Timean
Kostenlos testen

Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Version 1.1 · Stand: 23. Juli 2026 · inkl. Anhang: Technische & organisatorische Massnahmen (TOM)

Parteien

Auftragsbearbeiter (nachfolgend «Anbieter»):
Timean, Inhaber Dino Zukic (Einzelunternehmen) · Schnepfwinkelstrasse 1A, 5745 Safenwil, Schweiz · info@timean.ch. Der Anbieter betreibt die Software-as-a-Service-Anwendung Timean.

Verantwortlicher (nachfolgend «Kunde»): der Kunde gemäss Hauptvertrag (Abo-/Nutzungsvertrag, siehe AGB).

Dieser AVV ist Anhang zum Hauptvertrag und wird mit dessen Abschluss (AGB-Akzeptanz bei der Bestellung) wirksam; er geht bei Widersprüchen in Datenschutzfragen dem Hauptvertrag vor. Auf Wunsch stellt der Anbieter eine unterzeichnete Fassung aus.

1. Gegenstand & Rollen

1.1 Der Kunde nutzt Timean zur Verwaltung seines Betriebs (Zeiterfassung, Kunden-/ Liegenschaftsverwaltung, Offerten, Rechnungen, Mitarbeiter- und Vertragsdaten, Spesen).

1.2 Dabei verarbeitet der Anbieter im Auftrag und nach Weisung des Kunden Personendaten. Der Kunde ist Verantwortlicher (bestimmt Zweck und Mittel), der Anbieter ist Auftragsbearbeiter i. S. v. Art. 9 revDSG / Art. 28 DSGVO.

1.3 Der Anbieter verarbeitet die Daten ausschliesslich zur Erbringung der vertraglichen Leistung und nicht für eigene Zwecke (keine Auswertung, kein Verkauf, kein Training von KI-Modellen mit Kundendaten).

2. Art der Daten & Kategorien betroffener Personen

Kategorien betroffener Personen

Kategorien von Personendaten

Hinweis: Zahlungsdaten der Abo-Zahlung (Kreditkarte des Kunden) werden nicht vom Anbieter, sondern direkt von Stripe verarbeitet (Ziff. 6).

3. Weisungen

3.1 Der Anbieter verarbeitet Daten nur auf dokumentierte Weisung des Kunden. Der Hauptvertrag und dieser AVV gelten als Grundweisung.

3.2 Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden.

4. Pflichten des Anbieters

4.1 Vertraulichkeit: Zur Verarbeitung berechtigte Personen sind zur Vertraulichkeit verpflichtet.

4.2 Datensicherheit: Der Anbieter trifft angemessene technische und organisatorische Massnahmen (TOM, siehe Anhang), u. a.:

4.3 Unterstützung: Der Anbieter unterstützt den Kunden angemessen bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenportabilität) und bei Meldepflichten.

4.4 Datenexport: Der Kunde kann seine Daten jederzeit über die Anwendung exportieren (Backup-Download / CSV). Bei Vertragsende siehe Ziff. 8.

5. Meldung von Datenschutzverletzungen

5.1 Der Anbieter meldet dem Kunden eine ihm bekannt gewordene Verletzung des Schutzes von Personendaten unverzüglich, spätestens innert 48 Stunden, mit den verfügbaren Angaben (Art, betroffene Kategorien, wahrscheinliche Folgen, ergriffene Massnahmen).

5.2 Die Meldung an die Aufsichtsbehörde (EDÖB / zuständige EU-Behörde) und ggf. an Betroffene obliegt dem Kunden als Verantwortlichem; der Anbieter liefert die nötigen Informationen zu.

6. Unterauftragsverarbeiter (Subunternehmer)

6.1 Der Kunde genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter:

SubunternehmerZweckStandort
Hetzner Online GmbHHosting / Server-InfrastrukturDeutschland (EU)
Stripe Payments Europe, Ltd.Abo-ZahlungsabwicklungEU / USA (SCC)
Cloudflare, Inc.DNS, TLS, Schutz der DiensteEU / global (SCC)
Brevo (Sendinblue GmbH)Versand transaktionaler E-MailsDeutschland (EU)
Infomaniak SAKI-Textvorschläge, nur bei aktiviertem KI-Add-on; keine Bank-/ZahlungsdatenSchweiz
Expo (650 Industries, Inc.)Zustellung von Mitteilungen an die mobile App: Push-Kennung des Geräts und angezeigter Text; keine LohnbeträgeUSA (SCC)
Apple Inc. / Google Ireland Ltd.Mitteilungsdienste der Betriebssysteme (letzte Zustellstufe an das Gerät)USA / Irland (SCC)

6.2 Der Anbieter informiert den Kunden über beabsichtigte Änderungen (neuer/ersetzter Subunternehmer) mit einer Frist von 30 Tagen; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

6.3 Der Anbieter verpflichtet Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten.

7. Grenzüberschreitende Bekanntgabe

7.1 Daten werden grundsätzlich in der Schweiz bzw. im EU/EWR-Raum verarbeitet (angemessenes Schutzniveau). Erfolgt eine Bekanntgabe in ein Drittland (z. B. USA via Stripe, USA beim Zustellen von Mitteilungen an die mobile App), stützt sie sich auf geeignete Garantien (Standardvertragsklauseln / SCC, ggf. mit Ergänzungen für die Schweiz) und beschränkt sich auf die dafür nötigen Angaben.

8. Beendigung: Rückgabe & Löschung

8.1 Nach Vertragsende erhält der Kunde für 30 Tage Gelegenheit zum vollständigen Datenexport (Backup-Download).

8.2 Danach werden die Kundeninstanz und alle Personendaten (inkl. Backups) innert 90 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (z. B. Geschäftsbücher/Rechnungen: 10 Jahre, Art. 958f OR; dann verbleibt die Verantwortung/Ablage beim Kunden).

8.3 Die Löschung wird dem Kunden auf Wunsch bestätigt.

9. Nachweise & Audit

9.1 Der Anbieter stellt dem Kunden die zur Einhaltung erforderlichen Informationen zur Verfügung (dieser AVV, der TOM-Anhang).

9.2 Der Kunde kann die Einhaltung in angemessenem Rahmen überprüfen (in erster Linie durch Einholen von Auskünften/Dokumenten; Vor-Ort-Prüfungen nur bei begründetem Anlass und mit Vorankündigung).

10. Haftung & Schlussbestimmungen

10.1 Es gilt die Haftungsregelung des Hauptvertrags (AGB Ziff. 8), soweit datenschutzrechtlich zulässig.

10.2 Anwendbares Recht: Schweizer Recht; Gerichtsstand am Sitz des Anbieters (Safenwil AG), soweit gesetzlich zulässig. Bei EU-Betroffenen bleiben zwingende Rechte der DSGVO unberührt.

10.3 Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag gültig.

Anhang: Technische & organisatorische Massnahmen (TOM)

Dokumentiert die Massnahmen zum Schutz der im Auftrag verarbeiteten Personendaten (Art. 8 revDSG / Art. 32 DSGVO). Das Dokument spiegelt den aktuellen Implementierungsstand und wird bei Architekturänderungen nachgeführt.

A1. Vertraulichkeit

A2. Integrität

A3. Verfügbarkeit & Belastbarkeit

A4. Regelmässige Überprüfung

A5. Datenschutzfreundliche Voreinstellungen

A6. Löschung & Meldung