Auftragsbearbeitungsvertrag (AVV)

1. Annahme und Nachweis

Wo: In Stylingcorner PRO unter Einstellungen → Datenschutz & Daten. Annehmen können nur Personen mit der Rolle Inhaberin/Inhaber oder Manager des Unternehmens; Mitarbeitende sehen den Status, können aber nicht annehmen.

Was angenommen werden kann: ausschliesslich die aktuell wirksame Fassung dieses AVV — also eine Fassung, die intern freigegeben wurde und deren Wirksamkeitsdatum erreicht ist, in der gewählten Sprache (Deutsch oder Englisch). Ältere, noch nicht wirksame oder nicht freigegebene Fassungen können nicht angenommen werden.

Was festgehalten wird: das Unternehmen, die annehmende Person, der Zeitpunkt, die Fassung, die Sprache, ein SHA-256-Fingerabdruck des exakten Textes dieser Fassung in dieser Sprache sowie IP-Adresse und Browser-Kennung der Anfrage. Die Annahme wird zusätzlich im Audit-Protokoll vermerkt.

Aufbewahrung der Fassungen: Der exakte Text jeder annehmbaren Fassung wird unter ihrer Versionsnummer archiviert und bleibt auch nach Erscheinen einer neuen Fassung verfügbar, sodass jede Annahme dem damals angenommenen Wortlaut zugeordnet werden kann. Annahmen werden nur angefügt, nie überschrieben.

Neue Fassungen: Wird eine neue Fassung wirksam, zeigt PRO an, dass die bisherige Annahme nicht mehr die aktuelle Fassung betrifft; die neue Fassung muss ausdrücklich angenommen werden. Die blosse Nutzung von PRO gilt nicht als Annahme.

2. Parteien und Rollen

Auftragsbearbeiterin ist die IDS Business Live AG (CHE-140.202.303, Badenerstrasse 808, 8048 Zürich). Verantwortlich ist das jeweilige Unternehmen.

Nicht Gegenstand dieses AVV sind Bearbeitungen, für die Stylingcorner selbst verantwortlich ist, insbesondere: Marketplace-Kundenkonten, Suche und Buchungsablauf auf dem Marketplace samt Buchungsbenachrichtigungen an die Kundschaft, das Bewertungssystem und dessen Moderation, die Login- und Sicherheitskonten der Mitarbeitenden, die Prüfung von Beanspruchungs- und Verifizierungsdokumenten, das PRO-Abonnement samt Abrechnung sowie Sicherheits- und Audit-Protokolle. Hierfür gilt die Datenschutzerklärung von Stylingcorner.

3. Gegenstand und Dauer

Gegenstand ist die Bearbeitung der Personendaten, die das Unternehmen in der Software erfasst oder die dort für das Unternehmen entstehen (siehe Abschnitte 4–6).

Die Bearbeitung dauert, solange das Unternehmen die Software nutzt, und endet mit der Vertragsbeendigung vorbehältlich Abschnitt 13 (Rückgabe und Löschung).

4. Art und Zweck der Bearbeitung

Stylingcorner bearbeitet die Daten ausschliesslich, um dem Unternehmen die folgenden Softwarefunktionen bereitzustellen: Kundenverwaltung (Kundendatensätze, Kontaktangaben, Geburtstag, Einwilligungen der eigenen Kundschaft, Notizen); Kalender und Terminverwaltung, einschliesslich der über den Marketplace eingegangenen Buchungen, soweit sie im System des Unternehmens geführt werden; Team- und Mitarbeitendenverwaltung (Profile, Arbeitszeiten, Abwesenheiten, Rollen und Berechtigungen, Einladungs-E-Mails an Mitarbeitende); Kasse und Verkäufe (Verkäufe, Positionen, Zahlungen, Rückerstattungen, Trinkgeld) sowie darauf beruhende Auswertungen; Gutscheine und Geschenkkarten (inkl. empfangender Kundin bzw. empfangendem Kunden und Nachricht); Benachrichtigungen an das Unternehmen und seine Mitarbeitenden innerhalb von PRO; Anzeige der Bewertungen des Unternehmens und Verwaltung seiner Antworten darauf.

