Auftragsverarbeitungsvertrag (AVV) – Anhang zu den AGB von Knister picks
Stand: 2. November 2026 · Version 1.0
Dieser AVV ist Bestandteil der AGB von Knister picks und gilt mit deren Annahme. Er regelt die Bearbeitung von Personendaten, die das Studio (Verantwortlicher) in Knister picks erfasst und die der Anbieter (Auftragsbearbeiter) in seinem Auftrag bearbeitet. Er erfüllt Art. 9 DSG und, soweit anwendbar, Art. 28 DSGVO.
1. Gegenstand und Dauer
1.1 Gegenstand ist die Bereitstellung von Knister picks gemäss AGB Ziffer 2.
1.2 Der AVV gilt so lange, wie der Anbieter Personendaten für das Studio bearbeitet, einschliesslich der Aufbewahrung nach AGB Ziffer 8.3.
2. Art der Daten und betroffene Personen
| Betroffene Personen | Datenarten |
|---|---|
| Endkunden des Studios | Namen, Projekt- und Raumbezeichnungen, Texte und Notizen mit Personenbezug |
| Mitarbeitende des Studios | Namen und Angaben in Projekten |
| Betrachter von Kunden-Links | Technische Daten (IP-Adresse, Zeitpunkt, Browser) |
Das Studio erfasst keine besonders schützenswerten Personendaten (z. B. Gesundheitsdaten) in Knister picks.
3. Weisungen
3.1 Der Anbieter bearbeitet die Daten nur, um Knister picks gemäss AGB bereitzustellen, und nach dokumentierten Weisungen des Studios. Die AGB, dieser AVV und die Einstellungen in Knister picks gelten als Weisungen.
3.2 Hält der Anbieter eine Weisung für rechtswidrig, informiert er das Studio.
4. Vertraulichkeit
Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
5. Datensicherheit
Der Anbieter trifft angemessene technische und organisatorische Massnahmen, insbesondere:
- verschlüsselte Übertragung (TLS);
- Trennung der Daten pro Studio; jedes Studio sieht nur seine eigenen Daten;
- Anmeldung mit persönlichem Zugang; Kunden-Links nicht erratbar, erneuer- und deaktivierbar;
- Hosting bei etablierten Dienstleistern mit eigenen Sicherheitszertifizierungen;
- Datensicherungen durch den Datenbank-Dienstleister.
6. Unterauftragsbearbeiter
6.1 Das Studio genehmigt den Beizug der folgenden Unterauftragsbearbeiter:
| Unterauftragsbearbeiter | Aufgabe | Ort |
|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung | EU (Rechenzentrum) |
| Vercel Inc. | Hosting | USA / weltweit |
| Resend, Inc. | Systemmitteilungen | EU (Irland), Unternehmen in den USA |
6.2 Neue oder ersetzte Unterauftragsbearbeiter kündigt der Anbieter mindestens 30 Tage im Voraus per E-Mail an. Das Studio kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag auf das Inkrafttreten kündigen.
6.3 Der Anbieter verpflichtet Unterauftragsbearbeiter vertraglich auf gleichwertige Datenschutzpflichten. Bei Bekanntgabe in Staaten ohne angemessenen Datenschutz sorgt er für geeignete Garantien (z. B. Data-Privacy-Framework-Zertifizierung oder Standardvertragsklauseln).
7. Unterstützung des Studios
7.1 Der Anbieter unterstützt das Studio im zumutbaren Rahmen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung). Anfragen, die direkt beim Anbieter eingehen, leitet er an das Studio weiter.
7.2 Der Anbieter meldet dem Studio Verletzungen der Datensicherheit, die dessen Daten betreffen, unverzüglich, spätestens innert 48 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Das Studio kann seine Daten jederzeit als PDF oder Excel exportieren und sein Konto mit allen Daten jederzeit selbst löschen (Studio → Konto löschen). Nach Vertragsende löscht der Anbieter die Daten gemäss AGB Ziffer 8.3, sofern keine gesetzliche Aufbewahrungspflicht besteht. Gesicherte Kopien in Datensicherungen werden im regulären Zyklus des Dienstleisters überschrieben.
9. Nachweis und Kontrolle
Der Anbieter stellt dem Studio auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV nötig sind. Kontrollen erfolgen in erster Linie durch schriftliche Auskünfte und die Zertifikate der Unterauftragsbearbeiter.
10. Haftung und Vorrang
Für die Haftung gelten die AGB. Bei Widersprüchen zwischen AGB und AVV geht der AVV für Fragen des Datenschutzes vor.