Auftragsbearbeitungsvertrag (AVV)

1. Parteien und Rollen

Verantwortlicher ist der Betrieb, der Brixian nutzt (nachfolgend «Betrieb»). Auftragsbearbeiterin ist die Linara GmbH, Jurastrasse 18, 4106 Therwil, Schweiz (UID CHE-338.913.749; nachfolgend «Linara»).

Linara bearbeitet die Personendaten, die der Betrieb in Brixian erfasst oder von seinen Mitarbeitenden und seiner Kundschaft erfassen lässt, in seinem Auftrag nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG). Für die Daten des Kontos selbst – die Anmeldung und die bestätigte Version der AGB – ist Linara selbst verantwortlich; dafür gilt die Datenschutzerklärung.

[Anwalt: ob zusätzlich die DSGVO gilt, z. B. für Betriebe oder Kundschaft in Liechtenstein oder der EU – prüfen]

2. Gegenstand und Dauer

Gegenstand ist der Betrieb von Brixian für den Betrieb: Daten speichern und anzeigen, Dokumente berechnen und als PDF erstellen, auf Auslösung die KI-Funktionen und die Spracherkennung ausführen, E-Mails versenden (sobald eingerichtet) sowie die Daten sichern und exportieren.

Der AVV gilt, solange der Vertrag nach den AGB besteht, und danach, bis Linara die Daten des Betriebs gelöscht hat (Ziffer 10 dieses Vertrags).

3. Art der Daten und betroffene Personen

Je nachdem, wie der Betrieb Brixian nutzt, bearbeitet Linara Daten über diese Personen:

• Kundinnen und Kunden des Betriebs: Name, Adresse, Kontaktperson, E-Mail, Telefon und Zahlungsfrist; Offerten, Rechnungen, Gutschriften, Mahnungen und Zahlungen. Bei der Online-Annahme einer Offerte der eingegebene vollständige Name, die mit dem Finger gezeichnete Unterschrift, der Zeitpunkt und der bestätigte Wortlaut; bei der Unterschrift auf einem Tagesrapport Name, gezeichnete Unterschrift und Zeitpunkt.
• Mitarbeitende des Betriebs: Name und verrechneter Ansatz; mit Zugang am Handy die gestempelten Zeiten (Start, Pause, Weiter, Fertig), Notizen, Material, die Angabe «Zusatzarbeit» und die Stunden pro Monat; im Stundennachweis pro Person und Monat Kommen, Gehen, Pause, die Soll-Stunden pro Tag, ein Kostensatz und Abwesenheiten (Ferien, Krank, Arztbesuch, Militär, Feiertag, Unbezahlt). Standortdaten erfasst Brixian nicht.
• Weitere Personen, die in Aufträgen, Rapporten, Notizen oder Dokumenten vorkommen, zum Beispiel Ansprechpersonen auf einer Baustelle.
• Empfängerinnen und Empfänger von E-Mails, die der Betrieb aus Brixian versendet (sobald der Versand eingerichtet ist): Adresse, Betreff, Text, Name des Anhangs und Zeitpunkt; das PDF selbst wird nicht gespeichert.
• Zahlende aus einem Kontoauszug: nur bei den Zahlungen, die der Betrieb bestätigt, Name, Betrag, Tag und Buchungsnummer der Bank. Die Datei aus dem E-Banking liest nur der Browser.
• Gesprochenes und Getipptes für Diktat, Notizen und Assistent: Eine Aufnahme wird auf dem Server nur für die Umwandlung in Text bearbeitet und dort nie gespeichert; auf dem Gerät bleibt sie, bis ihr Text bestätigt ist, höchstens 7 Tage. Den Text eines Diktats speichert Brixian nicht, nur was daraus übernommen wird. Notizen in «Zu prüfen» und ihre Vorschläge bleiben gespeichert, bis jeder Vorschlag entschieden ist, und danach noch 30 Tage; Vorschläge des Assistenten höchstens 30 Tage, sein Gesprächsverlauf nur auf dem Gerät, höchstens 7 Tage.

Besonders schützenswerte Personendaten: Der Stundennachweis hält Abwesenheiten wie «Krank» und «Arztbesuch» pro Person und Tag fest – das sind Angaben über die Gesundheit (Art. 5 Bst. c DSG). Weitere besonders schützenswerte Personendaten sind in Brixian nicht vorgesehen; der Betrieb erfasst keine. [Anwalt: Umgang mit diesen Gesundheitsangaben prüfen, und ob gezeichnete Unterschriften als besonders schützenswert gelten]

4. Weisungen

Linara bearbeitet die Daten nur so, wie der Betrieb es selbst dürfte, und nur nach seinen Weisungen. Die Weisungen ergeben sich aus den AGB, aus diesem AVV und aus der Nutzung von Brixian durch den Betrieb – was er erfasst, ändert, versendet, exportiert oder löscht. Weitere Weisungen gibt er per E-Mail.