Eine Bearbeitung dieser Daten zu eigenen Zwecken von Stylingcorner — etwa Weiterverkauf oder eigenes Marketing — findet nicht statt.

5. Betroffene Personen

Kundinnen und Kunden des Unternehmens (auch solche, die über den Marketplace gebucht haben, soweit ihre Daten im System des Unternehmens geführt werden), Empfängerinnen und Empfänger von Gutscheinen sowie Mitarbeitende des Unternehmens.

6. Datenkategorien

Kundendaten: Stamm- und Kontaktdaten, Geburtstag, Einwilligungen, Terminhistorie, Verkäufe und Zahlungen, Gutscheine sowie freiformulierte Notizen und Termin-Anmerkungen.

Mitarbeitendendaten: Name, Profilangaben, Foto, Arbeitszeiten, Abwesenheits- und Zeitblöcke einschliesslich krankheitsbedingter Abwesenheiten (mit optionaler Notiz), Rolle und Berechtigungen.

Freitextfelder können im Einzelfall besonders schützenswerte Daten (z. B. Gesundheitsangaben) enthalten, wenn das Unternehmen solche einträgt. Das Unternehmen ist dafür verantwortlich, nur erforderliche Angaben zu erfassen. Stylingcorner wertet den Inhalt nicht zu eigenen Zwecken aus.

7. Weisungen

Stylingcorner bearbeitet die Daten nur auf dokumentierte Weisung des Unternehmens. Als Weisung gelten dieser AVV, die Konfiguration und Nutzung der Software durch das Unternehmen sowie schriftliche Einzelweisungen an legal@stylingcorner.ch.

Hält Stylingcorner eine Weisung für rechtswidrig, informiert sie das Unternehmen unverzüglich und kann die Ausführung bis zur Klärung aussetzen.

8. Vertraulichkeit

Personen, die bei Stylingcorner Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und erhalten Zugang nur, soweit es für ihre Aufgabe erforderlich ist. Technisch ist der Zugriff eines Unternehmens serverseitig auf seine eigenen Daten beschränkt.

9. Sicherheitsmassnahmen

Stylingcorner trifft angemessene technische und organisatorische Massnahmen. Der verifizierte Stand — einschliesslich der noch nicht umgesetzten Massnahmen — ist auf der Seite «Sicherheit» des Datenschutzzentrums dokumentiert und gilt als Anhang zu diesem AVV in der bei der Annahme veröffentlichten Fassung.

10. Unterauftragsbearbeiter

Allgemeine Genehmigung: Das Unternehmen genehmigt den Beizug der auf der Seite «Unterauftragsbearbeiter» aufgeführten Dienstleister. Stylingcorner verpflichtet jeden Unterauftragsbearbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht, und bleibt dem Unternehmen gegenüber für dessen Einhaltung verantwortlich.

Vorabinformation: Stylingcorner informiert das Unternehmen vor dem Beizug eines neuen oder dem Ersatz eines bestehenden Unterauftragsbearbeiters per E-Mail an die hinterlegte Kontaktadresse des Unternehmens und durch Aktualisierung der Seite «Unterauftragsbearbeiter» samt Änderungsverlauf.

Widerspruchsrecht: Das Unternehmen kann innerhalb der Informationsfrist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen dann eine einvernehmliche Lösung; gelingt dies nicht, kann das Unternehmen den Vertrag auf den Zeitpunkt des Beizugs kündigen.

Umsetzungsstand: Ein automatisierter Versand dieser Vorabinformation ist technisch noch nicht umgesetzt; bis dahin erfolgt die Information manuell.

