stellen uns eine Kopie aller Feststellungen zur Verfügung und behandeln die Prüfung und ihre Ergebnisse als unsere vertraulichen Informationen

9. Löschung und Rückgabe

Sie können Ihre Daten während der Laufzeit der Vereinbarung über die Leistungen exportieren und sollten dies vor deren Ende tun
Innerhalb von 30 Tagen nach Ende der Vereinbarung oder der betreffenden Leistung löschen wir Personenbezogene Kundendaten, es sei denn, Sie haben vor dem Enddatum schriftlich um Rückgabe gebeten; in diesem Fall stellen wir einen Export in einem Standardformat unserer Wahl bereit und löschen anschliessend
Kopien in Sicherungen werden im Sicherungszyklus innerhalb von 90 Tagen gelöscht und in der Zwischenzeit nicht abgerufen, ausser zur Wiederherstellung der Leistungen
Wir können Daten aufbewahren, zu deren Aufbewahrung uns das Gesetz verpflichtet, sowie Daten, die für Abrechnung, Streitigkeiten oder die Verteidigung gegen Ansprüche benötigt werden, solange dies erforderlich ist, geschützt wie dieser AVV es verlangt und für nichts anderes verwendet
Wir bestätigen die Löschung auf Anfrage schriftlich

10. Verletzungen des Schutzes personenbezogener Daten

Wir informieren Sie unverzüglich, in jedem Fall innerhalb von 72 Stunden, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betrifft, Kenntnis erlangt haben, mit den uns zu diesem Zeitpunkt vorliegenden Informationen und weiteren, sobald sie verfügbar werden: was geschehen ist, die voraussichtlich betroffenen Daten und betroffenen Personen, die voraussichtlichen Folgen und was wir dagegen unternehmen. Unsere Mitteilung stellt kein Eingeständnis eines Verschuldens oder einer Haftung dar. Sie sind für die Meldung an Aufsichtsbehörden und betroffene Personen verantwortlich, soweit das Gesetz dies von Ihnen verlangt; wir unterstützen Sie dabei. Sie werden uns in einer Meldung nicht namentlich nennen, ohne uns zuvor eine angemessene Gelegenheit zur Stellungnahme zu geben, es sei denn, das Gesetz verlangt es.

11. US-Datenschutzgesetze der Bundesstaaten

Soweit US-Datenschutzgesetze der Bundesstaaten gelten, sind wir Ihr Dienstleister oder Auftragsverarbeiter und bestätigen, dass wir Folgendes verstehen und einhalten werden. Wir werden Personenbezogene Kundendaten nicht verkaufen oder weitergeben; sie nicht für einen anderen Zweck als den Geschäftszweck der Erbringung der Leistungen oder ausserhalb der direkten Geschäftsbeziehung mit Ihnen aufbewahren, verwenden oder offenlegen; sie nicht mit personenbezogenen Daten kombinieren, die wir von anderen erhalten, ausser soweit das Gesetz dies einem Dienstleister erlaubt; Sie informieren, wenn wir feststellen, dass wir unsere Pflichten nicht mehr erfüllen können; und Ihnen ermöglichen, die angemessenen und geeigneten gesetzlich vorgesehenen Schritte zu ergreifen, um unbefugte Nutzung zu unterbinden und zu beheben. Sie können uns Weisungen zur Bearbeitung von Verbraucheranfragen erteilen, und wir unterstützen Sie gemäss Abschnitt 7. Die Offenlegung Personenbezogener Kundendaten an uns stellt keinen Verkauf dar, und wir erhalten dafür über die Gebühren für die Leistungen hinaus keine Geld- oder sonstige werthaltige Gegenleistung.

12. Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV, einschliesslich aus den SCCs und dem UK Addendum im Verhältnis zwischen den Parteien, unterliegt den Haftungsausschlüssen und Haftungsbeschränkungen der Vereinbarung und wird auf die dortige Obergrenze angerechnet. Nichts in diesem AVV beschränkt die Haftung einer Partei gegenüber einer betroffenen Person oder einer Aufsichtsbehörde, soweit das Gesetz dies nicht zulässt. Sie stellen uns von Bussgeldern, Ansprüchen, Verlusten und Kosten frei, die aus Ihrem Verstoss gegen diesen AVV oder die Datenschutzgesetze, aus Ihren Weisungen oder aus Daten entstehen, die Sie uns nicht hätten übergeben dürfen.