Linara verwendet die Daten nicht für eigene Zwecke. Hält Linara eine Weisung für datenschutzwidrig, teilt sie das dem Betrieb mit. [Anwalt: Vorgehen bei einer solchen Weisung prüfen]

5. Vertraulichkeit

Linara verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit. Sie greifen nur auf Daten eines Betriebs zu, soweit es für den Betrieb von Brixian, seine Sicherheit, das Beheben eines Fehlers oder auf Wunsch des Betriebs nötig ist. [Schriftliche Verpflichtung aller Beteiligten zur Vertraulichkeit – bitte ergänzen]

6. Technische und organisatorische Massnahmen

Linara schützt die Daten heute mit diesen Massnahmen:

• Trennung der Betriebe: Der Server von Brixian prüft bei jeder Anfrage, dass sie nur Daten des eigenen Betriebs betrifft. Für Zugriffe, die nicht über diesen Server laufen, sperrt zusätzlich die Datenbank fremde Daten; der Server selbst greift mit einem Konto zu, für das diese Sperre nicht gilt – für ihn gilt seine eigene Prüfung.
• Zugang: Anmeldung mit E-Mail und Passwort, das nur als Prüfwert (Hash) gespeichert wird; Mitarbeitende mit einem persönlichen Einladungslink, der sieben Tage gilt und nur einmal verwendbar ist. Einen gesperrten Zugang weist der Server sofort ab.
• Rollen: Mitarbeitende sehen nur, was sie für ihre Arbeit brauchen – keine Preise, keine Rechnungen und keine Zeiten anderer.
• Links: Einladungs- und Offerten-Links sind zufällig und nicht erratbar; Brixian speichert davon nur einen Prüfwert, und der Server macht sie in seinem Protokoll und in Fehlermeldungen unkenntlich.
• Schutz vor Missbrauch: Zu viele Anfragen in kurzer Zeit weist der Server ab; eine Prüfung gegen automatische Anmeldungen lässt sich zuschalten.
• Protokolle ohne Inhalte: Der Server protokolliert Anfragen technisch (Zeitpunkt, Adresse, IP-Adresse, Antwortcode, Dauer), aber nicht, was sie mitbringen. Fehlermeldungen gehen ohne den Inhalt der Anfrage, ohne Passwörter und ohne Dateien weg; nur ein Fehlertext selbst kann selten einen Wert nennen.
• Datensparsamkeit: An die KI geht nur, was die jeweilige Funktion braucht – beim Lesen eines Dokuments das Dokument, bei Diktat und Notizen der Text, beim Übersetzen der zu übersetzende Text, beim Schätzen fehlender Preise die Zeilen ohne Preis (Text, Menge, Einheit), bei «Fragen» die Nachricht, die Seite, auf der man ist, ein dort offenes, ungespeichertes Formular und die Daten, die er für die Antwort aus dem eigenen Konto liest. Hochgeladene Dateien (ausser dem Logo) und Aufnahmen speichert Brixian auf dem Server nicht.
• Nachvollziehbarkeit: Ausgestellte Rechnungen bleiben unverändert; jede Zahlung ist eine eigene Buchung, die nie gelöscht, sondern mit Grund storniert wird.
• Verfügbarkeit für den Betrieb: Er kann alle Daten jederzeit herunterladen (Ziffer 8 dieses Vertrags).

[Verschlüsselung der Verbindung (HTTPS) und der gespeicherten Daten beim Hosting und bei der Datenbank, Sicherungen (Häufigkeit, Ort, Aufbewahrung) – bitte ergänzen]

Ändert Linara die Massnahmen, bleibt der Schutz mindestens gleichwertig.

7. Unterauftragsbearbeiter

Mit diesem AVV genehmigt der Betrieb, dass Linara die folgenden Dienstleister beizieht. Dienste, die noch nicht in Betrieb sind, sind so bezeichnet; Linara zieht sie erst bei, wenn sie in Brixian eingeschaltet werden.

