Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag gilt zwischen dem Salon, der die Plattform myhairZ nutzt („Verantwortlicher“), und myhairz, Philipp Bader, Remetschwilerstrasse 1, 5454 Bellikon („Auftragsbearbeiter“). Er ist integrierender Bestandteil der AGB und gilt mit deren Annahme als abgeschlossen.

Gegenstand ist die Bearbeitung von Personendaten der Kundinnen und Kunden des Salons durch den Auftragsbearbeiter zum Betrieb der Plattform, gestützt auf Art. 9 DSG und – soweit anwendbar – Art. 28 DSGVO.

Betroffene Personen: Kundinnen und Kunden des Salons (einschliesslich Personen, die über die Online-Buchung einen Termin buchen) sowie Mitarbeitende des Salons.

Datenkategorien: Kontaktdaten, Geburtsjahr, Haarprofil, Vorlieben, Farbrezepturen, Termine und Leistungen, gekaufte Produkte, Belege und Rechnungen, Notizen, Werbe-Einwilligungen sowie als besonders schützenswerte Personendaten Angaben zu Allergien und zur Kopfhaut.

• Er ist für die Rechtmässigkeit der Bearbeitung verantwortlich und informiert seine Kundschaft angemessen.
• Er erfasst Allergie- und Kopfhautangaben nur mit Einwilligung der betroffenen Person und dokumentiert diese über das dafür vorgesehene Feld.
• Er versendet Werbe-E-Mails nur an Personen, die eingewilligt haben.
• Er beantwortet Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung); die Plattform stellt dafür Bearbeitungs-, Export- und Löschfunktionen bereit.

• Bearbeitung nur nach Weisung des Salons und nie für eigene Zwecke.
• Vertraulichkeit aller Personen, die Zugang zu den Daten haben.
• Technische und organisatorische Massnahmen gemäss Ziff. 6, laufend dem Stand der Technik angepasst.
• Meldung von Datensicherheitsverletzungen an den Salon ohne unangemessene Verzögerung, möglichst innert 48 Stunden nach Kenntnis.
• Unterstützung des Salons bei Anfragen betroffener Personen.
• Zugriff auf Salon-Daten nur zur Fehlerbehebung auf ausdrücklichen Wunsch des Salons.

Der Salon genehmigt folgende Unterauftragsbearbeiter:

• cloudscale.ch AG, Zürich – Hosting und Datensicherung (Schweiz)
• vom Salon selbst gewählter E-Mail-Anbieter (SMTP) – nur bei eigener Konfiguration
• Google Ireland Ltd. – nur bei vom Salon aktivierter Google-Kalender-Anbindung (Termin, Name, Leistung; mögliche Bearbeitung in den USA)

Über neue Unterauftragsbearbeiter informieren wir mindestens 30 Tage im Voraus; der Salon kann aus wichtigem Grund widersprechen und den Vertrag kündigen.

• Hosting in der Schweiz, Zugriff auf die Server nur per Schlüssel-Authentisierung
• Verschlüsselte Übertragung (TLS) und Firewall
• Verschlüsselte Speicherung von Allergie-/Kopfhautangaben, Notizen und Zugangsdaten (AES-256-GCM)
• Mandantentrennung: jeder Salon sieht ausschliesslich seine eigenen Daten
• Passwörter nur als Hash; Sperre nach wiederholten Fehlversuchen
• Änderungsprotokoll mit Rückgängig-Funktion, Papierkorb mit 30 Tagen Frist
• Regelmässige Datensicherungen

Dieser Vertrag gilt für die Dauer der Plattformnutzung. Nach Vertragsende kann der Salon seine Daten während 30 Tagen exportieren; danach werden sie gelöscht, einschliesslich der Datensicherungen im Rahmen der üblichen Rotationszyklen.

Es gilt Schweizer Recht. Bei Widersprüchen geht dieser AVV den AGB in Fragen des Datenschutzes vor. Kontakt: support@myhairz.ch