13. Allgemeines

Dieser AVV gilt, solange wir Personenbezogene Kundendaten für Sie verarbeiten, und die Abschnitte 9, 12 und 13 gelten darüber hinaus fort
Wir können diesen AVV aktualisieren, wenn sich die Datenschutzgesetze, die Leitlinien einer Aufsichtsbehörde, ein Übermittlungsmechanismus oder unsere Leistungen ändern. Wesentliche Änderungen kündigen wir per E-Mail und auf dieser Seite an; die fortgesetzte Nutzung nach Ablauf der Ankündigungsfrist gilt als Annahme. Ist eine Änderung gesetzlich vorgeschrieben, wird sie mit dem Gesetz wirksam
Ist ein Teil dieses AVV nicht durchsetzbar, gilt der Rest fort, und der betreffende Teil ist so eng auszulegen, wie es erforderlich ist, um ihn durchsetzbar zu machen
Dieser AVV unterliegt dem Recht von England und Wales, und dessen Gerichte sind ausschliesslich zuständig, soweit nicht die SCCs oder das UK Addendum für die von ihnen erfassten Angelegenheiten etwas anderes vorsehen
Mitteilungen an uns: hello@humanforward.io, mit einer Kopie per Post an Human Forward LTD, 66 Paul Street, London EC2A 4NA
Wir sind beim britischen Information Commissioner's Office unter der Referenz ZC279404 registriert

Anlage 1. Einzelheiten der Verarbeitung

Gegenstand. Erbringung der in der Vereinbarung beschriebenen Leistungen: die Findability-App und ihr Konnektor, Human Forward Plus, Agents, die Community-Plattform und Beratungsleistungen
Dauer. Die Laufzeit der Vereinbarung zuzüglich der Löschfrist aus Abschnitt 9
Art und Zweck. Hosting, Speicherung, Analyse und Berichterstattung über Shop- und Website-Daten; Befragung von KI-Engines zum Shop des Kunden und Bewertung ihrer Antworten; Erzeugung von Empfehlungen und Inhalten; Betrieb von Konten, die der Kunde verbindet, innerhalb der von ihm festgelegten Richtlinien; Betrieb einer Community-Plattform; Versand von Transaktions-E-Mails; Bereitstellung von Support; sowie die damit verbundenen technischen Vorgänge (Sicherungen, Protokollierung, Sicherheitsüberwachung)
Betroffene Personen. Die Mitarbeiter und Nutzer des Kunden; die eigenen Kunden und Website-Besucher des Kunden, soweit sich deren Daten in einem verbundenen Shop, Konto oder einer verbundenen Website befinden; Community-Mitglieder; Personen, die in vom Kunden übermittelten Inhalten genannt werden
Datenkategorien. Namen, E-Mail-Adressen, Rollen und Kontokennungen der Nutzer des Kunden; Shop- und Website-Inhalte, die beiläufig personenbezogene Daten enthalten können (Bewertungen, Blogbeiträge, Mitarbeiterseiten); Bestell-, Kunden- und Marketingdaten nur, soweit eine Leistung ausdrücklich ein verbundenes Konto ausliest (Agents und die Community-Plattform), und nur die Felder, die die Leistung benötigt; Profile, Mitgliedschaften, Veranstaltungsteilnahmen und Nachrichten von Community-Mitgliedern; Nutzungs- und Protokolldaten (IP-Adresse, Gerät, Zeitstempel); Support-Korrespondenz
Besondere Kategorien personenbezogener Daten. Keine beabsichtigt. Der Kunde darf solche Daten ohne schriftliche Vereinbarung nicht übermitteln
Häufigkeit. Fortlaufend, solange die Leistungen laufen; auf Abruf bei Beratungsleistungen
Aufbewahrung. Gemäss Abschnitt 9 und der Datenschutzerklärung

