Vereinbarung zur Auftragsbearbeitung

Diese Standardvereinbarung beschreibt die Bearbeitung von Team-, Mitarbeiter- und Planungsdaten durch Dienstplan Guru im Auftrag der nutzenden Organisation. Sie ergänzt die AGB und die Datenschutzerklärung und gilt für die Teamdatenverarbeitung in Free und Professional. Individuelle Abweichungen können in Textform vereinbart werden.

1. Rollen und Gegenstand

Die Organisation ist für die Daten ihres Teams in der Regel Verantwortliche. Roman Sager, handelnd unter der Bezeichnung Dienstplan Guru, ist für diese Daten Auftragsbearbeiter. Gegenstand ist die Bereitstellung und der technische Betrieb der Dienstplan-Guru-Anwendung einschliesslich Authentifizierung, Planung, Speicherung, Veröffentlichung, Export, Support und Abrechnung der gebuchten Teams.

2. Daten und betroffene Personen

Je nach Nutzung können insbesondere folgende Kategorien betroffen sein:

• Stammdaten von Mitarbeitenden, Planer:innen und weiteren Teammitgliedern, insbesondere Name, E-Mail und Rolle;
• Arbeits-, Einsatz-, Abwesenheits-, Wunsch-, Qualifikations- und Planungsdaten;
• technische Protokoll-, Sicherheits- und Nutzungsdaten sowie Supportkommunikation;
• gegebenenfalls noch aufbewahrte Inhalte aus früher genutzten Assistenz- und Berichtsfunktionen.

Die Organisation entscheidet selbst, welche Daten sie eingibt. Sie soll keine unnötigen Gesundheitsangaben, Diagnosen, Strafdaten oder andere besonders schützenswerte Angaben eingeben. Wenn solche Daten für einen zulässigen Zweck erforderlich sind, muss die Organisation vorab die rechtliche Zulässigkeit und geeignete Schutzmassnahmen prüfen.

Neue Abwesenheiten und Einsatzgrenzen werden ohne medizinische Begründungen erfasst. Die Organisation hinterlegt keine Diagnosen, Arztzeugnisse oder Behandlungsangaben. Frühere sensible Kategorien und Notizen werden durch die neutrale Anzeige nicht aus dem gespeicherten Bestand gelöscht; ihre Bereinigung bedarf einer gesonderten Prüfung und Weisung. Verfügbarkeitsangaben können auch ohne Begründung im Einzelfall gesundheitliche Rückschlüsse zulassen.

3. Weisungen und Zweckbindung

Dienstplan Guru bearbeitet die Daten nur nach dokumentierten Weisungen der Organisation und soweit dies für die vertraglich geschuldete Leistung, Sicherheit, Fehlerbehebung, Support oder gesetzliche Pflichten erforderlich ist. Die Organisation stellt sicher, dass ihre Weisungen und die Dateneingabe rechtmässig sind und informiert die betroffenen Personen angemessen.

4. Vertraulichkeit und Sicherheit

Personen mit Zugriff auf die Daten werden zur Vertraulichkeit verpflichtet. Dienstplan Guru trifft angemessene technische und organisatorische Massnahmen, insbesondere Zugriffskontrollen, rollenbasierte Berechtigungen, Verschlüsselung durch die eingesetzten Infrastruktur- und Zahlungsdienste, Protokollierung sicherheitsrelevanter Vorgänge sowie Verfahren für Sicherung, Wiederherstellung und Löschung. Ein bestimmtes Sicherheitsniveau kann trotz dieser Massnahmen nicht absolut garantiert werden.