• Supabase Inc. (USA) – Datenbank und Anmeldung. Standort der Datenbank: heute ein Supabase-Projekt in Irland (EU), das nur Testdaten enthält. [Standort der Datenbank im Betrieb – bitte ergänzen] In Betrieb.
• Render Services, Inc. (USA) – Betrieb der Web-App und des Servers, mit dem technischen Protokoll der Anfragen. Standort: Rechenzentrum Frankfurt (Deutschland, EU). In Betrieb ab dem Start.
• Anthropic PBC (USA) – KI-Funktionen, nur auf Auslösung: Dokumente lesen, Diktat, Notizen auswerten, «Fragen», Übersetzen, fehlende Preise schätzen. In Betrieb.
• Microsoft (Azure Speech) – Aufnahmen in Text umwandeln. Standort: Rechenzentrum Switzerland North (Schweiz). In Betrieb, sobald eingerichtet.
• Google (Cloud Speech-to-Text, Modell Chirp 3) – Aufnahmen in Text umwandeln, als Testmöglichkeit des Betreibers für das Diktat im Büro. Standort: EU-Region. Für Kundinnen und Kunden nicht in Betrieb, ausser eingeschaltet.
• Amazon Web Services (Amazon SES) – Versand von E-Mails aus Brixian. Standort: standardmässig Region Zürich (eu-central-2), Schweiz. Eingebaut, noch nicht in Betrieb.
• Sentry (Functional Software, Inc., USA) – Fehlermeldungen. Standort: nur die EU-Region von Sentry. [Ob Sentry eingeschaltet ist – bitte ergänzen]
• Cloudflare, Inc. (USA) – Prüfung gegen automatische Anmeldungen (Turnstile). Nur wenn eingeschaltet.
• Meta Platforms Ireland Ltd. – WhatsApp (Nachrichten an Brixian, nur für Inhaber). Eingebaut, noch nicht in Betrieb.

Neue oder ersetzte Unterauftragsbearbeiter teilt Linara dem Betrieb vorher mit. [Frist und Weg dieser Mitteilung – bitte ergänzen] [Anwalt: Widerspruchsrecht des Betriebs und seine Folgen prüfen]

Linara verpflichtet die Unterauftragsbearbeiter vertraglich auf einen Datenschutz, der diesem AVV entspricht. [Stand der Verträge mit den Dienstleistern – bitte ergänzen]

Anthropic, Supabase, Render, Cloudflare und Sentry sind Unternehmen mit Sitz in den USA; Microsoft, Amazon Web Services und Google gehören zu Konzernen mit Sitz in den USA, auch wo sie die Daten in der Schweiz oder der EU bearbeiten. [Anwalt: Grundlage der Bekanntgabe ins Ausland (Art. 16 DSG) je Dienst prüfen]

8. Unterstützung bei Anfragen betroffener Personen

Will eine Person wissen, welche Daten über sie bearbeitet werden, oder will sie Daten berichtigen oder löschen lassen, antwortet der Betrieb. Brixian gibt ihm die Werkzeuge dazu: Er sieht und berichtigt die Daten in Brixian selbst und löscht sie dort, soweit Brixian es zulässt – ausgestellte Rechnungen bleiben unverändert, und die gestempelten Zeiten eines Mitarbeiters bleiben, wenn er gesperrt wird.

Unter Einstellungen → «Alle Daten herunterladen» erhält der Betrieb jederzeit alle Daten als ZIP-Datei, vollständig als JSON-Datei und als Tabellen; die Zeiten eines Mitarbeiters gibt es pro Monat als CSV oder PDF. Wendet sich eine Person direkt an Linara, leitet Linara die Anfrage an den Betrieb weiter und unterstützt ihn, soweit er es mit diesen Werkzeugen nicht selbst kann.

9. Verletzungen der Datensicherheit

Stellt Linara eine Verletzung der Datensicherheit fest, die Daten des Betriebs betrifft, meldet sie diese dem Betrieb so rasch als möglich (Art. 24 DSG) und unterstützt ihn bei seiner eigenen Meldung. [Weg der Meldung an den Betrieb – bitte ergänzen]

10. Rückgabe und Löschung am Ende

Vor dem Ende des Vertrags kann der Betrieb alle Daten herunterladen (Ziffer 8 dieses Vertrags). Dieser Export gilt als Rückgabe der Daten.

Nach dem Ende des Abos – oder einer Prüfzeit ohne Abo – bleiben die Daten 6 Monate gespeichert (Ziffer 8 der AGB). Danach löscht Linara die Daten des Betriebs, soweit kein Gesetz die Aufbewahrung verlangt. Sicherungen der Datenbank enthalten sie bis längstens [Frist – bitte ergänzen]. Auf Wunsch bestätigt Linara die Löschung.

Seine eigenen Aufbewahrungspflichten, zum Beispiel zehn Jahre für Geschäftsbücher und Buchungsbelege (Art. 958f OR), erfüllt der Betrieb mit dem Export selbst.

11. Kontrolle

Linara gibt dem Betrieb auf Anfrage die Auskünfte, die er braucht, um die Einhaltung dieses AVV zu prüfen. [Anwalt: Kontrollen vor Ort oder durch Prüfer – Ankündigung, Häufigkeit und Kosten prüfen]

12. Schlussbestimmungen

Dieser AVV ist Teil der AGB. Widersprechen sich AGB und AVV beim Schutz von Personendaten, geht der AVV vor. Für Haftung, anwendbares Recht und Gerichtsstand gelten die AGB.

Fragen zum Datenschutz per E-Mail an: [Adresse noch nicht eingerichtet – bitte ergänzen].