Anlage 2. Sicherheitsmassnahmen

Verschlüsselung bei der Übertragung (TLS 1.2 oder höher) für jede Verbindung sowie im Ruhezustand für Datenbanken und Sicherungen, bereitgestellt durch unsere Hosting-Plattformen
Zugangsdaten, API-Schlüssel, Zugriffstoken und Anmeldecodes werden als Einweg-Hashes gespeichert, niemals im Klartext; Geheimnisse werden im Geheimnisspeicher der Hosting-Plattform gehalten, niemals im Quellcode
Der Zugriff auf Produktionssysteme ist auf namentlich benannte Personen beschränkt, die ihn benötigen, durch Multi-Faktor-Authentifizierung geschützt und wird bei Rollenänderungen überprüft
Getrennte Umgebungen für Entwicklung und Produktion; Änderungen durchlaufen vor der Bereitstellung Versionskontrolle und Überprüfung
Protokollierung von Zugriffen und administrativen Vorgängen auf der Infrastruktur; Warnmeldungen bei fehlgeschlagenen Bereitstellungen und Fehlern
Tägliche Sicherungen, die von der Hosting-Plattform gehalten und durch Wiederherstellung getestet werden
Unser Crawler ist auf öffentliche Hosts beschränkt und kann nicht auf private Netzwerke gerichtet werden; Ratenbegrenzungen und Bot-Schutz auf öffentlichen Endpunkten; Sicherheits-Header in jeder Antwort
KI-Anbieter werden auf Grundlage von Geschäftsbedingungen für die geschäftliche API-Nutzung eingesetzt, nach denen Eingaben und Ausgaben nicht zum Training ihrer Modelle verwendet werden
Anbieter werden vor dem Einsatz auf Sicherheits- und Datenschutzbedingungen geprüft
Mitarbeiter und Auftragnehmer sind zur Vertraulichkeit verpflichtet und erhalten Datenschutzanleitungen
Ein Prozess zur Reaktion auf Sicherheitsvorfälle mit dem Meldezeitplan aus Abschnitt 10
Datenminimierung: Die Leistungen lesen nur die Daten, die sie benötigen, und wo immer möglich öffentliche Inhalte

Anlage 3. Unterauftragsverarbeiter

Unterauftragsverarbeiter	Zweck	Standort
Railway Corporation	Anwendungshosting und Datenbanken für die Apps	Vereinigte Staaten
Vercel Inc.	Website-Hosting, Edge-Netzwerk, Dateispeicherung und Analysen	Vereinigte Staaten, mit Edge-Servern weltweit
Cloudflare, Inc.	Bot-Schutz, DNS und Netzwerksicherheit	Vereinigte Staaten, mit Servern weltweit
Stripe, Inc. und Stripe Payments Europe Ltd	Abonnementabrechnung und das Kunden-Abrechnungsportal (Stripe ist eigenständiger Verantwortlicher für Kartendaten)	Vereinigte Staaten, Irland
Resend, Inc.	Transaktions-E-Mails, einschliesslich Anmeldecodes	Vereinigte Staaten
Klaviyo, Inc.	E-Mail, Newsletter und Formulare	Vereinigte Staaten
Cal.com, Inc.	Session-Buchungen	Vereinigte Staaten
Shopify International Ltd und Shopify Inc.	App-Hosting innerhalb eines Shopify-Shops, Abrechnung, Installationsdaten	Kanada, Irland, Vereinigte Staaten
Anthropic PBC, OpenAI OpCo LLC, Google LLC, Perplexity AI Inc., xAI Corp	Erzeugung von Scores, Berichten, Empfehlungen und Inhalten aus vom Kunden übermittelten Daten; Prüfung, wie ein Shop in den Antworten der jeweiligen Engine erscheint	Vereinigte Staaten
DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd)	Prüfung, wie ein Shop in seinen Antworten erscheint. Erhält ausschliesslich öffentliche Shop-Inhalte, niemals Konto- oder Kundendaten	China
Google LLC (Workspace)	E-Mail, Dokumente und Geschäftstools zur Erbringung von Beratung und Support	Vereinigte Staaten, EU

Änderungen dieser Liste werden gemäss Abschnitt 5 mitgeteilt. Die Liste wurde zuletzt am 21. Oktober 2026 aktualisiert.