5. Weitere Auftragsbearbeiter

Für den Betrieb werden insbesondere Supabase (Datenbank und Anmeldung), Vercel (Webanwendung und Dienstplanberechnung), Zoho mit ZeptoMail und Zoho Mail (Nachrichten und Support) sowie bei Nutzung der jeweiligen Funktionen Stripe eingesetzt. Generative Assistenz- und Berichtsfunktionen sind seit dem Produktwechsel vom 20. Oktober 2026 deaktiviert; frühere Verarbeitung über Vercel AI Gateway und weitere Anbieter wird in der Datenschutzerklärung erläutert. Stripe handelt für bestimmte Zahlungs-, Sicherheits- und gesetzliche Zwecke als eigener Verantwortlicher. Die aktuelle Übersicht der Dienstleister, Zwecke und Datenstandorte ist Bestandteil dieser Vereinbarung. Änderungen werden dort oder über einen angemessenen Hinweis bekannt gemacht. Soweit erforderlich, kann die Organisation aus wichtigem datenschutzrechtlichem Grund Einspruch erheben.

6. Datenübermittlungen ins Ausland

Die primäre Supabase-Datenbank sowie die Serverfunktionen für Webanwendung und Dienstplanberechnung befinden sich in Paris, Frankreich. Weitere Betriebs-, Support-, Mail- und Zahlungsverarbeitungen sowie frühere KI-Verarbeitungen können ausserhalb der Schweiz und des EWR stattfinden, insbesondere in den USA, Singapur und Indien. Die regionale Datenhaltung ist deshalb keine Zusicherung einer ausschliesslich europäischen Verarbeitung aller Dienste. Für Übermittlungen gelten die anwendbaren Datenschutzvorschriften und, soweit erforderlich, geeignete Garantien wie Standardvertragsklauseln. Einzelheiten stehen in der Datenschutzerklärung zu internationalen Übermittlungen und den dort verlinkten Anbieterunterlagen.

7. Unterstützung bei Betroffenenrechten und Vorfällen

Dienstplan Guru unterstützt die Organisation im zumutbaren und technisch möglichen Umfang bei Auskunft, Berichtigung, Löschung, Export, Einschränkung und Sicherheitsvorfällen. Die Organisation leitet Anfragen betroffener Personen nicht ungeprüft an Dienstplan Guru weiter, sondern koordiniert die Antwort als Verantwortliche; bei Bedarf kann sie uns überinfo@berichteguru.com einbeziehen. Erkennen wir einen relevanten Sicherheitsvorfall, informieren wir die betroffene Organisation ohne unangemessene Verzögerung und unterstützen bei der Bewertung und Eindämmung.

8. Rückgabe und Löschung

Die Organisation kann verfügbare Planexporte erstellen und die Löschung ihrer Teamdaten beauftragen. Die bestätigte Teamlöschung wird nach 30 Tagen Rücknahmefrist durchgeführt. Eine persönliche Kontolöschung löscht weder die Teams noch deren erforderliche Personal- und Planungsnachweise. Eine reine Archivierung bewahrt das Team nur lesbar auf.

Für Aufbewahrung und Bereinigung gelten die in der Datenschutzerklärung aufgeführten Fristen. Abweichende notwendige Fristen und Aufbewahrungssperren werden dokumentiert. Gesetzlich aufzubewahrende Abrechnungsbelege werden getrennt behandelt. Vorhandene Teams werden während der Einführung nicht rückwirkend automatisch bereinigt. Externe Sicherungskopien werden nach dem jeweiligen dokumentierten Ablauf behandelt; eine Wiederherstellung muss bereits wirksame Löschaufträge erneut berücksichtigen.

9. Nachweise und Prüfungen

Auf begründete Anfrage stellt Dienstplan Guru angemessene Informationen zur Verfügung, die zur Prüfung der vereinbarten Datenschutz- und Sicherheitsmassnahmen erforderlich sind. Prüfungen dürfen den Betrieb, die Sicherheit anderer Kunden und die Vertraulichkeit nicht unangemessen beeinträchtigen. Vertrauliche Nachweise dürfen in geeigneter Form, etwa als aktuelle Anbieter- oder Sicherheitsdokumentation, erbracht werden.

Hinweis: Diese Standardvereinbarung ist für das aktuelle Angebot vorbereitet und ersetzt keine individuelle Datenschutz- oder Rechtsberatung. Für besondere Kategorien von Daten, grössere Organisationen oder EU/EEA-Konstellationen empfehlen wir eine individuelle Prüfung.

Stand und Vertragsversion: 2026-10-20-v4