11. Übermittlungen ins Ausland

Daten werden nur in Staaten mit angemessenem Datenschutz oder unter geeigneten Garantien im Sinne des Datenschutzgesetzes übermittelt. Welche Anbieter Daten ausserhalb der Schweiz bearbeiten, zeigt die Seite «Internationale Datenübermittlungen».

12. Unterstützung des Unternehmens

Anfragen betroffener Personen: Wendet sich eine betroffene Person mit einem Anliegen zu Daten des Unternehmens an Stylingcorner, leitet Stylingcorner die Anfrage an das Unternehmen weiter und beantwortet sie nicht selbst, ausser auf Weisung. Das Unternehmen kann Kundendatensätze in PRO selbst einsehen, berichtigen und deaktivieren; eine endgültige Löschung oder ein Export einzelner Datensätze erfolgt derzeit auf Anfrage manuell durch Stylingcorner.

Datenschutzverletzungen: Stylingcorner informiert das Unternehmen so rasch wie möglich, nachdem sie eine Verletzung der Datensicherheit festgestellt hat, die Daten des Unternehmens betrifft, und stellt die verfügbaren Informationen zur Verfügung, die das Unternehmen für seine eigene Beurteilung und allfällige Meldungen benötigt.

Weitere Unterstützung: Stylingcorner unterstützt das Unternehmen im zumutbaren Rahmen bei Datenschutz-Folgenabschätzungen und bei Anfragen von Behörden, soweit die dafür nötigen Informationen bei Stylingcorner liegen.

13. Rückgabe und Löschung bei Vertragsende

Nach Vertragsende stellt Stylingcorner dem Unternehmen auf Anfrage an legal@stylingcorner.ch seine Daten (insbesondere Kunden-, Termin- und Verkaufsdaten) in einem gängigen, maschinenlesbaren Format zur Verfügung. Eine Selbstbedienungs-Exportfunktion besteht derzeit nicht; der Export erfolgt manuell.

Anschliessend löscht Stylingcorner die Daten des Unternehmens oder macht sie so unkenntlich, dass sie keiner Person mehr zugeordnet werden können, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein automatisierter Ablauf dafür besteht derzeit nicht; die Löschung erfolgt manuell auf Anfrage bzw. nach dem noch festzulegenden Verfahren. Kopien in Backups werden erst mit dem Ablauf des jeweiligen Backups entfernt.

14. Nachweise und Überprüfungen

Stylingcorner stellt dem Unternehmen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und ermöglicht nach vorheriger Absprache Überprüfungen durch das Unternehmen oder eine von ihm beauftragte, zur Vertraulichkeit verpflichtete Prüfperson — soweit dadurch die Sicherheit der Plattform und die Daten anderer Kundinnen und Kunden nicht beeinträchtigt werden. Eine unabhängige Zertifizierung oder ein externer Penetrationstest liegt derzeit nicht vor.

15. Verhältnis zu den internen Freigabe-Einträgen

Der hier angezeigte Text stammt aus dem Quellcode der Plattform. Die interne Freigabe einer Fassung wird separat im Verwaltungsbereich von Stylingcorner erfasst; diese Einträge steuern den Text dieser Seite nicht. Eine Annahme ist nur möglich, wenn für dieselbe Fassung und Sprache sowohl eine wirksame Freigabe als auch der archivierte exakte Text vorliegen.

16. Anwendbares Recht

Dieser AVV untersteht dem schweizerischen Recht, insbesondere dem Datenschutzgesetz (DSG).

Ob daneben die EU-Datenschutz-Grundverordnung (DSGVO) auf die Bearbeitung anwendbar ist, hängt von einer Beurteilung der konkreten Umstände ab (z. B. ob das Unternehmen Personen in der EU gezielt Leistungen anbietet). Ist sie anwendbar, ergänzen die Parteien diesen AVV soweit nötig um die Anforderungen von Art. 28 DSGVO.